TrompTech
DE
Gespräch vereinbaren

TROMPTECH

Auftragsverarbeitungsvertrag

Vereinbarungen über die personenbezogenen Daten, die wir im Auftrag Ihres Unternehmens verarbeiten.

Dies ist eine Übersetzung. Nur der niederländische Text ist rechtlich verbindlich; bei Abweichungen gilt dieser.

Als Textdatei herunterladen (.txt) (auf Niederländisch)

Version 3.1 - Zuletzt aktualisiert: 1. Oktober 2026

1. Parteien und Gegenstand

Dieser Vertrag gilt zwischen TrompTech, Einzelunternehmen von J. Tromp, Baliëndijk 324, 4816 GV Breda, niederländische Handelskammer (KvK) 96345381 („TrompTech“, der Auftragsverarbeiter), und dem Auftraggeber, der die TrompTech Layer, Hosting oder Verwaltung bei TrompTech bezieht („der Kunde“, der Verantwortliche). Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und gilt automatisch, sobald TrompTech für den Kunden personenbezogene Daten verarbeitet.

Begriffe wie personenbezogene Daten, Verarbeitung, betroffene Person und Verletzung haben die Bedeutung aus Artikel 4 der Datenschutz-Grundverordnung (DSGVO).

2. Weisungen

  • TrompTech verarbeitet die Daten nur, um den Dienst zu erbringen, und nur auf Weisung des Kunden. Der Vertrag, dieser Auftragsverarbeitungsvertrag und die Einstellungen, die der Kunde in seinem Arbeitsbereich wählt, gelten als diese Weisungen.
  • TrompTech verwendet die Daten nicht für eigene Zwecke, verkauft sie nicht und verwendet sie nicht zum Training eines Sprachmodells.
  • Ist TrompTech der Auffassung, dass eine Weisung gegen die DSGVO verstößt, teilt es dies unverzüglich mit.
  • Muss TrompTech aufgrund gesetzlicher Vorschriften Daten herausgeben, teilt es dies dem Kunden vorab mit, sofern das Gesetz dies nicht verbietet.

Was TrompTech selbst als Verantwortlicher verarbeitet, etwa die Anmeldedaten der Nutzer, die Abrechnung des Abonnements und den Verbrauch von KI-Aufgaben, fällt nicht unter diesen Vertrag. Dies steht in der Datenschutzerklärung.

3. Welche Daten

Zweck: die Bereitstellung des Arbeitsbereichs für den Geschäftsbetrieb des Kunden: Kontakte und Leads, Kalender und Buchungen, E-Mail, Angebote und Rechnungen, Projekte, Aufgaben, Stunden, Tickets, Dokumente, Mitarbeitende und KI-Funktionen, die Vorschläge machen. Beim Hosting: die Website des Kunden und was Besucher dort eingeben.

Betroffene Personen: Nutzer und Mitarbeitende des Kunden; Kunden, Leads, Lieferanten und deren Ansprechpersonen; Absender und Empfänger von E-Mails; Personen, die einen Termin buchen oder ein Formular ausfüllen.

Daten: Namen, E-Mail-Adressen, Telefonnummern, Unternehmensdaten und Notizen; Termine; Kopfdaten und, wenn der Kunde dies verbindet, Inhalt von E-Mails; Angebote, Rechnungen und Verträge; Projekte, Aufgaben und Stunden; Funktion und Kontaktdaten von Mitarbeitenden; Gespräche mit der KI.

Der Kunde legt im Arbeitsbereich keine besonderen Kategorien personenbezogener Daten (etwa zur Gesundheit), keine strafrechtlichen Daten und keine niederländischen Bürgerservicenummern (BSN) ab, es sei denn, wir vereinbaren dies gemeinsam schriftlich. Der Arbeitsbereich hat dafür keine Felder, und das Modul Mitarbeitende erfasst bewusst weder Gehalt, BSN, Adresse noch Krankheit.

Der Kunde legt im Arbeitsbereich nur Daten ab, für die er selbst Verantwortlicher ist, nicht Daten, die ihm ein eigener Kunde als Auftragsverarbeiter anvertraut hat, es sei denn, wir treffen darüber gemeinsam gesonderte Vereinbarungen.

4. Aufbewahrung

Der Arbeitsbereich wendet einige Fristen selbst an, jede Nacht:

  • Verlorene Leads: 2 Jahre nach der letzten Aktivität.
  • Buchungen: 12 Monate nach dem Gespräch anonymisiert.
  • Kopfdaten von E-Mails im Suchindex: 12 Monate nach dem E-Mail-Datum.
  • Gespräche mit der KI: 12 Monate nach der letzten Nachricht. KI-Vorschläge: 12 Monate nach der Entscheidung.

Angebote, Rechnungen und die übrige Buchhaltung löscht der Arbeitsbereich nicht automatisch, da der Kunde sie 7 Jahre aufbewahren muss. Andere Daten bleiben erhalten, bis der Kunde sie löscht oder der Vertrag endet (Artikel 11).

5. Vertraulichkeit und Zugriff

TrompTech behandelt die Daten vertraulich. Wer im Namen von TrompTech Zugriff hat, ist zur Vertraulichkeit verpflichtet; derzeit ist das nur J. Tromp. Kommt jemand hinzu, teilt TrompTech dies mit. TrompTech sieht nur dann in einen Arbeitsbereich, wenn dies für Support, um den der Kunde bittet, für die Sicherheit oder die Wiederherstellung nach einer Störung erforderlich ist oder weil das Gesetz es verlangt. Sieht TrompTech in den Arbeitsbereich, hält der Arbeitsbereich dies in einem Zugriffsprotokoll fest, mit Datum, Uhrzeit, Grund und Erläuterung. Die Administratoren des Kunden sehen dieses Protokoll im Arbeitsbereich unter Team. Personaldaten im Arbeitsbereich des Kunden sind in der App für TrompTech nicht sichtbar.

6. Sicherheit

TrompTech trifft geeignete Maßnahmen (Artikel 32 DSGVO). Unter anderem:

  • Alle Verbindungen laufen verschlüsselt über https.
  • Der Server ist nur für Webverkehr geöffnet. Die Verwaltung ist nur über eine abgeschirmte Verbindung mit einem Schlüssel möglich, und Sicherheitsupdates werden automatisch eingespielt.
  • Jeder Arbeitsbereich läuft in einem eigenen Prozess, der nur seinen eigenen Ordner sieht.
  • Geheimnisse von Verbindungen, Gespräche mit der KI, KI-Vorschläge, Kalenderzugriff und E-Mail auf einer eigenen Domain werden verschlüsselt gespeichert.
  • Passwörter werden nur verschlüsselt gespeichert, und die Anzahl der Anmeldeversuche ist begrenzt.
  • Die Zwei-Faktor-Anmeldung (eine Code-App oder ein Passkey) ist für Personen, die den Arbeitsbereich verwalten, verpflichtend, und für alle, wenn der Kunde dies wählt.
  • Ein Zugriffsprotokoll erfasst Anmeldungen, fehlgeschlagene Versuche, Abmeldungen und Einsichtnahmen durch TrompTech. Es kann nur wachsen und bleibt ein Jahr lang bestehen.
  • Nutzer erhalten Rollen und Rechte. Pro Modul wird festgehalten, wer was geändert hat.
  • Jede Nacht eine verschlüsselte Sicherung außerhalb des Servers, 60 Tage aufbewahrt (siehe Service & Verfügbarkeit).

TrompTech darf die Maßnahmen anpassen, solange das Niveau nicht sinkt. Der Kunde ist selbst dafür verantwortlich, wem er Zugriff gewährt, welche Rollen er vergibt und welche Verbindungen er aktiviert.

7. Unterauftragsverarbeiter

Der Kunde stimmt den Unterauftragsverarbeitern auf der Seite der Unterauftragsverarbeiter zu, mit Angaben dazu, was jede Partei tut, welche Daten, wo und auf welcher Grundlage bei Übermittlung außerhalb des Europäischen Wirtschaftsraums. TrompTech erlegt ihnen dieselben Pflichten auf wie in diesem Vertrag, soweit der Dienst dies zulässt, und bleibt gegenüber dem Kunden verantwortlich.

Einen neuen oder anderen Unterauftragsverarbeiter teilt TrompTech mindestens 30 Tage im Voraus per E-Mail mit. Der Kunde kann innerhalb dieser Frist widersprechen. Kommen wir gemeinsam zu keiner Einigung, kann der Kunde zum Datum der Änderung kündigen, ohne Kosten für den Rest des Zeitraums.

Dienste, die der Kunde selbst verbindet, etwa Google, Microsoft 365, Mollie oder ein CRM, sind keine Unterauftragsverarbeiter von TrompTech. Dafür hat der Kunde eigene Vereinbarungen mit dem jeweiligen Dienst.

8. KI-Funktionen

  • Die KI-Funktionen arbeiten über die geschäftliche API von TrompTech mit dem Sprachmodell, das auf der Seite der Unterauftragsverarbeiter genannt ist. Der Kunde benötigt dafür kein eigenes Konto.
  • TrompTech verlagert die KI-Funktionen auf eine Verarbeitung in der EU: über Google Cloud (Vertex AI) oder AWS (Amazon Bedrock), in einer Region in der EU. Diese Umstellung kündigt TrompTech mindestens 30 Tage im Voraus an, wie in Artikel 7. Ab dann geht für die KI-Funktionen nichts mehr an ein Sprachmodell außerhalb der EU, und ist dieser Weg nicht verfügbar, läuft die KI nicht.
  • Einen eigenen API-Schlüssel eines Anbieters kann der Kunde nur verwenden, wenn TrompTech dies für den Arbeitsbereich aktiviert. Die Arbeit läuft dann über diesen Schlüssel, außerhalb des EU-Wegs. Dieser Anbieter ist dann ein Lieferant des Kunden, kein Unterauftragsverarbeiter von TrompTech.
  • An das Sprachmodell geht nur, was für die Aufgabe nötig ist: die Frage, die Anweisungen und die Daten, die die KI dafür aus dem Arbeitsbereich abruft.
  • Was den Arbeitsbereich verlässt, etwa eine E-Mail oder eine Änderung in einem anderen System, wird zunächst ein Vorschlag, den ein Nutzer freigibt. Ein Administrator des Kunden kann pro Aufgabenart festlegen, dass diese ohne Freigabe ausgeführt wird, mit einem Tageslimit. Das gilt als Weisung des Kunden. Personalangelegenheiten, Verträge und der Status einer Rechnung laufen nie ohne Freigabe.
  • TrompTech erfasst pro KI-Aufgabe den Verbrauch, nicht den Text.

9. Verletzungen

TrompTech meldet eine Verletzung, die die Daten des Kunden betrifft, ohne unangemessene Verzögerung und strebt eine Meldung innerhalb von 48 Stunden nach Entdeckung an, damit der Kunde selbst innerhalb von 72 Stunden an die Autoriteit Persoonsgegevens (die niederländische Datenschutzbehörde) melden kann. Die Meldung enthält, was TrompTech zu diesem Zeitpunkt weiß: was geschehen ist, welche Daten und betroffenen Personen, die wahrscheinlichen Folgen und die Maßnahmen. Was später bekannt wird, folgt. TrompTech meldet nicht selbst an die Aufsichtsbehörde oder an betroffene Personen, es sei denn, der Kunde bittet darum oder das Gesetz verlangt es. Jede Verletzung dokumentiert TrompTech, auch wenn sie nicht gemeldet werden muss.

10. Unterstützung des Kunden

TrompTech unterstützt den Kunden bei Anfragen betroffener Personen, etwa auf Auskunft oder Löschung. Der Arbeitsbereich bietet dafür einen Export pro Person und das Löschen eines Kontakts. Erhält TrompTech selbst eine solche Anfrage, leitet es sie an den Kunden weiter. TrompTech unterstützt auch bei einer Datenschutz-Folgenabschätzung (DSFA). Unterstützung, die mehr als 2 Stunden pro Jahr in Anspruch nimmt, darf TrompTech zum üblichen Stundensatz berechnen, außer wenn sie durch einen Fehler von TrompTech nötig ist.

11. Ende und Rückgabe

Nach dem Ende des Vertrags kann der Kunde 30 Tage lang seine Daten erhalten: TrompTech liefert sie auf Anfrage in einem gängigen, maschinenlesbaren Format. Danach löscht TrompTech den Arbeitsbereich mit allen Daten und Schlüsseln. Kopien in Sicherungen verschwinden, wenn die Sicherung abläuft, spätestens 60 Tage später; bis dahin bleiben sie verschlüsselt und werden nur zur Wiederherstellung verwendet. Auf Anfrage bestätigt TrompTech die Löschung schriftlich.

12. Kontrolle

TrompTech stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieser Vereinbarungen nachzuweisen. Sind diese nachweislich unzureichend, darf der Kunde einmal pro Jahr eine Prüfung durch einen unabhängigen, zur Verschwiegenheit verpflichteten Sachverständigen durchführen lassen, nach einer Ankündigung von 30 Tagen, während der Bürozeiten und ohne Einsicht in Daten anderer Kunden. Der Kunde trägt die Kosten, es sei denn, die Prüfung zeigt einen wesentlichen Mangel bei TrompTech. TrompTech verfügt über keine Zertifizierung wie ISO 27001.

13. Laufzeit und Änderung

Dieser Vertrag läuft, solange TrompTech Daten des Kunden verarbeitet. Eine Änderung kündigt TrompTech mindestens 30 Tage im Voraus an; ist sie zum Nachteil des Kunden, darf der Kunde zum Zeitpunkt des Inkrafttretens kündigen. Bei Widerspruch zu den Allgemeinen Geschäftsbedingungen hat dieser Vertrag Vorrang, soweit es um personenbezogene Daten geht. Für Haftung und Streitigkeiten gelten die Allgemeinen Geschäftsbedingungen und niederländisches Recht.

Fragen zu diesem Vertrag: info@tromptech.nl.

← Alle DokumenteEine Frage stellen →