Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter („Fragio", Peter Obermüller, Mesnerweg 2, 4203 Altenberg bei Linz) verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Kunde) ausschließlich zur Erbringung des vertraglich vereinbarten Dienstes: Bereitstellung eines KI-Chat-Assistenten, der Besucherfragen auf Grundlage der Website-Inhalte des Kunden beantwortet. Die Dauer entspricht der Laufzeit des Hauptvertrags.

§ 2 Art, Umfang und Zweck der Verarbeitung

Verarbeitet werden die von Websitebesuchern im Chat eingegebenen Nachrichten sowie – sofern der Besucher sie freiwillig hinterlässt – Kontaktdaten (Lead-Erfassung). Zweck ist die Beantwortung der Anfragen und, soweit der Besucher einwilligt, die Erstellung anonymisierter Auswertungen (häufige/offene Fragen). Die Verarbeitung erfolgt ausschließlich nach dokumentierter Weisung des Verantwortlichen (dieser Vertrag samt Hauptvertrag gilt als Weisung).

§ 3 Kategorien betroffener Personen und Daten

Betroffene Personen: Besucher der Website des Kunden, die den Chat nutzen. Datenkategorien: Inhalt der Chat-Nachrichten; freiwillig angegebene Kontaktdaten (Name, E-Mail, Telefon, Anliegen); technische Angaben in gehashter/​pseudonymisierter Form (SHA-256-Hash der IP mit geheimem Salt — keine Klartext-IP); Zeitstempel. Es werden keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) angefordert.

§ 4 Pflichten des Auftragsverarbeiters

Fragio verarbeitet Daten nur weisungsgebunden; hält die Vertraulichkeit gewahrt und verpflichtet eingesetzte Personen zur Vertraulichkeit; unterstützt den Verantwortlichen bei Betroffenenrechten und Meldepflichten; setzt die in § 7 genannten technischen und organisatorischen Maßnahmen um; informiert den Verantwortlichen unverzüglich, wenn eine Weisung gegen Datenschutzrecht verstößt; meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich.

§ 5 Sub-Auftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Sub-Auftragsverarbeiter zu:

• Anthropic, PBC (USA) — Erbringung der KI-Textantworten (Modell Claude Haiku 4.5). Übermittlung in ein Drittland auf Grundlage der EU-Standardvertragsklauseln. Es werden ausschließlich die zur Beantwortung nötigen Chat-Inhalte übermittelt; nach Angaben des Anbieters erfolgt kein Training auf API-Daten. Optional (Premium): Auf Wunsch kann der Kunde ein EU-/lokal betriebenes Modell nutzen — dann findet keine Übermittlung an Anthropic/in die USA statt.
• Hosting/Server — Betrieb der Anwendung und Datenbank in einem Rechenzentrum in der EU. Die Vektor-/Text-Verarbeitung (Embeddings) läuft lokal auf diesem Server; hierfür erfolgt keine Drittland-Übermittlung.

Fragio informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügung/​Ersetzung) rechtzeitig vorab; der Verantwortliche kann berechtigten Einwänden widersprechen.

§ 6 Betroffenenrechte, Löschung und Rückgabe

Fragio unterstützt den Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch- und Einschränkungsansprüchen. Über das Kundenportal kann der Verantwortliche Chat-Verläufe einzelner Absender gezielt löschen (Art. 17 DSGVO) sowie alle Daten exportieren. Chat-Verläufe werden zudem automatisch nach der eingestellten Speicherdauer (Standard 90 Tage) gelöscht. Nach Vertragsende werden die verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Transport per TLS/HTTPS; hinterlegte Kunden-API-Keys verschlüsselt gespeichert (AES-256-GCM).
• Pseudonymisierung: IP-Adressen nur als SHA-256-Hash mit geheimem Salt; keine Klartext-IP in der Datenbank.
• Zugriffskontrolle: getrennte Zugänge für Betreiber (Admin) und Kunde (Portal, auf genau einen Bot beschränkt); Mandantentrennung pro Bot.
• Datensparsamkeit: Speicherung von Gesprächsinhalten nur mit Einwilligung des Besuchers; Test-/Demo-Daten werden nicht dauerhaft gespeichert.
• Missbrauchsschutz: Rate-Limits und Kontingente; SSRF-Schutz beim Einlesen von Websites.
• Verfügbarkeit/Wiederherstellung: regelmäßige Backups; automatische Löschroutinen für abgelaufene Daten.

§ 8 Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieser Pflichten überzeugen; Fragio stellt die dafür erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen. Nachweise (z. B. diese Dokumentation der Maßnahmen) werden auf Anfrage bereitgestellt.

§ 9 Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO. Ergänzend gelten die AGB sowie die Datenschutzerklärung. Es gilt österreichisches Recht. Bei Widersprüchen geht dieser AVV in Datenschutzfragen dem Hauptvertrag vor.