Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil des Dienstleistungsvertrags zwischen AIroomier und dem Betrieb, der den Dienst nutzt („Kunde“). Er gilt immer dann, wenn AIroomier personenbezogene Daten im Auftrag des Kunden verarbeitet, insbesondere die Daten seiner Gäste. Er erfüllt die Anforderungen von Art. 28 der Datenschutz-Grundverordnung (DSGVO) und des türkischen Datenschutzgesetzes Nr. 6698 (KVKK). Mit der Kontoeröffnung und der Annahme des Dienstleistungsvertrags nimmt der Kunde auch diesen AVV an. Eine gesonderte Unterschrift ist nicht erforderlich.

Parteien und Rollen#

Verantwortlicher: der Kunde. Er entscheidet, wofür Gästedaten verarbeitet werden, und ist gegenüber seinen Gästen verantwortlich.
Auftragsverarbeiter: Gürer Ilgar, handelnd als AIroomier, Liman Mah. 18. Sok. No: 23, 07070 Antalya, Türkei, support@airoomier.com (vollständige Angaben im Impressum).
Soweit AIroomier Daten für eigene Zwecke verarbeitet (z. B. das Kundenkonto, die Abrechnung und die Marketing-Website), ist AIroomier Verantwortlicher; dann gilt statt dieses AVV die Datenschutzerklärung.

Gegenstand, Art und Zweck#

AIroomier stellt die KI-Rezeptionsassistentin Mira und das Verwaltungs-Dashboard bereit. Dazu empfängt AIroomier Nachrichten von Gästen, erzeugt Antworten mit großen Sprachmodellen, zeigt Verfügbarkeiten und Preise an, erfasst Buchungs- und Serviceanfragen, versendet Benachrichtigungs-E-Mails und speichert den Gesprächsverlauf im Dashboard. Mit dem Mitarbeiter-Dolmetscher (Pro) wandelt AIroomier außerdem Gespräche zwischen dem Personal des Kunden und Gästen von Sprache in Text um, übersetzt sie und schlägt Antworten vor. AIroomier verarbeitet die Daten ausschließlich zur Erbringung dieses Dienstes.

Der AVV gilt für die Dauer des Dienstleistungsvertrags und danach bis zur Löschung oder Rückgabe der Daten.

Art der Daten und betroffene Personen#

Betroffene Personen: Gäste und Interessenten des Kunden, die den Chat nutzen oder eine Anfrage senden; Mitarbeiter des Kunden, die das Dashboard nutzen.

Art der Daten: Chatnachrichten und KI-Antworten; Name, E-Mail-Adresse und Telefonnummer; Reisedaten, Personenzahl, Zimmer- oder Stellplatzwünsche und weitere Angaben zu Buchungen oder Anfragen; Sprache und Zeitpunkt des Gesprächs; technische Daten wie IP-Adresse und Browserinformationen; bei Nutzung des Mitarbeiter-Dolmetschers das gesprochene Gespräch, seine Abschrift und Übersetzung; Name, E-Mail-Adresse und Rolle der Dashboard-Nutzer.

Besondere Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) sind für den Dienst nicht erforderlich. Der Kunde weist seine Gäste darauf hin, solche Daten nicht im Chat zu teilen (das Chatfenster zeigt diesen Hinweis an). Teilt ein Gast sie dennoch, behandelt AIroomier sie wie alle anderen Chatdaten.

Weisungen des Kunden#

AIroomier verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind der Dienstleistungsvertrag, dieser AVV und die Einstellungen, die der Kunde im Dashboard wählt.
AIroomier informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.
Ist AIroomier gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt AIroomier dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.
Der Kunde ist dafür verantwortlich, dass die Verarbeitung eine Rechtsgrundlage hat und seine Gäste informiert werden, etwa in seiner eigenen Datenschutzerklärung.

Vertraulichkeit#

Alle Personen bei AIroomier, die Zugriff auf die Daten des Kunden haben, sind zur Vertraulichkeit verpflichtet und dürfen die Daten nur nach Weisung des Kunden verarbeiten.

Technische und organisatorische Maßnahmen#

AIroomier trifft die folgenden Maßnahmen (Anhang II der Standardvertragsklauseln):

Hosting in der EU: Anwendung, Datenbank und hochgeladene Dateien liegen auf einem Server der Contabo GmbH in einem Rechenzentrum in Lauterbourg, Frankreich.
Verschlüsselung bei der Übertragung: Alle Verbindungen zum Dashboard, zum Chatfenster und zur API laufen über HTTPS (TLS).
Zugriffskontrolle: Jeder Betrieb ist ein eigener Mandant und kann die Daten anderer Betriebe nicht sehen. Rollen im Dashboard (Inhaber, Admin, Manager, Mitarbeiter) begrenzen, was ein Nutzer sieht; Nutzer mit der Rolle Mitarbeiter sehen nur Gästeanfragen.
Passwörter werden nur als nicht umkehrbarer Hash gespeichert. Administrativer Zugriff auf die Server ist auf befugtes Personal von AIroomier beschränkt.
KI-Anbieter und Training: Bei den Sprachmodell-Anbietern für Mira ist Zero Data Retention aktiviert, sie speichern Eingaben und Antworten also nicht; Anbieter, die Anfragedaten zum Training nutzen, sind ausgeschlossen. Für den Mitarbeiter-Dolmetscher ist Deepgram (Spracherkennung) vom Modelltraining abgemeldet und speichert Audio nur so lange, wie die Verarbeitung es erfordert; Anthropic (Übersetzung) nutzt die Daten nicht zum Training und löscht sie spätestens nach 30 Tagen; Google Cloud Text-to-Speech (Vorlesen der Übersetzungen) erhält nur Text, nie Audio. AIroomier speichert keine Sprachaufnahmen.
Datenminimierung und Speicherdauer: Chatverläufe werden höchstens 12 Monate gespeichert. Nach Schließung eines Kontos werden seine Daten innerhalb von 30 Tagen gelöscht, aus Backups spätestens nach 90 Tagen.
Verfügbarkeit: regelmäßige Backups und Überwachung des Dienstes.

AIroomier kann diese Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt.

Unterauftragsverarbeiter#

Der Kunde erteilt AIroomier eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste mit Zweck, Standort und Übermittlungsgrundlage jedes Anbieters steht auf der Seite Unterauftragsverarbeiter.
AIroomier kündigt neue oder ersetzte Unterauftragsverarbeiter mindestens 30 Tage im Voraus per E-Mail an den Kontoinhaber und auf dieser Seite an. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den betroffenen Dienst kündigen.
AIroomier verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die mindestens so schützend sind wie dieser AVV, und haftet für seine Unterauftragsverarbeiter.

Internationale Datenübermittlungen#

AIroomier hat seinen Sitz in der Türkei. Für die Türkei besteht kein Angemessenheitsbeschluss der Europäischen Kommission. Unterliegt der Kunde der DSGVO, werden personenbezogene Daten daher auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission), Modul 2 (Verantwortlicher an Auftragsverarbeiter), an AIroomier übermittelt. Die Klauseln werden durch Verweis Bestandteil dieses AVV; der Kunde ist Datenexporteur, AIroomier Datenimporteur.
Es gelten folgende Optionen: Klausel 7 (Kopplungsklausel) gilt; Klausel 9 Option 2 (allgemeine Genehmigung, 30 Tage Vorankündigung); die optionale Formulierung in Klausel 11 gilt nicht; nach Klausel 13 ist die Aufsichtsbehörde des EU-Mitgliedstaats zuständig, in dem der Kunde niedergelassen ist oder in dem sein EU-Vertreter niedergelassen ist; Klauseln 17 und 18: Recht und Gerichte Irlands.
Anhang I der Klauseln wird durch diesen AVV ausgefüllt: Die Parteien sind unter „Parteien und Rollen“ genannt, die Verarbeitung ist unter „Gegenstand, Art und Zweck“ und „Art der Daten und betroffene Personen“ beschrieben, und die Übermittlung erfolgt fortlaufend während der Vertragslaufzeit. Anhang II ist der Abschnitt „Technische und organisatorische Maßnahmen“. Anhang III ist die Seite Unterauftragsverarbeiter.
Für Übermittlungen, die schweizerischem Recht unterliegen, gelten Verweise auf die DSGVO als Verweise auf das Schweizer Datenschutzgesetz (DSG), zuständige Behörde ist der EDÖB. Für Übermittlungen aus dem Vereinigten Königreich gilt das UK Addendum zu den EU-Standardvertragsklauseln.
Einige Unterauftragsverarbeiter verarbeiten Daten außerhalb der EU, vor allem in den USA. AIroomier setzt diese Anbieter nur mit geeigneten Garantien nach Art. 46 DSGVO ein (Standardvertragsklauseln in den Datenverarbeitungsbedingungen des Anbieters und, soweit der Anbieter zertifiziert ist, das EU-US Data Privacy Framework). Unterliegt die Übermittlung dem KVKK, verwendet AIroomier die nach Art. 9 KVKK erforderlichen Standardverträge.
Bei Widersprüchen zwischen den Standardvertragsklauseln und diesem AVV gehen die Klauseln vor.

Unterstützung des Kunden#

AIroomier unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Anträgen seiner Gäste auf Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit). Das meiste davon ist direkt im Dashboard möglich. Schreibt ein Gast an AIroomier, leitet AIroomier die Anfrage an den Kunden weiter und beantwortet sie nicht allein.
AIroomier unterstützt außerdem bei Sicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 32 bis 36 DSGVO) unter Berücksichtigung der ihm vorliegenden Informationen.

Verletzungen des Schutzes personenbezogener Daten#

AIroomier informiert den Kunden unverzüglich, spätestens innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Kunden betrifft. Die Meldung beschreibt, soweit bekannt, was geschehen ist, welche Daten und ungefähr wie viele Personen betroffen sind, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. AIroomier ergänzt die Informationen, sobald sie vorliegen, und ergreift angemessene Maßnahmen zur Eindämmung.

Kontrollen und Informationen#

AIroomier stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, vor allem dieses Dokument, die Seite Unterauftragsverarbeiter und schriftliche Antworten auf angemessene Fragen. Reicht das nicht aus, kann der Kunde eine Kontrolle selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchführen, mit mindestens 30 Tagen Vorankündigung, während der Geschäftszeiten und höchstens einmal jährlich, sofern nicht eine Aufsichtsbehörde etwas anderes verlangt oder eine Datenschutzverletzung vorliegt. Jede Partei trägt ihre eigenen Kosten.

Löschung und Rückgabe der Daten#

Bei Vertragsende kann der Kunde seine Daten im Dashboard exportieren. AIroomier löscht die personenbezogenen Daten des Kunden anschließend innerhalb von 30 Tagen, aus Backups spätestens nach 90 Tagen, sofern keine gesetzliche Pflicht zur längeren Aufbewahrung besteht. Auf Wunsch bestätigt AIroomier die Löschung schriftlich.

Haftung und Rangfolge#

Es gelten die Haftungsregeln des Dienstleistungsvertrags, soweit die DSGVO oder die Standardvertragsklauseln keine Beschränkung zulassen. Bei Widersprüchen zwischen diesem AVV und dem Dienstleistungsvertrag geht dieser AVV in Datenschutzfragen vor. AIroomier kann diesen AVV aktualisieren; wesentliche Änderungen kündigt AIroomier vorab per E-Mail an, und Änderungen dürfen das Schutzniveau nicht senken.

Fassung: 31. Oktober 2026. Fragen zu diesem AVV richten Sie an support@airoomier.com.