OpsBots
Kostenlos testenAnmeldenEN

OpsBots — Auftragsbearbeitungsvertrag

Von der CHK GmbH selbst verfasst; nicht anwaltlich geprüft.

1. Parteien, Umfang und Dauer

Dieser Vertrag ist Teil des OpsBots-Geschäftsvertrags. Der im Auftrag bezeichnete Kunde ist Verantwortlicher und die im Impressum bezeichnete CHK GmbH seine Auftragsbearbeiterin für Kundeninhalte. Ist der Kunde selbst Auftragsbearbeiter, benötigt er die Befugnis des Verantwortlichen, CHK als Unterauftragsbearbeiterin einzusetzen und dessen Weisungen weiterzugeben. Der Vertrag gilt während des Dienstes und solange CHK Personendaten im Kundenauftrag aufbewahrt. Er behandelt Artikel 9 des Schweizer Datenschutzgesetzes und, soweit anwendbar, Artikel 28 DSGVO; er ist keine Zertifizierung.

Eigene Bearbeitungen von CHK für Konto, Abrechnung und Sicherheit stehen in der Datenschutzerklärung. Diese Zwecke erlauben CHK keine anderweitige Nutzung von Kundengesprächen.

2. Bearbeitungsbeschreibung und Weisungen

Zweck sind die gewählten Funktionen für Wissenssuche, KI-Antworten und Kundendienst. Vorgänge umfassen Empfang, Speicherung, Extraktion, Indexierung, Suche, Erzeugung von Antworten und Entwürfen, Anzeige für berechtigte Nutzer, Übergabe an Mitarbeitende, Export und Löschung. Die Bearbeitung erfolgt fortlaufend während aktivierter Funktionen. Verbundene Postfächer betreffen relevante Nachrichten und Metadaten, keine Erlaubnis zur Nutzung sämtlicher Postfachinhalte für andere Zwecke. Sobald WhatsApp angeboten wird, betrifft eine verbundene WhatsApp-Nummer die in der Datenschutzerklärung genannten Nachrichten, Profilnamen, Telefonnummern, Kennungen und Zustellstatus; Meta stellt sie als eigener Auftragsbearbeiter des Kunden nach dessen Vertrag mit Meta zu, nicht als Unterauftragsbearbeiter von CHK.

Daten können Kontakt- und Geschäftsangaben, Dokumenttexte, Korrespondenz, Fragen, Antworten, Bewertungen, Einwilligungsnachweise, Kontakteinträge, Kennungen und technische Metadaten umfassen. Betroffene können Mitarbeitende, Kunden, Interessenten, Lieferanten und weitere in den Inhalten erwähnte Personen sein. Auftrag, verbundene Quellen und dokumentierte Einstellungen bestimmen den Umfang. Sensible oder berufsgeheimnisgeschützte Daten sind ohne gesonderte Prüfung und ausdrückliche Vereinbarung geeigneter Schutzmassnahmen ausgeschlossen. Für ein Postfach gibt der Kunde diese ausdrückliche Vereinbarung, indem er in OpsBots die zweite Form der Erklärung S4 bestätigt (ein Postfach für besonders schützenswerte Personendaten oder für Angelegenheiten unter Berufsgeheimnis), zu den Bedingungen in Abschnitt 7 der Datenschutz-Folgenabschätzung für E-Mails. Die CHK GmbH und ihre Mitarbeitenden handeln dann als Hilfspersonen des Kunden und behandeln diese Angelegenheiten vertraulich (Art. 62 DSG; Art. 321 StGB).

Vertrag, berechtigte Einstellungen und schriftliche Supportanweisungen gelten als dokumentierte Weisungen. CHK bearbeitet Daten einschliesslich Übermittlungen nur danach, sofern nicht anwendbares Recht etwas anderes verlangt. CHK informiert den Kunden vorher über eine solche Pflicht, soweit dies rechtlich zulässig ist. Erscheint eine Weisung rechtswidrig, weist CHK darauf hin und pausiert die betroffene Bearbeitung bis zur Klärung. Kundeninhalte sind nicht für allgemeines Modelltraining oder Werbung lizenziert.

Der Kunde stellt rechtmässige Daten, erforderliche Hinweise und Berechtigungen bereit, vergibt Rollen und hält Weisungen aktuell. Weitere rechtmässige Weisungen können an support@opsbots.ch gerichtet werden. Wesentliche Leistungsänderungen können eine zusätzliche Vereinbarung benötigen; gesetzliche Unterstützungspflichten dürfen jedoch nicht allein wegen eines fehlenden neuen Auftrags verweigert werden.

3. Vertraulichkeit und Schutzmassnahmen

CHK beschränkt den Zugriff auf berechtigte Personen, die ihn benötigen und zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Geheimhaltungspflicht unterliegen. Zugriff hat derzeit nur die Geschäftsführung von CHK; jede weitere Person und jeder Auftragnehmer, dem CHK Zugriff gewährt, unterzeichnet vorher eine schriftliche Vertraulichkeitsverpflichtung. Die Software bietet folgende Schutzmassnahmen:

CHK unterhält risikogerechte Massnahmen und schwächt den vereinbarten Schutz nicht wesentlich ab. Bevor die ersten Kundendaten bearbeitet werden, prüft CHK die Produktionsumgebung auf Transportverschlüsselung, Datenbank- und Backupverschlüsselung, Schlüsselverwaltung, minimale Zugriffsrechte und einen Wiederherstellungstest und bewahrt die Nachweise auf. ISO-, SOC- oder andere Zertifizierungen werden nicht behauptet.

4. Anbieter und Änderungen

Der Kunde erteilt eine allgemeine Genehmigung für die in der Anbieterliste genannten Auftragsbearbeiter, mit der dort angegebenen Rolle, Gesellschaft, Bearbeitungsort und Garantie. Ein Dienst, den die Liste als noch nicht verfügbar bezeichnet, ist von dieser Genehmigung nicht erfasst. CHK verpflichtet Unterauftragsbearbeiter vertraglich zu gleichwertigen Datenschutzpflichten und bleibt für deren Erfüllung verantwortlich.

CHK informiert mindestens 30 Tage vor einer geplanten Ergänzung oder Ersetzung, die Kundendaten betrifft. Der Kunde kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen eine tragfähige Alternative; fehlt sie, beginnt die betroffene Bearbeitung nicht und jede Partei kann diesen Teil des Dienstes beenden. Nicht verbrauchte Vorauszahlungen dafür werden innert 30 Tagen zurückerstattet. CHK versendet diese Mitteilungen per E-Mail an die Inhaberin oder den Inhaber des Arbeitsbereichs und führt die Änderung in der Anbieterliste auf; Widersprüche gehen an support@opsbots.ch.

Ein vom Kunden gesondert beauftragter Postfach- oder Zahlungsanbieter kann dessen Auftragsbearbeiter oder für eigene Zwecke Verantwortlicher sein. Die Nennung verändert diese Rollen nicht und ersetzt seinen Vertrag nicht.

5. Unterstützung und Vorfälle

CHK leitet einschlägige Betroffenenanfragen zeitnah weiter, beantwortet sie ohne Weisung nicht im Namen des Kunden, sofern keine gesetzliche Pflicht besteht, und unterstützt mit verfügbaren Informationen und Mitteln bei Auskunft, Berichtigung, Export, Einschränkung und Löschung. CHK unterstützt bei Sicherheitspflichten, Folgenabschätzungen und Behördenkonsultationen unter Berücksichtigung der Bearbeitung und ihrer verfügbaren Informationen.

CHK meldet Verletzungen der Sicherheit von Personendaten des Kunden nach Kenntnis unverzüglich und ohne unangemessene Verzögerung, zunächst spätestens innerhalb von 48 Stunden. CHK wartet nicht auf eine vollständige Untersuchung. Die Mitteilung umfasst bekannten Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, getroffene Schritte und einen Kontakt; fehlende Angaben folgen, sobald verfügbar. CHK unterstützt Eindämmung und Beweissicherung. Über eigene Meldungen an Behörden und Betroffene entscheidet der Kunde; eigene gesetzliche Pflichten von CHK bleiben bestehen. Kontakt für Vorfälle: support@opsbots.ch.

6. Rückgabe, Löschung und Aufbewahrung

Nach Vertragsende gibt CHK nach Wahl des Kunden die Daten in einem vereinbarten nutzbaren Format zurück und löscht verbleibende Kopien, oder löscht ohne Rückgabe, sofern keine gesetzliche Aufbewahrungspflicht besteht. Eine rechtliche Aufbewahrungssperre bleibt auf betroffene Unterlagen begrenzt, trennt sie von normaler Nutzung und endet mit ihrem Grund.

Das Schliessen eines Arbeitsbereichs stoppt Kanäle und setzt das Löschdatum 30 Tage später oder behält ein früheres Löschdatum bei, das nach dem Ende des Abonnements bei Stripe bereits gesetzt war; endet das Abonnement bei Stripe, ohne dass der Arbeitsbereich geschlossen wurde, liegt das Löschdatum 90 Tage nach dem Ende; ein Arbeitsbereich, der nie aktiviert wird, hat ein Löschdatum 14 Tage nach seiner Erstellung, und sein Inhaber wird mindestens drei Tage vorher per E-Mail gewarnt. Bis dahin kann der Kunde Gespräche und Kontakte als CSV-Dateien exportieren und die Rückgabe weiterer Kundendaten verlangen. Bis zur automatisierten Löschung löscht CHK die Kundendaten innert 30 Tagen nach dem Löschdatum manuell, dokumentiert die Löschung (ohne die gelöschten Inhalte) und bestätigt sie auf Anfrage. Dieser Absatz erlaubt keine unbegrenzte Aufbewahrung.

Sicherungskopien werden höchstens 30 Tage aufbewahrt und laufen dann ab. Nach einer Wiederherstellung wendet CHK alle seit der Sicherung erfolgten Löschungen erneut an, bevor die Daten wieder genutzt werden, damit abgelaufene Kundendaten nicht wieder aktiv werden. Der Hostinganbieter bewahrt Wiederherstellungskopien der Datenbank derzeit 3 Tage und manuell erstellte Sicherungen 7 Tage auf. Eigene Kopien der Anbieter folgen den Fristen der Anbieterliste; dazu gehören die Zustellnachweise der eigenen E-Mails von OpsBots bei Scaleway. CHK bestätigt die Löschung auf Anfrage. Standardfristen: Gespräche, Kontakte und Einwilligungsnachweise 12 Monate nach der letzten Aktivität im Gespräch, Auditdaten 24 Monate. Bis zu einer automatischen Bereinigung löscht CHK abgelaufene Einträge mindestens monatlich manuell und dokumentiert jeden Durchgang.

7. Nachweise und Prüfungen

CHK stellt dem Kunden die zur Prüfung dieser Pflichten nötigen Informationen bereit. CHK ermöglicht und unterstützt verhältnismässige Audits einschliesslich Inspektionen durch den Kunden oder einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer. Die Parteien stimmen Termine ab und schützen andere Kundendaten. Dringende Vorfalls- oder Behördenprüfungen werden nicht durch gewöhnliche Vorankündigungsfristen verzögert. Dokumentenprüfung kann der erste Schritt sein, ersetzt aber keine berechtigte Inspektion. Vereinbarte Kosten dürfen gesetzlich erforderliche Prüfungen nicht verhindern. CHK beantwortet Unterstützungs- und Auditanfragen an support@opsbots.ch innert 10 Arbeitstagen oder früher, wenn eine gesetzliche Frist dies verlangt. Übliche Unterstützung und eine dokumentenbasierte Prüfung pro Jahr sind in den Gebühren enthalten. Für Inspektionen vor Ort oder umfangreiche Unterstützung kann CHK angemessene, vorab geschätzte Kosten verlangen, ausser der Bedarf beruht auf einer Pflichtverletzung von CHK oder das Gesetz verlangt kostenlose Unterstützung.

8. Übermittlungen und Vorrang

Die Anbieterliste nennt für jeden Auftragsbearbeiter Gesellschaft, Bearbeitungsort und Übermittlungsgarantie. Kundendaten werden hauptsächlich in Deutschland gespeichert (Render, Frankfurt). Der Anbieter des KI-Modells, Anthropic (US), speichert Daten in den USA und kann das Modell in anderen Ländern ausführen. Suche und E-Mail-Zustellung laufen in Frankreich (Scaleway).

Für Übermittlungen in einen Staat ohne angemessenen Datenschutz stützt sich CHK auf die Auftragsbearbeitungsvereinbarungen seiner Auftragsbearbeiter: das Swiss-U.S. Data Privacy Framework, wo es greift, sonst die EU-Standardvertragsklauseln mit den Anpassungen für die Schweiz. Dieser Vertrag allein ist kein Satz internationaler Standardvertragsklauseln.

Zwingende Übermittlungsbedingungen und gesetzliche Rechte gehen widersprechenden Leistungsbedingungen vor. Nachweise können beim Datenschutzkontakt verlangt werden. DSGVO-Pflichten gelten, soweit die Verordnung anwendbar ist; Schweizer Vertragsrecht beseitigt sie nicht. Im Übrigen gelten die Bedingungen für Geschäftskunden.