Vereinbarung zur Auftragsverarbeitung

Zuletzt aktualisiert: 15. Juli 2026

Diese Vereinbarung zur Auftragsverarbeitung (die „AVV“) ist Bestandteil der Nutzungsbedingungen von LLM Pulse zwischen der LLM PULSE SL („LLM Pulse“, „wir“, „uns“ oder „unser“) und dem Kunden („Sie“). Die AVV gilt immer dann, wenn wir im Zusammenhang mit dem Dienst personenbezogene Daten in Ihrem Auftrag verarbeiten. Sie ist durch Bezugnahme in die Nutzungsbedingungen einbezogen, gilt daher automatisch und muss nicht gesondert unterzeichnet werden. Haben Sie mit uns einen gesonderten Vertrag zur Auftragsverarbeitung unterzeichnet, hat dieser unterzeichnete Vertrag Vorrang vor dieser AVV.

Inhalt

1. Begriffsbestimmungen

„DSGVO“ bezeichnet die Verordnung (EU) 2016/679; die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „betroffene Person“ haben die dort festgelegte Bedeutung. „Personenbezogene Kundendaten“ sind personenbezogene Daten, die in Kundendaten (im Sinne der Nutzungsbedingungen) enthalten sind und die wir in Ihrem Auftrag verarbeiten, um den Dienst bereitzustellen. „Datenschutzrecht“ bezeichnet die DSGVO und alle sonstigen Datenschutzvorschriften, die auf die Verarbeitung im Rahmen dieser AVV anwendbar sind.

2. Rollen und Anwendungsbereich

Sie sind der Verantwortliche für die Personenbezogenen Kundendaten (oder ein Auftragsverarbeiter, der im Auftrag Ihrer eigenen Kunden handelt), und wir handeln als Ihr Auftragsverarbeiter (oder als Unterauftragsverarbeiter). Anlage 1 beschreibt Gegenstand, Dauer, Art und Zwecke der Verarbeitung, die Kategorien betroffener Personen und die Arten personenbezogener Daten. Jede Partei erfüllt ihre eigenen Pflichten nach dem anwendbaren Datenschutzrecht. Soweit Sie als Auftragsverarbeiter für Ihre eigenen Kunden handeln, sichern Sie zu, dass die Weisungen, die Sie uns erteilen, vom jeweiligen Verantwortlichen genehmigt sind und dass Sie die erforderlichen Informationen bereitgestellt und die erforderlichen Genehmigungen eingeholt haben, damit wir die Daten wie beschrieben verarbeiten dürfen.

3. Verarbeitung auf Ihre Weisung

Wir verarbeiten Personenbezogene Kundendaten ausschließlich auf Grundlage Ihrer dokumentierten Weisungen, es sei denn, wir sind nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet (in diesem Fall informieren wir Sie vor der Verarbeitung, sofern das betreffende Recht dies nicht verbietet). Ihre dokumentierten Weisungen bestehen aus den Nutzungsbedingungen und dieser AVV, Ihrer Konfiguration des Dienstes und Ihrer Nutzung seiner Funktionen. Sind wir der Auffassung, dass eine Weisung gegen das Datenschutzrecht verstößt, informieren wir Sie darüber und können die betroffene Verarbeitung aussetzen, bis die Frage geklärt ist.

4. Vertraulichkeit

Wir stellen sicher, dass alle Personen, die wir zur Verarbeitung Personenbezogener Kundendaten berechtigen (einschließlich unseres Personals und unserer externen Dienstleister), vertraglichen oder gesetzlichen Pflichten zur Vertraulichkeit unterliegen.

5. Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen um und halten sie aufrecht, um Personenbezogene Kundendaten vor Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu schützen, ob unbeabsichtigt oder unrechtmäßig. Dabei berücksichtigen wir den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung. Die aktuellen Maßnahmen sind in Anlage 2 beschrieben. Wir unterstützen Sie in angemessenem Umfang und unter Berücksichtigung der uns vorliegenden Informationen bei der Erfüllung Ihrer eigenen Sicherheitspflichten nach dem Datenschutzrecht.

6. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine schriftliche Genehmigung, die unter https://llmpulse.ai/subprocessors aufgeführten Unterauftragsverarbeiter hinzuzuziehen. Wir aktualisieren diese Seite und benachrichtigen Sie (per E-Mail oder in der App) mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen. Sie können innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen schriftlich Einspruch erheben. Können wir Ihnen keine Lösung anbieten, sind Sie berechtigt, den betroffenen Teil des Dienstes zu kündigen, und erhalten dann eine anteilige Rückerstattung der im Voraus gezahlten Entgelte für den nicht genutzten Zeitraum. Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieser AVV im Wesentlichen entsprechen, und bleiben dafür verantwortlich, dass unsere Unterauftragsverarbeiter ihre Pflichten erfüllen.

7. Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte wahrnehmen (etwa das Recht auf Auskunft, Berichtigung, Löschung oder Datenübertragbarkeit). Wendet sich eine betroffene Person wegen Daten, die in Ihrem Auftrag verarbeitet werden, direkt an uns, leiten wir die Anfrage unverzüglich an Sie weiter und beantworten sie nicht inhaltlich, es sei denn, dies ist gesetzlich vorgeschrieben.

8. Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Personenbezogene Kundendaten betrifft. Die Benachrichtigung enthält die Informationen, die uns vernünftigerweise zur Verfügung stehen, etwa die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Wir können Informationen schrittweise bereitstellen, sobald sie verfügbar sind, und verzögern die erste Benachrichtigung nicht allein deshalb, weil noch nicht alle Einzelheiten bekannt sind. Wir arbeiten mit Ihnen zusammen und unterstützen Sie in angemessenem Umfang bei der Erfüllung Ihrer eigenen Melde- und Benachrichtigungspflichten.

9. Datenschutz-Folgenabschätzungen

Wir unterstützen Sie in angemessenem Umfang und unter Berücksichtigung der uns vorliegenden Informationen bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation von Aufsichtsbehörden, soweit diese den Dienst betreffen.

10. Internationale Datenübermittlungen

Wir hosten Personenbezogene Kundendaten in der Europäischen Union. Verarbeitet ein Unterauftragsverarbeiter Personenbezogene Kundendaten außerhalb des Europäischen Wirtschaftsraums, stellen wir einen rechtmäßigen Übermittlungsmechanismus sicher, etwa einen Angemessenheitsbeschluss der Europäischen Kommission (einschließlich des Datenschutzrahmens EU-USA, sofern der Empfänger zertifiziert ist) oder die von der Europäischen Kommission erlassenen Standardvertragsklauseln, bei Bedarf zusammen mit ergänzenden Maßnahmen. Einzelheiten zu jedem Anbieter finden Sie in der Liste der Unterauftragsverarbeiter.

11. Audits und Informationen

Wir stellen Ihnen die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen, einschließlich Antworten auf angemessene schriftliche Sicherheitsfragebögen. Sie können höchstens einmal alle 12 Monate in einem Audit prüfen, ob wir diese AVV einhalten. Das Audit ist mindestens 30 Tage im Voraus schriftlich anzukündigen und findet während der Geschäftszeiten, ohne Störung unseres Betriebs, auf Ihre eigenen Kosten, unter Wahrung der Vertraulichkeit und ohne Zugriff auf Daten anderer Kunden statt. Die Beschränkungen hinsichtlich Häufigkeit und Ankündigungsfrist gelten nicht, wenn ein Audit infolge einer vermuteten oder bestätigten Verletzung des Schutzes personenbezogener Daten, aufgrund glaubhafter Anhaltspunkte für einen wesentlichen Verstoß oder auf Verlangen einer zuständigen Aufsichtsbehörde vernünftigerweise erforderlich ist. In diesen Fällen kündigen Sie das Audit mit einer den Umständen angemessenen Frist an. Soweit möglich, erfüllen wir Anfragen nach einem Audit zunächst durch Dokumentation und Bescheinigungen Dritter. Deckt ein Audit einen wesentlichen Verstoß auf, beheben wir ihn unverzüglich.

12. Rückgabe und Löschung der Daten

Endet die Verarbeitung, geben wir Ihnen nach Ihrer Wahl die Personenbezogenen Kundendaten zurück und löschen vorhandene Kopien, oder wir löschen die Daten, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht. Diese Wahl können Sie während der Laufzeit Ihres Abonnements oder innerhalb von 30 Tagen nach Vertragsbeendigung schriftlich treffen. In diesem Zeitraum stellen wir Ihnen auf Anfrage einen angemessenen Export zur Verfügung, wie in den Nutzungsbedingungen beschrieben. Erteilen Sie keine Weisung, gilt dies als Weisung, die Daten zu löschen. Die Löschung schließen wir innerhalb von 90 Tagen nach Vertragsbeendigung ab. Ausgenommen sind Sicherungskopien, die im regulären Sicherungszyklus überschrieben werden, sowie Daten, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen; diese bleiben bis zu ihrer Löschung nach Maßgabe dieser AVV geschützt. Auf schriftliche Anfrage bestätigen wir die Löschung.

13. Haftung

Die Haftungsausschlüsse und Haftungsbeschränkungen der Nutzungsbedingungen gelten, soweit gesetzlich zulässig, auch für diese AVV, und die Haftung aus den Nutzungsbedingungen und dieser AVV ist insgesamt auf einen einzigen gemeinsamen Höchstbetrag begrenzt. Diese vertraglichen Beschränkungen gelten nur im Verhältnis zwischen Ihnen und uns. Die Rechte betroffener Personen, die Befugnisse der Aufsichtsbehörden und jede Haftung, deren Ausschluss oder Beschränkung das anwendbare Datenschutzrecht den Parteien nicht gestattet, bleiben davon unberührt.

14. Laufzeit, Vorrang und Änderungen

Diese AVV gilt, solange wir Personenbezogene Kundendaten im Rahmen der Nutzungsbedingungen verarbeiten. In datenschutzrechtlichen Angelegenheiten hat diese AVV Vorrang vor den Nutzungsbedingungen. Wir können diese AVV nach dem in den Nutzungsbedingungen vorgesehenen Änderungsverfahren aktualisieren. Änderungen, die zur Einhaltung des Datenschutzrechts erforderlich sind, können mit einer kürzeren Ankündigungsfrist wirksam werden; über solche Änderungen informieren wir Sie.

Anlage 1: Einzelheiten der Verarbeitung

Gegenstand: Bereitstellung der Plattform LLM Pulse, der vom Kunden gewählten optionalen Funktionen und des zugehörigen Supports.
Dauer: die Laufzeit Ihres Abonnements zuzüglich des in Abschnitt 12 beschriebenen Zeitraums für Rückgabe und Löschung. In Agent Analytics hochgeladene Rohdateien werden nach der Verarbeitung bis zu 30 Tage lang aufbewahrt.
Art und Zwecke: Hosting, Speicherung, Analyse, Berichterstellung, verbundene Webanalyse, Agent Analytics, eingebettete Ansichten, von Ihnen angeforderte KI-gestützte Funktionen, Support, Sicherheit und Verbesserung des Dienstes, jeweils nach Ihren Weisungen, die sich aus Ihrer Nutzung des Dienstes ergeben.
Kategorien betroffener Personen: Ihre Nutzer und Beschäftigten; Ihre Kunden und Personen, die eingebettete oder geteilte Berichte ansehen; Personen, die Websites besuchen, oder Leads, jeweils soweit ihre personenbezogenen Daten in einer verbundenen Analysequelle oder einer von Ihnen bereitgestellten Logquelle enthalten sind; sowie Personen, deren personenbezogene Daten in öffentlichen Quellen vorkommen, die der Dienst analysiert.
Kategorien personenbezogener Daten: Identifikations- und Kontaktdaten (etwa Namen und E-Mail-Adressen), geschäftliche und berufliche Angaben, aggregierte Traffic-, Sitzungs- und Conversion-Daten, Seiten-URLs und Referrer, Aktivitäten von Personen beim Ansehen eingebetteter oder geteilter Berichte, technische Anfrage- und Logdaten aus den von Ihnen bereitgestellten Quellen sowie die in diesen Quellen enthaltenen Inhaltsdaten.
Besondere Kategorien personenbezogener Daten: nicht vorgesehen; Sie verpflichten sich, solche Daten nicht an den Dienst zu übermitteln.

Anlage 2: Technische und organisatorische Maßnahmen

Zu unseren Maßnahmen gehören: Hosting in der Europäischen Union bei renommierten Anbietern; Verschlüsselung von Daten bei der Übertragung (TLS); Zugriffskontrollen nach dem Prinzip der minimalen Rechte und mit rollenbasierten Berechtigungen; strenge Authentifizierungskontrollen für administrative Zugriffe; Protokollierung und Überwachung der Produktivsysteme; Trennung von Produktiv- und Nichtproduktivumgebungen; regelmäßige Datensicherungen mit festgelegten Aufbewahrungsfristen; Vertraulichkeitsverpflichtungen des Personals; Sorgfaltsprüfung der Unterauftragsverarbeiter; dokumentierte Verfahren zur Reaktion auf Sicherheitsvorfälle; sowie sichere Entwicklungspraktiken, einschließlich Code-Reviews und Aktualisierung von Abhängigkeiten.

Anlage 3: Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter mit ihrem jeweiligen Zweck und ihren Regionen ist unter https://llmpulse.ai/subprocessors veröffentlicht. Änderungen teilen wir Ihnen wie in Abschnitt 6 dieser AVV beschrieben mit.