NAVIGENTA
Auftragsverarbeitungsvertrag (AVV)
Stand: 27. Juli 2026
Dieser Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ergänzt die Nutzungsvereinbarung zwischen dem jeweiligen Navigenta-Client als Auftraggeber und Christopher Lutz Warth, Einzelunternehmen, Louisenstraße 54, 01099 Dresden, als Auftragnehmer. Er gilt ab der Annahme beim Erstellen eines Live-Assistants.
1. Gegenstand und Dauer
Der Auftragnehmer stellt die Navigenta-Plattform für einen auf der Website des Auftraggebers eingebundenen KI-Assistant bereit. Die Verarbeitung umfasst das Abrufen öffentlicher Website-Inhalte, die Speicherung des Assistant-Kontexts, die Beantwortung von Besucherfragen, optionale Kontaktanfragen sowie technische Analyse- und Sicherheitsdaten. Die Verarbeitung erfolgt für die Dauer der Nutzungsvereinbarung und endet mit deren Beendigung vorbehaltlich gesetzlicher Aufbewahrungspflichten.
2. Art und Zweck der Verarbeitung
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung, Absicherung, Wartung und Abrechnung des Live-Assistants nach dokumentierter Weisung des Auftraggebers. Eigenständige werbliche Nutzung von Besucher-Chatdaten durch den Auftragnehmer findet nicht statt.
Betroffene Personen können insbesondere Besucher der Website, Ansprechpartner des Auftraggebers und dessen berechtigte Nutzer sein. Datenarten können Chat-Eingaben, freiwillig eingegebene Kontaktangaben, technische Verbindungsdaten, Inhalte öffentlicher Webseiten sowie Konfigurations- und Nutzungsdaten umfassen.
3. Weisungsrecht und Pflichten des Auftraggebers
Der Auftraggeber ist für die Rechtmäßigkeit der Bereitstellung des Assistants, die Inhalte der Website, die konfigurierte Empfängeradresse für Lead-/Support-Anfragen und die Information der Websitebesucher verantwortlich. Weisungen erfolgen über die Navigenta-Oberfläche oder in Textform. Weisungen, die gegen Datenschutzrecht verstoßen, muss der Auftragnehmer nicht ausführen und wird den Auftraggeber darauf hinweisen.
4. Pflichten des Auftragnehmers
Der Auftragnehmer verarbeitet personenbezogene Daten nur im Rahmen dieses Vertrags und dokumentierter Weisungen. Er verpflichtet die zur Verarbeitung berechtigten Personen auf Vertraulichkeit, unterstützt den Auftraggeber im angemessenen Umfang bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldungen von Verletzungen des Schutzes personenbezogener Daten und informiert ihn bei bekannt gewordenen Datenschutzverletzungen unverzüglich.
5. Unterauftragsverarbeiter
Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter: Vercel (Hosting und serverseitige Ausführung), MongoDB Atlas (Datenbank), OpenAI (KI-Antworten) und Resend (Versand transaktionaler E-Mails sowie bestätigter Kontaktanfragen). Der Auftragnehmer informiert den Auftraggeber vor dem Einsatz weiterer Unterauftragsverarbeiter, die diese Verarbeitung wesentlich betreffen; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
6. Drittlandübermittlungen
Soweit Unterauftragsverarbeiter Daten außerhalb der EU oder des EWR verarbeiten, stellt der Auftragnehmer sicher, dass hierfür die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch Angemessenheitsbeschlüsse oder geeignete Garantien wie Standardvertragsklauseln.
7. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere Zugriffsschutz durch kontobezogene Authentifizierung, verschlüsselte Übertragung, getrennte Geheimnisverwaltung, rollenbezogene Berechtigungen, Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Aktualisierung der eingesetzten Systeme und die Beschränkung der Datenverarbeitung auf die für die jeweilige Funktion erforderlichen Daten.
8. Löschung und Rückgabe
Nach Ende der Vereinbarung löscht oder anonymisiert der Auftragnehmer die im Auftrag verarbeiteten Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber kann seine ihm in der Plattform zugänglichen Daten vor Vertragsende sichern. Konkrete Löschfristen für Chat-Analysen sind in der Datenschutzerklärung beschrieben.
9. Kontrolle und Nachweise
Der Auftragnehmer stellt dem Auftraggeber auf begründete Anfrage die zur Erfüllung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Kontrollen sind nach vorheriger angemessener Ankündigung, während üblicher Geschäftszeiten und unter Wahrung der Sicherheit anderer Kunden durchzuführen.
10. Vorrang und Kontakt
Bei Widersprüchen zwischen diesem AVV und der Nutzungsvereinbarung hat dieser AVV hinsichtlich der Auftragsverarbeitung Vorrang. Datenschutzanfragen können an christopher.warth@web.de gerichtet werden.