Vereinbarung zur Auftragsverarbeitung
Finanztrainer · Stand 23. September 2026 · Vertragsfassung 2026-10-01-b2b-avv
Diese Vereinbarung ergänzt den Nutzungsvertrag zwischen dem im Kundenkonto beziehungsweise in der Bestellung bezeichneten Unternehmen oder beruflich handelnden Selbstständigen (Auftraggeber) und BYB Agency GmbH, Hafenstraße 25, 68159 Mannheim, Deutschland (Auftragnehmer). Der Kontoinhaber bestätigt, zum Abschluss für den Auftraggeber befugt zu sein. Ansprechpartner ist die im Konto hinterlegte Kontaktperson; der Auftragnehmer ist über accounting@byb-agency.com erreichbar. Bei Datenschutzfragen geht diese Vereinbarung widersprechenden Bestimmungen des Nutzungsvertrags vor.
1. Auftrag, Weisungen und Laufzeit
Der Auftragnehmer verarbeitet die in Anlage 1 beschriebenen Daten ausschließlich zur Bereitstellung der beauftragten Funktionen und nach dokumentierter Weisung. Weisungen ergeben sich aus dem Vertrag, den Einstellungen und den zulässigen Bedienhandlungen; zusätzliche Weisungen erfolgen in Textform. Über gesetzlich vorgeschriebene abweichende Verarbeitungen informiert er vorab, soweit dies zulässig ist. Hält er eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus.
Die Vereinbarung gilt ab Bestätigung dieser Vertragsfassung einschließlich des Testzeitraums bis zur vollständigen Rückgabe oder Löschung der Auftragsdaten. Der Auftraggeber bestimmt Zwecke und Rechtsgrundlagen, informiert Betroffene und stellt die Rechtmäßigkeit seiner Eingaben und Weisungen sicher. Für eigene Vertragsverwaltung, Abrechnung und gesetzliche Nachweispflichten verarbeitet der Auftragnehmer erforderliche Daten als Verantwortlicher gemäß Datenschutzerklärung.
2. Vertraulichkeit und Sicherheit
Zugriff erhalten ausschließlich befugte, zur Vertraulichkeit verpflichtete Personen im erforderlichen Umfang. Der Auftragnehmer setzt die Maßnahmen in Anlage 2 um, überprüft ihre Wirksamkeit und darf sie bei mindestens gleichbleibendem Schutzniveau weiterentwickeln. Er nutzt Auftragsinhalte nicht für eigene Werbung oder zum Training eigener allgemeiner KI-Modelle.
3. Unterstützung und Datenschutzvorfälle
Der Auftragnehmer unterstützt unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten, Datensicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. An ihn gerichtete Betroffenenanfragen zum Auftrag leitet er unverzüglich weiter und beantwortet sie inhaltlich nur auf Weisung oder aufgrund gesetzlicher Pflicht.
Eine bekannt gewordene Verletzung des Schutzes von Auftragsdaten meldet er dem Auftraggeber unverzüglich. Soweit verfügbar, nennt er Art und Umfang, betroffene Daten und Personen, Ansprechpartner, voraussichtliche Folgen und ergriffene oder vorgeschlagene Gegenmaßnahmen. Fehlende Angaben reicht er ohne unangemessene Verzögerung nach und unterstützt die Eindämmung und Dokumentation.
4. Nachweise und Kontrollen
Der Auftragnehmer stellt die erforderlichen Informationen zum Nachweis der vereinbarten Pflichten bereit und ermöglicht angemessene Prüfungen einschließlich Inspektionen durch den Auftraggeber oder dessen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer. Termin und Umfang werden unter Wahrung der Sicherheit und Rechte anderer Kunden abgestimmt; bei konkreten Vorfällen dürfen notwendige Prüfungen nicht verzögert werden. Behördliche Befugnisse bleiben unberührt.
5. Unteraufträge und internationale Übermittlungen
Der Auftraggeber erteilt eine allgemeine Genehmigung für die in Anlage 3 benannten Unterauftragsverarbeiter. Der Auftragnehmer kündigt beabsichtigte Hinzufügungen oder Ersetzungen mindestens 30 Tage zuvor in Textform an. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen eine zumutbare Lösung; ohne Lösung darf der betroffene Verarbeitungsteil vor Einsatz des neuen Dienstleisters beendet werden. Die Pflichten zum Schutz der Auftragsdaten werden vertraglich weitergegeben; der Auftragnehmer bleibt gegenüber dem Auftraggeber für deren Erfüllung verantwortlich.
Übermittlungen außerhalb des EWR erfolgen nur auf dokumentierter Weisung und bei Vorliegen der Voraussetzungen des Kapitels V DSGVO, insbesondere geeigneter Standardvertragsklauseln oder eines einschlägigen Angemessenheitsbeschlusses. Die vereinbarte Nutzung der benannten Anbieter ist eine entsprechende Weisung. Erforderliche zusätzliche Schutzmaßnahmen und Transferprüfungen sind zu dokumentieren.
6. Rückgabe und Löschung
Der Auftraggeber kann Daten in den vorgesehenen Exportformaten erhalten und ihre Löschung verlangen. Das Ende eines Testzugangs oder Abos löscht den Verlauf nicht automatisch. Nach endgültiger Beendigung des Kundenkontos werden Auftragsdaten einschließlich zugeordneter Providerkopien auf Weisung gelöscht oder zuvor zurückgegeben. Gesetzlich erforderliche Aufbewahrungen werden auf die erforderlichen Daten und Zwecke beschränkt. Sicherungskopien bleiben gegen normale Nutzung gesperrt und werden im dokumentierten Sicherungszyklus überschrieben; bei einer Wiederherstellung werden Löschweisungen erneut umgesetzt.
Anlage 1 · Beschreibung der Verarbeitung
Zweck und Vorgänge: Bereitstellung von KI-Vertriebstraining, Gesprächssimulation, Transkription, Feedback, Prüfungssimulation, Fortschritt, Abzeichen, Team-Coaching und Ranglisten; Erfassen, Übertragen, Speichern, Auswerten, Anzeigen, Exportieren und Löschen. Smart Pilot verarbeitet freigegebene Gesprächsausschnitte für Live-Coaching; eine Nachbereitung wird nur bei aktivierter Speicherung abgelegt.
Betroffene: Kontoinhaber, eingeladenes Personal und vom Auftraggeber rechtmäßig einbezogene Gesprächsteilnehmer. Daten: Name, berufliche E-Mail, Teamzuordnung, Sprachinhalte, Transkripte, Leitfäden, Mentor-Nachrichten, Ergebnisse, Feedback, Trainingszeiten und Nutzungsfortschritt. Besondere Kategorien personenbezogener Daten sind nicht Gegenstand des Auftrags und dürfen nicht eingegeben werden. In Übungen sind fiktive Kundendaten zu verwenden; reale Gespräche setzen eine zulässige Beteiligteninformation und gegebenenfalls Einwilligung voraus.
Dauer und Häufigkeit: nutzungsabhängig während des Kontobestands. Trainingsdaten bleiben erhalten, bis Nutzende ihren Trainingsverlauf ganz oder einzelne Trainings in der App löschen, das Konto gelöscht oder die Löschung nach Abschnitt 6 verlangt wird; zugeordnete Gesprächskopien beim Sprachdienst werden dabei mitgelöscht. Beim Sprachagenten ist die Audioaufzeichnung deaktiviert; vorübergehende Providertranskripte sind auf sieben Tage begrenzt. Die erforderliche flüchtige Audioübertragung für Live-Funktionen bleibt hiervon unberührt. Kopien beim Sprachdienst aus Smart Pilot und der Sprachausgabe von Mentor AI werden unmittelbar nach der Verarbeitung gelöscht, sonst mit späteren Wiederholungen. Übermittelt der Sprachdienst zu einer Kopie keine verwendbare Kennung oder gelingen weder die Löschung noch das Speichern der Kennung, kann diese eine Kopie nicht gezielt gelöscht werden; ihre Aufbewahrung richtet sich dann nach dem Auftragsverarbeitungsvertrag des Sprachdienstes, und Smart Pilot sowie die Sprachfunktion von Mentor AI nehmen für das betroffene Konto 15 Minuten lang keine neuen Aufträge an. Für die Echtzeit-Spracheingabe von Mentor AI richtet sich die Aufbewahrung etwaiger Protokolle beim Sprachdienst nach dessen Auftragsverarbeitungsvertrag, solange der Modus ohne Datenspeicherung nicht aktiv ist.
Anlage 2 · Technische und organisatorische Maßnahmen
- TLS für Übertragungen; serverseitige Zugangsschlüssel außerhalb des Quellcodes und privater Dateizugriff.
- Einmalige E-Mail-Aktivierung, starke Passwort-Hashes, HttpOnly-Sitzungen, Sitzungswiderruf und Mehrfaktorverfahren für Betreiberzugänge.
- Konten- und Teamprüfung auf dem Server; Datenbankzugriff ausschließlich über berechtigte Serverprozesse, RLS und entzogene öffentliche Datenbankrechte.
- Begrenzung von Anfragen, Schutz gegen fremde Website-Anfragen, Eingabeprüfung und reduzierte Protokollierung.
- Getrennte Testdatenbank und Testzahlungen; versionierte Änderungen, automatisierte Prüfungen, Rückwechsel und Datensicherungen mit Wiederherstellungsprüfung.
- Kontobezogener Export und Löschabläufe; minimierte Provideraufbewahrung und beschränkter Zugriff auf Sicherungen.
Anlage 3 · Unterauftragsverarbeiter
- Amazon Web Services EMEA SARL: Anwendungsbetrieb in Frankfurt, EU.
- Supabase: verwaltete Datenbank in Paris, EU; maßgebliche Vertragsgesellschaft gemäß dem für die BYB-Organisation abgeschlossenen DPA.
- Anthropic PBC: textbasierte KI-Auswertung und Mentor, Verarbeitung kann in den USA erfolgen.
- Eleven Labs Inc.: Sprachdialog, Sprachsynthese und Transkription; Verarbeitung kann in den USA erfolgen. Der Live-Dialog verwendet darüber Google Gemini als weiteren Unterauftragsverarbeiter.
- Plus Five Five, Inc. (Resend): Transaktions-E-Mails; Verarbeitung kann in den USA erfolgen.
Die Dienste verarbeiten nur die für ihre Aufgabe erforderlichen Daten. Stripe wird für Zahlungsabwicklung nach den hierfür geltenden eigenen datenschutzrechtlichen Verantwortlichkeiten eingesetzt. Weitere Informationen stehen in der Datenschutzerklärung.