Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird geschlossen zwischen dem Kunden — dem Unternehmen, das bei der Registrierung auf safebird.ai angegeben wird, vertreten durch die registrierende Person (nachfolgend „Verantwortlicher“) — und der Safebird UG (haftungsbeschränkt), Kestnerstrasse 49, 30159 Hannover, E-Mail: info@safebird.ai (nachfolgend „Auftragsverarbeiter“ oder „Safebird“).

Der Verantwortliche kann seine vollständigen Unternehmensangaben (Anschrift, Registernummer nach § 34d GewO) jederzeit im Dashboard ergänzen; die Wirksamkeit dieses AVV hängt davon nicht ab, da der Verantwortliche durch die Registrierungsdaten bestimmbar ist.

Dieser AVV orientiert sich an den Standardvertragsklauseln der Europäischen Kommission für Verträge zwischen Verantwortlichen und Auftragsverarbeitern (Durchführungsbeschluss (EU) 2021/915) und konkretisiert sie für die Safebird-Plattform.

Dieser AVV wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Der Verantwortliche akzeptiert ihn bei der Registrierung durch aktives Anhaken für sein Unternehmen. Safebird dokumentiert die akzeptierte Fassung dauerhaft in Textform (handelnde Person, Unternehmen, Zeitpunkt, Version, Prüfsumme, Stand des Unterauftragsverarbeiter-Verzeichnisses) und stellt sie dem Verantwortlichen per E-Mail und im Dashboard als PDF bereit. Eine Unterschrift ist nicht erforderlich.

Die Version und das Stand-Datum dieses Dokuments sind auf dieser Seite und im PDF ausgewiesen.

Dieser AVV geht bei Widersprüchen den Allgemeinen Geschäftsbedingungen vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist. Individuell verhandelte Auftragsverarbeitungsverträge gehen dieser Fassung vor (Ziffer 3 der AGB).

Safebird verarbeitet personenbezogene Daten der Interessenten und Kunden des Verantwortlichen ausschließlich in dessen Auftrag und nach dessen dokumentierten Weisungen zur Bereitstellung der Safebird-Plattform: KI-gestützte Erstgespräche in der Marke des Verantwortlichen (Chat und Telefonie), strukturierte Bedarfserfassung, Terminorganisation, Aufzeichnung und Auswertung von Beratungsterminen sowie die zugehörigen Dashboards, Exporte und Schnittstellen.

Gegenstand, Datenkategorien und Kategorien betroffener Personen sind in Anlage A abschließend beschrieben. Für Daten, die Safebird zur Verwaltung des Kundenkontos selbst verarbeitet (Registrierung, Abrechnung, Support, Akzeptanz-Nachweise), bleibt Safebird eigenständiger Verantwortlicher; Einzelheiten in der Datenschutzerklärung.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags (AGB). Mit dessen Beendigung endet auch dieser AVV, unbeschadet der Pflichten aus § 12.

Safebird verarbeitet die Auftragsdaten nur auf dokumentierte Weisung des Verantwortlichen, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats Safebird zu einer Verarbeitung verpflichtet; in einem solchen Fall informiert Safebird den Verantwortlichen vor der Verarbeitung über die betreffende rechtliche Anforderung, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Konfiguration der Plattform durch den Verantwortlichen (z. B. Assistent-Einstellungen, Playbooks, aktivierte Funktionen, Exporte, Löschaktionen) gilt als dokumentierte Weisung. Ergänzende Weisungen richtet der Verantwortliche in Textform an info@safebird.ai.

Hält Safebird eine Weisung für datenschutzrechtswidrig, informiert Safebird den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

Safebird gewährleistet, dass sich die zur Verarbeitung der Auftragsdaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

Soweit der Verantwortliche einer berufsrechtlichen Schweigepflicht unterliegt oder ihm Umstände anvertraut werden, die dem Schutz des § 203 StGB unterfallen (insbesondere im Zusammenhang mit privaten Kranken-, Lebens- oder Unfallversicherungen), gilt ergänzend: Safebird ist als mitwirkende Person im Sinne von § 203 Abs. 3 und 4 StGB zur Geheimhaltung verpflichtet, verpflichtet sein eingesetztes Personal entsprechend und bindet Unterauftragsverarbeiter, die mit solchen Daten in Berührung kommen können, gleichwertig. Safebird ist bekannt, dass eine unbefugte Offenbarung nach § 203 Abs. 4 StGB strafbewehrt sein kann.

Safebird trifft die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort. Maßnahmen dürfen durch gleichwertige oder bessere ersetzt werden, ohne dass das Schutzniveau sinkt; wesentliche Änderungen werden in Anlage B dokumentiert.

Angesichts der Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheitsdaten, Art. 9 DSGVO) sind die Maßnahmen an den spezifischen Garantien des § 22 Abs. 2 BDSG ausgerichtet (u. a. Zugriffsbeschränkung, Verschlüsselung, Pseudonymisierung, Protokollierung, Sensibilisierung der Beschäftigten).

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in Anlage C aufgeführten Unterauftragsverarbeiter. Anlage C ist das auf dieser Seite veröffentlichte Verzeichnis; es benennt je Unterauftragsverarbeiter Unternehmen, Zweck, Verarbeitungsregion und Übermittlungsmechanismus. Der bei der Akzeptanz gültige Stand des Verzeichnisses wird als Bestandteil des Akzeptanz-Nachweises gespeichert.

Safebird informiert den Verantwortlichen mindestens 30 Tage vor der Aufnahme oder Ersetzung eines Unterauftragsverarbeiters aktiv in Textform (E-Mail an die Konto-Adresse) und aktualisiert Anlage C. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall bemühen sich die Parteien um Abhilfe (z. B. Konfiguration ohne den betroffenen Dienst). Ist keine Abhilfe möglich, kann der Verantwortliche die betroffene Funktion abbestellen oder den Vertrag außerordentlich kündigen.

Safebird schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt wie sie Safebird nach diesem AVV treffen (Art. 28 Abs. 4 DSGVO), und bleibt für die Leistungen der Unterauftragsverarbeiter verantwortlich.

Die KI-gestützte Verarbeitung der Gesprächsinhalte und die Datenhaltung erfolgen in der EU. Soweit einzelne Unterauftragsverarbeiter personenbezogene Daten in einem Drittland (insbesondere den USA) verarbeiten, erfolgt die Übermittlung nur auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission — insbesondere des EU-U.S. Data Privacy Framework für zertifizierte Anbieter — oder hilfsweise auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Schutzmaßnahmen, soweit erforderlich.

Der je Unterauftragsverarbeiter einschlägige Übermittlungsmechanismus ist in Anlage C ausgewiesen. Entfällt ein Angemessenheitsbeschluss, gelten die vereinbarten Standardvertragsklauseln als Auffanggrundlage fort; Safebird informiert über die Anpassung des Verzeichnisses nach § 7.

Safebird unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten — insbesondere durch die Export-, Berichtigungs- und Löschfunktionen der Plattform. Erhält Safebird einen Antrag einer betroffenen Person unmittelbar, leitet Safebird ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

Safebird unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der Safebird zur Verfügung stehenden Informationen.

Safebird meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich nach Bekanntwerden — spätestens innerhalb von 48 Stunden — in Textform an die Konto-E-Mail-Adresse. Die Meldung enthält, soweit bekannt, die Informationen nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen) und wird bei neuen Erkenntnissen ergänzt.

Die Meldung an Aufsichtsbehörden und Betroffene ist Sache des Verantwortlichen; Safebird unterstützt dabei nach § 9.

Safebird stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind — insbesondere dieses Dokument, Anlage B (TOMs), das Unterauftragsverarbeiter-Verzeichnis und auf Anfrage vorhandene aktuelle Prüf- und Zertifizierungsnachweise der eingesetzten Infrastrukturanbieter.

Der Verantwortliche kann Überprüfungen — einschließlich Inspektionen — durchführen oder durch einen geeigneten, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Kontrollen erfolgen mit angemessener Vorlaufzeit (mindestens 14 Tage, außer bei konkretem Anlass), während üblicher Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und vorrangig auf Basis vorhandener Nachweise und Fernzugriff.

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht Safebird alle Auftragsdaten, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine weitere Speicherung vorschreibt. Vor der Löschung stellt Safebird dem Verantwortlichen seine Daten auf Anforderung in einem gängigen, maschinenlesbaren Format (z. B. CSV, JSON, PDF) zum Export bereit — der Export vor Löschung ist garantiert und der vorgesehene Weg, damit der Verantwortliche seine berufsrechtlichen Aufbewahrungspflichten (insbesondere die mindestens fünfjährige Aufbewahrung von Beratungsdokumentationen nach §§ 61, 62 VVG) erfüllen kann.

Löschkonzept im laufenden Betrieb: Chat-Inhalte werden grundsätzlich nicht über die Sitzung hinaus gespeichert; Audioaufnahmen werden nach Erstellung der Mitschrift automatisch gelöscht; strukturierte Ergebnisse und Mitschriften unterliegen den Lösch- und Aufbewahrungseinstellungen der Plattform. Die Akzeptanz-Nachweise zu diesem AVV verbleiben als eigene Verantwortlichen-Verarbeitung bei Safebird (Datenschutzerklärung).

Keine Nutzung zum Modelltraining: Safebird verwendet Auftragsdaten nicht zum Training, zur Feinabstimmung oder zur Verbesserung genereller KI-Modelle und setzt für die KI-Verarbeitung ausschließlich Dienste ein, bei denen die Modellanbieter vertraglich keinen Zugriff auf Inhalte zu Trainingszwecken haben (derzeit Amazon Bedrock, EU-Region, ohne Speicherung von Prompts und Ausgaben).

Transparenz nach Art. 50 der Verordnung (EU) 2024/1689: Safebird stellt die Kennzeichnung des KI-Assistenten gegenüber Endkunden in den Gesprächsoberflächen bereit; der Verantwortliche darf sie nicht entfernen oder unterdrücken (Ziffer 6 der AGB).

Die Plattform ist nicht für Hochrisiko-Zwecke im Sinne von Anhang III der Verordnung (EU) 2024/1689 bestimmt; insbesondere findet keine Risikobewertung oder Preisbildung in Bezug auf Personen bei Lebens- und Krankenversicherungen statt.

Für die Haftung gelten die Regelungen des Hauptvertrags (Ziffer 9 der AGB); die gesetzliche Haftungsverteilung nach Art. 82 DSGVO bleibt unberührt.

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Hannover, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen dieses AVV folgen der Änderungsmechanik der AGB (Ziffer 10): wesentliche Änderungen erfordern eine aktive erneute Bestätigung; Änderungen des Unterauftragsverarbeiter-Verzeichnisses folgen § 7.

Gegenstand und Zweck: Führung KI-gestützter Erstgespräche und strukturierter Bedarfsanalysen in der Marke des Verantwortlichen (Chat und Telefonie), Erstansprache neuer Leads, Terminorganisation, Aufzeichnung, Transkription und Auswertung von Beratungsterminen (online, telefonisch und vor Ort), Erstellung von Beratungsdokumentationen sowie Bereitstellung der Ergebnisse im Dashboard und über Schnittstellen.

Art der Verarbeitung: Erhebung, Speicherung, Analyse (einschließlich KI-gestützter Auswertung), Strukturierung, Übermittlung an den Verantwortlichen, Löschung.

Das verbindliche Verzeichnis der eingesetzten Unterauftragsverarbeiter — je Anbieter mit Unternehmen, Zweck, Verarbeitungsregion und Übermittlungsmechanismus — wird unmittelbar im Anschluss an diesen Vertragstext auf dieser Seite veröffentlicht und laufend aktuell gehalten (Änderungen nach dem Verfahren in § 7). Der bei deiner Akzeptanz gültige Stand wird als Bestandteil des Akzeptanz-Nachweises gespeichert und ist im PDF deiner akzeptierten Fassung enthalten.