Stand: 15. Juli 2026 · Version 2026-07-15

zwischen dem Kunden als Verantwortlichem („Verantwortlicher“) und der Parlant GmbH, Gürtelstraße 25/Etage 4, 10247 Berlin, Deutschland, als Auftragsverarbeiter („Parlant“).

Diese Vereinbarung gilt automatisch ergänzend zum Vertrag über Parlant Agents, soweit der Kunde personenbezogene Daten als Verantwortlicher verarbeitet und Parlant diese Daten bei Bereitstellung des Dienstes in dessen Auftrag verarbeitet. Bei Widersprüchen geht diese Vereinbarung für Fragen der Auftragsverarbeitung vor; der Hauptvertrag bleibt im Übrigen bestehen.

1. Gegenstand und Dauer

1. Gegenstand ist Hosting, Betrieb, Übertragung, Sicherung, Wiederherstellung, technische Wartung und vereinbarter Support einer isolierten Agent-Instanz einschließlich der hierfür erforderlichen Infrastruktur- und Sicherheitsleistungen.
2. Die Verarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags. Pflichten zur Löschung, Rückgabe, Vertraulichkeit, Unterstützung und Nachweisführung wirken nach, soweit ihr Zweck dies erfordert.
3. Kein Auftragsverhältnis besteht für Verarbeitungen, bei denen Parlant eigene Zwecke und Mittel bestimmt, insbesondere eigene Vertragsverwaltung, Abrechnung, Betrugsabwehr und Erfüllung gesetzlicher Pflichten. Hierfür gilt die Datenschutzerklärung.

2. Art und Zweck der Verarbeitung

Verarbeitungsvorgänge können Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen im technisch erforderlichen Umfang, Übermitteln, Verschlüsseln, Sichern, Wiederherstellen, Einschränken und Löschen umfassen. Zwecke sind ausschließlich Bereitstellung und Sicherung des gebuchten Agents, Übermittlung an vom Verantwortlichen gewählte Dienste, Fehlerbehebung und ausdrücklich beauftragter Support.

Parlant verkauft Kundendaten nicht, nutzt sie nicht für Werbung und trainiert damit keine eigenen KI-Modelle.

3. Datenarten und betroffene Personen

Abhängig von der Nutzung können verarbeitet werden:

• Stamm-, Kontakt-, Kommunikations- und Identifikationsdaten;
• Inhaltsdaten wie Dateien, Texte, Nachrichten, Prompts, Modellantworten, Bilder, Audio und Dokumente;
• Vertrags-, Vorgangs-, Nutzungs- und Protokolldaten;
• Zugangsdaten, API-Schlüssel und technische Konfiguration;
• Standort-, Geräte-, IP- und Metadaten;
• besondere Kategorien nach Art. 9 DSGVO oder strafrechtliche Daten nach Art. 10 DSGVO nur, wenn der Verantwortliche ihre Verarbeitung rechtmäßig anweist und angemessen absichert.

Betroffene können der Verantwortliche, dessen Angehörige, Beschäftigte, Kunden, Interessenten, Kommunikationspartner, Webseitenbesucher oder sonstige Personen sein, deren Daten der Verantwortliche oder sein Agent rechtmäßig verarbeitet.

4. Weisungen

1. Parlant verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, soweit Unionsrecht oder deutsches Recht keine Verarbeitung verlangt. In diesem Fall informiert Parlant vorab über die Pflicht, sofern das Gesetz dies nicht aus wichtigem öffentlichen Interesse verbietet.
2. Hauptvertrag, diese Vereinbarung, Einstellungen und dokumentierte Supportaufträge bilden die anfänglichen Weisungen. Weitere Weisungen sind in Textform an [email protected] zu richten.
3. Hält Parlant eine Weisung für datenschutzwidrig, informiert Parlant unverzüglich und darf ihre Ausführung bis zur Klärung aussetzen. Parlant erbringt keine Rechtsberatung.
4. Der Verantwortliche bestimmt Zwecke, Rechtsgrundlagen, Datenumfang, Aufbewahrung und Berechtigungen seiner Nutzung. Er stellt sicher, dass Weisungen und Nutzung rechtmäßig sind und Betroffeneninformationen sowie erforderliche Einwilligungen vorliegen.

5. Pflichten von Parlant

Parlant verpflichtet sich:

1. nur befugte Personen einzusetzen, die auf Vertraulichkeit verpflichtet und angemessen geschult sind;
2. die Maßnahmen aus Anlage 1 aufrechtzuerhalten und dem Risiko entsprechend weiterzuentwickeln, ohne das Schutzniveau zu senken;
3. Zugriffe auf Kundendaten auf das erforderliche Maß zu beschränken; Beschäftigte dürfen Kundeninhalte ohne dokumentierten Supportauftrag grundsätzlich nicht einsehen, vorbehaltlich zwingender Sicherheits- oder Rechtspflichten;
4. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit bei Betroffenenrechten zu unterstützen und Anfragen Betroffener, die den Auftrag betreffen, unverzüglich weiterzuleiten;
5. bei Pflichten aus Art. 32 bis 36 DSGVO angemessen zu unterstützen, insbesondere bei Sicherheit, Verletzungsmeldungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation;
6. erforderliche Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereitzustellen und Prüfungen nach Ziffer 10 zu ermöglichen;
7. ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen, soweit vorgeschrieben;
8. nach Ende der Leistung Daten gemäß Ziffer 9 zurückzugeben oder zu löschen.

6. Sicherheit und Verletzungen des Schutzes personenbezogener Daten

1. Beide Parteien treffen die in ihrem Verantwortungsbereich erforderlichen Maßnahmen nach Art. 32 DSGVO. Der Verantwortliche schützt insbesondere Konten, Endgeräte, Zugangsdaten, eingebundene Dienste und Agent-Anweisungen.
2. Parlant informiert den Verantwortlichen unverzüglich, nachdem Parlant eine Verletzung des Schutzes auftragsverarbeiteter personenbezogener Daten bekannt wurde. Die Mitteilung enthält, soweit verfügbar, Art und Umfang, betroffene Kategorien, wahrscheinliche Folgen, ergriffene Maßnahmen und eine Kontaktmöglichkeit. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.
3. Meldungen an Aufsichtsbehörden oder Betroffene obliegen dem Verantwortlichen, soweit nicht Parlant gesetzlich selbst verpflichtet ist. Parlant unterstützt angemessen.

7. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter und für notwendige Änderungen.
2. Parlant informiert über beabsichtigte neue oder ersetzte Unterauftragsverarbeiter mindestens 30 Tage vorher in Textform oder im Kundenbereich. Bei dringenden Sicherheits- oder Verfügbarkeitsgründen kann die Frist angemessen verkürzt werden; der Grund wird mitgeteilt.
3. Der Verantwortliche kann aus nachvollziehbaren Datenschutzgründen innerhalb von 14 Tagen widersprechen. Die Parteien suchen eine zumutbare Lösung. Ist keine Lösung möglich, kann der Verantwortliche den betroffenen Dienst außerordentlich zum Änderungszeitpunkt kündigen.
4. Parlant verpflichtet Unterauftragsverarbeiter vertraglich zu im Wesentlichen gleichwertigen Datenschutzpflichten und bleibt dem Verantwortlichen für deren Pflichten nach Art. 28 Abs. 4 DSGVO verantwortlich.
5. Vom Verantwortlichen oder dessen Agent eigenständig konfigurierte Modellanbieter, APIs, Messenger oder andere Dienste sind keine Unterauftragsverarbeiter von Parlant. Der Verantwortliche prüft und beauftragt sie selbst. OpenRouter und nachgelagerte Modellanbieter werden nur bei Wahl des verwalteten KI-Zugangs eingesetzt; die jeweilige Anbieterwahl beeinflusst Speicherort und Datenschutzbedingungen.

8. Drittlandübermittlungen

1. Dauerhafte Live-Dateien und verschlüsselte Sicherungen liegen nach aktueller Konfiguration bei Hetzner in Deutschland. Cloudflare verarbeitet Netzwerkverkehr; optional verarbeiten OpenRouter und Modellanbieter Inhalte außerhalb des EWR.
2. Übermittlungen in Drittländer erfolgen nur auf dokumentierte Weisung oder unter den Voraussetzungen der Art. 44 ff. DSGVO. Parlant stützt sie insbesondere auf Angemessenheitsbeschlüsse nach Art. 45 DSGVO, einschließlich EU-US Data Privacy Framework bei zertifizierten Empfängern, oder Standardvertragsklauseln und erforderliche ergänzende Maßnahmen nach Art. 46 DSGVO.
3. Auf Anfrage stellt Parlant Informationen zu den eingesetzten Garantien bereit. Der Verantwortliche bleibt für die Rechtmäßigkeit von Übermittlungen verantwortlich, die er durch Wahl eines externen Dienstes oder Modellanbieters veranlasst.

9. Rückgabe und Löschung

1. Während des Vertrags kann der Verantwortliche seine Live-Daten über die bereitgestellten Schnittstellen exportieren und Sicherungen anfordern.
2. Nach Vertragsende löscht Parlant Live-Daten bei Zerstörung der Instanz. Eine aktuelle verschlüsselte Sicherung kann, soweit technisch möglich und rechtlich zulässig, für den vereinbarten Exportzeitraum bereitgestellt werden. Regulär werden zurückbehaltene Sicherungen sieben Tage nach Ende des bezahlten Zeitraums gelöscht.
3. Kopien dürfen nur fortbestehen, soweit Unionsrecht oder deutsches Recht eine Aufbewahrung verlangt, ein rechtlicher Sperrgrund besteht oder Daten in rotierenden Sicherungen bis zur planmäßigen Überschreibung technisch gebunden sind. Die Verarbeitung wird in dieser Zeit auf den jeweiligen Zweck beschränkt.
4. Auf Wunsch bestätigt Parlant die vertragsgemäße Löschung.

10. Nachweise und Prüfungen

1. Parlant stellt vorrangig aktuelle Zertifikate, Prüfberichte, technische Beschreibungen und Antworten auf angemessene Fragebögen bereit.
2. Reichen diese Nachweise aus objektiven Gründen nicht aus, darf der Verantwortliche höchstens einmal jährlich sowie zusätzlich nach einem erheblichen Vorfall eine Prüfung durch einen unabhängigen, fachkundigen und zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Prüfungstermin, Umfang und Schutz anderer Kunden, Sicherheitsinformationen und Geschäftsgeheimnisse sind vorher abzustimmen.
3. Prüfungen erfolgen während üblicher Geschäftszeiten ohne unverhältnismäßige Betriebsstörung. Der Verantwortliche trägt seine Kosten; verursacht eine nachgewiesene erhebliche Pflichtverletzung die Prüfung, trägt Parlant die angemessenen erforderlichen Kosten.

11. Haftung und Schlussbestimmungen

1. Für Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags, soweit zwingendes Datenschutzrecht nichts anderes bestimmt.
2. Änderungen dieser Vereinbarung bedürfen der Textform. Zwingende Änderungen aufgrund Datenschutzrechts können mit angemessener Vorankündigung umgesetzt werden; das Schutzniveau darf nicht unangemessen sinken.
3. Es gilt deutsches Recht. Für Verbraucher bleiben zwingende Schutzvorschriften und gesetzliche Gerichtsstände unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen

Zutritts- und physische Sicherheit

• Rechenzentren werden durch Hetzner betrieben; dessen physische Sicherheits-, Zutritts-, Strom-, Brand- und Umweltkontrollen gelten ergänzend.
• Parlant betreibt keine Kundenserver in eigenen Büroräumen.

Zugangs- und Zugriffskontrolle

• persönliche, rollenbezogene Administrationszugänge; keine routinemäßige Beschäftigtenberechtigung für Kundeninhalte;
• starke, zufällig erzeugte Kunden-Zugangsdaten und zeitlich begrenzte Anmelde-Token;
• verschlüsselte Speicherung verwalteter Instanzzugangsdaten;
• administrative Serverzugänge nur über Cloudflare Access/Tunnel und freigegebene Schlüssel; kein öffentlich erreichbarer SSH-Port;
• Firewall mit grundsätzlich keinen eingehenden öffentlichen Serverports;
• Supportzugriff nur nach dokumentierter Freigabe oder eng begrenzter Sicherheits-/Rechtserforderlichkeit.

Trennung und Mandantenisolation

• eigene virtuelle Recheninstanz und eigenes persistentes Volume je Agent-Abonnement;
• logisch getrennte Datenbanksätze mit Benutzer- und Instanzzuordnung;
• eindeutige Hostnamen und Tunnel;
• private, schlüsselbezogene Objekte im Sicherungsspeicher.

Übertragungs- und Speichersicherheit

• TLS für Browser-, API- und E-Mail-Transport, soweit vom Empfängersystem unterstützt;
• Cloudflare Tunnel statt direkt offener Anwendungsports;
• Sicherungsarchive werden auf der Kundeninstanz verschlüsselt, bevor sie an Hetzner Object Storage übertragen werden;
• kryptografische Prüfsummen und begrenzte signierte URLs für Sicherungsübertragung und Wiederherstellung;
• Geheimnisse werden nicht bewusst in Quellcode oder öffentliche Protokolle geschrieben.

Verfügbarkeit, Integrität und Wiederherstellung

• persistente Volumes, tägliche und manuelle verschlüsselte Sicherungen;
• Wiederherstellungsablauf mit Integritätsprüfung;
• Sicherheitsupdates und reproduzierbare, versionierte Serverabbilder;
• Status- und Fehlerüberwachung für Bereitstellung, Sicherung und Abrechnung;
• kontrollierte Zerstörungs- und Wiederherstellungsabläufe.

Verfahren und Organisation

• Datenschutz- und Vertraulichkeitsverpflichtung befugter Personen;
• Need-to-know-Prinzip und regelmäßige Überprüfung von Berechtigungen;
• dokumentierte Sicherheits- und Datenschutzvorfälle;
• datenschutzfreundliche Voreinstellungen, Datenminimierung und getrennte Annahmenachweise ohne IP-Adresse;
• Prüfung wesentlicher Anbieter und Vereinbarungen zur Auftragsverarbeitung;
• regelmäßige Überprüfung und Anpassung der Maßnahmen nach Risiko und Stand der Technik.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Anbieter	Ort	Leistung und Daten	Drittlandgrundlage
Hetzner Online GmbH	Deutschland	Kontrollanwendung, Datenbank, isolierte Kundenserver/Volumes, Netzwerk, verschlüsselte Sicherungen; Konto-, Infrastruktur-, Verbindungs- und Kundeninhalte	keine planmäßige Drittlandübermittlung für konfigurierte deutsche Standorte
Cloudflare, Inc. und verbundene Gesellschaften	USA/EU	DNS, TLS, DDoS-Schutz, Access und Tunnel; Verbindungs-, Sicherheits- und transportierte Inhaltsdaten	EU-US DPF soweit anwendbar, ergänzend Standardvertragsklauseln
rapidmail GmbH	Deutschland	Transaktions-E-Mail; Empfänger, Nachrichteninhalt, Versand- und Zustelldaten	keine planmäßige Drittlandübermittlung für deutsche SMTP-Infrastruktur; Unteranbieter nach rapidmail-Bedingungen
OpenRouter, Inc.	USA	optionaler verwalteter Modellzugang; Prompts, Antworten, Modellwahl und Nutzungsdaten	Standardvertragsklauseln bzw. von OpenRouter ausgewiesene Garantien
vom Verantwortlichen ausgewählte Modellanbieter über OpenRouter	abhängig von Auswahl	optionale Inferenz; übermittelte Prompts, Anhänge und Antworten	abhängig vom Anbieter; Auswahl/Weisung durch Verantwortlichen

Stripe verarbeitet Zahlungs- und Vertragsdaten außerhalb der Verarbeitung von Kundeninhalten und ist deshalb nicht als Unterauftragsverarbeiter für die Kundeninstanz in dieser Anlage aufgeführt. Seine Rollen werden in der Datenschutzerklärung beschrieben.