Der Auftragsverarbeitungsvertrag
RechtlichesLetzte Aktualisierung: August 2026
Vor der Aktivierung erhält und unterzeichnet jeder Shop den Auftragsverarbeitungsvertrag (DPA). Diese Seite gibt seinen Inhalt in lesbarer Form wieder: die Rollen, die Garantien und die Fristen, die der Vertragstext verbindlich festlegt.
Die Rollen in vier Zeilen
01Der Shop
Verantwortlicher
02Die Agentur, wenn sie den Dienst weiterverkauft
Auftragsverarbeiter
03Kartio
Auftragsverarbeiter oder Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO)
04Die Dienstleister von Kartio
Weitere Unterauftragsverarbeiter, aufgeführt im Verzeichnis, das bei der Unterschrift ausgehändigt wird
Kartio kontaktiert niemals Besucher oder Kunden des Shops: Weisungen und operative Mitteilungen laufen über den Vertriebskanal.
Nur auf dokumentierte Weisung
Wir verarbeiten personenbezogene Daten ausschließlich zur Erbringung des Dienstes und ausschließlich auf dokumentierte Weisung: den Vertrag, die in den Panels hinterlegte Konfiguration und angenommene schriftliche Anfragen. Erscheint uns eine Weisung unvereinbar mit der DSGVO, weisen wir darauf hin, bevor wir sie ausführen, statt sie still auszuführen.
Ausschluss vom Training
Wir trainieren keine eigenen Modelle auf den Inhalten der Kunden. Von den Anbietern künstlicher Intelligenz verlangen wir Konfigurationen, die die Verwendung der Daten für Training oder allgemeine Verbesserung ausschließen: Der Stand dieses Ausschlusses ist, Anbieter für Anbieter, im vor der Unterschrift ausgehändigten Verzeichnis dokumentiert. Qualitätsanalysen bleiben auf den einzelnen Shop beschränkt: Eine shopübergreifende Nutzung erforderte eine neue dokumentierte Weisung und aggregierte oder anonyme Daten.
Unterauftragsverarbeiter mit Vorankündigung
Die Liste der Unterauftragsverarbeiter ist Teil des Verzeichnisses, das vor der Unterschrift ausgehändigt wird. Jede Ergänzung oder Ersetzung wird mit einer Frist von mindestens dreißig Tagen mitgeteilt; Sie können aus dokumentierten Gründen innerhalb von fünfzehn Tagen widersprechen und, falls sich keine Alternative findet, den betroffenen Dienst ohne Vertragsstrafe kündigen. Jeder Unterauftragsverarbeiter ist vertraglich zu Pflichten verpflichtet, die nicht weniger aufwendig sind als unsere.
Die Dienstleister, Kategorie für KategorieRechte der betroffenen Personen
Wir unterstützen den Vertriebskanal bei der Bearbeitung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch: Die Daten sind pro Shop getrennt und technisch durchsuchbar. Schreibt uns eine betroffene Person direkt, antworten wir nicht in der Sache: Wir leiten die Anfrage unverzüglich weiter.
Verletzungen des Schutzes personenbezogener Daten
Jede Verletzung, von der wir Kenntnis erlangen, wird unverzüglich, in jedem Fall aber innerhalb von 48 Stunden gemeldet, mit Art, Kategorien und ungefährer Zahl der betroffenen Personen, den wahrscheinlichen Folgen und den ergriffenen Maßnahmen. Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen bleibt Aufgabe des Verantwortlichen.
Gemessene Aufbewahrung
Die Aufbewahrungsfristen sind Produkteinstellungen, keine Vertriebsschätzungen: Nachrichten und Transkripte 90 Tage, Rückkontakt-Leads 365 Tage, Bestellzuordnung 730 Tage, verschlüsselte Backups 30 Tage. Die geplante Löschung läuft jeden Tag, und die vollständige Tabelle ist öffentlich.
Die Aufbewahrungstabelle, Datenelement für DatenelementLöschung und Rückgabe am Ende der Zusammenarbeit
Bei Beendigung werden personenbezogene Daten auf dokumentierte Weisung in einem nutzbaren Format zurückgegeben oder innerhalb von dreißig Tagen aus den Primärsystemen gelöscht; die Kopien in den verschlüsselten Backups entfallen mit der Rotation, spätestens innerhalb von dreißig Tagen. Die Ausführung wird auf Anfrage schriftlich bestätigt.
Übermittlungen außerhalb der Europäischen Union
Wir stellen den Dienst nicht grundsätzlich als durchgängig europäisch dar: Der tatsächliche Standort jeder Verarbeitung ist im Verzeichnis dokumentiert. Eine Übermittlung in Drittländer erfolgt nur mit einer Garantie nach den Artikeln 44-49 DSGVO, in der Regel den Standardvertragsklauseln, und nach einer Übermittlungsbewertung. Die Echtzeit-Sprachfunktion folgt einem eigenen Aktivierungsblatt: Ohne nachgewiesene Region, Aufbewahrungsfristen des Anbieters und dokumentierte Genehmigung wird sie nicht auf Daten echter Kunden aktiviert.
Transparenz zur künstlichen Intelligenz
Der Assistent offenbart sich in der Begrüßung als künstliche Intelligenz, bleibt in der Oberfläche und in maschinenlesbarer Form gekennzeichnet, gemäß Artikel 50 des AI Act. Keine biometrische Identifizierung, keine Emotionserkennung, kein Stimmenklonen. Kartio ist kein zertifiziertes Produkt und behauptet das auch nicht.
Die Details der KontrollenPrüfungen
Wir stellen die technische und organisatorische Dokumentation bereit, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich ist. Eine Prüfung pro Jahr ist mit einer Frist von dreißig Tagen möglich, mit risikoangemessenen Modalitäten und ohne Beeinträchtigung der anderen Shops.
Was nicht in den Dienst gehört
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und justizbezogene Daten (Art. 10) werden weder verlangt noch erbeten: Teilt sie ein Besucher von sich aus mit, folgen sie der anwendbaren Aufbewahrungsfrist und können auf Weisung gelöscht werden. Der Dienst ist nicht darauf ausgelegt, sich an Minderjährige zu richten.
Der vollständige Vertragstext, mit dem Verzeichnis der Dienstleister und den Aktivierungsblättern, wird vor der Unterschrift ausgehändigt. Um ihn zu erhalten, schreiben Sie an info@kartio.ai.