Vertrag zur Auftragsverarbeitung

Zwischen

dem Kunden — dem Betrieb, der BetriebOS nutzt, mit den bei der Registrierung angegebenen Daten —, nachfolgend „Verantwortlicher",

und

Milan Ciba, Einzelunternehmen, Louisenlund 9, 24357 Güby, Deutschland, E-Mail support@betriebos.de, handelnd unter der Geschäftsbezeichnung „BetriebOS", nachfolgend „Auftragsverarbeiter".

§ 1 Gegenstand, Dauer und Rangfolge

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software BetriebOS.

(2) Dieser Vertrag ist Bestandteil des Nutzungsvertrags (§ 10 der AGB). Er gilt ab dem Anlegen des Kontos, also auch ohne Abo, und endet, sobald alle Daten nach § 11 zurückgegeben oder gelöscht sind.

(3) Dieser Vertrag geht den Allgemeinen Geschäftsbedingungen vor, soweit er Regelungen über die Verarbeitung personenbezogener Daten enthält.

(4) Gespeichert werden die Daten in einem Rechenzentrum in der Europäischen Union (Amsterdam, Niederlande). Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nur nach § 8 statt.

§ 2 Art und Zweck der Verarbeitung

(1) Zweck: Betrieb einer Software, mit der der Verantwortliche Kunden, Anfragen, Termine, Angebote, Aufträge, Rechnungen, Zahlungen, Dokumente und sein Team (Dienstplan, Zeiterfassung) verwaltet; dazu gehören die Website des Verantwortlichen mit Anfrageformular und Online-Buchung, auch eingebettet in eine eigene Website, Nachrichten an seine Kunden (E-Mail und, wenn eingeschaltet, Termin-SMS) sowie die KI-Funktionen nach Anlage 2.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die in § 7 genannten Unterauftragsverarbeiter, Einschränken, Löschen und Vernichten.

(3) Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Die Daten werden insbesondere nicht zum Training von Modellen der künstlichen Intelligenz verwendet. Der Auftragsverarbeiter legt das auch den Unterauftragsverarbeitern auf, die solche Modelle betreiben (§ 7 Abs. 3).

§ 3 Art der Daten

Verarbeitet werden je nach Nutzung durch den Verantwortlichen:

• Stammdaten der Kunden des Verantwortlichen: Firma, Anrede, Vor- und Nachname, Anschrift, Geburtstag
• Kontaktdaten: E-Mail-Adresse, Telefon, Mobiltelefon
• Daten von Ansprechpartnern: Name, Funktion, Kontaktdaten
• Vorgangsdaten: Anfragen, Angebote, Aufträge, Termine und gebuchte Leistungen, Fahrzeuge oder Geräte der Kunden
• Abrechnungsdaten: Rechnungen, Positionen, Beträge, Zahlungseingänge, Zahlungsart, Belegnummern. Bankverbindungen werden nicht verarbeitet; Felder für IBAN, BIC oder Kontoinhaber gibt es nicht.
• Freitexte: Beschreibungen, Notizen, Positionstexte, Termintitel
• Dateien: hochgeladene Dokumente und Fotos; beim Umzug auch Tabellen-, Kalender- und Kontaktdateien
• Nachrichten an Kunden: E-Mails, Termin-SMS (Mobilnummer und Text), Werbeeinwilligungen und ihr Widerruf
• Beschäftigtendaten, sofern der Verantwortliche Team, Dienstplan oder Zeiterfassung nutzt: Name, E-Mail-Adresse, Rolle und Rechte, Dienstplan, erfasste Arbeitszeiten, zugewiesene Termine und Aufträge
• Anfragen und Buchungen über die Website des Verantwortlichen oder ein eingebettetes Formular: Name, Kontaktdaten, Anliegen, beigefügte Fotos, gewählte Leistung und Termin

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Der Verantwortliche stellt sicher, dass er solche Daten nicht in BetriebOS einstellt. Ein Freitextfeld kann technisch nicht verhindern, dass dort etwas Derartiges eingetragen wird; die Verantwortung dafür liegt beim Verantwortlichen.

§ 4 Kategorien betroffener Personen

• Kunden des Verantwortlichen und deren Ansprechpartner
• Interessenten, die über die Website des Verantwortlichen oder ein eingebettetes Formular anfragen oder buchen
• Beschäftigte des Verantwortlichen, einschließlich Auszubildender und Aushilfen
• Nutzer, denen der Verantwortliche einen Zugang eingerichtet hat

§ 5 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in ein Drittland. Eine Ausnahme gilt nur, soweit der Auftragsverarbeiter durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Software durch den Verantwortlichen und die von ihm vorgenommenen Einstellungen gelten als Weisung. Der Nutzungsvertrag nebst dieser Anlage ist die dokumentierte Grundweisung.

(3) Einzelweisungen, die über die Nutzung der Software hinausgehen, erteilt der Verantwortliche in Textform an support@betriebos.de. Der Auftragsverarbeiter dokumentiert sie.

(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

(5) Zusätzlicher Aufwand, der dem Auftragsverarbeiter durch Einzelweisungen entsteht, die über die vertraglich geschuldete Leistung hinausgehen, wird nach Aufwand vergütet. Das gilt nicht für Weisungen, die der Erfüllung gesetzlicher Pflichten des Auftragsverarbeiters dienen.

§ 6 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu personenbezogenen Daten haben, vor Aufnahme der Tätigkeit schriftlich oder in Textform zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.

(2) Der Auftragsverarbeiter macht die betreffenden Personen mit den für sie geltenden Datenschutzanforderungen vertraut.

(3) Zugriff im Support. Personen des Auftragsverarbeiters greifen auf die Daten des Verantwortlichen in BetriebOS nur zu, soweit es für den Support erforderlich ist. Zugreifen können nur namentlich benannte, einzeln freigeschaltete und nach Absatz 1 verpflichtete Personen, jede über ihr eigenes Konto; Zugangsdaten des Verantwortlichen brauchen und erfahren sie nicht. Jeder Zugriff braucht einen dokumentierten Anlass und endet spätestens nach vier Stunden. Er erfolgt entweder nur zum Ansehen oder auch zum Handeln mit den Rechten eines Inhabers. Beim Ansehen ändert die Person keine Daten des Verantwortlichen; nur eine Frage an den KI-Chat zählt gegen dessen tägliche Grenze für KI-Fragen. Was sie beim Handeln ändert, ist als Handlung des Supports gekennzeichnet, nie als Handlung des Verantwortlichen. In keinem Fall kann sie im Support das Team verwalten (einladen, Rollen ändern, entfernen, Dienstplan und Abwesenheiten), Abo und Verträge mit BetriebOS abschließen, ändern, kündigen oder widerrufen, Kunden endgültig löschen, einen Umzug rückgängig machen, alle Daten herunterladen, das Postfach des Verantwortlichen einrichten, ändern oder entfernen (ansehen darf sie es), einen Website-Auftrag erteilen, Läufe des KI-Agenten anlegen oder abbrechen, über Freigaben des KI-Agenten entscheiden, WhatsApp verbinden oder trennen, Zahlungen über Stripe einrichten, anfordern oder zurückziehen, Erklärungen gegenüber BetriebOS abgeben (Anfragen an den Support, Analysebericht per E-Mail) oder Nachrichtenaufträge freigeben. Das bleibt dem Verantwortlichen und seinen Mitarbeitern vorbehalten.

(4) Jeder Zugriff wird mit Person, Beginn, Ende, Art (nur ansehen oder auch handeln) und Anlass protokolliert. Inhaber und Admins des Betriebs sehen das Protokoll in der Anwendung, auch während einer Sperre: unter „Einstellungen → Zugriffe durch BetriebOS“, während einer Sperre und vor der ersten Zahlung die letzten zehn Zugriffe auf der Seite zum Bezahlen. Vollständig steht es außerdem im Datenexport.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung der nachfolgend genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO):

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung
Railway Corporation, San Francisco (USA)	Betrieb von Anwendung und Datenbank	Rechenzentrum EU West, Amsterdam (Niederlande)
OpenAI Ireland Ltd., Dublin (Irland)	Sprach- und Bildmodelle für die KI-Funktionen (Anlage 2)	außerhalb der EU
Anthropic (USA)	Sprachmodell (Claude) für Vorschläge zu Bereichen, Website-Texten und Änderungen; Claude Desktop: Bau der Website des Verantwortlichen aus den Angaben zu seinem Betrieb (Anlage 2)	außerhalb der EU
Higgsfield (USA)	KI-Stimmungsbilder für die Website des Verantwortlichen aus dem Website-Auftrag; übermittelt wird eine Bildbeschreibung, keine Daten von Kunden des Verantwortlichen (Anlage 2)	außerhalb der EU
fal (USA), Together AI (USA)	KI-Bilder mit dem Modell FLUX, wenn eingerichtet (Anlage 2)	außerhalb der EU
Plus Five Five, Inc. („Resend"), San Francisco (USA)	Versand der E-Mails, die von BetriebOS selbst kommen	Versand aus Irland
united-domains (Deutschland)	E-Mail-Postfach support@betriebos.de: Empfang und Speicherung von Support-Anfragen, die Daten von Kunden des Verantwortlichen enthalten können	Deutschland
Google (Dienste „Places API" und „PageSpeed Insights")	Öffentliche Angaben zu Betrieben und Messung der Website für die Betriebsanalyse; übermittelt werden Name und Ort eines Betriebs und die Adresse seiner Website, keine Daten von Kunden des Verantwortlichen	auch außerhalb der EU
seven.io (Deutschland)	Versand von Termin-SMS an Kunden des Verantwortlichen — nur wenn er Termin-SMS einschaltet	Deutschland

(2) Nicht Unterauftragsverarbeiter, sondern eigene Verantwortliche sind:

• Stripe Payments Europe, Limited, Dublin, Irland — für die Abwicklung der Zahlung zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Diese Verarbeitung betrifft das Vertragsverhältnis der beiden Parteien und nicht die Daten der Kunden des Verantwortlichen.
• Railway Corporation hinsichtlich ihrer eigenen Konto- und Nutzungsdaten (Abrechnung, Zugriffsprotokolle, Betriebsmetriken). Insoweit gilt der Vertrag nach Absatz 1 gerade nicht, sondern die Datenschutzerklärung von Railway.

(3) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem dieselben Pflichten auferlegt, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

(4) Änderungen. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens 30 Tage vorher in Textform mit, per E-Mail an die Adresse des Kontos, und ändert die Liste auf dieser Seite mit einem neuen Stand-Datum. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen ab Zugang aus einem datenschutzrechtlichen Grund widersprechen. Widerspricht er, und lässt sich die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht erbringen, kann jede Seite den Nutzungsvertrag zum Zeitpunkt der beabsichtigten Änderung außerordentlich kündigen.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, etwa Telekommunikations- und Postdienstleistungen sowie Wartungsleistungen ohne Zugriff auf personenbezogene Daten.

§ 8 Übermittlung in Drittländer

(1) Eine Übermittlung an Unterauftragsverarbeiter in Drittländern findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Grundlage sind die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914, Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter), nebst den erforderlichen zusätzlichen Maßnahmen.

(3) Der Auftragsverarbeiter weist ausdrücklich darauf hin: Die Verarbeitung durch die Sprach- und Bildmodelle findet außerhalb der Europäischen Union statt. Der Ort der Speicherung — Amsterdam — ist ein anderer als der Ort dieser Verarbeitung. Welcher Ausschnitt der Daten dabei je Funktion übertragen wird, ergibt sich aus Anlage 2.

§ 9 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen sind in Anlage 1 dieses Vertrags im Einzelnen beschrieben. Der Auftragsverarbeiter überprüft sie regelmäßig und passt sie dem Stand der Technik an. Eine Änderung darf das Schutzniveau nicht unterschreiten; wesentliche Änderungen teilt er dem Verantwortlichen mit.

§ 10 Unterstützungspflichten

(1) Rechte betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst. Er unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch-, Einschränkungs- und Übertragbarkeitsansprüchen. Der Verantwortliche kann die betreffenden Daten überwiegend selbst in der Anwendung einsehen, ändern und herunterladen. Einzelne Kunden kann er selbst anonymisieren: Name, Kontaktdaten, Geburtstag, Notizen, Anfragen, Nachrichten und die am Kunden und an seinen Anfragen, Terminen, Aufträgen und Rechnungsentwürfen hochgeladenen Dateien werden dabei unwiderruflich entfernt; Termine, Aufträge und Angebote, die nicht angenommen wurden, bleiben ohne Personenbezug stehen; Rechnungsentwürfe werden weggelegt und ohne Personenbezug gespeichert; festgeschriebene Rechnungen und angenommene Angebote bleiben wegen der gesetzlichen Aufbewahrungspflicht unverändert, ebenso die Dateien an festgeschriebenen Rechnungen. Gibt es zu einem Kunden weder Rechnungen noch Angebote oder Aufträge, kann er ihn vollständig löschen.

(2) Verletzung des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO). Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält mindestens: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Meldung an die Aufsichtsbehörde und bei der Benachrichtigung betroffener Personen.

(3) Datenschutz-Folgenabschätzung (Art. 35, 36 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Anfrage bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde, soweit die dafür erforderlichen Angaben allein ihm vorliegen.

(4) Datensicherheit (Art. 32 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 DSGVO.

(5) Für Unterstützungsleistungen nach den Absätzen 1, 3 und 4, die über die Bereitstellung der Funktionen der Software hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen. Das gilt nicht für Absatz 2 und nicht, soweit die Unterstützung durch ein Verschulden des Auftragsverarbeiters veranlasst ist.

§ 11 Rückgabe und Löschung

(1) Der Verantwortliche kann seine Daten jederzeit selbst in einem gängigen, maschinenlesbaren Format herunterladen — auch ohne Abo, während einer Sperre und nach Vertragsende, solange sie gespeichert sind. Das Paket enthält Tabellen (CSV), alle festgeschriebenen Rechnungen und versandten Angebote als PDF sowie die hochgeladenen Dokumente und Fotos; Zugangsdaten (Passwörter, Schlüssel und Links, die ohne Anmeldung etwas öffnen; in Texten wie SMS steht an ihrer Stelle „[Link entfernt]“) und technische Protokolle sind nicht enthalten, die Protokolle gibt der Auftragsverarbeiter auf Verlangen heraus. Auf Verlangen stellt der Auftragsverarbeiter die Daten ihm auch selbst zur Verfügung.

(2) Wird bis zum Ende des 14. Tages nach Anlage des Betriebs kein Abo gebucht (bei Konten von vor dem 1. Oktober 2026: bis zum Ende des letzten Tages ohne Abo-Pflicht, § 4a Abs. 2 der AGB), endet der Vertrag oder wird der Zugang wegen Zahlungsverzugs gesperrt, werden die Daten des Verantwortlichen einschließlich vorhandener Kopien frühestens 90 Tage danach gelöscht. Der Auftragsverarbeiter kündigt das mindestens 14 Tage vorher per E-Mail an. Die Löschung erfolgt auch in den Sicherungskopien nach deren üblichem Überschreibungszyklus.

(3) Rechnungen und andere Unterlagen, die der Verantwortliche aufbewahren muss, lädt er vor der Löschung herunter und bewahrt sie selbst auf.

(4) Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.

(5) Wird der Zugang des Verantwortlichen wegen Zahlungsverzugs gesperrt, bleiben die Daten bis zur Löschung nach Absatz 2 unberührt. Der Anspruch aus Absatz 1 besteht auch während der Sperre; der Auftragsverarbeiter macht ihn nicht von der Zahlung offener Forderungen abhängig.

§ 12 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen — durch Einholung von Auskünften, durch Vorlage der Nachweise nach Absatz 1 oder, soweit dies zur Prüfung erforderlich ist, durch eine Kontrolle vor Ort oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragsverarbeiters sein darf.

(3) Kontrollen vor Ort kündigt der Verantwortliche mit einer Frist von mindestens 14 Tagen an und führt sie zu üblichen Geschäftszeiten durch, ohne den Betriebsablauf mehr als nötig zu stören. Sie finden höchstens einmal je Kalenderjahr statt; das gilt nicht bei einem konkreten Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde.

(4) Der Auftragsverarbeiter kann für den Aufwand einer Kontrolle vor Ort eine angemessene Vergütung verlangen, es sei denn, die Kontrolle ergibt einen Verstoß in seinem Verantwortungsbereich.

§ 13 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis richtet sich die Haftung nach den Regelungen des Nutzungsvertrags; die Haftungsbegrenzungen des Nutzungsvertrags gelten nicht für Ansprüche betroffener Personen nach Art. 82 DSGVO und nicht für Geldbußen nach Art. 83 DSGVO.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem verfolgten Zweck am nächsten kommt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage nennt nur Maßnahmen, die tatsächlich umgesetzt sind. Was fehlt, steht unter „Offene Punkte".

1. Vertraulichkeit

Zutrittskontrolle. Die Verarbeitung findet in Rechenzentren des Unterauftragsverarbeiters Railway statt (Region EU West, Amsterdam, Niederlande). Der Auftragsverarbeiter unterhält keine eigenen Server. Für die physische Sicherheit gelten die Maßnahmen des Rechenzentrumsbetreibers.

Zugangskontrolle.

• Anmeldung mit E-Mail-Adresse und Passwort
• Passwörter ausschließlich als bcrypt-Hash gespeichert, niemals im Klartext
• Anmeldung über zeitlich begrenzte Token; das Token wird nicht im Browser gespeichert, sondern nur im Arbeitsspeicher der geöffneten Seite gehalten
• Begrenzung der Anfragen je Minute und IP-Adresse gegen automatisierte Anmeldeversuche
• Zurücksetzen des Passworts über Einmal-Token ohne Preisgabe, ob eine Adresse existiert; das Setzen eines neuen Passworts verwirft alle bestehenden Sitzungen

Zugriffskontrolle.

• Rollen- und Rechtemodell; jede Berechtigung wird serverseitig geprüft, nicht in der Oberfläche
• Jeder Zugriff ist an genau einen Betrieb gebunden; die Daten verschiedener Betriebe sind voneinander getrennt
• Auch die Navigation ist rechtegeprüft: Ein Mitarbeiter ohne Rechnungsrecht sieht den Bereich nicht
• Zugangsdaten zu verbundenen Konten werden verschlüsselt abgelegt
• Support-Zugriffe nur durch einzeln freigeschaltete Personen, mit dokumentiertem Anlass und auf höchstens vier Stunden befristet; Freischaltung und Sitzung werden bei jeder Anfrage neu geprüft, eine entzogene Freischaltung wirkt sofort; Team, Abo und Verträge, endgültiges Löschen von Kunden, Rückgängigmachen eines Umzugs, der vollständige Datenexport, Einrichten und Ändern des Postfachs, Website-Aufträge, Läufe des KI-Agenten, Entscheidungen über seine Freigaben, Verbinden und Trennen von WhatsApp und Erklärungen gegenüber BetriebOS sind im Support-Zugriff technisch ausgeschlossen; jeder Zugriff ist für den Verantwortlichen einsehbar protokolliert (§ 6 Abs. 3 und 4)

Trennungskontrolle. Mandantentrennung über die Zugehörigkeit jedes Datensatzes zu genau einem Betrieb, zusätzlich in der Datenbank abgesichert. Ein Zugriff ohne Betriebszugehörigkeit ist technisch nicht möglich.

Pseudonymisierung und Datensparsamkeit.

• An die KI-Anbieter geht je Funktion nur der Ausschnitt, den Anlage 2 nennt.
• In den Protokollen der Assistenten-Läufe werden Zeichenketten durch ihre Länge ersetzt. Ausgenommen sind die ersten 500 Zeichen der Anfrage des Nutzers.
• Es gibt keine Felder für IBAN, BIC oder Kontoinhaber.
• IP-Adressen werden für Begrenzungen nur kurzzeitig im Arbeitsspeicher gehalten. Wo zum Zählen ein Wert gespeichert wird, ist es ein Prüfwert aus einem zufälligen Tagesschlüssel, der spätestens in der Nacht nach Ablauf des Tages gelöscht wird. Am selben Tag ist der Prüfwert pseudonym; nach dem Löschen des Schlüssels lässt er sich keiner IP-Adresse mehr zuordnen, außer mit einer Sicherungskopie der Datenbank, die den Schlüssel noch enthält. Der Prüfwert selbst wird nach 90 Tagen gelöscht.

2. Integrität

Weitergabekontrolle.

• Übertragung ausschließlich verschlüsselt über HTTPS/TLS, auch an Unterauftragsverarbeiter
• Die Websites, die BetriebOS für Betriebe ausliefert, laden keine Schriften und keine Skripte fremder Anbieter; ein Test hält die Liste erlaubter fremder Hosts leer. Die IP-Adressen der Besucher gelangen so nicht an Dritte.

Eingabekontrolle.

• Protokollierung sicherheitsrelevanter Vorgänge mit Zeitpunkt und handelndem Konto
• Freigaben sind einem Konto zugeordnet; deshalb ist die gemeinsame Nutzung eines Zugangs vertraglich untersagt
• Rechnungen und Buchungsbelege lassen sich auf Datenbankebene nicht löschen oder nachträglich ändern
• Werbeeinwilligungen der Kunden und ihr Widerruf werden mit Zeitpunkt nachgewiesen

3. Verfügbarkeit und Belastbarkeit

• Betrieb in einem professionellen Rechenzentrum
• Datenbank mit angehängtem Speichervolumen beim Unterauftragsverarbeiter
• Hochgeladene Dokumente, Fotos und abgelegte PDFs auf einem eigenen Speichervolumen beim Unterauftragsverarbeiter, das beim Ausrollen neuer Versionen erhalten bleibt
• Automatisierte Prüfung des Codes vor jedem Ausrollen; über 4.000 automatisierte Tests

4. Verfahren zur regelmäßigen Überprüfung

• Statische Prüfungen im Code verhindern, dass Schutzmaßnahmen unbemerkt zurückgebaut werden; jede solche Prüfung wird gegen den Zustand ohne die Maßnahme nachweislich rot gestellt, bevor sie als Wächter gilt
• Datenorte und Verträge mit Unterauftragsverarbeitern werden dokumentiert und mit Datum belegt
• Auftragskontrolle über die Verträge nach § 7

5. Offene Punkte — noch nicht umgesetzt

Diese Punkte stehen hier, weil der Verantwortliche sie kennen muss:

1. Kein Selbstbedienungsweg zum Löschen eines Kontos. Art. 17 DSGVO wird insoweit von Hand erfüllt, auf Verlangen in Textform.
2. Keine Anmeldung mit zweitem Faktor. Die Anmeldung erfolgt mit E-Mail-Adresse und Passwort.
3. Sicherungskopien nicht dokumentiert. Die Sicherungen des Datenbankdienstes und des Speichervolumens für Dateien beim Unterauftragsverarbeiter sind nicht überprüft; ein Wiederherstellungstest wurde nicht durchgeführt. Solange das so ist, wird über Sicherungen keine Zusage gemacht.
4. Keine Verschlüsselung der Daten im Ruhezustand auf Anwendungsebene. Verschlüsselt abgelegt sind nur Zugangsdaten zu verbundenen Konten. Für die übrige Verschlüsselung gelten die Maßnahmen des Rechenzentrumsbetreibers.
5. Keine Messung der Verfügbarkeit. Ausfallzeiten werden nicht erhoben.
6. Verträge mit Unterauftragsverarbeitern teilweise ausstehend. Die Verträge nach § 7 Abs. 3 sind mit Railway, OpenAI und Resend geschlossen. Mit Anthropic, Higgsfield, Google, united-domains, fal, Together AI und seven.io stehen sie noch aus.

Anlage 2 — Was die KI-Funktionen übertragen

Was der Verantwortliche oder seine Kunden selbst als Text eingeben, geht so an den Anbieter, wie es geschrieben wurde, und kann deshalb auch Namen, Telefonnummern oder andere Angaben enthalten. Im Übrigen gilt je Funktion:

Funktion	Was übertragen wird	An wen
Assistent	Name des Kunden, Beleg- und Auftragsnummern, Status, Fälligkeitsdaten, Summen, Positionstexte, Mengen und Einzelpreise, Auftrags- und Termintitel, die Anfrage des Nutzers. Aus den Kundendaten liest der Assistent keine Anschriften, E-Mail-Adressen, Telefonnummern, Notizen, Zusatzfelder, Dokumentinhalte oder Zugangsdaten.	OpenAI
Chat „Frag die KI"	Frage und bisheriger Chatverlauf, Angaben zum Betrieb (etwa Name, Branche, Anschrift, Telefon, Website, Leistungen mit Preisen, Zahlen wie offene Anfragen oder Termine), Ergebnisse der Betriebsanalyse	OpenAI
Antwortentwürfe zu Kundenanfragen	der Text, den der Kunde in seine Anfrage geschrieben hat	OpenAI
Texte für das Marketing	Vorschläge und Entwürfe der Marketing-KI: Angaben zum Betrieb (Name, Branche, Ort, Telefon, Website), Leistungen mit Preisen und Dauer, freie Termine, Ergebnisse der Betriebsanalyse (darunter Auszüge aus Google-Bewertungen ohne die Namen der Verfasser), Anlass oder Stichwort, Wunsch des Nutzers. Beiträge im Marketing-Studio: Anlass oder Stichwort, gewählte Leistung, Wunsch des Nutzers, Angaben zum Betrieb, ohne Preise	OpenAI
Bilder für das Marketing	Bildbeschreibung und Branche	fal oder Together AI (FLUX), wenn eingerichtet, sonst OpenAI
Betriebsfoto verbessern	das Foto von der Website des Betriebs, das BetriebOS zeigt	OpenAI
Website-Auftrag	Name, Leistungen, Preise, Öffnungszeiten und Kontaktdaten des Betriebs und seine Wünsche; für Stimmungsbilder eine Bildbeschreibung; keine Daten seiner Kunden	Anthropic (Claude Desktop); Stimmungsbilder: Higgsfield
Vorschläge zu Bereichen, Website-Texten und Änderungen (auch für den Assistenten und im Website-Editor)	Beschreibung bzw. Wunsch des Nutzers, Angaben zum Betrieb aus seiner Website oder seinem Google-Eintrag (etwa Name, Branche, Beschreibung, Telefon, E-Mail-Adresse, Anschrift, Öffnungszeiten, Leistungen), Aufbau der Bereiche; keine Daten seiner Kunden	Anthropic
Betriebsanalyse („Jetzt analysieren")	Texte der geladenen Google-Bewertungen ohne die Namen der Verfasser, Bildschirmfoto der Startseite der Website, Texte der gelesenen Seiten der Website	OpenAI

Die Inhalte, die an OpenAI gehen, werden nicht zum Training der Modelle verwendet. Die Verarbeitung findet außerhalb der Europäischen Union statt (§ 8 Abs. 3).

Frühere Fassungen

Die bisherigen Fassungen dieses Vertrags, unverändert:

• Fassung mit Stand 3. Oktober 2026 – zuletzt veröffentlicht