Auftrags­verarbeitungs­vertrag

Geltungsbereich und Rollen

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und gilt automatisch für jeden Workspace. Sie (der Kunde) sind Verantwortlicher für die personenbezogenen Daten in den Konversationen, die Sie in Miross einbringen. Miross, also MIROSS LABS, S.L. (NIF B05706981), Calle Isabel Colbrand 6, Piso 2, 28050 Madrid, Spanien, ist Ihr Auftragsverarbeiter.

Gegenstand der Verarbeitung

• Gegenstand und Dauer: Bereitstellung des Helpdesk-Dienstes, solange Ihr Workspace besteht.
• Art und Zweck: Importieren, Speichern, Anzeigen, Durchsuchen, Übersetzen und Versenden von Kundenservice-Nachrichten sowie Ausführen der von Ihnen angeforderten Aktionen.
• Betroffene Personen: Ihre Kunden und andere Personen, die Ihnen schreiben, einschließlich der Besucher, die das Chat-Widget Ihres Shops nutzen, sowie die Mitglieder Ihres Teams.
• Datenarten: Namen, E-Mail-Adressen, Telefonnummern und Nutzernamen, Postanschriften, soweit sie in Nachrichten vorkommen, Bestelldaten (Bestellnummer, Artikel, Preise, Status, Lieferort und Lieferland, Sendungsverfolgung), Nachrichteninhalte und Anhänge; bei Chat-Besuchern außerdem ein Browser-Token und die IP-Adresse, beide nur als Hash, sowie der Zeitpunkt ihres letzten Besuchs.
• Besondere Kategorien: Miross ist dafür nicht ausgelegt; verwenden Sie es nicht, um solche Daten zu erheben.

Unsere Pflichten

• Wir verarbeiten die Daten nur auf Ihre dokumentierten Weisungen, das heißt diese Bedingungen und das, was Sie im Produkt tun, es sei denn, das Gesetz verlangt etwas anderes; in diesem Fall informieren wir Sie vorab, soweit uns das erlaubt ist.
• Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
• Wir setzen die unten beschriebenen Sicherheitsmaßnahmen um.
• Wir unterstützen Sie bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörden, soweit unsere Rolle es zulässt.
• Wir informieren Sie, wenn wir der Ansicht sind, dass eine Weisung gegen das Datenschutzrecht verstößt.

Sicherheitsmaßnahmen

• Strikte Trennung zwischen Workspaces, bei jeder Anfrage durchgesetzt und vor jedem Release durch automatisierte Tests überprüft.
• Verschlüsselung bei der Übertragung (TLS) und Verschlüsselung der Verbindungs-Zugangsdaten bei der Speicherung (AES-256-GCM). Passwörter werden als Argon2id-Hashes gespeichert, Sitzungs-Tokens gehasht.
• Zwei-Schritt-Verifizierung (TOTP, mit einmal verwendbaren Wiederherstellungscodes) für jedes Konto; Scale-Workspaces können sie für alle Mitglieder verlangen.
• Rollenbasierter Zugriff innerhalb eines Workspace und ein nur anfügbares Audit-Log.
• Schutz vor Request-Forgery und davor, dass der Dienst zum Zugriff auf interne Netzwerke missbraucht wird.
• Nächtliche Datenbank-Backups mit 30 Tagen Aufbewahrung, ein tägliches Server-Abbild mit 7 Tagen Aufbewahrung und getestete Wiederherstellungen.
• Überwachung des Zustands der Anwendung, des Hintergrundprozesses und jeder Verbindung.

Unterauftragsverarbeiter

Sie erteilen eine allgemeine Genehmigung für die nachstehenden Unterauftragsverarbeiter. Einen neuen kündigen wir mindestens 30 Tage im Voraus auf dieser Seite und per E-Mail an die Workspace-Admins an; Sie können aus berechtigten datenschutzrechtlichen Gründen widersprechen, und wenn wir keine Lösung finden, können Sie den Dienst beenden. Wir erlegen jedem von ihnen dieselben Datenschutzpflichten auf und bleiben für sie verantwortlich.

Diese Liste wurde zuletzt am 29. September 2026 geändert: Microsoft Azure (EU) kommt zu den Modellanbietern hinzu, an die OpenRouter weiterleitet, für Fallzusammenfassungen. Seit der Änderung davor, am 28. September 2026, wickelt Resend auch die E-Mails der Kanäle bol.com und TikTok Shop sowie die E-Mails an Chat-Besucher ab.

• Hetzner Online (Deutschland): Server, Datenbank und Backups, in Nürnberg. Hier liegt die Kopie Ihrer Daten, die Miross speichert.
• Resend (USA): E-Mails für die Relay-Kanäle (Amazon, bol.com und TikTok Shop), E-Mails an Chat-Besucher (verpasste Antworten, Verläufe) und Konto-E-Mails (Einladungen, Passwort-Zurücksetzungen, Benachrichtigungen), auf Grundlage der Standardvertragsklauseln und des EU-US Data Privacy Framework. Resend speichert Nachrichteninhalte, Protokolle und Webhook-Daten bis zu 30 Tage in den USA.
• Unipile (Frankreich, gehostet bei Scaleway): hält die Verbindung zu den Postfächern und Chat-Konten, die Sie verknüpfen. Nachrichten und Medien aus WhatsApp und LinkedIn, Sprachnachrichten eingeschlossen, werden bei Unipile gespeichert, bis das verbundene Konto gelöscht wird; bei IMAP- und Microsoft-Postfächern nur Metadaten; bei Gmail nichts. Die Liste der Unterauftragsverarbeiter von Unipile enthält optionale Proxy-Anbieter in den USA und in Singapur. Wer eine Verbindung oder den Workspace löscht, löscht damit auch das Konto bei Unipile.
• OpenRouter, Inc. (New York, USA), Verarbeitung in der EU: leitet KI-Anfragen (Übersetzung, Zusammenfassungen, Entwürfe, Vorschläge, Formalisieren, Transkription von Sprachnachrichten, Lesen von Bildern und Dokumenten sowie Mike, den Assistenten) über seinen EU-Endpunkt eu.openrouter.ai weiter, wo sie ausschließlich innerhalb der EU entschlüsselt und verarbeitet werden. OpenRouter erhält nur den bereinigten Text der betreffenden Nachrichten (bei Sprachnachrichten und Bildern die Datei; bei einem PDF oder Word-Dokument nur den Text, den wir auf unserem eigenen Server extrahieren), und nur, solange KI eingeschaltet ist: Sie ist standardmäßig an, und ein Schalter pro Workspace stellt sie ab. Für Mike erhält es die Frage, den Text der an den Chat angehängten Dateien und das, was er im Workspace nachschlägt, um zu antworten, und nur, solange Mike eingeschaltet ist. Übermittlungsmechanismus: Standardvertragsklauseln (Modul 2) gemäß dem öffentlichen Auftragsverarbeitungsvertrag von OpenRouter. Abrechnungsdaten, Konto- und Authentifizierungsdaten, Sicherheitsprotokolle und Metadaten zur Missbrauchsüberwachung bei OpenRouter können außerhalb der EU verbleiben; sie betreffen das Konto von Miross bei OpenRouter, nicht Nachrichteninhalte.
• Modellanbieter, an die OpenRouter weiterleitet, alle in der EU tätig: Mistral AI (Frankreich), Amazon Web Services (Irland), Google Cloud (EU) und Microsoft Azure (EU, für Fallzusammenfassungen und Mike). Sie sind verpflichtet, keine Daten zu speichern (Zero Data Retention, abgesehen von Caching im Arbeitsspeicher), und trainieren nie mit den Prompts.
• Stripe (Irland / USA): Abonnements und Rechnungen. Kartendaten gehen an Stripe und gelangen nie zu Miross.

Datenübermittlung in Drittländer

Die Daten werden in Deutschland gespeichert, und KI-Anfragen werden ausschließlich innerhalb der EU entschlüsselt und verarbeitet. Erhält ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework) oder auf die Standardvertragsklauseln: bei Resend, das E-Mails der Relay-Kanäle (Amazon, bol.com und TikTok Shop), E-Mails an Chat-Besucher und Konto-E-Mails in den USA abwickelt, auf beides; bei OpenRouter, für die Daten des Miross-Kontos, auf die Standardvertragsklauseln (Modul 2) seines öffentlichen Auftragsverarbeitungsvertrags.

Verletzungen des Schutzes personenbezogener Daten

Erlangen wir Kenntnis von einer Verletzung, die Ihre Daten betrifft, benachrichtigen wir die Workspace-Admins unverzüglich und in jedem Fall innerhalb von 72 Stunden, mit dem, was wir über Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und unsere Gegenmaßnahmen wissen.

Rückgabe und Löschung

Sie können Ihren Workspace jederzeit exportieren. Wenn Sie ihn löschen oder der Vertrag endet, löschen wir seine Daten nach einer Karenzzeit von 7 Tagen. Backups, die diese Daten enthalten, werden innerhalb von 30 Tagen danach gelöscht, im ungünstigsten Fall innerhalb von 37 Tagen.

Darüber hinaus bewahren wir nur auf, wozu uns das Gesetz verpflichtet, sowie unser Sicherheits-Audit-Log: Es hält fest, wer wann was getan hat, mit IP-Adressen, aber nie mit Nachrichteninhalten; seine Einträge werden 25 Monate ohne Verknüpfung mit dem Workspace aufbewahrt und dann gelöscht.

Manche Aufzeichnungen verschwinden schon früher, solange der Workspace besteht: Der Eintrag zu jeder über den Kanal Amazon, bol.com oder TikTok Shop weitergeleiteten E-Mail (Absender, Betreff und Zustellstatus) wird 90 Tage nach ihrem Eingang gelöscht, sobald sie verarbeitet ist; der Eintrag eines Chat-Besuchers 90 Tage nach seinem letzten Besuch, während seine Konversationen der üblichen Aufbewahrung von Vorgängen folgen; und die KI-Nutzungszähler (Tokens, nie Inhalte) nach 25 Monaten.

Prüfungen

Auf Anfrage stellen wir die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Reicht das nicht aus, können Sie einmal jährlich eine Prüfung durchführen, mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, auf Ihre Kosten und ohne Zugriff auf Daten anderer Kunden. Anfragen: privacy@miross.io.

Haftung und Vorrang

Die Haftungsregelungen der Nutzungsbedingungen gelten auch für diesen Vertrag. Widersprechen sich dieser Vertrag und die Nutzungsbedingungen in Fragen des Datenschutzes, hat dieser Vertrag Vorrang.