nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und der Appontes GmbH, Rotensteiner Str. 20, 78628 Rottweil (Auftragsverarbeiter, „Auftragnehmer“). Der Vertrag gilt mit Registrierung für den Appontes AI Connector (Testphase und Abonnement).
§ 1 Gegenstand und Dauer
(1) Der Auftragnehmer betreibt den Vermittlungsdienst (Relay) unter appontes.ai. Er leitet Anfragen und Antworten zwischen den vom Auftraggeber genutzten KI-Assistenten und dem Connector, den der Auftraggeber auf seinem Server betreibt, weiter.
(2) Der Auftragnehmer speichert keine Inhalte. Personenbezogene Daten werden nur während der Durchleitung verarbeitet und als Metadaten protokolliert (§ 3).
(3) Zusätzlich speichert der Auftragnehmer je Connector die Benutzer, die der Auftraggeber im Connector für KI-Assistenten freigibt: Sage-Benutzername, Prüfwert der E-Mail-Adresse (SHA-256-Hash) sowie Zeitpunkte der ersten und letzten Nutzung. Er nutzt diese Angaben nur, um die Benutzerplätze des Abonnements zu prüfen und bei der Anmeldung eines KI-Assistenten den Connector zu finden.
(4) Der Vertrag läuft so lange wie das Abonnement.
§ 2 Art der Daten und Kreis der Betroffenen
Je nach Nutzung durch den Auftraggeber können durchgeleitet werden:
| Kategorie der Betroffenen | Datenarten |
|---|---|
| Kunden und Interessenten | Stammdaten, Kontaktdaten, Ansprechpartner, Belege, Umsätze, offene Posten, Korrespondenz |
| Lieferanten | Stammdaten, Kontaktdaten, Belege, Zahlungsdaten |
| Beschäftigte des Auftraggebers | Benutzernamen, Prüfwert der E-Mail-Adresse, Anmeldedaten während der Durchleitung (Sage- bzw. Windows-Kennwort, zweiter Faktor; nicht gespeichert), Zeiterfassung, Ressourcenplanung, Aktivitäten |
| Sonstige Geschäftspartner | Daten aus Buchhaltung, Projekten, Dokumenten und Mails |
Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen.
§ 3 Protokollierung
Für Betrieb und Sicherheit protokolliert der Auftragnehmer Zeitpunkt, Kennung des Auftraggebers, aufgerufenen Pfad, Statuscode, Dauer und IP-Adresse des Clients. Die Protokolle werden nach 7 Tagen gelöscht.
§ 4 Weisungen
(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet. Die Weisungen ergeben sich aus diesem Vertrag und den Einstellungen, die der Auftraggeber in der Verwaltung und im Connector trifft.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
§ 5 Pflichten des Auftragnehmers
- Er verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit.
- Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
- Er unterstützt den Auftraggeber bei Anfragen Betroffener und bei den Pflichten nach Art. 32 bis 36 DSGVO.
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
§ 6 Unterauftragnehmer
Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragnehmer zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Hostinger International Ltd., Larnaca, Zypern | Betrieb des virtuellen Servers für Website und Relay | Rechenzentrum in Deutschland |
Stripe Payments Europe, Ltd., Dublin, verarbeitet ausschließlich Abrechnungsdaten des Auftraggebers als eigener Verantwortlicher und ist kein Unterauftragnehmer im Sinne dieses Vertrags.
Der Auftragnehmer informiert den Auftraggeber vorab in Textform über neue oder geänderte Unterauftragnehmer. Der Auftraggeber kann innerhalb von vier Wochen aus wichtigem Grund widersprechen und den Vertrag in diesem Fall kündigen.
§ 7 Kontrollrechte
Der Auftraggeber kann sich nach rechtzeitiger Anmeldung von der Einhaltung dieses Vertrags überzeugen, in der Regel durch Auskünfte und Unterlagen, bei begründetem Anlass auch durch eine Prüfung vor Ort während der üblichen Geschäftszeiten. Den Aufwand kann der Auftragnehmer angemessen in Rechnung stellen, soweit die Prüfung keinen Verstoß ergibt.
§ 8 Löschung und Rückgabe
Nach Ende des Vertrags löscht der Auftragnehmer die Daten des Auftraggebers, insbesondere die freigegebenen Benutzer, Kontodaten und Protokolle, soweit keine gesetzliche Aufbewahrungspflicht besteht. Datensicherungen laufen nach 14 Tagen ab. Inhalte aus der Sage 100 speichert er ohnehin nicht.
§ 9 Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag den Allgemeinen Geschäftsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.
Stand: 25. Oktober 2026