Auftragsverarbeitungsvertrag

Stand: 31. Oktober 2026 · English version

Dieser Auftragsverarbeitungsvertrag („AVV“) nach Art. 28 der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“) ist Teil des Vertrags zwischen dem Unternehmen, das Avokado nutzt („Kunde“), und Aleksandr Kadesnikov, Einzelunternehmer, Identifikationsnummer (IČO) 23037717, Olgy Havlové 2931/37, 130 00 Praha 3 – Žižkov, Tschechische Republik („Avokado“). Er gilt, sobald Avokado personenbezogene Daten im Auftrag des Kunden verarbeitet, und wird mit Annahme unserer Nutzungsbedingungen wirksam. Wenn der Kunde ein unterschriebenes Exemplar benötigt, genügt eine E-Mail an hello@avokado.chat.

1. Gegenstand und Dauer

Avokado stellt dem Kunden einen KI-Assistenten bereit, der Nachrichten der Kundinnen und Kunden des Kunden auf Instagram, Facebook Messenger, WhatsApp, Telegram und im Website-Chat beantwortet, sowie ein Kundenportal und Benachrichtigungen. Dafür verarbeitet Avokado personenbezogene Daten im Auftrag des Kunden. Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Dieser AVV gilt, solange Avokado personenbezogene Daten für den Kunden verarbeitet.

2. Rollen

Der Kunde ist Verantwortlicher, Avokado ist Auftragsverarbeiter. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage, die Information seiner Kundinnen und Kunden (zum Beispiel in seiner Datenschutzerklärung) und die Bearbeitung von Anfragen betroffener Personen. Die Weisungen des Kunden ergeben sich aus dem Vertrag, aus den Einstellungen, die er in Avokado wählt (zum Beispiel Anweisungen an den Assistenten, verbundene Kanäle, aktivierte Funktionen und Empfänger von Benachrichtigungen), sowie aus weiteren Weisungen in Textform, auch per E-Mail.

3. Pflichten von Avokado

1. Avokado verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, sofern nicht das Recht der EU oder der Tschechischen Republik etwas anderes verlangt; in diesem Fall teilt Avokado dies dem Kunden vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Avokado informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.
2. Avokado nutzt die personenbezogenen Daten nicht für eigene Zwecke, verkauft sie nicht, nutzt sie nicht für Werbung und nicht zum Training von KI-Modellen.
3. Alle Personen, die Avokado zur Verarbeitung der personenbezogenen Daten befugt, sind zur Vertraulichkeit verpflichtet.
4. Avokado trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und darf sie an die technische Entwicklung anpassen, solange das Schutzniveau nicht sinkt.
5. Avokado unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO), zum Beispiel durch Auffinden, Exportieren oder Löschen eines Gesprächs. Anfragen, die Avokado direkt erreichen, leitet Avokado unverzüglich an den Kunden weiter.
6. Avokado unterstützt den Kunden bei der Einhaltung seiner Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation) unter Berücksichtigung der Avokado vorliegenden Informationen.
7. Avokado meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie Avokado bekannt geworden ist, mit den zu diesem Zeitpunkt verfügbaren Informationen (Art. 33 Abs. 2 DSGVO), und ergänzt sie, sobald mehr bekannt ist.
8. Avokado stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei. Überprüfungen werden mindestens 30 Tage vorher angekündigt, finden während der Geschäftszeiten und höchstens einmal jährlich statt, sofern kein besonderer Anlass wie eine Datenschutzverletzung besteht, und dürfen die Sicherheit und Vertraulichkeit der Daten anderer Kunden nicht gefährden. Avokado kann zunächst mit schriftlichen Auskünften und vorhandenen Zertifizierungen seiner Dienstleister antworten.

4. Unterauftragsverarbeiter

Der Kunde erteilt Avokado eine allgemeine Genehmigung für den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. Über eine beabsichtigte Hinzuziehung oder Ersetzung informiert Avokado den Kunden mindestens 30 Tage vorher per E-Mail; der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Lässt sich keine Lösung finden, kann der Kunde die betroffenen Leistungen kündigen. Avokado legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens den Schutz dieses AVV bieten, und bleibt dem Kunden gegenüber für seine Unterauftragsverarbeiter verantwortlich.

Messaging-Plattformen, die der Kunde selbst verbindet — Meta (Instagram, Messenger, WhatsApp) und Telegram —, sind keine Unterauftragsverarbeiter von Avokado. Der Kunde nutzt sie auf Grundlage seiner eigenen Vereinbarungen mit diesen Plattformen; Avokado tauscht auf Weisung des Kunden Nachrichten mit ihnen aus.

5. Übermittlungen außerhalb der EU/des EWR

Avokado übermittelt personenbezogene Daten in ein Land außerhalb der EU/des EWR nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind: auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (etwa des EU-U.S. Data Privacy Framework für zertifizierte Empfänger) oder der Standardvertragsklauseln der Europäischen Kommission, bei Bedarf mit zusätzlichen Maßnahmen. Anlage 3 zeigt, wo jeder Unterauftragsverarbeiter Daten verarbeitet.

6. Löschung und Rückgabe bei Vertragsende

Der Nachrichtenverlauf wird automatisch nach 180 Tagen gelöscht. Nach Vertragsende löscht Avokado alle für den Kunden verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, einschließlich der Zugangstoken verbundener Konten, sofern nicht das Recht der EU oder der Tschechischen Republik eine Speicherung verlangt. Vorher kann der Kunde seine Leads exportieren (CSV im Kundenportal) oder per E-Mail einen Export seiner Gespräche anfordern. Auf Wunsch bestätigt Avokado die Löschung.

7. Haftung und Schlussbestimmungen

Die Haftung aus diesem AVV richtet sich nach den Nutzungsbedingungen; Art. 82 DSGVO bleibt unberührt. Bei Widersprüchen zwischen diesem AVV und den übrigen Vertragsbestandteilen geht dieser AVV für die Verarbeitung personenbezogener Daten vor. Anwendbares Recht und Gerichtsstand richten sich nach den Nutzungsbedingungen: Recht der Tschechischen Republik, zuständige Gerichte der Tschechischen Republik. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Avokado darf diesen AVV anpassen, wenn sich Recht oder Leistungen ändern; wesentliche Änderungen werden mindestens 30 Tage vorher angekündigt, und der Kunde kann wie in den Nutzungsbedingungen beschrieben widersprechen. Diese deutsche Fassung ist eine Übersetzung; bei Abweichungen gilt die englische Fassung unter avokado.chat/dpa.

Anlage 1 — Einzelheiten der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen

• Hosting und Standort: Server und Datenbank bei Hetzner in Finnland (EU); das KI-Modell standardmäßig bei einem Anbieter in der EU.
• Verschlüsselung: der gesamte Datenverkehr zum Dienst ist verschlüsselt (TLS) und läuft über Cloudflare; Zugangstoken und API-Schlüssel verbundener Konten werden verschlüsselt in der Datenbank gespeichert.
• Netzwerk: die Server sind aus dem Internet nicht direkt erreichbar; alle Anfragen laufen über den Proxy. Webhooks von Messaging-Plattformen werden nur mit Signatur oder Geheimnis der Plattform angenommen.
• Zugriffskontrolle: persönliche Logins mit gehashten Passwörtern (scrypt) und getrennte Sitzungen für Team-Panel und Kundenportal; das Team-Panel ist auf der Domain des Kundenportals nicht erreichbar; Kunden sehen nur ihre eigenen Daten; Änderungen an Verbindungen und Zugängen werden protokolliert.
• Datenminimierung und Speicherfristen: nur die für den Dienst nötigen Daten; automatische Löschung des Nachrichtenverlaufs nach 180 Tagen; keine Nutzung für Werbung oder KI-Training.
• Missbrauchsschutz: Ratenbegrenzung bei Logins und im Website-Chat, Prüfung auf einen Menschen (Cloudflare Turnstile), bevor ein Website-Chat beginnt.
• Verfügbarkeit: Überwachung des Dienstes; Dienstleister mit redundanter Infrastruktur.
• Organisation: Vertraulichkeitspflichten für alle mit Zugriff; ein Verfahren zur Behandlung und Meldung von Datenschutzverletzungen; regelmäßige Überprüfung dieser Maßnahmen.

Anlage 3 — Unterauftragsverarbeiter

Wählt der Kunde in seinen Einstellungen einen anderen Anbieter für das KI-Modell, wird dieser Anbieter für diesen Kunden ergänzt.