Vereinbarung zur Auftrags­verarbeitung

Nach Art. 28 DSGVO · Stand: 11. November 2026

1. Parteien und Abschluss

Diese Vereinbarung gilt zwischen dem Kunden von Askwerk als Verantwortlichem (im Folgenden „Kunde“) und der NALSO UG (haftungsbeschränkt), Albrecht-Dürer-Straße 24, 73257 Köngen, als Auftragsverarbeiter (im Folgenden „NALSO“). Sie ergänzt die AGB und kommt zustande, wenn der Kunde vor dem Einbinden eines Bots die entsprechende Erklärung im Kundenkonto bestätigt. NALSO speichert den Zeitpunkt der Bestätigung beim jeweiligen Bot als Nachweis.

2. Gegenstand, Art und Zweck

NALSO betreibt für den Kunden Chatbots, die der Kunde auf eigenen Websites oder unter einem eigenen Link anbietet. Dabei verarbeitet NALSO personenbezogene Daten, die Besucher in den Chat eingeben, ausschließlich, um Antworten zu erzeugen, Anfragen auf Wunsch an den Support des Kunden weiterzuleiten, das Kontingent abzurechnen und Missbrauch abzuwehren. Schaltet der Kunde für einen Bot „Fragen auswerten“ ein, speichert NALSO außerdem die Fragen und zeigt dem Kunden, was am häufigsten gefragt wurde. Die Vereinbarung läuft so lange, wie der Kunde Askwerk nutzt.

3. Daten und betroffene Personen

Betroffene: Besucher der Websites und Bot-Links des Kunden sowie Personen, die in den Wissensinhalten des Kunden genannt sind.

Daten: Inhalte der Fragen und Antworten, auch über WhatsApp (nur flüchtig, nicht gespeichert); bei WhatsApp die Telefonnummer des Absenders (nur als Hash zur Missbrauchsabwehr, höchstens zwei Minuten) und die Kennung der Nachricht (ein Tag, gegen doppelte Antworten); bei einer Übergabe an den Support zusätzlich E-Mail-Adresse, Name (freiwillig), Anliegen und bisheriger Chatverlauf (nur weitergeleitet, nicht gespeichert); IP-Adresse als Hash zur Missbrauchsabwehr (höchstens eine Stunde); technische Nutzungsdaten ohne Textinhalt (Bot-Kennung, Zeitpunkt, Mengen, Dauer, Status); Wissensinhalte des Kunden (verschlüsselt gespeichert); bei eingeschaltetem „Fragen auswerten“ die Fragen von Besuchern, die vorher zugestimmt haben, ohne Telefonnummern und E-Mail-Adressen, verschlüsselt, höchstens 90 Tage (nicht bei WhatsApp).

Der Kunde bittet seine Besucher, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) einzugeben, und hinterlegt solche Daten nicht als Wissen.

4. Weisungen

NALSO verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind diese Vereinbarung, die AGB und die Einstellungen, die der Kunde für seine Bots im Kundenkonto vornimmt. Weitere Weisungen erteilt der Kunde in Textform an info@nalso.de. Hält NALSO eine Weisung für rechtswidrig, weist NALSO den Kunden unverzüglich darauf hin. Eine Pflicht zur Verarbeitung nach Unionsrecht oder deutschem Recht teilt NALSO vorher mit, soweit das erlaubt ist.

5. Vertraulichkeit

Alle Personen, die bei NALSO Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

6. Technische und organisatorische Maßnahmen

NALSO trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Verschlüsselung der Übertragung (TLS) und Verschlüsselung der Wissensinhalte vor dem Speichern;
• keine Speicherung von Frage-, Antwort- oder Übergabetexten; IP-Adressen nur als Hash und nur kurz;
• Zugriff auf das Kundenkonto nur nach Anmeldung, Rechte je Firma getrennt; Verwaltungszugänge mit starker Anmeldung und nur für die Personen, die sie brauchen;
• Betrieb auf der Infrastruktur von Cloudflare mit deren Schutz gegen Angriffe und Ausfälle;
• Begrenzung der Anfragen je Bot und je Absender gegen Missbrauch;
• regelmäßige Prüfung und Anpassung der Maßnahmen an den Stand der Technik.

NALSO darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Cloudflare, Inc. (USA, mit Niederlassungen in der EU): Hosting, Datenbank, Speicherung, Umrechnung von Texten für die Bedeutungssuche (Workers AI);
• Mistral AI SAS (Paris, Frankreich): Erzeugung der Antworten durch ein Sprachmodell über den europäischen Zugang, ohne Speicherung der Inhalte (Zero Data Retention);
• Resend (Plus Five Five, Inc., USA): Versand der Übergabe-E-Mails an den Support des Kunden.

Verbindet der Kunde einen Bot mit WhatsApp, laufen die Nachrichten über sein eigenes Konto bei Meta. Meta ist insoweit Dienstleister des Kunden, nicht Unterauftragsverarbeiter von NALSO. Den Zugangsschlüssel des Kunden für Meta speichert NALSO verschlüsselt und nutzt ihn nur zum Beantworten der Nachrichten.

Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst auf die Standardvertragsklauseln der EU-Kommission. NALSO verpflichtet die Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau. Einen neuen oder ersetzten Unterauftragsverarbeiter kündigt NALSO mindestens vier Wochen vorher per E-Mail an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; einigen sich die Parteien nicht, kann der Kunde den Vertrag zum Wirksamwerden der Änderung kündigen.

8. Unterstützung des Kunden

NALSO unterstützt den Kunden im Rahmen des Möglichen bei Anfragen betroffener Personen, bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen. Chat-Inhalte speichert NALSO nur bei eingeschaltetem „Fragen auswerten“, und auch dann ohne Bezug zu einer Person. NALSO kann zu einzelnen Gesprächen daher in der Regel keine Auskunft geben. Wendet sich eine betroffene Person direkt an NALSO, leitet NALSO die Anfrage an den Kunden weiter.

9. Datenschutzverletzungen

NALSO informiert den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über eine Verletzung des Schutzes der Daten des Kunden, mit den Angaben, die für eine Meldung nach Art. 33 DSGVO nötig sind und NALSO vorliegen.

10. Löschung und Rückgabe

Nach Vertragsende kann der Kunde seine Inhalte noch 30 Tage abrufen. Danach löscht NALSO sie, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Daten in Sicherungskopien werden mit deren regulärem Ablauf gelöscht.

11. Nachweise und Kontrollen

NALSO stellt dem Kunden auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus dieser Vereinbarung nötig sind. Der Kunde kann Kontrollen nach rechtzeitiger Anmeldung, während der Geschäftszeiten und ohne Störung des Betriebs durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate, Prüfberichte) gelten als ausreichend, soweit sie die betreffende Verarbeitung abdecken.

12. Schlussbestimmungen

Bei Widersprüchen geht diese Vereinbarung den AGB in Fragen des Datenschutzes vor. Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den AGB. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam. Es gilt deutsches Recht.