Stand: 5. Oktober 2026
Dieser Vertrag wird zwischen dem Betrieb, der Ally-agent nutzt (der „Verantwortliche“), und dem im Impressum genannten Anbieter des Dienstes (der „Auftragsverarbeiter“) geschlossen. Er ist Teil des Dienstleistungsvertrags und gilt ab dem Beginn der Nutzung des Dienstes, solange der Dienst genutzt wird.
Der Verantwortliche entscheidet, warum und wie die personenbezogenen Daten seiner Kundinnen und Kunden verarbeitet werden, und bleibt für die Rechtsgrundlage dieser Verarbeitung verantwortlich. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag des Verantwortlichen, wie hier beschrieben.
Der Auftragsverarbeiter stellt einen KI-Assistenten mit Kundenbasis und Kalender bereit. Im Auftrag des Verantwortlichen beantwortet er Anfragen in Messengern, auf der Website und, sofern aktiviert, am Telefon; legt Buchungen an, verschiebt und storniert sie; versendet Erinnerungen, Bewertungsanfragen und die vom Verantwortlichen verfassten Nachrichten; führt die Kundenbasis; und zeigt dem Verantwortlichen die aus seinen eigenen Daten berechnete Auswertung.
Die Verarbeitung dauert für die Laufzeit des Dienstleistungsvertrags und endet mit der Löschung oder Rückgabe der Daten, wie unten beschrieben.
Betroffene Personen: die Kundinnen und Kunden des Verantwortlichen und Personen, die ihn kontaktieren; die Mitarbeitenden des Verantwortlichen, die den Dienst nutzen (Konten, Rollen, Arbeitszeiten).
Daten: Name, Telefonnummer, Messenger-Kennungen und Benutzernamen, Sprache; der Inhalt von Nachrichten und Anrufen einschließlich Transkripten und, sofern vom Verantwortlichen aktiviert, Gesprächsaufzeichnungen; Buchungen (Leistung, Zeit, Mitarbeiter, Preis, Status); die vom Verantwortlichen hinzugefügten Notizen und Tags; Einwilligungs- und Abmeldevermerke; die zur Zustellung von Nachrichten nötigen technischen Aufzeichnungen.
Der Dienst ist nicht für besondere Kategorien von Daten bestimmt. Ist der Verantwortliche ein Gesundheitsdienstleister, kann bereits die Tatsache einer Buchung Gesundheitsinformationen offenbaren; der Verantwortliche bleibt für die Rechtsgrundlage dieser Verarbeitung verantwortlich und weist den Auftragsverarbeiter entsprechend an.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen: dieser Vertrag, die Einstellungen, die der Verantwortliche im Dienst vornimmt (Kanäle, Wissensbasis, Regeln, Teamrechte), und jede schriftliche Weisung. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich.
Alle Personen, die unter der Aufsicht des Auftragsverarbeiters Zugang zu personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet.
Technische und organisatorische Maßnahmen: Die Daten werden in der Europäischen Union gespeichert und verarbeitet (AWS, Region Frankfurt); sie sind bei der Übertragung und im Ruhezustand verschlüsselt; jeder Betrieb lebt in einem eigenen, isolierten Datenbankschema, sodass keine Abfrage eines Betriebs die Daten eines anderen erreichen kann; der Zugriff erfolgt nach Rollen, und der Inhaber entscheidet, welche Mitglieder die Kundenbasis, den Umsatz und den Export sehen; Exporte und plattformseitige Zugriffe auf die Daten eines Betriebs werden in einem Prüfprotokoll festgehalten; Zugangsdaten und Schlüssel liegen in einem verwalteten Geheimnisspeicher; die Datenbank wird täglich automatisch gesichert; bei Telefonanrufen gibt der Assistent an, dass er eine KI ist und das Gespräch aufgezeichnet werden kann.
Der Verantwortliche erteilt eine allgemeine Genehmigung für folgende Unterauftragsverarbeiter: Amazon Web Services (Hosting, Datenbank, Sicherungen sowie die über Amazon Bedrock in der EU-Region bereitgestellten KI-Modelle); Meta — WhatsApp, Instagram und Messenger — und Telegram, jeweils nur, wenn der Verantwortliche diesen Kanal anbindet; Twilio (Telefonie) und ElevenLabs (Sprachsynthese und Anrufabwicklung), nur wenn der Verantwortliche Telefonanrufe aktiviert.
Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzufügung oder Ersetzung mindestens 14 Tage im Voraus. Der Verantwortliche kann aus berechtigten Gründen widersprechen; wird keine Lösung gefunden, kann er den betroffenen Teil des Dienstes beenden.
Hosting, Datenbank und KI-Modelle verbleiben in der Europäischen Union. Messenger- und Telefonieanbieter können Daten außerhalb des Europäischen Wirtschaftsraums zu ihren eigenen Bedingungen verarbeiten; in diesem Fall stützt sich die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission oder einen Angemessenheitsbeschluss. Welche dieser Kanäle angebunden werden, entscheidet der Verantwortliche.
Die personenbezogenen Daten einer Kundin oder eines Kunden werden 12 Monate nach dem letzten Kontakt mit dem Verantwortlichen – einer Buchung, einer Nachricht oder einem Anruf – aufbewahrt und danach automatisch anonymisiert: Name, Telefonnummer, Messenger-Kennungen, Notizen und Tags werden entfernt, die Buchungen bleiben als anonyme Besuchsstatistik.
Auf Verlangen des Verantwortlichen – oder wenn eine Kundin oder ein Kunde den Verantwortlichen oder den Auftragsverarbeiter direkt darum bittet – löscht der Auftragsverarbeiter die personenbezogenen Daten unverzüglich und spätestens innerhalb von 30 Tagen auf dieselbe Weise. Der Verantwortliche kann dies jederzeit selbst über die Kundenkarte tun. Jeder Export der Kundenbasis wird protokolliert: wer, wann und wie viele Zeilen.
Bei Ende des Dienstleistungsvertrags kann der Verantwortliche seine Daten 30 Tage lang exportieren; danach löscht der Auftragsverarbeiter die personenbezogenen Daten und behält nur anonymisierte Aggregate, sofern nicht Unions- oder mitgliedstaatliches Recht eine längere Aufbewahrung verlangt. Sicherungskopien werden in der üblichen Rotation innerhalb weniger Tage überschrieben.
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Beantwortung von Anträgen auf Ausübung von Betroffenenrechten: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit (die Kundenbasis lässt sich exportieren) und Widerspruch (wer mit einem Stoppwort antwortet, erhält keine weiteren Nachrichten). Anträge, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten aus den Artikeln 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörde, unter Berücksichtigung der ihm verfügbaren Informationen.
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden, nachdem sie ihm bekannt wurde, mit den Angaben, die der Verantwortliche für seine eigene Meldung benötigt, und wirkt an Eindämmung und Aufklärung mit.
Der Auftragsverarbeiter stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer: einmal in einem Zeitraum von 12 Monaten oder nach einer Datenschutzverletzung, mit 30 Tagen Vorlauf, während der Geschäftszeiten, unter Vertraulichkeitsverpflichtung und auf Kosten des Verantwortlichen.
Dieser Vertrag gilt für die Laufzeit des Dienstleistungsvertrags; die Pflichten zu Löschung und Vertraulichkeit bestehen darüber hinaus fort. Die Haftung richtet sich nach dem Dienstleistungsvertrag und Artikel 82 DSGVO. Anwendbares Recht und Gerichtsstand sind die des Dienstleistungsvertrags; in Fragen personenbezogener Daten geht dieser Vertrag vor.
Fragen zu diesem Vertrag richten Sie an die im Impressum genannte Kontaktadresse.