Anhang zur Auftragsverarbeitung

Wenn Ihr Betrieb Arvisflows nutzt, betreut der Agent Ihre Kunden und verarbeitet deren Daten. Diese Daten gehören Ihnen, nicht uns. Dieser Anhang ist der nach Artikel 28 der Datenschutz-Grundverordnung erforderliche Auftragsverarbeitungsvertrag und regelt, was wir mit ihnen tun dürfen und was nicht.

1. Parteien und ihre Rolle

Arvisflows bestimmt weder die Zwecke noch die wesentlichen Mittel der Verarbeitung dieser Daten und verwendet sie nicht für eigene Zwecke.

2. Gegenstand, Dauer und Zweck

Gegenstand. Die Verarbeitung der personenbezogenen Daten der Endkunden des Betriebs, soweit sie erforderlich ist, damit der KI-Agent sie betreuen kann.

Art und Zweck. Erhebung, Erfassung, Speicherung, Abfrage, Verwendung und Löschung dieser Daten, um Unterhaltungen zu führen, Anrufe entgegenzunehmen, Verfügbarkeiten abzufragen, Termine, Reservierungen, Bestellungen, Lieferungen und Transportfahrten zu verwalten und die vom Betrieb eingerichteten Benachrichtigungen zu versenden; und, wenn der Betrieb Zahlungen aktiviert, die Zahlung des Vorgangs im Stripe-Konto des Betriebs vorzubereiten und ihr Ergebnis zu erfassen.

Dauer. Für die Laufzeit des Dienstleistungsvertrags zuzüglich der in Klausel 11 vorgesehenen Frist für Rückgabe oder Löschung. Der Inhalt der mit dem Assistenten geführten Unterhaltungen (WhatsApp, Telefon und Website-Chat) wird sechs Monate ab jeder Nachricht gespeichert und danach automatisch gelöscht, unabhängig davon, ob der Vertrag noch läuft. Die Daten von Terminen, Reservierungen, Kostenvoranschlägen, Bestellungen, Lieferungen und Transportfahrten sind von dieser Frist nicht betroffen und werden gemäß Klausel 11 aufbewahrt.

3. Welche Daten und von wem

4. Pflichten von Arvisflows

Arvisflows verpflichtet sich:

• Die Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten. Als dokumentierte Weisungen gelten diese Bedingungen, dieser Anhang und die Einstellungen, die der Kunde im Manager-Bereich vornimmt.
• Die Daten nicht für eigene Zwecke zu verwenden, sie nicht weiterzugeben und sie nicht zum Training eigener oder fremder KI-Modelle zu nutzen.
• Sicherzustellen, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben, und zwar unbefristet, auch nach Ende ihres Verhältnisses zu Arvisflows.
• Die Sicherheitsmaßnahmen aus Klausel 8 anzuwenden und aufrechtzuerhalten.
• Den Kunden nach Möglichkeit dabei zu unterstützen, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte zu beantworten.
• Den Kunden unter Berücksichtigung der ihr vorliegenden Informationen bei der Erfüllung seiner Pflichten zu Sicherheit, Meldung von Verletzungen und Datenschutz-Folgenabschätzung zu unterstützen.
• Den Kunden unverzüglich zu informieren, wenn sie der Auffassung ist, dass eine erhaltene Weisung gegen Datenschutzvorschriften verstößt.
• Dem Kunden die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung dieser Pflichten erforderlich sind.

5. Pflichten des Kunden

Der Kunde verpflichtet sich als Verantwortlicher:

• Über eine gültige Rechtsgrundlage für die Verarbeitung der Daten seiner Endkunden und für deren Übermittlung an Arvisflows zu verfügen.
• Seine Endkunden darüber zu informieren, dass die Betreuung durch ein automatisiertes System erfolgen kann, wer der Verantwortliche ist und wie sie ihre Rechte ausüben können. Arvisflows empfiehlt, dies in die erste Nachricht des Agenten und in die Datenschutzerklärung des Betriebs aufzunehmen.
• Agent und Manager-Bereich rechtskonform einzurichten und dort keine Daten einzugeben, die er für seinen Dienst nicht benötigt.
• Anträge auf Wahrnehmung der Rechte, die er von seinen Endkunden erhält, mit Unterstützung von Arvisflows zu bearbeiten.
• Die Liste der Personen seiner Organisation mit Zugang zum Manager-Bereich aktuell zu halten und den Zugang derjenigen zu widerrufen, die ihn nicht mehr benötigen.

6. Genehmigte Unterauftragsverarbeiter

Der Kunde erteilt Arvisflows die allgemeine Genehmigung, die folgenden für die Erbringung des Dienstes erforderlichen Unterauftragsverarbeiter einzusetzen:

Wenn der Kunde die Zahlung von Reservierungen aktiviert, erbringt Stripe den Zahlungsdienst auf Grundlage des Vertrags, den der Kunde direkt mit Stripe schließt, und nicht als Unterauftragsverarbeiter von Arvisflows. Im Auftrag des Kunden übermittelt Arvisflows Stripe nur Betrag, Währung, Namen der Leistung und eine interne Kennung der Reservierung. Der Kunde ist dafür verantwortlich, seine Endkunden über diese Verarbeitung durch Stripe zu informieren.

Arvisflows verpflichtet jeden Unterauftragsverarbeiter zu Pflichten, die denen dieses Anhangs entsprechen, und haftet gegenüber dem Kunden für dessen Handeln.

Bevor Arvisflows einen Unterauftragsverarbeiter hinzuzieht oder ersetzt, teilt sie dies dem Kunden mindestens 30 Kalendertage im Voraus mit. Widerspricht der Kunde aus vernünftigen und begründeten Datenschutzgründen, kann er den Vertrag vor Inkrafttreten der Änderung ohne Vertragsstrafe kündigen.

Letzte Änderung dieser Liste: Am 6. September 2026 wurde Anthropic als Unterauftragsverarbeiter aufgenommen, und die Funktion von OpenAI wird seitdem mit ihm geteilt. Beide verarbeiten dieselbe Datenkategorie, im selben Land und mit denselben im folgenden Abschnitt beschriebenen Garantien, und keiner von beiden verwendet den Inhalt der Unterhaltungen zum Training seiner Modelle. Diese Änderung wurde allen Kunden am 6. September 2026 per E-Mail mitgeteilt.

Änderung vom 30. Oktober 2026: OpenAI wurde zum Hauptanbieter und Anthropic zum Ersatzanbieter. Beide verarbeiten dieselbe Datenkategorie, im selben Land und mit denselben im folgenden Abschnitt beschriebenen Garantien.

7. Internationale Übermittlungen

Die Daten liegen in der Europäischen Union. Arvisflows ist jedoch eine US-amerikanische Gesellschaft, und ein Teil der oben genannten Unterauftragsverarbeiter verarbeitet Daten in den Vereinigten Staaten, sodass internationale Übermittlungen stattfinden.

Diese Übermittlungen stützen sich auf von der Europäischen Kommission genehmigte Standardvertragsklauseln, ergänzt um die erforderlichen zusätzlichen Maßnahmen, oder auf den Angemessenheitsbeschluss zum Datenschutzrahmen EU-USA, wenn der Unterauftragsverarbeiter danach zertifiziert ist. Arvisflows stellt dem Kunden auf Anfrage eine Kopie der geltenden Garantien zur Verfügung.

8. Sicherheitsmaßnahmen

Unter Berücksichtigung des Stands der Technik und des Risikos der Verarbeitung wendet Arvisflows mindestens folgende Maßnahmen an:

• Verschlüsselung bei der Übertragung. Die gesamte Kommunikation zwischen Browser, Anwendung und Anbietern wird mit TLS verschlüsselt.
• Zugangsdaten. Die Passwörter für den Manager-Bereich werden mit einer gesalzenen Ableitungsfunktion gespeichert, nie im Klartext, und sind selbst für das Personal von Arvisflows nicht wiederherstellbar.
• Zugangskontrolle. Der Zugang zum Manager-Bereich erfordert eine Authentifizierung und wird über zeitlich begrenzte Sitzungstoken verwaltet, die beim Schließen des Browsers ablaufen.
• Trennung. Die Daten jedes Betriebs sind logisch getrennt, und jede Abfrage ist auf den authentifizierten Betrieb beschränkt.
• Minimale Rechte. Der administrative Zugang zu den Systemen ist auf die Personen beschränkt, die ihn für den Betrieb des Dienstes benötigen.
• Regelmäßige Sicherungen der Datenbank mit Wiederherstellungsmöglichkeit.
• Protokollierung der Ausführungen und Systemfehler, um Vorfälle erkennen und analysieren zu können.
• Überprüfung. Diese Maßnahmen werden regelmäßig überprüft und aktualisiert, wenn sich das Risiko ändert.

9. Verletzungen der Sicherheit

Erlangt Arvisflows Kenntnis von einer Verletzung der Sicherheit, die im Auftrag des Kunden verarbeitete Daten betrifft, meldet sie diese unverzüglich und spätestens innerhalb von 48 Stunden nach Kenntniserlangung.

Die Meldung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Über die Meldung an die Aufsichtsbehörde und an die betroffenen Personen entscheidet der Kunde als Verantwortlicher.

10. Rechte der betroffenen Personen

Wendet sich ein Endkunde direkt an Arvisflows, um seine Rechte auszuüben, beantwortet Arvisflows den Antrag nicht inhaltlich, sondern leitet ihn unverzüglich an den betreffenden Betrieb weiter und teilt dem Antragsteller mit, dass dieser Betrieb der Verantwortliche ist.

Arvisflows stellt dem Kunden die nötigen Werkzeuge zur Verfügung, um solche Anträge selbst im Manager-Bereich zu bearbeiten, und unterstützt ihn zusätzlich, wenn Auskunft oder Löschung nicht über den Bereich möglich sind.

Der Kunde kann im Manager-Bereich selbst die vollständige Unterhaltung einer bestimmten Person löschen, einschließlich des Verlaufs, den der Assistent nutzt, um sich an frühere Unterhaltungen zu erinnern. Die Löschung erfolgt sofort und kann nicht rückgängig gemacht werden.

11. Rückgabe und Löschung bei Vertragsende

Nach Beendigung der Leistungserbringung gibt Arvisflows die Daten nach Wahl des Kunden in einem strukturierten, gängigen Format zurück oder löscht sie einschließlich vorhandener Kopien.

Der Kunde hat ab der Kündigung 30 Kalendertage Zeit, die Rückgabe zu verlangen. Geht innerhalb dieser Frist kein Antrag ein, löscht Arvisflows die Daten. Ausgenommen sind Daten, die aufgrund gesetzlicher Pflichten aufbewahrt werden müssen; sie bleiben bis zum Ablauf der jeweiligen Frist gesperrt und ungenutzt.

12. Prüfung

Arvisflows stellt dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses Anhangs nachzuweisen, und wirkt bei Prüfungen oder Inspektionen mit, die der Kunde oder ein von ihm beauftragter Prüfer durchführt.

Prüfungen sind mindestens dreißig Tage im Voraus zu beantragen, auf eine pro Jahr beschränkt, sofern nicht ein Vorfall eine weitere rechtfertigt, finden während der Geschäftszeiten ohne Beeinträchtigung des Betriebs statt und unterliegen der Vertraulichkeit. Die Kosten trägt der Kunde, es sei denn, die Prüfung deckt einen wesentlichen, Arvisflows zuzurechnenden Verstoß auf.

13. Änderungen dieses Anhangs

Arvisflows kann diesen Anhang aktualisieren, um ihn an Rechtsänderungen, neue Entscheidungen der Aufsichtsbehörden oder Änderungen des Dienstes anzupassen. Wesentliche Änderungen werden mindestens 30 Kalendertage im Voraus mitgeteilt. Bei Widersprüchen zwischen diesem Anhang und den Nutzungsbedingungen hat dieser Anhang in allen Fragen des Datenschutzes Vorrang.