AVV.
Art. 28 DSGVO.
Dieser Vertrag wird beim Anlegen des Workspace durch aktive Bestätigung (Checkbox im Onboarding) verbindlich geschlossen. Fassung, Zeitpunkt und bestätigende Person werden dokumentiert. Eine gesonderte handschriftliche Unterzeichnung ist nicht erforderlich.
Version 1.5 · Stand: September 2026 · gültig bis 06.10.2026 · aktuelle Fassung: lymbe.ai/avv
Vertragsparteien
Auftraggeber (Verantwortlicher)
| Bezeichnung | Das Unternehmen, das sich für Lymbe AI registriert hat (nachfolgend „Auftraggeber") |
| Rolle | Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO |
Auftragnehmer (Auftragsverarbeiter)
| Unternehmen | Flubber Pixels UG (haftungsbeschränkt) |
| Produkt | Lymbe AI |
| Adresse | Florastrasse 56, 40822 Mettmann, Deutschland |
| Datenschutz | datenschutz@lymbe.ai |
| Rolle | Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO |
§ 1 Gegenstand und Dauer der Verarbeitung
(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der KI-gestützten Plattform Lymbe AI, über die der Auftraggeber KI-Mitarbeiter einrichten und betreiben kann.
(2) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers, insbesondere durch Eingaben und Konfigurationen innerhalb der Plattform. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
(3) Dieser Vertrag gilt für die Dauer des Nutzungsvertrags Lymbe AI (siehe AGB) und endet automatisch mit dessen Beendigung, vorbehaltlich der Regelungen zur Datenlöschung in § 7.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen.
(2) Die Verarbeitung umfasst insbesondere:
- Entgegennahme und Übermittlung von Nutzereingaben (Prompts) an KI-Sprachmodelle
- Umwandlung von Spracheingaben in Text, ohne die Aufnahme zu speichern
- Speicherung und Anzeige von Chat-Verläufen auf der Plattform
- Verwaltung von Nutzerkonten inkl. Authentifizierungsdaten
- Protokollierung von Systemereignissen zum Betrieb und zur Sicherheit der Plattform
(3) Kategorien betroffener Personen:
- Mitarbeiterinnen und Mitarbeiter des Auftraggebers
- Kunden des Auftraggebers, soweit deren Daten in die Plattform eingegeben werden
(4) Art der verarbeiteten Daten:
- Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer)
- Authentifizierungsdaten (E-Mail, verschlüsseltes Passwort)
- Kommunikationsinhalte (Chat-Verläufe, Prompts, KI-Antworten)
- Sprachaufnahmen der Spracheingabe, nur für die Dauer der Umwandlung in Text
- Technische Nutzungsdaten (IP-Adresse, Zeitstempel, Browser-Informationen)
- Sonstige vom Auftraggeber eingegebene oder hochgeladene Inhalte
(5) Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (z. B. Gesundheitsdaten) ist nicht vorgesehen und vom Auftraggeber zu unterlassen, sofern keine gesonderte schriftliche Vereinbarung getroffen wurde.
§ 3 Pflichten des Auftragnehmers
Der Auftragnehmer verpflichtet sich:
- Weisungsgebundenheit: Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten.
- Vertraulichkeit: Alle mit der Verarbeitung befassten Personen zur Vertraulichkeit zu verpflichten.
- Technische Maßnahmen: Die in Anlage 1 beschriebenen TOMs gemäß Art. 32 DSGVO umzusetzen und aufrechtzuerhalten.
- Unterstützung Betroffenenrechte: Den Auftraggeber bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Betroffenenrechten zu unterstützen.
- Datenpannen: Datenschutzverletzungen unverzüglich, spätestens innerhalb von 24 Stunden zu melden (siehe § 6).
- Nachweispflicht: Alle erforderlichen Informationen bereitzustellen, um die Einhaltung von Art. 28 DSGVO nachzuweisen.
§ 4 Sub-Auftragsverarbeiter
(1) Der Auftraggeber erteilt dem Auftragnehmer hiermit eine allgemeine Genehmigung zur Beauftragung von Sub-Auftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO.
(2) Der Auftragnehmer setzt aktuell folgende Sub-Auftragsverarbeiter ein:
(3) Die Verarbeitung der Gesprächsinhalte und des hinterlegten Wissens findet ausschließlich in Deutschland statt. Sprachaufnahmen der Spracheingabe wandelt Microsoft Ireland Operations Ltd. in einem Rechenzentrum in Frankfurt in Text um, ohne sie zu speichern. Die Werkstatt verarbeitet Microsoft Ireland Operations Ltd. innerhalb der EU-Datenzone; die Übermittlung an OpenAI Ireland Ltd. ist auf den Suchbegriff der Websuche begrenzt. Weitere Gesprächsinhalte und Dokumente des Auftraggebers werden an keinen der beiden übermittelt. E-Mail-Versand und -Empfang betreibt der Auftragnehmer seit September 2026 auf eigener Infrastruktur, ein Mailversand-Dienstleister ist nicht mehr beteiligt.
(4) Der Auftragnehmer informiert den Auftraggeber über den Wechsel oder die Hinzunahme eines Sub-Auftragsverarbeiters mit einer Ankündigungsfrist von 14 Tagen. Der Auftraggeber kann Änderungen aus sachlichen Gründen innerhalb dieser Frist widersprechen. Die jeweils aktuelle Fassung dieser Liste steht auf dieser Seite; sie ist zusätzlich auf Anfrage an datenschutz@lymbe.ai erhältlich.
(5) Der Auftragnehmer stellt sicher, dass Sub-Auftragsverarbeiter denselben datenschutzrechtlichen Verpflichtungen unterliegen wie er selbst, insbesondere durch den Abschluss von Verträgen gemäß Art. 28 DSGVO.
§ 5 Pflichten des Auftraggebers
Der Auftraggeber verpflichtet sich:
- Sicherzustellen, dass eine Rechtsgrundlage gemäß Art. 6 DSGVO für die eingegebenen Daten besteht.
- Weisungen schriftlich oder in Textform zu erteilen.
- Den Auftragnehmer unverzüglich zu informieren, wenn Unregelmäßigkeiten bei der Verarbeitung festgestellt werden.
- Keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) ohne gesonderte Vereinbarung einzugeben.
§ 6 Datenpannen und Meldepflichten
(1) Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden.
(2) Die Meldung enthält mindestens: Art der Verletzung, betroffene Kategorien und ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen sowie ergriffene Maßnahmen.
(3) Die Pflicht des Auftraggebers zur Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden gemäß Art. 33 DSGVO bleibt unberührt.
§ 7 Datenlöschung und Rückgabe
(1) Gespräche (Website-Chat, Hilfeseite, WhatsApp, Messenger, Instagram) und interne Chats werden automatisch spätestens 90 Tage nach der letzten Nachricht gelöscht, Leads 90 Tage nach der letzten Bearbeitung, Termine 90 Tage nach dem Termin. Der Verlauf einer aktiven geplanten Aufgabe bleibt, solange die Aufgabe aktiv ist. Ausgeführte Abläufe folgen der Frist der Gespräche, ihre Schrittprotokolle werden spätestens nach 30 Tagen gelöscht. Nachweise über Einwilligung oder Widerruf im Chat, ohne Chatinhalt, werden nach drei Jahren gelöscht. Der Auftraggeber kann in seinem Workspace kürzere Fristen festlegen; eine frühere Löschung kann außerdem jederzeit über die Plattform oder per Anfrage an datenschutz@lymbe.ai veranlasst werden.
(2) Nach Beendigung des Nutzungsvertrags werden alle personenbezogenen Daten des Auftraggebers spätestens innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
(3) Auf Anfrage wird ein schriftlicher Nachweis der Löschung ausgestellt.
(4) Datenbanken und gespeicherte Dateien werden täglich gesichert; diese Sicherungen sind mit AES-256 verschlüsselt. Zusätzlich erstellt der Hosting-Dienstleister täglich ein Abbild des gesamten Servers als Schutz gegen einen Totalausfall. Beide werden nach 7 Tagen gelöscht. Weil die Abbilder des Servers auch die Datenbanksicherungen enthalten, können gelöschte Daten bis zu 14 Tage in Sicherungen verbleiben; die Fristen nach Abs. 1 und 2 verlängern sich dadurch höchstens um diese 14 Tage.
§ 8 Kontrollrechte des Auftraggebers
(1) Der Auftraggeber ist berechtigt, die Einhaltung dieses Vertrags beim Auftragnehmer zu überprüfen. Kontrollen sind mit mindestens 5 Werktagen Vorankündigung an datenschutz@lymbe.ai anzukündigen.
(2) Die Kosten der Kontrolle trägt der Auftraggeber, sofern kein schwerwiegender Verstoß festgestellt wird.
(3) Zur Erfüllung der Nachweispflicht können auch aktuelle Zertifizierungen (z. B. ISO 27001) oder Prüfberichte anerkannter Prüfer vorgelegt werden.
§ 9 Schlussbestimmungen
(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist das Landgericht Düsseldorf, soweit gesetzlich zulässig.
(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Änderungen dieses Vertrags bedürfen der Textform. Flubber Pixels UG behält sich vor, diesen AVV mit einer Ankündigungsfrist von 30 Tagen anzupassen. Der Auftraggeber wird per E-Mail informiert.
Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragnehmer hat folgende Maßnahmen zum Schutz personenbezogener Daten getroffen:
Verschlüsselung
In Transit: Alle Datenübertragungen erfolgen über TLS 1.2 oder höher. At Rest: Zugangsdaten zu angebundenen Diensten (Kalender, Shops, Messenger, Datenquellen, Verbindungen der Abläufe) sind mit AES-256 verschlüsselt, ebenso die eigenen Datensicherungen; Passwörter und API-Schlüssel werden nur als Hash gespeichert.
Zugriffskontrolle
Least-Privilege-Prinzip; Admin-Zugänge nur mit Multi-Faktor-Authentifizierung. Sicherheitsrelevante Zugriffe werden protokolliert und regelmäßig überprüft.
Mandantentrennung
Kundendaten sind technisch strikt getrennt auf Datenbank- und Anwendungsebene.
Hosting in der EU
Plattform, Datenbanken sowie Dokumenten- und Vektorspeicher werden ausschließlich in EU-Rechenzentren betrieben. Die Antworten entstehen seit September 2026 in deutschen Rechenzentren, Spracheingaben werden in Frankfurt in Text umgewandelt; Gesprächsinhalte verlassen die EU nicht. In ein Drittland übermittelt wird allein der Suchbegriff der Websuche — abgesichert über EU-Standardvertragsklauseln.
Automatische Löschung
Gespräche und interne Chats spätestens 90 Tage nach der letzten Nachricht, Leads 90 Tage nach der letzten Bearbeitung, Termine 90 Tage nach dem Termin, je Workspace kürzer einstellbar (Einzelheiten in § 7); Schrittprotokolle der Abläufe spätestens nach 30 Tagen; vollständige Löschung bei Kündigung innerhalb von 30 Tagen.
Incident-Management & Backups
Definierter Prozess für Datenpannen; Meldung an den Auftraggeber innerhalb von 24 Stunden. Tägliche automatisierte, mit AES-256 verschlüsselte Backups der Datenbanken und Dateien mit wöchentlicher Wiederherstellungsprobe, dazu tägliche Server-Abbilder beim Hosting-Dienstleister; beides mit 7-Tage-Retention.
Flubber Pixels UG (haftungsbeschränkt) · Florastrasse 56, 40822 Mettmann · datenschutz@lymbe.ai · lymbe.ai · Version 1.5 · Stand September 2026 · Akzeptiert durch aktive Bestätigung beim Anlegen des Workspace
AVV als PDF benötigt?
Wir stellen dir gerne eine Fassung dieses Auftragsverarbeitungsvertrags bereit — und beantworten alle Fragen zur Verarbeitung deiner Daten.