Contrato de encargo del tratamiento

Präambel

Dieser Vertrag über die Auftragsverarbeitung („AVV“) gilt zwischen dem Kunden (nachfolgend „Auftraggeberin“) und der MindLike UG (haftungsbeschränkt), Kurhessenstraße 3b, 63075 Offenbach am Main, Amtsgericht Offenbach am Main HRB 50940, Steuernummer 4423923950, vertreten durch die Geschäftsführer Dr. Abdul Wahed Hemati und Dr. Tolga Uslu (jeweils einzelvertretungsberechtigt) (nachfolgend „Auftragnehmerin“).

Die Parteien haben einen Nutzungsvertrag über die Software „alkaio“ abgeschlossen. In Ergänzung dazu vereinbaren die Parteien hiermit Folgendes. Dieser Vertrag wird mit Registrierung und Abschluss des Nutzungsvertrags — einschließlich der Bestätigung der AGB und dieses AVV im Registrierungsprozess — wirksam.

Stand: 6. August 2026.

1. Gegenstand des Vertrages und der Verarbeitung, Umfang der Weisungsbefugnisse

1.1 Gegenstand dieses Vertrages ist die Zusammenarbeit der Parteien im Rahmen des Nutzungsvertrages. Die Durchführung des Nutzungsvertrages beinhaltet die in Anhang 1 benannten datenverarbeitenden Tätigkeiten der Auftragnehmerin für die Auftraggeberin.

1.2 Die Auftragnehmerin verarbeitet die ihr im Rahmen des Nutzungsvertrages zugänglichen personenbezogenen Daten im Auftrag der Auftraggeberin (Art. 28 DSGVO). Sie wird die Daten ausschließlich und streng nach den auftragsbezogenen Weisungen der Auftraggeberin verarbeiten, berichtigen und nutzen; die Ziele und Modalitäten der Auftragsverarbeitung kann allein die Auftraggeberin bestimmen.

1.3 Die Verantwortung für das Erstellen und Umsetzen des Löschkonzepts, die Durchführung des Rechts auf Vergessenwerden, auf Berichtigung, Datenportabilität und Auskunft sind nicht Gegenstand dieses Vertrages. Diese wird allein durch die Auftraggeberin sichergestellt.

1.4 Die vereinbarte Verarbeitungstätigkeit findet grundsätzlich innerhalb der Europäischen Union und des Europäischen Wirtschaftsraums statt. Sofern Verarbeitungstätigkeiten durch Unterauftragnehmer in Drittländern erbracht werden, ist dies in Anhang 2 aufgeführt; für die betreffende Drittlandübermittlung gilt entweder ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO, oder es sind Standarddatenschutzklauseln mit sonstigen geeigneten Garantien nach Art. 46 DSGVO abgeschlossen.

1.5 Außerhalb der Betriebsstätte der Auftragnehmerin findet folgende Datenverarbeitung statt: Die Auftragnehmerin erlaubt ihren Mitarbeitern die Arbeit aus dem Home-Office. Hierfür gelten Regelungen zum Datenschutz, auf deren Einhaltung sich die Mitarbeiter verpflichtet haben.

2. Art und Zweck der Verarbeitung

2.1 Für die Durchführung des Nutzungsvertrages ist der Zugriff auf personenbezogene Daten notwendig.

2.2 Die Zwecke der Auftragsverarbeitung sind in Anhang 1 benannt. Die Auftragsverarbeitung erfolgt nur für die Zwecke der Durchführung des Nutzungsvertrages; eine Verwendung für andere Zwecke erfolgt nicht. Den Mitarbeitern der Auftragnehmerin ist es untersagt, geschützte personenbezogene Daten zu einem anderen als dem zur jeweiligen rechtmäßigen Aufgabenerfüllung gehörenden Zweck zu erheben, zu verarbeiten oder zu nutzen.

3. Art der personenbezogenen Daten und Kategorien betroffener Personen

3.1 Die Arten der personenbezogenen Daten, die von der Datenverarbeitung betroffen sind, sind in Anhang 1 aufgelistet.

3.2 Die Personengruppen, die zum Kreis der betroffenen Personen gehören, sind in Anhang 1 aufgelistet.

4. Rechte und Pflichten der Auftraggeberin

4.1 Die Prüfung der Zulässigkeit der Datenverarbeitung und die Wahrung der Rechte der Betroffenen obliegen stets der Auftraggeberin. Die Auftraggeberin übernimmt die ihr obliegenden Meldepflichten in eigener Verantwortung (Art. 33, 34 DSGVO).

4.2 Die Auftraggeberin bestätigt mündlich erteilte Weisungen stets in Textform oder in einer vereinbarten sonstigen elektronischen Form. Änderungen des Verarbeitungsgegenstandes oder Verfahrensänderungen stimmt die Auftraggeberin vorab gemeinsam mit der Auftragnehmerin ab.

4.3 Für die Auftraggeberin sind die in Anhang 1 genannten Personen berechtigt, auftragsbezogene Weisungen zu erteilen.

4.4 Die Auftraggeberin informiert die Auftragnehmerin über den Wechsel einer nach Ziffer 4.3 benannten Person in geeigneter Form.

4.5 Die Auftraggeberin ist berechtigt, jederzeit die Einhaltung der Datenschutzbestimmungen, der vertraglichen Vereinbarungen und der erteilten Weisungen zu überprüfen. Einzelheiten regelt Ziffer 11.

4.6 Die Auftraggeberin hat das Recht, jederzeit die Herausgabe der verarbeiteten und/oder neu entstandenen Daten zu verlangen. Alle Rechte und das Eigentum an diesen Daten stehen allein der Auftraggeberin zu. Die Auftragnehmerin hat kein Zurückbehaltungsrecht (§§ 273, 320 BGB). Urheberrechtliche Nutzungs- oder Lizenzrechte, etwa an der Software, bleiben unberührt.

5. Weitere Rechte und Pflichten der Auftragnehmerin

5.1 Die in Anhang 1 genannten Personen sind befugt, Weisungen der Auftraggeberin entgegenzunehmen.

5.2 Die Auftragnehmerin verarbeitet, berichtigt, löscht oder sperrt die personenbezogenen Daten nur nach dokumentierter Weisung. Sie unterstützt die Auftraggeberin nach Möglichkeit bei der Erfüllung der Pflichten zu den Rechten betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an die Auftragnehmerin, leitet diese das Ersuchen unverzüglich weiter.

5.3 Die Auftragnehmerin führt ein eigenes Verzeichnis über die Verarbeitungstätigkeit (Art. 30 Abs. 2 DSGVO) und wirkt bei Verzeichnissen und Datenschutz-Folgenabschätzungen der Auftraggeberin mit. Darüber hinaus unterstützt sie im Rahmen ihrer Möglichkeiten bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

5.4 Alle Unterlagen, Datenträger und Datenbestände der Auftraggeberin werden getrennt von denen weiterer Kunden und vor dem Zugriff Unbefugter geschützt verwahrt.

5.5 Die Auftragnehmerin hat, soweit gesetzlich verpflichtet, eine geeignete Person als Datenschutzbeauftragte bestellt (Art. 37 DSGVO). Die Kontaktdaten stehen in Anhang 1. Über eine Bestellung oder einen Wechsel wird die Auftraggeberin unverzüglich unterrichtet.

5.6 Die Auftragnehmerin unterrichtet die Auftraggeberin unverzüglich über auftragsbezogene Störungen, Verletzungen von Datenschutzbestimmungen, Kontrollen und Maßnahmen der Aufsichtsbehörden und andere Unregelmäßigkeiten und unterstützt bei den Meldepflichten nach Art. 33, 34 DSGVO.

5.7 Macht eine betroffene Person oder ein Dritter einen Anspruch gegen die Auftragnehmerin geltend, unterstützt diese die Auftraggeberin mit den verfügbaren Informationen.

5.8 Die Auftragnehmerin ist berechtigt, die Durchführung von Weisungen, die nach ihrer Ansicht Datenschutzbestimmungen verletzen, auszusetzen, bis die Auftraggeberin sie bestätigt oder geändert hat.

6. Technische und organisatorische Maßnahmen

6.1 Die Auftragnehmerin hat bereits alle für den Auftrag nach Art. 32 DSGVO erforderlichen und angemessenen technischen und organisatorischen Maßnahmen getroffen. Diese sind in Anhang 3 im Einzelnen beschrieben; Anhang 3 wird hiermit Vertragsbestandteil.

6.2 Bei der Auswahl der Maßnahmen berücksichtigt die Auftragnehmerin den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten betroffener Personen.

6.3 Ein angemessenes Schutzniveau wird unter anderem gewährleistet durch Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.

6.4 Die Auftragnehmerin darf getroffene Maßnahmen durch modernere ersetzen, die den vereinbarten Kriterien entsprechen. Wesentliche Änderungen werden dokumentiert.

7. Geheimhaltung

7.1 Die Parteien behandeln alle im Rahmen dieser Vereinbarung bekannt gewordenen Informationen über die jeweils andere Partei, Beschäftigten- und Kundendaten sowie Entwürfe, Konzepte, Methoden und sonstige Geschäfts- und Betriebsgeheimnisse während der Laufzeit und für ein Jahr nach Beendigung vertraulich.

7.2 Zugänglich gemachte Unterlagen bleiben Eigentum der betreffenden Partei und dürfen ohne schriftliche Einwilligung weder vervielfältigt noch veröffentlicht noch Dritten zugänglich gemacht werden.

7.3 Ausgenommen sind nicht geschützte Ideen, Konzeptionen und Erfahrungen sowie Informationen, die bereits vorab bekannt, öffentlich bekannt oder offenkundig waren oder ohne Verschulden bekannt werden.

8. Verpflichtung zur Vertraulichkeit (Datengeheimnis)

8.1 Die Parteien erheben, verarbeiten und nutzen personenbezogene Daten nur nach Maßgabe der geltenden datenschutzrechtlichen Bestimmungen und verpflichten sich gegenseitig zur Wahrung des Datengeheimnisses.

8.2 Jede Partei verpflichtet die eingesetzten Mitarbeiter vor Durchführung der Arbeiten auf das Datengeheimnis (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

8.3 Die Weitergabe personenbezogener Daten an Dritte ist der Auftragnehmerin verboten, es sei denn, sie erfolgt auf Grundlage von Ziffer 9 oder aufgrund einer dokumentierten Weisung.

9. Unterauftragsverhältnisse

9.1 Die Auftraggeberin erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 und 4 DSGVO einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anhang 2 benannt und genehmigt.

9.2 Beabsichtigt die Auftragnehmerin, einen weiteren Unterauftragnehmer hinzuzuziehen oder einen bestehenden zu ersetzen, informiert sie die Auftraggeberin in geeigneter Form mit angemessener Vorlauffrist. Die Auftraggeberin kann aus wichtigem, datenschutzrechtlich begründetem Grund innerhalb von 14 Tagen widersprechen. Im Falle eines berechtigten Widerspruchs sind beide Parteien berechtigt, den Vertrag hinsichtlich der betroffenen Leistung außerordentlich zu kündigen.

9.3 Die Auftragnehmerin legt den Unterauftragnehmern die datenschutzrechtlichen Verpflichtungen dieses Vertrages in gleichem Umfang vertraglich auf (Art. 28 Abs. 4 DSGVO) und wählt sie sorgfältig aus.

9.4 Werden Verarbeitungstätigkeiten in Drittländern erbracht, stellt die Auftragnehmerin durch Garantien nach Art. 44 ff. DSGVO ein angemessenes Datenschutzniveau sicher. Die eingesetzten Unterauftragnehmer und die jeweilige Grundlage der Drittlandübermittlung stehen in Anhang 2.

9.5 Nicht als Unterauftragsverhältnis gelten Nebenleistungen wie Telekommunikations-, Reinigungs- oder Wartungsleistungen, sofern kein Zugriff auf personenbezogene Daten besteht.

10. Rechte betroffener Personen

10.1 Die Auftragnehmerin unterstützt die Auftraggeberin nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu beantworten.

10.2 Wendet sich eine betroffene Person unmittelbar an die Auftragnehmerin, leitet diese das Ersuchen unverzüglich weiter und wird selbst nicht ohne Weisung tätig.

11. Kontroll- und Prüfrechte der Auftraggeberin

11.1 Die Auftragnehmerin stellt alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen.

11.2 Die Auftragnehmerin kann dem Kontrollrecht durch einen aktuellen Datenschutzbericht, genehmigte Verhaltensregeln (Art. 40 DSGVO) oder ein genehmigtes Zertifikat im Sinne von Art. 42 DSGVO genügen.

11.3 Überprüfungen vor Ort werden rechtzeitig angekündigt, finden während der üblichen Geschäftszeiten statt und dürfen den Betriebsablauf nicht unverhältnismäßig beeinträchtigen. Kosten für Unterstützungsleistungen über den üblichen Umfang hinaus können nach vorheriger Ankündigung angemessen in Rechnung gestellt werden.

12. Mitteilung bei Verstößen und Meldepflichten

12.1 Die Auftragnehmerin unterrichtet die Auftraggeberin unverzüglich, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Mitteilung enthält, soweit möglich, die in Art. 33 Abs. 3 DSGVO genannten Angaben.

12.2 Die Auftragnehmerin trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und unterrichtet die Auftraggeberin darüber.

13. Löschung und Rückgabe von personenbezogenen Daten

13.1 Nach Abschluss der Verarbeitungstätigkeiten oder auf Weisung der Auftraggeberin — jedenfalls mit Beendigung des Nutzungsvertrages — löscht die Auftragnehmerin sämtliche personenbezogenen Daten nach Wahl der Auftraggeberin oder gibt sie zurück, sofern keine gesetzliche Speicherpflicht besteht.

13.2 Die Löschung wird auf Anforderung in geeigneter Form nachgewiesen. Gesetzliche Aufbewahrungspflichten bleiben unberührt; entsprechende Daten werden für die weitere Verarbeitung gesperrt.

14. Laufzeit und Beendigung

14.1 Dieser Vertrag beginnt mit Abschluss des Nutzungsvertrages und ist auf dessen Dauer befristet. Er endet automatisch mit Beendigung des Nutzungsvertrages, ohne dass es einer gesonderten Kündigung bedarf.

14.2 Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn die Auftragnehmerin ihren Pflichten schwerwiegend zuwiderhandelt, eine Weisung nicht ausführt oder den Zutritt zu Kontrollzwecken vertragswidrig verweigert.

15. Haftung

15.1 Für die Haftung gelten die Regelungen des Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Nutzungsvertrages beziehungsweise der AGB, soweit diese nicht zwingenden datenschutzrechtlichen Vorgaben widersprechen.

16. Schlussbestimmungen

16.1 Sollten einzelne Bestimmungen unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit des Vertrages im Übrigen unberührt. An die Stelle der unwirksamen Bestimmung tritt diejenige wirksame Regelung, deren Wirkung der datenschutzrechtlichen Zielsetzung am nächsten kommt.

16.2 Bei Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen, insbesondere dem Nutzungsvertrag, gehen die Regelungen dieses Vertrages vor. Im Zweifel gehen die Regelungen der DSGVO vor.

16.3 Änderungen und Ergänzungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.

Anhang 1 — Einzelheiten der Auftragsverarbeitung

Gegenstand des Auftrags. Bereitstellung und Betrieb der Software „alkaio“ als Software-as-a-Service zur Automatisierung von Kommunikations- und Vertriebsprozessen der Auftraggeberin, einschließlich der Verarbeitung der über die Plattform ein- und ausgehenden Kommunikation.

Art und Zweck der Verarbeitung. Erhebung, Speicherung, Organisation, Verwendung, Auslesen, Abfrage, Übermittlung an die Unterauftragnehmer nach Anhang 2, Löschung und Vernichtung personenbezogener Daten zum Zweck des Betriebs der KI-Agenten, der Führung und Anreicherung von Leads, der automatisierten und teilautomatisierten Kommunikation über WhatsApp und weitere Kanäle sowie der Bereitstellung der zugehörigen Auswertungs- und Verwaltungsfunktionen.

Dauer der Verarbeitung. Für die Laufzeit des Nutzungsvertrages sowie bis zur vertragsgemäßen Löschung oder Rückgabe der Daten nach Ziffer 13.

Art der personenbezogenen Daten

• Kontakt- und Stammdaten (Name, Telefonnummer, E-Mail-Adresse, Anschrift)
• Kommunikations- und Nachrichteninhalte (Chatverläufe über WhatsApp und weitere Kanäle)
• Lead- und Vertriebsdaten (Interessen, Status, Qualifizierungsangaben, im Flow erhobene Angaben)
• Metadaten der Kommunikation (Zeitstempel, Kanal, technische Verbindungsdaten)
• gegebenenfalls weitere über die Flow-Konfiguration erhobene Angaben

Die Auftraggeberin ist dafür verantwortlich, dass über die Plattform keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) erhoben werden, soweit hierfür keine Rechtsgrundlage besteht und keine ergänzenden Schutzmaßnahmen vereinbart wurden.

Kategorien betroffener Personen

• Endkund:innen, Interessent:innen und Leads der Auftraggeberin
• Kontakte und Ansprechpartner:innen der Auftraggeberin
• gegebenenfalls Beschäftigte der Auftraggeberin, soweit sie die Plattform nutzen

Weisungsberechtigte Personen der Auftraggeberin: regelmäßig die im Kundenkonto hinterlegte administrierende Person.

Weisungsempfänger der Auftragnehmerin: die Geschäftsführung der MindLike UG beziehungsweise die von ihr benannte Ansprechperson, erreichbar unter [email protected].

Datenschutzbeauftragte:r der Auftragnehmerin: nicht bestellt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht (§ 38 BDSG) nicht vorliegen. Kontakt in Datenschutzangelegenheiten: [email protected].

Anhang 2 — Liste der Unterauftragsverarbeiter

Die Auftragnehmerin setzt zum Zeitpunkt des Vertragsschlusses die nachfolgenden Unterauftragnehmer ein. Mit allen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

A. Bereitstellung und Betrieb von alkaio

B. Verwaltung und Betreuung des Kundenaccounts

Die jeweils aktuelle Fassung dieser Liste stellt die Auftragnehmerin auf dieser Seite bereit. Änderungen werden gemäß Ziffer 9.2 mitgeteilt.

Anhang 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Zusammenfassung

• Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand (Speicher- und Datenbankebene).
• Dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit: Vertraulichkeit durch Zutritts-, Zugangs- und Zugriffskontrolle, Integrität durch Absicherung der Systeme (Firewalls, restriktive Berechtigungen), Verfügbarkeit durch Back-ups, Belastbarkeit durch die eingesetzte Serverinfrastruktur.
• Rasche Wiederherstellbarkeit nach einem physischen oder technischen Zwischenfall über Backups; das Rechenzentrum (STRATO, Deutschland, IONOS-Gruppe) verfügt über Notstromversorgung und Ausfallsicherheit.
• Automatisiertes, dauerhaftes Monitoring sowie regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.

2. Allgemeine organisatorische Maßnahmen

• Beschäftigte werden vertraglich zur Vertraulichkeit und auf das Datengeheimnis verpflichtet und über die rechtlichen Konsequenzen belehrt.
• Dokumentierte Systemkonfiguration und Berechtigungskonzept.
• Verträge zur Auftragsverarbeitung mit allen Dienstleistern; sorgfältige Auswahl der Unterauftragnehmer.
• Sicherheitsvorfälle werden dokumentiert und ausgewertet.

3. Zutrittskontrolle

• Betrieb in einem ISO-27001-zertifizierten Rechenzentrum der STRATO AG in Deutschland mit umfassenden physischen Zutrittskontrollen; kein eigener Serverraum-Betrieb.
• Büroräume: verschlossene Räumlichkeiten, Zutritt nur für berechtigte Personen.

4. Zugangskontrolle

• Authentifikation mit Benutzername und Passwort; Passwortrichtlinie mit Mindestlänge und Komplexität.
• Multi-Faktor-Authentifizierung für administrative Zugänge.
• Firewalls, aktuelle Sicherheitssoftware, verschlüsselte Endgeräte.
• Personenbezogene Benutzerprofile, Clean-Desk-Prinzip.

5. Zugriffskontrolle

• Rollen- und rechtebasiertes Berechtigungskonzept nach dem Need-to-know-Prinzip.
• Administrative Zugänge auf das notwendige Minimum begrenzt.
• Protokollierung von Zugriffen; Verfahren zum Entzug von Berechtigungen bei Ausscheiden.

6. Weitergabekontrolle

• Verschlüsselung sämtlicher Datenübertragungen (TLS/HTTPS).
• Vorgelagertes CDN beziehungsweise Reverse-Proxy mit WAF- und DDoS-Schutz.
• Mandantengetrennte Datenhaltung; Übermittlung an Unterauftragnehmer nur auf vertraglicher Grundlage.

7. Eingabekontrolle

• Protokollierungsfunktionen machen nachvollziehbar, durch wen Daten eingegeben, verändert oder entfernt wurden.

8. Auftragskontrolle

• Verträge zur Auftragsverarbeitung mit allen Dienstleistern; sorgfältige Auswahl und Prüfung, insbesondere im Hinblick auf Datensicherheit.

9. Verfügbarkeitskontrolle

• Regelmäßige Backups, Speicherung an einem sicheren Ort.
• Serverinfrastruktur in einem Rechenzentrum mit Notstromversorgung und Ausfallsicherheit.
• Konzept zur Sicherung und Wiederherstellung von Daten.

10. Trennungskontrolle

• Logische Trennung der Datenbestände nach Mandanten.
• Trennung von Produktiv- und Testsystem, gesteuert über das Berechtigungskonzept.

11. Überprüfung

• Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO).

Unterschriften

Sofern dieser Vertrag nicht bereits mit der Online-Registrierung und Bestätigung im Rahmen des Nutzungsvertrages wirksam geschlossen wurde, kann er von den Parteien gesondert gezeichnet werden. Eine unterschriftsfähige Fassung stellen wir auf Anfrage unter [email protected] bereit.