Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO · Fassung 2026-11.2
zwischen dem Kunden (Verantwortlicher) und GRETUS Software UG (haftungsbeschränkt), Telgter Str. 16, 48324 Sendenhorst (Auftragsverarbeiter).
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Kunden den KI-Assistenten GRETUS® bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Der Vertrag gilt für die Dauer der Nutzung, einschließlich der kostenlosen Testphase.
2. Art und Zweck der Verarbeitung
Speichern, Auswerten und Erzeugen von Inhalten mithilfe von KI-Modellen; Abruf und Übertragung von Daten aus und in Dienste, die der Kunde verbindet; Ausführen von Aufgaben eigener Assistenten.
Führen einer Kundenverwaltung für den Kunden: Kontakte, Firmen, Vorgänge, Aufgaben, Notizen und Gesprächsprotokolle, Import und Export als CSV, Anlegen von Vorgängen aus E-Mails des verbundenen Postfachs. Einstufung neuer E-Mails der verbundenen Postfächer durch die KI, ob eine Antwort nötig ist, und Antwortentwürfe auf Anforderung. Erstellen von Angeboten als PDF, Versand nach Freigabe über das verbundene Postfach des Kunden und Übergabe angenommener Angebote als Entwurf an die vom Kunden verbundene Buchhaltung.
3. Art der Daten und Kreis der Betroffenen
Daten: Daten, die der Kunde eingibt, importiert oder über Integrationen zugänglich macht, insbesondere
- Stammdaten: Name, Firma, Funktion, Anschrift, Kundennummer;
- Kontaktdaten: E-Mail-Adresse, Telefonnummer, Website;
- Kommunikationsdaten: E-Mails, Anfragen, Notizen und Gesprächsprotokolle, Aufnahmen und deren Verschriftung;
- Vertrags- und Vorgangsdaten: Vorgänge mit Phase und Wert, Angebote mit Positionen, Preisen und Gültigkeit, Aufgaben mit Fälligkeit und Zuständigkeit;
- Nutzungs- und Protokolldaten der Beschäftigten des Kunden.
Betroffene: Beschäftigte des Kunden; Kunden, Interessenten und deren Ansprechpartner; Lieferanten, Partner und sonstige Geschäftskontakte des Kunden.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, sind nicht Gegenstand der Verarbeitung. Der Kunde gibt sie nicht in GRETUS ein. Patienten- und Mandantendaten gehören nicht in die Kundenverwaltung.
4. Weisungen
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Kunden. Weisungen erteilt der Kunde durch Nutzung und Einstellungen von GRETUS, insbesondere durch die Nutzung der inklusiven KI oder die Wahl eines KI-Anbieters mit eigenem Schlüssel, verbundene Integrationen, Freigaben und Aufbewahrungsfristen sowie Anlegen, Ändern und Löschen von Einträgen in der Kundenverwaltung. Daten an den KI-Anbieter und an verbundene Dienste übermittelt der Auftragsverarbeiter nur auf diese Weisung.
5. Pflichten des Auftragsverarbeiters
- Vertraulichkeit aller mit der Verarbeitung befassten Personen.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 1).
- Unterstützung bei Betroffenenrechten, Meldepflichten und Datenschutz-Folgenabschätzungen.
- Unterstützung bei Anfragen betroffener Personen: Der Kunde kann Kontakte in der Kundenverwaltung selbst exportieren, berichtigen und löschen. Gesprächsverläufe, Freigaben und Mitteilungen, die Angaben zu einem Kontakt enthalten, folgen ihren eingestellten Fristen; Daten in verbundenen Diensten (Postfach, Buchhaltung) löscht der Kunde dort.
- Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden.
- Keine Nutzung von Kundendaten zum Training von KI-Modellen.
6. Unterauftragsverarbeiter
Der Kunde genehmigt die unter Unterauftragsverarbeiter genannten Dienstleister. Über Änderungen informiert der Auftragsverarbeiter mindestens 14 Tage vorher; der Kunde kann aus wichtigem Grund widersprechen.
Für die inklusive KI (KI-Modelle, Wissensdatenbank, Websuche und Sprachfunktionen ohne eigenen Schlüssel des Kunden) setzt der Auftragsverarbeiter Mistral AI SAS, Paris, als Unterauftragsverarbeiter ein. Übermittelt werden nur die Inhalte, die für die jeweilige Antwort oder Aufgabe nötig sind.
KI-Anbieter, bei denen der Kunde einen eigenen Schlüssel hinterlegt, und Dienste, die der Kunde selbst verbindet, beauftragt der Kunde direkt. Für Inhalte, die darüber laufen, sind sie keine Unterauftragsverarbeiter des Auftragsverarbeiters.
7. Löschung und Rückgabe
Nach Vertragsende löscht der Auftragsverarbeiter alle Kundendaten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann jede Person ihre eigenen Daten als Export herunterladen, der Inhaber dazu Firma, Team, das fürs Team freigegebene Wissen und die Kundenverwaltung (Kontakte, Firmen, Vorgänge, Aufgaben, Notizen, Angebote), auch als CSV.
8. Kontrollrechte
Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach.
Anlage 1: Technische und organisatorische Maßnahmen
- Hosting: Laravel Cloud, Rechenzentrum in der EU.
- Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung von Zugangsdaten.
- Zugriff auf Kundendaten nur durch berechtigte Personen, Zwei-Faktor-Anmeldung.
- Trennung der Daten je Kundenkonto.
- Protokollierung aller Aktionen von GRETUS mit Freigaben.
- Änderungen und Löschungen in der Kundenverwaltung durch GRETUS, Angebotsversand und Übergaben an die Buchhaltung nur nach ausdrücklicher Freigabe durch den Nutzer, auch bei selbstständig handelnden Assistenten.
- Verlauf aller Änderungen an Kontakten, Firmen und Vorgängen mit Zeitpunkt und auslösender Person bzw. Assistent.
- Massen-Export der Kundendaten nur durch Inhaber und Admins.
- Regelmäßige Datensicherung.
Der Kunde schließt diesen Vertrag digital unter Einstellungen → Datenschutz ab. Zeitpunkt und Fassung werden gespeichert.