Auftragsverarbeitungsvertrag

Gültig ab 4. November 2026.

1. ANWENDUNGSBEREICH UND PARTEIEN

1.1. Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen dem Kunden und der OVERVIS OÜ („Overvis“). Er gilt, soweit Overvis bei der Bereitstellung des Systems personenbezogene Daten im Auftrag des Kunden verarbeitet. In den Nutzungsbedingungen definierte Begriffe haben in diesem AVV dieselbe Bedeutung.

1.2. Der Kunde ist hinsichtlich der personenbezogenen Daten, die der Kunde oder seine Beauftragten an das System übermitteln oder die das System von den Anlagen des Kunden erhebt („personenbezogene Daten des Kunden“), Verantwortlicher oder ein im Auftrag seines eigenen Verantwortlichen handelnder Auftragsverarbeiter. Overvis ist hinsichtlich der personenbezogenen Daten des Kunden Auftragsverarbeiter bzw. Unterauftragsverarbeiter.

1.3. Dieser AVV gilt nicht für personenbezogene Daten, die Overvis als Verantwortlicher verarbeitet, etwa Konto-, Abrechnungs- und Nutzungsdaten. Diese Verarbeitung ist in der Datenschutzerklärung beschrieben.

1.4. „DSGVO“ bezeichnet die Verordnung (EU) 2016/679. Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die ihnen in der DSGVO zugewiesene Bedeutung.

1.5. Weichen dieser AVV und die Nutzungsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten des Kunden voneinander ab, hat dieser AVV Vorrang.

2. EINZELHEITEN DER VERARBEITUNG

2.1. Gegenstand: die Bereitstellung des Systems gemäß den Nutzungsbedingungen.

2.2. Dauer: die Laufzeit der Nutzungsbedingungen sowie der anschließende Zeitraum bis zur Löschung der personenbezogenen Daten des Kunden gemäß Abschnitt 10.

2.3. Art und Zweck: Hosting, Speicherung, Übermittlung, Anzeige, Analyse und Löschung von Daten, soweit dies zur Bereitstellung des Systems erforderlich ist, einschließlich des Lesens und Schreibens von Werten auf den Anlagen des Kunden, der Ausführung von Automatisierungen, des Versands von Benachrichtigungen und der Beantwortung von Anfragen an den KI-Assistenten.

2.4. Arten personenbezogener Daten: Namen, E-Mail-Adressen, Telefonnummern und sonstige Kontaktdaten von Nutzern und Empfängern von Benachrichtigungen; der Inhalt von Nachrichten an den KI-Assistenten, Dateien, Dashboards und sonstige im System erstellte Inhalte; Aktivitätsverlauf und Protokolle; sowie alle personenbezogenen Daten, die in Messwerten von Anlagen enthalten sind oder vom Kunden auf sonstige Weise eingegeben werden.

2.5. Kategorien betroffener Personen: Mitarbeiter, Auftragnehmer und sonstige Nutzer des Kunden, die zu seinen Arbeitsbereichen eingeladen werden, Empfänger von Benachrichtigungen sowie alle sonstigen Personen, deren personenbezogene Daten der Kunde in das System eingibt.

2.6. Der Kunde übermittelt an das System keine besonderen Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO und keine personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten.

3. WEISUNGEN

3.1. Overvis verarbeitet personenbezogene Daten des Kunden nur auf dokumentierte Weisung des Kunden – auch in Bezug auf die Übermittlung in Drittländer –, sofern Overvis nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist. In einem solchen Fall teilt Overvis dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

3.2. Die Nutzungsbedingungen, dieser AVV sowie die Nutzung und Konfiguration des Systems durch den Kunden, einschließlich der Einstellungen, Automatisierungen und Anfragen, die über sein Konto, die API oder den KI-Assistenten vorgenommen werden, stellen die vollständigen Weisungen des Kunden dar. Zusätzliche Weisungen bedürfen der schriftlichen Zustimmung von Overvis.

3.3. Overvis informiert den Kunden unverzüglich, falls Overvis der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen verstößt.

3.4. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich des Vorliegens einer Rechtsgrundlage und der Erteilung der gesetzlich vorgeschriebenen Informationen an die betroffenen Personen.

4. VERTRAULICHKEIT

4.1. Overvis gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten des Kunden befugten Personen zur Vertraulichkeit verpflichtet sind, und gewährt ihnen Zugang nur, soweit dies erforderlich ist, um das System bereitzustellen, den Kunden zu unterstützen, die Sicherheit des Systems zu gewährleisten oder gesetzliche Pflichten zu erfüllen.

5. SICHERHEIT

5.1. Overvis trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen, um gemäß Artikel 32 DSGVO ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Overvis kann diese Maßnahmen ändern, sofern das Gesamtschutzniveau dadurch nicht verringert wird.

5.2. Der Kunde ist verantwortlich für die Sicherheit seines Kontos, der Anmeldemethoden und API-Schlüssel seiner Nutzer, der von ihm vergebenen Rollen sowie seiner eigenen Anlagen und Netzwerke.

6. UNTERAUFTRAGSVERARBEITER

6.1. Der Kunde erteilt Overvis eine allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern. Die derzeitigen Unterauftragsverarbeiter sind in Anlage 1 aufgeführt.

6.2. Overvis informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, indem Overvis Anlage 1 vor dem Wirksamwerden der Änderung aktualisiert. Der Kunde kann gegen die Änderung vor ihrem Wirksamwerden aus berechtigten datenschutzrechtlichen Gründen durch Mitteilung an support@overvis.com Einspruch erheben. Können die Parteien den Einspruch nicht ausräumen, besteht der einzige Rechtsbehelf des Kunden darin, die Nutzung des Systems einzustellen und sein Konto zu löschen.

6.3. Overvis erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die im Wesentlichen denen dieses AVV entsprechen, und haftet gegenüber dem Kunden für die Einhaltung der Pflichten seiner Unterauftragsverarbeiter.

7. INTERNATIONALE DATENÜBERMITTLUNGEN

7.1. Overvis übermittelt personenbezogene Daten des Kunden in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, einschließlich an die in Abschnitt 6 der Nutzungsbedingungen beschriebenen Anbieter von KI-Modellen, nur, wenn die Bedingungen von Kapitel V DSGVO erfüllt sind, beispielsweise auf Grundlage eines Angemessenheitsbeschlusses, einschließlich des Datenschutzrahmens EU-USA (EU-U.S. Data Privacy Framework), oder auf Grundlage der von der Europäischen Kommission erlassenen Standardvertragsklauseln.

8. UNTERSTÜTZUNG

8.1. Overvis unterstützt den Kunden angesichts der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte. Den größten Teil der personenbezogenen Daten des Kunden kann der Kunde im System selbst einsehen, exportieren, berichtigen und löschen. Overvis leitet jeden Antrag einer betroffenen Person, den Overvis in Bezug auf personenbezogene Daten des Kunden erhält, an den Kunden weiter und beantwortet ihn nicht selbst, es sei denn, der Kunde weist Overvis hierzu an.

8.2. Overvis unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Overvis zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten aus den Artikeln 32 bis 36 DSGVO betreffend die Sicherheit der Verarbeitung, die Meldung von Verletzungen des Schutzes personenbezogener Daten, die Datenschutz-Folgenabschätzung und die vorherige Konsultation.

8.3. Overvis kann für Unterstützungsleistungen, die über die im System verfügbaren Funktionen hinausgehen, eine Vergütung verlangen.

9. VERLETZUNGEN DES SCHUTZES PERSONENBEZOGENER DATEN

9.1. Overvis benachrichtigt den Kunden unverzüglich, nachdem Overvis eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Daten des Kunden betrifft, per E-Mail an die E-Mail-Adresse des Kontos des Kunden. Die Meldung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze, die wahrscheinlichen Folgen der Verletzung sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Die Informationen können schrittweise bereitgestellt werden.

9.2. Die Meldung einer Verletzung des Schutzes personenbezogener Daten stellt kein Anerkenntnis eines Verschuldens oder einer Haftung durch Overvis dar.

10. LÖSCHUNG

10.1. Endet die Bereitstellung des Systems, löscht Overvis die personenbezogenen Daten des Kunden wie in Ziffer 11.4 der Nutzungsbedingungen beschrieben, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zu ihrer Speicherung besteht. Während der dort genannten Frist kann der Kunde seine Daten mit den im System verfügbaren Werkzeugen herunterladen.

10.2. Etwaige Kopien personenbezogener Daten des Kunden in Datensicherungen werden gelöscht, wenn diese Datensicherungen im regulären Turnus ersetzt werden.

11. ÜBERPRÜFUNGEN

11.1. Auf schriftliche Anfrage an support@overvis.com stellt Overvis dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind.

11.2. Reichen diese Informationen nicht aus, ermöglicht Overvis Überprüfungen – einschließlich Inspektionen –, die vom Kunden oder von einem vom Kunden beauftragten und zur Vertraulichkeit verpflichteten Prüfer durchgeführt werden. Eine Überprüfung kann höchstens einmal jährlich mit einer Ankündigungsfrist von mindestens 30 Tagen während der üblichen Geschäftszeiten stattfinden, ohne den Betrieb des Systems zu stören und ohne Zugriff auf die Daten anderer Kunden. Der Kunde trägt die Kosten der Überprüfung, einschließlich des angemessenen Zeitaufwands von Overvis.

12. SCHLUSSBESTIMMUNGEN

12.1. Die Haftung jeder Partei aus diesem AVV unterliegt den Haftungsbeschränkungen der Nutzungsbedingungen, soweit die DSGVO dies zulässt.

12.2. Für diesen AVV gilt dasselbe Recht wie für die Nutzungsbedingungen, und Streitigkeiten aus diesem AVV werden von demselben Gericht entschieden wie Streitigkeiten aus den Nutzungsbedingungen.

12.3. Overvis kann diesen AVV auf dieselbe Weise ändern wie die Nutzungsbedingungen, sofern die Änderungen den nach der DSGVO erforderlichen Schutz nicht verringern.

ANLAGE 1. UNTERAUFTRAGSVERARBEITER

Unterauftragsverarbeiter	Standort	Zweck
Hetzner	Deutschland	Hosting des Systems und Speicherung seiner Daten
Google	Vereinigte Staaten	Karten, Adresssuche und E-Mail-Korrespondenz
Mailgun	Vereinigte Staaten	Benachrichtigungen per E-Mail
seven	Deutschland	Benachrichtigungen per SMS
Sentry	Vereinigte Staaten	Fehler- und Absturzberichte sowie Sitzungsaufzeichnungen mit maskierten Texten und Eingaben
OpenRouter	Vereinigte Staaten	Weiterleitung von Anfragen an den KI-Assistenten an die Anbieter von KI-Modellen
Anbieter von KI-Modellen	Überwiegend Vereinigte Staaten	Beantwortung von Anfragen an den KI-Assistenten

Benachrichtigungen, für deren Empfang der Kunde Telegram wählt, werden von Telegram zugestellt, das die Nutzer des Kunden nach den eigenen Bedingungen von Telegram nutzen.

ANLAGE 2. TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

• Verschlüsselung bei der Übertragung. Browser verbinden sich über HTTPS mit dem System. Jedes Gerät ist über einen eigenen verschlüsselten VPN-Tunnel verbunden, und das VPN leitet keinen Verkehr zwischen Geräten weiter.
• Anmeldung ohne Passwörter. Nutzer melden sich mit einem Passkey, mit einem Einmalcode per E-Mail oder aus einer Authenticator-App oder per Single Sign-on über den Identity Provider des Kunden an.
• Zugriffskontrolle. Jeder Arbeitsbereich hat eigene Mitglieder, Rollen und Anlagen. Die Rollen reichen von Nur anzeigen bis Eigentümer, jeder API-Aufruf erfolgt mit den Rechten des Nutzers oder Schlüssels, von dem er ausgeht, und ein API-Schlüssel eines Arbeitsbereichs funktioniert nur in diesem Arbeitsbereich.
• Sichere Schreibvorgänge. Für Werte können Grenzen festgelegt werden; Schreibvorgänge außerhalb dieser Grenzen werden abgelehnt. Der KI-Assistent ändert nichts an einem Gerät, bevor eine Person die Änderung freigegeben hat.
• Aktivitätsverlauf. Änderungen in einem Arbeitsbereich werden in dessen Aktivitätsverlauf erfasst, den der Kunde einsehen und exportieren kann.
• Aufbewahrung. Der Kunde kann festlegen, wie lange Messwerte gespeichert werden; ältere Messwerte werden dann automatisch gelöscht.
• Hosting. Die Datenspeicherung des Systems wird von Hetzner in Deutschland gehostet.
• Zugriff durch Mitarbeiter. Der Zugriff von Mitarbeitern von Overvis auf personenbezogene Daten des Kunden ist auf das beschränkt, was für den Betrieb, den Support und die Sicherheit des Systems erforderlich ist, und die Mitarbeiter sind zur Vertraulichkeit verpflichtet.