Auftragsverarbeitung
AVV-Information
für die Vorbereitung.
Version 13. September 2026
Wichtig: Dieses Dokument ist ein veröffentlichter Vertragsentwurf und keine durch den bloßen Abruf abgeschlossene AVV. Vor produktiver Verarbeitung werden Kunde, konkrete Leistung, Weisungswege, Speicher-/Löschfristen und die tatsächlich eingesetzten Dienstleister in der individuellen Vereinbarung vervollständigt und nachvollziehbar einbezogen.
Vertragspartner
Auftraggeber: der jeweilige Geschäftskunde als Verantwortlicher, mit den im Hauptvertrag benannten Angaben.
Auftragnehmer: D. Ahlemeyer, Gartenstraße 4, 61267 Neu-Anspach, Deutschland. Kontakt für Datenschutzanfragen: datenschutz@stimmewirkt.de.
Gegenstand, Dauer und Weisungen
Stimmewirkt betreibt eine sprechende Webseite anhand der vom Kunden bestätigten Unternehmensinformationen. Die Verarbeitung beginnt erst nach Abschluss des Hauptvertrags, der individualisierten AVV und der technisch/fachlich bestätigten Freischaltung. Sie endet mit dem Hauptvertrag, vorbehaltlich konkret vereinbarter Rückgabe-, Lösch- und gesetzlicher Aufbewahrungspflichten. Dokumentierte Kundenweisungen, die vereinbarte Konfiguration und der Hauptvertrag bilden den zulässigen Rahmen.
Anlage A – Kategorien und Zweck
| Punkt | Vereinbarter Prüfstand |
|---|---|
| Zweck | Beantwortung von Besucherfragen aus bestätigtem Unternehmenswissen; Einrichtung und technischer Betrieb. |
| Betroffene Personen | Websitebesucher, Interessenten sowie berechtigte Ansprechpartner des Kunden. |
| Datenarten | Sprach- und Gesprächsinhalte, freiwillig genannte geschäftliche Kontaktdaten, bestätigtes Unternehmenswissen sowie technische Sitzungs-, Verbindungs- und Missbrauchsschutzdaten. |
| Besondere Daten | Nicht Teil der Standardleistung. Sie dürfen nicht gezielt abgefragt werden und benötigen vorher eine gesonderte Prüfung. |
| Rückgabe/Löschung | Format, Frist, Sicherungskopien und Löschbestätigung werden vor der Freischaltung je Kundenvertrag festgelegt. Keine pauschale Löschfrist wird zugesagt. |
Anlage B – technische und organisatorische Maßnahmen
- Serverseitige Schlüssel; keine Providergeheimnisse im öffentlichen Widget.
- HTTPS, signierte HttpOnly-Sitzungen für geschützte Bereiche, rollenbezogene Zugriffe und begrenzte Einmal-/Sitzungstoken.
- Mandanten- und Origin-Prüfungen vor Widget-/Kundenzugriffen sowie atomare Guthabenreservierung.
- Begrenzte öffentliche Demo mit CAPTCHA, IP-/Zeit-/Parallelitäts- und Betreiberbudgetkontrolle; unklare Providerzustände werden fail-closed behandelt.
- Keine Behauptung einer Zertifizierung oder eines vollständigen organisatorischen Nachweises: Zugriffsverwaltung, Backups, Wiederherstellung, Vorfallprozess und Provideraufbewahrung werden vor Vertragsabschluss konkret geprüft.
Anlage C – vorgesehene Unterauftragnehmer
| Dienst | Rolle | Offener Nachweis vor Einbeziehung |
|---|---|---|
| Vercel | Website- und Serverfunktionshosting | Konkrete Vertrags-/DPA-Abdeckung und relevante Verarbeitungsorte. |
| Neon | Datenbank des gemeinsamen Kundenkerns | Vertragskette, Zugriffsorte, Sicherung und Löschkonzept. |
| OpenAI | Realtime-Verarbeitung freiwilliger Sprache und bestätigten Wissens, wenn die Sprachfunktion aktiv ist | Kontoeinstellungen, Aufbewahrung, Datenverwendung und Übermittlungsgrundlagen. |
| Resend | Transaktionale Systemmails, erst nach aktivierter und geprüfter Konfiguration | Absender, Zustellereignisse und Vertrags-/DPA-Abdeckung. |
Einbeziehung und Änderungen
Der Kunde erhält die für seinen konkreten Einsatz vervollständigte Fassung vor der Freischaltung. Erst dokumentierte Zustimmung und Hauptvertrag beziehen sie ein. Neue Unterauftragnehmer oder wesentliche Änderungen werden nicht stillschweigend als genehmigt behandelt; die jeweils nötige Information, Prüfung und Vereinbarung erfolgt vor Einsatz.
Kontrolle, Unterstützung und Vorfälle
Stimmewirkt unterstützt den Kunden im vereinbarten und rechtlich erforderlichen Umfang bei Betroffenenrechten, Sicherheitsfragen und Datenschutzvorfällen. Nachweise und Kontrollen werden so ausgestaltet, dass Sicherheit und Daten anderer Kunden gewahrt bleiben. Meldepflichten des Verantwortlichen bleiben getrennt.