Auftragsverarbeitungsvertrag
Nutzen Sie unseren KI-Chat, die Nachverfolgung oder das CRM, verarbeiten wir Daten Ihrer Kunden in Ihrem Auftrag. Dieser Vertrag regelt, wie wir das tun.
Parteien und Ausgangspunkt
Dieser Auftragsverarbeitungsvertrag gehört zum Vertrag zwischen dem Kunden und Mova XL, handelnd unter dem Namen Viva67, Stadhouderslaan 12D, 6171 KL Stein, Niederlande (KvK 42106567), sowie zu unseren Allgemeinen Geschäftsbedingungen.
Der Kunde ist der Verantwortliche. Viva67 ist Auftragsverarbeiter im Sinne von Artikel 28 der Datenschutz-Grundverordnung (DSGVO). Das bedeutet: Der Kunde bestimmt, warum und wofür die Daten seiner Kunden verarbeitet werden, und Viva67 verarbeitet sie im Auftrag des Kunden.
Begriffe in diesem Vertrag, wie personenbezogene Daten, Verarbeitung, betroffene Person und Verletzung des Schutzes personenbezogener Daten, haben die Bedeutung, die ihnen die DSGVO gibt. Die Begriffe Dienst und Endnutzer haben die Bedeutung aus den Allgemeinen Geschäftsbedingungen.
1. Gegenstand und Dauer
Viva67 verarbeitet personenbezogene Daten für den Kunden, um den Dienst zu erbringen. Dieser Vertrag gilt, solange Viva67 personenbezogene Daten für den Kunden verarbeitet, auch wenn der Hauptvertrag bereits beendet ist und die Daten noch nicht gelöscht sind.
2. Art und Zweck der Verarbeitung
Viva67 verarbeitet die Daten, um:
- Fragen von Endnutzern über den KI-Chat zu beantworten;
- Anfragen und Gespräche im CRM festzuhalten;
- Termine zu planen;
- automatische Nachfassnachrichten per E-Mail zu senden.
Viva67 nutzt die Daten nicht für eigene Zwecke. Viva67 verkauft die Daten nicht, teilt sie nicht mit Werbetreibenden und nutzt sie nicht zum Training von KI-Modellen.
3. Arten von Daten und betroffene Personen
Daten
Name, Kontaktdaten (E-Mail-Adresse, Telefonnummer), Nachrichten und Chatgespräche, Termindaten, Notizen im CRM, ein ungefährer Standort (Ort und Land auf Basis der IP-Adresse) sowie technische Daten, die für den Betrieb des Dienstes nötig sind.
Betroffene Personen
Besucher der Website des Kunden, (potenzielle) Kunden des Kunden und Mitarbeiter des Kunden, die das CRM nutzen.
Keine besonderen Kategorien von Daten
Der Kunde stellt sicher, dass über den Dienst keine besonderen Kategorien personenbezogener Daten abgefragt werden, wie Gesundheitsdaten oder Daten über Religion, Herkunft oder strafrechtliche Angelegenheiten. Das ist nur möglich, wenn es vorher schriftlich vereinbart wurde und zusätzliche Maßnahmen getroffen wurden.
4. Verantwortung des Kunden
Der Kunde gewährleistet, dass er eine gültige Rechtsgrundlage für die Verarbeitung der Daten hat und seine Endnutzer ordnungsgemäß informiert, zum Beispiel in seiner eigenen Datenschutzerklärung. Der Kunde erwähnt dort, dass er Viva67 als Auftragsverarbeiter für den Chat, das CRM und die Nachverfolgung einsetzt. Der Kunde ist verantwortlich für die Inhalte, die er liefert, und für die Nachrichten, die er über den Dienst versenden lässt.
5. Weisungen des Kunden
Viva67 verarbeitet die Daten nur auf Grundlage des Vertrags und der schriftlichen Weisungen des Kunden, es sei denn, das Gesetz verpflichtet Viva67 zur Verarbeitung. In diesem Fall informiert Viva67 den Kunden vorab, sofern das Gesetz dies nicht verbietet. Ist Viva67 der Ansicht, dass eine Weisung gegen die DSGVO verstößt, teilt sie dies dem Kunden unverzüglich mit.
6. Vertraulichkeit
Alle, die im Auftrag von Viva67 Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Dieser Zugang ist auf die Personen beschränkt, die die Daten für ihre Arbeit am Dienst benötigen.
7. Sicherheit
Viva67 trifft geeignete technische und organisatorische Maßnahmen, um die Daten vor Verlust und unrechtmäßiger Verarbeitung zu schützen, wie in Artikel 32 DSGVO vorgesehen. Dabei berücksichtigt Viva67 den Stand der Technik, die Kosten und die Risiken für die betroffenen Personen. Die wichtigsten Maßnahmen sind:
- verschlüsselte Verbindungen (HTTPS) für die Website, den Chat und das CRM;
- verschlüsselte Speicherung der Datenbank;
- Zugang zum CRM nur mit einem persönlichen Konto;
- so wenige Daten wie möglich erheben und nicht länger als nötig speichern;
- sorgfältig ausgewählte Lieferanten mit schriftlichen Vereinbarungen.
Eine ausführlichere Erklärung finden Sie auf der Seite Sicherheit und KI.
8. Unterauftragsverarbeiter
Der Kunde erteilt Viva67 die Genehmigung, folgende Unterauftragsverarbeiter einzusetzen:
- Vercel Inc. (Vereinigte Staaten): Hosting des CRM, des Chats und der Formularverarbeitung.
- Google (Firebase und Cloud Firestore): Datenbank und Anmeldung, mit Speicherung in den Niederlanden (europe-west4).
- OpenRouter Inc. (Vereinigte Staaten), mit dem KI-Modell Claude von Anthropic (Vereinigte Staaten): Erstellung von Antworten und Nachrichten.
- Resend: Versand von E-Mails über die EU-Region (Irland).
- Upstash (QStash): Planung von Nachfassnachrichten in der EU-Region (Frankfurt).
- Hostinger: das E-Mail-Postfach von Viva67, für den Kontakt mit dem Kunden und seinen Endnutzern.
- ipapi.co: Umwandlung einer IP-Adresse in Ort und Land.
Viva67 erlegt Unterauftragsverarbeitern vergleichbare Pflichten auf wie in diesem Vertrag. Möchte Viva67 einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt sie dies mindestens 30 Tage vorher per E-Mail mit. Der Kunde kann dagegen begründet Einspruch erheben. Finden wir gemeinsam keine Lösung, darf der Kunde den Vertrag zum Datum der Änderung kündigen.
9. Übermittlung außerhalb des EWR
Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, geschieht dies nur auf Grundlage des EU-US Data Privacy Framework (wenn der Unterauftragsverarbeiter danach zertifiziert ist) oder auf Grundlage der Standardvertragsklauseln der Europäischen Kommission. Wo möglich, wählt Viva67 eine europäische Region.
10. Rechte der betroffenen Personen
Endnutzer haben nach der DSGVO unter anderem das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit. Der Kunde bearbeitet diese Anfragen. Viva67 unterstützt dabei, soweit zumutbar, etwa indem sie Daten im CRM sucht, exportiert oder löscht.
Erhält Viva67 selbst eine Anfrage einer betroffenen Person, leitet sie diese innerhalb von fünf Werktagen an den Kunden weiter und beantwortet die Anfrage nicht selbst, es sei denn, der Kunde bittet darum.
11. Weitere Unterstützung des Kunden
Viva67 unterstützt den Kunden, soweit zumutbar, bei einer Datenschutz-Folgenabschätzung (DSFA) und bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde. Erfordert diese Unterstützung mehr als einige Stunden Arbeit, vereinbaren wir die Kosten vorab.
12. Datenschutzverletzungen
Entdeckt Viva67 eine Verletzung des Schutzes personenbezogener Daten, meldet sie dies dem Kunden ohne unangemessene Verzögerung und spätestens 48 Stunden nach der Entdeckung. Viva67 liefert dabei alle Informationen, die der Kunde braucht, um die Verletzung gegebenenfalls innerhalb von 72 Stunden der niederländischen Datenschutzbehörde zu melden und betroffene Personen zu informieren, etwa:
- was passiert ist und wann;
- welche Daten und wie viele betroffene Personen ungefähr betroffen sind;
- welche Folgen möglich sind;
- welche Maßnahmen Viva67 getroffen hat oder vorschlägt.
Viva67 ergreift sofort Maßnahmen, um die Folgen zu begrenzen, und hält den Kunden auf dem Laufenden. Der Kunde entscheidet, ob die Verletzung der Aufsichtsbehörde und den betroffenen Personen gemeldet wird.
13. Kontrolle
Viva67 stellt dem Kunden alle Informationen zur Verfügung, die nötig sind, um nachzuweisen, dass sie diesen Vertrag einhält. Der Kunde darf höchstens einmal im Jahr, nach einer Ankündigung von 30 Tagen, eine Prüfung durch einen unabhängigen, zur Vertraulichkeit verpflichteten Sachverständigen durchführen lassen. Die Kosten trägt der Kunde, es sei denn, die Prüfung zeigt, dass Viva67 diesen Vertrag in wesentlichen Punkten nicht einhält.
14. Ende und Rückgabe der Daten
Nach Ende des Vertrags gibt Viva67 die Daten an den Kunden frei, sobald alle offenen Beträge aus dem Hauptvertrag bezahlt sind, wie in Artikel 16 der Allgemeinen Geschäftsbedingungen beschrieben. Nach der Freigabe kann der Kunde seine Daten innerhalb von 30 Tagen exportieren.
Danach, und in jedem Fall spätestens 90 Tage nach Ende des Vertrags, löscht Viva67 die Daten, auch bei Unterauftragsverarbeitern, sofern das Gesetz keine Aufbewahrung vorschreibt. Bis dahin bleiben die Daten gesichert, und Viva67 nutzt sie für nichts. Auf Anfrage bestätigt Viva67 schriftlich, dass die Daten gelöscht wurden.
15. Haftung und sonstige Bestimmungen
Für die Haftung gilt, was in den Allgemeinen Geschäftsbedingungen steht. Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den Allgemeinen Geschäftsbedingungen hat dieser Auftragsverarbeitungsvertrag Vorrang, soweit es um die Verarbeitung personenbezogener Daten geht.
Änderungen dieses Vertrags kündigt Viva67 mindestens 30 Tage vorher an. Auf diesen Vertrag ist niederländisches Recht anwendbar. Bei Abweichungen zwischen Übersetzungen gilt der niederländische Text.
Version 1.1, 13. Oktober 2026.