Auftragsverarbeitungsvertrag für KI-Chatbots und Mira

1. Parteien und Gegenstand

Verantwortliche:r ist die Kundin / der Kunde, die/der im SPEKTRA-Konto einen KI-Chatbot auf der von SPEKTRA erstellten und betriebenen Website oder die KI-Telefonstimme Mira einsetzt. Auftragsverarbeiter ist SPEKTRA – Raul Tatzber, Feldgasse 70/3, 2232 Deutsch-Wagram, Österreich.

Gegenstand ist der Betrieb des KI-Chatbots: Nachrichten, die Besucher:innen der Website der Kundin / des Kunden in das Chatfenster schreiben, werden entgegengenommen, mit Hilfe eines KI-Modells beantwortet und die Antwort zurückgeschickt.

Betreibt die Kundin / der Kunde stattdessen oder zusätzlich Mira, umfasst der Gegenstand außerdem: die Entgegennahme eingehender Anrufe auf der von der Kundin / dem Kunden festgelegten Rufnummer, ihre Beantwortung durch ein KI-Sprachmodell und eine Sprachausgabe, sowie – nur auf ausdrücklichen Wunsch der anrufenden Person – die Vormerkung eines Rückruftermins.

Nutzt die Kundin / der Kunde die Werkstatt (Änderungen der Website per KI, AGB Punkt 8e), umfasst der Gegenstand außerdem die Verarbeitung der Website-Dateien, die für eine beauftragte Änderung nötig sind — soweit sie personenbezogene Daten enthalten, etwa Namen, Fotos oder Kontaktdaten von Mitarbeiter:innen —, um die Änderung zu erzeugen, zu prüfen und als Vorschau bereitzustellen.

2. Dauer

Der Vertrag gilt, solange die Kundin / der Kunde mindestens einen KI-Chatbot oder Mira bei SPEKTRA betreibt oder die Werkstatt nutzen kann. Er endet mit dem Löschen des letzten Bots, von Mira, dem Ende der letzten Betreuung der Website oder des Kontos.

3. Art der Daten und betroffene Personen

Betroffen sind die Besucher:innen der Website der Kundin / des Kunden, die den Chat benutzen, sowie – bei Mira – die anrufenden Personen.

Für den Chat verarbeitet werden: der Inhalt der Nachrichten und des bisherigen Gesprächs (nur für die Dauer der Beantwortung), die IP-Adresse (zur Abwehr von Missbrauch; gespeichert wird davon nur ein nicht rückführbarer, täglich wechselnder Prüfwert, höchstens zwei Tage) sowie der Zeitpunkt. Die Gesprächsinhalte werden von SPEKTRA nicht gespeichert. Gespeichert werden je Bot und Tag nur Zählwerte: Anzahl der Nachrichten, verbrauchte Wortmarken und Kosten.

Für Mira verarbeitet werden: der gesprochene Inhalt, ausschließlich für die Dauer der Beantwortung (kein Mitschnitt, keine Aufnahme – der Ton wird in Text umgewandelt, verarbeitet und verworfen), Zeitpunkt und Dauer des Anrufs sowie am Ende eine strukturierte Zusammenfassung ohne Namen und ohne Nummern. Bittet die anrufende Person ausdrücklich um einen Rückruf, kommen die dafür angegebenen Kontakt- und Anliegenangaben hinzu. (Die kostenlose Demo auf spektra-sites.com begrenzt zusätzlich Anrufe je Besucher:in und Tag über eigene, dort beschriebene Zähler – das betrifft die eigene Mira der Kundin / des Kunden nicht.)

Weder der Chat noch Mira sind für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt. Das Chatfenster weist Besucher:innen darauf hin, keine sensiblen Daten einzugeben.

Bei der Werkstatt betroffen sind Personen, deren Daten die Kundin / der Kunde auf der Website veröffentlicht. Verarbeitet werden nur die Website-Dateien, die für die beauftragte Änderung nötig sind; sie liegen in der Versionsverwaltung der Website. Daten von Besucher:innen verarbeitet die Werkstatt nicht.

4. Weisungen

SPEKTRA verarbeitet die Daten nur auf dokumentierte Weisung der Kundin / des Kunden. Die Einstellungen des Bots im Konto (Wissen, Verhalten, Grenzen, Domains) sind diese Weisungen. Weitere Weisungen erteilt die Kundin / der Kunde in Textform (E-Mail genügt). Hält SPEKTRA eine Weisung für rechtswidrig, weist SPEKTRA unverzüglich darauf hin.

5. Pflichten von SPEKTRA

SPEKTRA verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, trifft die technischen und organisatorischen Maßnahmen nach Punkt 7 (Art. 32 DSGVO), unterstützt die Kundin / den Kunden bei der Beantwortung von Anfragen betroffener Personen (Art. 12–22 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO, meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, stellt alle zum Nachweis nötigen Informationen zur Verfügung und ermöglicht Überprüfungen, und löscht nach Vertragsende alle personenbezogenen Daten aus dem Auftrag, soweit keine gesetzliche Aufbewahrungspflicht besteht.

6. Unterauftragsverarbeiter

Die Kundin / der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Anthropic PBC (USA) — Erzeugung der Antworten durch das KI-Modell, für Chatbots und für Mira, sowie Erzeugung und Vorprüfung von Website-Änderungen in der Werkstatt; Vercel Inc. (USA) — Hosting und Ausführung der Kundenwebsite, des Chatfensters bzw. der Mira-Oberfläche und der jeweiligen Schnittstelle sowie Bau der Werkstatt-Vorschau; GitHub, Inc. (USA) — Versionsverwaltung des Quellcodes der Kundenwebsite (Werkstatt); Neon Inc. (USA) — Datenbank für Zählwerte und Einstellungen (keine Gesprächsinhalte); ElevenLabs Inc. (USA) — Sprachausgabe für Mira.

Die Übermittlung in die USA ist durch die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und, soweit die Anbieter zertifiziert sind, durch das EU-U.S. Data Privacy Framework abgesichert. SPEKTRA verpflichtet jeden Unterauftragsverarbeiter zu gleichwertigen Datenschutzpflichten.

Einen neuen oder geänderten Unterauftragsverarbeiter kündigt SPEKTRA mindestens 30 Tage vorher per E-Mail an. Die Kundin / der Kunde kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann sie / er den Bot bzw. Mira ohne Kosten beenden.

7. Technische und organisatorische Maßnahmen

Verschlüsselte Übertragung (TLS) auf allen Wegen. Keine Speicherung der Gesprächsinhalte. IP-Adressen nur als täglich wechselnder, nicht rückführbarer Prüfwert (HMAC), gelöscht nach spätestens zwei Tagen. Das Chatfenster lässt sich nur auf den Domains einbetten, die die Kundin / der Kunde freigegeben hat (vom Browser erzwungen). Begrenzung der Nachrichten je Besucher:in und Tag, je IP-Adresse und der Tageskosten je Bot. Eigener, getrennter Zugangsschlüssel für die KI-Anbindung. Zugang zu Konto und Verwaltung nur mit Anmeldung; Passwörter werden nur als Hash gespeichert.

Bei Mira zusätzlich: Es gibt keine Funktion, die Ton oder ein Rohtranskript dauerhaft speichert — der Ton wird gestreamt, verarbeitet und verworfen. Vor jedem Anruf wird der höchstmögliche Verbrauch vom Guthaben der Kundin / des Kunden vorgemerkt; reicht das Guthaben dafür nicht, nimmt Mira den Anruf nicht entgegen (Punkt 8b/8d der AGB).

8. Pflichten der Kundin / des Kunden

Die Kundin / der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, informiert die Besucher:innen der eigenen Website bzw. Anrufer:innen der eigenen Mira in der eigenen Datenschutzerklärung (ein Textbaustein steht im Konto) und fordert weder im Chat noch am Telefon zur Angabe sensibler Daten auf. Sie / er hinterlegt im Wissen des Bots bzw. in den Angaben für Mira keine personenbezogenen Daten Dritter, die dafür nicht bestimmt sind.

9. Buchungs-Modul

Setzt die Kundin / der Kunde das Buchungs-Modul auf der eigenen, von SPEKTRA erstellten Website ein, umfasst der Gegenstand zusätzlich: die Terminverwaltung für den Betrieb — Entgegennahme von Terminanfragen der Besucher:innen dieser Website, ihre Verwaltung (Bestätigen, Absagen, Erledigen) durch die Kundin / den Kunden sowie ein optionales Kalender-Abo für das eigene Kalenderprogramm.

Betroffene Personen sind die Kundinnen und Kunden des Betriebs, die einen Termin anfragen. Verarbeitet werden: Name, Telefon, optional E-Mail-Adresse, Einsatzadresse und Ort, Fahrzeugangaben, gewählte Leistungen, Termin (Datum, Uhrzeit) und eine freiwillige Nachricht, außerdem zur Abwehr von Missbrauch ein nicht rückführbarer, täglich wechselnder Prüfwert der IP-Adresse (HMAC).

Personenbezogene Felder werden sechs Monate nach dem Termin automatisch gelöscht bzw. anonymisiert; nur die Termindaten selbst (Datum, Uhrzeit, Leistungen, Status) bleiben für die Statistik der Kundin / des Kunden bestehen. Auf ausdrückliche Weisung der Kundin / des Kunden löscht SPEKTRA früher.

Unterauftragsverarbeiter für das Buchungs-Modul sind dieselben wie in Punkt 6 für Hosting und Datenbank genannt (Vercel Inc., Neon Inc.) sowie — für die inhaltsleeren Benachrichtigungsmails an die Kundin / den Kunden und die Statusmails an deren Kund:innen — Google Ireland Limited (Google Workspace). Es kommt kein neuer, dort nicht bereits genannter Unterauftragsverarbeiter hinzu.

Der Kalender-Abo-Link (webcal://…) ist ein Geheimnis der Kundin / des Kunden — wer ihn hat, sieht ihre / seine Termine. SPEKTRA gibt ihn nicht weiter und zeigt ihn im Konto nur einmal, direkt nach dem Erzeugen.

10. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, im Übrigen die AGB von SPEKTRA. Es gilt österreichisches Recht. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag für die Verarbeitung personenbezogener Daten vor.