Vertrag zur Auftragsverarbeitung

1. Parteien und Abschluss

Auftragsverarbeiter ist die Visionconcepts Ltd, Agiou Kournouta 28, Kissos Sea View Villa No. 4, 8574 Kissonerga, Paphos, Zypern, vertreten durch den Director Michael Jacob Suchan („wir“, „machmal“). Verantwortlicher bist du als Inhaber des machmal-Kontos. Dieser Vertrag wird bei der Registrierung durch aktives Anhaken des Feldes „Ich schließe den Vertrag zur Auftragsverarbeitung (AVV) ab“ elektronisch geschlossen (Art. 28 Abs. 9 DSGVO); Datum und Fassung speichern wir zu deinem Konto. Er gilt für die Dauer des Nutzungsvertrags und darüber hinaus, bis alle Daten gelöscht oder zurückgegeben sind. Eine unterschriebene Fassung stellen wir auf Anfrage als PDF bereit.

2. Gegenstand, Art und Zweck der Verarbeitung

Wir erbringen für dich folgende Leistungen: (a) In der Testphase und bei Bestandskonten stellen wir einen abgeschotteten Container auf einem von uns betriebenen Server der Hetzner Online GmbH (Rechenzentrum Falkenstein, Deutschland) bereit; mit dem kostenpflichtigen Abo mieten wir für dich bei Hetzner eine eigene virtuelle Maschine in Deutschland an, auf die dein Agent samt Daten umzieht. (b) Wir installieren, konfigurieren, aktualisieren und überwachen darauf die Drittsoftware „Hermes Agent“ (Nous Research, MIT-Lizenz). (c) Wir stellen die Verwaltungsoberfläche (Konsole), den Chat-Zugang, den Weiterleitungsdienst zu den von dir angebundenen Programmen (über Composio), die Umwandlung von Sprachnachrichten in Text und die Sprachausgabe bereit. (d) Wir erstellen Sicherungen. Wir behalten Administratorzugriff auf Server und Container, um diese Leistungen zu erbringen. Zweck der Verarbeitung ist ausschließlich die Erbringung dieser Leistungen; wir nutzen deine Daten nicht für eigene Zwecke.

3. Datenarten und betroffene Personen

Je nach den von dir angebundenen Programmen und Kanälen: Kommunikationsinhalte (E-Mails, Chatnachrichten, Sprachnachrichten), Termine, Kontaktdaten, Dokumente, Rechnungs- und Vertragsdaten, Zugangsdaten zu Programmen und Sprachmodellen, Kontodaten deiner Mitarbeiter, die die Konsole nutzen, sowie Protokolldaten. Betroffen sind deine Beschäftigten, Kunden, Lieferanten, Geschäftspartner und sonstige Kontakte.

4. Weisungen und Drittländer

Wir verarbeiten personenbezogene Daten nur auf deine dokumentierte Weisung. Als Weisung gelten deine Konfiguration in der Konsole (angebundene Programme, Kanäle, Modellanbieter, Berechtigungen), deine Aufträge an den Agenten sowie Weisungen in Textform an team@machmal.ai. Halten wir eine Weisung für rechtswidrig, informieren wir dich unverzüglich und dürfen die Ausführung bis zur Klärung aussetzen. Übermittlungen in Länder außerhalb der EU und des EWR erfolgen nur, soweit sie in der Liste unter Ziffer 7 genannt sind (jeweils auf Grundlage der EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses) oder du sie selbst veranlasst, etwa durch die Wahl deines Modellanbieters oder eines Chat-Kanals.

5. Vertraulichkeit

Alle Personen, die für uns Zugriff auf deine Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriffe auf Inhalte deines Agenten erfolgen nur zur Fehlerbehebung, auf deine Anfrage (Support) oder aus Sicherheitsgründen, nur durch die dafür zuständigen Personen und werden dokumentiert.

6. Technische und organisatorische Maßnahmen

Es gelten die folgenden Maßnahmen (Anlage 1, Stand 22. September 2026). Wir dürfen sie weiterentwickeln, ohne das Schutzniveau zu senken.

• Rechenzentrum: Hetzner Online GmbH, Falkenstein, Deutschland (ISO 27001 laut Hetzner); wir betreiben keine eigenen Serverräume.
• Zugang: Serverzugriff nur per SSH-Schlüssel für den Administrator; Kunden-Login mit E-Mail-Bestätigung, Passwort nur als Hash (scrypt), Passwortregeln, Begrenzung von Anmeldeversuchen, Sitzungs-Cookie HttpOnly/Secure/SameSite mit Versionierung.
• Mandantentrennung: je Agent ein eigener Container mit eigenem Netz, reduzierten Rechten und Ressourcenlimits, eigener Datenordner; nach dem Kauf eine eigene virtuelle Maschine mit Hetzner-Firewall. Anbindungen an Programme laufen über eine eigene Composio-Session je Konto mit eigenem Zugriffstoken je Agent und Tageslimit.
• Verschlüsselung: Transport überall TLS 1.2/1.3. In der Plattformdatenbank sind Chatverläufe, Assistenten-Nachrichten, Gedächtnisinhalte, Rückmeldungen und Modellschlüssel mit AES-256-GCM verschlüsselt. Dokumente und Arbeitsdaten des Agenten liegen unverschlüsselt in seiner abgeschotteten Umgebung; Zugriff darauf hat nur der Administrator.
• Sicherungen: Lokale Sicherungen der Plattformdatenbank mit 7 Tagen Aufbewahrung; verschlüsselte (AES-256) Sicherungen außerhalb des Servers mit 14 Tagen Rotation, der Schlüssel bleibt bei uns.
• Verfügbarkeit: automatische Überwachung alle zwei Minuten mit Neustart ausgefallener Container und Dienste, Neustart-Regeln, automatische Sicherheitsupdates des Betriebssystems.
• Protokollierung: Webserver-Protokolle 14 Tage; Aktivitätsprotokoll deines Agenten (Aufträge, Modellwechsel, Systemereignisse) für dich in der Konsole einsehbar; Aufrufe angebundener Programme werden je Werkzeug gezählt.
• Organisation: dokumentierte Sicherheitsprüfungen der Plattform, Eingabevalidierung, Content Security Policy, minimale Abhängigkeiten, ein benannter Administrator.

7. Unterauftragsverarbeiter

Du genehmigst allgemein den Einsatz der folgenden Unterauftragsverarbeiter. Wir verpflichten sie vertraglich auf ein vergleichbares Schutzniveau und haften für sie wie für eigenes Handeln.

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Serverbetrieb (Plattform, Container und virtuelle Maschinen), Rechenzentrum Falkenstein.
• Composio Inc., San Francisco, USA: speichert die Zugangsberechtigungen (OAuth) zu den Programmen, die du verbindest, und leitet die Inhalte der Aufrufe zwischen deinem Agenten und diesen Programmen weiter. EU-Standardvertragsklauseln.
• Stripe Payments Europe Ltd., Dublin, Irland: Zahlungsabwicklung, Rechnungs- und Kontodaten. Kartendaten erreichen uns nicht.
• Namecheap, Inc. (Private Email), Phoenix, USA: Versand von Systemnachrichten (Bestätigung, Passwort zurücksetzen, Hinweise). EU-Standardvertragsklauseln.
• Google LLC, USA: Ablage der verschlüsselten Sicherungen (siehe Ziffer 6). EU-Standardvertragsklauseln und EU-US Data Privacy Framework.
• Telegram FZ-LLC (Dubai), Slack Technologies Ltd. (Irland), Microsoft Ireland Operations Ltd. (Teams): nur, wenn du den jeweiligen Kanal mit deinem Agenten verbindest; dann laufen Nachrichten über diesen Kanal. Telegram außerdem für interne Betriebsmeldungen an uns (Registrierungen, Störungen, mit E-Mail-Adresse).
• ElevenLabs Inc., New York, USA: nur, wenn du gesprochene Antworten nutzt; erhält den jeweiligen Antworttext. EU-Standardvertragsklauseln, EU-US Data Privacy Framework.
• OpenAI, L.L.C., San Francisco, USA: für unseren Einrichtungsassistenten und die Betriebsüberwachung (Konto- und Einrichtungsdaten sowie deine Fragen an den Assistenten, keine Chat-Inhalte deines Agenten) sowie für die Umwandlung von Sprachnachrichten in Text. EU-Standardvertragsklauseln.

Änderungen an dieser Liste kündigen wir mindestens 30 Tage vorher per E-Mail an. Du kannst innerhalb von 14 Tagen aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kannst du den Vertrag außerordentlich kündigen. Die jeweils aktuelle Liste steht auch in der Datenschutzerklärung.

Keine Unterauftragsverarbeiter von uns sind Anbieter, die du selbst beauftragst und mit denen du einen eigenen Vertrag hast: der Anbieter deines Sprachmodells (OpenAI, Anthropic, OpenRouter oder ein anderer Anbieter über deinen eigenen Zugang), die Anbieter der Chat-Kanäle und Programme, die du verbindest (etwa Telegram, Slack, Microsoft Teams, Discord, Postfach, Kalender, Buchhaltung), sowie DATEV. Für diese Übermittlungen bist du verantwortlich; wir führen sie nur auf deine Weisung aus.

8. Unterstützung

Wir unterstützen dich mit angemessenen technischen Mitteln (Export, Suche, Löschung, Anhalten des Agenten) bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO), bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde (Art. 32 bis 36 DSGVO). Anfragen betroffener Personen, die uns direkt erreichen, leiten wir unverzüglich an dich weiter.

9. Verletzungen des Schutzes personenbezogener Daten

Wir melden dir jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, und unterstützen dich bei Meldung und Benachrichtigung.

10. Löschung und Rückgabe

Du kannst deine Inhalte jederzeit über „Meine Daten herunterladen“ in den Einstellungen exportieren. Nach Vertragsende bleiben deine Daten gespeichert, bis du dein Konto löschst oder die Löschung verlangst; du kannst die Löschung jederzeit in den Einstellungen auslösen. Bei der Kontolöschung stoppen wir deine Agenten sofort und löschen Server bzw. Container, Speicher, Datenbankeinträge und die bei Composio hinterlegten Zugangsberechtigungen. Sicherungen werden im Rahmen ihres Zyklus überschrieben (14 Tage); die vollständige Löschung einschließlich aller Sicherungen ist spätestens 30 Tage nach der Kontolöschung abgeschlossen. Auf Anfrage bestätigen wir die Löschung. Gesetzliche Aufbewahrungspflichten (Rechnungsdaten) bleiben unberührt. Daten bei Anbietern, die du selbst beauftragt hast (Ziffer 7), löschst du dort selbst.

11. Nachweise und Kontrollen

Wir stellen dir auf Anfrage die Beschreibung der technischen und organisatorischen Maßnahmen, Prüfberichte und Nachweise der Unterauftragsverarbeiter bereit. Du kannst einmal jährlich, nach Ankündigung von 14 Tagen, eine Prüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten Dritten durchführen lassen; die Kosten trägt jede Seite selbst.

12. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gilt die Haftungsregelung der AGB.

13. Sonstiges

Änderungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag den AGB vor. Es gilt das Recht der Republik Zypern; zwingendes Datenschutzrecht an deinem Sitz bleibt unberührt.