Auftragsverarbeitungsvertrag (AVV)

§ 1 Parteien

Dieser Vertrag gilt zwischen dem Nutzer, der VelonBot für einen oder mehrere Discord-Server einsetzt („Verantwortlicher“), und

Marvin Tewes
c/o IP-Management #5264
Ludwig-Erhard-Str. 18
20459 Hamburg
Deutschland
E-Mail: kontakt@velonbot.app
(„Auftragsverarbeiter“, „wir“).

Wer VelonBot als Admin auf einem Discord-Server aktiviert oder im Dashboard verwaltet, handelt als Verantwortlicher für die dort anfallenden personenbezogenen Daten bzw. für den jeweiligen Server-Betreiber. Teammitglieder, die das Dashboard nutzen, bestätigen mit der Annahme, die Regelungen dieses Vertrags einzuhalten.

§ 2 Gegenstand, Art und Zweck

Der Auftragsverarbeiter erbringt den Dienst „VelonBot“: ein KI-gestütztes Ticket- und Support-System für Discord einschließlich Web-Dashboard, Kategorien, Formularen, Wissensdatenbank, Transcripts, Moderation und Abrechnung. Die Verarbeitung erfolgt ausschließlich zur Vertragserfüllung und nach Weisung des Verantwortlichen.

Insbesondere werden verarbeitet:

• Anlegen, Führen und Schließen von Tickets in Discord
• Automatische Erstantworten aus der Wissensdatenbank (optional per KI)
• Eskalation an das Team, Claims, Transcripts
• Konfiguration, Rollen, Zugriffe und Wissensartikel im Dashboard
• Nutzungs- und Abrechnungsdaten des Verantwortlichen

Die Laufzeit entspricht der Nutzung des Dienstes (Free-Plan oder bezahltes Abo) und endet, wenn der Bot von allen betreffenden Servern entfernt ist und keine Speicherung mehr geschuldet ist (§ 9).

§ 3 Art der Daten und Kategorien Betroffener

Betroffene: Mitglieder und Gäste der Discord-Server des Verantwortlichen, dessen Team sowie der Verantwortliche selbst (Dashboard-Login).

Datenarten:

• Discord-Nutzer-IDs, Anzeigenamen, Avatare, Server- und Kanal-IDs
• Ticketinhalte: Nachrichten, Formularfelder, Anhänge/Nachweise, Status, Zeitstempel
• Wissensdatenbank und KI-Vorschläge, soweit personenbezogene Angaben enthalten sind
• Transcripts (HTML) und Moderationsvermerke (z. B. Verwarnungen)
• Beim Verantwortlichen: Login-E-Mail, Rechnungsdaten, Zahlungsstatus (über Stripe)

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Verantwortliche verpflichtet sich, solche Daten nicht in Tickets oder die Wissensdatenbank einzugeben, sofern nicht eine eigene Rechtsgrundlage besteht.

§ 4 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung auf seinem Discord-Server verantwortlich (Rechtsgrundlage gegenüber Betroffenen, Informationspflichten, Team-Zugänge, Inhalte der Wissensdatenbank). Er erteilt nur rechtmäßige Weisungen und nutzt den Dienst nicht für rechtswidrige Inhalte.

§ 5 Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, das Unionsrecht oder deutsches Recht verlangt etwas anderes. Weisungen erfolgen über das Dashboard, Discord-Befehle und die Konfiguration des jeweiligen Servers. Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform (E-Mail an kontakt@velonbot.app).

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen mit und darf die Ausführung aussetzen, bis sie bestätigt oder geändert ist.

§ 6 Vertraulichkeit

Personen, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet. Discord-Teamzugänge steuert der Verantwortliche selbst über Rollen und das Zugriffs-Management im Dashboard.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft u. a. folgende Maßnahmen und hält sie dem Risiko angemessen aufrecht:

• Hosting auf Servern in Deutschland
• Transportverschlüsselung (HTTPS/TLS) für Dashboard und API
• Zugang zum Dashboard nur über Discord-OAuth2, sitzungsgebundenes Cookie
• Rollen- und serverseitige Zugriffskontrolle
• Regelmäßige lokale Datensicherungen, Zugriff auf Produktionsdaten nur bei Bedarf
• Protokollierung sicherheitsrelevanter Vorgänge in angemessenem Umfang

Wesentliche Änderungen der TOMs, die das Schutzniveau senken würden, teilt der Auftragsverarbeiter mit.

§ 8 Unterauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter. Ein Wechsel wird vorab in geeigneter Form mitgeteilt (Dashboard, Website oder E-Mail). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Fortsetzung dann unmöglich, endet die Nutzung für den betroffenen Teil.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting und Betrieb
• OpenAI, L.L.C. / verbundene Unternehmen (u. a. USA/Irland) – KI-Antworten und Einbettungen, nur wenn die KI-Funktion aktiv ist. Übermittlung in die USA auf Grundlage von Standardvertragsklauseln bzw. EU-US Data Privacy Framework
• Stripe Payments Europe, Ltd., Irland, und verbundene Unternehmen – Zahlungsabwicklung und Rechnungen des Verantwortlichen (nicht die Ticketinhalte der Server-Mitglieder)

Discord Inc. / Discord Netherlands B.V. ist die Plattform, auf der der Verantwortliche seinen Server betreibt. Die Nutzung von Discord richtet sich nach dem Vertrag des Verantwortlichen mit Discord; Discord ist kein Unterauftragsverarbeiter im Sinne dieses AVV.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich im Sinne von Art. 28 DSGVO, soweit sie personenbezogene Daten im Auftrag verarbeiten.

§ 9 Unterstützung, Meldepflichten, Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei Betroffenenrechten, Meldepflichten nach Art. 33/34 DSGVO und – soweit möglich – bei Datenschutz-Folgenabschätzungen. Anfragen Betroffener, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

Eine Verletzung des Schutzes personenbezogener Daten teilt der Auftragsverarbeiter dem Verantwortlichen unverzüglich mit, sobald er davon Kenntnis hat.

§ 10 Löschung und Rückgabe

Nach Ende der Verarbeitung bzw. auf Weisung löscht der Auftragsverarbeiter die im Auftrag gespeicherten Daten des jeweiligen Servers, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (insbesondere Rechnungsdaten des Verantwortlichen). Transcripts, die der Verantwortliche in eigenen Discord-Kanälen abgelegt hat, liegen in seinem Herrschaftsbereich.

Eine Herausgabe erfolgt in einem gängigen Format, soweit die Daten beim Auftragsverarbeiter noch vorliegen (z. B. Konfiguration, vorhandene Transcript-Dateien).

§ 11 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung. Vor-Ort-Kontrollen sind mit angemessener Frist und während der Geschäftszeiten anzukündigen, dürfen den Betrieb nicht unverhältnismäßig stören und können durch aktuelle Bescheinigungen oder schriftliche Auskünfte ersetzt werden, soweit das Schutzniveau vergleichbar ist.

§ 12 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO sowie den AGB. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen frei, die daraus entstehen, dass der Verantwortliche rechtswidrige Inhalte verarbeiten lässt oder unzureichende Weisungen erteilt, soweit der Auftragsverarbeiter kein Mitverschulden trifft.

§ 13 Schlussbestimmungen

Es gilt deutsches Recht. Gerichtsstand ist Hamburg, soweit gesetzlich zulässig. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Änderungen dieses AVV werden mit einer neuen Fassung (Versionsdatum) bekannt gegeben; die Nutzung des Dashboards setzt dann eine erneute Bestätigung voraus.

Ergänzend gelten die AGB und die Datenschutzerklärung. Bei Widerspruch gehen die Regelungen dieses AVV für die Auftragsverarbeitung vor.

Fassung: 23. August 2026 · Version 2026-08-23