zwischen

und

– beide zusammen „die Parteien“ –

Präambel

Der Auftragsverarbeiter betreibt den Online-Dienst „ChatDecoder“, mit dem Nutzer WhatsApp-Chatverläufe und darin enthaltene Sprachnachrichten hochladen können, um diese transkribieren, analysieren und auswerten zu lassen (z. B. Sentiment-/Gesprächsanalyse, Chronologie, „Ask your Chat“-Funktion). Der Verantwortliche setzt ChatDecoder im Rahmen seiner eigenen Geschäftstätigkeit ein und lädt hierzu personenbezogene Daten (insbesondere Chatinhalte, ggf. auch Daten Dritter, z. B. von Chatpartnern) hoch. Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der hiermit verbundenen Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO.

1. Gegenstand und Dauer des Auftrags

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung von ChatDecoder. Einzelheiten ergeben sich aus Anlage 1.

(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des zwischen den Parteien bestehenden Hauptvertrags über die Nutzung von ChatDecoder (Nutzungsvertrag/AGB) und endet automatisch mit dessen Beendigung.

2. Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer, sofern keine gesetzliche Verpflichtung entgegensteht.

(2) Die Nutzung der Funktionen von ChatDecoder (Upload, Auswahl der Analysefunktionen, Löschung) gilt als Weisung. Weitergehende Weisungen sind in Textform zu erteilen.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und kann die Ausführung bis zur Klärung aussetzen.

3. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen; dies gilt auch nach Beendigung der jeweiligen Tätigkeit fort.

4. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Alternative, adäquate Maßnahmen sind zulässig, sofern das Schutzniveau nicht unterschritten wird.

5. Berichtigung, Einschränkung und Löschung von Daten

(1) Der Auftragsverarbeiter berichtigt, löscht oder schränkt Daten nur nach dokumentierter Weisung des Verantwortlichen ein; direkte Anfragen betroffener Personen werden unverzüglich weitergeleitet.

(2) Der Verantwortliche kann eigene Analyseergebnisse jederzeit selbst über sein Nutzerkonto löschen.

(3) Hochgeladene Rohdaten (Export- und Audiodateien) werden unmittelbar nach Abschluss der Verarbeitung automatisiert gelöscht.

6. Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen nach Kapitel III DSGVO.

(2) Der Auftragsverarbeiter unterstützt bei der Einhaltung der Art. 32–36 DSGVO (Sicherheit, Meldepflichten, Folgenabschätzung, Konsultation).

(3) Datenschutzverletzungen werden dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, gemeldet.

7. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter gemäß den Voraussetzungen dieses Absatzes.

(2) Die aktuell eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Änderungen werden vorab in Textform mitgeteilt; ein Widerspruch aus wichtigem Grund ist innerhalb von 14 Tagen möglich.

(3) Jeder Unterauftragsverarbeiter wird vertraglich zu im Wesentlichen denselben Pflichten verpflichtet, einschließlich des Ausschlusses der Nutzung von Daten zu KI-Trainingszwecken.

(4) Der Auftragsverarbeiter haftet für die Einhaltung der Pflichten seiner Unterauftragsverarbeiter.

8. Kontrollrechte des Verantwortlichen

(1) Der Auftragsverarbeiter stellt Nachweise zur Einhaltung von Art. 28 DSGVO bereit und ermöglicht Überprüfungen.

(2) Kontrollen sind mit mindestens zwei Wochen Vorlauf schriftlich anzukündigen; Nachweise (Zertifizierungen, Auditberichte) können eine Vor-Ort-Kontrolle ersetzen.

(3) Kosten für Vor-Ort-Kontrollen trägt grundsätzlich der Verantwortliche, außer bei festgestellten Verstößen des Auftragsverarbeiters.

9. Verarbeitung außerhalb der EU/des EWR

Eine Verarbeitung in Drittstaaten erfolgt nur bei Vorliegen geeigneter Garantien gemäß Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss, EU-Standardvertragsklauseln).

10. Löschung und Rückgabe von Daten nach Auftragsende

Nach Beendigung der Leistungserbringung werden alle im Auftrag verarbeiteten Daten vollständig gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Rückgabe erfolgt auf Wunsch in einem gängigen, maschinenlesbaren Format, soweit technisch vorgesehen.

11. Haftung

Es gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, ergänzt um die Haftungsregelungen des Hauptvertrags, soweit nicht im Widerspruch zur DSGVO.

12. Schlussbestimmungen

(1) Änderungen bedürfen der Textform. (2) Die Unwirksamkeit einzelner Bestimmungen berührt die übrigen nicht. (3) Bei Widersprüchen zu sonstigen Vereinbarungen gehen die Regelungen dieses Vertrags in Bezug auf die Datenverarbeitung vor. (4) Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Berlin.

Anlage 1 – Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand	Bereitstellung von ChatDecoder zur Transkription und Analyse hochgeladener WhatsApp-Chatverläufe und Sprachnachrichten.
Dauer	Laufzeit des Hauptvertrags (Nutzungsvertrag) zwischen den Parteien.
Art der Verarbeitung	Erheben, temporäres Speichern, Transkribieren, Auswerten, Übermitteln an Unterauftragsverarbeiter, Löschen.
Zweck	Erstellung der vom Verantwortlichen beauftragten Analysen der hochgeladenen Kommunikationsinhalte.
Art der Daten	Kontodaten; Inhalte hochgeladener Chat-Exporte (Text/Audio); Analyseergebnisse; Zahlungs-/Abrechnungsdaten; Nutzungs- und Protokolldaten.
Betroffene Personen	Nutzer des Verantwortlichen sowie an den Chatverläufen beteiligte Dritte.

Anlage 2 – Technische und organisatorische Maßnahmen

• Zutritts-, Zugangs- und Zugriffskontrolle nach dem Need-to-know-Prinzip
• Verschlüsselte Übertragung (TLS/HTTPS) und verschlüsselte Speicherung der Analyseergebnisse
• Automatisierte, unmittelbare Löschung von Rohdaten nach Abschluss der Verarbeitung
• Vertragliche Bindung aller Unterauftragsverarbeiter an Art. 28 DSGVO inklusive Ausschluss der Nutzung für KI-Training

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Die aktuelle Liste der eingesetzten Unterauftragsverarbeiter (Hosting, Transkription, KI-Analyse, Zahlungsabwicklung) wird Geschäftskunden auf Anfrage unter office@girona.de zur Verfügung gestellt und ist Bestandteil dieses Vertrags.