Vertrag über die Auftragsverarbeitung

Fassung vom 20. August 2026. Dieser Vertrag ist Anlage zu den Allgemeinen Geschäftsbedingungen und wird mit dem Hauptvertrag über die Nutzung der Mtox-Plattform geschlossen.

Vertragsparteien sind der im Hauptvertrag bezeichnete Kunde als Verantwortlicher (nachfolgend „Verantwortlicher“) und die Digitmedia e.K., Gertrudstr. 17, 44388 Dortmund, als Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter“). Begriffe dieses Vertrags entsprechen den Begriffsbestimmungen der Verordnung (EU) 2016/679 (DSGVO).

1. Gegenstand und Dauer

1. Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Chatbot-Plattform Mtox nach Maßgabe des Hauptvertrags. Der Auftragsverarbeiter verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.
2. Art, Zweck und Umfang der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
3. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Der vorliegende Vertrag endet mit dem Hauptvertrag, ohne dass es einer gesonderten Kündigung bedarf; die Pflichten nach Ziffer 10 bestehen darüber hinaus fort.
4. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er entscheidet über Zwecke und Mittel der Verarbeitung, insbesondere über die Gestaltung seiner Chatbots, die dabei erhobenen Angaben und deren Speicherdauer.

2. Weisungen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer. Eine Ausnahme gilt, soweit er nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das jeweilige Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Konfiguration, die der Verantwortliche in der Verwaltungsoberfläche vornimmt — insbesondere Gesprächsabläufe, abgefragte Angaben, Einsatz von KI-Bausteinen, Kanalauswahl und Aufbewahrungseinstellungen — gilt als Weisung. Weitere Weisungen erteilt der Verantwortliche in Textform an support@digitmedia.de. Mündlich erteilte Weisungen bestätigt er unverzüglich in Textform.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.
4. Weisungsberechtigt sind die im Hauptvertrag benannten Ansprechpartner des Verantwortlichen. Änderungen teilt der Verantwortliche in Textform mit.

3. Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind, und hält sie während der Vertragslaufzeit aufrecht. Er darf die Maßnahmen weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.
3. Er unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
4. Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde, bei Benachrichtigungen betroffener Personen und bei Datenschutz-Folgenabschätzungen, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
5. Er meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von 24 Stunden. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Gegenmaßnahmen.
6. Er führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dem Verantwortlichen den ihn betreffenden Auszug auf Anfrage zur Verfügung.
7. Für Fragen zum Datenschutz ist der Auftragsverarbeiter unter support@digitmedia.de erreichbar. Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Der Auftragsverarbeiter teilt dem Verantwortlichen unverzüglich mit, wenn sich dies ändert.

4. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher in Textform über die beabsichtigte Hinzuziehung eines weiteren oder den Austausch eines bestehenden Unterauftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb von vier Wochen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen.
3. Widerspricht der Verantwortliche, suchen die Parteien eine einvernehmliche Lösung. Ist eine solche nicht innerhalb von vier Wochen erreichbar und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in zumutbarer Weise erbringen, kann jede Partei den Hauptvertrag insoweit außerordentlich mit einer Frist von einem Monat kündigen.
4. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und erlegt ihnen durch Vertrag Datenschutzpflichten auf, die denen dieses Vertrags entsprechen. Er bleibt dem Verantwortlichen gegenüber für die Einhaltung dieser Pflichten verantwortlich.
5. Nebenleistungen wie Telekommunikationsdienste, Postdienste, Wartung von Endgeräten und Aktenvernichtung gelten nicht als Unterauftragsverarbeitung im Sinne dieser Ziffer. Der Auftragsverarbeiter trifft auch insoweit angemessene Schutzmaßnahmen.

5. Verarbeitung in Drittländern

1. Die Verarbeitung findet grundsätzlich in der Bundesrepublik Deutschland statt. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur, soweit sie in Anlage 3 ausgewiesen oder vom Verantwortlichen gesondert angewiesen ist.
2. Findet eine Übermittlung in ein Drittland statt, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen des Kapitels V DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Maßnahmen.
3. Setzt der Verantwortliche in seinen Chatbots KI-Bausteine ein, weist er den Auftragsverarbeiter damit an, die betreffenden Gesprächsinhalte an den in Anlage 3 genannten Anbieter des Sprachmodells zu übermitteln. Der Verantwortliche prüft in eigener Verantwortung, ob dies für seinen Anwendungsfall zulässig ist.
4. Betreibt der Verantwortliche einen Chatbot über einen Messenger-Dienst, erfolgt die Kommunikation über die Infrastruktur des jeweiligen Betreibers. Der Betreiber ist für die Verarbeitung im Rahmen seines Dienstes eigenständig Verantwortlicher und nicht Unterauftragsverarbeiter des Auftragsverarbeiters. Einzelheiten und die daraus folgenden Hinweispflichten des Verantwortlichen regelt Anlage 3.

6. Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.
2. Der Nachweis kann zunächst durch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Stellen, geeignete Zertifizierungen oder eine dokumentierte Selbstauskunft zu den Maßnahmen nach Anlage 2 geführt werden.
3. Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche nach Anmeldung mit angemessener Frist von mindestens zwei Wochen während der üblichen Geschäftszeiten eine Überprüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der nicht Wettbewerber des Auftragsverarbeiters ist. Der Betriebsablauf ist dabei so wenig wie möglich zu beeinträchtigen; Geschäftsgeheimnisse und die Daten anderer Kunden bleiben geschützt.
4. Überprüfungen finden höchstens einmal jährlich statt. Darüber hinaus sind sie zulässig, wenn ein konkreter Anlass besteht, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde.
5. Für den Aufwand einer Überprüfung vor Ort kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, es sei denn, die Überprüfung erfolgt aus einem vom Auftragsverarbeiter zu vertretenden Anlass.

7. Mitteilungspflichten bei Anfragen Dritter

Verlangt eine Behörde oder ein Gericht vom Auftragsverarbeiter die Herausgabe von Daten des Verantwortlichen, unterrichtet er den Verantwortlichen unverzüglich, sofern dies rechtlich zulässig ist. Er prüft die Rechtmäßigkeit des Verlangens, beschränkt eine Herausgabe auf das rechtlich gebotene Maß und macht verfügbare Rechtsbehelfe geltend. Er verweist die anfragende Stelle im Übrigen an den Verantwortlichen.

8. Verantwortlichkeit für den Inhalt der Chatbots

1. Der Verantwortliche gestaltet seine Chatbots so, dass nur solche personenbezogenen Daten erhoben werden, die für den jeweiligen Zweck erforderlich sind (Art. 5 Abs. 1 lit. c DSGVO). Er richtet die Abläufe insbesondere nicht darauf aus, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO zu erheben.
2. Der Verantwortliche informiert die betroffenen Personen nach Art. 13 DSGVO über die Verarbeitung durch seinen Chatbot und über den Einsatz eines KI-Systems nach Art. 50 der Verordnung (EU) 2024/1689. Der Auftragsverarbeiter stellt hierfür geeignete Bausteine bereit; die Einbindung obliegt dem Verantwortlichen.
3. Richtet sich ein Chatbot an Kinder, trifft der Verantwortliche die nach Art. 8 DSGVO erforderlichen Vorkehrungen.
4. Teilt der Verantwortliche Auswertungen über die dafür vorgesehenen Links, entscheidet er über den Empfängerkreis und die dabei sichtbaren Angaben. Der Auftragsverarbeiter stellt die erforderlichen Einstellungen bereit.

9. Berichtigung, Einschränkung und Löschung während der Laufzeit

Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung personenbezogener Daten nur nach Weisung des Verantwortlichen ein. Der Verantwortliche kann Daten über die Funktionen der Plattform selbst berichtigen und löschen; darüber hinausgehende Maßnahmen führt der Auftragsverarbeiter auf Weisung durch. Löschkonzepte und Aufbewahrungsfristen, die der Verantwortliche in der Verwaltungsoberfläche einstellt, führt die Plattform automatisiert aus.

10. Rückgabe und Löschung nach Vertragsende

1. Nach Beendigung der Verarbeitung hält der Auftragsverarbeiter die Daten für 30 Kalendertage zum Export durch den Verantwortlichen bereit. Der Verantwortliche kann innerhalb dieser Frist die Rückgabe in einem strukturierten, gängigen und maschinenlesbaren Format oder die sofortige Löschung verlangen.
2. Nach Ablauf der Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen einschließlich vorhandener Kopien vollständig und unwiderruflich. Sicherungskopien werden im Rahmen der üblichen Sicherungszyklen, spätestens jedoch 90 Kalendertage nach Vertragsende, gelöscht.
3. Bestehen gesetzliche Aufbewahrungspflichten, werden die betreffenden Daten für die Dauer der Pflicht gesperrt und für keinen anderen Zweck verarbeitet.
4. Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.

11. Haftung

Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags. Art. 82 DSGVO bleibt im Verhältnis zu betroffenen Personen unberührt. Im Innenverhältnis tragen die Parteien einen zu leistenden Schadensersatz oder ein Bußgeld nach ihrem jeweiligen Verantwortungsanteil.

12. Änderungen dieses Vertrags

Änderungen dieses Vertrags bedürfen der Textform. Der Auftragsverarbeiter kann die Anlagen 2 und 3 nach Maßgabe der Ziffern 3.2 und 4.2 anpassen. Werden Änderungen erforderlich, um geänderten rechtlichen Vorgaben oder Vorgaben einer Aufsichtsbehörde zu entsprechen, wirken die Parteien unverzüglich an einer entsprechenden Anpassung mit.

13. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag einschließlich der Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten betreffen. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags, insbesondere zu anwendbarem Recht und Gerichtsstand. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Gegenstand der Verarbeitung

Art und Zweck

Speichern, Verändern, Auslesen, Übermitteln und Löschen personenbezogener Daten zum Zweck des Betriebs der vom Verantwortlichen erstellten Chatbots über die Kanäle Telegram und Webchat sowie über weitere gesondert vereinbarte Kanäle, einschließlich der Erstellung von Auswertungen über den Verlauf der Gespräche.

Kategorien betroffener Personen

• Teilnehmende an den Chatbots des Verantwortlichen
• Beschäftigte und beauftragte Personen des Verantwortlichen, die Zugang zur Verwaltungsoberfläche haben

Arten der Daten

Anlage 2 — Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, jeweils unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs und der Zwecke der Verarbeitung.

Vertraulichkeit

• Zutrittskontrolle: Betrieb in einem Rechenzentrum in Deutschland mit baulicher Sicherung, Zutritt nur für berechtigtes Personal des Rechenzentrumsbetreibers, Protokollierung des Zutritts, Videoüberwachung der Zugänge.
• Zugangskontrolle: persönliche Benutzerkonten, Passwortrichtlinie nach dem Stand der Technik, Speicherung von Passwörtern ausschließlich als Hash mit Salt, Sperrung nach wiederholten Fehlversuchen, administrativer Zugriff auf Server nur über verschlüsselte Verbindungen mit Schlüsselauthentisierung.
• Zugriffskontrolle: Rollen- und Rechtekonzept nach dem Grundsatz der geringsten Rechte, Trennung von Anwendungs- und Datenbankkonten, Beschränkung des Zugriffs auf Produktivdaten auf die dafür zuständigen Personen, Protokollierung administrativer Zugriffe.
• Trennungskontrolle: mandantenbezogene Trennung der Daten je Kunde auf Anwendungsebene, getrennte Umgebungen für Entwicklung, Test und Produktion, keine Verwendung von Produktivdaten zu Testzwecken.
• Pseudonymisierung und Verschlüsselung: Transportverschlüsselung nach dem Stand der Technik für alle Verbindungen zur Plattform und zu angebundenen Diensten, verschlüsselte Ablage der Sicherungen, Verschlüsselung der Datenträger der eingesetzten Server.

Integrität

• Weitergabekontrolle: Übermittlung an Drittdienste nur über verschlüsselte Schnittstellen und nur, soweit für den vom Verantwortlichen konfigurierten Ablauf erforderlich; keine Datenträgerweitergabe.
• Eingabekontrolle: Protokollierung von Anmeldungen und wesentlichen Änderungen in der Verwaltungsoberfläche mit Benutzerbezug und Zeitstempel, revisionssichere Aufbewahrung der Protokolle für einen angemessenen Zeitraum.

Verfügbarkeit und Belastbarkeit

• Arbeitstägliche Sicherung der Datenbestände, getrennte Aufbewahrung der Sicherungen, regelmäßige Prüfung der Wiederherstellbarkeit.
• Unterbrechungsfreie Stromversorgung, redundante Netzanbindung und Klimatisierung im Rechenzentrum.
• Überwachung der Systeme auf Erreichbarkeit, Auslastung und Fehler mit automatischer Benachrichtigung, zeitnahes Einspielen sicherheitsrelevanter Aktualisierungen.
• Schutz vor Schadsoftware und vor unbefugten Zugriffen aus dem Netz durch Firewall und Filterregeln.

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung und Bewertung der Maßnahmen, mindestens jährlich sowie anlassbezogen nach wesentlichen Änderungen.
• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit und Unterweisung zum Datenschutz.
• Auftragskontrolle durch sorgfältige Auswahl der Unterauftragsverarbeiter, vertragliche Verpflichtung nach Art. 28 DSGVO und Überprüfung ihrer Nachweise.
• Dokumentierter Prozess zur Erkennung, Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten.

Anlage 3 — Unterauftragsverarbeiter

Stand der Liste: 20. August 2026.

Messenger-Dienste als eigenständig Verantwortliche

Betreibt der Verantwortliche einen Chatbot über Telegram, läuft die Kommunikation zwischen den Teilnehmenden und dem Bot über die Server der Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate. Für diese Verarbeitung ist Telegram eigenständig Verantwortlicher; ein Auftragsverarbeitungsvertrag besteht insoweit nicht und kann vom Auftragsverarbeiter nicht geschlossen werden.

Für die Vereinigten Arabischen Emirate besteht kein Angemessenheitsbeschluss nach Art. 45 DSGVO. Der Verantwortliche entscheidet daher in eigener Verantwortung über die Nutzung dieses Kanals, informiert die Teilnehmenden vor Beginn des Gesprächs darüber und stützt die Übermittlung auf eine geeignete Grundlage, insbesondere auf Art. 49 Abs. 1 DSGVO. Wer stattdessen den vom Auftragsverarbeiter betriebenen Webchat nutzt, ist von dieser Übermittlung nicht betroffen; sie findet dort nicht statt.

Stand: 20. August 2026 — Digitmedia e.K., Gertrudstr. 17, 44388 Dortmund