Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Zwischen dem Auftraggeber — dem Unternehmen, das Folov nutzt, benannt im unterzeichneten Angebot — und dem Auftragsverarbeiter:

FERENA Ventures L.L.C-FZ
Meydan Grandstand, 6th Floor, Meydan Road, Nad Al Sheba
Dubai, Vereinigte Arabische Emirate

E-Mail: info@folov.ai
Telefon: +49 421 33117500

Vertreter in der Europäischen Union nach Art. 27 DSGVO:

Muhammed Bagriacik
Konsul-Smidt-Str. 8s
28217 Bremen, Deutschland

Dieser Vertrag ergänzt den Hauptvertrag (das unterzeichnete Angebot samt AGB). Er wird mit dem Hauptvertrag geschlossen und gilt für dessen gesamte Laufzeit.

---

§ 1 Gegenstand und Rollen

(1) Der Auftraggeber nutzt Folov, um die Kommunikation mit seinen eigenen Kontakten über WhatsApp und weitere angebundene Kanäle zu führen. Die dabei verarbeiteten personenbezogenen Daten sind die Daten seiner Kontakte.

(2) Für diese Daten ist der Auftraggeber Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er entscheidet über Zweck und Mittel: welche Kontakte angelegt werden, welche Ziele die KI-Agenten verfolgen, was gesendet wird. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich nach Weisung.

(3) Für die Daten der Nutzerkonten des Auftraggebers — Name, E-Mail-Adresse, Anmeldungen, Abrechnung — ist der Auftragsverarbeiter selbst Verantwortlicher. Diese Verarbeitung regelt nicht dieser Vertrag, sondern die Datenschutzerklärung.

(4) Diese Trennung ist keine Formsache. Sie entscheidet, wer eine Auskunft beantworten und eine Löschung durchführen muss.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur zu den im Hauptvertrag vereinbarten Zwecken und nur auf dokumentierte Weisung des Auftraggebers.

(2) Als Weisung gilt zunächst dieser Vertrag samt Hauptvertrag. Weitergehende Weisungen erteilt der Auftraggeber schriftlich oder per E-Mail an info@folov.ai; im Portal vorgenommene Einstellungen — etwa Aufbewahrungsfristen, Zielvorgaben der Agenten, abgeschaltete Kanäle — gelten ebenfalls als Weisung.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das mit und darf die Ausführung bis zur Klärung aussetzen.

(4) Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke. Er nutzt sie insbesondere nicht, um eigene Modelle zu trainieren, und gibt sie nicht zu Werbezwecken weiter.

§ 3 Art der Daten und Kreis der Betroffenen

Kategorien personenbezogener Daten

• Stammdaten der Kontakte: Name, Telefonnummer, E-Mail-Adresse, Unternehmen, Funktion, Sprache, frei vergebene Merkmale und Notizen
• Inhalte der Kommunikation: Nachrichten in beiden Richtungen, Anhänge, Bilder, Sprachnachrichten samt Umschrift
• Metadaten: Zeitpunkte, Zustell- und Lesebestätigungen, Kanal, zuständige Person, Zustand des Gesprächs
• Von KI-Agenten erzeugte Angaben: Zusammenfassungen, erkannte Absichten und Einwände, Bewertungen des Gesprächsverlaufs
• Termine und Aufgaben, soweit im System angelegt

Kreis der Betroffenen: Kontakte des Auftraggebers — Interessenten, Kunden, Bewerber und weitere Personen, mit denen er über die angebundenen Kanäle kommuniziert; ferner die Beschäftigten des Auftraggebers, die das System bedienen.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrages. Sendet ein Kontakt von sich aus solche Angaben in einer Nachricht, werden sie wie der übrige Inhalt behandelt; der Auftraggeber setzt das System nicht dafür ein, solche Daten gezielt zu erheben.

§ 4 Ort der Verarbeitung

(1) Der Datenbestand liegt auf Servern in Frankfurt am Main, Deutschland.

(2) Für einzelne Leistungen werden Daten an Dienstleister übermittelt, die außerhalb der Europäischen Union verarbeiten — insbesondere an die Anbieter der Sprachmodelle. Übermittelt wird dabei jeweils nur der für die Aufgabe benötigte Gesprächsausschnitt, nicht der Bestand.

(3) Der Auftragsverarbeiter hat seinen Sitz in den Vereinigten Arabischen Emiraten. Seine Mitarbeiter greifen von dort auf die Systeme zu, soweit das für Betrieb und Unterstützung erforderlich ist. Für die Emirate liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor; Grundlage sind daher die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

(2) Mit jedem Unterauftragsverarbeiter bestehen Verträge, die diesem Vertrag gleichwertige Pflichten auferlegen. Bei Verarbeitung außerhalb der Europäischen Union ohne Angemessenheitsbeschluss sind die Standardvertragsklauseln Vertragsbestandteil.

(3) Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter hinzunehmen oder wechseln. Er teilt das mindestens vier Wochen vorher mit. Der Auftraggeber kann innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen; lässt sich die Leistung dann nicht zu vertretbaren Bedingungen erbringen, darf jede Seite den Hauptvertrag zum Zeitpunkt der Umstellung kündigen.

(4) Ein Wechsel, der zur Abwehr einer Störung oder eines Angriffs sofort erforderlich ist, darf ohne Vorlauf erfolgen; die Mitteilung erfolgt dann unverzüglich danach.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter unterhält die folgenden Maßnahmen nach Art. 32 DSGVO:

Zugang und Zugriff

• Anmeldung nur mit persönlichem Konto und Passwort; Passwörter werden nur als Prüfwert gespeichert, nicht im Klartext
• Rechte je Rolle; jeder sieht nur die Daten des Mandanten, für den er freigeschaltet ist
• Vollständige Trennung der Mandanten: jede Abfrage ist an die Kennung des Mandanten gebunden
• Zugriff der Beschäftigten des Auftragsverarbeiters nur, soweit für Betrieb und Unterstützung erforderlich, und nur durch zur Vertraulichkeit verpflichtete Personen

Übertragung und Speicherung

• Transportverschlüsselung (TLS) für alle Verbindungen, außen wie innen
• Verschlüsselte Datenträger auf den Servern
• Zugangsdaten zu Fremdsystemen verschlüsselt im Bestand, nicht im Klartext

Nachvollziehbarkeit

• Änderungen an Kontakten, Gesprächen und Einstellungen werden mit Person und Zeitpunkt festgehalten
• Server-Protokolle 30 Tage, danach automatische Löschung
• Jeder KI-Aufruf wird mit Zweck, Modell und Kosten verbucht

Verfügbarkeit

• Tägliche Sicherung des Bestandes, Aufbewahrung 30 Tage
• Überwachung der Erreichbarkeit; Rücksicherung geprüft

Absicherung

• Trennung von Entwicklung und Betrieb
• Abwehr automatisierter Anfragen (Ratenbegrenzung) an den öffentlichen Schnittstellen
• Regelmäßige Aktualisierung der eingesetzten Software

§ 7 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

§ 8 Unterstützung des Auftraggebers

(1) Rechte der Betroffenen. Wendet sich ein Betroffener an den Auftragsverarbeiter, verweist dieser ihn an den Auftraggeber und benachrichtigt den Auftraggeber unverzüglich. Der Auftragsverarbeiter unterstützt bei Auskunft, Berichtigung, Löschung, Einschränkung und Übertragung — die Funktionen dafür stehen im Portal bereit; wo sie nicht reichen, hilft er auf Anfrage.

(2) Verletzungen des Schutzes. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, teilt er das dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden mit — mit Art des Vorfalls, betroffenen Datenkategorien, ungefährer Zahl der Betroffenen und den ergriffenen Maßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Auftraggeber.

(3) Weitere Pflichten. Der Auftragsverarbeiter unterstützt bei Datenschutz-Folgenabschätzung und vorheriger Konsultation, soweit die dafür nötigen Angaben nur bei ihm liegen.

§ 9 Nachweise und Prüfung

(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrages nach — durch Auskunft, durch Übersicht der Maßnahmen und, soweit vorhanden, durch Zertifikate oder Prüfberichte seiner Unterauftragsverarbeiter.

(2) Reicht das nicht, darf der Auftraggeber prüfen oder prüfen lassen: nach Anmeldung mit angemessener Frist, in der Regel nicht mehr als einmal je Kalenderjahr, ohne Störung des Betriebs und ohne Einsicht in Daten anderer Auftraggeber. Bei konkretem Anlass — insbesondere nach einer Verletzung des Schutzes — gelten diese Beschränkungen nicht.

(3) Ein vom Auftraggeber eingesetzter Dritter darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Vertraulichkeit zu verpflichten.

§ 10 Löschung und Rückgabe

(1) Der Auftraggeber kann seinen Datenbestand jederzeit über das Portal ausleiten.

(2) Nach Ende des Hauptvertrages löscht der Auftragsverarbeiter die Daten des Auftraggebers auf Weisung innerhalb von 30 Tagen. Ohne Weisung bleiben sie zunächst erhalten, damit ein Wiedereinstieg möglich ist; der Auftraggeber wird auf die Löschmöglichkeit hingewiesen.

(3) Nicht gelöscht wird, was gesetzlich aufzubewahren ist — insbesondere Rechnungen und der unterzeichnete Vertrag samt Nachweisen. Diese Unterlagen werden gesperrt und nur zum Zweck der Aufbewahrung weiterverarbeitet.

(4) Sicherungskopien werden nach Ablauf ihres Aufbewahrungszeitraums überschrieben; eine gezielte Löschung aus einer bestehenden Sicherung erfolgt nicht.

§ 11 Haftung und Rangfolge

(1) Für die Haftung gelten die Regelungen des Hauptvertrages und der AGB. Art. 82 DSGVO bleibt unberührt.

(2) Widersprechen sich dieser Vertrag und der Hauptvertrag in Fragen des Datenschutzes, gilt dieser Vertrag.

(3) Im Übrigen gelten die AGB und das dort vereinbarte Recht sowie der Gerichtsstand Bremen.

---

Stand: 17. August 2026