Auftragsverarbeitungsvertrag (AVV)

Dieser AVV gilt zwischen Prezio (Auftragsverarbeiter) und dem Kunden (Verantwortlicher), wenn der Kunde Prezio zur Verarbeitung personenbezogener Daten seiner eigenen Endnutzer einsetzt. Er ergänzt (und wird Bestandteil von) den AGB.

1. Gegenstand

Prezio verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Multi-Channel-KI-Agent-Plattform. Verarbeitungsvorgänge umfassen Empfang eingehender Nachrichten, Erzeugung von KI-Antworten, Speicherung von Konversationshistorie, Lead-Generierung, Terminplanung und Versand ausgehender Nachrichten über die integrierten Kanäle.

2. Laufzeit

Die Verarbeitung läuft so lange wie das Abonnement des Verantwortlichen. Nach Kündigung hat der Verantwortliche 30 Tage Zeit für den Datenexport; danach werden alle verarbeiteten Daten hart gelöscht (siehe Datenschutz Punkt 6).

3. Art und Zweck

Automatisierte Verarbeitung zum Betrieb eines KI-Konversations-Agenten im Auftrag des Verantwortlichen, einschließlich: Speicherung von Nachrichteninhalten, Embedding-Erzeugung für retrieval-augmented Antworten, Lead-Klassifikation (BANT-Scoring + ICP-Matching), Routing an Sales-Reps, Terminplanung und Kostentelemetrie.

4. Kategorien betroffener Personen

Personen, die mit den Prezio-betriebenen Agenten des Verantwortlichen interagieren — typischerweise dessen Kunden, Leads, Interessenten und Veranstaltungs-Teilnehmer.

5. Kategorien personenbezogener Daten

Kontaktdaten (Name, E-Mail, ggf. Telefonnummer), Konversationsinhalte (Nachrichten mit dem KI-Agent), Verhaltensdaten (Session-Timing, Channel-Präferenz), abgeleitete Daten (Lead-Score, ICP-Match) und technische Metadaten (IP zum Request-Zeitpunkt, channel-spezifische Identifier wie Twilio MessageSid).

6. Pflichten des Auftragsverarbeiters

Prezio verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Ihre API-Calls und Dashboard-Aktionen SIND die Weisungen). Zugangsberechtigte Personen sind zur Vertraulichkeit verpflichtet. Geeignete TOMs sind eingerichtet — siehe Sicherheits-Seite. Wir unterstützen bei Betroffenenrechten (über Export- und Lösch-Endpoints) und Sicherheitsvorfall-Meldungen ohne schuldhaftes Zögern.

7. Subprozessoren

Der Verantwortliche autorisiert die auf der Subprozessoren-Seite genannten Anbieter. Wir benachrichtigen mindestens 30 Tage vor Hinzunahme oder Austausch eines Subprozessors. Bei begründetem Widerspruch kann der Verantwortliche den betroffenen Workload mit anteiliger Erstattung kündigen.

8. Technische und organisatorische Maßnahmen

Konkrete TOMs siehe Sicherheits-Seite (Verschlüsselung im Ruhezustand und beim Transport, Least-Privilege-IAM, Passwort-Hashing, Audit-Logging, Backup-Strategie, Incident-Response). Der Verantwortliche stimmt zu, dass diese für die Datenkategorien angemessen sind. Bei Bedarf an zusätzlichen Maßnahmen für spezielle Use Cases: Kontakt aufnehmen — Sonderregelungen ggf. im Enterprise-Plan möglich.

9. Rückgabe oder Löschung bei Beendigung

Bei Beendigung des zugrunde liegenden Service-Vertrags hat der Verantwortliche 30 Tage Zeit, seine Daten über Konto → Export herunterzuladen. Danach werden alle unter diesem AVV verarbeiteten Daten hart gelöscht. Backups mit Daten werden gemäß BACKUP.md-Retention abgeflagged (Lifecycle endet nach 400 Tagen). Anonymisierte Audit-Log-Einträge bleiben wie gesetzlich vorgeschrieben erhalten.