Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO
Stand: 27. Oktober 2026
Mit der Nutzung der Dienste der weblens GmbH nimmt der Kunde diesen AVV zur Kenntnis und erkennt ihn als verbindlich an.

1. Vertragsparteien

Verantwortlicher:
Der Kunde (insbesondere der Betreiber der Website oder der Online-Dienste, in denen die beauftragte Lösung eingesetzt wird)

Auftragsverarbeiter:
weblens GmbH
Birkenstraße 23, 40233 Düsseldorf, Deutschland
Handelsregister: HRB 104423 (Amtsgericht Düsseldorf)
Geschäftsführer: Paul Tiedtke, Florian Piltz

2. Gegenstand der Verarbeitung

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen zur Bereitstellung einer KI-gestützten Dialog- und Beratungslösung zur Unterstützung von Nutzern einer Website oder Plattform, insbesondere in den Bereichen:

• Informationsbeschaffung

• Produktempfehlungen

• Entscheidungsunterstützung

• Kundeninteraktion (Beratung, Navigation, Leadgenerierung)

Einzelheiten zu den Kategorien personenbezogener Daten und betroffener Personen ergeben sich aus Anlage 1.

3. Laufzeit

Dieser AVV gilt für die Dauer des Vertragsverhältnisses zwischen den Parteien.

4. Rechte & Pflichten

Verantwortlicher:

• Stellt die Einhaltung der DSGVO sicher.

• Erteilt dem Auftragsverarbeiter dokumentierte Weisungen.

Auftragsverarbeiter:

• Verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen.

• Trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

• Unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen.

• Unterstützt den Verantwortlichen bei der Einhaltung seiner Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

• Informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird (Art. 33 Abs. 2 DSGVO).

• Informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen Datenschutzvorschriften verstößt.

5. Unterauftragsverarbeiter

Unterauftragsverarbeiter

Erbrachte Leistung

Standort

Datenübermittlung in ein Drittland

Garantien

OpenAI Ireland Ltd.

API zur Sprachverarbeitung

Irland / USA

Ja

SCC, DPA

Cloudflare Inc.

CDN, DNS, TLS, DDoS-Schutz, Hosting

USA

Ja

SCC, DPA

Neon Inc.

PostgreSQL-Hosting

USA

Ja

SCC, DPA

Clerk Inc.

Authentifizierung

USA

Ja

SCC, DPA

Sentry Inc.

Logging, Monitoring

USA

Ja

SCC, DPA

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Der Auftragsverarbeiter informiert den Verantwortlichen vorab über jede beabsichtigte Hinzuziehung oder Ersetzung; der Verantwortliche kann binnen 14 Tagen aus begründeten datenschutzrechtlichen Gründen widersprechen.

Soweit ein Unterauftragsverarbeiter nach dem EU-U.S. Data Privacy Framework zertifiziert ist, sind Übermittlungen in die USA zusätzlich durch den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO) abgedeckt.

6. Technische und organisatorische Maßnahmen

Siehe Anlage 2.

7. Löschung von Daten

Daten werden nach Beendigung des Vertrags oder auf Weisung des Verantwortlichen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

8. Kontrollrechte

Der Verantwortliche kann die Einhaltung dieses AVV überprüfen. Der Auftragsverarbeiter stellt alle für solche Prüfungen vernünftigerweise erforderlichen Informationen zur Verfügung.

9. Vertraulichkeit

Alle Personen, die befugt sind, im Auftrag des Auftragsverarbeiters personenbezogene Daten zu verarbeiten, sind zur Vertraulichkeit verpflichtet.

10. Schlussbestimmungen

Es gilt deutsches Recht. Änderungen bedürfen der Schriftform. Die fortgesetzte Nutzung der Dienste nach Mitteilung von Änderungen gilt als Annahme dieser Änderungen.

Anlage 1 – Beschreibung der Verarbeitung

Betroffene Personen: Websitebesucher, Kunden
Kategorien personenbezogener Daten: Texteingaben, Chatverläufe, IP-Adressen (falls zutreffend), Browserinformationen
Verarbeitungstätigkeiten: Analyse, Generierung von Antworten, vorübergehende Speicherung zur Qualitätsverbesserung
Speicherdauer: Nur so lange wie erforderlich; Löschung auf Weisung oder gemäß den gesetzlichen Vorgaben

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

• Zutrittskontrolle: Verarbeitung ausschließlich in zertifizierten Rechenzentren

• Zugangskontrolle: Benutzerbezogene Logins, sichere Authentifizierung

• Zugriffskontrolle: Rollenbasierter Zugriff, beschränkt auf befugtes Personal

• Weitergabekontrolle: Verschlüsselte Übertragung, vertragliche Bindung der Unterauftragsverarbeiter

• Eingabekontrolle: Protokollierte administrative Zugriffe

• Auftragskontrolle: Verarbeitung nur gemäß den vertraglichen Bestimmungen

• Trennungskontrolle: Logische Mandantentrennung

• Löschkontrolle: Manuelle oder automatisierte Löschung nach Zweckerfüllung

• Verfügbarkeitskontrolle: Redundanz, Backups

• Datenschutz durch Technikgestaltung: Datenminimierung, Transparenz

• Vertraulichkeit: Schulung der Mitarbeitenden und Verpflichtung zur Vertraulichkeit

• Dokumentation: Dokumentation der TOMs zum Nachweis der Rechenschaftspflicht