Rechtliches · UK GDPR & EU GDPR Art. 28

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 22. Oktober 2026

Unverbindliche Übersetzung. Bei Abweichungen gilt die englische Fassung.

EN · IT · DE · FR · ES

1. Parteien und Geltungsbereich

Dieser Vertrag besteht zwischen dem Händler, der Kosmly nutzt („Verantwortlicher“), und der Kosmly Ltd, eingetragen in England und Wales (Nr. [number]), Sitz [address], USt-IdNr. [GB number] („Auftragsverarbeiter“). Er erfüllt Artikel 28 der UK GDPR und der DSGVO, je nachdem, welche für den Verantwortlichen gilt. Er gilt für alle personenbezogenen Daten, die der Auftragsverarbeiter über den Kosmly-Dienst für den Verantwortlichen verarbeitet, und ist Teil der Nutzungsbedingungen. Bei Widersprüchen zwischen diesem AVV und den Bedingungen geht dieser AVV in Datenschutzfragen vor.

2. Einzelheiten der Verarbeitung

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien von Daten und betroffenen Personen sind in Anlage I beschrieben.

3. Pflichten des Auftragsverarbeiters

1. Weisungen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, also nach den Bedingungen, diesem AVV und den Einstellungen des Verantwortlichen in Kosmly. Er informiert den Verantwortlichen, wenn er eine Weisung für rechtswidrig hält.
2. Vertraulichkeit. Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet und in Datenschutz und KI-Kompetenz geschult.
3. Sicherheit. Der Auftragsverarbeiter setzt die Maßnahmen aus Anlage II um (Art. 32 DSGVO).
4. Datenminimierung. Agenten erhalten nur die Daten, die sie brauchen. Namen, E-Mail-Adressen und Telefonnummern werden durch Platzhalter ersetzt, bevor Text an ein KI-Modell geht, sofern die Aufgabe es zulässt.
5. Kein Training. Personenbezogene Daten werden nie zum Training oder zur Verbesserung von KI-Modellen genutzt, weder vom Auftragsverarbeiter noch von seinen Unterauftragsverarbeitern.
6. Betroffenenanfragen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen auf Auskunft, Berichtigung, Löschung oder Export, auch über die verpflichtenden Datenschutz-Webhooks der Plattformen.
7. Datenschutzverletzungen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens 48 Stunden nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, mit den Informationen, die der Verantwortliche für seine eigene Meldung nach Art. 33 braucht.
8. Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen (Art. 35) und vorherigen Konsultationen, die Kosmly betreffen.
9. Ende des Dienstes. Innerhalb von 30 Tagen nach Ende des Dienstes löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie auf Wunsch zurück, sofern das Gesetz keine Aufbewahrung verlangt.
10. Nachweise. Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung nötigen Informationen bereit und erlaubt ein Audit pro Jahr mit 30 Tagen Vorlauf oder nach einer Datenschutzverletzung.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anlage III. Der Auftragsverarbeiter verpflichtet jeden vertraglich zu denselben Datenschutzpflichten. Er kündigt jeden neuen Unterauftragsverarbeiter mindestens 30 Tage vorher per E-Mail und auf dieser Seite an. Der Verantwortliche kann aus vernünftigen Gründen widersprechen; findet sich keine Lösung, kann er den betroffenen Dienst mit anteiliger Erstattung beenden.

5. Internationale Übermittlungen

Personenbezogene Daten werden in der EU/im EWR gespeichert und verarbeitet. Der Auftragsverarbeiter hat seinen Sitz im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der EU besteht; der Fernzugriff seines britischen Personals stützt sich auf diesen Beschluss. Jede andere Übermittlung erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses, der Standardvertragsklauseln (Durchführungsbeschluss 2021/914 der Kommission) oder, für britische Daten, des International Data Transfer Agreement bzw. Addendum, mit einer Bewertung des Übermittlungsrisikos und zusätzlichen Garantien, wo nötig.

6. Haftung

Die Haftung jeder Partei aus diesem AVV unterliegt den Grenzen der Nutzungsbedingungen, soweit Artikel 82 der UK GDPR oder der DSGVO nichts anderes bestimmt.

Anlage I · Beschreibung der Verarbeitung

Punkt	Beschreibung
Zweck	Betrieb der vom Verantwortlichen aktivierten KI-Agenten: Inhalte (Vega), SEO (Sirius), Übersetzung (Lyra), Preise (Orion) und später Bilder, Social Media, E-Mail, Warenkörbe, Support, Bewertungen, Lager, Analysen und Werbung.
Betroffene Personen	Kunden und potenzielle Kunden des Verantwortlichen, Shop-Besucher, die den Support-Chat nutzen, und Mitarbeitende des Verantwortlichen.
Datenkategorien	Name, E-Mail, Telefon, Liefer- und Rechnungsadresse, Bestellhistorie, Inhalte von Bewertungen und Chats, Einwilligungsstatus. Besondere Kategorien (Art. 9) sind nicht vorgesehen.
Art	Speichern, Abrufen, Analysieren und Erzeugen von Texten oder Bildern mit KI-Modellen, je nach der vom Verantwortlichen gewählten Autonomiestufe.
Dauer	Für die Dauer des Abonnements plus 30 Tage.
Aufbewahrung der KI-Protokolle	Der vollständige Text, der an KI-Modelle gesendet und von ihnen empfangen wird, wird nicht als Protokoll gespeichert. Der Nutzungseintrag jedes KI-Aufrufs (Modell, Tokens, Kosten, kein Text) wird 90 Tage aufbewahrt, danach nur als Monatssummen für 13 Monate. Der Aktionsverlauf der Agenten in Mission Control und das Audit-Protokoll werden 24 Monate aufbewahrt, ausgehende E-Mails 90 Tage, Support-Chats 30 Tage. Alles wird mit dem Konto gelöscht.
Besuche über KI-Assistenten	Anonyme Tageszähler pro Shop: Tag, KI-Assistent und Einstiegsseite. Kein Cookie, keine IP-Adresse, keine Besucherkennung, also keine personenbezogenen Daten. Werden mit dem Konto des Shops gelöscht.
IndexNow	Die öffentlichen URLs geänderter Seiten werden an api.indexnow.org gesendet, damit Suchmaschinen sie aktualisieren. Keine personenbezogenen Daten.
Google Merchant Center (optional)	Verbindet der Verantwortliche es, liest Orion nur die Preisberichte (Marktpreise von Produkten). Keine personenbezogenen Daten.
E-Mail-Sperrliste	Bei abgewiesenen oder als Spam markierten E-Mails werden nur ein SHA-256-Hash der Adresse und der Grund gespeichert, damit die Adresse nicht erneut angeschrieben wird. Pseudonymisierte Daten, nach Vertragsende nur zu diesem Zweck aufbewahrt.

Anlage II · Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256).
• Strikte Trennung der Daten jedes Händlers, auf Datenbankebene erzwungen.
• Rollenbasierter Zugriff, Zwei-Faktor-Authentifizierung und minimale Rechte für Mitarbeitende; Zugriffe werden protokolliert.
• Pseudonymisierung personenbezogener Daten, bevor sie KI-Modelle erreichen, sofern die Aufgabe es zulässt.
• Tägliche verschlüsselte Backups in der EU mit getesteten Wiederherstellungen.
• Schwachstellenmanagement, Prüfung von Abhängigkeiten und ein öffentlicher Sicherheitskontakt (security@kosmly.app), im Einklang mit dem Cyber Resilience Act.
• Schriftliches Verfahren für Vorfälle und Datenschutzverletzungen, mindestens einmal im Jahr getestet.
• Schulung der Mitarbeitenden in Datenschutz und KI-Kompetenz (Art. 4 AI Act).

Anlage III · Unterauftragsverarbeiter

Unterauftragsverarbeiter	Zweck	Ort
Scaleway SAS	Hosting der Anwendung, verwaltete Datenbank, verschlüsselte Backups; seine Generative APIs (offene KI-Modelle) nur zur Gegenprüfung von Texten oder als Notfall-Ersatz	Paris, Frankreich (EU)
Amazon Web Services EMEA SARL (Amazon Bedrock)	KI-Modelle (Anthropic Claude), die Texte, SEO und Übersetzungen schreiben. Erhält den Aufgabentext, Namen, E-Mail-Adressen und Telefonnummern maskiert, wann immer die Aufgabe es zulässt; kein Training, keine Speicherung der Prompts durch den Anbieter	Frankfurt, Deutschland (EU)
Google Cloud EMEA Limited (Vertex AI)	Dieselben Claude-Modelle in einer EU-Region, die Gemini-Modelle, die Texte gegenprüfen, und die Bildmodelle. Dieselben Daten und dieselbe Maskierung; kein Training	EU-Regionen (Niederlande und weitere EU-Rechenzentren)
Microsoft Ireland Operations Limited (Azure OpenAI)	Ein GPT-Modell, das fertige Texte natürlich klingen lässt, und, falls eingeschaltet, Bilderzeugung. Erhält nur den fertigen Text; kein Training	France Central, Paris (EU)
Requesty Ltd	KI-Routing: leitet jeden Aufruf über seinen Frankfurter Zugangspunkt an die EU-Bereitstellungen der oben genannten Anbieter weiter und gibt die Antwort zurück. Der Text wird nur durchgeleitet; kein Training	Frankfurt, Deutschland (EU-Zugangspunkt)
Mistral AI SAS	Gegenprüfung von Texten und KI-Ersatzmodelle, wenn das Hauptmodell nicht verfügbar ist; kein Training	Frankreich (EU)
Anthropic, PBC (Claude API)	Letzter Ersatz für dasselbe Claude-Modell, nur wenn eingeschaltet und alle EU-Wege oben ausfallen; kein Training	Vereinigte Staaten; EU-US Data Privacy Framework und Standardvertragsklauseln
Sendinblue SAS (Brevo)	E-Mails an Mitarbeitende des Verantwortlichen; später E-Mails, die Comet und Halley im Auftrag des Verantwortlichen senden	Frankreich (EU)
DataForSEO OU	Suchdaten (Rankings, Suchvolumen, Wettbewerber). Erhält nur Keywords, Domains und öffentliche Seitenadressen: keine personenbezogenen Daten	Tallinn, Estland (EU)
Cloudflare, Inc.	DNS für kosmly.app und seine Subdomains sowie Hosting der öffentlichen Website. Sieht die IP-Adresse jeder Anfrage, die Kosmly weder erhält noch speichert	Globales Netz; EU-US Data Privacy Framework und Standardvertragsklauseln

Supportanfragen werden innerhalb von Kosmly auf der oben genannten Infrastruktur bearbeitet. Dienste, die der Verantwortliche selbst verbindet (zum Beispiel Google Search Console, Google Analytics, Merchant Center, Unternehmensprofil, soziale Netzwerke, Klaviyo, Trustpilot oder Okendo), erhalten Daten auf Weisung des Verantwortlichen nach ihren eigenen Bedingungen mit dem Verantwortlichen; sie sind keine Unterauftragsverarbeiter von Kosmly.

Kontakt zu diesem Vertrag: privacy@kosmly.app.