Auftragsverarbeitungsvertrag

1. Parteien, Rollen und Vorrang

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und wird wirksam, wenn der Kunde die Bedingungen annimmt; eine gesonderte Unterzeichnung ist nicht erforderlich.

Der Kunde ist der Verantwortliche für die in den Dienst eingegebenen personenbezogenen Daten; Layvchat ist der Auftragsverarbeiter, der im Auftrag und nach Weisung des Kunden handelt.

In Fragen personenbezogener Daten hat dieser Vertrag bei Widersprüchen Vorrang vor den Nutzungsbedingungen.

2. Gegenstand, Art und Dauer

Gegenstand: Bereitstellung einer Software, mit der der Kunde über Live-Chat, E-Mail, Tickets und ein Hilfecenter mit seinen Besuchern kommunizieren kann.

Art: Erheben, Erfassen, Speichern, Ordnen, Anzeigen, Übermitteln, Exportieren und Löschen von Daten.

Dauer: die Laufzeit der Vereinbarung zuzüglich der Löschfrist nach Abschnitt 10 nach deren Beendigung.

3. Betroffene Personen und Datenarten

Betroffene Personen: Personen, die die Websites des Kunden besuchen und das Chat-Widget nutzen; Personen, die dem Kunden E-Mails oder Tickets senden; Personen, die Hilfecenter-Artikel lesen und bewerten; die Agents des Kunden.

Datenarten:

• Chat-Inhalte, E-Mails und Anhänge, Tickets und die zugehörige Korrespondenz, hochgeladene Dateien, Zufriedenheitsbewertungen und Kommentare
• Angaben, die Besucher in Formularen machen (Name, E-Mail, Telefon und weitere vom Kunden definierte Felder)
• Technische Daten: IP-Adresse, Land und Stadt, Browser, Betriebssystem und Geräteangaben, aufgerufene Seiten, Verweisquelle und die Website, von der aus geschrieben wurde
• Sofern der Kunde die Integration aktiviert: die Identität der auf seiner Website angemeldeten Mitglieder und aus dem System des Kunden übermittelte Mitgliedsangaben
• Agent-Daten: Name, E-Mail, Rolle, Verfügbarkeitsstatus und Leistungsstatistiken

Der Kunde verpflichtet sich, über den Dienst keine besonderen Kategorien personenbezogener Daten (Gesundheit, Weltanschauung, biometrische Daten und Ähnliches) zu erheben oder, falls er dies tut, über die erforderliche Rechtsgrundlage und zusätzliche Schutzmaßnahmen zu verfügen.

4. Weisungen

Layvchat verarbeitet Daten ausschließlich, um den Dienst bereitzustellen, ihn sicher zu halten, Probleme zu beheben und die dokumentierten Weisungen des Kunden zu befolgen. Die Nutzungsbedingungen, dieser Vertrag und die Konsoleneinstellungen des Kunden (Aufbewahrungsfrist, IP-Maskierung, Datei-Uploads, E-Mail-Kanal, Integrationen, Telegram- und Webhook-Benachrichtigungen) gelten als schriftliche Weisungen.

Sind wir der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilen wir dies dem Kunden unverzüglich mit.

Layvchat verkauft keine Daten, nutzt sie weder für eigene Zwecke noch für Werbung, gibt sie nicht an andere Kunden weiter und übermittelt sie an keinen externen KI-Dienst. KI-Funktionen laufen ausschließlich auf den Servern von Layvchat und nur mit den Daten des jeweiligen Kunden.

Verpflichtet uns eine rechtliche Vorgabe zu einer Verarbeitung über die Weisungen hinaus, informieren wir den Kunden vorab, sofern das Gesetz dies nicht verbietet.

5. Pflichten des Kunden

• Information der betroffenen Personen und Einholung ihrer ausdrücklichen Einwilligung, soweit erforderlich
• Eingabe ausschließlich rechtmäßig erlangter Daten in den Dienst
• aktuelle und sichere Verwaltung von Agent-Konten, Rollen und Zugriffsberechtigungen
• Festlegung von Aufbewahrungsfristen in der Konsole, die den eigenen Tätigkeiten entsprechen

6. Vertraulichkeit und Personal

Zugriff auf die Daten haben nur Personen, die diesen für den Betrieb des Dienstes benötigen und einer schriftlichen Vertraulichkeitsverpflichtung unterliegen.

Wir greifen auf einen Chat oder andere Kundendaten nur auf Supportanfrage des Kunden, während eines Sicherheitsvorfalls oder soweit gesetzlich vorgeschrieben zu, und nur im erforderlichen Umfang.

7. Sicherheitsmaßnahmen

Layvchat trifft geeignete technische und organisatorische Maßnahmen, um die Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu schützen. Die wichtigsten sind:

• TLS-Verschlüsselung aller Verbindungen; AES-256-Verschlüsselung der Backups
• Trennung der Workspaces auf Anwendungs- und Datenbankebene
• Zwei-Faktor-Authentifizierung, rollenbasierte Berechtigungen und eine Option zur IP-Beschränkung für Agents
• Virenprüfung hochgeladener Dateien
• ein manipulationssicheres Aktivitätsprotokoll; Einstellungen für Aufbewahrungsfrist und IP-Maskierung
• tägliche verschlüsselte Backups und regelmäßige Wiederherstellungstests

Einzelheiten finden Sie auf der Seite Sicherheit. Layvchat kann diese Maßnahmen aktualisieren, sofern das Schutzniveau dadurch nicht sinkt.

8. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die auf der Seite Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter.

Layvchat erlegt seinen Unterauftragsverarbeitern Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, und bleibt dem Kunden gegenüber für deren Leistung verantwortlich.

Wir informieren den Kunden mindestens 30 Tage vor dem Hinzufügen eines neuen Unterauftragsverarbeiters per E-Mail. Erhebt der Kunde aus berechtigten datenschutzrechtlichen Gründen Einspruch, versuchen wir zunächst, das Problem gemeinsam zu lösen; gelingt dies nicht, kann der Kunde die Vereinbarung ohne Vertragsstrafe kündigen, und der Betrag für den ungenutzten Zeitraum wird erstattet.

9. Anfragen betroffener Personen

Die Konsole bietet Werkzeuge, um die Daten eines Besuchers zu finden, zu exportieren und zu löschen (Einstellungen → Personenbezogene Daten); sie erfassen Chats, E-Mails und Tickets gemeinsam.

Bei Anfragen, die mit diesen Werkzeugen nicht bearbeitet werden können, leistet Layvchat angemessene Unterstützung. Anfragen betroffener Personen, die direkt bei Layvchat eingehen, leiten wir an den betreffenden Kunden weiter, ohne sie selbst zu beantworten.

10. Rückgabe und Löschung von Daten

Der Kunde kann seine Daten jederzeit aus der Konsole exportieren.

Bei Beendigung der Vereinbarung oder Schließung des Workspace werden die Daten innerhalb von höchstens 30 Tagen gelöscht; die Entfernung aus verschlüsselten Backups kann bis zu weitere 30 Tage dauern. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11. Meldung von Verletzungen

Erfahren wir von einer Sicherheitsverletzung, die Kundendaten betrifft, benachrichtigen wir den Kunden unverzüglich, spätestens innerhalb von 48 Stunden. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die betroffenen Kategorien von Daten und Personen, die wahrscheinlichen Folgen sowie die von uns ergriffenen oder vorgeschlagenen Maßnahmen.

Als Verantwortlicher ist der Kunde für die Meldung an die Behörde und die Benachrichtigung der betroffenen Personen zuständig; Layvchat stellt die erforderlichen Informationen bereit und leistet angemessene Unterstützung.

12. Internationale Übermittlungen

Die Datenbank und die Dateien werden in sicherheitszertifizierten Rechenzentren gespeichert. Internationale Übermittlungen über Unterauftragsverarbeiter sind durch Standardverträge und die Datenverarbeitungszusagen der Anbieter im Einklang mit Artikel 9 KVKK und der DSGVO abgesichert.

13. Prüfungen und Informationen

Der Kunde kann angemessene Informationen und Unterlagen zum Nachweis der Einhaltung dieses Vertrags anfordern, und Layvchat wird diese bereitstellen.

Reichen Unterlagen nicht aus, kann eine Vor-Ort-Prüfung mit einer schriftlichen Ankündigung von mindestens 30 Tagen, höchstens einmal jährlich, während der Geschäftszeiten, unter einer Vertraulichkeitsverpflichtung und ohne Zugriff auf Daten anderer Kunden durchgeführt werden. Die Kosten der Prüfung trägt der Kunde.