ChatGeo.
Anmelden

Rechtliches

Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 26. September 2026.

1. Parteien und Geltung

1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die KITech Software UG (haftungsbeschränkt), Wedekindstraße 14, 30161 Hannover, vertreten durch den Geschäftsführer Leon Battel (nachfolgend „Auftragsverarbeiter"), im Auftrag des Kunden (nachfolgend „Verantwortlicher") bei der Nutzung von ChatGeo.

1.2 Er ist Bestandteil des Nutzungsvertrags nach den Allgemeinen Geschäftsbedingungen und gilt für die Dauer dieses Vertrags. Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz vor.

2. Gegenstand, Art und Zweck der Verarbeitung

2.1 Gegenstand ist die Bereitstellung des SEO-Assistenten ChatGeo als Software as a Service. Der Auftragsverarbeiter speichert und verarbeitet die Daten, die der Verantwortliche und die von ihm eingeladenen Personen im Dienst erfassen oder erzeugen.

2.2 Art der Verarbeitung: Erheben, Speichern, Abrufen, Übermitteln an die in Abschnitt 7 genannten Unterauftragsverarbeiter, Löschen und Anonymisieren.

2.3 Zweck: Verwaltung der Organisation und ihrer Mitglieder, Durchführung von SEO-Analysen und Audits, Beantwortung von Fragen durch den KI-Assistenten, Rank-Tracking, Erstellung von Inhaltsentwürfen und Berichten, Versand von Benachrichtigungen, Ermittlung des Verbrauchs sowie Nachweisführung über Änderungen.

3. Art der Daten und Kategorien betroffener Personen

3.1 Arten personenbezogener Daten:

  • Kontodaten: Name, E-Mail-Adresse, gegebenenfalls Profilbild, Zeitpunkt der letzten Anmeldung;
  • Organisationsdaten: Name, Anschrift, Rechnungsadresse, Umsatzsteuer-ID, soweit angegeben;
  • Rollen und Mitgliedschaften in der Organisation;
  • Inhalte: eingegebene Domains, Keywords, Projektbeschreibungen, Chat-Eingaben und -Antworten, Inhaltsentwürfe, soweit diese Personenbezug aufweisen;
  • Nutzungs- und Verbrauchsdaten je Organisation;
  • Nachweisverlauf: handelnde Person, Zeitpunkt, Art der Änderung, IP-Adresse und Browserkennung.

3.2 Betroffene Personen: Beschäftigte und Beauftragte des Verantwortlichen, die den Dienst nutzen, sowie Personen, deren Daten der Verantwortliche in Eingaben aufnimmt.

3.3 Der Verantwortliche nimmt in Chat-Eingaben und Inhaltsentwürfe keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO auf.

4. Weisungen

4.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. Die Weisungen sind durch diesen Vertrag und die Nutzung der Funktionen des Dienstes festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform.

4.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.

5. Pflichten des Auftragsverarbeiters

5.1 Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit.

5.2 Er unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO), bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 32 bis 36 DSGVO). Angemeldete Personen können im Portal eine Auskunft über ihre Daten herunterladen.

5.3 Er informiert den Verantwortlichen unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird.

5.4 Er stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung und zu üblichen Geschäftszeiten.

6. Technische und organisatorische Maßnahmen (Grundzüge)

Der Auftragsverarbeiter trifft Maßnahmen nach Art. 32 DSGVO. In Grundzügen:

  • Mandantentrennung: Jede Organisation ist in der Datenbank durch Zeilenrichtlinien (Row Level Security) abgeschottet; ohne passende Organisationszugehörigkeit werden Zugriffe standardmäßig abgelehnt.
  • Zugangs- und Zugriffskontrolle: Anmeldung über einen selbst betriebenen Anmeldedienst (Logto); Passwörter liegen nur dort. Rollen Inhaber, Admin und Mitglied begrenzen Berechtigungen innerhalb der Organisation. Sitzungs-Cookies sind für Skripte im Browser nicht lesbar.
  • API-Schlüssel: werden nur als kryptografischer Hash gespeichert und können jederzeit widerrufen werden.
  • Übertragung: Verbindungen zum Dienst sind per TLS verschlüsselt.
  • Speicherort: Hosting der Anwendung und des Anmeldedienstes auf Servern in Deutschland; Datenbank in der Region Frankfurt.
  • Nachvollziehbarkeit: Änderungen werden in einem Nachweisverlauf festgehalten, der nachträglich nicht verändert werden kann.
  • Löschung: Nach einer Löschung werden Daten nach 30 Tagen anonymisiert; der Personenbezug wird entfernt.
  • Datenminimierung bei Fehlerberichten: Fehlerprotokolle werden ohne Standard-Personendaten erfasst.

Eine ausführlichere Beschreibung der Maßnahmen stellt der Auftragsverarbeiter auf Anfrage zur Verfügung: [vom Anbieter zu ergänzen]. Allgemeine Informationen bietet die Seite Sicherheit.

7. Unterauftragsverarbeiter

7.1 Der Verantwortliche stimmt dem Einsatz der auf der Seite „Unterauftragsverarbeiter" genannten Dienstleister zu.

7.2 Der Auftragsverarbeiter informiert den Verantwortlichen vorab über beabsichtigte Änderungen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von [vom Anbieter zu ergänzen] widersprechen.

7.3 Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht. Bei Übermittlungen in Drittländer stützt er sich auf einen Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, oder auf Standardvertragsklauseln.

8. Löschung und Rückgabe

8.1 Nach Ende des Vertrags kann der Verantwortliche seine Daten exportieren. Anschließend löscht oder anonymisiert der Auftragsverarbeiter die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

8.2 Die Anonymisierung erfolgt 30 Tage nach der Löschung. Die Struktur des Nachweisverlaufs bleibt ohne Personenbezug erhalten.

9. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.