Vereinbarung zur Auftragsverarbeitung (AVV)

Stand: August 2026 — Vorlage für Geschäftskunden (z.B. Schulen, Praxen)

zwischen dem Kunden (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO bzw. Art. 5 lit. j revDSG — nachfolgend „Kunde") und S. Regenass, Klybeckstrasse 141, 4057 Basel, Schweiz (Auftragsverarbeiter — nachfolgend „Anbieter").

Abschluss: Diese Vereinbarung kommt zustande, indem der Kunde ihren Abschluss unter Nennung seines Namens/seiner Organisation und seiner Konto-E-Mail per E-Mail an kontakt@kibos.space bestätigt und der Anbieter den Eingang bestätigt. Sie ergänzt die AGB; bei Widersprüchen zu Datenschutzfragen geht diese Vereinbarung vor.

§ 1 Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden zur Bereitstellung der Plattform „KI Avatar" (Live-Gespräche mit KI-Avataren, Live-Modus mit menschlichem Gastgeber, Einladungs-Links, Website-Widget). Die Dauer entspricht der Laufzeit des Nutzungsvertrags; § 7 (Löschung) gilt darüber hinaus.

§ 2 Art, Zweck, Datenkategorien, betroffene Personen

Zweck: Durchführung von Avatar-Gesprächen und Live-Sitzungen, die der Kunde für seine Endnutzer (z.B. Schüler, Klientinnen — „Gäste") einrichtet, samt Abrechnung und Missbrauchsschutz.
Datenkategorien: Gesprächsinhalte (Text/Sprache) der Gäste während der Sitzung; bei Live-Sitzungen Mikrofon-Audio der Gäste und das Kamerabild des Kunden (zur Echtzeit-Avatar-Umwandlung); technische Verbindungs- und Sitzungsdaten (Zeitpunkte, Kennungen); vom Kunden hinterlegtes Kontext-Wissen; E-Mail-Adresse zahlender Gäste (Zahlungsbeleg).
Betroffene Personen: Gäste des Kunden sowie der Kunde selbst. Setzt der Kunde die Plattform gegenüber Minderjährigen oder in Gesundheitskontexten ein, bleibt er für die Zulässigkeit und erforderliche Einwilligungen verantwortlich (AGB § 2a).
Keine dauerhafte Gesprächsspeicherung: Gespräche von Gästen ohne Konto werden nicht dauerhaft gespeichert; das Kamerabild des Kunden wird nur in Echtzeit umgewandelt und vom Anbieter nicht gespeichert.

§ 3 Weisungen

Der Anbieter verarbeitet die Daten ausschliesslich zur Vertragserbringung und im Rahmen dokumentierter Weisungen des Kunden (die Konfiguration in der Plattform gilt als Weisung). Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich. Eine Nutzung der Daten für eigene Zwecke, Werbung oder das Training von KI-Modellen findet nicht statt.

§ 4 Vertraulichkeit und technische/organisatorische Massnahmen (TOM)

TLS-Verschlüsselung aller Verbindungen; Passwörter nur als bcrypt-Hash.
Rollen- und Rechtekonzept (Betreiber-Zugänge getrennt, Admin-Allowlist).
Serverseitige Zugriffs- und Bezahl-Gates; signaturgeprüfte Webhooks.
Sitzungsprotokolle (Beitritt/Verlassen) ohne Gesprächsinhalte zur Missbrauchs- und Abrechnungssicherheit.
Datenbank mit Row-Level-Security (Supabase, EU); API-Schlüssel nur serverseitig.
Fehler-/Sicherheitsüberwachung mit Benachrichtigung des Betreibers.

Zum Umgang mit Geheimhaltung verpflichtete Personen: derzeit ausschliesslich der Anbieter selbst (Einzelbetrieb, keine Mitarbeitenden).

§ 5 Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter (Stand August 2026; Details und Übermittlungsgrundlagen in der Datenschutzerklärung):

Vercel Inc. (USA) — Weboberfläche
Render Services, Inc. (USA) — Anwendungs-Server
Supabase (EU/Irland) — Datenbank und Dateispeicher
OpenAI, L.L.C. (USA) — Antwort-Erzeugung (KI-Modus)
Deepgram, Inc. (USA) — Spracherkennung
ElevenLabs, Inc. (USA) — Sprachsynthese
Anam AI Ltd. — Avatar-Videobild (KI-Modus)
Replicate, Inc. (USA) — Video-Lippensynchronisation (Avatar-Videoausgabe)
Decart AI, Inc. (USA) — Echtzeit-Avatar-Umwandlung des Kamerabilds (Live-Modus)
LiveKit (USA) — Audio-/Video-Verbindungen (Video-Räume, Live-Modus)
Stripe Payments Europe, Ltd. (Irland) — Zahlungsabwicklung
Tavily / Exa (USA) — optionale Live-Websuche
Resend (USA) — Transaktions-E-Mails

Änderungen an dieser Liste kündigt der Anbieter mindestens 14 Tage vorab an (E-Mail an die Konto-Adresse und Aktualisierung der Datenschutzerklärung). Widerspricht der Kunde aus wichtigem datenschutzrechtlichem Grund, kann er den Nutzungsvertrag zum Zeitpunkt des Wirksamwerdens der Änderung ausserordentlich kündigen.

§ 6 Unterstützung des Kunden

Der Anbieter unterstützt den Kunden im Rahmen des technisch Möglichen bei der Beantwortung von Betroffenenanfragen (Auskunft, Löschung usw.), bei der Sicherheit der Verarbeitung und bei Datenschutz-Folgenabschätzungen. Meldepflichtige Verletzungen des Datenschutzes meldet der Anbieter dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die Konto-E-Mail.

§ 7 Löschung und Rückgabe

Nach Ende des Nutzungsvertrags — oder vorab auf Weisung — löscht der Anbieter die im Auftrag verarbeiteten Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z.B. Abrechnungsdaten). Die Löschung beim Anbieter umfasst auch die Veranlassung der Löschung bei den Unterauftragsverarbeitern.

§ 8 Nachweis und Kontrolle

Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Pflichten aus dieser Vereinbarung erforderlichen Informationen zur Verfügung (Beschreibung der TOMs, Subprozessoren-Liste, relevante Zertifikate der Unterauftragsverarbeiter). Vor-Ort- Kontrollen sind nach Ankündigung mit angemessener Frist möglich, soweit sie den Betrieb nicht unverhältnismässig stören.

§ 9 Schlussbestimmungen

Es gilt das Recht des Hauptvertrags (AGB § 12). Für Übermittlungen in Drittländer gelten die in der Datenschutzerklärung genannten Grundlagen (EU-Standardvertragsklauseln, EU-US Data Privacy Framework). Sollten einzelne Bestimmungen unwirksam sein, bleibt der Rest wirksam.