Auftragsverarbeitungsvertrag

Stand: September 2026

1. Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Nutzung von InsightHub — einer SaaS-Plattform für KI-gestützte Produktsuche, Chat-Assistenz und Such-Analytik.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages zwischen dem Verantwortlichen (Kunden) und dem Auftragsverarbeiter (Anbieter).

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Bereitstellung des KI-Assistenten auf der Website/im Shop des Kunden (Chat-Widget) sowie — bei gebuchtem Add-on — über WhatsApp und Telefon (InsightHub Voice)
• Speicherung und Auswertung von Such-Anfragen, Chat-Sitzungen und Klickpfaden
• Erstellung und Anzeige von Analytik-Dashboards im Admin-Bereich des Kunden
• Synchronisation von Produkt-, Inhalts-, Kunden- und Bestelldaten aus angebundenen Shop- und Website-Systemen
• Lead- und Kontaktverwaltung inkl. Dokumentenablage, Helpdesk-Tickets, Bewertungs- und Umfrageeinladungen, Warenkorb-Erinnerungen und Automatisierungen im Auftrag des Kunden
• Zustellung von Transaktions- und Benachrichtigungs-E-Mails (z. B. Berichte, Warnungen)

3. Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten können verarbeitet werden:

• Such-Anfragen, Chat-Nachrichten, WhatsApp-Nachrichten und Telefon-Gesprächsprotokolle (Text, keine Audioaufzeichnung) von Endnutzern
• Kontakt- und Lead-Daten: Name, E-Mail, Telefonnummer (auch Rufnummer von Anrufern), Anliegen, Status, Notizen, benutzerdefinierte Felder
• Kunden- und Bestelldaten aus dem Shop-System des Kunden (Name, E-Mail, Bestellnummer, Positionen, Status), Warenkörbe inkl. Einwilligungsnachweis
• Bewertungen und Umfrageantworten (Name, E-Mail, Bewertung, Freitext)
• Technische Daten: Visitor-ID, IP-Adresse, User-Agent, Zeitstempel, Sitzungszuordnung
• Optional vom Kunden übergebene Kundenkennungen: Kunden-ID, E-Mail-Adresse, Name
• Account-Daten der Administratoren des Kunden: Name, E-Mail, Passwort-Hash, Locale, Rolle
• Nutzungsdaten (Aufrufe, Zeitstempel, gesetzte Aktionen)
• Vom Kunden oder von Endnutzern hochgeladene Dokumente und Dateien (z. B. Verträge, Ausweiskopien, Rechnungen, Bilder) samt Dateiname, Dateityp, Grösse und Zuordnung zum jeweiligen Lead — einschliesslich aller personenbezogenen Daten, die diese Dokumente enthalten

4. Kategorien betroffener Personen

• Endnutzer (Kunden, Besucher) der vom Kunden betriebenen Website oder des Shops
• Mitarbeiter und Administratoren des Kunden, die InsightHub bedienen

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
• Sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind
• Alle gemäss Art. 32 DSGVO erforderlichen technischen und organisatorischen Massnahmen zu ergreifen (siehe Anlage 2)
• Keine weiteren Unterauftragsverarbeiter ausserhalb der in Anlage 3 genannten ohne vorherige Genehmigung hinzuzuziehen
• Den Verantwortlichen bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen (Art. 12–22 DSGVO) zu unterstützen
• Den Verantwortlichen bei Datenschutz-Folgenabschätzungen und Meldepflichten zu unterstützen
• Nach Beendigung der Verarbeitung alle personenbezogenen Daten zu löschen oder zurückzugeben
• Dem Verantwortlichen alle zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung zu stellen und Prüfungen zu ermöglichen

6. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt Unterauftragsverarbeiter für Hosting und Netzwerk, KI-Dienste, E-Mail-Versand, Zahlungsabwicklung sowie — nur bei den jeweils gebuchten Add-ons — für WhatsApp-Messaging und Telefonie ein. Eine vollständige Liste mit Zweck und Serverstandort ist in Anlage 3 aufgeführt.

Bei Hinzuziehung weiterer Unterauftragsverarbeiter wird der Verantwortliche mit angemessener Frist vorab informiert und erhält die Möglichkeit, Einspruch zu erheben. Bei berechtigtem Einspruch steht beiden Parteien ein Sonderkündigungsrecht zu.

7. Technische und organisatorische Massnahmen

Der Auftragsverarbeiter gewährleistet folgende Sicherheitsmassnahmen:

7.1 Vertraulichkeit

• Zugriffskontrolle durch Authentifizierung und rollenbasierte Berechtigungen
• Beschränkung des Zugriffs auf autorisierte Mitarbeiter
• Verschlüsselung der Datenübertragung (TLS 1.2+)
• Verschlüsselung sensibler Daten im Ruhezustand

7.2 Integrität

• Protokollierung von Eingabe-, Änderungs- und Löschvorgängen
• Eingabevalidierung und Schutz vor Injection-Angriffen
• Sichere Übertragungswege zwischen Anwendungskomponenten

7.3 Verfügbarkeit

• Regelmässige, automatisierte und verschlüsselte Backups (Ablage getrennt vom Produktivsystem) mit geprüfter Wiederherstellung
• Monitoring der Dienste und Incident-Benachrichtigungen
• Dokumentierte Wiederherstellungsverfahren

7.4 Belastbarkeit

• Skalierbare Infrastruktur in zertifizierten EU-Rechenzentren
• Überwachung der Systemressourcen
• Redundante Komponenten, wo wirtschaftlich sinnvoll

8. Speicherfristen

9. Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäss Art. 12–22 DSGVO, insbesondere bei:

• Auskunftsersuchen (Art. 15 DSGVO)
• Berichtigungsverlangen (Art. 16 DSGVO)
• Löschungsverlangen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)

10. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten. Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
• Wahrscheinliche Folgen der Verletzung
• Ergriffene oder vorgeschlagene Gegenmassnahmen

11. Löschung und Rückgabe

Nach Beendigung des Vertragsverhältnisses werden alle im Auftrag verarbeiteten personenbezogenen Daten gelöscht oder — auf Wunsch des Verantwortlichen — zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Bestätigung der Löschung erfolgt auf Verlangen.

12. Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung der technischen und organisatorischen Massnahmen zu überprüfen. Der Auftragsverarbeiter stellt die erforderlichen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Abstimmung in angemessener Weise.

13. Haftung

Die Haftung richtet sich nach den Bestimmungen des Art. 82 DSGVO. Jede Partei haftet für die Schäden, die durch eine nicht der DSGVO entsprechende Verarbeitung verursacht werden, entsprechend ihrem Verschulden. Im Übrigen gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen.

14. Schlussbestimmungen

Dieser Auftragsverarbeitungsvertrag unterliegt österreichischem Recht. Änderungen und Ergänzungen bedürfen der Schriftform (Textform genügt). Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.