Stand: 13.10.2026
Hinweis: Diese Texte sind eine sorgfältig erstellte Vorlage, ersetzen aber keine Rechtsberatung. Bitte vor dem produktiven Betrieb juristisch prüfen lassen.
Dieser Vertrag gilt zwischen dem Geschäftskunden (Verantwortlicher) und Sebastian Oczachowski (Auftragsbearbeiterin) für die Bearbeitung von Personendaten über fascis, gemäss Art. 9 DSG und Art. 28 DSGVO. Er wird mit Annahme der Nutzungsbedingungen durch einen Geschäftskunden Vertragsbestandteil. Auf Wunsch stellen wir eine unterzeichnete Fassung bereit.
1. Gegenstand und Dauer
Gegenstand ist die Bereitstellung der Plattform: Speicherung von Unterhaltungen und Dateien, Weiterleitung von Anfragen an KI-Modelle, Websuche und Team-Funktionen. Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Betroffene Personen und Datenarten
Betroffen sind Mitarbeitende und Beauftragte des Kunden sowie Personen, deren Daten der Kunde in Eingaben oder Dateien verwendet. Datenarten: Kontaktdaten, Inhalte von Eingaben, Ausgaben und Dateien, Nutzungs- und Protokolldaten. Besonders schützenswerte Daten nur, soweit der Kunde sie eingibt; dafür ist er verantwortlich.
3. Keine Verwendung für Training
Wir verwenden Kundendaten nicht zum Training von KI-Modellen und wählen für das Routing bevorzugt Anbieter, deren Bedingungen ein Training mit API-Daten ausschliessen. Pro Modell sind Region, Aufbewahrung und Trainingsrichtlinie in der App einsehbar.
4. Ort der Verarbeitung
Hosting: Hetzner Online GmbH – Hosting, Datenbank, Speicher – Deutschland. KI-Anfragen werden – je nach Modell – bei den unten genannten Anbietern verarbeitet.
5. Unterauftragsverarbeiter
Der Kunde erteilt eine allgemeine Genehmigung für den Beizug der folgenden Unterauftragsverarbeiter. Über neue Unterauftragsverarbeiter informieren wir vorab; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall beenden.
| Dienstleister | Zweck | Ort der Verarbeitung | Hinweise |
|---|---|---|---|
| Hetzner Online GmbH | Hosting, Datenbank, Speicher | Deutschland | |
| OpenRouter | Weiterleitung von KI-Anfragen an Modellanbieter | EU (In-Region-Routing – Anfragen und Antworten verlassen die EU nicht) | Aufbewahrung: Provider dependent · Training: Provider dependent |
| ALL-INKL.COM (Neue Medien Münnich) | Versand von System-E-Mails | Deutschland |
6. Bekanntgabe ins Ausland
Übermittlungen in Staaten ohne angemessenes Datenschutzniveau erfolgen nur auf Grundlage geeigneter Garantien, insbesondere Angemessenheitsbeschlüssen (z. B. Data Privacy Framework) oder Standardvertragsklauseln samt den für die Schweiz nötigen Anpassungen.
7. Technische und organisatorische Massnahmen
- Vertraulichkeit: strikte Mandantentrennung, rollenbasierte Berechtigungen, Zugriff auf Kundendaten nur soweit für Betrieb und Support erforderlich.
- Verschlüsselung: TLS bei der Übertragung; Provider-Schlüssel AES-256-GCM-verschlüsselt; Passwörter und API-Keys nur als Hash.
- Integrität: unveränderliche Abrechnungs- und Audit-Protokolle, Validierung aller Eingaben, Schutz vor CSRF, SSRF und Schadcode in Uploads.
- Verfügbarkeit: redundante Infrastruktur des Hosting-Anbieters, automatische Ausweichrouten bei Ausfall eines Modellanbieters, Datensicherungen.
- Datensparsamkeit: konfigurierbare Aufbewahrungsfristen bis hin zu „Zero Retention“; Server-Logs ohne Prompt-Inhalte.
- Kontrolle: regelmässige Überprüfung der Massnahmen und dokumentierte Prozesse für Sicherheitsvorfälle.
8. Pflichten der Auftragsbearbeiterin
Wir bearbeiten Daten nur auf dokumentierte Weisung des Kunden (die Nutzung der Plattform gilt als Weisung), verpflichten unsere Mitarbeitenden zur Vertraulichkeit, unterstützen den Kunden bei Anfragen betroffener Personen und bei Datenschutz-Folgenabschätzungen und melden Verletzungen der Datensicherheit unverzüglich, möglichst innerhalb von 72 Stunden nach Kenntnis.
9. Kontrollrechte
Der Kunde kann sich nach vorheriger Ankündigung und in angemessenem Umfang von der Einhaltung dieses Vertrags überzeugen, vorrangig durch Einsicht in Dokumentationen und Nachweise.
10. Löschung und Rückgabe
Nach Vertragsende werden Kundendaten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann der Kunde seine Daten jederzeit über die Exportfunktion herunterladen.
11. Kontakt
Weisungen, Meldungen und Anfragen zu diesem Vertrag: support@fascis.eu