Auftragsverarbeitungsvertrag · Graphorum

Bei Abweichungen ist die italienische Fassung maßgeblich. Italienische Fassung lesen

Kurz gesagt

Wir verarbeiten deine Daten nur auf deine Weisung und nur, um dir Graphorum bereitzustellen.
Eine Instanz pro Kunde: keine gemeinsamen Daten mit anderen.
Datenschutzverletzungen: Wir melden sie dir innerhalb von 48 Stunden nach Entdeckung.
Neue Unterauftragsverarbeiter: 30 Tage Vorlauf und Widerspruchsrecht.
Am Ende lädst du alles herunter und löschst selbst; wir entfernen die verbleibenden Kopien.

Parteien und Gegenstand

Diese Vereinbarung ist Teil der Nutzungsbedingungen und gilt für jeden Graphorum-Kunden („Verantwortlicher“). AM Solutions di Vera Alexandru Nicolae („Auftragsverarbeiter“) verarbeitet die in den Kundendaten enthaltenen personenbezogenen Daten im Auftrag des Verantwortlichen gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO) und dem italienischen Datenschutzgesetz.

Verantwortlicher: AM Solutions di Vera Alexandru Nicolae
Rechtsform: Einzelunternehmen
Sitz: Via Potenza 12, 25125 Brescia (BS)
USt-IdNr.: 04419500980
Steuernummer: VRELND86B24Z129Y
E-Mail: [email protected]
Website: www.amsolutionsbs.it

Art, Zweck und Dauer der Verarbeitung

Art: Hosting, Speicherung, Verarbeitung mit künstlicher Intelligenz, Synchronisierung mit den verbundenen Kanälen, Sicherung, Export und Löschung der Kundendaten; Training des Kundenmodells; Support und Wartung.
Zweck: ausschließlich die Bereitstellung von Graphorum für den Verantwortlichen, in den Varianten Lokaler PC oder Cloud, sowie die damit verbundenen Supportleistungen.
Dauer: die Laufzeit des Vertrags, zuzüglich der Frist zum Herunterladen und Löschen der Daten.

Betroffene Personen und Datenkategorien

Betroffene Personen: Kunden, Lieferanten, Mitarbeitende, Beschäftigte und andere Kontakte des Verantwortlichen; die Nutzer seiner Plattform; Personen, die dem Verantwortlichen über die verbundenen Kanäle schreiben.
Daten: Stamm- und Kontaktdaten; Inhalte von E-Mails, Chats und Social-Media-Nachrichten; Dokumente und Anhänge; Buchhaltungs- und Geschäftsdaten; Sprachaufnahmen und Transkripte, wenn der Verantwortliche die Sprachfunktion nutzt; Zugriffs- und Aktivitätsprotokolle.
Besondere Kategorien (Art. 9 DSGVO) und Daten über Straftaten (Art. 10): Graphorum ist nicht für ihre Verarbeitung ausgelegt. Gibt der Verantwortliche sie ein, prüft er die Rechtsgrundlage und geeignete Maßnahmen und teilt dies dem Auftragsverarbeiter mit.

Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind der Vertrag, diese Vereinbarung, die Einstellungen, die der Verantwortliche in der Plattform wählt (zum Beispiel welche Kanäle verbunden, welche externen KI-Dienste eingeschaltet werden und wie viel Autonomie die Agenten erhalten), sowie schriftliche Supportanfragen. Hält er eine Weisung für rechtswidrig, teilt der Auftragsverarbeiter dies unverzüglich mit.

Pflichten des Auftragsverarbeiters

Sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet und unterwiesen sind.
Die unten beschriebenen Sicherheitsmaßnahmen nach Art. 32 DSGVO zu treffen und aktuell zu halten.
Kundendaten nicht für eigene Zwecke zu nutzen, insbesondere nicht, um andere KI-Modelle als das Modell des Verantwortlichen zu trainieren, weder für andere Kunden noch für Dritte.
Den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen zu unterstützen (Art. 15–22), mit den Funktionen der Plattform (Suche, Export, „Vergessen“, Löschung) und bei Bedarf mit Support.
Den Verantwortlichen bei den Pflichten nach Art. 32–36 zu unterstützen: Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation.
Den Verantwortlichen über jede Verletzung des Schutzes personenbezogener Daten unverzüglich und in jedem Fall innerhalb von 48 Stunden nach Entdeckung mit den verfügbaren Informationen zu benachrichtigen, damit der Verantwortliche die 72-Stunden-Frist gegenüber der Aufsichtsbehörde einhalten kann (Art. 33).
Ein Verzeichnis der im Auftrag von Verantwortlichen durchgeführten Verarbeitungstätigkeiten zu führen (Art. 30 Abs. 2).
Die Informationen bereitzustellen, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind.

Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung für den Einsatz der unten aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter erlegt jedem dieselben Datenschutzpflichten wie in dieser Vereinbarung auf und haftet für sie gegenüber dem Verantwortlichen. Vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mit 30 Tagen Vorlauf; der Verantwortliche kann aus vernünftigen Gründen widersprechen und, wenn keine Lösung gefunden wird, kostenlos kündigen.

Unterauftragsverarbeiter	Was er tut	Wo	Gewährleistung	Wann
Hetzner Online GmbHDeutschland (EU)	Server der Cloud-Variante: Rechenleistung, Speicher und Backup der Kundeninstanzen	Rechenzentren in Deutschland und Finnland (EU)	Verarbeitung in der EU	Cloud-Variante
Cloudflare, Inc.Vereinigte Staaten	Netzwerk und Sicherheit: DNS, Schutz der Website und verschlüsselter Tunnel zum lokalen PC oder zur Cloud-Instanz	Globales Netz mit Präsenzpunkten in der EU	EU-U.S. Data Privacy Framework und Standardvertragsklauseln (EU-Beschluss 2021/914)	Beide Varianten
Stripe Payments Europe, Ltd.Irland (EU)	Kartenzahlungen und SEPA-Lastschrift, Verwaltung der Abonnements	EU; Übermittlungen an Stripe, Inc. (USA)	EU-U.S. Data Privacy Framework und Standardvertragsklauseln	Zahlungen
Dienstleister für E-Rechnungen (Standard: Fatture in Cloud, TeamSystem-Gruppe)Italien	Ausstellung und Übermittlung elektronischer Rechnungen an das Austauschsystem (SdI) und gesetzeskonforme Archivierung	Italien	Verarbeitung in der EU	Abrechnung
Meta Platforms Ireland Ltd.Irland (EU)	WhatsApp Business, Facebook und Instagram, nur wenn der Kunde diese Kanäle verbindet	EU; Übermittlungen an Meta Platforms, Inc. (USA)	EU-U.S. Data Privacy Framework und Standardvertragsklauseln	Nur wenn der Kunde die Kanäle verbindet
Für den Kunden ausgewählte Anbieter externer KI-Modelle (z. B. Anthropic, OpenAI, Google, Mistral AI)EU oder USA, je nach Anbieter	Verarbeitung einzelner Anfragen, wenn ein externer KI-Dienst eingeschaltet ist; nie zum Training ihrer Modelle	In der Konsole für jeden aktiven Anbieter angegeben	Angemessenheitsbeschluss, EU-U.S. Data Privacy Framework oder Standardvertragsklauseln; Verträge, die das Training mit den Daten ausschließen	Nur wenn aktiviert
Anbieter für Transaktions-E-Mails (noch festzulegen, z. B. Brevo oder Postmark)Noch festzulegen	Versand von Rechnungen, Hinweisen, Mahnungen und Antworten auf Tickets	Noch festzulegen	Vor der Aktivierung festzulegen	Servicemitteilungen

Bei der Variante Lokaler PC bleiben die Kundendaten auf dem PC des Verantwortlichen: Hetzner ist nicht beteiligt, und Cloudflare transportiert nur den verschlüsselten Datenverkehr des Tunnels. Für Zahlungen und Rechnungen (Stripe und SdI-Dienstleister) handelt AM Solutions als Verantwortlicher für die Rechnungsdaten des Kunden: Wir führen sie der Vollständigkeit halber hier auf.

Übermittlungen außerhalb der Europäischen Union

Die Server der Cloud-Variante befinden sich in der Europäischen Union. Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums, erfolgt die Übermittlung nur mit den Garantien von Kapitel V DSGVO: Angemessenheitsbeschluss (einschließlich EU-U.S. Data Privacy Framework für zertifizierte Anbieter) oder Standardvertragsklauseln (Beschluss (EU) 2021/914), mit den erforderlichen zusätzlichen Maßnahmen.

Technische und organisatorische Maßnahmen

Bereich	Maßnahmen
Isolierung	Eine Instanz pro Kunde, mit getrennter Datenbank, Gehirn, Dateien und Modell; keine gemeinsame Komponente, die Kundendaten enthält.
Verschlüsselung	Zugriff von außerhalb des Büros nur per HTTPS im verschlüsselten Tunnel; mit AES-256-GCM verschlüsselte Backups mit aus dem Passwort abgeleitetem Schlüssel (scrypt); Zugangsdaten und API-Schlüssel ruhend verschlüsselt im Tresor der Plattform.
Zugang	Persönlicher Benutzername und Passwort, nur als Hash gespeichert (scrypt mit Salt); Zwei-Schritt-Verifizierung per Authenticator-App (TOTP) oder E-Mail; 15 Minuten Sperre nach zu vielen Versuchen; Sitzung in einem HttpOnly- und SameSite=Strict-Cookie; Berechtigungen pro Person und pro Agent; API-Schlüssel werden nur einmal angezeigt.
Support	Zugriff des Auftragsverarbeiters nur über eine zeitlich begrenzte, signierte Verbindung, die im Protokoll der Instanz erfasst und für den Verantwortlichen sichtbar ist.
Nachvollziehbarkeit	Protokoll der Vorgänge von Nutzern, Agenten und API-Schlüsseln, vom Verantwortlichen filterbar und als CSV exportierbar.
Eingehende Nachrichten	Sortierung, die Spam, Betrug und Phishing erkennt; der Inhalt empfangener Nachrichten kann die Regeln und Berechtigungen des Verantwortlichen nicht ändern.
Netzwerk	Variante Lokaler PC: ausgehender Cloudflare-Tunnel, kein offener Port am Router; Cloud-Variante: Instanzen hinter einem Tunnel, ohne direkt erreichbare Dienste.
Kontinuität	Regelmäßige, geprüfte Backups; Wiederherstellungsverfahren auf einem neuen PC oder einer neuen Instanz.
Externe KI-Dienste	Standardmäßig aus; werden nur bewusst und nur für einzelne Aufträge eingeschaltet; die Schlüssel der Anbieter bleiben auf dem Server von AM Solutions und werden nie an die Instanzen gesendet; Verträge, die die Nutzung der Daten zum Training der Modelle des Anbieters ausschließen.
Entwicklung und Updates	Updates vor der Veröffentlichung getestet; automatische Prüfung alle 5 Minuten mit Hinweis; Sicherheitskorrekturen werden vorrangig veröffentlicht.
Personen	Datenzugriff nur für diejenigen, die ihn benötigen; Verpflichtung zur Vertraulichkeit; Schulungen zu Datenschutz und Sicherheit.
Variante Lokaler PC	Daten auf dem PC des Verantwortlichen, von außen nur über den verschlüsselten Tunnel ohne offene Ports erreichbar; die physische Verwahrung des PCs obliegt dem Verantwortlichen.

Überprüfungen

Der Verantwortliche kann die Einhaltung dieser Vereinbarung überprüfen, indem er Informationen und Unterlagen anfordert oder, mit mindestens 30 Tagen Vorlauf, eine Inspektion durch sich selbst oder einen zur Vertraulichkeit verpflichteten Prüfer durchführt, während der Arbeitszeit und ohne die Sicherheit anderer Kunden zu gefährden. Die Kosten der Inspektion trägt der Verantwortliche, sofern keine Verstöße des Auftragsverarbeiters festgestellt werden.

Ende der Verarbeitung

Bei Vertragsende lädt der Verantwortliche alle Kundendaten einschließlich seines Modells herunter und löscht sie selbst mit den Funktionen der Plattform; er erhält eine Löschbestätigung. Der Auftragsverarbeiter löscht verbleibende Kopien (einschließlich Backups) innerhalb von 30 Tagen nach Ende der Download-Frist, sofern nicht das Gesetz ihre Aufbewahrung vorschreibt.

Haftung und Vorrang

Jede Partei haftet nach Art. 82 DSGVO. Bei Widersprüchen zwischen dieser Vereinbarung und den übrigen Vertragsdokumenten hat diese Vereinbarung in Fragen des Datenschutzes Vorrang.

Version 1.0 vom 9. Oktober 2026 · AM Solutions di Vera Alexandru Nicolae. Frühere Versionen erhältst du auf Anfrage per E-Mail.