# Auftragsverarbeitungsvertrag — ai-me

Version 1.0 · Zuletzt aktualisiert: 18. Oktober 2026 (2026-10-18)

[Diesen AVV herunterladen (Markdown)](/de/dpa.md)

Dieser Auftragsverarbeitungsvertrag (AVV) besteht zwischen dem Kunden (dem Website-Betreiber oder Mandanten, der ai-me-bot als Verantwortlicher nutzt) und der Sinai Tech Ventures LLC, 53 Capital Mall, Behind the Courthouse, 2nd Floor, Fifth Settlement (New Cairo), Egypt (Auftragsverarbeiter). Er ist Teil der [Nutzungsbedingungen](/de/terms). Kontakt: legal@sinaitechventures.com.

## 1. Geltungsbereich und Vorrang

Dieser AVV gilt, wenn der Kunde Verantwortlicher im Sinne der DSGVO, der UK GDPR oder des ägyptischen Gesetzes zum Schutz personenbezogener Daten Nr. 151/2020 ist. Bei Widersprüchen haben einbezogene Standardvertragsklauseln (SCC) Vorrang vor diesem AVV, und dieser hat Vorrang vor den Nutzungsbedingungen.

## 2. Beschreibung der Verarbeitung (Anhang I)

Gegenstand ist die Beantwortung von Fragen von Website-Besuchern aus der Wissensbasis des Kunden. Die Verarbeitung dauert, solange der Assistent besteht, zuzüglich der Löschfristen nach Abschnitt 11. Sie umfasst den Empfang von Fragen, das Abrufen von Passagen, das Erzeugen von Antworten, Ratenbegrenzung, Missbrauchsschutz, Nutzungsmessung und, nur wenn aktiviert, das Speichern von Gesprächen. Betroffene sind Besucher und in hochgeladenen Inhalten genannte Personen. Daten sind Freitextfragen und -antworten; per Opt-in gespeicherte Gespräche ohne IP-Adresse oder User-Agent; IP-Adressen in kurzlebigen Zählern der Ratenbegrenzung, die etwa eine Stunde nach der letzten Nutzung entfernt werden; übermittelte Inhalte und URLs; sowie inhaltsfreie Token-Zahlen. Besondere Kategorien personenbezogener Daten sind nicht vorgesehen und dürfen nicht abgefragt werden.

## 3. Weisungen

Wir verarbeiten nur auf dokumentierte Weisungen in diesem AVV, in den Nutzungsbedingungen und in den Einstellungen des Kunden, einschließlich erlaubter Origins, Gesprächsspeicherung, Aufbewahrung und eigenem Anbieterschlüssel. Verlangt das Recht eine andere Verarbeitung, informieren wir den Kunden zuvor, sofern dies nicht untersagt ist. Wir informieren den Kunden unverzüglich, wenn eine Weisung gegen Datenschutzrecht zu verstoßen scheint.

## 4. Vertraulichkeit

Befugte Personen sind zur Vertraulichkeit verpflichtet, und der Zugriff ist auf das Erforderliche beschränkt.

## 5. Sicherheit (Anhang II)

Maßnahmen sind TLS für den Dienstverkehr über nginx; PostgreSQL-Row-Level-Security für jede Mandantentabelle; API-Schlüssel nur als Hashes gespeichert; eigene Anbieterschlüssel mit AES-256-GCM verschlüsselt; Anwendungs-, Datenbank- und Embedding-Dienste auf Loopback oder ein internes Netz beschränkt; nächtliche verschlüsselte Backups außerhalb des Servers in vom Betreiber kontrolliertem Speicher; lokale TEI-Embeddings, wobei kein Besucher- oder Wissenstext an Dritte gesendet wird; Gesprächsspeicherung standardmäßig aus mit stündlicher Löschung abgelaufener Daten; und Anfrageprotokolle mit Route, Status, Zeitangaben und Assistentenkennung, aber ohne Nachrichteninhalt. Der Dienst läuft auf unserem eigenen Server, der von einem Hosting-Anbieter betrieben wird.

## 6. Unterauftragsverarbeiter {#sub-processors}

Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die untenstehende Liste. Ergänzungen oder Ersetzungen werden mindestens 30 Tage im Voraus durch Aktualisierung der Liste und des Datums der letzten Aktualisierung angekündigt, sowie per E-Mail, wenn uns eine Adresse des Kunden vorliegt. Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; bleibt dies ungelöst, kann er die Nutzung beenden und den Assistenten löschen. Jeder Unterauftragsverarbeiter erhält Pflichten, die nicht weniger schützend sind als dieser AVV, und die Sinai Tech Ventures LLC bleibt haftbar.

| Unterauftragsverarbeiter | Zweck | Daten | Ort | Garantie für die Übermittlung | Einsatz |
| --- | --- | --- | --- | --- | --- |
| Groq, Inc. | Erzeugen von Antworten des Assistenten (LLM-Inferenz) | Frage des Besuchers, aktueller Gesprächskontext, abgerufene Wissenspassagen, Antwort | USA (api.groq.com) | EU-Standardvertragsklauseln, Durchführungsbeschluss (EU) 2021/914 der Kommission, im Rahmen des Kunden-AVV von Groq | Nur mit dem Plattformschlüssel; nie, wenn ein eigener Anbieterschlüssel gesetzt ist |

- Eigener Anbieter (BYOK): Anfragen gehen an den vom Kunden gewählten zugelassenen Anbieter nach dessen eigenem Vertrag; dieser Anbieter ist nicht unser Unterauftragsverarbeiter, und der Plattformschlüssel wird nicht verwendet.
- Embeddings: werden auf unserem eigenen Server mit einem offenen Modell berechnet; kein Dritter erhält Besucher- oder Wissenstext. Modelldateien werden einmalig ohne personenbezogene Daten von Hugging Face heruntergeladen.
- Analytics: Nur die Landingpage nutzt das selbst gehostete Umami; das Widget und die API nicht, sodass keine Chatdaten an Analytics gesendet werden.
- Hosting: Unser Server wird von einem Hosting-Anbieter betrieben; Einzelheiten auf Anfrage.

## 7. Internationale Übermittlungen

Die Sinai Tech Ventures LLC hat ihren Sitz in Ägypten. Für Kunden im EWR sind die EU-SCC Modul 2 einbezogen: Klausel 7 gilt; Klausel 9(a) Option 2 nutzt die allgemeine Genehmigung und 30 Tage; der optionale Wortlaut von Klausel 11 entfällt; die Klauseln 13, 17 Option 2 und 18 verwenden Aufsichtsbehörde, Recht und Gerichte des Mitgliedstaats des Kunden; die Anhänge I–III sind die Abschnitte 2, 5 und 6. Die Weitergabe durch Groq stützt sich auf dessen SCC Modul 3. Nur für eine Antwort nötiger Text wird über TLS gesendet. Für Kunden im Vereinigten Königreich gilt der ICO International Data Transfer Addendum; für Schweizer Kunden gelten die SCC mit Anpassungen an das FADP.

## 8. Anfragen betroffener Personen

Werkzeuge sind die standardmäßig ausgeschaltete Speicherung, eine Aufbewahrung von 1–3650 Tagen (Standard 30), das Löschen von Wissensquellen und das Löschen des gesamten Assistenten. Direkte Anfragen leiten wir an den Kunden weiter; wir beantworten sie nicht selbst.

## 9. Unterstützung

Wir liefern Informationen, die für Pflichten zu Sicherheit, Datenschutz-Folgenabschätzung und vorheriger Konsultation nach den Artikeln 32–36 DSGVO vernünftigerweise nötig sind.

## 10. Verletzung des Schutzes personenbezogener Daten

Wir benachrichtigen den Kunden unverzüglich, in jedem Fall innerhalb von 72 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt wurde. Soweit bekannt, umfasst die Mitteilung Art, Kategorien und ungefähre Zahlen, wahrscheinliche Folgen, Maßnahmen und eine Kontaktstelle; sie kann in Etappen erfolgen und ist kein Schuldeingeständnis.

## 11. Löschung oder Rückgabe

Vor der Löschung kann der Kunde seine Daten auf diesen Wegen abrufen. Über die REST-API: die Liste seiner Wissensquellen mit ihren Metadaten (`GET /v1/knowledge/sources`) und jedes gespeicherte Gespräch anhand seiner ID (`GET /v1/conversations/{id}`). Über die MCP-Verbindung (`/mcp`): jede Quelle (`list_sources`) und der gespeicherte Text jeder Quelle als Abschnitte in Lesereihenfolge (`get_source`), beides seitenweise. Der gespeicherte Text ist das, was der Dienst nach der Verarbeitung vorhält, nicht die ursprünglich hochgeladene Datei, von der der Kunde eine eigene Kopie behält. Das Löschen des Assistenten über `DELETE /v1/tenant` oder die Admin-Steuerung entfernt sofort seine Schlüssel, Quellen, Abschnitte, Gespräche, Nachrichten, Nutzungsdaten, Zähler der Ratenbegrenzung und MCP-Verbindungen. Abgelaufene Gespräche werden stündlich gelöscht und leere Gespräche nach einem Tag. Verschlüsselte Backups werden im normalen Wechsel innerhalb von **[Aufbewahrungsdauer der Backups — vom Betreiber vor der Veröffentlichung zu bestätigen]** überschrieben, außer bei Daten, die wir von Rechts wegen aufbewahren müssen.

## 12. Prüfungen und Auskünfte

Wir liefern die Informationen, die zum Nachweis der Einhaltung nötig sind, und ermöglichen Prüfungen, einschließlich Inspektionen, durch den Kunden oder dessen Prüfer mit 30 Tagen Vorankündigung, höchstens jährlich, außer nach einer Verletzung oder auf Verlangen einer Behörde, während der Geschäftszeiten, vertraulich und auf Kosten des Kunden.

## 13. Pflichten des Kunden

Der Kunde stellt eine Rechtsgrundlage und eine Datenschutzerklärung für Besucher sicher, vermeidet Wissensdaten besonderer Kategorien und ist für seinen Vertrag mit dem BYOK-Anbieter verantwortlich.

## 14. Haftung, Laufzeit, Recht und Sprache

Die Haftung folgt den Nutzungsbedingungen, ohne die SCC-Haftung zu beschränken. Dieser AVV gilt, solange die Verarbeitung andauert. Es gelten ägyptisches Recht und die Gerichte in Kairo, außer bei den Festlegungen der SCC. Für Kunden in Ägypten gilt der arabische Text; im Übrigen gilt der englische.

## 15. Änderungen

1.0 (2026-10-18): erste Fassung.