Rechtliches

Auftragsverarbeitungsvertrag

Verarbeitet unser Assistent personenbezogene Daten in Ihrem Auftrag? Dann schreibt die DSGVO vor, dass wir darüber Vereinbarungen treffen. Diese stehen hier. Dieser Auftragsverarbeitungsvertrag gehört zu unseren Allgemeinen Geschäftsbedingungen und gilt automatisch, sobald Sie die Plattform nutzen.

Kurz gesagt: Sie bleiben Herr über die Daten Ihrer Besucher — wir verarbeiten sie ausschließlich, um Ihren Assistenten arbeiten zu lassen, sichern sie gut ab, ziehen nur sorgfältig ausgewählte Unterauftragsverarbeiter hinzu und geben am Ende alles zurück oder vernichten es. Wir trainieren damit keine KI-Modelle und verkaufen nichts weiter.

Zuletzt aktualisiert: 13. Juni 2026.

Artikel 1 · Parteien

Dieser Auftragsverarbeitungsvertrag gilt zwischen:

Ihnen — dem Kunden, der die Plattform nutzt — als Verantwortlichem; und
De Codebrouwerij B.V., handelnd unter dem Namen Codebrouwerij, ansässig an der Berndijksestraat 103 B, 5171 BB Kaatsheuvel, Handelsregister 96285826 (nachfolgend: "wir" oder "Codebrouwerij") als Auftragsverarbeiter.

Sie bestimmen, warum und wie die personenbezogenen Daten verarbeitet werden; wir führen diese Verarbeitung für Sie aus. Wo dieser Vertrag von den Allgemeinen Geschäftsbedingungen abweicht, gilt für die Verarbeitung personenbezogener Daten dieser Vertrag.

Artikel 2 · Begriffe

Die Begriffe aus der DSGVO (der Datenschutz-Grundverordnung) haben in diesem Vertrag dieselbe Bedeutung. Mit "personenbezogenen Daten", "Verarbeiten", "betroffener Person", "Unterauftragsverarbeiter" und "Datenschutzverletzung" meinen wir also das, was die DSGVO darunter versteht. Mit "Endnutzer" meinen wir den Besucher, der mit Ihrem Assistenten ein Gespräch führt.

Artikel 3 · Gegenstand, Art und Zweck

Wir verarbeiten personenbezogene Daten ausschließlich, um Ihnen den Dienst zu liefern: das Arbeitenlassen Ihrer Assistenten, das Beantworten von Fragen der Endnutzer auf Basis Ihrer Inhalte und das Bereitstellen des Posteingangs, der Analysen und der Verwaltungsmöglichkeiten im Portal. Die Art der Verarbeitung, die Arten von Daten und die Kategorien betroffener Personen stehen in Anlage A.

Artikel 4 · Unsere Pflichten

Wir verarbeiten die personenbezogenen Daten nur auf Ihre Weisung und für die oben genannten Zwecke, es sei denn, das Gesetz verpflichtet uns zu etwas anderem — in diesem Fall melden wir das vorab, sofern dieses Gesetz das nicht verbietet.
Die Konfiguration, die Sie im Portal wählen (Quellen, Verhalten, Aufbewahrungsfristen, Kanäle), gilt als Ihre Weisung. Zusätzliche Weisungen können Sie uns schriftlich erteilen.
Wir nutzen die Daten nicht für eigene Zwecke, verkaufen sie nicht und verwenden sie nicht, um KI-Modelle zu trainieren.
Wir lassen die Daten nur durch Personen oder Parteien verarbeiten, die zur Vertraulichkeit verpflichtet sind.

Artikel 5 · Sicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz der Daten, im Einklang mit Artikel 32 der DSGVO. Eine aktuelle Übersicht steht in Anlage C. Dabei berücksichtigen wir den Stand der Technik, die Implementierungskosten und das Risiko für die betroffenen Personen. Wir können Maßnahmen anpassen, solange das Schutzniveau gleich bleibt oder besser wird.

Artikel 6 · Unterauftragsverarbeiter

Sie erteilen uns die allgemeine Genehmigung, Unterauftragsverarbeiter für die Erbringung des Dienstes hinzuzuziehen. Die Unterauftragsverarbeiter, die wir derzeit nutzen, stehen in Anlage B. Mit jedem Unterauftragsverarbeiter treffen wir Vereinbarungen, die mindestens so streng sind wie dieser Vertrag.

Fügen wir einen Unterauftragsverarbeiter hinzu oder ersetzen wir einen, lassen wir das vorab wissen. Haben Sie einen begründeten Einwand, der mit dem Datenschutz zu tun hat, treten wir darüber mit Ihnen in den Dialog; kommen wir nicht zu einer Lösung, können Sie den betreffenden Dienst kündigen.

Artikel 7 · Übermittlung außerhalb des EWR

Einige Unterauftragsverarbeiter — darunter die KI-Anbieter — verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums. In diesem Fall sorgen wir für eine gültige Grundlage für die Übermittlung, etwa die Standardvertragsklauseln der Europäischen Kommission, mit zusätzlichen Garantien, wo nötig.

Artikel 8 · Unterstützung bei Rechten betroffener Personen

Erhalten Sie eine Anfrage einer betroffenen Person (Auskunft, Berichtigung, Löschung und so weiter), unterstützen wir Sie dabei in angemessener Weise, soweit das nur über uns möglich ist. Richtet ein Endnutzer eine solche Anfrage direkt an uns, leiten wir diese — wenn es um Ihre Verarbeitung geht — an Sie weiter und bearbeiten sie nicht eigenständig.

Artikel 9 · Unterstützung bei Bewertungen

Wir unterstützen Sie, soweit angemessen, bei Ihren Pflichten rund um die Sicherheit der Verarbeitung, die Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen (DSFA) und gegebenenfalls die Abstimmung mit der Aufsichtsbehörde. Dafür stellen wir Ihnen die Informationen zur Verfügung, die Sie in angemessenem Umfang benötigen.

Artikel 10 · Datenschutzverletzungen

Entdecken wir eine Datenschutzverletzung, die Ihre Daten betrifft, melden wir das ohne unnötige Verzögerung, nachdem wir davon Kenntnis erlangt haben. Wir stellen Ihnen die Informationen zur Verfügung, die Sie benötigen, um Ihrer eigenen Meldepflicht gegenüber der Aufsichtsbehörde und gegebenenfalls gegenüber betroffenen Personen nachzukommen, und treffen angemessene Maßnahmen, um die Folgen zu begrenzen. Die Meldung an die Datenschutzbehörde und an betroffene Personen nehmen Sie selbst vor, als Verantwortlicher.

Artikel 11 · Audits

Auf Ihren Wunsch weisen wir nach, dass wir uns an diesen Vertrag halten, etwa mit unserer Dokumentation oder einer Erklärung. Möchten Sie ein Audit, ist das höchstens einmal pro Jahr möglich (und darüber hinaus, wenn die Aufsichtsbehörde oder ein ernsthafter Verdacht das verlangt), nach angemessener Vorabstimmung, während der Bürozeiten und ohne den Dienst für andere zu stören. Die Kosten eines Audits, das Sie selbst wünschen, tragen Sie selbst, es sei denn, es zeigt sich, dass wir unzureichend gehandelt haben.

Artikel 12 · Rückgabe und Löschung

Endet der Dienst, löschen wir die personenbezogenen Daten, die wir in Ihrem Auftrag verarbeiten, innerhalb einer angemessenen Frist, oder geben sie an Sie zurück, wenn Sie darum bitten, bevor wir sie löschen. Einen Export Ihrer Daten können Sie im Portal anfordern. Daten, die wir gesetzlich länger aufbewahren müssen, bewahren wir nur dafür auf und schützen sie weiterhin.

Artikel 13 · Haftung

Für die Haftung unter diesem Vertrag gelten die Beschränkungen aus unseren Allgemeinen Geschäftsbedingungen. Die Verteilung der Verantwortung folgt der DSGVO: Jeder trägt das, was ihm aufgrund des Gesetzes und dieses Vertrags zukommt.

Artikel 14 · Laufzeit und Beendigung

Dieser Vertrag tritt in Kraft, sobald Sie die Plattform nutzen, und läuft, solange wir personenbezogene Daten in Ihrem Auftrag verarbeiten. Nach Ablauf bleiben die Bestimmungen, die ihrer Art nach fortbestehen müssen — wie Vertraulichkeit und Löschung — in Kraft, bis sie erfüllt sind.

Artikel 15 · Anwendbares Recht

Auf diesen Vertrag ist niederländisches Recht anwendbar. Streitigkeiten legen wir dem zuständigen Gericht im Bezirk vor, in dem De Codebrouwerij B.V. ansässig ist, es sei denn, das Gesetz schreibt zwingend etwas anderes vor.

Anlage A · Details der Verarbeitung

Gegenstand: die Bereitstellung der aqivo-Plattform für den Kunden.

Zweck: Fragen der Endnutzer auf Basis der Inhalte des Kunden zu beantworten und die zugehörigen Posteingangs-, Analyse- und Verwaltungsmöglichkeiten zu bieten.

Dauer: solange der Vertrag läuft und, pro Gespräch, gemäß den Aufbewahrungseinstellungen, die der Kunde wählt.

Kategorien betroffener Personen:

Endnutzer, die mit einem Assistenten des Kunden chatten;
Mitarbeiter des Kunden, die das Portal nutzen;
Personen, die in den Inhalten vorkommen, die der Kunde verbindet.

Arten personenbezogener Daten:

der Inhalt von Chat-Nachrichten und die Antworten des Assistenten;
technische Gesprächsdaten (wie Zeitpunkt, Sprache und eine Sitzungskennung);
Daten, die der Kunde selbst über einen eingeloggten Endnutzer mitgibt (wie eine Benutzer-ID oder E-Mail-Adresse);
etwaige personenbezogene Daten, die in den verbundenen Inhalten oder durch den Endnutzer selbst geteilt werden.

Besondere Kategorien personenbezogener Daten sind nicht vorgesehen. Teilen Sie diese nicht über den Assistenten, es sei denn, Sie haben dafür eine eigene Rechtsgrundlage und geeignete Maßnahmen.

Anlage B · Unterauftragsverarbeiter

Derzeit ziehen wir die folgenden Unterauftragsverarbeiter für die Verarbeitung im Auftrag des Kunden hinzu:

OpenAI — Sprachmodelle (GPT) und das Durchsuchbarmachen von Inhalten (Embeddings). Verarbeitung teils außerhalb des EWR, mit geeigneten Garantien. Nutzt die Daten über die geschäftlichen Bedingungen nicht, um Modelle zu trainieren.
Anthropic — Sprachmodelle (Claude). Verarbeitung teils außerhalb des EWR, mit geeigneten Garantien. Nutzt die Daten über die geschäftlichen Bedingungen nicht, um Modelle zu trainieren.
Hosting & Infrastruktur — die Server, auf denen die Plattform und die Daten laufen, innerhalb des EWR.

Welches Sprachmodell ein Assistent nutzt, wählen Sie selbst im Portal. Eine aktuelle Liste der Unterauftragsverarbeiter kann über info@codebrouwerij.nl angefordert werden.

Anlage C · Sicherheitsmaßnahmen

Wir treffen unter anderem die folgenden Maßnahmen (die Übersicht kann sich mit der Technik weiterentwickeln):

verschlüsselte Verbindungen (TLS/HTTPS) für den gesamten Verkehr von und zur Plattform;
abgeschirmter, rollenbasierter Zugriff auf Daten, nach dem Prinzip der minimalen Rechte;
sorgfältige Verwaltung von Geheimnissen, Schlüsseln und Passwörtern, getrennt von der Anwendung;
Trennung der Daten pro Kunde (mandantenfähig mit logischer Abschirmung);
Maßnahmen gegen Missbrauch, wie Geschwindigkeitsbegrenzung und das Blockieren interner Adressen bei Aktionen;
Logging und Monitoring, um Vorfälle bemerken und untersuchen zu können;
Back-ups und Wiederherstellungsverfahren für die Kontinuität des Dienstes.