Vertrag zur Auftragsverarbeitung

Verantwortlicher (Auftraggeber): der Kunde, der ComLayer nutzt — [noch festzulegen: Firma, Anschrift und Vertretung des Kunden]. Diese Angaben werden bei der Zeichnung der Einzelfassung ergänzt.

Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist nicht benannt: die Auftragsverarbeiterin erreicht die Schwellen des § 38 BDSG nicht. Anfragen zum Datenschutz beantwortet die Geschäftsführung unter der in Ziffer 13 genannten Adresse.

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der ComLayer-Plattform für den Auftraggeber nach Maßgabe der Allgemeinen Geschäftsbedingungen. Zweck ist ausschließlich die Erbringung dieser Leistung, also die Entgegennahme, Beantwortung und Verwaltung von Support-Anfragen der Endkundinnen und Endkunden des Auftraggebers.

Art der Verarbeitung sind Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an die in Ziffer 8 genannten Unterauftragsverarbeiter, Einschränken und Löschen. Eine Verarbeitung zu eigenen Zwecken der Auftragsverarbeiterin findet nicht statt; sie wertet die Daten insbesondere nicht aus, um eigene Modelle zu trainieren.

Dasselbe gilt für die eingesetzten Modell- und Einbettungsanbieter: Beide Anbieter haben sich vertraglich zum selben Ausschluss verpflichtet: der Modellanbieter über die Datenverarbeitungsbedingungen von Google Cloud, der Einbettungsanbieter über die Nutzungsbedingungen von Voyage AI.

Die Verarbeitung erfolgt für die Dauer des Hauptvertrages. Sie endet mit dessen Beendigung und der anschließenden Löschung nach Ziffer 11.

• Endkundinnen und Endkunden sowie Websitebesucherinnen und -besucher des Auftraggebers, die den Support-Kanal nutzen
• Beschäftigte und Beauftragte des Auftraggebers, die als Teammitglieder in der Plattform arbeiten
• Personen, die in Nachrichten, Wissensinhalten oder Feedback des Auftraggebers genannt werden

• Besucherstammdaten: Name und E-Mail-Adresse, soweit angegeben, aufgerufene Seite, grobe Ortsangabe, Zeitpunkt des ersten Kontakts
• Kommunikationsinhalte: Nachrichten aus Chat und Übergabe an Mitarbeitende, Zeitstempel, Zuordnung zu einer Konversation, deren Bearbeitungsstatus sowie hochgeladene Dateianhänge
• Nutzerdaten der Teammitglieder: Name, E-Mail-Adresse, Rolle, Zuordnung zum Arbeitsbereich
• Inhalte der Wissensdatenbank sowie daraus erzeugte Einbettungen
• Feedback- und Roadmap-Beiträge einschließlich der Angaben der einreichenden Person

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrages. Übermittelt der Auftraggeber solche Daten dennoch über den Support-Kanal, geschieht dies in seiner Verantwortung; die Parteien vereinbaren die erforderlichen zusätzlichen Maßnahmen dann gesondert.

Die Auftragsverarbeiterin verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Dieser Vertrag und die Nutzung der Plattform durch den Auftraggeber und seine Teammitglieder stellen die Weisung dar. Weisungen darüber hinaus erfolgen in Textform an info@comlayer.app.

Ist die Auftragsverarbeiterin der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist sie den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zu dessen Bestätigung aussetzen. Eine Übermittlung in ein Drittland aufgrund einer Rechtspflicht teilt sie dem Auftraggeber vorher mit, sofern das Recht dies nicht verbietet.

Die Auftragsverarbeiterin setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht worden sind. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort. Der Kreis der Zugriffsberechtigten ist auf das für den Betrieb erforderliche Maß beschränkt.

Die Auftragsverarbeiterin trifft die folgenden Maßnahmen; sie entsprechen dem Stand der Technik und werden fortlaufend angepasst. Eine Änderung darf das Schutzniveau nicht unterschreiten.

• Verschlüsselung sämtlicher Verbindungen per TLS; die Verbindung zur Datenbank läuft über beidseitig authentifizierte, kurzlebige Zertifikate
• Verschlüsselte Speicherung ruhender Daten
• Mandantentrennung: jeder Datensatz ist einem Arbeitsbereich zugeordnet, und jeder Zugriff wird serverseitig gegen die Mitgliedschaft in diesem Arbeitsbereich geprüft
• Rollen- und Rechtekonzept mit getrennten Rollen für Verwaltung und Bearbeitung
• Dateianhänge liegen in einem nicht öffentlichen Speicher und werden nur über eine zugriffsgeprüfte Route der Anwendung ausgeliefert
• Der öffentliche Widget-Schlüssel ist je Arbeitsbereich rotierbar; die zulässigen Einbindungsdomänen können eingeschränkt werden
• Begrenzung der Anfragerate gegen missbräuchliche Nutzung der öffentlichen Schnittstellen
• Regelmäßige Sicherungen und überwachter Betrieb; Wiederherstellungszeiten: Wiederherstellungszeit (RTO) und maximaler Datenverlust (RPO) je 24 Stunden
• Verfahren zur regelmäßigen Überprüfung der Wirksamkeit: jährlich durch die Geschäftsführung

Der Auftraggeber erteilt seine allgemeine Genehmigung zum Einsatz der nachfolgend genannten Unterauftragsverarbeiter. Die Auftragsverarbeiterin verpflichtet diese auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für deren Verhalten wie für eigenes.

Bindet der Auftraggeber eine eigene Terminbuchung über Cal.com ein, ist Cal.com sein Dienstleister und nicht Unterauftragsverarbeiter der Auftragsverarbeiterin; die Auftragsverarbeiterin nimmt lediglich die Benachrichtigung über gebuchte Termine entgegen.

Die Inhalte bleiben in der EU. Konversationen, Wissensbasis und Konten liegen in der Datenbankregion europe-west3 (Frankfurt), Dateianhänge und Logos im Dateispeicher derselben Region, die Live-Aktualisierung offener Konversationen läuft in europe-west1, und der KI-Agent antwortet aus der Vertex-Multi-Region eu; die Hilfsmodelle für Betreffzeilen und Dokumentenauswertung laufen in europe-west1. Die Region des Dateispeichers ist am 07.08.2026 an den eingesetzten Buckets nachgemessen; alle übrigen stehen in der Konfiguration der Bereitstellung.

Vier Dienste verarbeiten außerhalb der EU, und zwar in den USA: Clerk für Anmeldung, Konten und Sitzungen, Stripe für die Zahlungsabwicklung, Resend für den Versand der Team-Benachrichtigungen — diese enthalten wörtliche Auszüge aus Konversationen — und Voyage AI für die Einbettungen der semantischen Suche, das dafür die Wissensinhalte erhält. Diese Übermittlungen stützen sich auf die Standardvertragsklauseln der EU-Kommission; welche Fassung und welche Folgenabschätzung je Anbieter gilt, hält der Auftragsverarbeitungsvertrag fest. Der Betrieb der Anwendung selbst liegt bei Vercel, einem US-Konzern; die Auslieferungsregion dieser Bereitstellung ist nicht gemessen und dort ebenfalls als offene Stelle gekennzeichnet.

Einen Wechsel oder die Aufnahme weiterer Unterauftragsverarbeiter teilt die Auftragsverarbeiterin dem Auftraggeber mindestens eine Woche vorher in Textform mit. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall kann jede Partei den Hauptvertrag zum Zeitpunkt der Umstellung kündigen.

Die Übermittlungen in die USA stützt die Auftragsverarbeiterin auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, und zwar in der Fassung des Durchführungsbeschlusses (EU) 2021/914 vom 4. Juni 2021, Modul 2 (Übermittlung von einem Verantwortlichen an einen Auftragsverarbeiter). Die eingesetzten Anbieter stellen jeweils eigene Übermittlungs-Folgenabschätzungen bereit, auf die wir uns stützen; eine zusätzliche eigene Bewertung im Einzelfall führen wir nicht. Solange dieser Punkt offen ist, ist die Liste vollständig und der Übermittlungsweg benannt, die Bewertung im Einzelfall aber nicht abgeschlossen.

Die Auftragsverarbeiterin unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen nach Art. 15 bis 22 DSGVO sowie bei Datenschutz-Folgenabschätzungen und Konsultationen nach Art. 35 und 36 DSGVO.

Wendet sich eine betroffene Person unmittelbar an die Auftragsverarbeiterin, leitet diese das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst. Auskunft über gespeicherte Daten und deren Herausgabe oder Löschung erfolgen auf Anfrage über info@comlayer.app innerhalb von 48 Stunden.

Für die Daten seines eigenen Arbeitsbereichs steht dem Auftraggeber zusätzlich ein Selbstbedienungsweg offen: unter Einstellungen → Allgemein erzeugen seine Administratorinnen und Administratoren jederzeit einen vollständigen, maschinenlesbaren Abzug („Daten exportieren“, JSON-Format) und können die Löschung des Arbeitsbereichs veranlassen („Workspace löschen“). Die Löschung wird 30 Tage vorgemerkt und ist bis zum letzten Tag widerrufbar. Beide Wege stehen unabhängig vom gebuchten Tarif offen.

Die Auftragsverarbeiterin meldet dem Auftraggeber jede ihr bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie vorliegen; fehlende Angaben werden nachgereicht. Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen obliegt dem Auftraggeber.

Nach Beendigung des Hauptvertrages löscht die Auftragsverarbeiterin die im Auftrag verarbeiteten Daten einschließlich vorhandener Kopien innerhalb von 30 Tagen, sofern der Auftraggeber nicht vorher deren Rückgabe verlangt. Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben.

Gesetzliche Aufbewahrungspflichten bleiben unberührt; die davon erfassten Daten werden für die Dauer der Aufbewahrung in der Verarbeitung eingeschränkt.

Die Auftragsverarbeiterin weist die Einhaltung dieses Vertrages auf Anfrage in geeigneter Weise nach, insbesondere durch Auskunft über die getroffenen Maßnahmen. Der Auftraggeber ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist und ohne Störung des Betriebsablaufs von der Einhaltung zu überzeugen; Kontrollen vor Ort sind auf begründete Anlässe beschränkt. Eigene Zertifizierungen oder Prüfberichte liegen derzeit nicht vor; der Nachweis erfolgt über die Auskunft nach Satz 1. Für die eingesetzten Unterauftragsverarbeiter gelten deren jeweilige Zertifizierungen.

Bei Widersprüchen gehen die Regelungen dieses Vertrages den Regelungen des Hauptvertrages vor, soweit es um die Verarbeitung personenbezogener Daten geht. Es gilt deutsches Recht. Im Übrigen gelten die Allgemeinen Geschäftsbedingungen, ergänzend die Datenschutzerklärung.