DPA — automatisch, transparent, lösch-sicher.

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch OVI im Rahmen der Bereitstellung der OVI-Plattform (SaaS) gemäß Hauptvertrag (AGB).

(2) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags.

OVI verarbeitet personenbezogene Daten ausschließlich zum Zweck der vertraglich vereinbarten Leistungserbringung. Dies umfasst insbesondere:

• Speicherung und Verwaltung von Anfragen, Kontakten und Wissensbasis-Einträgen,
• KI-gestützte Klassifizierung und Antwort-Drafts,
• Versand von Antwort-E-Mails im Auftrag des Kunden,
• Bereitstellung von Posts und Medien für Social-Media-Kanäle,
• Hosting, Backup und Logging der vorstehenden Daten.

Verarbeitete Datenarten:

• Stammdaten (Name, Anschrift, Kontaktdaten)
• Kommunikationsdaten (E-Mail-Inhalte, Anfragen, Antworten)
• Vertragsdaten (Buchungen, Bestellungen, Veranstaltungsdaten)
• Nutzungsdaten (Login-Zeitpunkte, IP-Adressen im technischen Log)

Kategorien betroffener Personen:

• Endkunden des Kunden (Gäste, Anfragende, Buchende)
• Mitarbeitende des Kunden (Plattform-Nutzer)
• Lieferanten und Geschäftspartner des Kunden, soweit relevant

OVI verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten – die Erbringung der im Hauptvertrag vereinbarten Leistung gilt als pauschale Weisung;
• zur Verarbeitung eingesetzte Personen schriftlich zur Vertraulichkeit zu verpflichten;
• die in § 7 genannten technischen und organisatorischen Maßnahmen (TOM) einzuhalten und auf dem Stand der Technik zu halten;
• den Kunden bei der Erfüllung seiner Pflichten gemäß Art. 32 bis 36 DSGVO zu unterstützen, soweit dies angemessen und im üblichen Umfang erforderlich ist;
• den Kunden unverzüglich zu informieren, wenn OVI eine Weisung für rechtswidrig hält;
• den Kunden unverzüglich zu informieren bei Verletzungen des Schutzes personenbezogener Daten („Data Breach"), spätestens innerhalb von 24 Stunden nach Kenntnis;
• personenbezogene Daten nach Beendigung des Vertrags entweder zu löschen oder dem Kunden zurückzugeben (siehe § 9).

(1) Der Kunde ist im Sinne der DSGVO der Verantwortliche und allein zuständig für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen.

(2) Der Kunde benennt OVI auf Anfrage einen Ansprechpartner für Datenschutzfragen.

(1) Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter generell zu:

• Vercel Inc. – Hosting & CDN (Region Frankfurt, EU)
• Supabase Inc. – Datenbank-Hosting (Region Frankfurt, EU)
• Stripe Payments Europe Ltd. – Zahlungsabwicklung (EU)
• Resend Inc. – Transaktions-E-Mails (EU/US, SCC)
• Cloudflare Germany GmbH – DNS, CDN, R2-Object-Storage (EU)
• Functional Software Inc. (Sentry) – Fehler-Tracking (EU-Region)
• PostHog Inc. – Produkt-Analytics (EU-Region)
• Inngest Inc. – Hintergrund-Jobs (EU/US, SCC)
• Anthropic PBC – KI-Modelle „Claude" (US, SCC, kein Training auf Kundendaten)
• Google Ireland Ltd. – KI-Bildgenerierung „Gemini" (EU, kein Training auf Kundendaten)

(2) OVI informiert den Kunden mindestens 30 Tage vor dem Einsatz eines neuen Unterauftragsverarbeiters in Textform. Der Kunde kann dem widersprechen; im Fall eines berechtigten Widerspruchs hat OVI das Recht, den Vertrag mit angemessener Frist außerordentlich zu kündigen, falls die Leistung ohne den Unterauftragsverarbeiter nicht zumutbar erbracht werden kann.

(3) OVI verpflichtet jeden Unterauftragsverarbeiter zu einem Datenschutzniveau, das diesem AVV mindestens entspricht, und schließt jeweils einen DSGVO-konformen AVV gemäß Art. 28 Abs. 4 DSGVO ab.

OVI ergreift die folgenden Maßnahmen zum Schutz personenbezogener Daten:

• Vertraulichkeit: Zugangskontrollen, Berechtigungskonzept, Zwei-Faktor-Login für Admins, getrennte Datenbanken pro Tenant, Verschlüsselung sensibler Verbindungsdaten in der Plattform-DB.
• Integrität: Audit-Logs, Versionierung von Datensätzen, Schutz vor unbefugter Veränderung.
• Verfügbarkeit: Regelmäßige Backups (täglich, Aufbewahrung 30 Tage), Monitoring, Incident-Response.
• Belastbarkeit: Skalierbares Hosting auf Vercel und Supabase, automatische Failover-Mechanismen.
• Übertragung: TLS 1.2+ für alle Verbindungen.
• Datenminimierung: Nur die für den Zweck notwendigen Daten werden erhoben.
• Pseudonymisierung: in Analyse-Tools (PostHog) werden Identifikatoren wo möglich gehasht oder pseudonymisiert.
• Verfahren zur regelmäßigen Überprüfung: jährliches Review der TOM, Penetration-Tests bei wesentlichen Architektur-Änderungen.

Soweit Verarbeitungen außerhalb der EU/EWR stattfinden (z.B. Anthropic, Stripe), erfolgen diese ausschließlich auf Grundlage geeigneter Garantien gemäß Kapitel V DSGVO – insbesondere EU-Standardvertragsklauseln (SCC) und/oder Zertifizierung unter dem EU-US Data Privacy Framework.

(1) Nach Beendigung des Hauptvertrags löscht OVI alle personenbezogenen Daten innerhalb von 30 Tagen, sofern der Kunde keinen Export anfordert. Auf Anfrage stellt OVI dem Kunden vor Löschung einen Daten-Export in maschinenlesbarem Format (JSON / CSV) zum Download bereit.

(2) Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Der Kunde hat das Recht, sich von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen durch geeignete Maßnahmen zu überzeugen. OVI stellt hierzu auf Anfrage aktuelle Auditberichte, Zertifikate oder eine Selbstauskunft zur Verfügung. Vor-Ort-Kontrollen sind nur in begründeten Fällen, mit angemessener Vorankündigung und während üblicher Geschäftszeiten zulässig; OVI kann die Kosten in Rechnung stellen.

(1) Es gelten die Haftungsregelungen des Hauptvertrags entsprechend.

(2) Sollten Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht. Gerichtsstand ist – soweit gesetzlich zulässig – der Sitz von OVI.