ANHANG ZUR AUFTRAGSVERARBEITUNG (DPA)

---

1. Einleitung

1.1. Der vorliegende Anhang ist untrennbarer Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) und legt die gemäß Artikel 28 Absatz 3 der DSGVO vorgeschriebenen inhaltlichen Elemente zwischen dem Dienstanbieter und dem Nutzer fest.

1.2. Der Anhang tritt mit der Annahme der AGB auf elektronischem Wege ohne gesonderte Unterzeichnung in Kraft [Artikel 28 Absatz 9 der DSGVO] und bleibt während der gesamten Vertragslaufzeit gültig.

1.3. Die im Anhang verwendeten Begriffe haben – sofern nichts anderes bestimmt ist – die in den AGB und in der Datenschutzerklärung von LivePly festgelegte Bedeutung.

1.4. Der Anhang bezieht sich ausschließlich auf die Verarbeitung der personenbezogenen Daten der Endnutzer im Auftrag des Nutzers. Die eigenen Datenverarbeitungsvorgänge des Dienstanbieters (Daten des Nutzers, Rechnungsstellung, Newsletter sowie die Protokollierung gemäß Ziffer 2.3) werden durch die Datenschutzerklärung geregelt.

---

2. Die Rolle der Parteien

2.1. Verantwortlicher ist der Nutzer, der die Zwecke und Mittel der Datenverarbeitung über die Einstellungen des Chatbots, dessen Wissensdatenbank sowie die Kundenkommunikation auf seiner eigenen Benutzeroberfläche festlegt. Auftragsverarbeiter ist der Dienstanbieter, der die Daten ausschließlich gemäß den dokumentierten Anweisungen des Nutzers und in dem für die Erbringung der Dienstleistung erforderlichen Umfang verarbeitet.

2.2. Auch hinsichtlich der Generierung von KI-Antworten handelt der Dienstanbieter ausschließlich als Auftragsverarbeiter: Die Zwecke der Verarbeitung und die wesentlichen Mittel werden auch in diesem Zusammenhang vom Nutzer festgelegt (Einstellungen, Systemaufforderungen/Persona, Wissensdatenbank, sonstige Konfigurationen); die KI generiert die Antworten ausschließlich auf der Grundlage des so vorgegebenen Kontexts. Zwischen den Parteien besteht hinsichtlich der Verarbeitung der Daten der Endnutzer kein Rechtsverhältnis als gemeinsame Verantwortliche (Artikel 26 DSGVO).

2.3. Die Tätigkeit des Dienstanbieters als eigenständiger Verantwortlicher. Der Dienstanbieter verarbeitet einen begrenzten Umfang an Endnutzerdaten nicht im Auftrag des Nutzers, sondern unter seiner eigenen Verantwortung als Verantwortlicher. Dazu gehören in erster Linie die Betriebs- und Geräteaufrufprotokolle, die Sicherheits- und Zugriffsprotokolle, das Protokoll zur Anzeige der Endnutzer-Informationen sowie jene Daten, die zur Untersuchung eines möglichen Missbrauchs erforderlich sein könnten. Die Verarbeitung dieser Daten beruht auf dem berechtigten Interesse am sicheren, stabilen und ordnungsgemäßen Betrieb des Dienstes [Artikel 6 Absatz 1 Buchstabe f DSGVO].

Der genaue Inhalt der zu diesem Kreis gehörenden Daten, die Rechtsgrundlage für die Datenverarbeitung sowie die Aufbewahrungsfrist sind in den Punkten 5.3a–5.3b der Datenschutzerklärung festgelegt. Der Dienstanbieter erstellt aus diesen Daten kein vom Nutzer unabhängiges, eigenständiges Kundenregister, verwendet die Daten nicht zu Marketingzwecken und nutzt sie weder zum Trainieren eigener noch von Dritten betriebener Modelle künstlicher Intelligenz noch gibt er sie zu diesem Zweck weiter. Er verwendet diese Daten ausschließlich für Zwecke, die für den Betrieb und die Sicherheit des Dienstes erforderlich sind.

In diesem Zusammenhang erfüllt der Dienstanbieter die Informationspflichten gemäß den Artikeln 13–14 der DSGVO gegenüber den Endnutzern unmittelbar durch eine gesonderte Datenschutzerklärung, die auf seiner Website veröffentlicht ist.

---

3. Gegenstand, Dauer, Art und Zweck der Verarbeitung

3.1. Gegenstand: Die Verarbeitung der von den Endnutzern über den auf der Benutzeroberfläche des Nutzers betriebenen Chatbot eingegebenen bzw. während der Nutzung anfallenden personenbezogenen Daten.

3.2. Dauer: die gesamte Laufzeit des Vertrags, mit Ausnahme der in Punkt 8 genannten Fälle.

3.3. Art und Zweck: automatisierte (KI-basierte) und/oder von Live-Mitarbeitern durchgeführte Kundenkommunikation, die Generierung von KI-Antworten, die Speicherung von Unterhaltungen und angehängten Dateien sowie die Verarbeitung der Wissensdatenbank (einschließlich der Verarbeitung zum Zwecke des Embeddings).

3.4. Betroffene Personen: Natürliche Personen, die mit dem Chatbot kommunizieren (Endnutzer).

3.5. Datenkategorien: Nachrichten und Antworten; Metadaten der Konversation (Zeitpunkt, Sitzungs-ID); der Inhalt und die Metadaten der angehängten Datei (Bild: jpg, png, webp, gif; Dokument: PDF, Word/docx, Excel/xlsx) (Dateiname, Typ, Größe, Zeitpunkt des Anhängens); sonstige personenbezogene Daten, die der Endnutzer freiwillig mitteilt. Der Inhalt der Datei wird ausschließlich vom Endnutzer bestimmt; der Dienstanbieter führt keine Vorabprüfung durch; die Datei kann auch Daten Dritter sowie besondere Daten im Sinne von Artikel 9 der DSGVO enthalten (Punkt 6.3).

3.6. Erkennung von Kontaktdaten. Der Chatbot kann die im Gespräch angegebenen Kontaktdaten (Name, Telefonnummer, E-Mail-Adresse) automatisch erkennen, extrahieren und in strukturierter Form dem Gespräch zuordnen; die Namenserkennung kann auch unter Einbeziehung eines KI-Modellanbieters durch Schlussfolgerungen aus dem Inhalt der Unterhaltung erfolgen. Dieser Vorgang bleibt im Rahmen des in Punkt 3.5 genannten Datenkreises und stellt keinen eigenständigen Zweck dar, der über die in Punkt 4.1 genannten Anweisungen hinausgeht. Die so ermittelten Lead-Daten bilden einen eigenständigen Datenbereich, der getrennt von der Konversation mit einer eigenen Aufbewahrungsfrist und über einen eigenen Löschpfad zu verwalten ist (4.5a.).

3.7. Verwaltung angehängter Dateien. a) Bilder werden – zusammen mit der Textnachricht – zum Zweck der Antwortgenerierung an den in Anhang 1 genannten KI-Modellanbieter weitergeleitet, jedoch ausschließlich dann, wenn das aufgerufene Modell für die Bildverarbeitung geeignet ist. b) Der Inhalt eines Dokuments wird nicht an den Modellanbieter weitergeleitet; der Dienst führt keine OCR-, Inhalts- oder Embedding-Verarbeitung daran durch. Das Dokument wird ausschließlich gespeichert und kann von den berechtigten Mitarbeitern des Nutzers eingesehen werden. c) Die Aufbewahrungsdauer der Datei entspricht der Dauer der Konversation (Punkt 4.5a). d) Der Nutzer kann das Anhängen von Bildern und Dokumenten im Admin-Bereich separat deaktivieren; die Deaktivierung erfolgt gemäß der in Punkt 4.1 dokumentierten Anleitung. Standardmäßig sind beide Funktionen aktiviert.

Diese Vorgänge bleiben im Rahmen des in Punkt 3.3 genannten Zwecks und stellen keinen eigenständigen Zweck der Datenverarbeitung dar.

---

4. Pflichten des Auftragsverarbeiters (Dienstanbieters)

4.1. Verarbeitung auf Anweisung. Der Dienstanbieter verarbeitet die Daten ausschließlich gemäß den dokumentierten Anweisungen des Nutzers; die Chatbot-Einstellungen (Wissensdatenbank, Fallback, MCP-Integration, Anhangseinstellungen) gelten als dokumentierte Anweisungen. Sollte der Dienstanbieter gesetzlich zu einer abweichenden Datenverarbeitung verpflichtet sein, wird er Sie – sofern keine anderslautenden gesetzlichen Bestimmungen vorliegen – vorab darüber informieren.

4.2. Vertraulichkeit. Die zur Datenverarbeitung befugten Mitarbeiter und Mitwirkenden haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlich vorgeschriebenen Geheimhaltungspflicht.

4.3. Datensicherheit. Der Dienstanbieter wendet technische und organisatorische Maßnahmen gemäß Artikel 32 der DSGVO an, insbesondere: auf Mandantenebene getrennte Datenbankschemata; Datenübertragung über verschlüsselte Kanäle; Speicherung von Passwörtern als nicht rückverfolgbare kryptografische Hashwerte (Argon2); verschlüsselte Speicherung (AES-256-GCM) von Zugriffsschlüsseln und Tokens; Gewährleistung des Zugriffs nach dem Prinzip der geringsten Berechtigung. Die vollständige Beschreibung finden Sie in Punkt 10 der Datenschutzerklärung.

4.4. Unterauftragsverarbeiter. Der Nutzer erteilt eine allgemeine Ermächtigung zur Inanspruchnahme der in Anhang 1 aufgeführten Unterauftragsverarbeiter. Über eine Erweiterung dieses Kreises informiert der Dienstanbieter mindestens 30 Kalendertage vor der geplanten Einführung im Voraus durch eine Änderung des Anhangs; sollte der Nutzer die Erweiterung nicht akzeptieren, kann er während dieses Zeitraums sein Kündigungsrecht gemäß den Allgemeinen Geschäftsbedingungen ausüben. Der Dienstanbieter erlegt den Unterauftragsverarbeitern dieselben Datenschutzverpflichtungen auf, die für ihn selbst gelten. Wenn der Nutzer die Erweiterung beanstandet und aus diesem Grund kündigt, erstattet der Dienstanbieter die für den nicht genutzten Zeitraum im Voraus gezahlte Gebühr anteilig zurück (AGB, Ziffern 18.3 und 9.3).

4.5. Rechte der betroffenen Personen. Der Dienstanbieter unterstützt den Nutzer – über die Funktionen des Admin-Bereichs (Löschen von Unterhaltungen, Entfernen von Inhalten aus der Wissensdatenbank) – im Rahmen des Zumutbaren bei der Erfüllung von Anträgen betroffener Personen.

4.5a. Aufbewahrungsfrist. Die Aufbewahrungsfrist für Chats und angehängte Dateien legt der Nutzer über die Admin-Oberfläche für jeden Chatbot einzeln fest (1–3.650 Tage); diese Einstellung gilt als dokumentierte Anweisung gemäß Punkt 4.1. Mangels einer solchen Einstellung beträgt die Standardaufbewahrungsfrist 180 Tage; danach erfolgt die automatische Löschung. Die Aufbewahrungsdauer für Lead-Daten legt der Nutzer davon unabhängig ebenfalls für jeden Chatbot einzeln fest; die Standardeinstellung beträgt 12 Monate, die einstellbare Obergrenze 24 Monate, danach erfolgt eine automatische Löschung. Die Lead-Daten bleiben auch nach der Löschung der Unterhaltung erhalten und werden über einen separaten Löschpfad gelöscht. Im Gesundheitsmodus beträgt die Aufbewahrungsfrist maximal 30 Tage; diese Begrenzung wird vom Dienstanbieter technisch erzwungen, und das Speichern einer höheren Einstellung ist nicht möglich. Für die Zweckbindung und Rechtfertigung der gewählten Dauer ist der Nutzer als Datenverantwortlicher verantwortlich; der vom Dienstanbieter auf der Benutzeroberfläche angezeigte Hinweis berührt diese Verantwortung nicht und teilt sie nicht. Das Protokoll der dem Endnutzer angezeigten Informationen (Anzeigeprotokoll) – zum Nachweis der Rechenschaftspflicht [Artikel 5 Absatz 2 DSGVO] — wird unabhängig von der Löschung der Unterhaltung für einen vom Dienstanbieter zu diesem Zweck festgelegten Zeitraum, der jedoch mindestens der Aufbewahrungsfrist der betreffenden Unterhaltung entspricht, mindestens jedoch 365 Tage lang aufbewahrt. Die Mitwirkungs- und Nachweispflicht sowie die Rechte der betroffenen Person erstrecken sich nur auf Daten, die zum Zeitpunkt des Antrags tatsächlich im aktiven System vorhanden sind. Der Dienstanbieter erstellt eine Sicherheitskopie des Systems, deren Aufbewahrungsfrist 30 Tage beträgt; die Löschung in den Sicherungskopien erfolgt nach Ablauf dieser Frist, d. h. mit dem Ablauf der Sicherungskopie. Der Dienstanbieter stellt sicher, dass im Falle einer Wiederherstellung die zuvor gelöschten Daten nicht erneut verarbeitet werden. Die gelöschten Daten können aus dem Live-System nicht abgerufen und nicht zurückgegeben werden; daher trifft den Dienstanbieter in diesem Zusammenhang keine Haftung.

4.6. Mitwirkung. Der Dienstanbieter unterstützt den Nutzer – unter Berücksichtigung der ihm zur Verfügung stehenden Informationen – bei der Erfüllung seiner Verpflichtungen gemäß den Artikeln 32–36 der DSGVO und informiert die Endnutzer über Datenschutzvorfälle, die sie betreffen, innerhalb von 48 Stunden nach Bekanntwerden.

4.7. Löschung oder Rückgabe bei Beendigung des Vertrags. Nach Beendigung des Vertrags löscht der Dienstanbieter – je nach Wahl des Nutzers – die Daten oder übergibt sie in einem exportierbaren Format. Die verbleibenden Daten werden zu dem vom Nutzer angegebenen Zeitpunkt, andernfalls innerhalb von 30 Tagen, gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Bei einer Kündigung während der Probezeit und vor Fälligkeit der Gebühr löscht der Dienstanbieter die Daten – gemäß Ziffer 14.6 der AGB – unverzüglich.

4.8. Nachweis. Der Dienstanbieter stellt die zur Nachweisführung der Erfüllung seiner Verpflichtungen erforderlichen Informationen zur Verfügung und ermöglicht – in Form von Unterlagen – deren Überprüfung. Diese Vorgehensweise schränkt die gesetzlich begründeten Rechte des Nutzers nicht ein; im Falle einer behördlichen Anfrage kooperiert der Dienstanbieter im erforderlichen Umfang.

---

5. Internationale Datenübermittlung

Wenn der Einsatz von Unterauftragsverarbeitern mit einer Übermittlung außerhalb der EU verbunden ist, wendet der Dienstanbieter die Garantien gemäß Kapitel V der DSGVO (Angemessenheitsbeschluss, SCC) an, wie in den Punkten 4.2 und 9 der Datenschutzerklärung dargelegt. Dies gilt auch für die Bildübermittlung gemäß Punkt 3.7. a): Diese erfolgt im Rahmen des bereits für Textnachrichten genutzten Datenflusses, an denselben Dienstleister und unter denselben Garantien.

Der Modell-Endpunkt des Nutzers fällt nicht in diesen Bereich: Die Übermittlung an diesen erfolgt auf der Grundlage der eigenen Entscheidung des Nutzers als Datenverantwortlicher (Punkt 6.4).

---

6. Pflichten des Nutzers (Datenverantwortlichen)

6.1. Der Nutzer versichert, dass er über eine angemessene Rechtsgrundlage für die Datenverarbeitung verfügt und dass seine Anweisungen der DSGVO entsprechen.

6.2. Der Nutzer ist dafür verantwortlich, die Endnutzer angemessen zu informieren – einschließlich des Anhängens von Dateien und der Verarbeitung gemäß Punkt 3.7 – durch Verweis auf seine eigene Datenschutzerklärung bzw. auf die Datenschutzerklärung von LivePly.

6.3. Der Nutzer ist für die ordnungsgemäße Konfiguration des Chatbots gemäß den Punkten 5.6. (Daten von Kindern) und 5.7. (Besondere Datenkategorien) der Datenschutzerklärung verantwortlich, einschließlich der Prüfung, ob eine Einschränkung oder Sperrung des Anhängens von Dateien gerechtfertigt ist (3.7. d)).

6.4. Benutzer-Modell-Endpunkt. Wenn der Nutzer einen eigenen Modell-Dienstanbieter-Zugang (API-Schlüssel) oder einen eigenen Modell-Endpunkt einrichtet, erfolgt die Übermittlung an diesen nach eigenem Ermessen des Nutzers als Datenverantwortlicher und ist nicht Teil der Unterauftragsverarbeitungskette des Dienstanbieters. Der Nutzer ist verantwortlich für die Rechtsgrundlage der Übermittlung, für die Garantien gemäß Kapitel V der DSGVO, für den mit dem Dienstanbieter abzuschließenden Vertrag gemäß Artikel 28 der DSGVO sowie für die Richtigkeit der Angabe zur Bildverarbeitungsfähigkeit des Modells (diese bestimmt die Bildübermittlung gemäß 3.7. a)). Der Dienstanbieter überprüft die Datenverarbeitungspraktiken des Endpunkts nicht und hat darauf keinen Einfluss.

---

7. Haftung

7.1. Für die Haftung aus Verstößen gegen diesen Anhang gilt Ziffer 12 der AGB, einschließlich der Betragsgrenzen gemäß Ziffer 12.1, der Ausschlüsse gemäß Ziffer 12.3, der Ausnahmen gemäß Ziffer 12.4 und der Regeln zur Geltendmachung von Ansprüchen gemäß Ziffer 12.12.

7.2. Die Entschädigung gemäß Ziffer 12.11 der AGB findet auch in diesem Zusammenhang Anwendung: Wenn der Endnutzer oder ein anderer Dritter seinen Anspruch im Zusammenhang mit der Datenverarbeitung – einschließlich eines direkt gegenüber dem Dienstanbieter geltend gemachten Anspruchs – aus einem Grund geltend macht, der auf die Anweisungen des Nutzers, seinen Chatbot-Einstellungen, seiner Wissensdatenbank, seinen hochgeladenen Inhalten, seinen Erklärungen im Zusammenhang mit der generierten Information, der Nutzung des Benutzer-Modell-Endpunkts oder seiner Aufsichtspflichtverletzung resultiert, ist der Nutzer verpflichtet, den Dienstanbieter schadlos zu halten.

7.3. Ziffer 7.2 berührt nicht die gesetzlich festgelegte Haftungsaufteilung gegenüber der betroffenen Person gemäß Artikel 82 der DSGVO und – gemäß Ziffer 12.11. (4) der AGB – nicht auf den Teil des Anspruchs, der in den eigenen Verantwortungsbereich des Dienstanbieters fällt (Ziffern 12.4 und 12.5 (5) der AGB).

7.4. Im Falle eines Nutzer-Modell-Endpunkts gelten Ziffer 6.4 und § 12.10 Absatz (2) der AGB.

---

8. Geltungsbereich und anwendbares Recht

8.1. Der Anhang tritt gleichzeitig mit den AGB in Kraft und erlischt mit diesen, mit Ausnahme der Bestimmungen nach Beendigung gemäß Ziffer 4.7.

8.2. Für den Anhang gelten die in Ziffer 18 der AGB genannten Rechtsvorschriften sowie die DSGVO.

---

Anhang Nr. 1 – Liste der Unterauftragsverarbeiter

Die Tabelle listet die Unterauftragsverarbeiter auf, die die personenbezogenen Daten der Endnutzer tatsächlich verarbeiten. Eine vollständige Liste, die alle Datenverarbeitungsvorgänge des Dienstanbieters umfasst, finden Sie in Punkt 9 der Datenschutzerklärung; die dort aufgeführten, hier nicht genannten Unterauftragnehmer (Stripe, Szamlazz.hu, Mailjet, Buchhaltungsdienstleister) stehen im Zusammenhang mit der Datenverarbeitung des Dienstanbieters in seiner Eigenschaft als Datenverantwortlicher; sie verarbeiten keine Endnutzerdaten. Der Nutzer-Modell-Endpunkt (Punkt 6.4) ist nicht aufgeführt, da der Dienstanbieter sich in diesem Zusammenhang nicht auf einen Unterauftragsverarbeiter stützt.

Der Dienstanbieter kann künftig weitere Anbieter von KI-Modellen in Anspruch nehmen; hierfür gilt das Verfahren gemäß Ziffer 4.4.

Der Anhang wird gemäß dem in Ziffer 4.4 festgelegten Verfahren aktualisiert, sobald sich der Kreis der Unterauftragsverarbeiter ändert.