Allgemeine Geschäftsbedingungen
AGB von Tolgahan Vardar, handelnd als Einzelunternehmer unter der Marke „Wortfluss.io“, Hauffstraße 55, 47166 Duisburg, Deutschland, Telefon: 0178 5428363, E-Mail: hello@wortflus.io („Anbieter“).
§ 1 Anbieter, Gegenstand und Geltungsbereich
Diese Allgemeinen Geschäftsbedingungen („AGB“) gelten für sämtliche Verträge zwischen dem Anbieter und Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts oder öffentlich-rechtlichen Sondervermögen („Kunde“) über die Bereitstellung und Nutzung der cloudbasierten Software Wortfluss.io sowie damit verbundener Einrichtungs-, Integrations-, Beratungs-, Support- und Projektleistungen.
Wortfluss.io ist eine modulare Software-as-a-Service-Lösung zur KI-gestützten Bearbeitung und Automatisierung von Kommunikations- und Geschäftsprozessen. Je nach gebuchtem Leistungsumfang kann Wortfluss.io insbesondere Telefonie, E-Mail, WhatsApp, Web- und Social-Media-Anfragen, zentrale Inbox-Funktionen, Terminbuchung, Lead- und Bewerberqualifizierung, Bestandskundenreaktivierung, Erinnerungen, Datenerfassung, CRM- und Kalenderanbindungen, Workflow-Automatisierung, Auswertungen und kundenspezifische KI-Agenten umfassen.
Diese AGB gelten ausschließlich. Abweichende, entgegenstehende oder ergänzende Bedingungen des Kunden werden nur Vertragsbestandteil, wenn der Anbieter ihrer Geltung ausdrücklich in Textform zugestimmt hat. Die vorbehaltlose Leistungserbringung stellt keine Zustimmung dar.
Diese AGB gelten nicht gegenüber Verbrauchern im Sinne des § 13 BGB.
§ 2 Begriffsbestimmungen
„Vertragssoftware“ bezeichnet die vom Kunden gebuchten Module, Funktionen, Kommunikationskanäle, KI-Agenten, Workflows, Dashboards, Schnittstellen und sonstigen Softwarebestandteile von Wortfluss.io einschließlich der während der Vertragslaufzeit bereitgestellten Aktualisierungen.
„KI-Agent“ bezeichnet eine innerhalb der Vertragssoftware konfigurierte automatisierte oder teilautomatisierte Funktion, die mithilfe von KI-Modellen Inhalte verarbeitet, generiert, klassifiziert oder über Kommunikationskanäle mit natürlichen Personen interagiert.
„Workflow“ bezeichnet eine vom Kunden oder Anbieter konfigurierte Abfolge von Triggern, Bedingungen und Aktionen, etwa Anruf, Nachricht, E-Mail, Terminbuchung, Datensatzanlage, Benachrichtigung oder Übergabe an Mitarbeitende.
„Nutzer“ sind Beschäftigte, Beauftragte oder sonstige vom Kunden autorisierte Personen, denen der Kunde Zugang zur Vertragssoftware gewährt.
„Kundendaten“ sind alle Daten, Inhalte, Dokumente, Kontaktinformationen, Gesprächsinhalte, Aufzeichnungen, Transkripte, Prompts, Wissensbestände, Konfigurationen und sonstigen Informationen, die der Kunde oder von ihm veranlasste Dritte in die Vertragssoftware eingeben, übermitteln oder durch die Vertragssoftware verarbeiten lassen.
„Drittanbieter-Dienste“ sind externe Dienste, Plattformen, Netze oder Softwareprodukte, insbesondere Telefonie- und Messaging-Provider, E-Mail-Dienste, soziale Netzwerke, Kalender, CRM-Systeme, Cloud-Speicher, KI-Modell-Anbieter und Automatisierungsplattformen.
§ 3 Vertragsschluss und Rangfolge der Vertragsunterlagen
Ein Vertrag kommt durch ein vom Anbieter übermitteltes Angebot und dessen vorbehaltlose Annahme durch den Kunden, durch beiderseitige Unterzeichnung, durch elektronische Bestellung oder durch Freischaltung und Nutzung der Vertragssoftware nach entsprechender Bestellbestätigung zustande.
Angebote sind freibleibend, sofern sie nicht ausdrücklich als verbindlich bezeichnet sind. Der elektronische Kommunikationsweg und Erklärungen in Textform gelten als vereinbart.
Die Vertragsunterlagen gelten bei Widersprüchen in folgender Rangfolge: (1) individuell ausgehandelter Vertrag oder Angebot einschließlich Leistungsbeschreibung und Preisblatt, (2) gegebenenfalls vereinbartes Service Level Agreement, (3) Auftragsverarbeitungsvereinbarung für datenschutzrechtliche Fragen, (4) diese AGB, (5) sonstige Anlagen.
Produktdarstellungen, Demo-Inhalte, Roadmaps, Präsentationen, Marketingangaben, Aussagen auf Webseiten und unverbindliche Prognosen werden nur Vertragsbestandteil, wenn sie im Angebot oder Vertrag ausdrücklich als geschuldete Beschaffenheit bezeichnet sind.
Garantien, Beschaffenheitsvereinbarungen, Compliance-Zusagen und besondere IT-Sicherheitsanforderungen bedürfen zu ihrer Wirksamkeit der ausdrücklichen Bestätigung des Anbieters in Textform.
§ 4 Leistungsumfang von Wortfluss.io
Der konkrete Leistungsumfang ergibt sich aus dem jeweiligen Angebot. Nur die dort genannten Module, Freimengen, Integrationen, Rufnummern, Nutzerkonten, KI-Agenten, Workflows, Sprachen, Supportleistungen und sonstigen Leistungen sind geschuldet.
Die Vertragssoftware wird als Cloud-Anwendung über das Internet bereitgestellt. Der Kunde ist grundsätzlich nicht berechtigt, die Software lokal zu installieren oder den Quellcode zu erhalten.
Die Vertragssoftware unterstützt standardisierte Kommunikations- und Prozessabläufe. Sie ersetzt keine rechtliche, steuerliche, medizinische, finanzielle, sicherheitsbezogene oder sonstige fachkundige Beratung und keine verantwortliche Entscheidung durch qualifiziertes Personal.
Soweit im Angebot nicht anders geregelt, schuldet der Anbieter keinen bestimmten wirtschaftlichen Erfolg, insbesondere keine bestimmte Erreichbarkeits-, Abschluss-, Termin-, Bewerber-, Conversion-, Kostenersparnis- oder Umsatzquote.
Die Beschaffung und Unterhaltung der kundenseitigen Systeme, Endgeräte, Internetanschlüsse, E-Mail-Konten, Social-Media-Konten, CRM- und Kalendersysteme sowie erforderlicher Drittanbieter-Lizenzen obliegt dem Kunden, soweit das Angebot nichts Abweichendes bestimmt.
§ 5 Einrichtung, Onboarding und Mitwirkung
Soweit gebucht, richtet der Anbieter Mandant, Nutzer, Kommunikationskanäle, KI-Agenten, Gesprächsleitfäden, Workflows, Integrationen und Wissensgrundlagen auf Basis der vom Kunden bereitgestellten Informationen ein.
Der Kunde stellt dem Anbieter rechtzeitig alle für Einrichtung und Betrieb erforderlichen Informationen, Inhalte, Freigaben, Zugangsdaten, API-Schlüssel, Testkontakte, Ansprechpartner und Entscheidungen vollständig und richtig zur Verfügung. Verzögerungen, die auf fehlender oder verspäteter Mitwirkung beruhen, verlängern vereinbarte Fristen angemessen.
Der Kunde prüft Gesprächsleitfäden, Wissensdaten, Prompts, Workflows, Nachrichten, Eskalationen, Terminregeln und rechtliche Hinweise vor Produktivsetzung und erteilt die Freigabe in Textform oder durch Aktivierung. Die Freigabe bestätigt nicht die rechtliche Prüfung durch den Anbieter.
Änderungswünsche nach Freigabe, zusätzliche Integrationen, Datenbereinigungen, Migrationen oder erneute Konfigurationen können nach Aufwand gesondert vergütet werden.
§ 6 Bereitstellung, Verfügbarkeit und Wartung
Der Anbieter stellt die Vertragssoftware ab dem vereinbarten Bereitstellungszeitpunkt in der jeweils aktuellen Version über das Internet zur Verfügung.
Soweit kein Service Level Agreement vereinbart ist, wird keine ununterbrochene oder fehlerfreie Verfügbarkeit garantiert. Der Anbieter strebt eine technische Verfügbarkeit der zentralen Vertragssoftware von [VERFÜGBARKEIT IN PROZENT, z. B. 98,5 %] im Jahresmittel an. Ausgenommen sind angekündigte Wartungsfenster, höhere Gewalt, Störungen von Drittanbieter-Diensten, Telekommunikationsnetzen, Internetzugängen und kundenseitigen Systemen sowie vom Kunden verursachte Störungen.
Wartungsarbeiten dürfen durchgeführt werden, soweit sie zur Sicherheit, Stabilität, Fehlerbehebung, Aktualisierung oder Weiterentwicklung erforderlich sind. Planbare Wartungen werden nach Möglichkeit außerhalb üblicher Geschäftszeiten vorgenommen und angemessen angekündigt.
Der Anbieter darf zum Schutz der Systeme oder Dritter einzelne Funktionen, Kanäle, Integrationen oder Zugänge vorübergehend beschränken, wenn konkrete Sicherheits-, Missbrauchs-, Rechts- oder Stabilitätsrisiken bestehen.
§ 7 Telefonnummern, Kommunikationskanäle und Notrufe
Soweit der Anbieter Rufnummern, Absenderkennungen oder Kommunikationszugänge bereitstellt, erhält der Kunde hieran ausschließlich ein auf die Vertragslaufzeit beschränktes Nutzungsrecht. Eigentums-, Portierungs- oder Fortführungsrechte bestehen nur, soweit sie ausdrücklich vereinbart oder gesetzlich zwingend sind.
Rufnummern, Absendernamen und Accounts dürfen nur für die vertraglich vereinbarten und rechtlich zulässigen Zwecke verwendet werden. Vorgaben von Netzbetreibern, Plattformen und Drittanbietern sind einzuhalten.
Die Vertragssoftware ist nicht für Notrufe, Alarmierungen oder sicherheitskritische Kommunikation bestimmt. Der Kunde darf weder Notrufnummern noch Abläufe konfigurieren, bei denen Leben, Gesundheit, erhebliche Sachwerte oder kritische Infrastruktur von einer störungsfreien Verarbeitung durch Wortfluss.io abhängen.
Der Kunde stellt sicher, dass erforderliche Weiterleitungen, Eskalationsnummern und alternative Kontaktwege aktuell und erreichbar sind.
§ 8 Nutzungsrechte und Rechte an Arbeitsergebnissen
Der Anbieter räumt dem Kunden für die Vertragslaufzeit ein einfaches, nicht ausschließliches, nicht übertragbares und nicht unterlizenzierbares Recht ein, die Vertragssoftware im vertraglich vereinbarten Umfang für eigene betriebliche Zwecke zu nutzen.
Der Kunde darf die Vertragssoftware seinen Nutzern zugänglich machen. Eine Nutzung für verbundene Unternehmen, Kunden des Kunden, White-Label-Angebote, Agenturmodelle oder Wiederverkauf ist nur zulässig, wenn dies ausdrücklich im Angebot vereinbart wurde.
Der Kunde darf die Vertragssoftware nicht vervielfältigen, bearbeiten, dekompilieren, disassemblieren, zurückentwickeln, automatisiert auslesen, Sicherheitsmechanismen umgehen oder den Quellcode beziehungsweise zugrunde liegende Modelle und Systemprompts zu ermitteln versuchen, soweit dies nicht zwingend gesetzlich erlaubt ist.
Alle Rechte an der Vertragssoftware, an Standard-Workflows, Templates, Bibliotheken, Modellen, Benutzeroberflächen, Dokumentationen, Know-how und Weiterentwicklungen verbleiben beim Anbieter oder dessen Lizenzgebern.
An Kundendaten und vom Kunden bereitgestellten Inhalten behält der Kunde seine Rechte. Der Kunde räumt dem Anbieter die für Vertragserfüllung, Support, Sicherheit, Fehleranalyse und gesetzlich erforderliche Nachweisführung notwendigen Nutzungsrechte ein.
§ 9 Kundenspezifische Konfigurationen und Entwicklungen
Kundenspezifische Konfigurationen, Prompts, Gesprächslogiken, Workflows, Schnittstellen, Datenmodelle oder Entwicklungen („Customizing“) werden nur geschuldet, wenn sie im Angebot konkret beschrieben sind.
Soweit nicht ausdrücklich anders vereinbart, verbleiben sämtliche Rechte an generischen oder wiederverwendbaren Bestandteilen, Methoden, Konnektoren, Templates, Bibliotheken und Know-how beim Anbieter. Der Kunde erhält daran ein Nutzungsrecht entsprechend § 8.
Individuelle Kundendaten, kundenspezifische Markeninhalte und vertrauliche Geschäftsinformationen dürfen nicht für andere Kunden offengelegt werden.
Ein Anspruch auf Herausgabe von Quellcode, Entwicklungsdokumentation oder internen Systemprompts besteht nur bei ausdrücklicher Vereinbarung.
§ 10 Änderungen, Updates, Upgrades und Beta-Funktionen
Der Anbieter darf die Vertragssoftware aktualisieren, technisch anpassen und weiterentwickeln, soweit die vertragsgemäße Nutzung nicht unzumutbar beeinträchtigt wird. Änderungen können insbesondere aufgrund technischer Entwicklungen, Sicherheitsanforderungen, Vorgaben von Drittanbietern oder gesetzlichen Anforderungen erforderlich sein.
Updates, Patches und Releases, die zur Erhaltung von Sicherheit und Vertragsmäßigkeit erforderlich sind, sind grundsätzlich von der laufenden Vergütung umfasst.
Neue Module, wesentliche Funktionserweiterungen, zusätzliche Kanäle, höhere Leistungsgrenzen oder kostenpflichtige Drittanbieter-Funktionen können als Upgrade oder Add-on gegen gesonderte Vergütung angeboten werden.
Als „Beta“, „Preview“, „Pilot“ oder „Test“ gekennzeichnete Funktionen können unvollständig, instabil oder jederzeit veränderbar sein. Sie dürfen nicht für geschäftskritische Abläufe eingesetzt werden. Für unentgeltliche Beta-Funktionen haftet der Anbieter nur bei Vorsatz, grober Fahrlässigkeit sowie bei Verletzung von Leben, Körper oder Gesundheit.
§ 11 Support und Störungsbearbeitung
Der Kunde meldet Störungen unverzüglich über den vereinbarten Supportkanal und beschreibt Fehlerbild, Zeitpunkt, betroffene Funktion, Reproduktionsschritte und Auswirkungen möglichst genau.
Der Anbieter priorisiert Störungen nach ihrer Auswirkung. Verbindliche Reaktions- oder Behebungszeiten gelten nur, wenn sie in einem Service Level Agreement vereinbart wurden.
Störungen, die auf kundenseitige Systeme, fehlerhafte Konfigurationen, nicht freigegebene Änderungen, Drittanbieter-Dienste, unzureichende Datenqualität oder vertragswidrige Nutzung zurückzuführen sind, können nach Aufwand zu den vereinbarten oder üblichen Sätzen abgerechnet werden.
Schulungen, Prozessberatung, laufende Optimierung, Prompt-Überarbeitung, Kampagnenerstellung, Datenbereinigung und allgemeine Beratungsleistungen sind nur geschuldet, soweit sie vereinbart wurden.
Der Kunde kann Feedback übermitteln. Soweit das Feedback keine Kundendaten oder vertraulichen Informationen enthält, darf der Anbieter es unentgeltlich zur Verbesserung eigener Produkte und Leistungen verwenden.
§ 12 Pflichten des Kunden
Der Kunde ist für die Auswahl, Einrichtung, Freigabe und rechtmäßige Nutzung der Vertragssoftware in seinem konkreten Geschäftsprozess verantwortlich.
Der Kunde hält Zugangsdaten geheim, setzt angemessene Berechtigungskonzepte ein, entfernt ausgeschiedene Nutzer unverzüglich und informiert den Anbieter bei Verdacht auf unbefugte Nutzung.
Der Kunde sorgt für richtige, aktuelle und hinreichende Kundendaten, Wissensgrundlagen, Eskalationskontakte, Kalenderverfügbarkeiten, Preis- und Leistungsinformationen sowie für eine regelmäßige Qualitätskontrolle der Ergebnisse.
Der Kunde trifft angemessene organisatorische Vorkehrungen, damit rechtsverbindliche Erklärungen, sensible Entscheidungen, Beschwerden, Notfälle, Zahlungsdaten und sonstige kritische Vorgänge an qualifizierte Mitarbeitende übergeben werden.
Der Kunde beachtet Systemanforderungen, Dokumentationen und Sicherheitshinweise und unterlässt Handlungen, die Verfügbarkeit, Integrität oder Sicherheit der Vertragssoftware beeinträchtigen können.
Der Kunde benennt fachlich und technisch zuständige Ansprechpartner und informiert den Anbieter über relevante Änderungen seiner Prozesse, Systeme oder gesetzlichen Rahmenbedingungen.
§ 13 Rechtmäßige Kommunikation, Einwilligungen und KI-Transparenz
Der Kunde ist allein dafür verantwortlich, dass jede durch ihn veranlasste Telefon-, E-Mail-, WhatsApp-, SMS-, Social-Media- oder sonstige Kommunikation rechtmäßig ist. Dies umfasst insbesondere Datenschutzrecht, Wettbewerbsrecht, Telekommunikationsrecht, berufsrechtliche Vorgaben, Einwilligungs- und Informationspflichten sowie branchenbezogene Kontaktverbote.
Bei werblicher Ansprache, Bestandskundenreaktivierung, Lead-Nachverfolgung oder Kampagnen stellt der Kunde sicher, dass die jeweils erforderliche Einwilligung oder sonstige Rechtsgrundlage vorliegt, Widersprüche und Sperrlisten beachtet werden und Nachweise dokumentiert sind.
Der Kunde informiert natürliche Personen klar und rechtzeitig darüber, wenn sie mit einem KI-System interagieren, soweit dies gesetzlich erforderlich oder nicht ohnehin offensichtlich ist. Gesprächseröffnungen und Nachrichtenvorlagen sind entsprechend zu konfigurieren.
Soweit Gespräche aufgezeichnet, transkribiert, analysiert oder zu Qualitätssicherungszwecken gespeichert werden, stellt der Kunde die erforderliche Rechtsgrundlage, Information und gegebenenfalls Einwilligung sicher. Die Aktivierung einer technischen Aufzeichnungsfunktion stellt keine rechtliche Freigabe durch den Anbieter dar.
Der Anbieter kann Standardhinweise zur KI-Nutzung oder Aufzeichnung bereitstellen. Der Kunde darf diese nur nach eigener rechtlicher Prüfung an seinen Anwendungsfall anpassen und freigeben.
§ 14 Verbotene und besonders regulierte Nutzungen
Die Vertragssoftware darf nicht für rechtswidrige, betrügerische, täuschende, diskriminierende, belästigende, bedrohende, beleidigende, diffamierende oder sonstige Rechte Dritter verletzende Zwecke genutzt werden.
Untersagt sind insbesondere Spam, unerlaubte Werbung, Rufnummern- oder Absender-Spoofing, Identitätstäuschung, Phishing, Schadsoftware, Umgehung technischer Schutzmaßnahmen, unzulässige Überwachung sowie die Verarbeitung oder Verbreitung rechtswidriger Inhalte.
Die Vertragssoftware darf nicht für nach Art. 5 der Verordnung (EU) 2024/1689 verbotene KI-Praktiken eingesetzt werden.
Eine Nutzung als Hochrisiko-KI-System oder als Bestandteil eines Hochrisiko-Anwendungsfalls, insbesondere für automatisierte Entscheidungen in Beschäftigung und Bewerberauswahl, Kreditwürdigkeit, Versicherungszugang, wesentliche Gesundheitsentscheidungen, Strafverfolgung, Migration, Bildung oder Zugang zu wesentlichen privaten oder öffentlichen Leistungen, ist ohne vorherige ausdrückliche Vereinbarung und dokumentierte Compliance-Prüfung untersagt.
Zulässig bleibt eine rein kommunikative Unterstützung, Datenerfassung, Terminvereinbarung oder Weiterleitung, sofern Wortfluss.io keine eigenständige Bewertung oder Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung trifft.
Der Kunde darf keine besonderen Kategorien personenbezogener Daten, strafrechtlichen Daten, Zahlungs- oder Authentifizierungsdaten verarbeiten lassen, sofern dies nicht ausdrücklich vereinbart und technisch sowie rechtlich freigegeben wurde.
Der Anbieter darf bei Verdacht auf einen Verstoß Prüfungen vornehmen, Auskünfte verlangen und betroffene Funktionen oder Konten vorübergehend sperren.
§ 15 KI-generierte Inhalte und menschliche Kontrolle
KI-Systeme arbeiten probabilistisch. Ergebnisse können unvollständig, missverständlich, unangemessen, veraltet oder objektiv falsch sein. Der Anbieter gewährleistet keine inhaltliche Richtigkeit, Vollständigkeit, Eignung, Schutzrechtsfreiheit oder rechtliche Verbindlichkeit einzelner KI-Ausgaben.
Der Kunde muss KI-Ausgaben risikoadäquat prüfen und durch Menschen kontrollieren. Umfang und Häufigkeit der Kontrolle richten sich nach möglicher Auswirkung, Sensibilität des Inhalts und konkretem Anwendungsfall.
Ohne ausdrückliche Konfiguration und Freigabe darf ein KI-Agent keine rechtsverbindlichen Angebote, Vertragsannahmen, Preiszusagen, Anerkenntnisse, Kündigungen, Zahlungszusagen, medizinischen Empfehlungen, Rechtsauskünfte oder sonstigen verbindlichen Erklärungen abgeben.
Der Kunde richtet Eskalations- und Übergaberegeln ein, wenn ein Anliegen nicht sicher, eindeutig oder im freigegebenen Rahmen bearbeitet werden kann.
Der Anbieter ist nicht verantwortlich für Entscheidungen, die der Kunde oder Dritte ausschließlich auf Grundlage ungeprüfter KI-Ausgaben treffen.
§ 16 Kundendaten, Inhalte und Datensicherung
Der Kunde gewährleistet, dass er über alle Rechte und Rechtsgrundlagen verfügt, die für die Übermittlung und Verarbeitung der Kundendaten erforderlich sind, und dass die Kundendaten keine Rechte Dritter verletzen.
Der Anbieter nimmt grundsätzlich keine fachliche oder rechtliche Vorabprüfung der Kundendaten vor. Er darf offensichtlich rechtswidrige Inhalte sperren oder entfernen, wenn dies zur Abwehr von Gefahren oder Ansprüchen erforderlich ist.
Soweit technisch vorgesehen, kann der Kunde Daten exportieren. Der Kunde ist für eigene, risikoadäquate Sicherungskopien und die Aufbewahrung geschäfts- oder steuerrechtlich relevanter Inhalte verantwortlich, soweit das Angebot keine gesonderte Backup-Leistung vorsieht.
Kundendaten werden nicht zum Training allgemein verfügbarer oder kundenübergreifender KI-Modelle verwendet, sofern dies nicht ausdrücklich und gesondert mit dem Kunden vereinbart wurde. [ZU PRÜFEN: Muss mit der tatsächlichen technischen und vertraglichen Nutzung externer KI-Anbieter übereinstimmen.]
Aggregierte oder anonymisierte Nutzungs- und Leistungsdaten dürfen zur Sicherheit, Kapazitätsplanung, Fehleranalyse und Verbesserung der Vertragssoftware verwendet werden, sofern kein Personen- oder Kundenbezug mehr hergestellt werden kann.
§ 17 Datenschutz und Auftragsverarbeitung
Der Anbieter verarbeitet eigene Vertrags-, Abrechnungs-, Ansprechpartner- und Nutzungsdaten als Verantwortlicher nach den geltenden Datenschutzgesetzen.
Soweit der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet, handelt er als Auftragsverarbeiter. Die als Anlage 1 beigefügte Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO ist Bestandteil des Vertrags.
Der Kunde bleibt Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, die Festlegung von Zwecken und Mitteln, Informationspflichten, Rechtsgrundlagen, Einwilligungen, Löschfristen, Betroffenenrechte und gegebenenfalls Datenschutz-Folgenabschätzungen.
Bei Widersprüchen zwischen diesen AGB und der AVV gehen für datenschutzrechtliche Fragen die Bestimmungen der AVV vor.
§ 18 Drittanbieter, Integrationen und externe Kommunikationsdienste
Die Vertragssoftware kann Drittanbieter-Dienste anbinden oder nutzen. Deren Verfügbarkeit, Funktionsumfang, Schnittstellen, Preise, Richtlinien und Zulassungsbedingungen liegen außerhalb des Einflussbereichs des Anbieters und können sich ändern.
Der Kunde schließt erforderliche Verträge mit Drittanbietern selbst, sofern das Angebot nichts anderes vorsieht. Er ist für seine Accounts, Berechtigungen, Inhalte und die Einhaltung der Drittanbieterbedingungen verantwortlich.
Der Anbieter haftet nicht für Störungen, Sperrungen, Datenverluste, API-Änderungen, Zustellprobleme oder Leistungsänderungen von Drittanbieter-Diensten, soweit der Anbieter diese nicht zu vertreten hat.
Muss eine Integration aufgrund einer Änderung oder Einstellung eines Drittanbieter-Dienstes angepasst oder ersetzt werden, kann der Anbieter eine funktional angemessene Alternative bereitstellen. Weitergehende Anpassungen können gesondert vergütet werden.
Verbrauchs- oder Plattformkosten von Drittanbietern können nach Maßgabe des Angebots weiterberechnet oder unmittelbar vom Drittanbieter erhoben werden.
§ 19 Open-Source-Software
Die Vertragssoftware kann Open-Source-Komponenten enthalten. Für diese gelten vorrangig die jeweiligen Open-Source-Lizenzbedingungen.
Soweit eine Open-Source-Lizenz die Bereitstellung von Lizenztexten, Hinweisen oder Quellcode verlangt, erfüllt der Anbieter diese Verpflichtungen in der gesetzlich oder lizenzrechtlich erforderlichen Form.
Die nach diesen AGB eingeräumten Rechte erstrecken sich nicht weiter auf Open-Source-Komponenten, als dies nach deren Lizenzbedingungen zulässig ist.
§ 20 Vertraulichkeit und Referenznennung
Die Parteien behandeln alle im Zusammenhang mit dem Vertrag erhaltenen und als vertraulich gekennzeichneten oder nach den Umständen erkennbar vertraulichen Informationen geheim und verwenden sie ausschließlich für Vertragszwecke.
Die Vertraulichkeitspflicht gilt nicht für Informationen, die nachweislich öffentlich bekannt, rechtmäßig von Dritten erlangt, unabhängig entwickelt oder aufgrund Gesetzes oder vollziehbarer behördlicher oder gerichtlicher Anordnung offenzulegen sind. Soweit zulässig, ist die andere Partei vor Offenlegung zu informieren.
Die Parteien verpflichten Beschäftigte und eingesetzte Dritte angemessen auf Vertraulichkeit. Die Pflichten gelten für [DAUER FESTLEGEN, z. B. fünf Jahre] nach Vertragsende fort; Geschäftsgeheimnisse sind solange zu schützen, wie ihre Eigenschaft als Geschäftsgeheimnis besteht.
Eine Nennung des Kunden als Referenz sowie die Nutzung von Name, Logo, Fallstudie oder Leistungskennzahlen ist nur nach vorheriger Zustimmung des Kunden in Textform zulässig. Eine erteilte Zustimmung kann für die Zukunft widerrufen werden.
§ 21 Vergütung, Verbrauchsabrechnung und Zahlungsbedingungen
Der Kunde zahlt die im Angebot vereinbarten Entgelte. Diese können insbesondere aus einmaligen Einrichtungs- oder Projektgebühren, monatlichen Bereitstellungs- oder Lizenzgebühren, nutzer-, kanal- oder modulbezogenen Entgelten sowie verbrauchsabhängigen Gebühren bestehen.
Verbrauchsabhängige Gebühren können insbesondere nach Gesprächsminute oder angefangener Zeiteinheit, Anzahl von Anrufen, Nachrichten, E-Mails, Transkriptionen, KI-Verarbeitungen, Automationsläufen, Datensätzen, Rufnummern, Speicher oder Drittanbieter-Kosten berechnet werden. Maßgeblich sind die vom Anbieter oder eingebundenen Provider technisch erfassten Nutzungsdaten.
Enthaltene Freimengen gelten nur für den jeweiligen Abrechnungszeitraum und verfallen am Periodenende, sofern das Angebot keine Übertragung vorsieht. Mehrverbrauch wird zu den vereinbarten Preisen abgerechnet.
Alle Preise verstehen sich zuzüglich gesetzlicher Umsatzsteuer und gegebenenfalls weiterer anwendbarer Steuern, Abgaben oder regulatorischer Gebühren.
Rechnungen werden elektronisch gestellt und sind innerhalb von [ZAHLUNGSZIEL, z. B. 14 Tagen] ohne Abzug fällig. Der Anbieter kann angemessene Vorauszahlungen, SEPA-Lastschrift oder Zahlungsmittelhinterlegung verlangen.
Bei Zahlungsverzug gelten die gesetzlichen Verzugszinsen und Pauschalen. Nach Mahnung und angemessener Fristsetzung darf der Anbieter den Zugang sperren, soweit dies verhältnismäßig ist. Die Zahlungspflicht bleibt bestehen.
Wiederkehrende Entgelte können bei Verlängerung angepasst werden, wenn Kosten für Infrastruktur, Drittanbieter, Telekommunikation, KI-Modelle, Löhne, Abgaben oder regulatorische Anforderungen wesentlich steigen. Eine Erhöhung wird mindestens [ANKÜNDIGUNGSFRIST, z. B. sechs Wochen] vor Wirksamwerden mitgeteilt. Bei einer Erhöhung von mehr als [SCHWELLE FESTLEGEN, z. B. 10 %] kann der Kunde zum Änderungszeitpunkt außerordentlich kündigen.
§ 22 Abnahme bei Einrichtungs- und Projektleistungen
Soweit der Anbieter abgrenzbare Einrichtungs-, Integrations-, Customizing- oder Projektleistungen als Werkleistung schuldet, zeigt er deren Fertigstellung an und stellt sie zur Prüfung bereit.
Der Kunde prüft die Leistung innerhalb von [ABNAHMEFRIST, z. B. zehn Werktagen] und erklärt die Abnahme oder teilt wesentliche, reproduzierbare Mängel mit. Unwesentliche Mängel berechtigen nicht zur Verweigerung der Abnahme.
Die Leistung gilt als abgenommen, wenn der Kunde sie produktiv nutzt oder innerhalb der Prüffrist weder wesentliche Mängel mitteilt noch die Abnahme unter Benennung konkreter Gründe verweigert, sofern der Anbieter auf diese Folge hingewiesen hat.
Für reine SaaS-, Dienst-, Beratungs- und Supportleistungen findet eine Abnahme nicht statt.
§ 23 Gewährleistung
Der Anbieter hält die Vertragssoftware während der Vertragslaufzeit in einem zum vertragsgemäßen Gebrauch geeigneten Zustand. Dem Kunden ist bekannt, dass Software und KI-Systeme nicht vollständig fehlerfrei betrieben werden können.
Ein Mangel liegt nur vor, wenn die Vertragssoftware wesentlich von der vereinbarten Beschaffenheit abweicht und die vertragsgemäße Nutzung mehr als unerheblich beeinträchtigt ist.
Der Kunde meldet Mängel unverzüglich und wirkt an Analyse und Behebung mit. Der Anbieter ist zunächst zur Nacherfüllung berechtigt. Bei Fehlschlagen der Nacherfüllung kann der Kunde die Vergütung angemessen mindern oder bei erheblichem Mangel kündigen.
Gewährleistung ist ausgeschlossen, soweit ein Mangel auf kundenseitigen Systemen, Drittanbieter-Diensten, fehlerhaften Daten oder Konfigurationen, nicht freigegebenen Änderungen, unterlassenen Updates oder vertragswidriger Nutzung beruht.
Ansprüche wegen Sach- und Rechtsmängeln verjähren, soweit gesetzlich zulässig, in zwölf Monaten ab Entstehung und Kenntnis, spätestens ab dem gesetzlichen Verjährungsbeginn. Zwingende Haftungstatbestände bleiben unberührt.
Die verschuldensunabhängige Haftung für bei Vertragsschluss vorhandene Mängel nach § 536a Abs. 1 Alt. 1 BGB wird ausgeschlossen.
§ 24 Haftung und Freistellung
Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz, bei arglistigem Verschweigen eines Mangels sowie im Umfang ausdrücklich übernommener Garantien.
Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht haftet der Anbieter nur auf den vertragstypischen, bei Vertragsschluss vorhersehbaren Schaden. Wesentliche Vertragspflichten sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.
Soweit gesetzlich zulässig, ist die Haftung nach Absatz 2 je Schadensfall und Vertragsjahr auf die im betreffenden Vertragsjahr vom Kunden gezahlte oder zu zahlende Nettovergütung begrenzt. [ZU PRÜFEN: Haftungshöhe mit Versicherungsschutz und Vertragswert abstimmen.]
Die Haftung für mittelbare Schäden, entgangenen Gewinn, ausgebliebene Einsparungen, verlorene Geschäftschancen und reine Vermögensfolgeschäden ist ausgeschlossen, soweit keine unbeschränkte Haftung nach Absatz 1 besteht.
Bei Datenverlust haftet der Anbieter nur für den Wiederherstellungsaufwand, der bei ordnungsgemäßer, risikoadäquater Datensicherung durch den Kunden entstanden wäre, soweit nicht eine gesonderte Backup-Pflicht des Anbieters vereinbart wurde.
Die Haftungsbeschränkungen gelten auch zugunsten der Organe, Beschäftigten, Vertreter und Erfüllungsgehilfen des Anbieters.
Der Kunde stellt den Anbieter von berechtigten Ansprüchen Dritter einschließlich angemessener Rechtsverteidigungskosten frei, die auf rechtswidrigen Kundendaten, unzulässiger Kommunikation, fehlenden Einwilligungen oder Informationen, rechtswidriger Konfiguration oder sonstiger schuldhafter Verletzung des Vertrags durch den Kunden beruhen. Der Anbieter informiert den Kunden unverzüglich und überlässt ihm, soweit angemessen, die Verteidigung und Vergleichsführung.
§ 25 Laufzeit, Kündigung und Sperrung
Vertragsbeginn, Mindestlaufzeit und Abrechnungsperiode ergeben sich aus dem Angebot.
Sofern nichts anderes vereinbart ist, verlängert sich der Vertrag jeweils um die vereinbarte Vertragsperiode, wenn er nicht mit einer Frist von vierzehn Kalendertagen zum Periodenende in Textform gekündigt wird.
Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn die andere Partei trotz Abmahnung erheblich gegen Vertragspflichten verstößt, zahlungsunfähig wird, unzulässige Nutzungen fortsetzt oder eine Fortsetzung aus Sicherheits- oder Rechtsgründen unzumutbar ist.
Der Anbieter darf Zugänge oder einzelne Funktionen vorübergehend sperren, wenn der Kunde in erheblichem Zahlungsverzug ist, konkrete Anhaltspunkte für Missbrauch oder Rechtsverstöße bestehen oder eine Gefährdung der Vertragssoftware, von Drittanbieter-Diensten oder Dritten droht. Die Sperrung ist auf das erforderliche Maß zu begrenzen.
Mit Wirksamwerden der Vertragsbeendigung endet das Nutzungsrecht an der Vertragssoftware.
§ 26 Vertragsbeendigung, Datenexport und Anbieterwechsel
Nach Vertragsende stellt der Kunde die Nutzung ein und entfernt lokale Zugangsdaten, API-Schlüssel und Integrationen, soweit erforderlich.
Der Kunde kann innerhalb von [EXPORTFRIST, z. B. 30 Tagen] nach Vertragsende die in der Vertragssoftware vorhandenen exportierbaren Kundendaten in einem vom Anbieter unterstützten, gängigen Format abrufen oder deren Bereitstellung verlangen. Der konkrete Exportumfang und die Formate ergeben sich aus der Produktdokumentation oder dem Angebot.
Der Anbieter unterstützt den Wechsel zu einem anderen Datenverarbeitungsdienst oder zu einer kundeneigenen Infrastruktur im gesetzlich erforderlichen Umfang. Zusätzliche Migrations-, Mapping-, Beratungs- oder Entwicklungsleistungen, die über gesetzliche Wechselpflichten hinausgehen, werden nur nach Vereinbarung und gegen Vergütung erbracht.
Gesetzlich zulässige Wechselkosten dürfen nur in dem gesetzlich vorgesehenen Umfang berechnet werden. Standardentgelte und vereinbarte Entgelte bis zum Vertragsende bleiben unberührt.
Nach Ablauf der Exportfrist löscht oder anonymisiert der Anbieter Kundendaten nach Maßgabe der AVV und gesetzlichen Aufbewahrungspflichten. Sicherungskopien werden im Rahmen der regulären Löschzyklen überschrieben.
Vorausgezahlte Entgelte werden nur erstattet, soweit dies gesetzlich vorgeschrieben oder ausdrücklich vereinbart ist. Im Fall einer berechtigten außerordentlichen Kündigung durch den Kunden werden vorausgezahlte laufende Entgelte für Zeiträume nach Vertragsende anteilig erstattet.
§ 27 Höhere Gewalt
Keine Partei haftet für Verzögerungen oder Ausfälle, die durch Ereignisse außerhalb ihres zumutbaren Einflussbereichs verursacht werden, insbesondere Naturereignisse, Krieg, Terror, Streik, behördliche Maßnahmen, großflächige Strom-, Internet- oder Telekommunikationsausfälle, Pandemien, Cyberangriffe trotz angemessener Schutzmaßnahmen oder Ausfälle zentraler Drittanbieter.
Die betroffene Partei informiert die andere Partei, soweit möglich, unverzüglich und ergreift angemessene Maßnahmen zur Schadensminderung.
Dauert das Ereignis länger als [DAUER FESTLEGEN, z. B. 60 Tage] an und wird die Vertragserfüllung wesentlich beeinträchtigt, kann jede Partei den betroffenen Leistungsteil außerordentlich kündigen.
§ 28 Aufrechnung, Zurückbehaltung und Abtretung
Der Kunde darf nur mit unbestrittenen, rechtskräftig festgestellten oder aus demselben Vertragsverhältnis stammenden Forderungen aufrechnen.
Zurückbehaltungsrechte darf der Kunde nur wegen Ansprüchen aus demselben Vertragsverhältnis ausüben.
Der Kunde darf Rechte und Pflichten aus dem Vertrag nur mit vorheriger Zustimmung des Anbieters abtreten oder übertragen. § 354a HGB bleibt unberührt.
Der Anbieter darf den Vertrag im Rahmen einer Unternehmensübertragung oder Umstrukturierung auf ein verbundenes oder übernehmendes Unternehmen übertragen, sofern berechtigte Interessen des Kunden nicht beeinträchtigt werden.
§ 29 Änderungen dieser AGB
Der Anbieter darf diese AGB mit Wirkung für die Zukunft ändern, wenn dies aufgrund Gesetzesänderungen, Rechtsprechung, Sicherheitsanforderungen, technischer Entwicklungen oder Änderungen des Leistungsmodells erforderlich ist und das vertragliche Gleichgewicht nicht unangemessen zulasten des Kunden verschoben wird.
Änderungen werden dem Kunden mindestens vier Wochen vor Inkrafttreten in Textform mitgeteilt. Der Kunde kann innerhalb dieser Frist widersprechen. Auf Widerspruchsfrist und Folgen wird ausdrücklich hingewiesen.
Widerspricht der Kunde fristgerecht, gelten die bisherigen Bedingungen fort. Ist dem Anbieter die Fortsetzung unter den bisherigen Bedingungen unzumutbar, kann er den Vertrag mit einer Frist von einem Monat kündigen.
Änderungen von Leistungsumfang oder Preisen richten sich vorrangig nach den hierfür vorgesehenen Vertragsregelungen und nicht allein nach diesem Paragraphen.
§ 30 Schlussbestimmungen
Änderungen und Ergänzungen des Vertrags bedürfen mindestens der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. Individuelle Abreden haben Vorrang.
Sollte eine Bestimmung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Regelung gelten die gesetzlichen Vorschriften.
Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts und des Kollisionsrechts, soweit gesetzlich zulässig.
Erfüllungsort und ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem Vertrag ist der Sitz des Anbieters, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
Vertragssprache ist Deutsch. Übersetzungen dienen nur der Verständlichkeit; bei Widersprüchen ist die deutsche Fassung maßgeblich.
Anlage 1 – Auftragsverarbeitungsvereinbarung
Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO („AVV“) zwischen dem Kunden als Verantwortlichem und [VOLLSTÄNDIGE FIRMA / RECHTSFORM] als Auftragsverarbeiter.
1. Geltungsbereich und Rangfolge
Diese AVV gilt für alle Verarbeitungen personenbezogener Daten, die der Anbieter im Auftrag des Kunden im Zusammenhang mit Wortfluss.io durchführt.
Die AVV ist Bestandteil des Hauptvertrags. Bei Widersprüchen gehen ihre datenschutzrechtlichen Regelungen den AGB vor. Im Übrigen bleibt der Hauptvertrag unberührt.
Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Aufsichtsbehörde“ haben die Bedeutung der DSGVO.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand, Art und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag, dem gebuchten Leistungsumfang und Anlage 1A. Die Verarbeitung erfolgt insbesondere zur Bereitstellung von KI-gestützter Kommunikation, zentraler Inbox, Workflow-Automatisierung, Termin- und Datenmanagement, Integrationen, Protokollierung, Support, Sicherheit und Fehlerbehebung.
Die Verarbeitung beginnt mit Bereitstellung oder Übermittlung personenbezogener Daten und dauert grundsätzlich bis zur Löschung oder Rückgabe nach Beendigung des Hauptvertrags. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
3. Weisungen des Verantwortlichen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer, soweit keine gesetzliche Verpflichtung zur Verarbeitung besteht.
Die Weisungen ergeben sich zunächst aus Hauptvertrag, Leistungsbeschreibung, Produktkonfiguration und dieser AVV. Ergänzende Weisungen sind in Textform an [DATENSCHUTZ- ODER SUPPORT-E-MAIL] zu richten.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt. Er darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
Führen Weisungen zu wesentlichem Zusatzaufwand oder Leistungsänderungen, können die Parteien eine angemessene Vergütung und Umsetzung vereinbaren. Gesetzlich geschuldete Unterstützungsleistungen bleiben unberührt.
4. Pflichten des Verantwortlichen
Der Verantwortliche ist für Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und die Wahrung der Rechte betroffener Personen verantwortlich.
Der Verantwortliche stellt sicher, dass insbesondere für Telefonie, E-Mail, WhatsApp, Aufzeichnungen, Transkriptionen, Werbekontakte, Bewerberkommunikation und Integrationen die erforderlichen Rechtsgrundlagen, Informationen und gegebenenfalls Einwilligungen vorliegen.
Der Verantwortliche konfiguriert Rollen, Berechtigungen, Löschfristen, KI-Hinweise, Eskalationen und Aufzeichnungsfunktionen risikoadäquat und überprüft deren Wirksamkeit regelmäßig.
Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich über erkannte Fehler, Unregelmäßigkeiten oder Datenschutzverletzungen im Zusammenhang mit der Verarbeitung.
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet die Daten nur im Rahmen dokumentierter Weisungen und stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken.
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Maßgabe der folgenden Regelungen bei Betroffenenrechten, Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden.
Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, soweit erforderlich, und arbeitet mit zuständigen Aufsichtsbehörden zusammen.
Kundendaten werden nicht für eigene, mit den Weisungen unvereinbare Zwecke verarbeitet. Eine Nutzung zur Verbesserung kundenübergreifender oder allgemein verfügbarer KI-Modelle erfolgt nur bei gesonderter ausdrücklicher Vereinbarung.
6. Vertraulichkeit und Zugriffsberechtigungen
Zugriff auf personenbezogene Daten erhalten nur Personen, die ihn zur Durchführung, Verwaltung, Sicherung oder Unterstützung der vereinbarten Leistungen benötigen.
Berechtigungen werden nach dem Need-to-know- und Least-Privilege-Prinzip vergeben, regelmäßig überprüft und bei Wegfall der Notwendigkeit entzogen.
Die Verpflichtung zur Vertraulichkeit gilt über das Ende der Tätigkeit und des Vertrags hinaus.
7. Technische und organisatorische Maßnahmen
Die vereinbarten Maßnahmen sind in Anlage 2 beschrieben. Der Verantwortliche bestätigt, dass sie unter Berücksichtigung seines konkreten Einsatzes grundsätzlich ein angemessenes Schutzniveau darstellen.
Der Auftragsverarbeiter darf Maßnahmen weiterentwickeln und durch gleichwertige oder stärkere Maßnahmen ersetzen, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und auf Anfrage mitgeteilt.
Der Verantwortliche ist für die Sicherheit seiner Endgeräte, Nutzerkonten, Identitätsprovider, Integrationen, API-Schlüssel, angeschlossenen Systeme und organisatorischen Prozesse verantwortlich.
8. Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 1B oder unter [URL ZUR AKTUELLEN UNTERAUFTRAGSVERARBEITERLISTE] aufgeführt.
Der Auftragsverarbeiter informiert den Verantwortlichen mindestens [FRIST FESTLEGEN, z. B. 14 oder 30 Tage] vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, soweit dies nicht wegen einer dringenden Sicherheits- oder Verfügbarkeitslage unmöglich ist.
Der Verantwortliche kann aus objektiv nachvollziehbaren Datenschutzgründen innerhalb der Mitteilungsfrist widersprechen. Die Parteien bemühen sich um eine zumutbare Alternative. Ist keine Alternative möglich, kann der Auftragsverarbeiter den betroffenen Leistungsteil einstellen oder jede Partei ihn außerordentlich kündigen.
Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu im Wesentlichen denselben Datenschutzpflichten und bleibt gegenüber dem Verantwortlichen für deren Pflichterfüllung verantwortlich.
Keine Unterauftragsverarbeitung sind reine Nebenleistungen ohne konkreten Zugriff auf oder Verarbeitung von Kundendaten, etwa Gebäudereinigung, allgemeine Post-, Transport- oder Bewachungsleistungen.
9. Übermittlungen in Drittländer
Personenbezogene Daten werden vorrangig im Europäischen Wirtschaftsraum verarbeitet, soweit dies in Anlage 1B oder der Produktdokumentation so ausgewiesen ist.
Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere aufgrund eines Angemessenheitsbeschlusses, geeigneter Garantien wie EU-Standardvertragsklauseln oder einer gesetzlichen Ausnahme.
Soweit erforderlich, führt der Auftragsverarbeiter oder der jeweilige Unterauftragsverarbeiter eine Transfer-Folgenabschätzung durch und ergreift ergänzende technische, organisatorische oder vertragliche Maßnahmen.
Der Auftragsverarbeiter informiert den Verantwortlichen auf Anfrage über die eingesetzten Übermittlungsmechanismen. Kopien von Standardvertragsklauseln können unter Wahrung von Geschäftsgeheimnissen bereitgestellt werden.
10. Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen nach Art. 12 bis 22 DSGVO.
Richtet eine betroffene Person einen Antrag unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter, sofern der Verantwortliche erkennbar ist. Eine eigenständige inhaltliche Beantwortung erfolgt nur auf Weisung oder gesetzlicher Grundlage.
Zusätzliche Aufwände können nach Maßgabe des Hauptvertrags vergütet werden, sofern sie nicht auf einer Pflichtverletzung des Auftragsverarbeiters beruhen und über die übliche Produktunterstützung hinausgehen.
11. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Verantwortungsbereich des Auftragsverarbeiters oder eines Unterauftragsverarbeiters liegt.
Die Meldung enthält, soweit verfügbar, Art der Verletzung, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie einen Ansprechpartner. Informationen können schrittweise ergänzt werden.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO. Die Entscheidung über Meldungen und Benachrichtigungen trifft der Verantwortliche, soweit nicht der Auftragsverarbeiter selbst gesetzlich verpflichtet ist.
12. Datenschutz-Folgenabschätzung und vorherige Konsultation
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und verfügbaren Informationen bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und vorherigen Konsultationen nach Art. 36 DSGVO.
Der Verantwortliche bleibt für die Bewertung, Durchführung, Dokumentation und behördliche Kommunikation verantwortlich.
13. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zum Nachweis der Einhaltung dieser AVV zur Verfügung. Zertifikate, Prüfberichte, standardisierte Sicherheitsunterlagen und Selbstauskünfte sind vorrangig zu berücksichtigen.
Der Verantwortliche darf nach vorheriger Ankündigung und grundsätzlich einmal pro Kalenderjahr eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten unabhängigen Prüfer durchführen lassen, soweit konkrete Nachweise nicht ausreichen.
Vor-Ort-Prüfungen erfolgen während üblicher Geschäftszeiten, mit angemessener Vorankündigung und ohne unverhältnismäßige Beeinträchtigung des Geschäftsbetriebs oder der Rechte anderer Kunden. Geschäftsgeheimnisse und Sicherheitsinteressen sind zu wahren.
Der Verantwortliche trägt die Kosten der Prüfung, sofern sie nicht wegen eines nachgewiesenen erheblichen Verstoßes des Auftragsverarbeiters erforderlich wurde. Zusätzliche Aufwände dürfen nach vorheriger Abstimmung angemessen berechnet werden.
14. Rückgabe und Löschung
Nach Ende der Auftragsverarbeitung löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Kundendaten zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Die Wahl ist spätestens bis zum Vertragsende mitzuteilen. Ohne Mitteilung erfolgt die Löschung nach Ablauf der vertraglichen Exportfrist.
Daten in Sicherungskopien werden im Rahmen regulärer Überschreibungs- und Löschzyklen gelöscht und bis dahin gegen produktive Nutzung gesperrt, soweit keine Wiederherstellung erforderlich ist.
Der Auftragsverarbeiter kann die Löschung auf Anfrage in geeigneter Form bestätigen.
15. Laufzeit und Beendigung
Diese AVV tritt mit dem Hauptvertrag in Kraft und gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag verarbeitet.
Der Verantwortliche kann den Hauptvertrag und diese AVV aus wichtigem Grund kündigen, wenn der Auftragsverarbeiter schwerwiegend oder wiederholt gegen Datenschutzpflichten verstößt und den Verstoß nicht innerhalb angemessener Frist abstellt, soweit eine Fristsetzung zumutbar ist.
16. Haftung und Schlussbestimmungen
Für die Haftung gelten Art. 82 DSGVO und die wirksamen Haftungsregelungen des Hauptvertrags. Zwingende Betroffenenrechte bleiben unberührt.
Änderungen dieser AVV bedürfen der Textform, soweit nicht zwingendes Recht eine andere Form verlangt.
Es gilt deutsches Recht. Gerichtsstand richtet sich nach dem Hauptvertrag, unbeschadet zwingender Zuständigkeiten nach Datenschutzrecht.
Anlage 1A – Beschreibung der Verarbeitung
Anlage 1B – Unterauftragsverarbeiter
Ausfüllpflicht
Die Liste muss vor Veröffentlichung mit den tatsächlich eingesetzten Anbietern, Leistungen, Verarbeitungsorten und Transfermechanismen befüllt werden. Typische Kategorien sind Hosting, Datenbank, Telefonie, Messaging, E-Mail, KI-Modelle, Transkription, Monitoring, Support und Authentifizierung.
Anlage 2 – Technische und organisatorische Maßnahmen
Die nachfolgenden Maßnahmen beschreiben den angestrebten Mindeststandard für Wortfluss.io. Sie müssen vor Vertragsverwendung mit der tatsächlich produktiv eingesetzten Architektur, den Providerverträgen, Prozessen und Nachweisen abgeglichen werden.
1. Organisation der Informationssicherheit
Festgelegte Verantwortlichkeiten für Informationssicherheit und Datenschutz.
Dokumentierte Sicherheits-, Berechtigungs-, Incident-, Backup-, Lösch- und Lieferantenprozesse.
Regelmäßige Überprüfung und risikobasierte Aktualisierung der Maßnahmen.
Verpflichtung und Sensibilisierung von Beschäftigten auf Vertraulichkeit, Datenschutz, Phishing und sicheren Umgang mit Zugangsdaten.
Risikobewertung bei wesentlichen Produkt-, Infrastruktur- und Unterauftragsverarbeiteränderungen.
2. Zutrittskontrolle
Cloud- und Rechenzentrumsbetrieb in professionell gesicherten Einrichtungen der eingesetzten Hostinganbieter.
Zutritt zu eigenen Geschäftsräumen nur für berechtigte Personen; angemessene Schlüssel-, Besucher- und gegebenenfalls Alarmregelungen.
Keine dauerhafte lokale Speicherung produktiver Kundendaten auf frei zugänglichen Arbeitsplätzen.
3. Zugangskontrolle
Individuelle Benutzerkonten; Verbot gemeinsam genutzter administrativer Konten, soweit technisch vermeidbar.
Starke Passwortregeln und sichere Passwortverwaltung.
Mehr-Faktor-Authentifizierung für administrative und besonders privilegierte Zugänge [ZU PRÜFEN: tatsächliche Umsetzung].
Automatische oder zeitnahe Sperrung nicht mehr benötigter Konten.
Schutz vor Brute-Force- und Credential-Stuffing-Angriffen durch geeignete technische Maßnahmen.
Verschlüsselte Übertragung administrativer und nutzerbezogener Zugriffe nach aktuellem Stand der Technik.
4. Zugriffskontrolle und Berechtigungsmanagement
Rollen- und berechtigungsbasiertes Zugriffskonzept nach Need-to-know und Least Privilege.
Trennung von Kundenmandanten auf Anwendungs- und/oder Datenebene.
Beschränkung produktiver Datenbank- und Infrastrukturzugriffe auf einen kleinen autorisierten Personenkreis.
Regelmäßige Überprüfung privilegierter Berechtigungen.
Protokollierung sicherheitsrelevanter administrativer Zugriffe und Änderungen.
Kundenseitige Möglichkeit zur Verwaltung eigener Nutzer und Berechtigungen, soweit im Produkt vorgesehen.
5. Übertragungs- und Transportkontrolle
Verschlüsselung von Datenübertragungen über öffentliche Netze mit aktuellen Transportverschlüsselungsverfahren.
Gesicherte API-Kommunikation und Schutz von API-Schlüsseln, Tokens und Webhooks.
Dokumentierte Freigabe und Kontrolle von Datenexporten und Supportübermittlungen.
Vertragliche und technische Absicherung von Übermittlungen an Unterauftragsverarbeiter.
Soweit Drittlandübermittlungen erfolgen: geeignete Garantien und ergänzende Schutzmaßnahmen nach Art. 44 ff. DSGVO.
6. Speicher- und Verschlüsselungsmaßnahmen
Verschlüsselung ruhender Daten oder gleichwertige Schutzmaßnahmen nach Risiko und technischer Eignung [ZU PRÜFEN: konkrete Dienste und Schlüsselverwaltung].
Getrennte Verwaltung produktiver Geheimnisse und Zugangsdaten über geeignete Secret-Management-Verfahren.
Keine Speicherung von Passwörtern im Klartext; Verwendung geeigneter Hashing-Verfahren, soweit Wortfluss.io Passwörter selbst verwaltet.
Regelmäßige Rotation oder Erneuerung besonders sensibler Schlüssel und Tokens, soweit technisch vorgesehen.
7. Eingabekontrolle und Protokollierung
Protokollierung sicherheits- und systemrelevanter Ereignisse, insbesondere Anmeldungen, administrative Änderungen, Integrationsfehler und kritische Workflow-Aktionen.
Zeitlich begrenzte und zweckgebundene Aufbewahrung von Logs.
Zugriffsschutz für Protokolldaten und Schutz vor unbemerkter Veränderung, soweit technisch angemessen.
Überwachung auf ungewöhnliche Ereignisse und definierte Eskalationswege.
8. Verfügbarkeitskontrolle und Wiederherstellbarkeit
Redundante oder hochverfügbare Komponenten, soweit wirtschaftlich und technisch angemessen.
Regelmäßige, automatisierte Sicherungen zentraler Datenbestände [ZU ERGÄNZEN: Umfang, Häufigkeit, Aufbewahrungsdauer und Speicherort].
Getrennte oder logisch isolierte Aufbewahrung von Sicherungen.
Dokumentierte Wiederherstellungs- und Notfallprozesse.
Regelmäßige Tests oder Plausibilitätsprüfungen der Wiederherstellbarkeit.
Kapazitäts-, Verfügbarkeits- und Fehlerüberwachung der zentralen Dienste.
9. Trennungsgebot
Logische Trennung der Daten verschiedener Kundenmandanten.
Trennung von Produktions-, Test- und Entwicklungsumgebungen, soweit technisch möglich.
Keine Nutzung produktiver personenbezogener Kundendaten in Entwicklung oder Tests, sofern nicht erforderlich, freigegeben und angemessen geschützt.
Trennung von Rollen und Berechtigungen für Entwicklung, Betrieb und Support nach Unternehmensgröße und Risiko.
10. Integrität, sichere Entwicklung und Schwachstellenmanagement
Versionskontrolle und geregelte Freigabeprozesse für Softwareänderungen.
Code-Reviews, automatisierte Tests und sicherheitsbezogene Prüfungen nach Risiko.
Regelmäßige Aktualisierung von Betriebssystemen, Bibliotheken und Abhängigkeiten.
Überwachung bekannter Schwachstellen und risikobasierte Behebung.
Schutz der Entwicklungs- und Deployment-Pipelines vor unbefugtem Zugriff.
Sicherheitsprüfung wesentlicher neuer Funktionen, Integrationen und Datenflüsse.
11. Incident Response und Datenschutzverletzungen
Dokumentierter Prozess zur Erkennung, Bewertung, Eindämmung, Behebung und Nachbereitung von Sicherheitsvorfällen.
Benannte Eskalations- und Kommunikationswege.
Sicherung relevanter Protokolle und Beweismittel unter Wahrung von Datenschutz und Vertraulichkeit.
Unverzügliche Information betroffener Kunden bei meldepflichtigen oder relevanten Verletzungen.
Nachbereitung wesentlicher Vorfälle und Umsetzung angemessener Verbesserungsmaßnahmen.
12. Löschung, Datenminimierung und Aufbewahrung
Produkt- oder prozessseitige Löschmöglichkeiten für Kundendaten.
Definierte Standard- und kundenspezifische Löschfristen für Kommunikation, Transkripte, Aufzeichnungen, Anhänge, Logs und Backups.
Datenminimierung bei Erhebung, Anzeige, Export und Supportzugriff.
Sichere Löschung oder Anonymisierung nach Zweckfortfall und Vertragsende, soweit keine Aufbewahrungspflicht besteht.
Regelmäßige Überprüfung der Notwendigkeit gespeicherter Daten.
13. Lieferanten- und Unterauftragsverarbeitermanagement
Datenschutz- und Sicherheitsprüfung vor Einsatz wesentlicher Anbieter.
Abschluss erforderlicher Auftragsverarbeitungsverträge und gegebenenfalls Standardvertragsklauseln.
Dokumentation von Verarbeitungsorten, Leistungen und Transfermechanismen.
Risikobasierte Überwachung wesentlicher Anbieter und Reaktion auf relevante Änderungen oder Vorfälle.
Begrenzung von Zugriffsrechten externer Support- oder Dienstleistungspartner.
14. KI-spezifische Schutzmaßnahmen
Konfigurierbare Hinweise, dass natürliche Personen mit einem KI-System interagieren.
Begrenzung von KI-Agenten auf freigegebene Zwecke, Wissensgrundlagen, Aktionen und Kommunikationskanäle.
Eskalations- und Übergabemöglichkeiten an menschliche Ansprechpartner.
Protokollierung oder Nachvollziehbarkeit wesentlicher Agentenaktionen, soweit technisch vorgesehen.
Vermeidung automatisierter Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ohne gesonderte Freigabe und Compliance-Konzept.
Regelmäßige Qualitätskontrollen von Gesprächsleitfäden, Prompts, Wissensdaten und Ergebnissen.
Vertragliche Beschränkung der Nutzung von Kundendaten durch externe KI-Anbieter und, soweit angeboten, Ausschluss des Trainings allgemeiner Modelle.
15. Konkret noch zu bestätigen
[ZU ERGÄNZEN] Hostinganbieter, Region und Rechenzentrumsstandorte.
[ZU ERGÄNZEN] Verschlüsselung ruhender Daten und Schlüsselverwaltung.
[ZU ERGÄNZEN] Backup-Häufigkeit, Aufbewahrungsdauer, Wiederherstellungsziele und Testintervall.
[ZU ERGÄNZEN] Log-Aufbewahrungsfristen und Monitoring-Systeme.
[ZU ERGÄNZEN] MFA-Abdeckung für Admins und Kunden.
[ZU ERGÄNZEN] Standardlöschfristen pro Datenart.
[ZU ERGÄNZEN] Zertifizierungen, Penetrationstests oder externe Prüfungen, sofern vorhanden.
[ZU ERGÄNZEN] Vollständige Unterauftragsverarbeiterliste und Drittlandmechanismen.
Vor Veröffentlichung auszufüllen und zu entscheiden
Vollständige Firmierung, Rechtsform, Anschrift, Vertretung, Register, Vertrags- und Datenschutzkontakt.
Tatsächlicher Produktumfang und zulässige Kanäle; White-Label-/Agentur-/Reseller-Modell ja oder nein.
Verfügbarkeit, Wartungsfenster und gegebenenfalls SLA.
Preislogik: Grundgebühr, Einrichtung, Freimengen, Minuten-/Nachrichtenpreise, Drittanbieteraufschläge, Zahlungsziel.
Mindestlaufzeit, Verlängerung, Kündigungsfrist und Exportfrist.
Haftungsobergrenze im Verhältnis zu Cyber-/Vermögensschadenversicherung.
Hosting, Verschlüsselung, Backups, Logs, Löschfristen, MFA, Incident-Prozess.
Unterauftragsverarbeiter einschließlich KI-, Telefonie-, WhatsApp-, E-Mail-, Hosting- und Monitoring-Anbietern.
Tatsächliche Regelung zur Nutzung von Kundendaten für Modelltraining.
Kommunikationsskripte für KI-Hinweis, Aufzeichnung und Datenschutzinformationen.
Prüfung, ob einzelne Kundenanwendungsfälle Hochrisiko-KI, besondere Daten oder regulierte Branchen betreffen.
Rechtsanwaltliche Prüfung der AGB, AVV, TOM, Datenschutzerklärung und Einwilligungs-/Informationsprozesse als Gesamtpaket.
Hinweis zur Verwendung
Die gelb markierten Platzhalter sind bewusst erhalten. Werden sie ungeprüft veröffentlicht, können AGB, AVV oder TOM widersprüchlich oder sachlich falsch sein. Besonders Sicherheits- und Datenschutzangaben dürfen nur zugesagt werden, wenn sie technisch und organisatorisch tatsächlich umgesetzt sind.