gemäß Art. 28 DSGVO — Version v2.2-2026-03-08
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) regelt die Rechte und Pflichten im Zusammenhang mit der Verarbeitung personenbezogener Daten zwischen:
Der AVV wird durch die Akzeptanz im BotCore-Admin-Dashboard oder im Rahmen der Registrierung elektronisch geschlossen.
Gegenstand der Auftragsverarbeitung ist der Betrieb des KI-Chatbot-Services „BotCore“ (botcore.app). Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrags. Nach Vertragsende werden alle personenbezogenen Daten gemäß den Regelungen in Abschnitt 9 gelöscht oder zurückgegeben.
Die Verarbeitung umfasst folgende Datenkategorien:
| Datenkategorie | Zweck | Speicherdauer |
|---|---|---|
| IP-Adressen (als SHA-256 Hash) | Session-Zuordnung, Missbrauchsschutz | Bis Session-Löschung (konfigurierbar) |
| Chat-Nachrichten | KI-gestützte Antwortgenerierung | Bis Session-Löschung (konfigurierbar, Default: 30 Tage) |
| Session-Tokens | Zuordnung von Gesprächen | Bis Session-Löschung |
| Lead-Daten (Name, E-Mail, optional Telefon/Firma) | Kontaktaufnahme durch den Verantwortlichen | Bis manuelle Löschung |
| Consent-Protokolle | Nachweis der Einwilligung | Bis Session-Löschung |
| AI Audit Log | EU AI Act Compliance, Nachvollziehbarkeit | 90 Tage (konfigurierbar) |
Betroffene Personen sind die Website-Besucher des Verantwortlichen, die mit dem Chatbot-Widget interagieren, sowie Personen, die über das Lead-Formular Kontaktdaten hinterlassen.
Der Auftragsverarbeiter verpflichtet sich:
Der Verantwortliche hat das Recht, die Einhaltung dieses AVV und der technisch-organisatorischen Maßnahmen zu überprüfen. Der Auftragsverarbeiter stellt hierfür alle erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen. Prüfungen sind mit angemessener Vorlaufzeit (mindestens 14 Werktage) anzukündigen. Der Auftragsverarbeiter kann alternativ aktuelle Zertifizierungen, Audit-Berichte oder Prüfberichte unabhängiger Stellen vorlegen.
Folgende Unterauftragnehmer werden eingesetzt:
| Dienstleister | Zweck | Standort | Transfer-Grundlage |
|---|---|---|---|
| Google LLC (AI Studio / Gemini API) | KI-Sprachmodell (LLM) für Antwortgenerierung | US | EU-US Data Privacy Framework (DPF) |
| Hetzner Online GmbH | Server-Hosting (Cloudron) | Deutschland | — |
| Supabase Inc. | PostgreSQL-Datenbank (pgvector) | EU (Frankfurt, eu-central-1) | — |
| Stripe Inc. | Zahlungsabwicklung | EU/US | DPF + SCCs |
| n8n (self-hosted) | E-Mail-Versand, Workflow-Automation | Deutschland (Hetzner) | — |
| Google LLC (Workspace/Gmail) | E-Mail-Transport via n8n | EU/US | DPF + Google DPA |
| OpenAI, Inc. | LLM-Antwortgenerierung (optional, vom Kunden konfigurierbar) | US | EU-US Data Privacy Framework (DPF) |
| Anthropic, PBC | LLM-Antwortgenerierung (optional, vom Kunden konfigurierbar) | US | EU-US Data Privacy Framework (DPF) |
| Vapi, Inc. | Voice-Orchestrierung (optional, nur bei aktiviertem Voice-Channel) | US | DPF + SCCs |
| Meta Platforms Ireland Ltd. | WhatsApp Business API (optional, nur bei aktiviertem WhatsApp-Channel) | Irland/US | DPF + SCCs |
| Deepgram, Inc. | Speech-to-Text via Vapi (optional, nur bei aktiviertem Voice-Channel) | US | EU-US Data Privacy Framework (DPF) |
| Microsoft Azure (Microsoft Corp.) | Voice-Synthese via Vapi (optional, nur bei aktiviertem Voice-Channel) | Global | DPF + SCCs |
Drittlandtransfer: Soweit Daten an Unterauftragnehmer in Drittländern (insb. USA) übermittelt werden, erfolgt dies auf Grundlage des EU-US Data Privacy Framework (DPF) gem. Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 und/oder auf Basis von Standardvertragsklauseln (SCCs) gem. Art. 46 Abs. 2 lit. c DSGVO. Die Google Gemini API verarbeitet Daten in den USA; Google LLC ist unter dem DPF zertifiziert.
Änderungen an der Liste der Unterauftragnehmer werden dem Verantwortlichen vorab mitgeteilt. Der Verantwortliche kann gegen neue Unterauftragnehmer Widerspruch einlegen.
Nach Vertragsende: