Vertrag über die Auftragsverarbeitung (AVV)

§ 1 Parteien und Geltung

(1) Auftragsverarbeiter ist Steven Stief Digital Consulting, Inhaber Steven Stief, Brunner Hauptstraße 13, 90475 Nürnberg, E-Mail: info@stiefcon.de (im Folgenden: Auftragsverarbeiter). Verantwortlicher ist das Unternehmen, das die Software Mitario auf Grundlage der Nutzungsbedingungen nutzt (im Folgenden: Verantwortlicher).

(2) Dieser Vertrag ist Bestandteil der Nutzungsbedingungen von Mitario und kommt mit deren Annahme zustande. Er gilt für jede Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen von Mitario im Auftrag des Verantwortlichen durchführt.

(3) Der Vertrag wird in einem elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO); einer Unterschrift bedarf es nicht. Maßgeblich ist die Fassung, der der Verantwortliche zugestimmt hat, einschließlich späterer nach § 15 Abs. 2 wirksam gewordener Änderungen; jede Fassung ist durch ihr Standdatum bestimmt. Die zugestimmte Fassung und frühere Fassungen stellt der Auftragsverarbeiter auf Anfrage jederzeit in Textform zur Verfügung.

(4) Haben die Parteien im Einzelfall einen gesonderten Auftragsverarbeitungsvertrag in Schrift- oder Textform geschlossen, geht dieser vor.

§ 2 Gegenstand und Dauer

(1) Gegenstand ist der Betrieb der Software Mitario für den Verantwortlichen. Mitario nimmt eingehende Kundenkommunikation entgegen (E-Mail; bei gebuchtem Modul WhatsApp und Telefon; Anfragen über Landingpages), ordnet sie Vorgängen zu, ordnet sie KI-gestützt ein und bereitet Antwort-Entwürfe auf Grundlage des Fachwissens vor, das der Verantwortliche hinterlegt.

(2) Nachrichten an Kunden versendet Mitario nie automatisch. Jede Antwort geht erst nach ausdrücklicher Freigabe durch eine Person des Verantwortlichen hinaus; jede Freigabe wird mit Person und Zeitpunkt protokolliert. Automatisch versendet Mitario nur interne Hinweise an das Büro, etwa auf einen neuen Anruf, sowie Daten an Schnittstellen, die der Verantwortliche selbst eingerichtet hat. Mitario trifft keine Risikobewertung, keine Tarifierung und keine Deckungs- oder Annahmeentscheidung.

(3) Die Verarbeitung dauert so lange wie das Nutzungsverhältnis und darüber hinaus bis zur Löschung oder Rückgabe der Daten nach § 11.

§ 3 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Auslesen, Abfragen, Verwenden (einschließlich KI-gestützter Einordnung und Erstellung von Textentwürfen), Übermitteln an die Unterauftragsverarbeiter nach Anlage 2, Einschränken und Löschen.

(2) Zweck der Verarbeitung:

• Entgegennahme und Zuordnung der Kundenkommunikation des Verantwortlichen;
• KI-gestützte Einordnung eingehender Nachrichten (zum Beispiel Kundenanfrage, Werbung, Spam);
• Vorbereitung von Antwort-Entwürfen aus dem hinterlegten Fachwissen und deren Versand nach menschlicher Freigabe über das Postfach oder den gebuchten Kanal des Verantwortlichen;
• Verwaltung von Wissensdokumenten und vorgangsbezogenen Unterlagen des Verantwortlichen;
• Protokollierung der Freigaben zu Nachweiszwecken;
• Ermittlung von Nutzungsmengen (Anzahl der Vorgänge) für Kontingente und Abrechnung.

(3) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich für den Verantwortlichen und nutzt sie nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen.

§ 4 Kategorien betroffener Personen und Datenarten

(1) Kategorien betroffener Personen:

• Kunden sowie Interessenten des Verantwortlichen und in der Kommunikation genannte Dritte (zum Beispiel mitversicherte Personen und Angehörige);
• Beschäftigte und sonstige Nutzer des Verantwortlichen;
• sonstige Absender, deren Nachrichten in den angebundenen Kanälen eingehen;
• Besucher der Landingpages, die der Verantwortliche über Mitario veröffentlicht.

(2) Datenarten:

• Kontaktdaten (Name, Anschrift, E-Mail-Adresse, Telefon- und WhatsApp-Nummer);
• Kommunikationsinhalte und -metadaten: E-Mails und Nachrichten einschließlich Anhängen oder des daraus gewonnenen Texts, bei gebuchtem Telefon-Modul Rufnummer, Verschriftlichung und Dauer der Gespräche, Angaben aus Anfrageformularen;
• bei gebuchtem Telefon-Modul Sprachdaten der Anrufer, nur während des Gesprächs und nur zur Verschriftlichung durch den Unterauftragsverarbeiter;
• Bilddaten: Bildanhänge sowie Bildschirmfotos, die der Verantwortliche zum Auslesen einer Nachricht bereitstellt; Bildschirmfotos werden nur ausgelesen und nicht gespeichert;
• technische Verbindungsdaten der Landingpage-Besucher (IP-Adresse, nur flüchtig im Arbeitsspeicher zur Missbrauchsabwehr);
• Vorgangsdaten und Unterlagen, die der Verantwortliche bereitstellt;
• Inhalte der Wissensdokumente, soweit sie personenbezogene Daten enthalten;
• Nutzer- und Protokolldaten der Anwender (Name, E-Mail-Adresse, Rolle, Anmelde- und Freigabeprotokolle).

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Kommunikationsinhalte können insbesondere Gesundheitsdaten enthalten, etwa bei Anfragen zur Kranken-, Berufsunfähigkeits-, Unfall- oder Lebensversicherung. Der Verantwortliche stellt sicher, dass für deren Verarbeitung eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht. Der Auftragsverarbeiter verarbeitet auch diese Daten nur auf Weisung und mit den Maßnahmen nach Anlage 1.

(4) Ändern sich die verarbeiteten Datenarten wesentlich, etwa weil der Verantwortliche neue Sparten über Mitario bearbeitet, teilt er dies mit, soweit es für die Maßnahmen nach Anlage 1 erheblich ist.

§ 5 Weisungen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Dokumentierte Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Einstellungen, die der Verantwortliche in Mitario wählt (zum Beispiel angebundene Kanäle, gebuchte Module oder Entwürfe nur auf Knopfdruck). Einzelweisungen erteilt der Verantwortliche in Textform, zum Beispiel per E-Mail an info@stiefcon.de.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

§ 6 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit betreibt ausschließlich der Inhaber die Software; werden weitere Personen einbezogen, werden sie vor Beginn ihrer Tätigkeit in Textform auf die Vertraulichkeit verpflichtet.

(2) Die Pflicht zur Vertraulichkeit besteht nach dem Ende dieses Vertrags fort.

(3) Ist der Verantwortliche Berufsgeheimnisträger im Sinne des § 203 Abs. 1 StGB oder wirkt er als sonstige Person an dessen Tätigkeit mit (§ 203 Abs. 3 Satz 2 StGB), etwa als Vertreter eines Kranken-, Unfall- oder Lebensversicherers, gilt: Der Auftragsverarbeiter wirkt insoweit als mitwirkende Person mit und ist darüber belehrt, dass er sich bei unbefugter Offenbarung fremder Geheimnisse nach § 203 Abs. 4 StGB strafbar machen kann. Er verpflichtet sich zur Verschwiegenheit, nimmt von fremden Geheimnissen nur Kenntnis, soweit dies für die Leistung erforderlich ist, verpflichtet jede Person, die er einsetzt, vor Beginn ihrer Tätigkeit in Textform zur Geheimhaltung unter Hinweis auf die Strafbarkeit und erlegt seinen Unterauftragsverarbeitern eine entsprechende Verschwiegenheitspflicht auf.

§ 7 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Sie bilden den vereinbarten Mindeststandard.

(2) Die Maßnahmen dürfen dem technischen Fortschritt folgen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 8 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter für die dort genannten Leistungen einzusetzen. Anbieter, die an ein Modul gebunden sind, werden nur eingesetzt, wenn der Verantwortliche das Modul gebucht und eingerichtet hat.

(2) Jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters teilt der Auftragsverarbeiter mindestens vier Wochen vor ihrem Wirksamwerden per E-Mail an die Adresse des Inhaber-Kontos mit.

(3) Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Die Parteien suchen dann eine einvernehmliche Lösung, etwa den Verzicht auf den Anbieter oder das Abbestellen des betroffenen Moduls. Kommt keine Lösung zustande, kann der Verantwortliche das Nutzungsverhältnis mit Wirkung zu dem Zeitpunkt kündigen, zu dem die Änderung wirksam würde. Im Voraus gezahlte Entgelte für die Zeit nach Wirksamwerden der Kündigung werden anteilig erstattet.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf wie dieser Vertrag (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichterfüllung.

(5) Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf die Auftragsdaten sowie Dienste, die der Verantwortliche selbst beauftragt (zum Beispiel sein E-Mail-Anbieter oder, bei WhatsApp, Meta); Einzelheiten stehen am Ende von Anlage 2.

(6) Setzt ein Unterauftragsverarbeiter seinerseits weitere Auftragsverarbeiter ein, insbesondere fonio für Sprachverarbeitung und Telefonie, gilt die Genehmigung nach Absatz 1 auch für diese in der Fassung der Liste, die der Unterauftragsverarbeiter veröffentlicht und auf die Anlage 2 verweist. Über Änderungen dieser Liste informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens fünf Werktage nachdem er selbst davon erfahren hat; Absatz 2 gilt insoweit nicht. Widerspricht der Verantwortliche nach Absatz 3, kann er das betroffene Modul mit sofortiger Wirkung abbestellen; im Voraus gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

§ 9 Unterstützung bei den Rechten der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, die Rechte der betroffenen Personen nach Kapitel III DSGVO zu erfüllen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Dafür stellt Mitario insbesondere bereit: Suche und Einsicht in Vorgänge und Kontakte, Löschung von Vorgängen über den Papierkorb (endgültig spätestens nach 30 Tagen) und den Datenexport für den Inhaber. Weitergehende Anfragen, etwa die Berichtigung von Kontaktdaten, erfüllt der Auftragsverarbeiter in angemessener Frist, in der Regel binnen zehn Werktagen.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, soweit er nicht gesetzlich dazu verpflichtet ist.

§ 10 Unterstützung nach Art. 32 bis 36 DSGVO und Meldung von Verletzungen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(2) Eine Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, in Textform an die Adresse des Inhaber-Kontos. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden unverzüglich nachgereicht.

(3) Der Auftragsverarbeiter ergreift unverzüglich die zumutbaren Maßnahmen, um die Daten zu sichern und nachteilige Folgen zu mindern, und dokumentiert den Vorfall. Über Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen entscheidet der Verantwortliche.

(4) Für eine Datenschutz-Folgenabschätzung des Verantwortlichen stellt der Auftragsverarbeiter auf Anfrage eine Beschreibung der Verarbeitung, der Datenflüsse, der Unterauftragsverarbeiter und der Maßnahmen nach Anlage 1 in Textform zur Verfügung.

§ 11 Löschung und Rückgabe

(1) Während der Laufzeit gilt das Löschkonzept nach Anlage 1 Nr. 4: Vorgangs- und Kommunikationsdaten werden 90 Tage nach Abschluss des Vorgangs automatisch gelöscht, Vorgänge im Papierkorb nach 30 Tagen endgültig. Wartet ein Vorgang 30 Tage lang ohne neue Nachricht und ohne Bearbeitung auf eine Antwort des Kunden, schließt Mitario ihn automatisch ab. Ist eine Wiedervorlage gesetzt, zählen die 30 Tage erst ab dem Tag, an dem sie fällig wird. Als Spam eingeordnete Nachrichten gelten sofort als abgeschlossen. Andere nicht abgeschlossene Vorgänge, etwa als Werbung erkannte Nachrichten, bleiben bestehen, bis der Verantwortliche sie abschließt oder löscht.

(2) Nach Ende der Leistungen bleibt das Konto drei Monate im Lesemodus; in dieser Zeit kann der Verantwortliche seine Daten einsehen und über den Datenexport (Einstellungen → Daten exportieren) herunterladen. Das ist die Rückgabe der Daten; der Inhaber kann den Export jederzeit selbst auslösen. Die automatischen Löschfristen nach Absatz 1 laufen weiter. Verlangt der Verantwortliche die Löschung früher in Textform, zum Beispiel per E-Mail an info@stiefcon.de, gilt Absatz 3 ab Zugang des Verlangens.

(3) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle Auftragsdaten des Verantwortlichen einschließlich der Freigabe-Nachweise innerhalb von 30 Tagen und bestätigt die Löschung in Textform. Vier Wochen vor Fristablauf erinnert er den Verantwortlichen per E-Mail an die Adresse des Inhaber-Kontos.

(4) Eine Speicherung über diese Fristen hinaus erfolgt nur, soweit der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet ist. Vertrags- und Abrechnungsdaten, die der Auftragsverarbeiter für sich selbst aufbewahren muss, sind keine Auftragsdaten. Während der Laufzeit bleiben die Freigabe-Nachweise (wer hat wann freigegeben) bestehen; der Text der versendeten Nachricht wird 90 Tage nach der Freigabe entfernt, auch wenn der Vorgang vorher gelöscht wurde.

(5) Datenbanksicherungen werden nach 14 Tagen überschrieben, Server-Sicherungen des Hosters im Rotationsverfahren. Werden bei einer Wiederherstellung bereits gelöschte Daten zurückgespielt, werden sie erneut gelöscht.

§ 12 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere diesen Vertrag mit Anlagen, die aktuelle Fassung der Maßnahmen und vorhandene Nachweise der Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist. Überprüfungen werden mit mindestens zehn Werktagen Vorlauf angemeldet, finden zu üblichen Geschäftszeiten statt und in der Regel höchstens einmal im Jahr; anlassbezogene Überprüfungen, etwa nach einer Verletzung nach § 10, bleiben unberührt.

(3) Vorrangig werden Überprüfungen durch Vorlage geeigneter Nachweise erfüllt, zum Beispiel Selbstauskünfte oder Zertifikate der Unterauftragsverarbeiter. Jede Partei trägt ihre eigenen Kosten.

(4) Die Befugnisse der Aufsichtsbehörden bleiben unberührt.

§ 13 Verarbeitung in Drittländern

Die Verarbeitung erfolgt grundsätzlich in der Europäischen Union: Hosting in Deutschland, KI-Verarbeitung in einer Region der Europäischen Union (derzeit Frankfurt) mit Verbleib in der EU. Eine Übermittlung in Drittländer durch Unterauftragsverarbeiter findet nur statt, soweit sie in Anlage 2 ausgewiesen ist (bei gebuchtem Telefon-Modul), und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind; zu WhatsApp siehe die Klarstellung am Ende von Anlage 2.

§ 14 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Im Verhältnis zueinander haften sie nach ihrem jeweiligen Anteil an der Verantwortung für den Schaden (Art. 82 Abs. 5 DSGVO). Wird eine Partei in Anspruch genommen, informiert sie die andere unverzüglich.

(2) Im Übrigen gilt für Ansprüche zwischen den Parteien, auch aus diesem Vertrag, die Haftungsregelung in Nr. 7 Abs. 1 bis 3 der Nutzungsbedingungen.

§ 15 Schlussbestimmungen

(1) Soweit es um die Verarbeitung personenbezogener Daten geht, geht dieser Vertrag den Nutzungsbedingungen vor.

(2) Für Änderungen dieses Vertrags gilt Nr. 9 der Nutzungsbedingungen; die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern richtet sich nach § 8. Änderungen, die neue Zwecke oder neue Datenarten betreffen, werden erst mit ausdrücklicher Zustimmung des Verantwortlichen wirksam.

(3) Es gilt deutsches Recht. Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Nürnberg ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

1. Vertraulichkeit

• Zutritt: Betrieb ausschließlich in einem Rechenzentrum der Hetzner Online GmbH in Deutschland; die physische Zutrittskontrolle obliegt dem nach ISO/IEC 27001 zertifizierten Betreiber.
• Zugang zum Server nur per SSH mit Schlüsselverfahren; eine Firewall lässt eingehend nur SSH und Web-Verkehr (Ports 22, 80, 443) zu. Datenbank und Virenscanner sind nur im internen Netz erreichbar.
• Zugang zur Anwendung nur mit Passwort (gespeichert ausschließlich als Argon2id-Hash) und verpflichtender Zwei-Faktor-Anmeldung per Einmalcode-App; ohne eingerichtete Zwei-Faktor-Anmeldung kein Zugang. Anmeldeversuche werden begrenzt.
• Berechtigungen: Rollen Inhaber und Mitarbeiter mit serverseitiger Prüfung bei jeder Aktion; getrennte Datenbankrollen nach dem Prinzip der minimalen Rechte. Die Anwendungsrolle hat keinen Lesezugriff auf Passwort-Hashes und Zwei-Faktor-Geheimnisse.
• Werkzeuge zur Betriebsdiagnose nutzen eine eigene Datenbankrolle, die nichts schreiben und keine Inhalte lesen kann, also weder Nachrichten noch Entwürfe, Kontaktdaten oder Wissenstexte. Lesen kann sie Kennungen, Zahlen, Zeitpunkte, Status-, Einordnungs- und Konfigurationswerte, den Namen des Büros sowie die aus Wissenstexten berechneten Suchvektoren. Inhalte aus den Auftragsdaten werden nicht in externe Werkzeuge übernommen, insbesondere nicht in KI-Assistenten, die der Auftragsverarbeiter für Entwicklung und Betrieb nutzt.
• Betreiber-Zugriff: Die Betreiber-Konsole ist auf freigegebene Konten beschränkt, verlangt Zwei-Faktor-Anmeldung und ist auf Geschäfts- und Konfigurationsdaten begrenzt; eine Einsicht in Inhalte im Support-Fall wird protokolliert.
• Mandantentrennung: Jede fachliche Datenzeile trägt eine Mandanten-Kennung; die Trennung wird in der Datenbank durch Row-Level-Security erzwungen. Ohne gesetzten Mandanten liefern Abfragen der Anwendung auf Vorgänge, Nachrichten, Entwürfe, Kontakte und Wissenstexte keine Zeilen. Automatisierte Tests prüfen, dass kein Mandant Daten eines anderen sieht.
• Verschlüsselung: Übertragung ausschließlich per TLS mit HSTS. Zugangsdaten zu Postfächern und Kanal-Schlüssel werden mit AES-256-GCM, Zwei-Faktor-Geheimnisse mit XChaCha20-Poly1305 verschlüsselt gespeichert; die Schlüssel liegen getrennt von der Datenbank. Schlüssel zu Drittdiensten liegen nur auf dem Server, nie im Browser.
• Datensparsamkeit bei Benachrichtigungen: Der Hinweis auf einen neuen Anruf per E-Mail enthält weder Rufnummer noch Namen noch Gesprächsinhalt, nur einen Link zum Vorgang in Mitario.
• Nachrichten, Entwürfe und Wissenstexte liegen in der Datenbank nicht zusätzlich feldverschlüsselt vor; sie sind durch die übrigen Maßnahmen dieser Nummer geschützt.

2. Integrität

• Eingehende Schnittstellen (WhatsApp, Telefon, Zahlungsabwicklung) prüfen vor jeder Verarbeitung Signaturen oder gemeinsame Geheimnisse und verwerfen nicht authentifizierte Anfragen; eingehende Ereignisse werden gegen doppelte Verarbeitung gesichert.
• Hochgeladene Wissensdokumente durchlaufen eine Typ- und Größenprüfung und einen Virenscan; im Produktivbetrieb wird ohne erfolgreichen Scan nichts angenommen.
• Freigabe-Protokoll: Nachrichten an Kunden gehen nur über den Freigabe-Weg hinaus; jeder solche Versand erfordert die Freigabe einer Person und wird mit Person und Zeitpunkt protokolliert. Die Anwendung darf dieses Protokoll nur lesen und ergänzen, nicht ändern oder löschen.
• Sicherheitsrelevante Betreiber-Aktionen werden in einem nur ergänzbaren Audit-Protokoll erfasst.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Datenbanksicherung (Aufbewahrung 14 Tage); sie liegt auf dem Produktionsserver. Zusätzlich sichert der Hoster den gesamten Server.
• Die Wiederherstellung aus der Sicherung ist erprobt (Probe am 14.08.2026 ohne Fehler, Kontrollzahlen identisch mit dem Produktivbestand).
• Getrennte Container für Anwendung, Datenbank und Virenscanner; externe Überwachung der Erreichbarkeit und der Hintergrunddienste mit Alarm per E-Mail.
• Kontingente je Mandant und Begrenzungen der Anfragerate schützen vor Überlastung.

4. Löschkonzept

• Gelöschte Vorgänge liegen im Papierkorb und werden nach 30 Tagen automatisch endgültig gelöscht, samt Nachrichten, Entwürfen und Notizen.
• Abgeschlossene Vorgangs- und Kommunikationsdaten werden 90 Tage nach Abschluss automatisch gelöscht; der Lauf findet seit dem 20.08.2026 jede Nacht statt. Die Nachweisangaben der Freigaben (wer, wann) bleiben während der Vertragslaufzeit bestehen, der Text der versendeten Nachricht wird 90 Tage nach der Freigabe entfernt, auch wenn der Vorgang vorher gelöscht wurde.
• Vorgänge, die 30 Tage lang ohne neue Nachricht und ohne Bearbeitung auf eine Antwort des Kunden warten, schließt Mitario automatisch ab. Ist eine Wiedervorlage gesetzt, zählen die 30 Tage erst ab dem Tag, an dem sie fällig wird. Als Spam eingeordnete Nachrichten gelten sofort als abgeschlossen.
• Nach Vertragsende gilt § 11 Abs. 2 bis 4: drei Monate Lesemodus, danach Löschung aller Auftragsdaten.
• Datenbanksicherungen werden nach 14 Tagen überschrieben.

5. Überprüfung und Organisation

• Vor jeder Auslieferung laufen automatisierte Tests, darunter die Tests zur Mandantentrennung; Änderungen werden vor der Auslieferung in einer gesonderten Prüfrunde durchgesehen und vom Inhaber freigegeben.
• Betrieb und Administration erfolgen derzeit ausschließlich durch den Inhaber. Es gibt kein förmliches Managementsystem für Informationssicherheit, keine eigene Zertifizierung und keine externe Penetrationsprüfung.
• Mitario trifft keine automatisierten Einzelentscheidungen im Sinne von Art. 22 DSGVO: Jede versendete Antwort gibt ein Mensch frei.

Hetzner Online GmbH – immer

• Anschrift: Industriestr. 25, 91710 Gunzenhausen, Deutschland
• Leistung: Bereitstellung des Servers, auf dem Anwendung und Datenbank laufen, einschließlich Server-Sicherungen.
• Ort der Verarbeitung: Rechenzentrum in Deutschland.
• Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Rechenzentrumsbetrieb nach ISO/IEC 27001.
• Verarbeitete Daten: Alle in § 4 genannten Daten (als Betreiber der Infrastruktur).

Amazon Web Services EMEA SARL – immer

• Anschrift: 38 Avenue John F. Kennedy, L-1855 Luxemburg
• Leistung: KI-Verarbeitung über den Dienst Amazon Bedrock: Einordnung eingehender Nachrichten, Antwort-Entwürfe, Wissens-Chat und Erzeugung von Suchvektoren (Embeddings) für die Suche im Fachwissen.
• Ort der Verarbeitung: AWS-Region in der Europäischen Union (derzeit Frankfurt, eu-central-1) unter Nutzung der EU-Geo-Inferenzprofile, sodass die Verarbeitung innerhalb der Europäischen Union verbleibt.
• Grundlage: Data Processing Addendum von AWS (Bestandteil der AWS-Servicebedingungen); Ein- und Ausgaben werden nicht zum Training von KI-Modellen genutzt und nicht an Modellanbieter weitergegeben.
• Verarbeitete Daten: Inhalt der jeweils verarbeiteten Nachricht oder Anfrage mit den passenden Auszügen aus dem Fachwissen; Übermittlung nur je Verarbeitungsvorgang.

ALL-INKL.COM – Neue Medien Münnich – immer

• Anschrift: Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland
• Leistung: Versand der System-E-Mails von Mitario über das Geschäftspostfach des Auftragsverarbeiters: zum Beispiel Anmelde- und Sicherheitsmails, Hinweise an den Inhaber und, bei gebuchtem Telefon-Modul ohne verbundenes eigenes Postfach, der Hinweis auf einen neuen Anruf.
• Ort der Verarbeitung: Deutschland.
• Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Vertragsmuster des Anbieters).
• Verarbeitete Daten: Empfängeradresse und Inhalt der jeweiligen System-E-Mail; beim Hinweis auf einen neuen Anruf nur ein Link zum Vorgang in Mitario, ohne Rufnummer, Namen und Gesprächsinhalt.

fonio GmbH – nur bei gebuchtem Telefon-Modul

• Anschrift: Neustiftgasse 73-75/3/7, 1070 Wien, Österreich
• Leistung: Annahme eingehender Anrufe durch einen digitalen Telefonassistenten, Verschriftlichung des Gesprächs und Übergabe an Mitario. Anrufer werden zu Gesprächsbeginn auf den digitalen Assistenten hingewiesen; die Aufzeichnung der Stimme ist abgeschaltet.
• Ort der Verarbeitung: Anwendungsbetrieb in Deutschland; für Sprachverarbeitung und Telefonie setzt fonio eigene Unterauftragsverarbeiter ein, darunter Anbieter in den USA.
• Grundlage: Auftragsverarbeitungsvereinbarung von fonio (Bestandteil der fonio-Bedingungen); für die USA EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Die weiteren Auftragsverarbeiter von fonio sind nach § 8 Abs. 6 genehmigt; maßgeblich ist die jeweils aktuelle Liste im Datenschutzhinweis von fonio unter fonio.ai/de/datenschutzerklarung-app.
• Verarbeitete Daten: Sprachdaten während des Anrufs (nur zur Verschriftlichung), Rufnummer, Gesprächsinhalt als Text, Gesprächsdauer; Gesundheitsdaten, soweit der Anrufer sie nennt.

Klarstellung: kein Unterauftragsverarbeiter

• Das E-Mail-Postfach des Verantwortlichen: Mitario liest und versendet über dessen eigenes Postfach (IMAP/SMTP). Sein E-Mail-Anbieter ist sein eigener Vertragspartner und kein Unterauftragsverarbeiter des Auftragsverarbeiters.
• WhatsApp – Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland (WhatsApp Business Platform, nur bei gebuchtem WhatsApp-Modul): Das WhatsApp-Business-Konto gehört dem Verantwortlichen. Er schließt beim Verbinden die Bedingungen der WhatsApp Business Platform einschließlich der Datenverarbeitungsbedingungen unmittelbar mit Meta ab; Meta verarbeitet die Nachrichten als sein Auftragsverarbeiter, auch in den USA (EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln). Der Auftragsverarbeiter ruft die Schnittstelle nur im Auftrag des Verantwortlichen auf. Meta ist deshalb kein Unterauftragsverarbeiter im Sinne dieses Vertrags; § 8 Abs. 4 gilt insoweit nicht.
• Die optionale KI-Bilderzeugung im Landingpage- und Content-Studio ist nicht zur Verarbeitung von Auftragsdaten bestimmt. Übermittelt wird nur die Bildbeschreibung, die der Nutzer eingibt. Der Verantwortliche weist seine Nutzer an, dort keine personenbezogenen Daten Dritter einzugeben; Einzelheiten zum Anbieter stehen in der Datenschutzerklärung.
• Der Zahlungsdienstleister Stripe verarbeitet nur die Vertrags- und Zahlungsdaten des Verantwortlichen selbst, keine Auftragsdaten; er ist deshalb kein Unterauftragsverarbeiter im Sinne dieses Vertrags.
• Dienste, die ausschließlich die Erreichbarkeit von Mitario überwachen, erhalten keine Auftragsdaten.