Auftragsverarbeitungsvertrag (AVV)

§ 1 Parteien, Gegenstand und Dauer

(1) Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die n3tz GmbH in Gründung, Campus Gebäude A1 2, Starterzentrum, 66123 Saarbrücken („n3tz“), verarbeitet als Auftragsverarbeiter personenbezogene Daten nach den dokumentierten Weisungen des Kunden.

(2) Gegenstand sind Bereitstellung, Betrieb, Support, Sicherheit und vertragsgemäße Weiterentwicklung der gebuchten n3tz-Konfiguration. Die Laufzeit entspricht der Laufzeit des Hauptvertrags; Löschung und Rückgabe richten sich nach § 9.

§ 2 Art und Zweck der Verarbeitung

Je nach bestätigter Konfiguration verarbeitet n3tz Daten für folgende Zwecke:

• Zentrale und KI-Webchat: Erfassen, speichern, zuordnen, anzeigen, suchen und zusammenfassen von Kontakten, Leads, Vorgängen, Aufgaben, Chat-Nachrichten, Wissenseinträgen und Benachrichtigungen; menschliche Übernahme laufender Chats.
• KI-Telefon: Entgegennahme und Echtzeitverarbeitung eingehender Anrufe, Gesprächsführung, Qualifizierung, Terminvereinbarung, Weiterleitung nach freigegebener Konfiguration sowie Speicherung von Transkript, Zusammenfassung und Vorgangsbezug. n3tz fertigt keine eigene Audioaufnahme an und speichert kein Roh-Audio in seinen Systemen.
• Griffi in der Zentrale: Mandantengebundene Auskunft über den Datenbestand des Kunden sowie Vorbereitung sichtbarer Entwürfe. Der Sprachmodus verarbeitet Sprache, Transkript und die vom angemeldeten Mitarbeiter angeforderten Kunden-, Vorgangs-, Dokument-, Termin- und Wissensdaten. Versand, Finalisierung, Belegnummernvergabe, Buchung und Löschung bleiben gesonderte menschliche Handlungen. n3tz fertigt keine eigene Aufnahme dieser Sprachsitzung an und speichert weder ihre Sprache noch ihr Transkript dauerhaft.
• Postfach-Agent: Annahme konfigurierter eingehender E-Mails, Speicherung, Spam-/Dringlichkeits- und Kategoriezuordnung sowie Erstellung eines Antwortentwurfs. Versand erfolgt erst nach ausdrücklicher menschlicher Freigabe.
• Dokumente und Buchhaltung: Erstellen, prüfen, speichern, umwandeln und exportieren kontrollierter Angebote, Auftragsbestätigungen, Lieferscheine, Rechnungen, Gutschriften, Mahnungen, Belege und Buchungsdaten; Beleg-OCR und Dokumentdiktat erzeugen ausschließlich überprüfbare Entwürfe.
• Termine und Nachfassen: Buchung, Kalenderabgleich, Bestätigung, Erinnerung, Warteliste, Stornierung, neutraler Bewertungswunsch sowie vereinbarte SMS-, WhatsApp- oder E-Mail-Kommunikation.
• WhatsApp-Kanal: Nur bei ausdrücklicher Aktivierung für die jeweilige Rufnummer: Empfang eingehender Nachrichten, Sprachnachrichten und Belegfotos über die WhatsApp Business Platform, Zuordnung zum Vorgang, Transkription von Sprachnachrichten in der EU-Region sowie Antworten innerhalb des von der Nachricht eröffneten Servicefensters. Der Kunde kann einzelne Rufnummern zusätzlich freischalten, über diesen Kanal bestehende Datensätze zu lesen (Termine, Vorgänge, Kontakte, Wissensbasis) und Entwürfe anzulegen. Diese Freigabe erfolgt je Rufnummer und je Funktion, ist einzeln widerrufbar und standardmäßig deaktiviert. Im aktivierten Servicekanal kann der Assistent unmittelbar auf eingehende Nachrichten antworten. Geschäftsdokumentversand, Finalisierung und andere verbindliche Handlungen erfordern dagegen ausdrückliche menschliche Freigabe.
• Foto-Anforderung: Versand eines vom Kunden freigegebenen Links und loginloser, zeitlich begrenzter Upload angeforderter Fotos zum zugehörigen Vorgang; Integritätsprüfung und Metadatenverarbeitung.
• API und Integrationen: Authentifizierter Zugriff im freigegebenen Umfang sowie Verarbeitung von Berechtigungs-, Sicherheits- und Protokolldaten. Für vom Kunden bestimmte Zielsysteme bleibt der Kunde verantwortlich.

Die Verarbeitung umfasst Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Übermitteln, Einschränken, Exportieren und Löschen, jeweils nur soweit der bestätigte Zweck dies erfordert. Ressourcenmanagement und Outbound-Akquise sind nicht vereinbart. Automatische WhatsApp-Serviceantworten sind im aktivierten Servicekanal möglich; Geschäftsdokumente und verbindliche Handlungen bleiben an ausdrückliche menschliche Freigabe gebunden.

§ 3 Datenarten und betroffene Personen

Datenarten:

• Stamm- und Kontaktdaten, insbesondere Name, Firma, Anschrift, E-Mail und Telefonnummer
• Kommunikationsdaten: Chat-, E-Mail- und Gesprächsinhalte, Transkripte, Zusammenfassungen und Anhänge
• Audio- und Sprachdaten während der Echtzeitverarbeitung durch den Sprachmodell-Anbieter
• Termin-, Kalender-, Vorgangs-, Aufgaben-, Wissens- und Statusdaten
• Geschäftsdokument-, Leistungs-, Lieferanten-, Zahlungs-, Steuer-, Rechnungs- und Belegdaten
• Fotos, Dateimetadaten, Prüfsummen und – soweit in Originaldateien vorhanden – EXIF-Metadaten
• Nutzungs-, Zugriffs-, Sicherheits-, Audit-, Geräte-, Sprach- und Zeitstempeldaten

Eine vom Telefonieanbieter übermittelte Anrufernummer kann vollständig verarbeitet und im Anrufdatensatz sowie in zugehörigen Vorgangs-, Termin- oder Rückrufdaten gespeichert werden. Eine automatische Kürzung oder Pseudonymisierung auf die letzten vier Ziffern findet nicht statt. Der Kunde beschränkt die Nutzung auf einen rechtmäßigen, transparent mitgeteilten Zweck; die bloße Übermittlung der Nummer gilt nicht als Einwilligung.

Betroffene Personen:

• Kunden, Interessenten, Website-Besucher und Anrufer des Kunden
• Kommunikationspartner, Lieferanten und sonstige Geschäftspartner des Kunden
• Mitarbeiter und berechtigte Nutzer des Kunden
• Personen, die in Vorgängen, Terminen, Dokumenten, E-Mails, Fotos oder Wissenseinträgen genannt werden

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Ziel der Standardleistung. Ein geplanter Einsatz erfordert zuvor eine gesonderte Vereinbarung über Rechtsgrundlagen, Datenminimierung und Schutzmaßnahmen. Medizinische Beratung, Diagnose oder Behandlung sowie Gemini-Anwendungen, die sich an Minderjährige unter 18 Jahren richten oder voraussichtlich von ihnen genutzt werden, sind in der Standardkonfiguration ausgeschlossen. Eine Freigabe durch n3tz ersetzt keine erforderliche Zustimmung des Anbieters; gegebenenfalls ist ein geeigneter anderer Verarbeiter notwendig. Bei beiläufig übermittelten sensiblen Daten sind Zugriffsbeschränkung, Minimierung und erforderlichenfalls Löschung mit dem Verantwortlichen abzustimmen.

§ 4 Weisungen und Pflichten von n3tz

n3tz verpflichtet sich insbesondere,

• Daten nur auf dokumentierte Weisung zu verarbeiten, einschließlich Drittlandübermittlungen. Gesetzlich erzwungene Verarbeitungen werden dem Kunden vorab mitgeteilt, soweit das Gesetz dies nicht verbietet;
• nur vertraulich verpflichtete und erforderlicherweise berechtigte Personen einzusetzen;
• die Maßnahmen nach Art. 32 DSGVO und § 8 dieses AVV aufrechtzuerhalten;
• Unterauftragnehmer ausschließlich nach § 6 einzusetzen;
• den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei Betroffenenrechten sowie den Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen;
• Datenschutzverletzungen nach Bekanntwerden unverzüglich mit den verfügbaren Pflichtangaben mitzuteilen;
• eine nach Auffassung von n3tz rechtswidrige Weisung unverzüglich anzuzeigen und bis zur Klärung auszusetzen;
• die Einhaltung dieses AVV nachzuweisen und Kontrollen nach § 10 zu ermöglichen;
• nach Vertragsende nach Wahl des Kunden Daten zurückzugeben oder nach § 9 zu löschen.

§ 5 Pflichten und Rechte des Kunden

Der Kunde bestimmt Zweck und wesentliche Mittel, sorgt für Rechtsgrundlagen, Transparenzinformationen und die Zulässigkeit seiner Inhalte und Weisungen. Weisungen ergeben sich aus Hauptvertrag, Auftragsbestätigung, Produktkonfiguration und Mitteilungen in Textform. Der Kunde darf Auskunft und vorhandene Nachweise verlangen, Export- und Löschrechte ausüben und die Verarbeitung kontrollieren. Er informiert n3tz unverzüglich, wenn Daten berichtigt, eingeschränkt, herausgegeben oder gelöscht werden müssen.

§ 6 Unterauftragnehmer

(1) Der Kunde erteilt eine allgemeine Genehmigung für die nachstehend genannten, für seine Konfiguration eingesetzten Unterauftragnehmer. n3tz informiert mindestens 14 Tage vor dem Einsatz eines neuen oder ersetzten Unterauftragnehmers per E-Mail. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Grund nicht ausgeräumt werden, setzt n3tz den Anbieter für den Kunden nicht ein oder ermöglicht die Beendigung des betroffenen Moduls.

(2) n3tz bindet Unterauftragnehmer vertraglich an mindestens gleichwertige Datenschutzpflichten und bleibt dem Kunden nach Art. 28 Abs. 4 DSGVO verantwortlich. Anbieter, die für einzelne Daten eigene Zwecke und Mittel bestimmen, handeln insoweit als eigene Verantwortliche; dies gilt insbesondere für die eigenständige Zahlungs- und Betrugsprävention des Zahlungsdienstleisters Stripe und wird in den Datenschutzhinweisen offengelegt.

§ 7 Drittlandübermittlungen und KI-Anbieter

Text-, Chat- und Dokumentinferenz nutzt Google Vertex AI mit EU-Inferenzregion. Gemini Live verarbeitet KI-Telefonate, Begrüßungs-TTS und den internen Griffi-Sprachmodus derzeit in den USA. Auch Daten nicht anwesender Personen können über den angeforderten Mandantenkontext einfließen. Begrüßungstext kann Anrufername und Anliegen- oder Fortsetzungskontext enthalten. Der Sprachmodus bleibt auf Auskunft und Entwurfsvorbereitung beschränkt.

EU-Inferenz und EU-Jurisdiktion für R2-Objekte schließen weitere Support-, Sicherheits- oder Unterauftragnehmerzugriffe außerhalb der EU nicht pauschal aus. Cloudflare Pages und der Mail-Eingangs-Worker arbeiten im globalen Edge-Netz. WhatsApp-Nachrichten werden auf unserer Empfangsseite entschlüsselt; Meta verarbeitet Verkehrs- und Sicherheitsmetadaten teilweise für eigene Zwecke.

Drittlandübermittlungen benötigen die Voraussetzungen der Art. 44 ff. DSGVO: Ein Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework (Art. 45), trägt nur die von ihm erfasste und aktuell zertifizierte Empfänger-Verarbeitung. Andernfalls sind geeignete Garantien nach Art. 46, etwa tatsächlich vereinbarte Standardvertragsklauseln einschließlich erforderlicher Zusatzmaßnahmen, notwendig. n3tz stellt dem Kunden die für seinen Auftrag einschlägigen Empfänger- und Garantieninformationen sowie auf Anfrage eine Kopie der maßgeblichen Garantien bereit. Die bloße Nennung eines Anbieters ist keine Zusicherung eines bestimmten Accountvertrags oder einer lückenlosen EU-Verarbeitung.

n3tz fordert keine Session-Wiederaufnahme an und fertigt keine eigene Audioaufnahme der Gespräche an. Nach den Gemini-Bedingungen für bezahlte Dienste werden Prompts und Antworten nicht zur Produktverbesserung verwendet. Google beschreibt in seinen Hinweisen zur Missbrauchserkennung eine Aufbewahrung bis zu 55 Tage für Missbrauchskontrolle und erforderliche Offenlegungen. Das ist eine Anbieterangabe, kein n3tz-Löschversprechen; Roh-Audio ist dort nicht ausdrücklich ausgenommen. Eine Zusage ohne Speicherung oder ohne sämtliche weitere Anbieterzugriffe wird daraus nicht abgeleitet.

Selbst betriebenes LiveKit ist kein zusätzlicher externer Empfänger. Vom Kunden gewählte Kalender-, Gmail-, SMTP- und Webhook-Ziele bleiben gesonderte Empfänger nach seiner Konfiguration; der Kunde klärt deren Rollen und Vertragsbedingungen. Web-Push wird über den zum Browser bzw. Betriebssystem gehörenden Push-Dienst zugestellt; Benachrichtigungsdaten können auf dem Endgerät sichtbar werden. Die Anbieterübersicht ist modulbezogen; Zahlungsabwicklung für eigene n3tz-Zwecke ist kein allgemeiner Griffi-Unterauftrag.

§ 8 Technische und organisatorische Maßnahmen

• TLS für externe Übertragung; AES-256-GCM für dafür ausgewiesene sensible persistierte Felder
• rollenbasierte Zugriffe, serverseitige Mandantenzuordnung, Mehrfaktor-/Step-up-Schutz für sensible Admin-Aktionen
• zweckgebundene Zugangsdaten, widerrufbare Sessions, Protokollierung sicherheitsrelevanter Zustandswechsel
• Eingabe-, Größen-, Herkunfts-, Rate-, Replay- und Berechtigungsprüfungen an externen Schnittstellen
• logische Mandantentrennung und Funktions-/Freigabegrenzen; menschliche Kontrolle bei Geschäftsdokumenten und verbindlichen Handlungen, automatische Serviceantworten nur im aktivierten WhatsApp-Servicekanal
• inhaltsfreie Sicherheitsprotokollierung der Griffi-Sprachsitzungen ohne Sprache, Transkript oder Kundendaten
• Healthchecks, kontrollierte Releases und zugriffsbeschränkt abgelegte anlassbezogene Sicherungen vor risikobehafteten Releases oder Migrationen; automatisierte externe Sicherungen, feste Aufbewahrungsfristen und regelmäßige Wiederherstellungsprüfungen gelten nur, soweit sie für die konkrete Betriebsumgebung nachweislich aktiviert und dem Kunden ausdrücklich bestätigt wurden
• regelmäßige Überprüfung und risikoadäquate Anpassung der Maßnahmen

Detaillierte TOM-Nachweise stellt n3tz dem Kunden in angemessenem Umfang bereit. Die Feldverschlüsselung ist selektiv und keine Vollverschlüsselung aller Inhaltsdaten. Umfang, Schlüsselverwaltung und Sicherungsverfahren sind für den konkreten Auftrag zu dokumentieren.

§ 9 Aufbewahrung, Löschung und Rückgabe

Anruftranskripte, persistierte Chat-Nachrichten und Postfach-Inhalte werden grundsätzlich nach 90 Tagen ab Erfassung gelöscht; Quelldiktat-Transkripte nach 90 Tagen ab Erstellung. Roh-Audioclips des Dokumentdiktats werden nicht dauerhaft durch n3tz gespeichert. Abgeleitete Leads sind gesonderte Daten: Der konfigurierbare Standard ist eine Anonymisierung nach 24 Monaten seit letzter Aktualisierung. Persistierte Agentengespräche, -nachrichten und -entwürfe werden grundsätzlich nach 12 Monaten gelöscht. Das flüchtige Transkript einer internen Sprachsitzung wird hiervon unabhängig nicht dauerhaft gespeichert.

Admin-Auditdaten haben eine Regelfrist von 24 Monaten; Supportdaten von 24 Monaten ab Schließung. Für Termine, inaktive Kontakte, Vorgänge, Wissen, Fotos, EXIF-Metadaten, Uploadberechtigungen und Sicherheitsereignisse bestimmen Zweck, Status und dokumentierte Kundenweisung die erforderliche Aufbewahrung. Die Vertragslaufzeit allein rechtfertigt keine Speicherung. Nicht mehr benötigte Daten sind auch bei fortbestehendem Vertrag zu löschen oder, soweit ausreichend, zu anonymisieren. Kunden-Belegpflichten werden nicht pauschal als eigene Aufbewahrungspflichten von n3tz behandelt.

Nach Vertragsende gibt n3tz die Daten nach Wahl des Kunden zurück oder löscht sie. Für die Rückgabe stehen 30 Tage zum Export zur Verfügung; anschließend werden die betreffenden Primärdaten gelöscht, soweit keine konkret einschlägige gesetzliche Pflicht entgegensteht. Der Umfang umfasst Datenbank und zugehörige R2-Objekte; verbleibende Providerkopien und kundeneigene Zielsysteme sind gesondert zu berücksichtigen. Gesetzlich aufzubewahrende Daten werden auf diesen Zweck beschränkt.

Sicherungen bleiben bis zum dokumentierten Ablauf ihrer Aufbewahrungsfrist gegen gewöhnliche Nutzung gesperrt. Eine feste Sicherungsfrist wird ohne diese Bestätigung nicht zugesagt. Vor Wiederaufnahme des Betriebs aus einer Sicherung sind fällige Löschungen und zwischenzeitliche Betroffenenanträge erneut umzusetzen. n3tz dokumentiert die Ausführung und stellt dem Kunden einen Löschungsnachweis bereit. Die Beschreibung dieses Verfahrens behauptet keine bereits abgeschlossene Lösch- oder Wiederherstellungsprüfung für einen konkreten Auftrag.

§ 10 Nachweise, Kontrollen und Änderungen

Der Kunde oder ein unabhängiger, zur Vertraulichkeit verpflichteter Prüfer darf die Einhaltung nach angemessener Vorankündigung und unter Schutz anderer Mandanten, Sicherheitsdetails und Geschäftsgeheimnisse kontrollieren. n3tz stellt die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht entsprechende Kontrollen.

Für den einzelnen Auftrag gilt die ausdrücklich bezeichnete Fassung. Spätere Fassungen ersetzen sie nicht automatisch. Inhaltliche Änderungen werden mit neuer Versionskennung mitgeteilt und ausdrücklich in Textform vereinbart. Für Änderungen der Unterauftragnehmer gilt § 6. Gesetzlich zwingende Anpassungen werden mit Grund, Umfang und Wirksamkeitsdatum dokumentiert und mitgeteilt. Version, unveränderlicher Versionslink, Dokumenthash und Annahmezeitpunkt sind im Annahmenachweis festzuhalten; der Kunde erhält die vereinbarten Texte zum dauerhaften Speichern.

Bei Widersprüchen über die Verarbeitung personenbezogener Daten gehen die datenschutzbezogenen Bestimmungen des AVV den übrigen Vertragsunterlagen vor. Zwingendes Recht bleibt unberührt.

§ 11 Berufsgeheimnisse

Dieser Standard-AVV begründet keine pauschale Eignung für Berufsgeheimnisse nach § 203 StGB. Ein solcher Einsatz setzt vorab eine gesonderte Vereinbarung, zulässige Offenbarung, die erforderliche Rechtsgrundlage einschließlich Art. 9 DSGVO sowie eine durchgehende Verschwiegenheitskette einschließlich der eingesetzten Anbieter voraus.

Nur soweit n3tz danach zulässigerweise als mitwirkende Person eingesetzt wird, wahrt n3tz die geschützten Geheimnisse auch nach Vertragsende. Zugriffsberechtigte Personen und Unterauftragnehmer sind vor Aufnahme ihrer Tätigkeit im erforderlichen Umfang gesondert zu verpflichten und über die strafrechtlichen Folgen nach § 203 Abs. 4 StGB zu belehren. Zugriffe bleiben auf das Erforderliche beschränkt. Die konkrete Verpflichtungserklärung wird dem gesonderten Auftrag als Anlage beigefügt.

Kontakt

n3tz GmbH in Gründung · Campus Gebäude A1 2, Starterzentrum, 66123 Saarbrücken · mail@n3tz.ai