Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO

Stand: 14.8.2026

Zwischen

[Firmenname Auftraggeber]
[Anschrift Auftraggeber]
— nachfolgend „Verantwortlicher" / „Auftraggeber" —

und

Mark Gerngross
Sonthofen, Deutschland
— nachfolgend „Auftragsverarbeiter" / „Anbieter" —

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand des Vertrags ist die Bereitstellung der SaaS-Plattform LaunchMyAgent zur Erstellung und zum Betrieb von KI-gestützten Chatbots durch den Anbieter. Im Rahmen dieser Leistung werden personenbezogene Daten von Nutzern des Auftraggebers (Webseiten-Besucher, Lead-Kontakte) verarbeitet.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zwischen Auftraggeber und Anbieter.

§ 2 Art und Zweck der Verarbeitung

• Hosting und Bereitstellung der Chatbot-Infrastruktur
• Speicherung von Chat-Verläufen, erfassten Leads, Buchungen
• Weiterleitung von Chat-Inhalten an LLM-Provider zur Antwortgenerierung
• Versand von E-Mail-Benachrichtigungen über vom Auftraggeber bereitgestellte SMTP-Daten
• Optional: Synchronisation mit Drittanbieter-Kanälen (WhatsApp, Instagram, Google Business Profile)

§ 3 Art der personenbezogenen Daten

• Identifikationsdaten (Name)
• Kontaktdaten (E-Mail, Telefon)
• Inhaltsdaten (Chat-Nachrichten, Anfragen)
• Nutzungsdaten (IP-Adresse temporär für Rate-Limit, Zeitstempel)

§ 4 Kategorien betroffener Personen

• Webseiten-Besucher des Auftraggebers
• Lead-Kontakte / Interessenten / Kunden des Auftraggebers

§ 5 Technisch-organisatorische Maßnahmen (TOM)

• TLS 1.3 für alle Verbindungen (Let's Encrypt, automatische Erneuerung)
• Passwort-Hashing mit bcrypt, 12 Runden
• 2-Faktor-Authentifizierung (TOTP) für Admin-Zugänge
• API-Tokens at-rest verschlüsselt (AES-256-GCM)
• Sichere IDs (crypto.randomBytes, nicht ratbar)
• IP-Rate-Limit und Daily-Cap gegen Missbrauch
• Server-Standort: Deutschland (Strato AG)
• Activity-Log mit eingeschränktem Zugriff
• Backups mindestens täglich (verschlüsselt)

§ 6 Unterauftragsverarbeiter (Sub-Processors)

Der Auftraggeber erteilt seine allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter:

• Strato AG, Berlin, DE — Hosting
• Anthropic PBC, San Francisco, USA — Claude LLM (auf Basis SCC)
• OpenAI L.L.C., San Francisco, USA — GPT LLM (auf Basis SCC)
• Mistral AI, Paris, FR — Mistral LLM
• Google LLC, USA — Kalender + Business Profile (optional, auf Basis SCC)
• Meta Platforms Inc., USA — WhatsApp/Instagram (optional, auf Basis SCC)

Die Beauftragung weiterer Unterauftragsverarbeiter wird dem Auftraggeber mit angemessener Frist vorab mitgeteilt. Der Auftraggeber kann der Beauftragung aus berechtigten Gründen widersprechen.

§ 7 Rechte und Pflichten des Auftragsverarbeiters

1. Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers (dieser Vertrag + Plattform-Nutzung gelten als Weisung).
2. Verpflichtung der eingesetzten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
3. Unterstützung des Auftraggebers bei der Erfüllung von Anfragen Betroffener.
4. Unterstützung bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.
5. Nach Beendigung der Erbringung der Verarbeitungsleistungen Löschung oder Rückgabe aller personenbezogenen Daten.
6. Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO.

§ 8 Rechte und Pflichten des Auftraggebers

1. Verantwortlich für die Zulässigkeit der Verarbeitung sowie die Wahrung der Rechte der Betroffenen.
2. Erteilung aller Aufträge und Teilaufträge sowie Änderungen schriftlich (oder per E-Mail) zu dokumentieren.
3. Information des Anbieters unverzüglich, wenn er Fehler oder Unregelmäßigkeiten in Bezug auf die Verarbeitung feststellt.

§ 9 Meldung von Datenschutzverletzungen

Der Anbieter informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten, die im Rahmen der Auftragsverarbeitung auftritt.

§ 10 Datenlöschung nach Vertragsende

Nach Beendigung dieses Auftrags hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Unterlagen, Daten und sonstigen Materialien dem Auftraggeber auszuhändigen oder — auf dessen Weisung — datenschutzgerecht zu löschen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 11 Schlussbestimmungen

Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hiervon nicht berührt. Gerichtsstand ist Kempten (Allgäu). Es gilt deutsches Recht.