gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)
Plantrixx GmbH
Geschäftsführer: Miguel Ferraz
Waldeckerstr. 4, 64546 Mörfelden-Walldorf
Telefon: +49 6402 8090693
E-Mail: info@plantrixx.com
[Firmenname des Kunden]
[Adresse des Kunden]
[Vertretungsberechtigte Person]
[E-Mail des Kunden]
– nachfolgend einzeln „Partei" und zusammen „Parteien" genannt –
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") ergänzt und ist Bestandteil des zwischen den Parteien bestehenden Hauptvertrags über die Nutzung der Plantrixx-SaaS-Plattform (nachfolgend „Hauptvertrag"). Soweit dieser AVV keine abweichende Regelung enthält, gelten die Bestimmungen des Hauptvertrags.
Der Auftragsverarbeiter (Plantrixx GmbH) erbringt für den Auftraggeber SaaS-Dienstleistungen im Bereich KI-gestützter Chatbot-Systeme, insbesondere:
Im Rahmen dieser Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag und nach den dokumentierten Weisungen des Auftraggebers.
Dieser AVV tritt mit Abschluss des Hauptvertrags in Kraft und gilt für dessen gesamte Laufzeit. Er endet automatisch mit der Beendigung des Hauptvertrags, unbeschadet der Regelungen zur Datenlöschung und Rückgabe gemäß § 8 dieses AVV.
Die Verarbeitung personenbezogener Daten durch Plantrixx GmbH umfasst folgende Vorgänge:
| Verarbeitungsvorgang | Zweck | Rechtsgrundlage (AG) |
|---|---|---|
| Speicherung von Lead-Daten in der Datenbank | Bereitstellung der Lead-Verwaltungsfunktion im Dashboard des AG | Art. 6 Abs. 1 lit. a oder b DSGVO (Weisung des AG) |
| KI-Verarbeitung von Gesprächsinhalten | Generierung von Chatbot-Antworten mittels Large Language Model | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung Endnutzer, vom AG eingeholt) |
| Versand von Benachrichtigungs-E-Mails | Weiterleitung von Lead-Informationen an Mitarbeiter des AG | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung ggü. dem AG) |
| Terminbuchung (optional) | Eintragung von Terminen im Kalender des AG | Art. 6 Abs. 1 lit. a oder b DSGVO |
| Speicherung von Chat-Sessions | Technischer Betrieb, Qualitätssicherung, Auditfähigkeit | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des AV) |
Im Rahmen dieses AVV werden folgende Kategorien personenbezogener Daten verarbeitet:
Es werden keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (z. B. Gesundheitsdaten, religiöse Überzeugungen) verarbeitet. Der Auftraggeber ist verpflichtet, den Auftragsverarbeiter unverzüglich zu informieren, sofern im Einzelfall doch solche Daten anfallen könnten.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich der in diesem AVV sowie im Hauptvertrag festgelegten Weisungen, es sei denn, er ist durch das Recht der Europäischen Union oder eines Mitgliedstaats dazu verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus Gründen des öffentlichen Interesses verbietet.
Weisungen des Auftraggebers können über das Dashboard der Plantrixx-Plattform, schriftlich per E-Mail oder in anderer dokumentierter Form erteilt werden. Der Auftragsverarbeiter bestätigt den Eingang von Weisungen.
Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht über die Beendigung des Beschäftigungsverhältnisses hinaus fort.
Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere die in Anlage 1 (§ 6) dieses AVV detailliert beschriebenen technischen und organisatorischen Maßnahmen (TOM).
Der Auftragsverarbeiter darf Unterauftragsverarbeiter nur nach vorheriger allgemeiner schriftlicher Genehmigung des Auftraggebers einsetzen. Die zum Zeitpunkt des Abschlusses dieses AVV genehmigten Unterauftragsverarbeiter sind in Anlage 2 (§ 7) dieses AVV aufgeführt. Der Auftraggeber erteilt hiermit seine allgemeine Genehmigung für den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.
Der Auftragsverarbeiter wird den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Unterauftragsverarbeitern mindestens 30 Tage vorab per E-Mail informieren und damit dem Auftraggeber die Möglichkeit geben, diesen Änderungen zu widersprechen.
Der Auftragsverarbeiter legt seinen Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind. Der Auftragsverarbeiter haftet dem Auftraggeber gegenüber für die Erfüllung der Pflichten der Unterauftragsverarbeiter.
Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Anfragen betroffener Personen auf Wahrnehmung ihrer Rechte gemäß Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Hierzu stellt Plantrixx im Admin-Dashboard entsprechende Exportfunktionen bereit.
Geht beim Auftragsverarbeiter eine Anfrage einer betroffenen Person direkt ein, wird er diese unverzüglich an den Auftraggeber weiterleiten und keine eigenständige Auskunft erteilen, es sei denn, der Auftraggeber hat ihn ausdrücklich dazu ermächtigt.
Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO, insbesondere:
Der Auftragsverarbeiter meldet dem Auftraggeber Datenschutzverletzungen, die für ihn verarbeitete Daten betreffen, unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntnisnahme per E-Mail an die im Hauptvertrag hinterlegte Adresse.
Nach Wahl des Auftraggebers löscht oder gibt der Auftragsverarbeiter nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung der personenbezogenen Daten besteht. Die Löschung erfolgt spätestens 90 Tage nach Vertragsbeendigung. Auf Anfrage stellt Plantrixx eine Löschbestätigung aus.
Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO festgelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Auftraggeber oder einen vom Auftraggeber beauftragten Prüfer sowie entsprechende Unterstützung dabei.
Auditankündigungen müssen mindestens 14 Tage im Voraus schriftlich erfolgen. Audits werden zu den üblichen Geschäftszeiten durchgeführt und dürfen den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen. Kosten für Audits trägt grundsätzlich der Auftraggeber. Der Auftragsverarbeiter kann anstelle einer Vor-Ort-Inspektion die Vorlage aktueller Zertifikate, Auditberichte oder sonstiger Nachweise geeigneter Sicherheitsmaßnahmen anbieten.
Der Auftraggeber ist als Verantwortlicher im Sinne der DSGVO für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten seiner Endnutzer verantwortlich. Er verpflichtet sich insbesondere:
Der Auftragsverarbeiter hat gemäß Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlich hohen Risiken folgende technische und organisatorische Maßnahmen getroffen:
Alle Datenübertragungen erfolgen ausschließlich über HTTPS/TLS 1.2 oder höher. Unverschlüsselte HTTP-Verbindungen werden auf HTTPS umgeleitet.
Passwörter werden ausschließlich als bcrypt-Hashes mit individuellem Salt gespeichert. Kein Klartext-Passwort wird persistiert.
Authentifizierung mittels JWT (JSON Web Tokens) mit begrenzter Gültigkeitsdauer. Rollenbasierte Zugriffskontrolle (RBAC): Admin, Member, Viewer. Login-Versuche werden protokolliert (IP-Adresse, Zeitstempel). Mehr-Faktor-Authentifizierung ist optional verfügbar.
Strikte logische Trennung aller Kundendaten durch eine client_id-basierte Isolierung auf Datenbankebene. Sämtliche Datenbankabfragen schließen eine mandantenspezifische Filterung ein. Technische Maßnahmen verhindern den mandantenübergreifenden Datenzugriff.
Chat-Sessions werden über pseudonymisierte Session-IDs (zufällig generierte Bezeichner ohne direkten Personenbezug) referenziert. Eine Re-Identifizierung ist nur in Verbindung mit zusätzlich gespeicherten Lead-Daten möglich.
Automatische tägliche Backups der PostgreSQL-Datenbank. Aufbewahrung der Backups für 30 Tage. Backups werden auf demselben IONOS-VPS in Frankfurt gespeichert. Regelmäßige Tests der Wiederherstellbarkeit.
Betrieb in Docker-Containern mit automatischem Neustart bei Ausfall. Health-Monitoring mit automatischer Alarmierung. Regelmäßige Wartungsfenster werden den Kunden vorab kommuniziert. Ziel-Verfügbarkeit: 99,5 % (monatlicher Durchschnitt).
Der Server wird durch IONOS SE in einem Rechenzentrum in Frankfurt, Deutschland betrieben. Das Rechenzentrum verfügt über physische Zugangskontrolle. Direkte physische Zugriffe durch Plantrixx-Mitarbeiter erfolgen nicht (managed VPS).
Der Datenbankzugriff (PostgreSQL) ist auf den lokalen Server beschränkt und von außen nicht direkt erreichbar. Für API-Server und Datenbank werden separate Datenbankbenutzer mit minimalen notwendigen Berechtigungen verwendet.
Login-Ereignisse (IP-Adresse, Zeitstempel, Ergebnis) werden protokolliert und 90 Tage aufbewahrt. API-Nutzung wird auf Mandantenebene protokolliert und 365 Tage aufbewahrt.
Abhängigkeiten (npm-Pakete, Docker-Images) werden regelmäßig auf bekannte Sicherheitslücken geprüft und aktualisiert. Sicherheitsrelevante Updates werden zeitnah eingespielt.
Der Auftragsverarbeiter kann die TOM im Laufe der Zeit weiterentwickeln, sofern das Sicherheitsniveau dabei mindestens gleichwertig bleibt. Wesentliche Änderungen werden dem Auftraggeber vorab mitgeteilt.
Plantrixx GmbH setzt zum Zeitpunkt des Abschlusses dieses AVV die folgenden Unterauftragsverarbeiter ein. Der Auftraggeber erteilt hiermit seine allgemeine Genehmigung für deren Einsatz.
Anlage 2 — Liste der genehmigten Unterauftragsverarbeiter
Dieser AVV ist auf unbestimmte Zeit geschlossen und an die Laufzeit des Hauptvertrags gekoppelt. Er endet automatisch mit der Beendigung des Hauptvertrags aus jedwelchem Grund, ohne dass es einer gesonderten Kündigung bedarf.
Nach Beendigung des Hauptvertrags und dieses AVV:
Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist, soweit gesetzlich zulässig, der Sitz der Plantrixx GmbH.
Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag in Bezug auf datenschutzrechtliche Regelungen hat dieser AVV Vorrang. Im Übrigen gelten die Bestimmungen des Hauptvertrags ergänzend.
Änderungen und Ergänzungen dieses AVV bedürfen der Textform (E-Mail genügt). Mündliche Vereinbarungen haben keine Gültigkeit.
Sollte eine Bestimmung dieses AVV unwirksam oder undurchführbar sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien sind verpflichtet, die unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung so weit wie möglich entspricht.
Durch die aktive Nutzung der Plantrixx-Plattform nach Abschluss des Hauptvertrags gilt dieser AVV als von beiden Parteien akzeptiert. Auf ausdrückliche Anfrage stellt Plantrixx GmbH eine unterzeichnete Version dieses AVV zur Verfügung.
Dieser AVV kann auch ohne handschriftliche Unterschrift durch elektronische Annahme (z. B. Anklicken im Onboarding-Prozess oder per E-Mail-Bestätigung) wirksam abgeschlossen werden. Auf Wunsch steht eine druckfähige Version mit Unterschriftsfeldern zur Verfügung.