Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO für den HOHEIT Concierge, Fassung 2026-10-15. Abgeschlossen elektronisch im Concierge-Portal (Art. 28 Abs. 9 DSGVO) zwischen dem Haus als Verantwortlichem („Auftraggeber“) und der EA Digital Solutions e.U., Liebenauer Hauptstraße 41, 8041 Graz, als Auftragsverarbeiter („HOHEIT“). Er ergänzt die Bedingungen für den HOHEIT Concierge.
1. Gegenstand und Dauer
HOHEIT betreibt für den Auftraggeber einen KI-Assistenten, der Fragen von Gästen auf der Website des Auftraggebers beantwortet, Anfragen und Übergaben aufnimmt und an den Auftraggeber weitergibt. Der Vertrag gilt, solange der Concierge-Vertrag läuft, und danach bis zur Löschung der Daten nach Punkt 9.
2. Art der Daten und betroffene Personen
- Betroffene: Gäste und Interessenten, die den Assistenten auf der Website des Auftraggebers nutzen; Mitarbeitende des Auftraggebers mit Zugang zum Portal.
- Daten: Nachrichten und Gesprächsverlauf mit Zeitpunkten und Sprache; freiwillig genannte Kontaktdaten (Name, E-Mail, Telefon); bei WhatsApp Telefonnummer und Profilname; Reisedaten und Personenzahl einer Anfrage; Inhalt von Übergaben; eine zufällige Gesprächsnummer; die Herkunftswebsite. Keine Zahlungsdaten. Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen; nennt ein Gast sie dennoch, gibt der Assistent an das Haus weiter, statt sie zu bewerten.
- Zweck: Beantwortung von Gastfragen, Weitergabe von Anfragen und Übergaben, Lernen aus Antworten des Auftraggebers, Statistik für den Auftraggeber.
3. Weisungen
HOHEIT verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Einstellungen im Portal (Wissen, Aufbewahrungsfrist, Erfragen von Gastdaten, Empfänger der Benachrichtigungen) sind Weisungen. Hält HOHEIT eine Weisung für rechtswidrig, sagt HOHEIT das dem Auftraggeber unverzüglich.
4. Vertraulichkeit
Wer bei HOHEIT Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet. Zugang hat nur, wer ihn für Betrieb, Fehlersuche oder Unterstützung des Auftraggebers braucht.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Übertragung ausschließlich verschlüsselt (TLS); Datenbank und Sicherungen beim Unterauftragsverarbeiter verschlüsselt gespeichert.
- Mandantentrennung: jeder Datensatz gehört zu genau einem Haus, Zugriffsregeln der Anwendung lassen Gastgeber nur ihr eigenes Haus sehen; kein Zugang zur Verwaltungsoberfläche für Gastgeber.
- Anmeldung mit persönlichem Zugang, Passwörter nur als Hash gespeichert, Rücksetzen über befristete Links.
- Das Widget läuft nur auf Websites, die der Auftraggeber freigeschaltet hat; Gespräche liegen auf dem Server, der Browser kennt nur eine zufällige Nummer.
- Automatische Löschung der Gesprächsverläufe nach der gewählten Frist (30, 90 oder 365 Tage).
- Begrenzung missbräuchlicher Nutzung (Nachrichtendeckel je Monat, Erkennung von Manipulationsversuchen).
- Schlüssel und Zugangsdaten nur auf dem Server, nie im Browser.
6. Unterauftragsverarbeiter
Der Auftraggeber stimmt den folgenden Unterauftragsverarbeitern zu. Einen neuen oder geänderten kündigt HOHEIT mindestens vier Wochen vorher per E-Mail an; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Concierge-Vertrag dann außerordentlich kündigen.
| Unternehmen | Sitz | Aufgabe | Drittland-Grundlage |
|---|---|---|---|
| Vercel Inc. | San Francisco, USA | Betrieb der Anwendung, Rechenzentrum Frankfurt am Main (fra1) | EU-US Data Privacy Framework, Standardvertragsklauseln |
| Neon Inc. | San Francisco, USA | Datenbank, Rechenzentrum Frankfurt am Main | EU-US Data Privacy Framework, Standardvertragsklauseln |
| Anthropic PBC | San Francisco, USA | Sprachmodell Claude: erzeugt die Antworten aus Gastnachricht, Verlauf und Wissen des Hauses; kein Training mit den Inhalten | EU-US Data Privacy Framework, soweit zertifiziert, sonst Standardvertragsklauseln |
| Meta Platforms Ireland Ltd. | Dublin, Irland | Nur bei verbundenem WhatsApp (Stufe Pro): Empfang der Gastnachrichten und Versand der Antworten über die WhatsApp Business Platform (Cloud API) | EU; Übermittlungen an Meta Platforms, Inc. (USA) nach EU-US Data Privacy Framework |
| easyname GmbH | Wien, Österreich | Versand der Benachrichtigungen an das Haus (Postfach office@hoheit.at) | EU |
| Resend Inc. | San Francisco, USA | Ersatzweg für den Mailversand, nur wenn easyname ausfällt; Versand aus der Region Irland | EU-US Data Privacy Framework, Standardvertragsklauseln |
7. Unterstützung des Auftraggebers
HOHEIT unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung), bei der Datenschutz-Folgenabschätzung und bei Meldungen an die Behörde, soweit es die Verarbeitung im Concierge betrifft. Im Portal sieht und löscht der Auftraggeber Gespräche selbst. Wendet sich ein Gast direkt an HOHEIT, leitet HOHEIT die Anfrage an den Auftraggeber weiter.
8. Verletzungen des Schutzes
Eine Verletzung des Schutzes personenbezogener Daten meldet HOHEIT dem Auftraggeber unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
9. Löschung nach dem Vertragsende
Nach dem Ende des Concierge-Vertrags löscht HOHEIT alle Daten des Hauses auf Verlangen sofort, sonst automatisch 90 Tage nach dem Vertragsende. Datensicherungen beim Unterauftragsverarbeiter laufen nach dessen Fristen aus.
10. Nachweise und Kontrollen
HOHEIT stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach Vereinbarung, in der Regel schriftlich.
11. Schlussbestimmungen
Es gilt österreichisches Recht. Bei Widersprüchen geht dieser Vertrag den Bedingungen für den Concierge vor, soweit es um den Schutz personenbezogener Daten geht.
Fragen: office@hoheit.at