Version 2026-10-31-1. Dieser Vertrag gehört zum Open-Door-Anfragen-Dienst. Er kommt zustande, wenn der Betreiber einer Webseite im Zusatzprogramm „Open Door for AI Assistants“ das Häkchen „Ich schließe den Auftragsverarbeitungsvertrag ab“ setzt und den Dienst anmeldet. Die Anmeldung wird mit Version und Zeitpunkt bei uns gespeichert.
Auftraggeber ist der Betreiber der Webseite, die den Dienst nutzt. Er ist für die Daten seiner Besucher verantwortlich, im Gesetz „Verantwortlicher“ genannt. Auftragnehmer ist flowboxx, Inhaber Enrico Oppel, Klein-Erkenschwicker-Str. 195, 45739 Oer-Erkenschwick. Wir verarbeiten die Daten nur für den Betreiber und nach seinen Weisungen, im Gesetz „Auftragsverarbeiter“ genannt (Art. 28 DSGVO).
Ein KI-Assistent kann über die Webseite des Betreibers eine Anfrage für einen Menschen im Betrieb hinterlassen. Wir nehmen diese Anfrage entgegen, speichern sie kurz und leiten sie per E-Mail an die Adresse des Betreibers weiter. Mehr tun wir mit den Daten nicht. Der Vertrag gilt, solange der Betreiber den Dienst nutzt, und endet mit der Kündigung des Dienstes.
Betroffen sind Personen, die über einen KI-Assistenten eine Anfrage hinterlassen. Verarbeitet werden das Anliegen als Freitext, der angegebene Kontakt (E-Mail-Adresse oder Telefonnummer), die Quelle der Anfrage (zum Beispiel der Name des Assistenten), der Zeitpunkt und die Adresse der Webseite. Besondere Datenarten nach Art. 9 DSGVO sind nicht vorgesehen. Wir bitten den Betreiber, den KI-Assistenten darauf hinzuweisen, dass keine Gesundheitsdaten und keine ähnlich sensiblen Angaben in die Anfrage gehören.
Wir verarbeiten die Daten ausschließlich, um sie an den Betreiber weiterzuleiten. Wir nutzen sie nicht für eigene Zwecke, nicht für Werbung und nicht für die Auswertung einzelner Personen. Wir antworten den Anfragenden nicht selbst. Wir verarbeiten die Daten nur nach den Weisungen des Betreibers. Die Weisung ist der Zweck dieses Vertrags und die Einstellungen im Zusatzprogramm. Weitere Weisungen und ihre Änderungen bedürfen der Textform, zum Beispiel einer E-Mail an uns, und wir halten sie fest. Hält eine Weisung nach unserer Einschätzung das Datenschutzrecht nicht ein, sagen wir das dem Betreiber.
Eine Anfrage wird höchstens 90 Tage gespeichert und dann automatisch gelöscht. Kündigt der Betreiber den Dienst, löschen wir seine Anfragen und seine E-Mail-Adresse unverzüglich. In den Datensicherungen bleiben sie noch bis zu 28 Tage liegen, danach verschwinden sie auch dort. Auf Wunsch des Betreibers löschen wir früher. Jede Anfrage liegt schon per E-Mail beim Betreiber. Wünscht er vor der Kündigung trotzdem eine Kopie der gespeicherten Anfragen, schicken wir sie ihm per E-Mail. Danach löschen wir alle Kopien, auch bei unseren Dienstleistern.
Die Daten liegen auf einem Server in Deutschland. Der Zugang zum Dienst ist durch einen geheimen Schlüssel je Webseite geschützt, den wir nur als nicht rückrechenbaren Prüfwert (Hash) speichern. Die Verbindung ist verschlüsselt. Der Dienst begrenzt die Zahl der Anfragen und blockiert automatische Spam-Anfragen. E-Mails gehen nur an eine Adresse, die der Betreiber selbst per Link bestätigt hat. Wer bei uns Zugriff auf die Daten hat, ist auf Vertraulichkeit verpflichtet. Zugriffe und Fehler werden protokolliert. Wir sichern die Datenbank stündlich auf einen zweiten Server in Deutschland. Die Maßnahmen entsprechen Art. 32 DSGVO. Wir entwickeln sie weiter und halten dabei mindestens dieses Schutzniveau ein.
Wir setzen zwei Dienstleister ein. Für das Hosting und die Datensicherung ist es die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Unser Server steht im Rechenzentrum Falkenstein in Deutschland. Für den Versand der E-Mails (Absender kontakt@flowboxx.de) nutzen wir den Mail-Server der United Domains AG, Gautinger Str. 10, 82319 Starnberg, Deutschland. Der Betreiber der Webseite stimmt dieser Beauftragung mit dem Abschluss des Vertrags zu. Wollen wir weitere Dienstleister einsetzen, sagen wir das dem Betreiber vorher per E-Mail. Er kann dann innerhalb von 14 Tagen widersprechen. Hat er aus Datenschutzgründen widersprochen und finden wir keine Lösung, kann er den Dienst zum Monatsende kündigen. Mit jedem Dienstleister schließen wir einen Vertrag mit denselben Pflichten wie diesen. Die Zahlung des Dienstes wickelt Stripe als eigener Zahlungsdienstleister ab, dabei erhalten wir keine Daten der Anfragenden. Wie Stripe Daten verarbeitet, steht in der Datenschutzerklärung von Stripe.
Wenden sich Anfragende mit Auskunft, Berichtigung, Löschung oder Widerspruch an uns, geben wir das an den Betreiber weiter, denn er entscheidet darüber. Wir helfen ihm dabei, soweit es technisch möglich ist, zum Beispiel mit Auskunft über die gespeicherten Daten oder mit der Löschung einer Anfrage. Dafür genügt eine E-Mail an kontakt@flowboxx.de.
Bemerken wir eine Datenpanne, die den Betreiber betrifft, melden wir sie ihm unverzüglich per E-Mail, damit er seine Pflichten gegenüber der Aufsichtsbehörde und den Betroffenen erfüllen kann. Wir unterstützen ihn dabei bei einer nötigen Datenschutz-Folgenabschätzung und bei einer Vorabkonsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO) im Rahmen des Zumutbaren.
Auf Anfrage geben wir dem Betreiber die Auskünfte, die er braucht, um zu prüfen, ob wir diesen Vertrag einhalten. Er kann das selbst prüfen oder durch eine fachkundige Person seiner Wahl, nach Absprache und ohne unseren Betrieb unnötig zu stören.
Für Schäden aus der Datenverarbeitung haften beide nach den gesetzlichen Regeln, auch gegenüber den Betroffenen (Art. 82 DSGVO). Gilt eine Regel dieses Vertrags nicht, bleiben die übrigen wirksam. Es gilt deutsches Recht. Kleine Änderungen, die Gegenstand und Schutzniveau der Verarbeitung nicht verschlechtern, teilen wir per E-Mail mit. Sie gelten, wenn der Betreiber nicht innerhalb von 14 Tagen widerspricht. Bei einem Widerspruch kann er zum Monatsende kündigen. Wesentliche Änderungen gelten nur mit seiner ausdrücklichen Zustimmung.
Mehr dazu, wie wir mit Daten umgehen, steht in unserer Datenschutzerklärung.
‹ Zurück