Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (AVV)

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) – für die Nutzung von „Werksbüro"

Vertragsparteien

Verantwortlicher („Betrieb")
laut Anmeldung
laut Anmeldung
vertreten durch laut Anmeldung
Kontakt für Datenschutzfragen: laut Anmeldung

Auftragsverarbeiter („OsAI")
Osman Öztopcu, handelnd unter „OsAI — KI-Beratung & Entwicklung" (Einzelunternehmen)
Karolingerstraße 55, 70736 Fellbach, Deutschland
E-Mail: kontakt@werksbuero.de · Telefon: +49 173 1956617
Kontakt für Datenschutzfragen: datenschutz@werksbuero.de

Präambel

Der Betrieb nutzt die Software „Werksbüro" (im Folgenden „App") von OsAI, um Angebote, Aufträge, Auftragsbestätigungen, Rechnungen und Mahnungen zu erstellen, zu verwalten und an seine Kundinnen und Kunden zu übermitteln. Grundlage ist der Nutzungsvertrag vom laut Anmeldung einschließlich der Nutzungsbedingungen (AGB) bzw. der Pilot-Vereinbarung vom laut Anmeldung (zusammen „Hauptvertrag").

Dabei verarbeitet OsAI personenbezogene Daten, für die der Betrieb verantwortlich ist. Dieser Vertrag regelt die Pflichten beider Seiten zum Datenschutz. Er gilt für alle Tätigkeiten, bei denen OsAI oder von OsAI eingesetzte Unterauftragsverarbeiter mit diesen Daten in Berührung kommen.

§ 1 Gegenstand und Dauer

1. 1.
   Gegenstand: Bereitstellung, Betrieb, Wartung und Support der App als Online-Dienst (Software as a Service), einschließlich Datenspeicherung, KI-gestützter Erstellung von Angebotsentwürfen, Speicherung von Fotos, digitaler Annahme von Angeboten per Link und – sobald eingerichtet – E-Mail-Versand von Belegen.
2. 2.
   Dauer: Dieser Vertrag gilt, solange der Hauptvertrag läuft. Er endet nicht vor der vollständigen Rückgabe bzw. Löschung der Daten nach § 10.
3. 3.
   Das Recht zur außerordentlichen Kündigung bleibt unberührt. Ein schwerer Verstoß gegen diesen Vertrag oder gegen Datenschutzrecht berechtigt beide Seiten zur außerordentlichen Kündigung des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

2.1 Art der Verarbeitung

Erheben (über Eingaben des Betriebs, über den Annahme-Link und über die Kundenmappe), Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an Kundinnen und Kunden des Betriebs im Auftrag des Betriebs, Einschränken, Löschen.

2.2 Zwecke

2.3 Kategorien betroffener Personen

• Kundinnen und Kunden des Betriebs (Privat- und Geschäftskunden) sowie deren Ansprechpartner
• Personen, die ein Angebot über den Annahme-Link annehmen (können von der Kundin/dem Kunden abweichen)
• Nutzerinnen und Nutzer der App beim Betrieb (Inhaber, Mitarbeitende) — bei Kalender und Zeiterfassung auch als Beschäftigte des Betriebs (Termine, Abwesenheiten wie Urlaub oder Berufsschule, Arbeitszeiten)
• Lieferanten und sonstige Rechnungssteller des Betriebs (Eingangsrechnungen)
• Personen, die die Kundin oder der Kunde in die Kundenmappe einbezieht, etwa indem sie oder er den Link weitergibt (z. B. Mitbewohner, Vermieter, Hausverwaltung)
• Unbeabsichtigt: Personen, die in einer Sprachnotiz oder Sprachnachricht genannt werden, in einer Nachricht oder einem Dokument der Kundenmappe vorkommen oder auf einem Foto erkennbar sind

2.4 Kategorien personenbezogener Daten

• Kundenstammdaten: Art (privat/gewerblich), Anrede, Name bzw. Firma, Ansprechpartner, Anschrift, E-Mail, Telefon, USt-IdNr., freie Notiz
• Beleg- und Vertragsdaten: Belegart, Nummer, Datum, Titel, Gewerk, Positionen, Mengen, Preise, Summen, Steuerangaben, Bindefrist, Leistungszeitpunkt, Varianten, Anzahlung, Status (z. B. versendet, angenommen, bezahlt, storniert), Mahnstufe, unveränderbare Versionen freigegebener Belege
• Aufmaß: Raumbezeichnungen und Maße
• Fotos der Arbeitsstelle mit Beschriftung (ohne EXIF-/GPS-Daten)
• Annahmedaten: eingegebener Name, Zeitpunkt, gewählte Variante und Zusatzleistungen
• KI-Eingaben: Sprachnotiz des Betriebs für einen Angebotsentwurf (nur flüchtig zur Umwandlung, wird nicht gespeichert) oder Text; gespeichert wird nur das durch den Schutzfilter bereinigte Transkript sowie Modellname und Modus. Sprachnachrichten in der Kundenmappe werden dagegen gespeichert (siehe dort).
• Kundenmappe: Nachrichten von Betrieb und Kunde (mit Thema, Zeitpunkt, Vorname der schreibenden Person im Betrieb); Sprachnachrichten der Kunden und des Betriebs als Audiodatei (höchstens 2 Minuten) mit Abschrift, bei fremder Sprache auch die deutsche Fassung; Fotos (ohne EXIF-/GPS-Daten) und PDF-Dokumente, die Kunde oder Betrieb hochladen; Rückfragen des Betriebs und die Antworten; Checklisten mit Häkchen und Zeitpunkt; Terminvorschläge und Antworten („passt“ / „passt nicht“ mit Grund); Zeitleiste der Schritte; Vermerke über ausgeblendete Inhalte (Datum, Grund); Lese- und Öffnungszeitpunkte; Benachrichtigungen (Empfängeradresse, Zeitpunkt, ohne Nachrichtentext). Der Link-Code wird nur als Prüfsumme (Hash) gespeichert.
• Kalender: Termine am Beleg und Einträge ohne Kunde — Art (z. B. Aufmaß, Ausführung, Urlaub, Berufsschule, abwesend), Titel, Datum, Uhrzeit oder ganztägig, Dauer, eingeteilte Personen, Notiz, wer den Eintrag angelegt hat; Erinnerung ein/aus je Termin. Terminerinnerung: Beleg, Termin, Versandstatus und Zeitpunkt (die E-Mail selbst siehe „E-Mail-Daten“). Kalender-Abo: Nutzer-ID, Auswahl „nur meine Termine“, Zeitpunkt der Einrichtung und des letzten Abrufs; der Link nur als Prüfsumme (Hash).
• Arbeitszeiten (Zeiterfassung): Person (Nutzer-ID), Datum, Beginn, Ende, Pause, optional Auftrag und Notiz, Art der Erfassung (von Hand, Satz, Start/Stopp, Vorschlag aus dem Kalender), wer eingetragen hat, Zeitpunkte von Erfassung und Änderung.
• Nutzerdaten: E-Mail-Adresse, Passwort (nur als Hash beim Anmeldedienst), Nutzer-ID, Rolle, Betriebszuordnung, Anmeldezeitpunkte, technische Protokolle des Anmeldedienstes (u. a. IP-Adresse)
• Protokolldaten: Aktion, Zeitpunkt, Nutzer-ID, Beleg-ID, Details ohne Belegtext (Ausnahme: bei der Annahme wird der eingegebene Name mitprotokolliert)
• Nutzungszähler: Anzahl KI-Aufrufe und Audio-Sekunden je Betrieb und Tag
• Eingangsrechnungen: Original-XML (kann Name, Anschrift und Bankverbindung des Rechnungsstellers enthalten), Rechnungsnummer, Datum, Beträge, Positionen
• Einkaufspreise: Firmenname des Lieferanten (bei Einzelunternehmen ein Personenname), Artikelnummer, Bezeichnung, Einheit, Netto-Einkaufspreis und vorheriger Preis, Datum, Quelle (Rechnungsnummer bzw. Dateiname)
• E-Mail-Daten (sobald Versand eingerichtet): Empfängeradresse, Betreff, Text, Anhang
• Verbindungsdaten beim Aufruf der App, des Annahme-Links und der Kundenmappe: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung (Server-Protokolle der Dienstleister)

2.5 Besondere Kategorien

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) ist nicht vorgesehen. Der Betrieb achtet darauf, solche Angaben nicht in Freitextfelder, Positionstexte, Sprachnotizen oder Fotos aufzunehmen. Die Kundenmappe bittet Kundinnen und Kunden beim ersten Hochladen, keine Arzt- oder Pflegeunterlagen zu schicken. Lädt jemand solche Unterlagen trotzdem hoch, blendet der Betrieb sie aus oder löscht sie (§ 2.7). Hochgeladene PDF-Dokumente gehen nie an die KI; Fotos aus der Mappe nur, wenn der Betrieb sie für einen Angebotsentwurf auswählt und Fotos an die KI eingeschaltet hat.

2.6 Ort der Verarbeitung

Die Daten werden in der Europäischen Union gespeichert (Datenbank und Datei-Speicher in Frankfurt am Main). KI-Aufrufe erfolgen über einen regionalen Endpunkt in Frankfurt (europe-west3). Die Server-Funktionen laufen bei Vercel in Frankfurt (fra1, festgelegt in vercel.json). Die nächtliche Sicherungskopie der Dateien liegt bei Google Cloud Storage in Frankfurt (europe-west3). Eine Verarbeitung in Drittländern findet nur nach § 7 statt.

2.7 Löschfristen der Kundenmappe

Die App löscht in einem täglichen Lauf: (a) hochgeladene, aber nie abgeschickte Dateien nach 24 Stunden; (b) Inhalte, die der Betrieb ausgeblendet hat, 30 Tage nach dem Ausblenden endgültig (Text und Dateien; der Vermerk „ausgeblendet am …“ bleibt im Verlauf); (c) die ganze Mappe mit Nachrichten, Dateien, Karten, Zeitleiste und Benachrichtigungen 6 Jahre nach dem Ende des Kalenderjahres, in dem zuletzt etwas in ihr geschah. Belege (Angebote, Rechnungen) behalten ihre eigenen Fristen nach § 10 und dem Löschkonzept. Der Inhaber kann eine Mappe auch vorher löschen (ebenso mit dem Kunden): Hängt keine Rechnung und kein angenommenes Angebot daran, ist sie sofort endgültig gelöscht; sonst bleibt sie gesperrt und für niemanden sichtbar aufbewahrt (Art. 18 DSGVO) und wird nach Buchstabe (c) gelöscht. Die Dateien der Mappe sind Teil der nächtlichen Datei-Sicherung; eine gelöschte Datei bleibt dort höchstens 30 Tage als Vorversion.

§ 3 Weisungen

1. 1.
   OsAI verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs (Art. 28 Abs. 3 lit. a DSGVO), auch bei Übermittlungen in Drittländer. Ausnahme: OsAI ist durch EU-Recht oder deutsches Recht zur Verarbeitung verpflichtet; dann teilt OsAI dies vorher mit, sofern das Gesetz es nicht verbietet.
2. 2.
   Die Weisungen ergeben sich abschließend aus diesem Vertrag, dem Hauptvertrag und der Bedienung der App durch den Betrieb (z. B. Anlegen, Versenden, Löschen). Weitere Weisungen erteilt der Betrieb in Textform (z. B. E-Mail) an die Kontaktadresse von OsAI. Mündliche Weisungen bestätigt der Betrieb unverzüglich in Textform.
3. 3.
   Weisungsberechtigte Personen: siehe Anlage 4. Änderungen teilen die Parteien einander in Textform mit.
4. 4.
   Hält OsAI eine Weisung für rechtswidrig, weist OsAI den Betrieb unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Umsetzung aussetzen, bis der Betrieb die Weisung bestätigt oder ändert.
5. 5.
   OsAI verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von KI-Modellen. Ausnahmen regeln nur die Absätze 6 und 7.
6. 6.
   Preiswissen (nur mit Schalter): Schaltet der Inhaber in den Stammdaten „Preiswissen teilen" ein, weist der Betrieb OsAI damit an, aus Belegen, die er an Kunden verschickt hat, nur die Katalog-Position, den Einzelpreis netto, die Einheit, die ersten zwei Ziffern der eigenen Postleitzahl und den Zeitraum auszulesen und daraus nächtlich Marktpreise ohne Bezug zu einem Betrieb zu berechnen (Anonymisierung nach § 13a AGB: mindestens fünf Betriebe, ein Wert je Betrieb, nur Spanne). Daten der Kunden des Betriebs, Positionstexte, Mengen und Summen werden dafür nicht verwendet. Eine Kopie der Einzelpreise legt OsAI nicht an. Ausschalten beendet die Weisung; ab dem nächsten nächtlichen Lauf sind die Preise des Betriebs nicht mehr enthalten.
7. 7.
   Nutzungsstatistik: OsAI darf aus dem Protokoll der App zählen, welche Funktionen der Betrieb je Tag wie oft nutzt, und Kennzahlen daraus bilden (z. B. Anteil geänderter KI-Positionen, Zeit bis zum Versand). Die Zähler enthalten keine Daten der Kunden des Betriebs, keine Inhalte von Belegen und keine Angaben dazu, welche Person im Betrieb gehandelt hat. Für die Zähler ist OsAI selbst verantwortlich (Datenschutzerklärung der App); sie werden je Betrieb nach 90 Tagen zu Summen ohne Betriebsbezug zusammengefasst. Widerspricht der Betrieb (Schalter „Nutzungsstatistik" oder E-Mail), zählt OsAI ihn nicht mehr und löscht seine Zähler je Betrieb spätestens am folgenden Tag. Zähler für Abrechnung und Tagesgrenzen (Anzahl KI-Aufrufe, verbrauchte Tokens) bleiben unberührt.

§ 4 Vertraulichkeit

1. 1.
   OsAI setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Derzeit hat ausschließlich der Inhaber von OsAI Zugriff. Vor Einsatz weiterer Personen erfolgt eine schriftliche Verpflichtung. laut Anmeldung
2. 2.
   Zugriffe von OsAI auf Inhaltsdaten des Betriebs erfolgen nur, soweit sie für Einrichtung, Support, Fehlerbehebung oder Sicherheit erforderlich sind, und möglichst nur nach Anfrage oder Ankündigung gegenüber dem Betrieb.
3. 3.
   Die Pflicht zur Vertraulichkeit gilt über das Vertragsende hinaus.

§ 5 Technische und organisatorische Maßnahmen

1. 1.
   OsAI trifft die in Anlage 2 (toms.md) beschriebenen Maßnahmen nach Art. 32 DSGVO. Als „geplant" gekennzeichnete Maßnahmen setzt OsAI bis zum dort genannten Zeitpunkt, spätestens vor Beginn der Verarbeitung echter Kundendaten des Betriebs um.
2. 2.
   Die Maßnahmen entwickeln sich mit dem Stand der Technik weiter. OsAI darf sie ändern, wenn das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert OsAI und teilt sie dem Betrieb in Textform mit.
3. 3.
   OsAI überprüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens einmal jährlich sowie nach wesentlichen Änderungen der App.

§ 6 Unterauftragsverarbeiter

1. 1.
   Der Betrieb erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten bzw. fest geplanten Unterauftragsverarbeiter stehen in Anlage 3 (unterauftragsverarbeiter.md) und gelten als genehmigt.
2. 2.
   OsAI informiert den Betrieb mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Betrieb kann innerhalb von zwei Wochen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Betrieb den Hauptvertrag zum Zeitpunkt des Wechsels außerordentlich kündigen.
3. 3.
   Muss ein Unterauftragsverarbeiter kurzfristig ersetzt werden (z. B. Sicherheitsvorfall, Insolvenz, Einstellung des Dienstes), darf OsAI dies ohne Vorfrist tun, wenn das Schutzniveau gleich bleibt, und informiert den Betrieb unverzüglich.
4. 4.
   OsAI schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der mindestens gleichwertige Datenschutzpflichten enthält (Art. 28 Abs. 4 DSGVO). Bei großen Anbietern geschieht das über deren Standard-Auftragsverarbeitungsbedingungen (DPA). OsAI legt diese auf Anfrage vor.
5. 5.
   Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf personenbezogene Daten des Betriebs, z. B. Code-Verwaltung (GitHub), DNS-Dienst oder Telekommunikation.

§ 7 Verarbeitung außerhalb der EU/des EWR

1. 1.
   Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework für zertifizierte Unternehmen) oder EU-Standardvertragsklauseln (SCC).
2. 2.
   Die Speicherorte und Garantien je Unterauftragsverarbeiter stehen in Anlage 3. Auch bei EU-Speicherorten kann ein Zugriff durch die US-Muttergesellschaft eines Dienstleisters (z. B. im Support) nicht ausgeschlossen werden; hierfür gelten die in Anlage 3 genannten Garantien.

§ 8 Unterstützung bei Betroffenenrechten

1. 1.
   OsAI unterstützt den Betrieb mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch; Art. 12–22 DSGVO).
2. 2.
   Wendet sich eine betroffene Person direkt an OsAI, leitet OsAI die Anfrage unverzüglich an den Betrieb weiter und antwortet nicht selbst in der Sache.
3. 3.
   Viele Anfragen kann der Betrieb in der App selbst erledigen (Daten ansehen, ändern, Entwürfe löschen, exportieren). Seit 25.09.2026 kann der Inhaber auch Kundendatensätze selbst löschen (ohne aufbewahrungspflichtige Belege endgültig, sonst gesperrt nach Art. 18 DSGVO). Wo die App eine Maßnahme nicht erlaubt, führt OsAI sie auf Weisung des Betriebs aus.
4. 4.
   Gesetzliche Aufbewahrungspflichten des Betriebs (z. B. für Rechnungen) können einer Löschung entgegenstehen; das beurteilt der Betrieb.

§ 9 Meldepflichten und weitere Unterstützung

1. 1.
   OsAI meldet dem Betrieb eine Verletzung des Schutzes personenbezogener Daten (z. B. unbefugter Zugriff, Datenverlust) unverzüglich, möglichst innerhalb von 24 Stunden, spätestens nach 48 Stunden nach Bekanntwerden, in Textform an die Kontaktadresse des Betriebs. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl Betroffener, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechpartner. Fehlende Angaben reicht OsAI nach.
2. 2.
   Der Betrieb entscheidet über Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO, binnen 72 Stunden) und an Betroffene (Art. 34 DSGVO). OsAI unterstützt dabei.
3. 3.
   OsAI informiert den Betrieb unverzüglich über Kontrollen oder Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Vertrag betreffen, sowie über Störungen, die die vertragsgemäße Verarbeitung gefährden.
4. 4.
   OsAI unterstützt den Betrieb unter Berücksichtigung der ihm vorliegenden Informationen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO), insbesondere durch die Beschreibung der KI-Datenflüsse (docs/KI-und-Datenschutz.md).

§ 10 Löschung und Rückgabe nach Vertragsende, Datenexport

1. 1.
   Während der Laufzeit kann der Betrieb seine Daten in der App einsehen und exportieren (DATEV-Export vorhanden; vollständiger Datenexport siehe Absatz 2). Entwürfe kann der Betrieb selbst löschen. Freigegebene Belege bleiben aus Gründen der Unveränderbarkeit (GoBD) gespeichert und werden storniert statt gelöscht.
2. 2.
   Datenexport: OsAI stellt dem Betrieb auf Anforderung, spätestens mit der Kündigung, einen vollständigen Export in gängigen Formaten zur Verfügung: Belege als PDF und E-Rechnungs-XML, Kundenliste (CSV), Preisliste, Aufmaße, Fotos (JPEG), Eingangsrechnungen (Original-XML), Protokoll (CSV), Anfragen aus dem Anfrage-Formular, eigene Vorlagen, Nummernkreise, Einstellungen und Logo sowie die Kundenmappen (Nachrichten mit Abschriften, Dateien im Original, Rückfragen, Checklisten, Termin-Antworten, Verlauf als PDF). Der Inhaber lädt diesen Export jederzeit selbst in der App herunter (ZIP-Datei).
3. 3.
   Nach Vertragsende hat der Betrieb 30 Tage Zeit, den Export abzurufen („Export-Fenster"). Das gilt ebenso, wenn die kostenlose Testphase endet, ohne dass der Betrieb ein Abo abschließt. Danach löscht OsAI alle personenbezogenen Daten des Betriebs innerhalb weiterer 30 Tage in der Datenbank, im Datei-Speicher und bei den Unterauftragsverarbeitern, soweit OsAI darauf Einfluss hat. Aus Datensicherungen verschwinden die Daten mit dem Ablauf der Sicherungszyklen (Datenbank: 7 Tage; Datei-Sicherung: gelöschte Dateien bleiben dort als Vorversion 30 Tage, Beleg-PDFs 365 Tage). Einzelheiten: Löschkonzept (loeschkonzept.md).
4. 4.
   Aufbewahrungspflichten des Betriebs: Der Betrieb bleibt selbst verpflichtet, Rechnungen, Buchungsbelege und Geschäftsbriefe gesetzlich aufzubewahren (z. B. § 147 AO, § 257 HGB, § 14b UStG). OsAI ist nach Vertragsende nicht verpflichtet, diese Daten für den Betrieb weiter aufzubewahren, es sei denn, dies ist gesondert vereinbart. Ein Archiv nach Vertragsende bietet OsAI nicht an.
5. 5.
   Eine Rückgabe auf Datenträgern erfolgt nicht; die Rückgabe geschieht durch den Export. OsAI bestätigt die Löschung auf Anfrage in Textform.
6. 6.
   OsAI darf Daten über das Vertragsende hinaus nur speichern, wenn eine gesetzliche Pflicht dies verlangt (Art. 28 Abs. 3 lit. g DSGVO). Daten, die OsAI als eigener Verantwortlicher verarbeitet (z. B. Vertrags- und Abrechnungsdaten des Betriebs), sind nicht Gegenstand dieses Vertrags.

§ 11 Nachweise und Kontrollrechte

1. 1.
   OsAI stellt dem Betrieb alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind: diesen Vertrag mit Anlagen, das Verzeichnis nach Art. 30 Abs. 2 DSGVO (Auszug), aktuelle TOMs sowie – soweit vorhanden – Zertifikate und Prüfberichte der Unterauftragsverarbeiter.
2. 2.
   Der Betrieb oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen durchführen. Vor-Ort-Kontrollen bei OsAI finden nach Anmeldung mit mindestens 14 Tagen Vorlauf, während der Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebsablaufs statt, in der Regel höchstens einmal im Kalenderjahr; bei konkretem Anlass (z. B. Datenschutzverletzung) auch kurzfristig. Ein Prüfer darf kein Wettbewerber von OsAI sein.
3. 3.
   Die Rechenzentren werden von den Unterauftragsverarbeitern betrieben. Kontrollen dort erfolgen über deren Prüfberichte und Zertifikate (z. B. SOC 2, ISO 27001), nicht vor Ort.
4. 4.
   Kosten: Unterlagen nach Absatz 1 stellt OsAI kostenlos bereit. Eine Vor-Ort-Kontrolle je Kalenderjahr ist kostenlos; für weitere Kontrollen kann OsAI den nachgewiesenen Aufwand verlangen — nie, wenn die Kontrolle einen Verstoß von OsAI aufdeckt.

§ 12 Einsatz von Künstlicher Intelligenz

1. 1.
   Für KI-Entwürfe mit echten Kundendaten nutzt OsAI ausschließlich Google Cloud Vertex AI über den regionalen Endpunkt in Frankfurt (europe-west3) unter dem Google Cloud Data Processing Addendum. Google verwendet die Eingaben nach seinen Vertragsbedingungen nicht zum Training von Modellen.
2. 2.
   Der Vorführmodus (Google AI Studio) ist in der App für echte Betriebe technisch gesperrt und wird nur für Vorführbetriebe mit Fantasiedaten genutzt.
3. 2a.
   KI-Funktionen im Einzelnen: (a) Angebotsentwurf aus Sprachnotiz oder getipptem Text; (b) Fotos der Arbeitsstelle nur, wenn der Nutzer das im Einzelfall einschaltet — höchstens vier, verkleinert, ohne Standortdaten; (c) Nachbessern und KI-Assistent im Editor (Anweisung oder Frage, Positionen des Entwurfs, die vom System berechneten Summen und — nur für die laufende Sitzung, nicht gespeichert — die letzten Nachrichten des Gesprächs; alles durch den Schutzfilter nach Absatz 3). Der Assistent schlägt Änderungen nur vor; übernommen wird erst durch den Betrieb, Texte für Kunden schickt er nie selbst ab; (d) Umformulieren einer Nachricht an den Kunden — Namen, Beträge, Titel und Nummern ersetzt die App vorher durch Platzhalter; findet der Schutzfilter danach noch persönliche Angaben, geht der Text nicht an die KI; (e) Sprachnachricht abschreiben: Sprachnachrichten in der Kundenmappe (und Sprachnachrichten im Anfrage-Formular) schickt die App automatisch an die EU-KI, die sie in Text umwandelt und bei fremder Sprache ins Deutsche überträgt. Die Kundin oder der Kunde sieht vor der Aufnahme den Satz „Ihre Sprachnachricht wird automatisch in Text umgewandelt.“ Die Abschrift wird so gespeichert und angezeigt, wie gesprochen wurde; die KI schreibt nie selbst an Kunden; (f) Angebot aus der Kundenmappe oder einer Anfrage: Erst wenn der Betrieb „Daraus ein Angebot machen“ wählt, gehen der von ihm geprüfte Text (Nachrichten, Abschriften, Antworten auf Rückfragen) und die von ihm ausgewählten Fotos an die KI, auf demselben Weg wie (a) und (b); (g) Nachbessern mit Antworten: Antworten der Kundin oder des Kunden auf Rückfragen übernimmt der Betrieb auf Knopfdruck in ein Nachbessern nach (c). Für (f) und (g) gilt der Schutzfilter nach Absatz 3. PDF-Dokumente aus der Kundenmappe gehen nie an die KI; (h) Deine KI: aktive Regeln und Erfahrungswerte des Betriebs sowie höchstens zwei ähnliche Vorbilder (nur Positionstexte, Mengen, Einheiten und Preise — nach dem Schutzfilter, ohne Kunde, Anschrift und Datum) gehen mit jedem Entwurf nach (a), (c) und (f) an die KI; (i) Altes Angebot einlesen: Ein vom Betrieb hochgeladenes altes Angebot (PDF oder Foto) geht einmalig an die EU-KI nach Absatz 1, die nur die Leistungspositionen ausliest. Die Datei wird nicht gespeichert; die ausgelesenen Texte durchlaufen den Schutzfilter, bevor der Betrieb sie prüft und als Vorbild speichert; (j) Einrichtung „Wirf rein“: Ein vom Betrieb eingeworfener Beleg (PDF oder Foto) oder eine Erzählung (Sprachaufnahme oder Text) geht einmalig an die EU-KI nach Absatz 1, die nur die Angaben des Betriebs ausliest (Briefkopf, Steuer- und Bankangaben, Positionen mit Preisen, Stundensätze, Regeln). Datei und Aufnahme werden nicht gespeichert; Zeilen mit Kundenbezug fallen weg, das Ergebnis durchläuft den Schutzfilter, und übernommen wird nur, was der Betrieb auf der Prüfliste bestätigt. Dasselbe gilt, wenn OsAI auf Weisung des Betriebs Unterlagen für ihn einwirft (Vorbereitung der Einrichtung); die dafür zugeschickten Dateien löscht OsAI nach dem Einlesen; (k) Texte im Ton des Betriebs: Für Vorschläge zu Begleit-Mails, kurzen Antworten und PDF-Texten gehen nur Ton, Grußformel, Name und die Beschreibung des Betriebs (nach dem Schutzfilter) an die KI — keine Kunden- oder Belegdaten. (l) Anfragen per Mail: Mails an die Empfangsadresse des Betriebs (…@anfragen.werksbuero.de) nimmt Resend (Unterauftragsverarbeiter U4, EU) entgegen und hält sie 30 Tage; OsAI holt Text, Absender, Betreff und Fotos ab und legt daraus eine Anfrage mit Kundenmappe an. Die Mail selbst wird nicht gespeichert, andere Anhänge (z. B. PDF) nur mit ihrem Namen genannt. Nichts davon geht von selbst an die KI — den Entwurf startet der Betrieb nach (f). (m) Einkaufspreise: Zum Angebotsentwurf (a) bekommt die KI eine Auswahl der Einkaufspreise des Betriebs, die zum Auftrag passen (Lieferant, Artikel, Einheit, Preis, Datum — keine Kundendaten); den Verkaufspreis setzt die App selbst.
4. 3.
   Vor jedem KI-Aufruf entfernt ein regelbasierter Schutzfilter Namen (einschließlich aller gespeicherten Kundennamen), Anschriften, PLZ/Ort, Telefonnummern, E-Mail-Adressen, IBANs und Firmennamen mit Rechtsform aus getipptem Text. Auch die KI-Antwort wird erneut gefiltert. Sprachnotizen des Betriebs für einen Angebotsentwurf werden nicht gespeichert. Sprachnachrichten in der Kundenmappe werden dagegen als Audiodatei mit Abschrift gespeichert, damit beide Seiten sie nachhören und nachlesen können, und nach § 2.7 gelöscht. Eine Audiodatei lässt sich nicht filtern; sie geht deshalb nur zur Abschrift an die EU-KI nach Absatz 1. Den Schutzfilter durchläuft die Abschrift, sobald sie nach Absatz 2a (f) oder (g) an die KI weitergegeben wird.
5. 4.
   Restrisiko: In einer Sprachaufnahme kann ein frei gesprochener Name die KI erreichen — das gilt auch für Sprachnachrichten der Kunden in der Kundenmappe, die zur Abschrift an die EU-KI gehen; im getippten Text kann ein unbekannter Nachname ohne Anrede durchrutschen. Ein eingelesenes altes Angebot (Absatz 2a (i)) enthält in der Regel Name und Anschrift der damaligen Kundin oder des damaligen Kunden; wie bei einem Foto lässt sich die Datei vorher nicht filtern — die KI ist angewiesen, solche Angaben nicht auszulesen, und der Schutzfilter entfernt sie aus dem Ergebnis. Der Betrieb weist seine Nutzer an, Sprachnotizen ohne Namen, Anschriften und Kontaktdaten einzusprechen (Einweisung nach Art. 4 KI-Verordnung (EU) 2024/1689).
6. 5.
   Die KI trifft keine Entscheidungen. Jeder Entwurf wird vom Betrieb geprüft und freigegeben, bevor er eine Nummer erhält oder versendet wird. Eine automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO) findet nicht statt.

§ 13 Pflichten des Betriebs

1. 1.
   Der Betrieb ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage und für die Information seiner Kundinnen und Kunden (Art. 13, 14 DSGVO). OsAI stellt dafür einen Mustertext bereit (datenschutzhinweis-endkunden.md).
2. 2.
   Der Betrieb fotografiert möglichst keine Personen, Kfz-Kennzeichen oder persönlichen Unterlagen und nimmt keine besonderen Kategorien personenbezogener Daten auf (§ 2.5).
3. 3.
   Der Betrieb schützt die Zugangsdaten seiner Nutzer, entzieht ausgeschiedenen Mitarbeitenden den Zugang (bzw. beauftragt OsAI damit) und informiert OsAI unverzüglich über Fehler oder Unregelmäßigkeiten, die er bei der Nutzung feststellt.
4. 4.
   Nutzt der Betrieb Kalender oder Zeiterfassung (Z12, Z13), informiert er seine Beschäftigten darüber (Art. 13 DSGVO), beachtet ggf. Mitbestimmungsrechte eines Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG) und bewahrt Arbeitszeitnachweise so lange auf, wie es für ihn gilt (z. B. § 16 Abs. 2 ArbZG, § 17 MiLoG) — die App löscht Zeiten nicht von selbst (Löschkonzept L37). Trägt eine Nutzerin oder ein Nutzer den Abo-Link in ein Kalenderprogramm eines Dritten ein (z. B. Google, Apple, Microsoft), holt dieser Dienst die Termine selbst ab; er ist kein Unterauftragsverarbeiter von OsAI, über seine Nutzung entscheidet der Betrieb.

§ 14 Haftung

1. 1.
   Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Diese Haftung wird durch diesen Vertrag nicht beschränkt.
2. 2.
   Im Innenverhältnis trägt jede Partei den Schaden in dem Umfang, der ihrem Anteil an der Verantwortung entspricht (Art. 82 Abs. 5 DSGVO). Der Betrieb verantwortet insbesondere die Rechtsgrundlage der Verarbeitung, die Information seiner Kundinnen und Kunden, seine Weisungen und die Einhaltung von § 6 Abs. 4 AGB (keine Namen und Kontaktdaten in Sprachnotizen). OsAI verantwortet insbesondere die Umsetzung der TOMs (Anlage 2) sowie die Auswahl und Überwachung der Unterauftragsverarbeiter.
3. 3.
   Für sonstige Schadensersatzansprüche des Betriebs gegen OsAI aus diesem Vertrag gilt § 11 der Nutzungsbedingungen.
4. 4.
   Geldbußen trägt die Partei, gegen die sie verhängt werden.

§ 15 Schlussbestimmungen

1. 1.
   Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
2. 2.
   Änderungen und Ergänzungen bedürfen der Textform; dies kann auch in einem elektronischen Format erfolgen (Art. 28 Abs. 9 DSGVO).
3. 3.
   Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine zulässige, die dem Zweck am nächsten kommt.
4. 4.
   Es gilt deutsches Recht. Gerichtsstand ist Waiblingen — dies gilt nur, wenn der Betrieb Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist (wie § 15 Abs. 7 der Nutzungsbedingungen). Gegenüber anderen Betrieben gelten die gesetzlichen Gerichtsstände.
5. 5.
   Abschluss in elektronischem Format (Art. 28 Abs. 9 DSGVO): Meldet sich der Betrieb selbst an, schließt er diesen Vertrag, indem er ihn bei der Anmeldung ausdrücklich bestätigt. OsAI speichert Fassung, Zeitpunkt, bestätigende Person und E-Mail-Adresse. Der Vertrag gilt ab der Bestätigung und damit vor der ersten Verarbeitung von Kundendaten. Die jeweils gültige Fassung ist unter werksbuero.de/avv abrufbar und kann gespeichert und ausgedruckt werden; die zugestimmte Fassung schickt OsAI nach der Anmeldung als PDF per E-Mail.

Anlagen

Anlage 4 – Weisungsberechtigte Personen und Kontakte

Bei der Selbst-Anmeldung gilt die anmeldende Person als weisungsberechtigt; weitere Personen mit der Rolle „Inhaber" pflegt der Betrieb in der App (Team). Weisungen, die über die Bedienung der App hinausgehen, schickt der Betrieb in Textform an kontakt@werksbuero.de.