buhuAuftragsverarbeitungsvertrag
Legal texts are available in German only. The German version is binding.
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen der Kundin
(Verantwortliche) und David Tyutyunov, Wachenheimer Straße 12
67433 Neustadt an der Weinstraße (Auftragsverarbeiter, „wir“).
Er wird mit der Registrierung bei buhu geschlossen und ist Teil der AGB.
1. Gegenstand und Dauer
Wir betreiben für die Kundin den Chat-Assistenten buhu (§ 2 AGB). Dabei verarbeiten wir personenbezogene Daten ihrer Kunden in ihrem Auftrag. Der AV-Vertrag läuft so lange wie der Vertrag über buhu.
2. Art, Zweck und betroffene Daten
| Zweck | Nachrichten der Kunden empfangen, verstehen und in ihrem Namen beantworten; Termine anfragen und bestätigen; Zahlungsnachweise (z. B. Gutscheincodes, Fotos von Überweisungen) an die Kundin weitergeben; Push-Nachrichten an die Kundin. |
|---|---|
| Betroffene | Kunden und Interessenten der Kundin, die ihr über Telegram oder WhatsApp schreiben. |
| Daten | Telefonnummer, Benutzer- und Anzeigename, Chat-ID, Nachrichten (Text, Sprachnachrichten, Bilder), Terminwünsche, Zahlungsnachweise und -codes, Zeitpunkte. Die Inhalte betreffen sexuelle Dienstleistungen und damit besondere Kategorien personenbezogener Daten (Sexualleben, Art. 9 DSGVO). |
| Verarbeitung | Speichern, Auslesen, Umschreiben von Sprache in Text, Übermitteln an den KI-Anbieter (Abschnitt 6), Erzeugen von Antworten, Senden, Löschen. |
3. Weisungen
Wir verarbeiten die Daten nur auf dokumentierte Weisung der Kundin. Ihre Weisungen sind dieser Vertrag, die AGB und ihre Einstellungen in Einrichtung und App; weitere Weisungen gibt sie per E-Mail. Hält uns eine Weisung für rechtswidrig, sagen wir der Kundin unverzüglich Bescheid. Müssen wir Daten aufgrund eines Gesetzes herausgeben, informieren wir die Kundin vorher, soweit das erlaubt ist.
4. Vertraulichkeit
Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Wir sehen Chats nur an, soweit es für Betrieb, Fehlersuche oder Sicherheit nötig ist.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Server: eigener Server im Rechenzentrum der OVH GmbH in Deutschland; der physische Zutritt wird von OVH gesichert.
- Zugang zum Server: nur per SSH-Schlüssel, Anmeldung mit Passwort abgeschaltet; Sperre nach Fehlversuchen (fail2ban); Firewall lässt nur SSH und HTTPS herein; die Datenbank ist nur auf dem Server selbst erreichbar.
- Trennung: je Kundin eine eigene Datenbank mit eigenem Datenbank-Benutzer, ein eigener Linux-Benutzer für ihren Bot und eine eigene ausgehende IP-Adresse. Die öffentlich erreichbaren Webdienste laufen ohne Administratorrechte.
- Zugang zur App: Passwort (scrypt-Hash), Passkey oder Zugangsschlüssel; Anmeldecodes per E-Mail; Sitzungen je Gerät, einzeln abmeldbar; Begrenzung von Anmeldeversuchen.
- Übertragung: HTTPS für Website und App; Push-Nachrichten Ende-zu-Ende verschlüsselt; verschlüsselte Verbindung zum KI-Anbieter.
- Datensparsamkeit: Sprachnachrichten werden auf unserem Server in Text umgeschrieben, ohne Drittanbieter; Standort- und Kameradaten werden aus Bildern entfernt; neutrale Kontonamen.
- Verfügbarkeit: nächtliche Sicherung (14 Tage auf dem Server, 30 Tage auf einem Rechner des Auftragsverarbeiters in Deutschland), Wiederherstellung getestet; Überwachung mit Meldung bei Störungen; tägliche Kostengrenzen für die KI.
Wir dürfen die Maßnahmen weiterentwickeln, wenn das Schutzniveau nicht sinkt.
6. Unterauftragsverarbeiter
Die Kundin ist mit diesen Unterauftragsverarbeitern einverstanden:
| Unternehmen | Leistung | Ort |
|---|---|---|
| OVH GmbH, St. Johanner Str. 41–43, 66111 Saarbrücken | Server (Rechenzentrum) | Deutschland |
| X.AI LLC (xAI), Palo Alto, USA | KI, die Nachrichten versteht und Antworten erstellt | USA; EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); nach Angaben von xAI kein Training mit diesen Daten |
Neue oder andere Unterauftragsverarbeiter kündigen wir mindestens 4 Wochen vorher per E-Mail oder in der App an. Die Kundin kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Lösung nicht möglich, können beide Seiten den Vertrag zum Wirksamwerden der Änderung kündigen. Wir verpflichten Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.
Telegram und WhatsApp sind keine Unterauftragsverarbeiter von uns: Die Kundin nutzt dort ihr eigenes Konto, buhu verbindet sich nur in ihrem Auftrag damit.
7. Unterstützung der Kundin
Wir unterstützen die Kundin dabei, Anfragen ihrer Kunden zu beantworten (Auskunft, Löschung, Berichtigung usw.), und bei ihren Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich ein Kunde direkt an uns, leiten wir die Anfrage an die Kundin weiter.
8. Datenschutzverletzungen
Bemerken wir eine Verletzung des Schutzes personenbezogener Daten, informieren wir die Kundin unverzüglich, möglichst innerhalb von 48 Stunden, mit den Angaben, die sie für eine Meldung an die Aufsichtsbehörde braucht.
9. Löschen und Rückgabe
Auf Weisung der Kundin löschen wir einzelne Chats schon während des Vertrags. Nach Vertragsende geben wir der Kundin auf Wunsch eine Kopie ihrer Daten und löschen sie dann. Eine letzte Sicherung und die nächtlichen Sicherungen werden spätestens 30 Tage nach dem Löschen automatisch entfernt. Daten, die wir aufgrund eines Gesetzes aufbewahren müssen, bleiben bis zum Ende der Frist gesperrt.
10. Nachweise und Kontrollen
Wir stellen der Kundin auf Anfrage alle Informationen zur Verfügung, die zum Nachweis unserer Pflichten nötig sind. Kontrollen vor Ort sind nach Absprache mit angemessener Vorankündigung möglich.
11. Sonstiges
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die AGB. Bei Widersprüchen geht dieser AV-Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.