Dieser Auftragsverarbeitungsvertrag (nachfolgend "AVV") wird zwischen dem Kunden, der die Dienste von Sens-AI nutzt und als Verantwortlicher handelt, und Sens-AI, das als Auftragsverarbeiter handelt, gemaess Artikel 28 der Verordnung (EU) 2016/679 (DSGVO) geschlossen.
Im Falle eines Widerspruchs zwischen diesem AVV und anderen Bestimmungen der Nutzungsbedingungen bezueglich der Verarbeitung personenbezogener Daten hat dieser AVV im Umfang des Widerspruchs Vorrang.
1. Gegenstand und Dauer der Verarbeitung
Dieser AVV definiert die Bedingungen, unter denen Sens-AI personenbezogene Daten im Auftrag des Kunden verarbeitet, im Rahmen der Bereitstellung des SaaS-KI-Chatbot-Dienstes.
Der AVV tritt mit dem Datum der Dienstanmeldung in Kraft und gilt waehrend der gesamten Vertragsdauer sowie waehrend des Zeitraums, in dem Sens-AI personenbezogene Daten im Auftrag des Kunden aufbewahrt.
2. Art und Zweck der Verarbeitung
Sens-AI bietet einen SaaS-KI-Chatbot-Dienst an, der unter anderem Folgendes ermoeglicht:
- Verwaltung von Konversationen zwischen Endnutzern und dem Chatbot
- Hosting, Speicherung, Suche und Analyse von Konversationsinhalten
- Indexierung und semantische Suche in der Wissensdatenbank des Kunden
- Verwaltung von Benutzerkonten und Zugriffsrechten
- Support-, Verbesserungs- und Ueberwachungsfunktionen
3. Arten verarbeiteter personenbezogener Daten
Abhaengig von der Konfiguration des Kunden koennen die verarbeiteten Daten umfassen:
- Identifikationsdaten: Name, berufliche E-Mail-Adresse, Benutzer-ID
- Verbindungsdaten: Protokolle, IP-Adresse, Sitzungskennungen, Zeitstempel
- Konversationsinhalte: im Chatbot eingegebene Textnachrichten
- Telefonnummer: Rufnummer des Anrufers im Telefonkanal oder eine waehrend eines Gespraechs mitgeteilte Nummer, verarbeitet zur Identifikation der Person und fuer den Rueckruf durch einen Mitarbeiter; 90 Tage gespeichert, wie das zugehoerige Gespraech
- Wissensdatenbankdaten: Inhalte hochgeladener Dateien (PDF, DOCX, CSV) und gecrawlter Webseiten
- Nutzungsdaten: Nutzungsstatistiken, Konfigurationen, Einstellungen
- Abrechnungsdaten: Kunden-ID, Abonnementplan, Zahlungsverlauf
Speicherfristen:
| Datenart | Speicherfrist |
|---|---|
| Gespraeche und Nachrichten | 90 Tage ab dem letzten Austausch; spaetestens 30 Tage nach Vertragsende |
| Technische Cache-Daten | Maximale TTL von 24 Stunden |
| Vektor-Embeddings | Werden mit der Quelle geloescht |
| Hochgeladene Dateien | Werden mit der Quelle geloescht |
| Technische Protokolle | 30 bis 90 Tage |
| Abrechnungsdaten | Gemaess den gesetzlichen Vorgaben |
Automatische Loeschung nach 90 Tagen:
Gespraeche und die darin enthaltenen Nachrichten werden 90 Tage nach dem letzten Austausch endgueltig geloescht, ohne das Vertragsende abzuwarten. Die Loeschung ist unwiderruflich und umfasst auch Anhaenge, Kontaktverknuepfungen und Analyseeintraege, die diesen Gespraechen zugeordnet sind.
Zwei Ausnahmen:
- ein Gespraech, das noch von einem Mitarbeiter bearbeitet wird (eskaliert, uebergeben oder einem Teammitglied zugewiesen), wird bis zu seinem Abschluss aufbewahrt; danach gilt die Frist von 90 Tagen;
- Daten, die Sens-AI aufgrund einer gesetzlichen Verpflichtung aufbewahren muss, insbesondere Abrechnungsdaten.
Der Kunde kann seine Gespraeche jederzeit vor diesem Zeitpunkt ueber das Dashboard oder die API exportieren. Sens-AI fuehrt ein Verzeichnis der Loeschvorgaenge (Datum, Umfang) gemaess Artikel 5 Abs. 2 DSGVO, ohne die geloeschten Inhalte aufzubewahren.
4. Kategorien betroffener Personen
Personen, deren Daten verarbeitet werden, koennen umfassen:
- Endnutzer des Chatbots: Kunden, Interessenten und interne Nutzer des Verantwortlichen
- Teammitglieder des Kunden: Administratoren und Operatoren, die das Dashboard nutzen
- Rechnungskontakte: Personen, die fuer die Zahlung und Verwaltung von Abonnements verantwortlich sind
5. Pflichten des Auftragsverarbeiters (Sens-AI)
Sens-AI verpflichtet sich zu:
- Dokumentierte Weisungen: personenbezogene Daten nur gemaess den dokumentierten Weisungen des Kunden zu verarbeiten
- Vertraulichkeit: sicherzustellen, dass autorisierte Personen einer Vertraulichkeitspflicht unterliegen
- Sicherheit: geeignete technische und organisatorische Massnahmen umzusetzen (Artikel 32 DSGVO)
- Meldung von Verletzungen: den Kunden unverzueglich ueber jede Verletzung personenbezogener Daten zu informieren
- Unterstuetzung bei Rechten: den Kunden bei der Ausuebung der Rechte betroffener Personen zu unterstuetzen
6. Pflichten des Verantwortlichen (Kunde)
Der Kunde verpflichtet sich:
- Sicherzustellen, dass die Sens-AI anvertraute Verarbeitung den geltenden Datenschutzgesetzen entspricht
- Sens-AI dokumentierte, rechtmaessige und verhaeltnismaessige Weisungen zu erteilen
- Sens-AI ueber alle Aenderungen zu informieren, die diese Weisungen betreffen
7. Unterauftragsverarbeiter
Der Kunde genehmigt Sens-AI, die folgenden Unterauftragsverarbeiter zur Erbringung des Dienstes einzusetzen.
| Unterauftragsverarbeiter | Dienst | Verarbeitete Daten | Standort |
|---|---|---|---|
| Turso | Relationale Datenbank | Konten, Konversationen, Nachrichten, FAQ, Abrechnung | EU (Irland) |
| Upstash | Cache, Sitzungen, Ratenbegrenzung, asynchrone Warteschlange, semantische Suche | Zwischengespeicherte Antworten, IP-Zaehler, Sitzungen, Wissensdatenbank-Embeddings, Inhalte im Transit | EU (Frankfurt) |
| Mistral AI | KI-Sprachmodell (LLM) | Prompts, Konversationskontexte | EU (Frankreich) |
| Cloudflare | Objektspeicher | Vom Kunden hochgeladene PDF, DOCX, CSV | EU |
| Creem | Zahlungsplattform | Zahlungsdaten, Abrechnung, Abonnements | EU (PCI-DSS) |
| Loops.so | Transaktions- und Marketing-E-Mails | E-Mails, Namen, Kommunikationseinstellungen | USA (SCCs) |
8. Sicherheitsmassnahmen
Gemaess Artikel 32 der DSGVO setzt Sens-AI folgende Massnahmen um:
- Verschluesselung bei der Uebertragung: alle Kommunikationen werden via TLS/HTTPS verschluesselt
- Verschluesselung im Ruhezustand: gespeicherte Daten werden im Ruhezustand verschluesselt
- Zugriffskontrolle: Authentifizierung mit gehashten Passwoertern (bcrypt), mandantenbasierte Zugriffsverwaltung
- Datenisolierung: logische Trennung pro Mandant
- Ratenbegrenzung: Schutz vor Missbrauch und Denial-of-Service-Angriffen
- Protokollierung: Zugriffs- und Betriebsprotokolle fuer Rueckverfolgbarkeit
9. Uebermittlungen ausserhalb des EWR
Die Hauptinfrastruktur von Sens-AI wird in der Europaeischen Union gehostet. Wenn Uebermittlungen ausserhalb des EWR erforderlich sind, unterliegen sie den von der Europaeischen Kommission verabschiedeten Standardvertragsklauseln (SCCs).
10. Meldung von Datenschutzverletzungen
Im Falle einer Verletzung personenbezogener Daten verpflichtet sich Sens-AI:
- Den Kunden unverzueglich nach Kenntnis der Verletzung zu benachrichtigen
- Verfuegbare Informationen zur Bewertung der Verletzung bereitzustellen
- Den Kunden bei der Meldung an die Aufsichtsbehoerde (CNIL) und gegebenenfalls an die betroffenen Personen zu unterstuetzen
11. Audit und Ueberpruefung
Der Kunde hat das Recht, die Einhaltung dieses AVV und der DSGVO durch Sens-AI zu ueberpruefen:
- Durch Informationsanfragen und Sicherheitsdokumentation
- Durch Audits vor Ort oder aus der Ferne nach angemessener Vorankuendigung
- Durch einen vom Kunden beauftragten unabhaengigen Pruefer
12. Datenverarbeitung nach Vertragsende
Nach Vertragsende waehlt der Kunde zwischen:
- Rueckgabe: Export personenbezogener Daten mit anschliessender Loeschung durch Sens-AI
- Loeschung: dauerhafte Loeschung personenbezogener Daten
Der Kunde hat 30 Tage nach Vertragsende Zeit, den Datenexport zu beantragen.
13. Kontakt DSB
Bei Fragen zu diesem AVV oder zur Verarbeitung Ihrer personenbezogenen Daten koennen Sie unseren Datenschutzbeauftragten kontaktieren:
Dieser AVV unterliegt dem franzoesischen Recht. Jeder Streit bezueglich seiner Auslegung oder Ausfuehrung unterliegt der ausschliesslichen Zustaendigkeit der Gerichte in Paris.