Auftragsverarbeitungsvertrag

1. Parteien

Dieser AVV wird geschlossen zwischen:

• Kiff Agents OÜ, einer estnischen Gesellschaft mit beschränkter Haftung, Registernummer 17372313, Umsatzsteuer-Identifikationsnummer EE102924327, eingetragen unter der Anschrift Tööstuse tn 75-71, Põhja-Tallinna linnaosa, Tallinn 10416, Estland (der „Auftragsverarbeiter“); und
• [RECHTLICHER NAME DES KUNDEN], eingetragen unter der Anschrift [ANSCHRIFT], Registernummer [REGISTERNUMMER] (der „Verantwortliche“).

Jede eine „Partei“ und zusammen die „Parteien“. Dieser AVV ergänzt die Nutzungsbedingungen unter /terms und jedes kommerzielle Bestellformular zwischen den Parteien; bei einem Widerspruch in Fragen des Datenschutzes geht dieser AVV vor.

2. Begriffe

Begriffe, die hier nicht definiert sind, haben die Bedeutung, die ihnen die DSGVO (Verordnung (EU) 2016/679) gibt.

• „DSGVO“: die Datenschutz-Grundverordnung der EU.
• „Personenbezogene Daten“, „betroffene Person“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“, „Verletzung des Schutzes personenbezogener Daten“: wie in Artikel 4 DSGVO definiert.
• „Audit-Daten“: personenbezogene Daten, die der Verantwortliche über die Runtime an den Dienst übermittelt oder darin erzeugt, einschließlich Ereignissen, Entscheidungen, Aktionen, Genehmigungen und Belegen.
• „tafs-Daten“: personenbezogene Daten in dem, was tafs im Auftrag des Verantwortlichen aufbewahrt: die Läufe und Chats jedes tafs (einschließlich dessen, was die verbundenen Apps des Verantwortlichen ihm zurückgeben) und die Chats von Setup, seine Berichte, seine Gedächtnisnotizen, die Geräte, die für seine Benachrichtigungen registriert sind, und die Verbindungen des Verantwortlichen zu seinen Apps in planque (das Token jeder Verbindung und die Aufzeichnung ihrer Genehmigungen). Anhang 4 beschreibt sie.
• „Dienst“: das Produkt KIFF Cloud, einschließlich tafs, wie in den Nutzungsbedingungen definiert.
• „Standardvertragsklauseln“ oder „SCC“: die Standardvertragsklauseln der Europäischen Kommission von 2021 für die Übermittlung personenbezogener Daten in Drittländer.
• „DPF“: der Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen (EU–US Data Privacy Framework).
• „TOM“: die technischen und organisatorischen Maßnahmen, die Anhang 2 beschreibt.

3. Geltungsbereich und Rollen

Dieser AVV gilt, wo Kiff Agents OÜ im Zusammenhang mit dem Dienst personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Für Audit-Daten und tafs-Daten ist der Verantwortliche der Verantwortliche und Kiff Agents OÜ der Auftragsverarbeiter.

Für personenbezogene Daten, die wir über die Kontoinhaber des Verantwortlichen verarbeiten (Anmelde-Metadaten, Rechnungskontakte, Support-Korrespondenz), gilt unsere Datenschutzerklärung; für diese Daten sind wir ein eigenständiger Verantwortlicher, kein Auftragsverarbeiter nach diesem AVV.

4. Gegenstand und Dauer

Gegenstand: die Verarbeitung von Audit-Daten und tafs-Daten, um den Dienst zu erbringen.

Dauer: ab dem Datum, an dem dieser AVV wirksam wird, bis zum späteren der folgenden Zeitpunkte: (a) der Beendigung der zugrunde liegenden Nutzungsbedingungen oder (b) der Löschung aller Audit-Daten nach § 16. Bestimmungen, die ihrer Natur nach die Beendigung überdauern (Audit, Freistellung, anwendbares Recht), gelten weiter.

5. Art und Zweck der Verarbeitung

Kiff Agents OÜ verarbeitet Audit-Daten nur, soweit es nötig ist, um den Dienst zu erbringen: Vorschläge und Tool-Aufrufe entgegennehmen, sie anhand der Konfiguration und der Cards des Verantwortlichen prüfen, sie für eine menschliche Genehmigung zurückhalten, wo die Konfiguration das verlangt, einen autorisierten Aufruf an die verbundene App weiterleiten oder eine Autorisierung ausstellen, die die App prüft, die Entscheidungen und das Ergebnis aufzeichnen, das die App meldet, signierte Belege ausgeben und (wo der Verantwortliche das so konfiguriert hat) zusammenfassende Hashes, an denen Manipulationen erkennbar sind, in einem öffentlichen, nachprüfbaren Pfad veröffentlichen. Die zugrunde liegende Aktion führt die verbundene App aus; eine Autorisierungsentscheidung allein ist kein Nachweis, dass die Aktion ausgeführt wurde.

Für tafs verarbeitet Kiff Agents OÜ außerdem tafs-Daten, um jeden taf zu betreiben, den der Verantwortliche startet: ihn nach seinem Zeitplan und in Chats mit den Personen des Verantwortlichen laufen zu lassen, seine Tool-Aufrufe über KIFF zu senden, seine Läufe, Chats und Gedächtnisnotizen aufzubewahren, damit er berichten und seine Arbeit fortsetzen kann, und die registrierten Geräte des Verantwortlichen zu benachrichtigen, wenn ein Aufruf zurückgehalten wird. Über Setup und planque verbindet sie außerdem die Apps des Verantwortlichen, wenn sich dessen Personen beim Anbieter der App anmelden und die Verbindung auf ihrem Gerät genehmigen: planque bewahrt das Token aus dieser Anmeldung verschlüsselt auf und nutzt es nur, um einen Aufruf auszuführen, über den KIFF entschieden hat. Anhang 4 legt dar, um welche Daten es geht, wo sie aufbewahrt werden und wie lange.

6. Kategorien betroffener Personen und personenbezogener Daten

Standardmäßig verarbeitet Kiff Agents OÜ diese Kategorien personenbezogener Daten, wie das Verzeichnis unter /security#data-we-process sie beschreibt:

• Kontodaten: wer die Personen des Verantwortlichen in seinem Konto sind (Namen, E-Mail-Adressen, Rollen), und seine Agenten und deren Schlüssel. Die Anmelde-Metadaten, die Kiff Agents OÜ als Verantwortlicher aufbewahrt, bleiben unter § 3.
• App-Verbindungen: jede Verbindung zu den Apps des Verantwortlichen, ihr Token (verschlüsselt), die genehmigten Tools und die Aufzeichnung, wer sie genehmigt hat.
• Aufzeichnungen über Aktionen von Agenten: für jeden Aufruf, wer gefragt hat (Agent und Schlüssel), die Aktion, worauf sie gewirkt hat, das Ergebnis und seine Gründe, die geltende Card, numerische Parameter, zurückgehaltene Aufrufe und ihre Antworten und die Belege.
• Chats mit tafs: die Läufe und Chats jedes tafs, seine Berichte und Gedächtnisnotizen und was die Apps des Verantwortlichen ihm zurückgeben, wie Anhang 4 es beschreibt.

Die betroffenen Personen sind die Personen des Verantwortlichen, die den Dienst nutzen, und die Personen, deren Daten in den Aktionen seiner Agenten und in Chats mit tafs vorkommen, etwa Kunden, Lieferanten oder Beschäftigte des Verantwortlichen.

Was sonst den Dienst erreicht, hängt von der Konfiguration des Verantwortlichen und den Daten ab, die er sendet; Kiff Agents OÜ steuert nicht, welche Felder der Verantwortliche sendet. Weitere Kategorien trägt der Verantwortliche in Anhang 1 ein, der aktualisiert wird, wenn sich die Konfiguration wesentlich ändert.

7. Weisungen des Verantwortlichen

Kiff Agents OÜ verarbeitet personenbezogene Daten nach den dokumentierten Weisungen des Verantwortlichen. Diese Weisungen bestehen aus diesem AVV, den Nutzungsbedingungen, der technischen Dokumentation des Dienstes und den Sicherheitsmaßnahmen in der datierten Fassung unter kiff.dev/docs/archive/2026-10-10 sowie den Konfigurationen und Weisungen, die die autorisierten Nutzer des Verantwortlichen über den Dienst übermitteln.

Das strategische Whitepaper und die Dokumentation des gesondert lizenzierten Open-Source-Frameworks dienen der Erläuterung und sind nicht Teil dieser Weisungen zur Verarbeitung. Die Veröffentlichung eines überarbeiteten Dokuments ändert für sich allein nicht die Weisungen, die für eine bestehende Vereinbarung gelten.

Weisungen außerhalb dieses Rahmens brauchen eine schriftliche Vereinbarung. Hält Kiff Agents OÜ eine Weisung für einen Verstoß gegen die DSGVO oder ein anderes geltendes Datenschutzgesetz, teilt sie das dem Verantwortlichen mit.

8. Pflichten des Auftragsverarbeiters (Artikel 28 Absatz 3)

Kiff Agents OÜ wird:

1. personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf internationale Übermittlungen, es sei denn, das Recht der EU oder eines Mitgliedstaats verlangt etwas anderes (in diesem Fall teilt Kiff Agents OÜ dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, es sei denn, dieses Recht verbietet eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses);
2. sicherstellen, dass die Personen, die zur Verarbeitung personenbezogener Daten befugt sind, angemessenen Vertraulichkeitspflichten unterliegen;
3. die technischen und organisatorischen Maßnahmen umsetzen, die Anhang 2 beschreibt;
4. die Bedingungen für den Einsatz von Unterauftragsverarbeitern in § 10 einhalten;
5. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten Maßnahmen dabei unterstützen, seine Pflicht zu erfüllen, Anträge betroffener Personen nach Kapitel III der DSGVO zu beantworten;
6. den Verantwortlichen dabei unterstützen, die Artikel 32 bis 36 DSGVO einzuhalten (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der Informationen, die Kiff Agents OÜ zur Verfügung stehen;
7. nach Wahl des Verantwortlichen alle personenbezogenen Daten bei Beendigung der Leistungen nach § 16 löschen oder zurückgeben und vorhandene Kopien löschen, es sei denn, das Recht der EU oder eines Mitgliedstaats verlangt die Speicherung;
8. dem Verantwortlichen alle Informationen zur Verfügung stellen, die nötig sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen, und Audits nach § 15 ermöglichen und dazu beitragen.

9. Vertraulichkeit

Kiff Agents OÜ stellt sicher, dass Personen mit Zugriff auf personenbezogene Daten schriftlichen Vertraulichkeitspflichten oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff wird nach dem Prinzip der geringsten Rechte gewährt und protokolliert.

10. Unterauftragsverarbeiter

Der Verantwortliche erlaubt Kiff Agents OÜ, die Unterauftragsverarbeiter einzusetzen, die in Anhang 3 und unter /subprocessors aufgeführt sind; diese Seite ist die offizielle Liste. Kiff Agents OÜ erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger Schutz bieten als dieser AVV.

Der öffentliche, nachprüfbare Pfad ist kein Unterauftragsverarbeiter. Er erhält nur zusammenfassende Hashes und keine personenbezogenen Daten.

Die datierte Fassung, auf die Abschnitt 7 verlinkt, hält die Liste zum Stand ihres Datums fest. Eine spätere Änderung wird nach diesem Abschnitt wirksam, nicht durch die Veröffentlichung einer Fassung.

Will Kiff Agents OÜ für die Verarbeitung der personenbezogenen Daten des Verantwortlichen einen neuen Unterauftragsverarbeiter einsetzen oder einen bestehenden ersetzen, teilt sie das dem Verantwortlichen mindestens dreißig Tage im Voraus mit. Der Verantwortliche kann der Änderung innerhalb von fünfzehn Tagen nach der Mitteilung aus angemessenen Gründen des Datenschutzes widersprechen; lässt sich ein angemessener Widerspruch nicht ausräumen, kann jede Partei den betroffenen Teil des Dienstes schriftlich kündigen.

11. Internationale Übermittlungen

Wo die Verarbeitung personenbezogener Daten eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums ohne Angemessenheitsbeschluss nach Artikel 45 DSGVO einschließt, vereinbaren die Parteien:

• für Übermittlungen an Unterauftragsverarbeiter, die nach dem EU-US-Datenschutzrahmen zertifiziert sind, ist der DPF der Übermittlungsmechanismus, solange er in Kraft ist;
• andernfalls beziehen die Parteien die Standardvertragsklauseln der Europäischen Kommission von 2021 durch Verweis ein, wobei Modul 2 (Verantwortlicher an Auftragsverarbeiter) für Übermittlungen vom Verantwortlichen an Kiff Agents OÜ gilt und Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter) für Übermittlungen von Kiff Agents OÜ an einen Unterauftragsverarbeiter;
• die Kopplungsklausel (Klausel 7) wird nicht verwendet; Parteien der SCC sind der Verantwortliche und Kiff Agents OÜ;
• Anhang I.A und I.B der SCC werden durch Verweis auf Anhang 1 dieses AVV ausgefüllt; Anhang II der SCC durch Verweis auf Anhang 2 dieses AVV; Anhang III durch Verweis auf Anhang 3 dieses AVV;
• es gilt Option 2 der Klausel 9 Buchstabe a (allgemeine schriftliche Genehmigung), mit der Mitteilungsfrist von dreißig Tagen aus § 10 oben.

Wo nach einer Transfer-Folgenabschätzung (TIA) zusätzliche Maßnahmen angebracht sind, setzt Kiff Agents OÜ sie um (Verschlüsselung bei der Übertragung und im Ruhezustand, Protokollierung von Zugriffen, Datenminimierung, wie in Anhang 2 dokumentiert).

12. Sicherheitsmaßnahmen

Kiff Agents OÜ setzt geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau nach Artikel 32 DSGVO zu gewährleisten. Die Maßnahmen in Anhang 2 und in der datierten Fassung unter kiff.dev/docs/archive/2026-10-10 sind die vereinbarte Grundlage. /security beschreibt die aktuellen Maßnahmen. Kiff Agents OÜ kann die Maßnahmen aktualisieren, solange das Schutzniveau insgesamt nicht unter diese Grundlage sinkt, und teilt dem Verantwortlichen eine wesentliche Änderung daran im Voraus mit.

13. Meldung einer Verletzung des Schutzes personenbezogener Daten

Kiff Agents OÜ meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die personenbezogene Daten des Verantwortlichen betrifft, unverzüglich und in jedem Fall innerhalb von zweiundsiebzig (72) Stunden, nachdem sie ihr bekannt geworden ist. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt und ergänzt, sobald weitere Informationen vorliegen:

• die Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
• die wahrscheinlichen Folgen der Verletzung;
• die Maßnahmen, die ergriffen oder vorgeschlagen wurden, um die Verletzung zu beheben und ihre möglichen nachteiligen Auswirkungen zu mildern;
• den Namen und die Kontaktdaten einer zentralen Anlaufstelle bei Kiff Agents OÜ für weitere Informationen.

Die eigene Frist des Verantwortlichen nach Artikel 33 DSGVO gegenüber seiner Aufsichtsbehörde beginnt, wenn dem Verantwortlichen selbst die Verletzung bekannt wird; diese Meldung unterstützt ihn bei dieser Pflicht.

14. Anträge betroffener Personen

Kiff Agents OÜ unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen und unter Berücksichtigung der Art der Verarbeitung dabei, seine Pflicht zu erfüllen, Anträge betroffener Personen zu beantworten, die ihre Rechte nach den Artikeln 15 bis 22 DSGVO ausüben.

Kiff Agents OÜ bestätigt Bitten des Verantwortlichen um Unterstützung innerhalb von fünf (5) Arbeitstagen. Anträge, die direkt von betroffenen Personen eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet; Kiff Agents OÜ beantwortet diese Anträge nicht selbst, außer um den Eingang zu bestätigen und die betroffene Person an den Verantwortlichen zu verweisen.

15. Auditrechte

Kiff Agents OÜ stellt dem Verantwortlichen alle Informationen zur Verfügung, die vernünftigerweise nötig sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen. Mit angemessener schriftlicher Vorankündigung (mindestens dreißig Tage, außer bei einem Audit, das durch eine bestätigte wesentliche Verletzung ausgelöst wurde) kann der Verantwortliche bei Kiff Agents OÜ einmal je Zeitraum von zwölf Monaten ein Audit durchführen.

Kiff Agents OÜ hat noch keinen Bericht nach SOC 2 oder ISO 27001. Auf Anfrage stellt sie ihre Sicherheitsübersicht unter /security bereit und beantwortet die Sicherheitsfragebögen des Verantwortlichen.

Audits finden während der üblichen Geschäftszeiten statt, stören den Dienst nicht unangemessen und wahren die Vertraulichkeit der anderen Kunden von Kiff Agents OÜ. Der Verantwortliche trägt seine eigenen Auditkosten; deckt ein Audit auf, dass Kiff Agents OÜ wesentliche Pflichten nicht einhält, erstattet Kiff Agents OÜ dem Verantwortlichen seine angemessenen Auditkosten.

16. Rückgabe oder Löschung personenbezogener Daten

Nach Wahl des Verantwortlichen und innerhalb von dreißig Tagen nach Beendigung des Dienstes für den Verantwortlichen gibt Kiff Agents OÜ die Audit-Daten entweder in einem strukturierten, gängigen und maschinenlesbaren Format zurück oder löscht sie. Dieselbe Wahl gilt für tafs-Daten. Trifft der Verantwortliche in dieser Frist keine Wahl, löscht Kiff Agents OÜ beides. tafs-Daten werden gelöscht, indem jeder taf entfernt wird, wie Anhang 4 es beschreibt: Nachdem die Daten des Verantwortlichen zurückgegeben sind, oder sofort, wenn er die Löschung gewählt hat, entfernt Kiff Agents OÜ jeden taf, den der Verantwortliche nicht selbst entfernt hat, und trennt und löscht die Verbindungen des Verantwortlichen und ihre Aufzeichnungen in planque.

Hashes, die schon im öffentlichen, nachprüfbaren Pfad veröffentlicht sind, bleiben, weil der Pfad unveränderlich ist. Weil der öffentliche Pfad kryptografisches Salting je Mandant verwendet (siehe /security#public-trail), sorgt die Vernichtung des Salts des Mandanten dafür, dass sich diese veröffentlichten Hashes dauerhaft nicht mehr mit den Aufzeichnungen verknüpfen lassen, aus denen sie entstanden sind.

KIFFs Datenbank wird täglich verschlüsselt gesichert, und jedes Backup wird sieben Tage aufbewahrt; ein gelöschter Eintrag ist also innerhalb von sieben Tagen nach seiner Löschung aus den Backups verschwunden. planque führt kein Backup seines Speichers. Kiff Agents OÜ kann personenbezogene Daten aufbewahren, wo das Recht der EU oder eines Mitgliedstaats die Speicherung verlangt (zum Beispiel § 12 des estnischen Rechnungslegungsgesetzes).

17. Haftung

Die Haftung jeder Partei aus diesem AVV unterliegt den Beschränkungen und Ausschlüssen in den Nutzungsbedingungen, außer wo geltendes Recht eine solche Beschränkung verbietet. Jede Partei haftet nach Artikel 82 DSGVO für Schäden, die ihr eigener Verstoß gegen die DSGVO verursacht.

18. Laufzeit und Beendigung

Dieser AVV wird mit der Unterschrift beider Parteien wirksam und gilt für die in § 4 beschriebene Dauer. Die Beendigung der Nutzungsbedingungen beendet automatisch diesen AVV, vorbehaltlich der Pflichten, die fortgelten.

19. Anwendbares Recht

Für diesen AVV gilt das Recht der Republik Estland, unbeschadet zwingender Bestimmungen der DSGVO oder, wo sie gelten, der Verbraucherschutzvorschriften. Für Streitigkeiten aus diesem AVV gelten die Regeln zu Gerichtsstand und Rechtswahl in § 18 der Nutzungsbedingungen.

Anhang 1, Beschreibung der Verarbeitung

Wird für jede unterzeichnete Fassung ausgefüllt.

A. Liste der Parteien

Verantwortlicher und Auftragsverarbeiter, wie in § 1 benannt.

B. Beschreibung der Übermittlung

Kategorien betroffener Personen: wie in § 6 aufgeführt, dazu [weitere Kategorien, die der Verantwortliche angibt].
Kategorien personenbezogener Daten: wie in § 6 aufgeführt (Kontodaten, App-Verbindungen, Aufzeichnungen über Aktionen von Agenten, Chats mit tafs), dazu [weitere Kategorien, die der Verantwortliche angibt].
Sensible Daten: [Angabe des Verantwortlichen; Standard: keine].
Häufigkeit der Übermittlung: fortlaufend (jede Anfrage an den Dienst).
Art der Verarbeitung: wie in § 5 beschrieben.
Zwecke der Verarbeitung: wie in § 5 beschrieben.
Aufbewahrungsfrist: nach /privacy#retention und § 16.

C. Zuständige Aufsichtsbehörde

Die Estnische Datenschutzinspektion (Andmekaitse Inspektsioon).

Anhang 2, Technische und organisatorische Maßnahmen

Eine Zusammenfassung, wie sie zu einem AVV nach Artikel 28 passt. Dieser Anhang und die datierte Fassung unter kiff.dev/docs/archive/2026-10-10 sind die vereinbarte Grundlage nach Abschnitt 12. /security zeigt die aktuellen Maßnahmen und wird innerhalb von 30 Tagen nach einer wesentlichen Änderung aktualisiert.

Anhang 3, Unterauftragsverarbeiter

Die offizielle Liste steht unter /subprocessors; diese Liste ist für die aktuellen Unterauftragsverarbeiter maßgeblich, ändert sich nur nach dem Verfahren in Abschnitt 10 und wird innerhalb von 30 Tagen nach jeder Änderung aktualisiert. Stand dieser Version der Vorlage:

Der öffentliche, nachprüfbare Pfad ist kein Unterauftragsverarbeiter: Er erhält nur zusammenfassende Hashes und keine personenbezogenen Daten.

Anhang 4, tafs

Was tafs im Auftrag des Verantwortlichen aufbewahrt, wo und wie lange. Der Verantwortliche entfernt einen taf in der tafs-App; damit wird alles unten gelöscht, was aufbewahrt wird, „bis der taf entfernt wird“.

Die Cards, zurückgehaltenen Aufrufe, Antworten und Belege eines tafs sind Audit-Daten, die KIFF nach dem Rest dieses AVV aufbewahrt.

Dokumentversion: v0.1 Vorlage.
Zuletzt aktualisiert: 9. November 2026.