Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: 12.09.2026

zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Markus Künning, Einzelunternehmer, Zoppoter Straße 1, 27576 Bremerhaven (nachfolgend „Auftragsverarbeiter“) über die im Rahmen der Fragfix-AGB vereinbarte Nutzung der Fragfix-Plattform.

1. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten der Website-Besucher des Verantwortlichen durch den Auftragsverarbeiter im Rahmen des Betriebs des Fragfix-Chatbots. Die Dauer entspricht der Laufzeit des Hauptvertrags (AGB).

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter speichert und verarbeitet Chat-Nachrichten von Website-Besuchern des Verantwortlichen zum Zweck der automatisierten Beantwortung von Support-Anfragen, einschließlich der dafür notwendigen Vektorsuche (Embeddings) in den vom Verantwortlichen hochgeladenen Dokumenten.

3. Kategorien betroffener Personen und Daten

Betroffene Personen sind die Besucher der Website des Verantwortlichen, die den Chatbot nutzen. Verarbeitete Datenkategorien: Inhalt der Chat-Nachrichten, technisch gekürzte IP-Adresse (das letzte Oktett bzw. der entsprechende IPv6-Abschnitt wird vor jeder Speicherung durch eine 0 ersetzt – dies ist eine Pseudonymisierungs-/Kürzungsmaßnahme, keine vollständige Anonymisierung im Sinne der DSGVO; die gekürzte IP-Adresse gilt daher weiterhin als personenbezogenes Datum), sowie – nur sofern vom Endnutzer freiwillig angegeben – Kontaktdaten (E-Mail, Telefonnummer), falls diese Funktion für den jeweiligen Bot aktiviert ist. Bewertet ein Website-Besucher eine Bot-Antwort mit 👍/👎, wird zusätzlich der Text der Frage, der Text der Antwort und die Bewertung gespeichert - bewusst ohne Verknüpfung zur Chat-Sitzung, IP-Adresse oder einem sonstigen Besucher-Merkmal (eigene, getrennte Speicherung und Löschfrist, siehe Ziffer 5).

Lokale Zwischenspeicherung im Browser des Website-Besuchers: Damit ein begonnenes Gespräch bei einem Seitenwechsel oder Neuladen nicht sichtbar von vorn beginnt, speichert das Chat-Widget eine Sitzungs-ID sowie die zuletzt ausgetauschten Nachrichten zusätzlich im Sitzungsspeicher (Session Storage) des Browsers der betroffenen Person - rein lokal auf deren Gerät, ohne Übermittlung an den Auftragsverarbeiter oder Dritte darüber hinaus. Dieser lokale Zwischenspeicher verfällt automatisch nach spätestens 30 Minuten Inaktivität oder beim Schließen des Tabs. Der Verantwortliche berücksichtigt dies bei der Erfüllung seiner Informationspflicht nach Ziffer 7.

Konkreter Datenfluss zur Google Gemini API (siehe Unterauftragsverarbeiter unten): Bei jeder Chat-Anfrage werden an Google übermittelt: der Text der aktuellen Nutzernachricht, die letzten bis zu 8 Nachrichten des Gesprächsverlaufs (Klartext) sowie die bei der Dokumentensuche als relevant ermittelten Textausschnitte aus den vom Verantwortlichen hochgeladenen Dokumenten. Beim Hochladen eines Dokuments wird dessen Textinhalt in Ausschnitten zur Erzeugung von Vektor-Embeddings ebenfalls an Google übermittelt. Nicht an Google übermittelt werden: IP-Adresse, Domain, Session-ID, Cookies oder sonstige Stammdaten des Verantwortlichen oder der betroffenen Person - diese verbleiben ausschließlich in der Fragfix-eigenen Datenbank. Fragfix nutzt die Gemini API ausschließlich im kostenpflichtigen Modell mit hinterlegtem Rechnungskonto ("paid tier"). Nach dem zum Stand dieses Vertrags (21.08.2026) öffentlich einsehbaren Stand der Google-Nutzungsbedingungen werden Ein- und Ausgaben aus diesem kostenpflichtigen Modell nicht zum Training oder zur Verbesserung der Google-Modelle verwendet (anders als im kostenlosen Google-AI-Studio-Modus). Maßgeblich sind stets die jeweils aktuellen Nutzungsbedingungen von Google, einsehbar unter ai.google.dev/gemini-api/docs/billing bzw. den dort verlinkten Google-Vertragsdokumenten; ändert Google diese Praxis, gilt die neue Google-Regelung, ohne dass es hierfür einer Anpassung dieses Vertrags bedarf.

Vektor-Embeddings sind eine mathematische, für Menschen nicht lesbare Repräsentation von Textabschnitten, die zur inhaltlichen Ähnlichkeitssuche verwendet wird. Enthält ein Textabschnitt personenbezogene Daten, gilt auch das daraus erzeugte Embedding als Verarbeitung dieser personenbezogenen Daten im Sinne der DSGVO - die Umwandlung in Zahlenwerte bewirkt keine Anonymisierung; eine Rückrechnung auf den exakten Ursprungstext ist mit den eingesetzten Modellen zwar praktisch nicht vorgesehen, technisch aber nicht in jedem Fall vollständig ausgeschlossen. Embeddings werden sowohl für die vom Verantwortlichen hochgeladenen Dokumente (dauerhaft, bis zur Löschung des jeweiligen Dokuments) als auch für die aktuelle Chat-Anfrage (nur zur Laufzeit der Anfrage, keine dauerhafte Speicherung des Anfrage-Embeddings) erzeugt. Soweit der Verantwortliche in hochgeladenen Dokumenten personenbezogene Daten weiterer Personen verarbeiten lässt (z.B. eigener Kunden oder Mitarbeiter, etwa in Preislisten mit Ansprechpartnern), gelten auch diese Personen als betroffene Personen im Sinne dieses Vertrags; der Verantwortliche stellt sicher, dass er zu deren Verarbeitung durch Fragfix berechtigt ist (siehe auch AGB § 6 Abs. 1).

4. Pflichten des Auftragsverarbeiters

5. Automatische Löschung und Verhältnis zu Backups

Chat-Sitzungen und -Nachrichten werden unabhängig von einer Kündigung automatisiert nach spätestens 2 Tagen gelöscht (täglicher Lösch-Job). Diese kurze Speicherfrist reduziert das Risiko für betroffene Personen zusätzlich zu den vertraglichen Pflichten in dieser Anlage. Antwort-Bewertungen (Ziffer 3) sind hiervon unabhängig und werden separat automatisiert nach spätestens 90 Tagen gelöscht - die längere Frist ist durch den Zweck (Erkennung wiederkehrender inhaltlicher Schwachstellen über einen längeren Zeitraum) gerechtfertigt und durch die fehlende Verknüpfbarkeit zu einer identifizierbaren Person risikoarm.

Werden Daten im Produktivsystem gelöscht (automatisiert nach Satz 1 dieser Ziffer, durch eine Selbstlöschung des Verantwortlichen oder nach Vertragsende gemäß Ziffer 4), können sie dennoch für die Dauer der in Anlage 1 beschriebenen Backup-Aufbewahrungsfrist (aktuell 14 Tage rollierend) noch in Sicherungskopien enthalten sein. Backups werden ausschließlich zur Notfallwiederherstellung nach einem Systemausfall oder Datenverlust verwendet, nicht für den regulären Betrieb; sie unterliegen denselben technischen und organisatorischen Maßnahmen wie die Produktivdaten und werden nach Ablauf der Aufbewahrungsfrist automatisiert überschrieben bzw. gelöscht.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Hinweis: Der Zahlungsdienstleister Sold through Link, LLC („Lemon Squeezy“) verarbeitet ausschließlich die Zahlungsdaten des Verantwortlichen selbst als Fragfix-Vertragspartner (bei dessen eigener Registrierung/Abo), nicht die hier gegenständlichen Chat-Daten der Website-Besucher des Verantwortlichen - taucht daher bewusst nicht in dieser Unterauftragsverarbeiter-Liste auf, sondern in der Datenschutzerklärung von Fragfix.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor dem Einsatz eines neuen Unterauftragsverarbeiters per E-Mail. Der Verantwortliche kann innerhalb dieser 14 Tage aus wichtigem Grund widersprechen; erfolgt kein Widerspruch, gilt die Änderung als genehmigt.

7. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche bleibt für die Rechtmäßigkeit der Datenverarbeitung im Sinne von Art. 6 DSGVO sowie für die Information der betroffenen Personen (Art. 13 DSGVO) verantwortlich - dies schließt insbesondere die in Ziffer 3 beschriebene lokale Zwischenspeicherung im Browser des Website-Besuchers ein. Der Verantwortliche stellt sicher, dass seine eigene Datenschutzerklärung (verlinkt im Chatbot-Widget) den Chatbot-Einsatz entsprechend abbildet.

8. Kontrollrechte

Der Verantwortliche ist berechtigt, sich in angemessenem Umfang von der Einhaltung der in diesem Vertrag geregelten Pflichten des Auftragsverarbeiters zu überzeugen. Dies umfasst insbesondere:

Der Auftragsverarbeiter ist berechtigt, für einen mit einer Vor-Ort-Prüfung verbundenen, über das übliche Maß hinausgehenden Aufwand eine angemessene Kostenerstattung zu verlangen.

9. Haftung

Innenverhältnis. Für Schadensersatzansprüche zwischen Verantwortlichem und Auftragsverarbeiter aus der Verletzung von Pflichten dieses Vertrags (z.B. Vertragsverletzungen im Rahmen dieser Anlage) gelten die Haftungsregelungen aus § 7 der Fragfix-AGB entsprechend, soweit gesetzlich zulässig. Zwingende gesetzliche Ansprüche, insbesondere nach Art. 82 DSGVO, bleiben hiervon unberührt (siehe die beiden nachfolgenden Absätze).

Außenhaftung gegenüber betroffenen Personen. Unberührt von Satz 1 bleibt die gesetzliche Haftung nach Art. 82 DSGVO: Betroffene Personen (die Website-Besucher) können sowohl den Verantwortlichen als auch den Auftragsverarbeiter unmittelbar in Anspruch nehmen; beide haften nach Art. 82 Abs. 1, 4 DSGVO grundsätzlich gesamtschuldnerisch, der Auftragsverarbeiter jedoch nur, soweit er gegen die ihm nach der DSGVO speziell auferlegten Pflichten verstoßen oder unter Nichtbeachtung rechtmäßiger Weisungen des Verantwortlichen gehandelt hat (Art. 82 Abs. 2 DSGVO). Diese gesetzliche Haftung ist vertraglich nicht abdingbar und wird durch § 7 der Fragfix-AGB nicht berührt.

Innenausgleich. Hat eine Partei nach Art. 82 Abs. 4 DSGVO den vollen Schadensersatz an eine betroffene Person geleistet, obwohl sie nur für einen Teil des Schadens verantwortlich war, kann sie von der anderen Partei den auf diese entfallenden Anteil zurückfordern (Art. 82 Abs. 5 DSGVO); dieser gesetzliche Ausgleichsanspruch besteht unabhängig von § 7 der Fragfix-AGB.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

Die nachfolgenden Maßnahmen beschreiben den Stand zum Zeitpunkt des Vertragsschlusses. Der Auftragsverarbeiter ist berechtigt, einzelne Maßnahmen anzupassen oder durch gleichwertige oder wirksamere Maßnahmen zu ersetzen, solange das hierdurch gewährleistete Schutzniveau nicht unterschritten wird; eine förmliche Anpassung dieses Vertrags ist hierfür nicht erforderlich.