Auftragsverarbeitungsvertrag
Dieser Vertrag („AV-Vertrag“) gilt zwischen dem Kunden (Verantwortlicher) und der FutureChamps GmbH, Schenkenstraße 4, 6. Stock, 1010 Wien, Österreich (Auftragsverarbeiter), soweit kennt.ai im Auftrag des Kunden personenbezogene Daten verarbeitet. Er ist Bestandteil der AGB und wird mit deren Annahme wirksam. Eine unterschriebene Fassung erhält der Kunde auf Anfrage an hello@kennt.ai.
1. Gegenstand, Dauer, Art und Zweck
kennt.ai erhebt KI-Antworten auf die Fragen des Kunden, wertet sie aus, speichert Reports und liest, falls verbunden, Daten aus Google Analytics 4, der Search Console und Slack, um den Dienst kennt.ai zu erbringen. Der AV-Vertrag läuft für die Dauer des Hauptvertrags.
2. Datenarten und betroffene Personen
- Nutzer des Kunden: Namen, E-Mail-Adressen, Profilbilder, Anmelde- und Nutzungsdaten, Fragen an den KI-Analysten.
- In KI-Antworten oder zitierten Quellen genannte Personen (z. B. Mitarbeitende oder Personen des öffentlichen Lebens): Namen und zugehörige Aussagen.
- Besucher der Websites des Kunden, nur aggregiert aus GA4 (Sitzungen, Key Events nach Quelle, Land und Woche); keine Profile einzelner Besucher.
- Slack-Nutzer in verbundenen Workspaces: Namen und Nachrichten in Threads mit dem kennt.ai-Bot.
3. Weisungen
Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Kunden; der Vertrag und die Einstellungen des Kunden in der App sind solche Weisungen. Halten wir eine Weisung für datenschutzwidrig, informieren wir den Kunden.
4. Vertraulichkeit
Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet (§ 6 DSG).
5. Sicherheit (Art. 32 DSGVO)
- Datenbank-Hosting in der EU (Frankfurt); Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand.
- Strikte Mandantentrennung: Jeder Kundendatensatz trägt eine Projekt-ID und ist in der Datenbank durch Row-Level-Security geschützt; automatisierte Tests prüfen die Trennung.
- Zugriff nur für Personen, die ihn brauchen, mit persönlichen Konten und Zwei-Faktor-Authentifizierung; keine gespeicherten Passwörter für Kunden-Logins; Geheimnisse liegen in einem Vault, nie im Code.
- Backups durch den Hosting-Anbieter (Supabase) (täglich); Logs ohne IP- oder E-Mail-Adressen, wo nicht nötig.
- Incident-Prozess: Sicherheitsvorfälle werden erfasst, bewertet, eingedämmt und, soweit personenbezogene Daten betroffen sind, dem Kunden nach Abschnitt 8 gemeldet.
- Regelmäßige Überprüfung dieser Maßnahmen, mindestens einmal jährlich.
6. Unterauftragsverarbeiter
Der Kunde genehmigt die unten genannten Unterauftragsverarbeiter. Über neue oder ersetzte Unterauftragsverarbeiter informieren wir mindestens 30 Tage vorher; der Kunde kann aus wichtigem Grund widersprechen und, wenn keine Lösung gefunden wird, den betroffenen Dienst kündigen. Wir verpflichten jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten.
| Dienst | Anbieter | Ort der Verarbeitung | Zweck | Grundlage für Drittlandübermittlung |
|---|---|---|---|---|
| Supabase | Supabase Pte. Ltd., Singapore | EU (AWS eu-central-1, Frankfurt) | Datenbank, Login (Authentifizierung), Hintergrundjobs und die kennt.ai-Score-Funktion | Speicherung in der EU; Zugriffe von außerhalb der EU (z. B. Support): Standardvertragsklauseln (AV-Vertrag von Supabase) |
| Vercel | Vercel Inc., USA | Funktionen in der EU (fra1, Frankfurt); globales Edge-Netzwerk für die Auslieferung | Hosting dieser Website und der kennt.ai-App, Auslieferung, Server-Logs | EU-U.S. Data Privacy Framework (zertifiziert) und Standardvertragsklauseln |
| DataForSEO | DataForSEO OÜ, Estonia | EU (Estland) | Stellt den KI-Engines (ChatGPT, Gemini, Google AI Mode, AI Overviews) die erfassten Fragen und liefert die Antworten. Erhält Fragen, Land und Sprache, keine Besucherdaten | Nicht erforderlich (Unternehmen in der EU); Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |
| Anthropic | Anthropic Ireland, Limited, Ireland (contract partner); processing by Anthropic PBC, USA | USA | KI-Modelle (Claude), die KI-Antworten auswerten, den kostenlosen Check aufsetzen (Marke, Kategorie, Mitbewerber, Fragen) und den KI-Analysten betreiben. Keine Verwendung zum Training | Standardvertragsklauseln (AV-Vertrag von Anthropic) |
| Stripe | Stripe Payments Europe, Ltd., Ireland | EU / USA | Zahlungen, Rechnungen, Abonnements | EU-U.S. Data Privacy Framework und Standardvertragsklauseln für Übermittlungen an Stripe, Inc. |
| Resend | Plus Five Five, Inc. (Resend), USA | Versand aus der EU (AWS eu-west-1, Irland); Kontodaten, E-Mail-Metadaten und Logs in den USA | Versand von E-Mails: Login-Links und -Codes, Reports, Servicenachrichten | EU-U.S. Data Privacy Framework (zertifiziert) und Standardvertragsklauseln |
| Google Ireland Ltd., Ireland | EU / USA | „Mit Google anmelden“ (nur wenn Sie es wählen); Abruf von Google-Analytics-4- und Search-Console-Daten (nur wenn ein Kunde sie verbindet) | EU-U.S. Data Privacy Framework | |
| PostHog | PostHog Inc., USA | EU (Frankfurt, PostHog EU-Cloud) | Cookielose Website-Reichweitenmessung und Produktanalyse in der App (pseudonyme Nutzer-ID, IP-Adressen verworfen) | Daten in der EU gehostet; Standardvertragsklauseln für Support-Zugriffe von außerhalb der EU |
| Cloudflare Turnstile | Cloudflare, Inc., USA | Weltweit | Bot-Schutz für den kostenlosen kennt.ai Score (prüft Browsersignale, setzt keine Tracking-Cookies) | EU-U.S. Data Privacy Framework und Standardvertragsklauseln |
| Slack | Slack Technologies Ltd., Ireland | EU / USA | Wochenreport und KI-Analyst in Slack (nur wenn ein Kunde einen Workspace verbindet) | EU-U.S. Data Privacy Framework und Standardvertragsklauseln |
7. Unterstützung
Wir unterstützen den Kunden bei Betroffenenanfragen, Sicherheit, Meldungen von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen (Art. 32–36 DSGVO), soweit unsere Verarbeitung betroffen ist.
8. Datenschutzverletzungen
Wir informieren den Kunden unverzüglich, spätestens 48 Stunden nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten, mit den zu diesem Zeitpunkt verfügbaren Informationen.
9. Löschung und Rückgabe
Nach Vertragsende löschen wir die personenbezogenen Daten des Kunden innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Davor kann der Kunde seine Daten exportieren (CSV, API).
10. Kontrollen
Wir stellen dem Kunden die zum Nachweis nötigen Informationen zur Verfügung und ermöglichen Überprüfungen durch den Kunden oder einen zur Verschwiegenheit verpflichteten Prüfer, nach angemessener Vorankündigung und höchstens einmal jährlich, sofern kein konkreter Anlass besteht.
11. Drittlandübermittlungen
Übermittlungen außerhalb der EU/des EWR erfolgen nur nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss, EU-U.S. Data Privacy Framework oder Standardvertragsklauseln), wie in Abschnitt 6 angegeben.
12. Schlussbestimmungen
Die Haftung richtet sich nach den AGB und Art. 82 DSGVO. Es gilt österreichisches Recht; Gerichtsstand ist Wien. Die deutsche Fassung ist maßgeblich.