Auftragsverarbeitungsvertrag

Der Vertrag nach Artikel 28 DSGVO zwischen deinem Shop (Verantwortlicher) und Tendr (Auftragsverarbeiter). Er ist Teil der Nutzungsbedingungen.

Gegenstand und Dauer

Tendr verarbeitet personenbezogene Daten im Auftrag des Shops, um den Chat, die Kontakterfassung, die Tickets, die Live-Betreuung und die Analysen bereitzustellen. Die Auftragsverarbeitung dauert so lange wie der Dienst, zuzüglich der unten genannten Löschfristen. Wenn du die Bedingungen im Namen eines Unternehmens akzeptierst, erklärst du, dass du es verpflichten kannst.

Daten und betroffene Personen

Betroffene Personen: Besucher und Kunden des Shops sowie die Personen seines Teams, die das Dashboard nutzen. Daten: Gesprächstexte, Besuchercode, Name, E-Mail-Adresse, Telefonnummer und weitere Felder der vom Shop eingerichteten Formulare, Ticketdaten, besuchte Seite, Sprache, Bestellnummer und Bestellbetrag. Verarbeitungen: Speichern, Abfragen, Senden an den KI-Anbieter zur Erzeugung von Antworten, Übermitteln an den Shop und Löschen. Der Shop darf über den Chat keine besonderen Kategorien personenbezogener Daten erheben.

Was Tendr tut

• Verarbeitet die Daten nur zur Erbringung des Dienstes und nach den Weisungen des Shops, also diesen Bedingungen und den Einstellungen im Dashboard, sofern keine gesetzliche Pflicht entgegensteht. Hält Tendr eine Weisung für rechtswidrig, informiert es den Shop.
• Nutzt die Daten nicht für eigene Zwecke und verkauft sie nicht. Nutzt sie nicht zum Training eigener KI-Modelle.
• Verpflichtet alle, die Zugriff darauf haben, zur Vertraulichkeit und trifft angemessene Sicherheitsmaßnahmen: verschlüsselte Verbindungen, gehashte Passwörter, verschlüsselte API-Schlüssel, Zugriffskontrolle, Protokollierung der Aktionen des Teams und Schwärzung von E-Mail-Adressen und Telefonnummern gegenüber dem KI-Anbieter.
• Unterstützt den Shop bei der Wahrung der Rechte betroffener Personen: Im Dashboard lassen sich Gespräche, Kontakte und Tickets einsehen, exportieren und löschen. Wendet sich eine betroffene Person an Tendr, leitet Tendr dies an den Shop weiter.
• Informiert den Shop unverzüglich und nach Möglichkeit innerhalb von 48 Stunden, wenn Tendr von einer Sicherheitsverletzung erfährt, die seine Daten betrifft, mit den verfügbaren Informationen.
• Unterstützt bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde und stellt die zum Nachweis der Einhaltung nötigen Informationen bereit, einschließlich angemessener Audits mit einer Vorankündigung von 30 Tagen, per E-Mail an [email protected].

Unterauftragsverarbeiter

Der Shop erteilt für diese Unterauftragsverarbeiter eine allgemeine Genehmigung. Tendr informiert 30 Tage im Voraus per E-Mail, bevor einer hinzugefügt oder ausgetauscht wird; widerspricht der Shop aus vernünftigen Gründen und findet sich keine Lösung, kann er den Dienst kündigen.

Wichtige Einschränkung: DeepSeek bietet derzeit keinen Auftragsverarbeitungsvertrag an, sodass Tendr die Pflichten aus diesem Dokument nicht vertraglich an DeepSeek weitergeben kann. Deshalb entscheidet der Shop anhand dieser Informationen, ob er die enthaltene KI oder seinen eigenen Schlüssel eines anderen Anbieters verwendet.

Internationale Übermittlungen

Die Nutzung von DeepSeek bedeutet, dass Daten nach China gesendet werden, ohne Angemessenheitsbeschluss und ohne Standardvertragsklauseln. Tendr kann für diese Übermittlungen kein dem der EU gleichwertiges Schutzniveau garantieren und wendet als Maßnahme nur die automatische Schwärzung von E-Mail-Adressen und Telefonnummern an; Namen, Adressen und sonstiger Freitext werden übermittelt. Als Verantwortlicher muss der Shop beurteilen, ob das für seinen Fall akzeptabel ist. Wer das nicht akzeptiert, muss in den Einstellungen des Assistenten im Dashboard einen anderen Anbieter einrichten. Die Übermittlungen an die übrigen Unterauftragsverarbeiter stützen sich auf das EU-US Data Privacy Framework oder auf die Standardvertragsklauseln in deren Bedingungen.

Ende der Auftragsverarbeitung

Der Shop kann seine Daten jederzeit exportieren. Wird ein Shop getrennt, werden seine Daten nach 30 Tagen gelöscht; wird das Konto gelöscht, sofort. Gespräche, Kontakte und Tickets werden zudem 24 Monate nach der letzten Aktivität gelöscht. Tendr bewahrt nur auf, was gesetzlich vorgeschrieben ist.

Was dein Shop tun muss

• In seiner Datenschutzerklärung über die Nutzung eines KI-Chats, über Tendr als Auftragsverarbeiter und über die Übermittlung von Daten an dessen Unterauftragsverarbeiter informieren, einschließlich China, wenn er die enthaltene KI nutzt.
• Über das Cookie tendr_conv und den Speicher des Chats informieren und die Einwilligung einholen, wenn die für ihn geltenden Vorschriften dies verlangen.
• Eine Rechtsgrundlage für die in den Formularen abgefragten Daten haben und die Rechte seiner Besucher wahren.
• Den Assistenten nicht so einrichten, dass er verbirgt, dass er eine KI ist.