Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (der „AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Kisnip („Kisnip“, „wir“, „uns“, „unser“) und dem Kunden („Kunde“, „Sie“), der diese Bedingungen akzeptiert hat (zusammen die „Vereinbarung“), und wird durch Verweis in diese einbezogen. Er regelt die Verarbeitung personenbezogener Daten, die Kisnip in Ihrem Auftrag durchführt, wenn Sie unsere Website, das Dashboard und den einbettbaren Sprach- und Chat-Assistenten (den „Dienst“) nutzen. Bei Widersprüchen zwischen diesem AVV und dem übrigen Teil der Vereinbarung in Bezug auf den Datenschutz hat dieser AVV Vorrang.

Dieser AVV erfüllt die Anforderungen von Artikel 28 der EU-Datenschutz-Grundverordnung („DSGVO“) und der entsprechenden Bestimmungen des Schweizer Bundesgesetzes über den Datenschutz („DSG“).

1. Begriffsbestimmungen

Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die ihnen in der DSGVO zugewiesene Bedeutung. „Anwendbares Datenschutzrecht“ bezeichnet die DSGVO, das Schweizer DSG und jedes andere Datenschutz- oder Datenschutzrecht, das auf die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung anwendbar ist. „Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die Kisnip im Rahmen der Vereinbarung in Ihrem Auftrag verarbeitet.

2. Rollen der Parteien

Für die über den Dienst verarbeiteten personenbezogenen Kundendaten (z. B. den Inhalt von Konversationen zwischen Ihren Website-Besuchern und dem Assistenten sowie die von Besuchern angegebenen Kontaktdaten) handeln Sie als Verantwortlicher und Kisnip als Auftragsverarbeiter. Sofern Sie selbst als Auftragsverarbeiter im Auftrag eines dritten Verantwortlichen handeln, sichern Sie zu, dass Sie befugt sind, Kisnip als Unterauftragsverarbeiter zu beauftragen, und dass unsere Verarbeitung mit den Weisungen dieses Verantwortlichen im Einklang steht.

Kisnip handelt als unabhängiger Verantwortlicher für die begrenzten Daten, die es zum Betrieb seines Geschäfts verarbeitet, etwa Ihre Konto- und Abrechnungsdaten sowie die Sicherheit auf Kontoebene und die Betrugsprävention. Diese Verarbeitung ist in unserer Datenschutzerklärung beschrieben und unterliegt nicht diesem AVV.

3. Umfang und Einzelheiten der Verarbeitung

Kisnip verarbeitet personenbezogene Kundendaten ausschließlich zur Bereitstellung, Sicherung und Unterstützung des Dienstes gemäß Ihren dokumentierten Weisungen, wie sie in diesem AVV, dem übrigen Teil der Vereinbarung und durch Ihre Nutzung der Funktionen und Einstellungen des Dienstes festgelegt sind. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anhang A beschrieben. Kisnip informiert Sie, wenn eine Weisung nach seiner Auffassung gegen anwendbares Datenschutzrecht verstößt.

4. Pflichten von Kisnip

Kisnip wird:

personenbezogene Kundendaten nur auf Ihre dokumentierten Weisungen hin verarbeiten, auch im Hinblick auf internationale Übermittlungen, es sei denn, dies ist gesetzlich anders vorgeschrieben (in diesem Fall werden wir Sie, soweit zulässig, vorab informieren);
sicherstellen, dass zur Verarbeitung personenbezogener Kundendaten befugte Personen zu angemessener Vertraulichkeit verpflichtet sind;
die in Anhang C beschriebenen technischen und organisatorischen Sicherheitsmaßnahmen umsetzen und aufrechterhalten;
die in diesem AVV festgelegten Bedingungen für die Beauftragung von Unterauftragsverarbeitern einhalten;
Sie unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anfragen betroffener Personen sowie bei der Erfüllung Ihrer Pflichten in Bezug auf Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation unterstützen; und
die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlichen Informationen bereitstellen.

5. Vertraulichkeit

Kisnip behandelt alle personenbezogenen Kundendaten vertraulich. Der Zugriff ist auf Personen beschränkt, die ihn zur Bereitstellung, Unterstützung oder Sicherung des Dienstes benötigen, und diese Personen unterliegen schriftlichen Vertraulichkeitsverpflichtungen. Diese Verpflichtungen bestehen über das Ende ihrer Tätigkeit bei Kisnip hinaus fort.

6. Sicherheit

Kisnip setzt geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung. Eine Zusammenfassung dieser Maßnahmen findet sich in Anhang C. Kisnip kann seine Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren, sofern die aktualisierten Maßnahmen das Gesamtschutzniveau nicht wesentlich verringern.

7. Unterauftragsverarbeiter

Sie erteilen Kisnip die allgemeine Genehmigung, die in Anhang B aufgeführten Unterauftragsverarbeiter zur Verarbeitung personenbezogener Kundendaten zu beauftragen. Kisnip schließt mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung, die Datenschutzpflichten auferlegt, die nicht weniger schützend sind als die in diesem AVV, und bleibt für die Leistung jedes Unterauftragsverarbeiters verantwortlich.

Beabsichtigt Kisnip, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, aktualisiert es die Liste in Anhang B und gewährt Ihnen, sofern Sie eine Benachrichtigung gewünscht haben, eine angemessene Vorankündigung. Haben Sie einen berechtigten, datenschutzbezogenen Einwand gegen einen neuen Unterauftragsverarbeiter, können Sie diesen bei uns geltend machen, indem Sie uns kontaktieren; wir werden in gutem Glauben mit Ihnen an einer Lösung arbeiten, und falls uns dies nicht gelingt, können Sie den betroffenen Teil des Dienstes kündigen.

8. Rechte betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt Kisnip Sie durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung Ihrer Pflicht, Anfragen betroffener Personen zur Ausübung ihrer Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch zu beantworten. Der Dienst bietet zudem Selbstbedienungstools, mit denen Sie Konversationsdaten und Ihr Konto einsehen, sofern verfügbar exportieren und löschen können. Erhält Kisnip eine Anfrage direkt von einer betroffenen Person in Bezug auf personenbezogene Kundendaten, verweist es diese Person, soweit rechtlich zulässig, an Sie, anstatt selbst zu antworten.

9. Verletzungen des Schutzes personenbezogener Daten

Kisnip benachrichtigt Sie ohne unangemessene Verzögerung, nachdem es Kenntnis von einer Verletzung des Schutzes personenbezogener Kundendaten erlangt hat, und stellt die vernünftigerweise verfügbaren Informationen bereit, um Ihnen bei der Erfüllung Ihrer eigenen Meldepflichten nach anwendbarem Datenschutzrecht zu helfen. Kisnip ergreift angemessene Maßnahmen, um die Auswirkungen der Verletzung abzumildern und daraus resultierende Schäden zu minimieren.

10. Datenschutz-Folgenabschätzungen

Unter Berücksichtigung der Art der Verarbeitung und der Kisnip zur Verfügung stehenden Informationen leistet Kisnip angemessene Unterstützung, um Ihnen bei der Durchführung von Datenschutz-Folgenabschätzungen und, sofern erforderlich, vorherigen Konsultationen mit einer Aufsichtsbehörde zu helfen.

11. Internationale Übermittlungen

Kisnip und seine Unterauftragsverarbeiter können personenbezogene Kundendaten in der Europäischen Union und in anderen Regionen verarbeiten, in denen unsere Infrastrukturanbieter tätig sind. Werden personenbezogene Kundendaten in ein Land übermittelt, das kein angemessenes Schutzniveau bietet, stützt sich Kisnip auf einen nach anwendbarem Datenschutzrecht anerkannten geeigneten Übermittlungsmechanismus, etwa die Standardvertragsklauseln der Europäischen Kommission (und, für dem Schweizer DSG unterliegende Übermittlungen, die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Fassungen), zusammen mit etwaigen erforderlichen zusätzlichen Maßnahmen.

12. Rückgabe und Löschung von Daten

Bei Beendigung der Vereinbarung wird Kisnip nach Ihrer Wahl personenbezogene Kundendaten löschen oder zurückgeben und bestehende Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Wenn Sie Konversationen oder Ihr Konto über den Dienst löschen, werden die zugehörigen personenbezogenen Kundendaten innerhalb von 30 Tagen gelöscht oder anonymisiert, außer wenn wir bestimmte Aufzeichnungen zur Erfüllung gesetzlicher Pflichten aufbewahren müssen (z. B. Buchhaltungsunterlagen).

13. Audits

Kisnip stellt Ihnen die vernünftigerweise erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten aus diesem AVV zur Verfügung und ermöglicht und trägt zu Audits, einschließlich Inspektionen, bei, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden. Zur Wahrung der Vertraulichkeit und Sicherheit anderer Kunden werden Audits mit angemessener Vorankündigung, höchstens einmal pro Jahr (sofern nicht von einer Aufsichtsbehörde verlangt oder infolge einer Verletzung), während der Geschäftszeiten und auf eine Weise durchgeführt, die den Dienst nicht beeinträchtigt. Kisnip kann Audit-Anfragen durch Bereitstellung relevanter Zertifizierungen oder Berichte Dritter erfüllen, sofern verfügbar.

14. Haftung

Die Haftung jeder Partei, die sich aus diesem AVV ergibt oder damit zusammenhängt, unterliegt den in der Vereinbarung festgelegten Haftungsbeschränkungen und -ausschlüssen.

15. Laufzeit, Kündigung und Vorrang

Dieser AVV tritt in Kraft, wenn Sie die Vereinbarung akzeptieren, und bleibt so lange in Kraft, wie Kisnip personenbezogene Kundendaten in Ihrem Auftrag verarbeitet. Dieser AVV ersetzt etwaige frühere Auftragsverarbeitungsbedingungen zwischen den Parteien für den Dienst. Alle übrigen Bestimmungen der Vereinbarung bleiben in vollem Umfang in Kraft.

16. Anwendbares Recht

Dieser AVV unterliegt demselben Recht und derselben Gerichtsbarkeit wie in der Vereinbarung festgelegt, außer wenn anwendbares Datenschutzrecht etwas anderes verlangt.

17. Wie dieser AVV vereinbart wird

Dieser AVV ist in unsere Nutzungsbedingungen einbezogen. Wenn Sie ein Konto erstellen und die Bedingungen akzeptieren, schließen Sie diesen AVV mit Kisnip in elektronischer Form ab; eine gesonderte Unterschrift ist nicht erforderlich, wie es Artikel 28 Absatz 9 DSGVO zulässt. Benötigt Ihre Organisation eine gegengezeichnete Kopie für ihre Unterlagen, kontaktieren Sie uns, und wir werden eine bereitstellen.

18. Kontakt

Fragen zu diesem AVV oder unseren Datenschutzpraktiken? Kontaktieren Sie uns oder senden Sie eine E-Mail an [email protected]. Auch unsere leicht verständliche DSGVO- und Datenschutzübersicht kann hilfreich sein.

19. Anhang A: Einzelheiten der Verarbeitung

Gegenstand. Die Bereitstellung des Kisnip-Dienstes für den Kunden.

Dauer. Für die Laufzeit der Vereinbarung zuzüglich des Zeitraums, in dem personenbezogene Kundendaten gemäß diesem AVV aufbewahrt werden.

Art und Zweck. Hosting, Speicherung, Übertragung und Verarbeitung personenbezogener Kundendaten zum Betrieb des einbettbaren Sprach- und Chat-Assistenten, zur Erzeugung von KI-Antworten, zur Erstellung von Konversationszusammenfassungen und Leads sowie zur Bereitstellung von Dashboard, Support und Sicherheit des Dienstes.

Arten personenbezogener Daten. Je nachdem, wie Besucher mit dem Assistenten interagieren, kann dies umfassen: den Inhalt von Chat- und Sprachkonversationen (als Text verarbeitet; Audio wird nach Ende einer Konversation nicht aufbewahrt), etwaige von einem Besucher angegebene Kontaktdaten (wie Name, E-Mail-Adresse oder Telefonnummer), die Seiten-URL, auf der eine Konversation stattfand, Sprache und Gebietsschema sowie zugehörige technische Metadaten.

Kategorien betroffener Personen. Die Website-Besucher und Endnutzer des Kunden, die mit dem Assistenten interagieren, sowie die eigenen autorisierten Dashboard-Nutzer des Kunden.

20. Anhang B: Unterauftragsverarbeiter

Kisnip setzt die folgenden Unterauftragsverarbeiter zur Bereitstellung des Dienstes ein. Jeder wird im Rahmen eines Auftragsverarbeitungsvertrags mit Pflichten beauftragt, die nicht weniger schützend sind als die in diesem AVV.

Google (Firebase), Google Ireland Limited / Google LLC: Hosting, Datenbank, Authentifizierung, Speicherung und serverlose Funktionen. Verarbeitet in der EU und anderen Regionen, in denen Google tätig ist.
Google (Gemini / Vertex AI), Google LLC: Erzeugung von KI-Konversationsantworten.
Stripe, Stripe Payments Europe, Ltd.: Zahlungs- und Abonnementabwicklung (nur Abrechnungsdaten).
Hostpoint AG, Schweiz: Versand von Transaktions- und Zusammenfassungs-E-Mails.

Wir halten diese Liste aktuell. Um über Änderungen benachrichtigt zu werden, kontaktieren Sie uns.

21. Anhang C: Technische und organisatorische Maßnahmen

Kisnip unterhält dem Risiko angemessene Sicherheitsmaßnahmen, darunter:

Verschlüsselung. Personenbezogene Daten werden bei der Übertragung (TLS) und im Ruhezustand bei unseren Infrastrukturanbietern verschlüsselt.
Zugriffskontrolle. Der Zugriff auf personenbezogene Kundendaten ist auf autorisiertes Personal nach dem Need-to-know-Prinzip beschränkt und durch Authentifizierung und rollenbasierte Berechtigungen geschützt.
Infrastruktursicherheit. Der Dienst läuft auf etablierter Cloud-Infrastruktur (Google Firebase) mit den physischen, netzwerkbezogenen und betrieblichen Schutzmaßnahmen, die diese Anbieter aufrechterhalten.
Datenminimierung. Spracheingaben werden in Echtzeit verarbeitet und Audioaufnahmen werden nach Ende einer Konversation nicht aufbewahrt, sondern nur Texttranskripte.
Ausfallsicherheit. Verwaltete, redundante Infrastruktur unterstützt die Verfügbarkeit und Integrität des Dienstes.
Vertraulichkeit. Das Personal ist zur Vertraulichkeit verpflichtet und erhält Anleitung zum Umgang mit personenbezogenen Daten.
Reaktion auf Vorfälle. Es bestehen Prozesse zur Erkennung, Bewertung und Reaktion auf Verletzungen des Schutzes personenbezogener Daten sowie zur Benachrichtigung betroffener Kunden ohne unangemessene Verzögerung.