Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

1. Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, um Postfluss bereitzustellen. Art, Zweck, Datenarten und Betroffene stehen in Anlage 1.
2. Der Vertrag läuft so lange wie der Nutzungsvertrag und darüber hinaus, bis alle Daten des Kunden gelöscht sind (§ 10).

§ 2 Weisungen

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer. Ausgenommen ist eine Verarbeitung, zu der ihn das Recht der EU oder eines Mitgliedstaats verpflichtet. Dann teilt er dem Kunden die rechtliche Anforderung vorher mit, soweit das Recht das nicht verbietet.
2. Die Weisungen stehen in diesem Vertrag und in den AGB. Der Kunde erteilt sie außerdem über die Einstellungen in der App, etwa welche Kanäle verbunden sind, welche Funktionen laufen und wie lange Anfragen aufbewahrt werden. Weitere Weisungen erteilt er in Textform.
3. Hält der Anbieter eine Weisung für rechtswidrig, sagt er das dem Kunden unverzüglich. Er darf sie aussetzen, bis der Kunde sie bestätigt oder ändert.
4. Der Anbieter nutzt die Daten für keinen anderen Zweck. Er nutzt sie insbesondere nicht zum Trainieren von KI-Modellen, nicht für andere Kunden und nicht für Werbung. Einzige Ausnahme ist das Schwarmwissen nach § 11, und nur, solange der Kunde es eingeschaltet hat.

§ 3 Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Schweigepflicht unterliegen. Sie erhalten Zugang nur, soweit ihre Aufgabe es verlangt.

§ 4 Sicherheit

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 2. Er darf sie an den Stand der Technik anpassen, wenn das Schutzniveau nicht sinkt.

§ 5 Unterauftragsverarbeiter

1. Der Kunde erlaubt allgemein, Unterauftragsverarbeiter einzusetzen. Die beim Vertragsschluss eingesetzten stehen in Anlage 3. Sie gelten als genehmigt.
2. Einen neuen oder ausgetauschten Unterauftragsverarbeiter kündigt der Anbieter mindestens 4 Wochen vorher in Textform an. Der Kunde kann aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Kommt keine Lösung zustande, kann der Kunde den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.
3. Der Anbieter legt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf wie dieser Vertrag. Für dessen Pflichten haftet er dem Kunden gegenüber wie für eigene.
4. Dienste, die der Kunde selbst verbindet, sind keine Unterauftragsverarbeiter des Anbieters, etwa sein Postfach-Anbieter, sein Helpdesk, sein Shop oder die Push-Dienste der Geräte seiner Nutzer. Für sie gilt das Verhältnis zwischen dem Kunden und diesem Dienst.

§ 6 Übermittlung in Drittländer

1. Die Daten liegen auf Servern in der EU. Der Anbieter hat seinen Sitz in Georgien. Für dieses Land gibt es keinen Angemessenheitsbeschluss der EU-Kommission. Greift der Anbieter für Betrieb, Wartung oder Hilfe aus diesem Land auf die Daten zu, ist das eine Übermittlung in ein Drittland.
2. Für diese Übermittlung gelten die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter). Der Kunde ist Datenexporteur, der Anbieter Datenimporteur. Die Klauseln sind mit diesem Vertrag geschlossen. Anlage 4 nennt die Wahlmöglichkeiten. Bei einem Widerspruch gehen die Klauseln diesem Vertrag vor. Sind die Klauseln nicht anwendbar, weil der Anbieter selbst unter Art. 3 Abs. 2 DSGVO fällt, hält er ihre Pflichten trotzdem ein. Erlässt die EU-Kommission Klauseln für diesen Fall, gelten sie ab ihrem Inkrafttreten.
3. Weitere Übermittlungen in Drittländer gibt es nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 7 Rechte der Betroffenen

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen, Anfragen von Betroffenen zu beantworten (Art. 12 bis 22 DSGVO). Dazu dienen vor allem die Funktionen der App: Anfragen suchen, exportieren und löschen. Wendet sich ein Betroffener direkt an den Anbieter, leitet er die Anfrage an den Kunden weiter und antwortet nicht selbst in der Sache.

§ 8 Weitere Unterstützung, Datenpannen

1. Der Anbieter unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit er dafür die nötigen Informationen hat. Das betrifft Sicherheit, Meldungen, Datenschutz-Folgenabschätzung und vorherige Konsultation.
2. Eine Verletzung des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, nachdem er sie bemerkt hat, möglichst innerhalb von 48 Stunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Fehlende Angaben reicht er nach, sobald er sie hat.

§ 9 Nachweise und Kontrollen

1. Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis seiner Pflichten nötig sind.
2. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann kontrollieren, ob der Anbieter diesen Vertrag einhält. Dafür genügt in der Regel eine schriftliche Auskunft. Eine Prüfung vor Ort meldet der Kunde mindestens 4 Wochen vorher an. Sie findet zu den Geschäftszeiten statt, stört den Betrieb so wenig wie möglich und sieht keine Daten anderer Kunden ein. Ohne besonderen Anlass gibt es sie höchstens einmal im Jahr.

§ 10 Löschung und Rückgabe

1. Während der Laufzeit kann der Kunde seine Daten jederzeit selbst exportieren (AGB § 8).
2. Nach dem Ende des Nutzungsvertrags kann der Kunde seine Daten nach AGB § 8 abrufen, auch während einer Übergangszeit beim Wechsel. Danach löscht der Anbieter alle Daten des Kunden samt dessen Datenschlüssel. Gesicherte Kopien laufen spätestens 30 Tage später aus. Stellt der Anbieter eine Sicherung wieder her, löscht er die Daten dabei erneut. Eine Pflicht zur Aufbewahrung nach EU- oder Mitgliedstaatsrecht bleibt unberührt.
3. Während der Laufzeit löscht Postfluss Anfragen nach der Aufbewahrungsfrist, die der Kunde einstellt (Anlage 1).

§ 11 Schwarmwissen (nur bei Teilnahme)

1. Gegenstand: Schaltet der Kunde in den Einstellungen „Schwarmwissen“ ein, zählt der Anbieter aus den Anfragen des Kunden anonyme Kategorien mit. Das sind ausschließlich Zähler und Werte aus festen Listen: das Unterthema der Anfrage im Anliegen-Baum, die Stimmung (neutral, verärgert oder freundlich), die grobe Branche des Kunden, der Eingangsmonat, das Ergebnis (Entwurf unverändert gesendet, Entwurf geändert gesendet, ohne Entwurf gesendet oder keine Antwort) und ob der Absender binnen 14 Tagen nachgefragt hat. In der wartenden Zeile (Abs. 3) steht außerdem, ob es eine Wiederholung war; in den Zähler geht das nicht ein. Diese Liste ist abschließend.
2. Zweck: bessere Vorschläge und Vergleichswerte für Kunden, die selbst teilnehmen. Wer nicht teilnimmt, erhält keine Schwarm-Zahlen.
3. Weisung und Rolle: Das Einschalten ist eine ausdrückliche, dokumentierte Weisung und Genehmigung des Kunden für diese Verarbeitung. Der Anbieter hält sie im Protokoll der Aktionen fest. Ohne Einschalten findet nichts davon statt. Für die Bildung und Nutzung der anonymen Zähler ist der Anbieter selbst Verantwortlicher (Art. 6 Abs. 1 lit. f DSGVO). Die Interessenabwägung ist dokumentiert. Bis zum Abschluss, höchstens 14 Tage, wartet die Zeile im Konto des Kunden und wird dort wie seine übrigen Daten verarbeitet. Danach bleibt nur der anonyme Zähler.
4. Nie gespeichert werden Freitext, Namen, Adressen, E-Mail-Adressen, Telefon-, Bestell-, Kunden-, Mail- und Vorgangsnummern, Kennungen jeder Art, auch nicht verschlüsselt oder gehasht, sowie Preise, Beträge und Konditionen. Welcher Nutzer geantwortet hat, wird nicht erfasst. Das gilt für die Speicherung der Zähler. Die Verarbeitung der Anfrage zur Einordnung bleibt wie in Anlage 1 beschrieben.
5. Mindestzahlen: Der Anbieter wertet eine Kategorie erst aus, wenn mindestens 5 verschiedene Firmen und 50 Fälle dahinterstehen und keine Firma mehr als 40 % beiträgt. Vergleichswerte zeigt er Kunden erst ab 10 Firmen und 200 Fällen und höchstens 30 % einer Firma. Kategorien unter diesen Schwellen sind nie sichtbar.
6. Ausschlüsse: Firmen aus Gesundheit, Recht und Steuern, Religion und Weltanschauung, Politik und Gewerkschaft sowie Dating und Sexualität können nicht teilnehmen. Eigene Mails des Kunden, Spam und Rundschreiben zählen nie mit.
7. Ausstieg: Der Kunde kann Schwarmwissen jederzeit in den Einstellungen ausschalten. Das wirkt sofort. Der Anbieter löscht dann die wartenden Zeilen und alle Zähler des Kunden. Auch mit der Löschung des Kontos verschwinden sie.
8. Keine Weitergabe: Der Anbieter verkauft oder lizenziert Schwarmwissen nie, gibt es nie an Dritte, nutzt es nie für Marktforschung, nie zum Trainieren von Modellen und nie für Rückschlüsse auf einzelne Firmen oder Personen. Jede weitere Nutzung braucht ein neues, ausdrückliches Einverständnis des Kunden.
9. Information: Der Kunde informiert seine Kunden und Beschäftigten über die Teilnahme, soweit das nötig ist, und beteiligt einen Betriebsrat, wo das Gesetz es verlangt. Der Anbieter stellt dafür einen Textbaustein auf der Seite Schwarmwissen: was wir speichern, was nie bereit.

§ 12 Haftung und Schluss

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regeln der AGB.
2. Für Änderungen dieses Vertrags gilt AGB § 15. Gesetzlich vorgeschriebene Änderungen bleiben möglich.
3. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Verarbeitung im Auftrag

Zweck

Bearbeitung der Kundenanfragen des Kunden mit KI-Unterstützung: Anfragen aus den verbundenen Kanälen empfangen und speichern, Antwortentwürfe schreiben, aus gesendeten Antworten und Korrekturen eine Wissensbasis im Konto des Kunden aufbauen, Fragen im Website-Chat beantworten (wenn eingeschaltet), Bestell- und Sendungsdaten aus verbundenen Shops und Diensten abfragen, Daten exportieren und löschen.

Art der Verarbeitung

Abrufen, Speichern, Ordnen, Durchsuchen, Auslesen, Zusammenfassen, Abgleichen, Übermitteln an das Sprachmodell (Anlage 3), Senden auf Klick eines Nutzers, Löschen.

Arten von Daten

• Inhalte von Anfragen: Name und Adresse des Absenders, Betreff, Text, Verlauf, Anhänge und Bilder, Kennungen aus Helpdesks
• Entwürfe, gesendete Antworten, interne Notizen, Schlagworte und Textbausteine
• Bestell- und Sendungsdaten, die Postfluss live aus verbundenen Shops und von der Sendungsverfolgung abruft. Postfluss speichert sie nicht gesondert, sie können aber in einem Entwurf stehen.
• Website-Chat: Name und E-Mail-Adresse, falls der Besucher sie angibt, und die Nachrichten. Die IP-Adresse des Besuchers verarbeitet Postfluss nur für die Auslieferung und zählt sie gegen Missbrauch nur als Hashwert.
• Wissensbasis: Fakten und Antworten, die aus den Inhalten entstehen. Ein automatischer Filter entfernt vorher E-Mail-Adressen, IBANs, Telefonnummern und Vorgangsnummern sowie Namen und Anschriften, soweit er sie erkennt. Er erkennt nicht jede Angabe.
• Namen und Signaturen der Nutzer, soweit sie in Entwürfen und Antworten stehen
• Schwarmwissen, nur bei Teilnahme (§ 11): Unterthema, Stimmung, Branche, Monat, Ergebnis und Nachfrage je Anfrage als Zähler (in der wartenden Zeile außerdem, ob es eine Wiederholung war), ohne Inhalte und ohne Kennungen

Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen, können aber in Freitexten von Absendern vorkommen.

Betroffene

Kunden, Interessenten und andere Absender, die sich an den Kunden wenden; Besucher seiner Website, die den Chat nutzen; Beschäftigte und Beauftragte des Kunden.

Speicherdauer

• Anfragen samt Entwürfen, Antworten und Notizen sowie geschlossene Chats: 12 Monate nach der letzten Aktivität. Der Kunde kann 3 bis 120 Monate einstellen. Anfragen mit einer offenen Korrektur bleiben, bis die Korrektur erledigt ist.
• Wissensbasis, Textbausteine, Schlagworte und Einstellungen: bis der Kunde sie löscht oder das Konto gelöscht wird
• Exporte: 7 Tage. Ereignisse aus Helpdesks: 7 Tage nach der Verarbeitung.
• Protokoll der Aktionen (nur Kennungen, Art und Zeit): bis das Konto gelöscht wird
• Schwarmwissen (§ 11): wartende Zeile höchstens 14 Tage, anonyme Zähler bis zum Ausschalten oder bis das Konto gelöscht wird
• Sicherungen: 30 Tage

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Server, Datenbank und Sicherungen in der EU, Sprachmodelle über AWS Bedrock in EU-Regionen
• Verbindungen nur verschlüsselt (TLS)
• Inhalte und Zugangsdaten sind in der Datenbank versiegelt (AES-256-GCM), mit einem eigenen Schlüssel je Kunde. Diese Schlüssel sind ihrerseits mit einem Hauptschlüssel in AWS KMS (EU) geschützt. Dateien liegen ebenso versiegelt im Dateispeicher. Sicherungen sind zusätzlich verschlüsselt (age).
• Mandantentrennung in der Datenbank technisch erzwungen (Row Level Security), mit automatischen Tests für jede Tabelle und jeden Endpunkt
• Rollen im Konto (Admin, Mitarbeiter). Passwörter als Argon2id-Hash, zweiter Faktor (TOTP) wählbar. Bremse gegen das Durchprobieren von Passwörtern. Abmeldung nach 12 Stunden ohne Nutzung.
• Zugang zu Servern und Schlüsselverwaltung nur für benannte Administratoren des Anbieters, mit persönlichem Schlüssel. Die Betreiberverwaltung ist nur über einen verschlüsselten Tunnel erreichbar, zeigt keine Inhalte von Anfragen und verlangt für Geldaktionen einen zweiten Faktor.
• Protokolle der Server enthalten keine Inhalte, E-Mail-Adressen, Tokens oder IP-Adressen, nur Kennungen.

Datenminimierung beim Sprachmodell

• Vor Entwürfen, Zusammenfassungen und Einstufungen schwärzt ein automatischer Filter E-Mail-Adressen, IBANs und Telefonnummern, soweit er sie erkennt. Namen und Anschriften bleiben, damit die Antwort passt. Fragen im Website-Chat und im Wissens-Chat gehen ungeschwärzt an das Modell.
• Bilder gehen nur an das Modell, wenn der Kunde das einschaltet.
• Keine Nutzung von Daten für das Training von Modellen. Für das AWS-Konto des Anbieters ist die Datenaufbewahrung bei Bedrock in allen Regionen, in denen verarbeitet wird, abgeschaltet (Modus „none“). Laut AWS werden Eingaben und Ausgaben dann nicht gespeichert und nicht an den Modellanbieter weitergegeben; ein Modell, das eine Aufbewahrung verlangt, steht dann nicht zur Verfügung. Ausgenommen ist laut AWS eine automatische Prüfung von Bildern auf Darstellungen von Kindesmissbrauch.
• Die KI sendet nie selbst. Ausnahme ist der Chat-Assistent, wenn der Kunde ihn einschaltet: Er antwortet nur aus freigegebenem Wissen und ist als KI gekennzeichnet.

Integrität und Verfügbarkeit

• Shops und Sendungsverfolgung nur lesend. Abrufe ins Internet können keine internen Netze erreichen.
• Tägliche verschlüsselte Sicherung auf demselben Server, 30 Tage aufbewahrt. Die Wiederherstellung wird mindestens einmal im Quartal geprobt.
• Überwachung von Fehlern und Last. Updates in geprüften Schritten mit automatischen Tests.

Löschung und Überprüfung

• Löschen eines Kontos entfernt auch dessen Schlüssel, damit sind auch Reste unlesbar. Eine wiederhergestellte Sicherung löscht gelöschte Konten erneut.
• Ein Sicherheitsregister mit Anforderungen und den Tests, die sie erzwingen. Jede neue Funktion wird vorher daran geprüft.

Anlage 3: Unterauftragsverarbeiter

Anlage 4: Standardvertragsklauseln

Für die Übermittlung nach § 6 gelten die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021), Modul 2, mit diesen Angaben:

• Klausel 7 (Kopplungsklausel): gilt.
• Klausel 9 Buchstabe a: Option 2, allgemeine schriftliche Genehmigung; Ankündigung mindestens 4 Wochen vorher (§ 5).
• Klausel 11 Buchstabe a: Die freiwillige Option einer unabhängigen Streitbeilegungsstelle gilt nicht.
• Klausel 13: Zuständig ist die Aufsichtsbehörde, die für den Kunden als Datenexporteur zuständig ist (Buchstabe a). Hat der Kunde keine Niederlassung in der EU, aber einen Vertreter nach Art. 27 DSGVO, ist es die Behörde am Sitz des Vertreters. Hat er auch keinen Vertreter, ist es die Behörde des Mitgliedstaats, in dem sich die Betroffenen befinden.
• Klausel 17: Es gilt das Recht der Bundesrepublik Deutschland.
• Klausel 18: Zuständig sind die Gerichte in Deutschland.
• Anhang I.A: Datenexporteur ist der Kunde mit den Angaben aus der Registrierung, Rolle Verantwortlicher. Datenimporteur ist der Anbieter mit den Angaben aus dem Impressum, Rolle Auftragsverarbeiter. Unterschrift: Annahme bei der Registrierung.
• Anhang I.B: siehe Anlage 1. Die Übermittlung erfolgt laufend, solange der Vertrag läuft.
• Anhang I.C: siehe Klausel 13.
• Anhang II: siehe Anlage 2. Anhang III: siehe Anlage 3.

Den Wortlaut der Klauseln veröffentlicht die EU-Kommission im Amtsblatt.