Dies ist eine Übersetzung zu Ihrer Information. Bei Abweichungen gilt die niederländische Fassung. Nederlands

Verarbeitung

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 2. August 2026, Anlage zu jedem Auftrag

1. Parteien und Rangfolge

Dieser Auftragsverarbeitungsvertrag gehört zum Vertrag zwischen 8eonAI (Auftragsverarbeiter) und dem Auftraggeber (Verantwortlicher). Bei Widersprüchen geht dieser Auftragsverarbeitungsvertrag den Allgemeinen Geschäftsbedingungen vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.

2. Gegenstand und Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach den schriftlichen Weisungen des Verantwortlichen, für den Aufbau, Betrieb und die Wartung von Dashboards, Agents und Automatisierungen. Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke, nicht zum Training eigener Modelle und nicht für andere Kunden.

3. Art der Verarbeitung

Kategorie betroffener Personen	Arten von Daten
Kunden des Verantwortlichen	Name, E-Mail-Adresse, Telefonnummer, Adresse, Bestell- und Zahlungsdaten, Supportnachrichten
Mitarbeitende des Verantwortlichen	Name, geschäftliche E-Mail-Adresse, Funktion, Benutzerkonto
Websitebesucher des Verantwortlichen	IP-Adresse, Verhaltensdaten, Kampagnen- und Conversion-Daten

Es werden keine besonderen Kategorien personenbezogener Daten verarbeitet, sofern dies nicht vorab schriftlich festgelegt wurde.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Der Auftragsverarbeiter meldet einen neuen oder ersetzenden Unterauftragsverarbeiter mindestens 30 Tage im Voraus. Der Verantwortliche kann begründet widersprechen und hat in diesem Fall das Recht, den Vertrag zu kündigen.

Unterauftragsverarbeiter	Rolle	Standort
Cloud-Hosting	Betrieb der Umgebung	EU
OpenAI / Anthropic / Google / Microsoft Azure	KI-Modelle	EU oder USA, mit Standardvertragsklauseln
Pro Auftrag zu ergänzen	Anbindungen an Systeme des Kunden	n. z.

5. Übermittlung außerhalb des EWR

Eine Übermittlung außerhalb des Europäischen Wirtschaftsraums erfolgt ausschließlich auf Grundlage der Standardvertragsklauseln der Europäischen Kommission oder eines Angemessenheitsbeschlusses, mit zusätzlichen Maßnahmen, wo nötig.

6. Sicherheit

Verschlüsselung der Daten bei Übertragung und Speicherung
Zugang ausschließlich nach Rolle und Notwendigkeit, mit Zwei-Faktor-Authentifizierung
Speicherung von API-Schlüsseln und Zugangsdaten in einem sicheren Passworttresor, nie im Quellcode oder in Chatnachrichten
Protokollierung des Zugriffs auf Systeme des Verantwortlichen
Getrennte Umgebungen pro Kunde, damit Kundendaten nie vermischt werden

7. Vertraulichkeit

Alle Personen, die im Namen des Auftragsverarbeiters Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet, auch nach Vertragsende.

8. Datenschutzverletzungen

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten innerhalb von 24 Stunden nach Entdeckung an den Verantwortlichen, mit allen Informationen, die dieser benötigt, um innerhalb von 72 Stunden bei der Datenschutzbehörde Meldung zu erstatten. Der Auftragsverarbeiter meldet nicht selbst an die Aufsichtsbehörde oder an betroffene Personen, es sei denn, er wird darum gebeten.

9. Rechte betroffener Personen

Erhält der Auftragsverarbeiter unmittelbar eine Anfrage einer betroffenen Person, leitet er diese innerhalb von fünf Werktagen weiter und beantwortet sie nicht selbst. Der Auftragsverarbeiter leistet angemessene Unterstützung bei Auskunfts-, Berichtigungs- und Löschanfragen.

10. Audit

Der Verantwortliche darf höchstens einmal jährlich und nach einer Datenschutzverletzung die Einhaltung durch einen unabhängigen, zur Verschwiegenheit verpflichteten Sachverständigen prüfen lassen, nach Ankündigung von 30 Tagen. Die Kosten trägt der Verantwortliche, es sei denn, die Prüfung ergibt, dass der Auftragsverarbeiter seine Pflichten verletzt.

11. Rückgabe und Löschung

Bei Beendigung löscht der Auftragsverarbeiter alle erhaltenen Zugangsdaten und API-Schlüssel innerhalb von 30 Tagen (im Einklang mit Artikel 7.4 der Allgemeinen Geschäftsbedingungen). Personenbezogene Daten in der Umgebung des Verantwortlichen bleiben dort. Daten beim Auftragsverarbeiter werden auf Anfrage zurückgegeben oder gelöscht, sofern die Aufbewahrung nicht gesetzlich vorgeschrieben ist.

12. Laufzeit und Haftung

Dieser Auftragsverarbeitungsvertrag läuft, solange der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen verarbeitet. Die Haftung richtet sich nach Artikel 10 der Allgemeinen Geschäftsbedingungen, soweit zwingendes Recht dies zulässt.