Vereinbarung nach Art. 28 DSGVO · Version 1.0 · Stand: 6. September 2026
Diese Vereinbarung wird gemäß § 13 der Allgemeinen Geschäftsbedingungen mit Vertragsschluss automatisch Bestandteil des Vertrags zwischen dem Kunden und Mr. Bell. Sie muss nicht gesondert angefordert oder unterzeichnet werden. Eine unterzeichnete Ausfertigung stellen wir auf Anfrage unter kontakt@mrbell.de zur Verfügung.
Auftragsverarbeiter ist Ben Deschler, Inhaber von Mr. Bell, Maria-Viktoria-Straße 11, 76530 Baden-Baden, Deutschland (nachfolgend „Auftragsverarbeiter").
Verantwortlicher ist der Kunde — der Betreiber des Beherbergungsbetriebs, der Mr. Bell einsetzt (nachfolgend „Verantwortlicher").
Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs des KI-gestützten WhatsApp-Assistenten „Mr. Bell" im Auftrag des Verantwortlichen durchführt.
Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung sowie für die Erfüllung der Informationspflichten nach Art. 13, 14 DSGVO gegenüber seinen Gästen verantwortlich. Der Auftragsverarbeiter stellt hierfür auf Anfrage geeignete Textbausteine zur Verfügung.
Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Verwenden, Übermitteln und Löschen von Nachrichteninhalten und Kontaktdaten im Rahmen der automatisierten und teilautomatisierten Beantwortung von Gästeanfragen über WhatsApp.
Zweck: Betrieb des Assistenten, Beantwortung von Gästeanfragen, Übergabe einzelner Konversationen an Mitarbeitende des Verantwortlichen, Versand vom Verantwortlichen veranlasster Nachrichtenvorlagen sowie Support und Fehlerbehebung.
Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Diese Vereinbarung ist an den Hauptvertrag gebunden und kann nicht isoliert gekündigt werden.
Kategorien betroffener Personen:
Datenarten der Gäste:
Datenarten der Mitarbeitenden: Name, dienstliche E-Mail-Adresse, Zugangsdaten und Nutzungsprotokolle der Agenten-Oberfläche.
Keine besonderen Kategorien: Der Assistent ist nicht darauf ausgelegt, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO zu verarbeiten. Teilt ein Gast solche Angaben von sich aus mit (etwa eine Allergie oder eine Mobilitätseinschränkung), werden sie wie alle übrigen Nachrichteninhalte behandelt und unterliegen denselben Löschfristen.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Weisungen erfolgen in Textform, im Regelfall per E-Mail an kontakt@mrbell.de. Die im Onboarding vom Verantwortlichen vorgenommene Konfiguration des Assistenten — insbesondere der Bot-Prompt, die hinterlegten Informationen und die Freigabe von Nachrichtenvorlagen — gilt als Weisung.
Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
Datenschutzbeauftragter: Der Auftragsverarbeiter ist nicht zur Bestellung eines Datenschutzbeauftragten nach Art. 37 DSGVO in Verbindung mit § 38 BDSG verpflichtet, da nicht mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und die Kerntätigkeit keine umfangreiche regelmäßige und systematische Überwachung im Sinne des Art. 37 Abs. 1 lit. b DSGVO darstellt. Ansprechpartner in allen Datenschutzfragen ist Ben Deschler, erreichbar unter kontakt@mrbell.de.
Der Auftragsverarbeiter hat sich zur Wahrung der Vertraulichkeit verpflichtet. Setzt er weitere Personen ein, verpflichtet er diese vor Aufnahme der Tätigkeit schriftlich auf die Vertraulichkeit und weist sie in die einschlägigen Datenschutzvorschriften ein. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage offengelegt. Die Maßnahmen werden mindestens jährlich überprüft.
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.
Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Pflichten auferlegt, die ihm selbst nach dieser Vereinbarung obliegen.
Änderungen: Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder auszutauschen, teilt er dies dem Verantwortlichen mindestens 14 Tage im Voraus in Textform mit. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Der Widerspruch ist zu begründen.
Im Fall eines begründeten Widerspruchs sucht der Auftragsverarbeiter nach einer zumutbaren Alternative. Ist eine solche nicht verfügbar, steht beiden Parteien ein außerordentliches Kündigungsrecht des Hauptvertrags mit einer Frist von 30 Tagen zum Monatsende zu.
Dienstleistungen, die der Auftragsverarbeiter als reine Nebenleistung in Anspruch nimmt — etwa Telekommunikations-, Post-, Wartungs- oder Reinigungsleistungen sowie Steuer- und Rechtsberatung — gelten nicht als Unterauftragsverarbeitung.
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst. Auf Anforderung stellt der Auftragsverarbeiter dem Verantwortlichen die zu einer bestimmten WhatsApp-Nummer gespeicherten Daten in einem gängigen elektronischen Format zur Verfügung oder löscht sie.
Die Unterstützung erfolgt unentgeltlich, soweit sie nicht auf einem Umstand beruht, den der Verantwortliche zu vertreten hat, und soweit sie keinen unverhältnismäßigen Aufwand verursacht.
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform.
Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Sind nicht alle Angaben sofort verfügbar, erfolgt eine erste Meldung innerhalb der genannten Frist und die Ergänzung schrittweise.
Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Der Auftragsverarbeiter meldet nur nach ausdrücklicher Weisung im eigenen Namen.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung zu überprüfen — durch Einholung von Auskünften, durch Anforderung der aktuellen Fassung der Anlage 1 sowie, bei begründetem Anlass, durch eine Vor-Ort-Kontrolle nach vorheriger Terminvereinbarung mit einer Ankündigungsfrist von 14 Tagen. Der Verantwortliche kann sich hierbei eines Dritten bedienen, sofern dieser kein Wettbewerber des Auftragsverarbeiters ist und zur Verschwiegenheit verpflichtet wird.
Kontrollen erfolgen ohne vermeidbare Störung des Betriebsablaufs. Der Auftragsverarbeiter kann für einen über die Auskunftserteilung hinausgehenden Aufwand eine angemessene Vergütung verlangen, sofern die Kontrolle nicht durch einen Vorfall in seinem Verantwortungsbereich veranlasst ist.
Laufende Löschung: Konversationen mit Gästen werden 60 Tage nach der letzten Nachricht automatisch und vollständig gelöscht. Die Löschung erfolgt durch eine täglich laufende automatisierte Routine und umfasst sowohl die interne Verarbeitungs-Datenbank als auch die Agenten-Oberfläche einschließlich der dort gespeicherten Telefonnummer. Die Ausführung wird protokolliert; die Protokolle werden dem Verantwortlichen auf Anfrage vorgelegt.
Nach Vertragsende: Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen oder gibt sie nach Wahl des Verantwortlichen heraus. Der Verantwortliche teilt seine Wahl innerhalb von 14 Tagen nach Vertragsende mit; ohne Mitteilung erfolgt die Löschung.
Über die vollständige Löschung stellt der Auftragsverarbeiter unaufgefordert eine Bestätigung in Textform aus.
Ausgenommen sind Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, insbesondere Rechnungsbelege nach § 147 AO und § 257 HGB. Diese werden für die Dauer der Aufbewahrungsfrist in der Verarbeitung eingeschränkt und anschließend gelöscht.
Abweichende Fristen können zwischen den Parteien in Textform vereinbart werden.
Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Die Speicherung der Konversationen erfolgt ausschließlich auf Servern innerhalb der EU (Deutschland, Irland und Frankreich).
Eine Übermittlung in ein Drittland findet ausschließlich im Rahmen der in Anlage 2 genannten Unterauftragsverarbeitung statt und ist dort mit der jeweiligen Rechtsgrundlage ausgewiesen. Grundlage ist entweder ein Angemessenheitsbeschluss nach Art. 45 DSGVO oder es sind geeignete Garantien nach Art. 46 DSGVO, insbesondere die EU-Standardvertragsklauseln. Eine Kopie der Standardvertragsklauseln stellt der Auftragsverarbeiter auf Anfrage zur Verfügung.
Eine Verlagerung der Verarbeitung in ein Drittland, die über Anlage 2 hinausgeht, bedarf der vorherigen Zustimmung des Verantwortlichen.
Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Hauptvertrags. Die Parteien stellen einander im Innenverhältnis von Ansprüchen frei, soweit die jeweils andere Partei den Verstoß zu vertreten hat. Dies gilt entsprechend für Geldbußen nach Art. 83 DSGVO im Verhältnis des jeweiligen Verantwortungsbeitrags.
Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in datenschutzrechtlichen Fragen vor.
Der Auftragsverarbeiter bewahrt die Nachweise über die getroffenen Maßnahmen für die Laufzeit des Vertrags sowie drei weitere Kalenderjahre auf.
Es gilt deutsches Recht. Gerichtsstand ist Baden-Baden, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
Sollte eine Bestimmung dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Version 1.0 · Stand: 6. September 2026 · nächste Überprüfung: September 2027
Mr. Bell wird als Einzelunternehmen ohne eigene Serverinfrastruktur betrieben. Die Verarbeitung erfolgt vollständig auf der Infrastruktur der in Anlage 2 genannten Dienstleister. Die nachfolgenden Maßnahmen beschreiben, was der Auftragsverarbeiter selbst umsetzt, und benennen offen, wo er sich auf die Maßnahmen seiner Dienstleister stützt.
Zutrittskontrolle: Der Auftragsverarbeiter betreibt keine eigenen Serverräume. Der physische Schutz der Rechenzentren obliegt den Dienstleistern nach Anlage 2 (Rechenzentren in Deutschland, Irland und Frankreich mit Zutrittskontrolle, Videoüberwachung und Zugangsprotokollierung). Endgeräte des Auftragsverarbeiters sind vollverschlüsselt und passwortgeschützt und werden nicht unbeaufsichtigt zugänglich gelassen.
Zugangskontrolle: Sämtliche Dienste sind ausschließlich über individuelle, benannte Benutzerkonten zugänglich. Es werden ausschließlich zufallsgenerierte Passwörter aus einem Passwortmanager verwendet; Passwörter werden nicht wiederverwendet. Zwei-Faktor-Authentisierung ist bei allen Diensten aktiviert, die sie unterstützen. Es existieren keine geteilten Sammelkonten.
Zugriffskontrolle: Zugriff auf Gästedaten haben ausschließlich der Auftragsverarbeiter selbst sowie die vom Verantwortlichen benannten Mitarbeitenden im Rahmen ihres eigenen Hauses. Es sind keine weiteren Beschäftigten des Auftragsverarbeiters vorhanden. Zugriffe auf die Agenten-Oberfläche werden protokolliert. Bei Beendigung eines Vertragsverhältnisses werden die Zugänge der betroffenen Nutzer unverzüglich entzogen.
Trennungskontrolle: Jeder Betrieb erhält eine eigene WhatsApp-Nummer, einen eigenen Assistenten-Prompt und eine eigene Zuordnung in der Verarbeitungs-Datenbank. Konversationen sind über die Betriebszuordnung eindeutig getrennt; ein Betrieb erhält keinen Zugriff auf Daten eines anderen Betriebs.
Weitergabekontrolle: Sämtliche Datenübertragungen erfolgen ausschließlich transportverschlüsselt über TLS. Dies gilt für die Verbindung zur WhatsApp Business API, zur Automatisierungsplattform, zur Verarbeitungs-Datenbank, zur Agenten-Oberfläche und zum KI-Dienst. Unverschlüsselte Übertragungswege werden nicht verwendet. Personenbezogene Daten werden nicht per unverschlüsselter E-Mail versandt und nicht auf Wechseldatenträger kopiert.
Eingabekontrolle: Jede ein- und ausgehende Nachricht wird mit Zeitstempel, Rolle und Betriebszuordnung protokolliert. Änderungen an der Konfiguration des Assistenten sind über die Versionshistorie der Automatisierungsplattform nachvollziehbar.
Auftragskontrolle: Mit allen in Anlage 2 genannten Unterauftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.
Die eingesetzten Dienste verfügen über redundante Infrastruktur und regelmäßige Sicherungen auf Ebene des jeweiligen Anbieters. Die Verarbeitungs-Datenbank wird durch den Anbieter versioniert vorgehalten, sodass ein Rückgriff auf frühere Stände möglich ist. Der Auftragsverarbeiter überwacht die Ausführung der automatisierten Abläufe über die Ausführungshistorie der Automatisierungsplattform und erhält bei Fehlläufen eine Benachrichtigung.
Der Auftragsverarbeiter betreibt eine automatisierte Löschroutine, die täglich läuft. Sie ermittelt für jede Gästekonversation den Zeitpunkt der letzten Nachricht und löscht nach Ablauf von 60 Tagen sämtliche zugehörigen Datensätze — sowohl in der internen Verarbeitungs-Datenbank als auch in der Agenten-Oberfläche einschließlich des dort gespeicherten Kontakts mit der Telefonnummer.
Die Routine ist mit Sicherungen gegen Fehlläufe ausgestattet: Datensätze ohne verwertbaren Zeitstempel werden nicht gelöscht, und ein Lauf bricht ab, statt zu löschen, wenn die Zahl der betroffenen Datensätze eine definierte Obergrenze überschreitet. Jeder Lauf wird protokolliert und ist nachträglich einsehbar.
Diese Maßnahmen werden mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen der eingesetzten Dienste überprüft und fortgeschrieben. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
Offene Angabe zum Stand: Der Auftragsverarbeiter verfügt derzeit über keine externe Sicherheitszertifizierung (etwa ISO 27001 oder SOC 2) und lässt keine regelmäßigen Penetrationstests durchführen. Die eingesetzten Dienstleister verfügen über eigene Zertifizierungen. Diese Angabe wird aktualisiert, sobald sich der Stand ändert.
Version 1.0 · Stand: 6. September 2026
Die nachfolgend genannten Unternehmen verarbeiten personenbezogene Daten der Gäste des Verantwortlichen im Auftrag des Auftragsverarbeiters. Änderungen werden nach Ziffer 8 dieser Vereinbarung mit einer Frist von 14 Tagen mitgeteilt.
| Unternehmen | Leistung | Verarbeitungsort | Drittland-Grundlage |
|---|---|---|---|
| 360dialog GmbH Torstraße 61, 10119 Berlin, Deutschland | Anbindung der WhatsApp Business API | Deutschland (EU) | — |
| WhatsApp Ireland Limited 4 Grand Canal Square, Dublin 2, Irland | Messaging-Infrastruktur WhatsApp | Irland (EU) / USA | EU-Standardvertragsklauseln, vermittelt über 360dialog |
| n8n GmbH Klosterstraße 64, 10179 Berlin, Deutschland | Workflow-Automatisierung | Deutschland (AWS Frankfurt) | — |
| Anthropic PBC 548 Market St, PMB 90375, San Francisco, CA 94104, USA | KI-Sprachmodell zur Erzeugung der Antworten | USA | EU-U.S. Data Privacy Framework, ergänzend EU-Standardvertragsklauseln |
| Google Ireland Limited Gordon House, Barrow Street, Dublin 4, Irland | Verarbeitungs-Datenbank (Google Sheets), E-Mail | Irland (EU) | Cloud Data Processing Addendum; Konzernmutter DPF-zertifiziert |
| OVH SAS 2 rue Kellermann, 59100 Roubaix, Frankreich | Server-Hosting der selbst betriebenen Agenten-Oberfläche (Chatwoot) | Frankreich (EU) | — |
Hinweis zur Agenten-Oberfläche: Die eingesetzte Software Chatwoot wird vom Auftragsverarbeiter selbst auf einem ausschließlich von ihm genutzten Server betrieben. Es besteht keine Verbindung zu einem Cloud-Dienst des Herstellers; an die Chatwoot Inc. werden keine Daten übermittelt. Unterauftragsverarbeiter ist insoweit ausschließlich der Serverbetreiber OVH SAS.
Hinweis zum KI-Anbieter: Nach den Commercial Terms of Service von Anthropic werden über die Programmierschnittstelle übermittelte Eingaben ausdrücklich nicht zum Training von Modellen verwendet. Sie werden standardmäßig für bis zu 30 Tage zur Erkennung und Abwehr von Missbrauch gespeichert und anschließend automatisch gelöscht.
Fragen zu dieser Vereinbarung beantworten wir unter kontakt@mrbell.de. Siehe auch Datenschutzerklärung und AGB.