Auftragsverarbeitungsvertrag (AVV)

§ 1 Parteien, Gegenstand und Dauer

(1) Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Tarik Ermis, handelnd unter „n3tz“, Kaiserstr. 27, 66333 Völklingen („n3tz“), verarbeitet als Auftragsverarbeiter personenbezogene Daten nach den dokumentierten Weisungen des Kunden.

(2) Gegenstand sind Bereitstellung, Betrieb, Support, Sicherheit und vertragsgemäße Weiterentwicklung der gebuchten n3tz-Konfiguration. Die Laufzeit entspricht der Laufzeit des Hauptvertrags; Löschung und Rückgabe richten sich nach § 9.

§ 2 Art und Zweck der Verarbeitung

Je nach bestätigter Konfiguration verarbeitet n3tz Daten für folgende Zwecke:

• Zentrale und KI-Webchat: Erfassen, speichern, zuordnen, anzeigen, suchen und zusammenfassen von Kontakten, Leads, Vorgängen, Aufgaben, Chat-Nachrichten, Wissenseinträgen und Benachrichtigungen; menschliche Übernahme laufender Chats.
• KI-Telefon: Entgegennahme und Echtzeitverarbeitung eingehender Anrufe, Gesprächsführung, Qualifizierung, Terminvereinbarung, Weiterleitung nach freigegebener Konfiguration sowie Speicherung von Transkript, Zusammenfassung und Vorgangsbezug. n3tz fertigt keine eigene Audioaufnahme an und speichert kein Roh-Audio in seinen Systemen.
• Griffi in der Zentrale: Mandantengebundene Auskunft über den Datenbestand des Kunden sowie Vorbereitung sichtbarer Entwürfe. Der Sprachmodus verarbeitet Sprache, Transkript und die vom angemeldeten Mitarbeiter angeforderten Kunden-, Vorgangs-, Dokument-, Termin- und Wissensdaten. Versand, Finalisierung, Belegnummernvergabe, Buchung und Löschung bleiben gesonderte menschliche Handlungen. n3tz fertigt keine eigene Aufnahme dieser Sprachsitzung an und speichert weder ihre Sprache noch ihr Transkript dauerhaft.
• Postfach-Agent: Annahme konfigurierter eingehender E-Mails, Speicherung, Spam-/Dringlichkeits- und Kategoriezuordnung sowie Erstellung eines Antwortentwurfs. Versand erfolgt erst nach ausdrücklicher menschlicher Freigabe.
• Dokumente und Buchhaltung: Erstellen, prüfen, speichern, umwandeln und exportieren kontrollierter Angebote, Auftragsbestätigungen, Lieferscheine, Rechnungen, Gutschriften, Mahnungen, Belege und Buchungsdaten; Beleg-OCR und Dokumentdiktat erzeugen ausschließlich überprüfbare Entwürfe.
• Termine und Nachfassen: Buchung, Kalenderabgleich, Bestätigung, Erinnerung, Warteliste, Stornierung, neutraler Bewertungswunsch sowie vereinbarte SMS- oder E-Mail-Kommunikation.
• Foto-Anforderung: Versand eines vom Kunden freigegebenen Links und loginloser, zeitlich begrenzter Upload angeforderter Fotos zum zugehörigen Vorgang; Integritätsprüfung und Metadatenverarbeitung.
• API und Integrationen: Authentifizierter Zugriff im freigegebenen Umfang sowie Verarbeitung von Berechtigungs-, Sicherheits- und Protokolldaten. Für vom Kunden bestimmte Zielsysteme bleibt der Kunde verantwortlich.

Die Verarbeitung umfasst Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Übermitteln, Einschränken, Exportieren und Löschen, jeweils nur soweit der bestätigte Zweck dies erfordert. Ressourcenmanagement, Outbound-Akquise und autonome externe Handlungen sind in dieser Vertragsfassung nicht vereinbart.

§ 3 Datenarten und betroffene Personen

Datenarten:

• Stamm- und Kontaktdaten, insbesondere Name, Firma, Anschrift, E-Mail und Telefonnummer
• Kommunikationsdaten: Chat-, E-Mail- und Gesprächsinhalte, Transkripte, Zusammenfassungen und Anhänge
• Audio- und Sprachdaten während der Echtzeitverarbeitung durch den Sprachmodell-Anbieter
• Termin-, Kalender-, Vorgangs-, Aufgaben-, Wissens- und Statusdaten
• Geschäftsdokument-, Leistungs-, Lieferanten-, Zahlungs-, Steuer-, Rechnungs- und Belegdaten
• Fotos, Dateimetadaten, Prüfsummen und – soweit in Originaldateien vorhanden – EXIF-Metadaten
• Nutzungs-, Zugriffs-, Sicherheits-, Audit-, Geräte-, Sprach- und Zeitstempeldaten

Eine vom Telefonieanbieter übermittelte Anrufernummer kann vollständig verarbeitet und im Anrufdatensatz sowie in zugehörigen Vorgangs-, Termin- oder Rückrufdaten gespeichert werden. Eine automatische Kürzung oder Pseudonymisierung auf die letzten vier Ziffern findet nicht statt. Der Kunde beschränkt die Nutzung auf einen rechtmäßigen, transparent mitgeteilten Zweck; die bloße Übermittlung der Nummer gilt nicht als Einwilligung.

Betroffene Personen:

• Kunden, Interessenten, Website-Besucher und Anrufer des Kunden
• Kommunikationspartner, Lieferanten und sonstige Geschäftspartner des Kunden
• Mitarbeiter und berechtigte Nutzer des Kunden
• Personen, die in Vorgängen, Terminen, Dokumenten, E-Mails, Fotos oder Wissenseinträgen genannt werden

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Ziel der Leistung. Werden sie durch eine zulässige Weisung unvermeidbar übermittelt, muss der Kunde Rechtsgrundlage, Erforderlichkeit und Datenminimierung sicherstellen. Medizinische Beratung, Diagnose oder Behandlung sowie Gemini-Funktionen für Minderjährige unter 18 Jahren sind ohne zuvor schriftlich bestätigte Sonderfreigabe ausgeschlossen.

§ 4 Weisungen und Pflichten von n3tz

n3tz verpflichtet sich insbesondere,

• Daten nur auf dokumentierte Weisung zu verarbeiten, einschließlich Drittlandübermittlungen. Gesetzlich erzwungene Verarbeitungen werden dem Kunden vorab mitgeteilt, soweit das Gesetz dies nicht verbietet;
• nur vertraulich verpflichtete und erforderlicherweise berechtigte Personen einzusetzen;
• die Maßnahmen nach Art. 32 DSGVO und § 8 dieses AVV aufrechtzuerhalten;
• Unterauftragnehmer ausschließlich nach § 6 einzusetzen;
• den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei Betroffenenrechten sowie den Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen;
• Datenschutzverletzungen nach Bekanntwerden unverzüglich mit den verfügbaren Pflichtangaben mitzuteilen;
• eine nach Auffassung von n3tz rechtswidrige Weisung unverzüglich anzuzeigen und bis zur Klärung auszusetzen;
• die Einhaltung dieses AVV nachzuweisen und Kontrollen nach § 10 zu ermöglichen;
• nach Vertragsende nach Wahl des Kunden Daten zurückzugeben oder nach § 9 zu löschen.

§ 5 Pflichten und Rechte des Kunden

Der Kunde bestimmt Zweck und wesentliche Mittel, sorgt für Rechtsgrundlagen, Transparenzinformationen und die Zulässigkeit seiner Inhalte und Weisungen. Weisungen ergeben sich aus Hauptvertrag, Auftragsbestätigung, Produktkonfiguration und Mitteilungen in Textform. Der Kunde darf Auskunft und vorhandene Nachweise verlangen, Export- und Löschrechte ausüben und die Verarbeitung kontrollieren. Er informiert n3tz unverzüglich, wenn Daten berichtigt, eingeschränkt, herausgegeben oder gelöscht werden müssen.

§ 6 Unterauftragnehmer

(1) Der Kunde erteilt eine allgemeine Genehmigung. n3tz informiert mindestens 14 Tage vor dem Einsatz eines neuen oder ersetzten Unterauftragnehmers per E-Mail. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Grund nicht ausgeräumt werden, setzt n3tz den Anbieter für den Kunden nicht ein oder ermöglicht die Beendigung des betroffenen Moduls.

(2) n3tz bindet Unterauftragnehmer vertraglich an mindestens gleichwertige Datenschutzpflichten und bleibt dem Kunden nach Art. 28 Abs. 4 DSGVO verantwortlich. Anbieter, die für einzelne Daten eigene Zwecke und Mittel bestimmen, handeln insoweit als eigene Verantwortliche; dies gilt insbesondere für die eigenständige Zahlungs- und Betrugsprävention des Zahlungsdienstleisters Stripe und wird in den Datenschutzhinweisen offengelegt.

§ 7 Drittlandübermittlungen und KI-Anbieter

(1) Text-, Chat- und Dokumentinferenz ist auf Google Vertex AI mit EU-Region für Inferenz und Datenresidenz konfiguriert. Mögliche Support-, Sicherheits- und Unterauftragnehmerzugriffe richten sich nach Google-DPA, Standardvertragsklauseln und ergänzenden Schutzmaßnahmen; „EU-Region“ ist daher keine pauschale Zusage ohne jeden Drittlandbezug.

(2) Gemini Live verarbeitet KI-Telefonate, Begrüßungs-TTS und den Griffi-Sprachmodus in den USA. Grundlage ist der EU-US Data Privacy Framework-Angemessenheitsbeschluss nach Art. 45 DSGVO; ergänzend gelten SCCs nach Art. 46 Abs. 2 lit. c DSGVO. Der Griffi-Sprachmodus kann auf Anforderung des angemeldeten Mitarbeiters auch Daten nicht anwesender Personen aus dessen Mandantenkontext einbringen. Auch der an die Begrüßungs-TTS übermittelte Text kann personenbezogene Inhalte wie Anrufername und Anliegen- oder Fortsetzungskontext enthalten. Die Funktion ist mandantengebunden und bleibt draft-only.

(3) n3tz fordert keine Session-Wiederaufnahme an. Google kann bei bezahlten Gemini-Diensten eingereichte Inhalte und Ausgaben für Missbrauchserkennung und erforderliche rechtliche Offenlegungen bis zu 55 Tage vorhalten. Die Anbieterunterlagen schließen Roh-Audio nicht ausdrücklich aus; n3tz verspricht deshalb keinen Ausschluss. Prompts und Antworten bezahlter Dienste werden nach Anbieterunterlagen nicht zur Produktverbesserung verwendet; Entwicklerprotokolle oder Datensatzfreigaben werden von n3tz nicht aktiviert.

§ 8 Technische und organisatorische Maßnahmen

• TLS für externe Übertragung; AES-256-GCM für dafür ausgewiesene sensible persistierte Felder
• rollenbasierte Zugriffe, serverseitige Mandantenzuordnung, Mehrfaktor-/Step-up-Schutz für sensible Admin-Aktionen
• zweckgebundene Zugangsdaten, widerrufbare Sessions, Protokollierung sicherheitsrelevanter Zustandswechsel
• Eingabe-, Größen-, Herkunfts-, Rate-, Replay- und Berechtigungsprüfungen an externen Schnittstellen
• logische Mandantentrennung, Entwurfs-/Freigabegrenzen und menschliche Kontrolle externer Wirkungen
• inhaltsfreie Sicherheitsprotokollierung der Griffi-Sprachsitzungen ohne Sprache, Transkript oder Kundendaten
• Healthchecks, kontrollierte Releases und zugriffsbeschränkt abgelegte anlassbezogene Sicherungen vor risikobehafteten Releases oder Migrationen; automatisierte externe Sicherungen, feste Aufbewahrungsfristen und regelmäßige Wiederherstellungsprüfungen gelten nur, soweit sie für die konkrete Betriebsumgebung nachweislich aktiviert und dem Kunden ausdrücklich bestätigt wurden
• regelmäßige Überprüfung und risikoadäquate Anpassung der Maßnahmen

Detaillierte TOM-Nachweise stellt n3tz dem Kunden auf Anfrage in angemessenem Umfang bereit.

§ 9 Aufbewahrung, Löschung und Rückgabe

• Anruftranskripte, persistierte Chat-Nachrichten und Postfach-Inhalte: grundsätzlich 90 Tage
• Quelldiktat-Transkripte: grundsätzlich 90 Tage; Roh-Audioclip nicht dauerhaft durch n3tz gespeichert
• Loginlose Foto-Upload-Berechtigungen und zugehörige Sicherheitsereignisse: zweck- und fristgebunden; Vorgangsfotos bleiben bis zur Löschung durch den Kunden oder Vertragsende erhalten
• Kontakte, Vorgänge, Dokumente, Entwürfe, Termine und Wissenseinträge: während des Vertrags bis zur Weisung des Kunden oder bis zum Vertragsende, vorbehaltlich gesetzlicher Pflichten

Nach Vertragsende hält n3tz aktive Kundendaten 30 Tage zum Export bereit und löscht sie anschließend aus den Primärsystemen, sofern keine gesetzliche Pflicht entgegensteht. Soweit zu diesem Zeitpunkt Sicherungskopien vorhanden sind, bleiben sie für die gewöhnliche Verarbeitung gesperrt und werden nach dem für die konkrete Betriebsumgebung nachweislich aktivierten und dem Kunden bestätigten Sicherungs- und Löschkonzept überschrieben oder gelöscht. Eine feste Sicherungsfrist wird ohne diese Bestätigung nicht zugesagt. Auf Wunsch bestätigt n3tz die Löschung in Textform.

Vor einer Bereitstellung aus einer Sicherung werden aktuelle Migrationen und die jeweils geltenden Aufbewahrungs- und Löschregeln ausgeführt, damit bereits abgelaufene Inhalte nicht wieder in die gewöhnliche Verarbeitung gelangen.

§ 10 Nachweise, Kontrollen und Änderungen

Der Kunde oder ein unabhängiger, zur Vertraulichkeit verpflichteter Prüfer darf die Einhaltung nach angemessener Vorankündigung und unter Schutz anderer Mandanten, Sicherheitsdetails und Geschäftsgeheimnisse kontrollieren. n3tz stellt vorhandene geeignete Informationen und Nachweise bereit. Für den einzelnen Auftrag gilt die in der Auftragsbestätigung bezeichnete Fassung; spätere Fassungen ersetzen sie nicht automatisch. Änderungen bedürfen der Vereinbarung in Textform, soweit sie nicht ausschließlich zugunsten des Kunden wirken oder zwingendes Recht umsetzen. Bei elektronischem Vertragsschluss kann der Kunde die vereinbarte Fassung dauerhaft über den in der Auftragsbestätigung bezeichneten unveränderlichen Versionslink abrufen und für seine Unterlagen speichern.

§ 11 Berufsgeheimnisse

Soweit § 203 StGB anwendbar ist, wird n3tz als sonstige mitwirkende Person tätig, verpflichtet zugriffsberechtigte Personen entsprechend und bindet zugreifende Unterauftragnehmer gleichwertig. Eine Nutzung für Berufsgeheimnisse oder besondere Kategorien setzt eine datensparsame, rechtmäßige Konfiguration des Kunden und gegebenenfalls eine gesonderte Verpflichtungserklärung voraus.

Kontakt

Tarik Ermis / n3tz · mail@n3tz.ai