Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

zwischen dem Nutzer, der BonusFlow als Unternehmer (§ 14 BGB) nutzt (nachfolgend „Verantwortlicher“), und

Bonus Service BS GmbH Dorotheenstr. 5, 45130 Essen E-Mail: datenschutz@bonusflow.de · Telefon: 0201-89083160

(nachfolgend „Auftragsverarbeiter“)

§ 1 – Geltungsbereich und Vertragsschluss

(1) Dieser Vertrag gilt für Nutzer, die BonusFlow als Unternehmer nutzen und dabei personenbezogene Daten Dritter in BonusFlow verarbeiten (z. B. Namen und Kontaktdaten in Notizen, Terminen oder Fakten). Für Verbraucher, die BonusFlow für persönliche Zwecke nutzen, gilt er nicht; dort ist der Auftragsverarbeiter für die Verarbeitung selbst verantwortlich (siehe Datenschutzerklärung).

(2) Der Vertrag wird mit dem Nutzungsvertrag geschlossen, ohne dass es einer gesonderten Unterzeichnung bedarf, und gilt für dessen Dauer (Art. 28 Abs. 9 DSGVO: elektronisches Format).

(3) Die Kontodaten des Verantwortlichen selbst (Name, E-Mail-Adresse, Zahlungs- und Nutzungsdaten) verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher nach seiner Datenschutzerklärung; sie sind nicht Gegenstand dieses Vertrags.

§ 2 – Gegenstand, Art und Zweck, Dauer

(1) Gegenstand und Zweck: Speicherung und Verarbeitung der Inhalte, die der Verantwortliche in BonusFlow eingibt, um den Dienst zu erbringen: Umwandlung von Sprache in Text, Erkennen von Befehlen, Speichern und Anzeigen von Einträgen, semantische Suche, Kalender-Abo (ICS-Link), Datenexport.

(2) Art der Verarbeitung: Erheben, Speichern, Auslesen, Übermitteln an die Unterauftragsverarbeiter (§ 6), Löschen.

(3) Art der Daten: personenbezogene Daten Dritter, die in Einträgen enthalten sind (Namen, Kontaktdaten, Termine, sonstige Angaben in Freitext), einschließlich der Sprachaufnahmen, in denen sie genannt werden. Besondere Kategorien (Art. 9 DSGVO) soll der Verantwortliche nicht über Dritte erfassen.

(4) Betroffene: Personen, die der Verantwortliche in seinen Einträgen nennt (z. B. Kunden, Geschäftspartner, Mitarbeiter).

(5) Dauer: Laufzeit des Nutzungsvertrags bis zur Löschung des Kontos.

§ 3 – Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dies vorher mit, soweit das Recht es nicht verbietet.

(2) Weisungen erteilt der Verantwortliche durch die Nutzung und Einstellungen des Dienstes sowie in Textform an datenschutz@bonusflow.de.

(3) Der Verantwortliche weist den Auftragsverarbeiter an,

Sprachaufnahmen nur für die Dauer der Umwandlung in Text vorzuhalten und nicht zu speichern,
Einträge bis zu ihrer Löschung durch den Verantwortlichen, spätestens bis zur Kontolöschung, zu speichern,
bei Kontolöschung alle Daten zu löschen (Ablauf: Bestätigung per E-Mail, Löschung drei Tage später),
zur Datensicherung tägliche, verschlüsselte Sicherungskopien anzulegen und nach 30 Tagen zu löschen,
Vektoren für die semantische Suche ohne Klartext zu speichern und mit dem Eintrag zu löschen.

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 – Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

(2) Sicherheit (Art. 32 DSGVO): Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 1.

(3) Betroffenenrechte: Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener (Art. 12–22 DSGVO). Der Verantwortliche kann Einträge selbst einsehen, berichtigen, exportieren und löschen.

(4) Unterstützung nach Art. 32–36 DSGVO: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Sicherheit, Meldungen von Verletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, soweit ihm die Informationen vorliegen.

(5) Meldung von Verletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, damit dieser die Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO einhalten kann. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

(6) Löschung und Rückgabe: Der Verantwortliche kann seine Daten jederzeit exportieren (JSON). Nach Ende des Vertrags löscht der Auftragsverarbeiter alle Daten nach § 3 Abs. 3; Sicherungskopien werden nach 30 Tagen überschrieben. Eine gesetzliche Pflicht zur Aufbewahrung bleibt unberührt.

(7) Nachweise und Kontrollen: Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, nach angemessener Vorankündigung und zu den üblichen Geschäftszeiten.

§ 5 – Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der Daten Dritter verantwortlich, die er in BonusFlow eingibt, einschließlich der Information der Betroffenen.

§ 6 – Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

Unterauftragsverarbeiter	Leistung	Standort
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Server für Anwendung, Datenbank, Suchdatenbank; Speicher für verschlüsselte Sicherungen	Deutschland (Nürnberg)
Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich	Umwandlung von Sprache in Text, Auswertung einzelner Ja/Nein-Antworten, Berechnung der Vektoren	Globaler API-Endpunkt ohne Zusicherung eines Inferenzstandorts; Drittlandregelungen im Mistral-AVV
Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland	Erkennen von Befehlen aus Text und zugehörigem Kontokontext mithilfe von GPT im Azure OpenAI Service	Inferenz in der EU Data Zone; weitere Verarbeitung nach Microsofts DPA
ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf	E-Mail-Versand	Deutschland

(2) Der Auftragsverarbeiter informiert den Verantwortlichen per E-Mail mindestens vier Wochen vorher über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter legt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf wie in diesem Vertrag.

(4) Kein Unterauftragsverarbeiter im Sinne dieses Vertrags ist der Zahlungsdienstleister Stripe; er verarbeitet nur Zahlungsdaten des Verantwortlichen selbst und handelt als eigener Verantwortlicher.

§ 7 – Übermittlung in Drittländer

Die Anwendungs- und Suchdatenbanken des Auftragsverarbeiters liegen in Deutschland. Die GPT-Inferenz über Azure erfolgt innerhalb der EU Data Zone. Mistrals globaler API-Endpunkt sichert dagegen keinen bestimmten Inferenzstandort zu. Für Übermittlungen in Drittländer gelten die Garantien der jeweiligen Anbietervereinbarungen, insbesondere die Standardvertragsklauseln in Mistrals Auftragsverarbeitungsvertrag und Microsofts DPA. Die Beschränkung der GPT-Inferenz über Azure ersetzt keine Prüfung weiterer Anbieter- und Betriebsverarbeitung. Informationen zu den einschlägigen Garantien stellt der Auftragsverarbeiter auf Anfrage zur Verfügung.

§ 8 – Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Essen.

Anlage 1 – Technische und organisatorische Maßnahmen

Verschlüsselung der Übertragung: alle Verbindungen per TLS.
Passwörter: nur als Hashwert (scrypt) gespeichert.
Server und Zugang: Server bei Hetzner in Deutschland; Administration nur per SSH-Schlüssel bzw. über ein internes VPN, keine Anmeldung als Administrator mit Passwort.
Zugriffskontrolle in der Anwendung: jedes Konto sieht nur die eigenen Daten; Verwaltungszugriffe werden protokolliert (180 Tage).
Datensicherung: täglich, vor dem Ablegen verschlüsselt, getrennt vom Anwendungsserver gespeichert, 30 Tage aufbewahrt.
Aktualisierung: regelmäßige Sicherheitsupdates von Betriebssystem und Software.
Datensparsamkeit: Sprachaufnahmen werden bei uns nur vorübergehend zur Verarbeitung vorgehalten; die Suchdatenbank enthält keinen Klartext. Azure erhält Text statt Audio; die Speicherung des Antwortverlaufs ist deaktiviert (store=false), die Missbrauchsüberwachung des Anbieters bleibt davon unberührt. Das Vorlesen nutzt die Browser- oder Systemstimme; diese kann je nach Gerät einen Onlinedienst verwenden.
Grenzen, offen gelegt: Die Inhalte in der Datenbank werden nicht zusätzlich inhaltsverschlüsselt gespeichert; ihr Schutz beruht auf der Zugriffsbeschränkung der Server. Externe Penetrationstests finden derzeit nicht statt.

Stand: 10. Oktober 2026

Kontakt bei Fragen zum Datenschutz: datenschutz@bonusflow.de

Auftragsverarbeitungsvertrag (AVV)