Vertrag über die Auftragsverarbeitung (AV-Vertrag)

Gemäß Art. 28 DSGVO · Fassung 2.2 · Stand: 16. Oktober 2026 · ausschließlich für Unternehmen (B2B)

Diese Vereinbarung zwischen der Kund:in als Verantwortlicher und der FDM Software GmbH, Adelheid-Popp-Gasse 8/2/57, 1220 Wien, Österreich, eingetragen im Firmenbuch des Handelsgerichts Wien unter FN 678054 p (nachfolgend „FDM“), als Auftragsverarbeiterin ist Bestandteil der Nutzungsbedingungen von kiato und wird mit der Registrierung abgeschlossen.

1. Gegenstand, Dauer, Rangfolge

1.1 Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch FDM im Auftrag der Kund:in bei der Nutzung von kiato gemäß Hauptvertrag (Nutzungsbedingungen und gebuchter Tarif).

1.2 Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich der Export- und Löschfristen nach Ziffer 12.

1.3 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in datenschutzrechtlichen Fragen vor. Die Haftungsregelungen des Hauptvertrags gelten auch für Ansprüche aus dieser Vereinbarung, soweit Art. 82 DSGVO dem nicht entgegensteht.

2. Art, Zweck, Datenkategorien, betroffene Personen

2.1 Zweck der Verarbeitung ist die Bereitstellung von kiato zur Automatisierung von E-Mail- und Büroaufgaben der Kund:in: eingehende Mails der angebundenen Postfächer lesen, einordnen und Abläufen zuordnen, Angaben auslesen (z. B. Rechnungsdaten), Antworten entwerfen und, nach Freigabe oder gemäß der eingestellten Autonomie, über das angebundene Postfach der Kund:in senden oder weiterleiten, Belege-Exporte an die von der Kund:in angegebene Steuerberatung versenden, Anhänge und Belege ablegen, Kalender prüfen und Termine verwalten, Listen und Berichte führen sowie Wissen und Firmenkontext für Entwürfe und den Assistenten nutzen.

2.2 Art der Verarbeitung: Abruf und Empfang, Speicherung, Auslesen und Einordnen (auch mithilfe von KI-Modellen), Strukturierung, Erstellung von Entwürfen, Übermittlung (Versand, Weiterleitung, Übermittlung an von der Kund:in eingerichtete Ziele), Anzeige gegenüber berechtigten Benutzern, Export, Protokollierung, Sicherung und Löschung.

2.3 Kategorien betroffener Personen:

• a) Kundinnen und Kunden, Lieferanten, Interessenten und sonstige Korrespondenzpartner der Kund:in;
• b) in Mails, Anhängen und Kalendereinträgen genannte Dritte;
• c) Mitarbeitende der Kund:in, deren Postfächer oder Kalender angebunden sind;
• d) Benutzer von kiato (Mitarbeitende der Kund:in und von ihr eingeladene Personen).

2.4 Kategorien personenbezogener Daten:

• a) Mailinhalte (Absender, Empfänger, Betreff, Text, Metadaten) und Anhänge;
• b) Kontaktdaten von Absendern, Empfängern und weiteren Korrespondenzpartnern;
• c) Kalendereinträge, Termine und Buchungen;
• d) Rechnungs- und Belegdaten;
• e) Inhalte von Listen und Berichten;
• f) Wissen und Firmenkontext, Antwortentwürfe sowie Chats mit dem Assistenten;
• g) Nutzerdaten im Mandanten: Name, E-Mail-Adresse, Rolle, Rechte und Gruppen;
• h) Protokolldaten: Aktivitätsprotokoll des Mandanten (Aktionen mit handelnder Person bzw. Ablauf und Zeitpunkt) sowie Eingaben und Ergebnisse der KI-Verarbeitung.

2.5 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten in Mails an eine Ordination, können in den verarbeiteten Mails und Anhängen enthalten sein. Für sie gelten dieselben technischen und organisatorischen Maßnahmen nach Anlage 1. Welche Postfächer, Ordner und Abläufe kiato verarbeitet, bestimmt die Kund:in; sie ist für die Rechtsgrundlage nach Art. 9 DSGVO und die Zulässigkeit dieser Verarbeitung verantwortlich.

3. Verantwortlichkeit und Weisungen

3.1 Die Kund:in ist allein Verantwortliche für die Rechtmäßigkeit der Verarbeitung. Sie bestimmt und dokumentiert die einschlägige Rechtsgrundlage nach Art. 6 und, soweit besondere Kategorien personenbezogener Daten verarbeitet werden, Art. 9 DSGVO, erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO, prüft die Erforderlichkeit einer Datenschutz-Folgenabschätzung und wahrt die Betroffenenrechte. Daneben erfüllt sie eigenständig die arbeits- und betriebsverfassungsrechtlichen Anforderungen, insbesondere eine gegebenenfalls erforderliche Einbindung oder Zustimmung des Betriebsrats nach §§ 96, 96a ArbVG.

3.2 FDM verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Kund:in. Die Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung und der Nutzung der Funktionen von kiato durch berechtigte Benutzer der Kund:in (Anbinden von Postfächern und Kalendern, Einrichten von Abläufen und Autonomiestufen, Freigaben, Löschungen, Exporte, Einrichten eigener Ziele). Weitere Weisungen sind in Textform an office@fdm-software.at zu richten. FDM darf für weisungsbedingte Mehraufwände außerhalb des Funktionsumfangs ein angemessenes Entgelt verlangen.

3.3 FDM informiert die Kund:in unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen Datenschutzrecht verstößt, und darf die Ausführung bis zur Bestätigung aussetzen.

3.4 FDM verwendet die im Auftrag verarbeiteten Daten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen. Als eigene Verantwortliche verarbeitet FDM nur die Daten, die sie für Vertrag und Betrieb selbst benötigt, nämlich Anmelde- und Kontodaten, Vertrags- und Abrechnungsdaten, Support, Missbrauchs- und Kostenschutz, technische Fehler- und Plattform-Protokolle sowie die Messung auf Website und Anwendung nach Einwilligung; dafür gilt die Datenschutzerklärung. Anonymisierte und zusammengefasste Kennzahlen zur Nutzung, die keinen Rückschluss auf Personen oder Inhalte zulassen, darf FDM für Betrieb, Abrechnung und Verbesserung des Dienstes verwenden.

4. Pflichten von FDM

4.1 FDM stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4.2 FDM trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und überprüft sie regelmäßig. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

4.3 FDM unterstützt die Kund:in unter Berücksichtigung der Art der Verarbeitung und soweit möglich bei der Bearbeitung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO, vorrangig durch die Funktionen von kiato (Anzeige, Berichtigung, Löschung, Export). Erhält FDM unmittelbar eine Betroffenenanfrage zu Kundendaten, informiert FDM die Kund:in unverzüglich und beantwortet die Anfrage nicht selbst, sofern die Kund:in FDM hierzu nicht ausdrücklich angewiesen hat.

4.4 FDM unterstützt die Kund:in bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen.

4.5 FDM meldet der Kund:in eine Verletzung des Schutzes personenbezogener Kundendaten unverzüglich, spätestens jedoch 72 Stunden, nachdem sie FDM bekannt geworden ist; dies gilt auch, wenn FDM durch einen weiteren Auftragsverarbeiter davon erfährt. Die Meldung erfolgt per E-Mail an die im Unternehmenskonto hinterlegten Administrator:innen und enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; noch nicht verfügbare Angaben reicht FDM unverzüglich schrittweise nach. FDM ergreift unverzüglich angemessene Maßnahmen zur Eindämmung und Behebung, dokumentiert die Verletzung und unterstützt die Kund:in bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und, falls erforderlich, bei der Benachrichtigung der betroffenen Personen (Art. 34 DSGVO). Meldungen an Behörden oder betroffene Personen im Namen der Kund:in nimmt FDM nur auf deren Weisung vor.

4.6 FDM stellt der Kund:in alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen nach Ziffer 9.

4.7 Mitarbeitende von FDM greifen auf Kundendaten nur zu, soweit dies zur Leistungserbringung erforderlich ist, etwa zur Bearbeitung einer Supportanfrage der Kund:in, zur Behebung von Störungen oder zur Abwehr von Sicherheitsgefahren. Die Plattform-Verwaltung ist nur mit Zwei-Faktor-Anmeldung zugänglich; Zugriffe und Verwaltungsaktionen werden protokolliert.

5. Pflichten der Kund:in

5.1 Die Kund:in bindet nur Postfächer, Ordner und Kalender an und richtet nur Abläufe ein, die für ihre Zwecke erforderlich sind, und achtet dabei auf Datenminimierung.

5.2 Die Kund:in vergibt Rollen und Rechte nach dem Need-to-know-Prinzip, entfernt ausgeschiedene Benutzer unverzüglich und bindet persönliche Postfächer von Mitarbeitenden nur mit deren Wissen an.

5.3 Die Kund:in ist für die Rechtmäßigkeit der Übermittlung personenbezogener Daten an FDM verantwortlich und stellt sicher, dass ihre Benutzer personenbezogene Daten nur im Rahmen ihrer Berechtigungen und der geltenden Datenschutzvorgaben verarbeiten.

6. Subunternehmer (weitere Auftragsverarbeiter)

6.1 Die Kund:in genehmigt allgemein den Einsatz der in Anlage 2 genannten Subunternehmer.

6.2 FDM informiert die Kund:in mindestens 14 Tage vor der Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters per E-Mail und durch Aktualisierung von Anlage 2. Die Kund:in kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Ist bei Gefahr im Verzug, etwa beim Ausfall oder einem Sicherheitsvorfall eines Anbieters, ein sofortiger Wechsel erforderlich, darf FDM einen Ersatzanbieter mit mindestens gleichwertigem Schutzniveau vorläufig einsetzen; die Information folgt unverzüglich, die Widerspruchsfrist von 14 Tagen läuft dann ab ihrem Zugang. Können sich die Parteien bei einem berechtigten Widerspruch nicht innerhalb von 30 Tagen auf eine zumutbare Lösung einigen, kann jede Seite den Hauptvertrag zum Ende dieser 30 Tage kostenfrei kündigen; im Voraus bezahlte Entgelte für die Zeit danach erstattet FDM anteilig. Der Wechsel zwischen den in Anlage 2 bereits genehmigten KI-Anbietern oder ihr gleichzeitiger Einsatz ist keine Hinzuziehung im Sinne dieser Ziffer.

6.3 FDM verpflichtet Subunternehmer vertraglich zu Datenschutzpflichten, die den Pflichten aus dieser Vereinbarung entsprechen, und bleibt gegenüber der Kund:in für deren Erfüllung verantwortlich.

6.4 Dienstleister, die keine personenbezogenen Kundendaten im Auftrag der Kund:in verarbeiten (z. B. ein Wetterdienst, der nur Ortsangaben ohne Personenbezug erhält), sind keine weiteren Auftragsverarbeiter im Sinne dieser Vereinbarung.

6.5 Dienste und Ziele, die die Kund:in selbst anbindet oder einrichtet, insbesondere ihre Postfächer und Kalender bei Microsoft, Google oder anderen Anbietern, ihre IMAP-/SMTP-Server, Webhooks, HTTP-Schnittstellen und Datenquellen (auch per OpenAPI- oder MCP-Anbindung), die Empfänger von Belege-Exporten sowie ihre Website beim Import, sind keine Subunternehmer von FDM. Die Kund:in steht mit diesen Anbietern in eigener Vertragsbeziehung. FDM übermittelt Daten dorthin bzw. ruft sie von dort ab ausschließlich auf Weisung der Kund:in, wie von ihr eingerichtet. Mails, die kiato für die Kund:in sendet oder weiterleitet, gehen über ihr angebundenes Postfach (Microsoft 365, Google bzw. IMAP/SMTP) hinaus; ausgenommen sind Belege-Exporte an die Steuerberatung, die FDM über den in Anlage 2 genannten Versanddienst zustellt. Die Steuerberatung als Empfängerin ist kein Subunternehmer von FDM. Zugangsdaten zu diesen Diensten speichert FDM verschlüsselt.

7. Vertraulichkeit

7.1 FDM behandelt alle Kundendaten vertraulich, auch über das Vertragsende hinaus, und gibt sie nur auf Weisung der Kund:in, aufgrund gesetzlicher Verpflichtung oder an genehmigte Subunternehmer weiter. Bei gesetzlicher Verpflichtung informiert FDM die Kund:in vor der Offenlegung, soweit rechtlich zulässig.

7.2 Unterliegen Kundendaten einer gesetzlichen oder berufsrechtlichen Verschwiegenheitspflicht der Kund:in (etwa nach § 9 RAO, § 80 WTBG 2017 oder § 54 ÄrzteG 1998), wahrt FDM diese Verschwiegenheit. FDM verpflichtet alle Personen, die Zugriff auf Kundendaten haben können, schriftlich zur Verschwiegenheit und zur Wahrung des Datengeheimnisses nach § 6 DSG, auch über das Ende ihrer Tätigkeit hinaus, und belehrt sie über die Folgen einer Verletzung. Zugriffe von Mitarbeitenden von FDM erfolgen nur nach Ziffer 4.7. FDM stellt der Kund:in auf Anfrage die Informationen bereit, die sie für die Prüfung der berufsrechtlichen Zulässigkeit benötigt, insbesondere die Anlagen 1 und 2. Eine Zusage, dass der Einsatz von kiato mit dem Berufsrecht der Kund:in vereinbar ist, ist damit nicht verbunden.

8. Verarbeitungsort und Drittlandübermittlung

8.1 Die Verarbeitungsorte der von FDM eingesetzten weiteren Auftragsverarbeiter ergeben sich aus Anlage 2.

8.2 Eine Übermittlung personenbezogener Daten in Drittländer erfolgt nur unter den Voraussetzungen des Kapitels V DSGVO. Die jeweilige Grundlage ist in Anlage 2 je Anbieter angegeben. Entfällt sie, etwa durch Aufhebung eines Angemessenheitsbeschlusses, stellt FDM unverzüglich auf eine andere zulässige Grundlage um und informiert die Kund:in.

9. Kontrollrechte

9.1 FDM stellt der Kund:in die gemäß Art. 28 DSGVO erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung. Kontrollen erfolgen vorrangig anhand geeigneter Dokumentationen, Sicherheitsinformationen, Zertifizierungen der eingesetzten Anbieter, Prüfberichte oder angemessener Fragebögen.

9.2 Soweit dies zur Erfüllung der gesetzlichen Kontrollpflichten der Kund:in erforderlich ist und diese Nachweise nicht ausreichen, ermöglicht FDM eine ergänzende Prüfung, vorrangig remote. Vor-Ort-Prüfungen sind nur zulässig, wenn eine gleich geeignete Dokumenten- oder Remote-Prüfung nicht ausreicht. Prüfungen sind außer bei dringendem Anlass mindestens vierzehn Kalendertage vorher anzukündigen und so durchzuführen, dass Geschäftsbetrieb, Geschäftsgeheimnisse und Daten anderer Kund:innen geschützt bleiben.

9.3 Für Prüfungen, die über die übliche Bereitstellung von Nachweisen hinausgehen, kann FDM angemessenen Aufwand verrechnen, sofern kein von FDM zu vertretender wesentlicher Datenschutzverstoß festgestellt wird.

10. Verletzungen, Aufsichtsbehörden

Für Verletzungen des Schutzes personenbezogener Daten gilt Ziffer 4.5. Im Übrigen unterstützen die Parteien einander im gesetzlich erforderlichen Umfang in aufsichtsbehördlichen Verfahren, soweit die jeweilige Verarbeitung betroffen ist, und informieren einander unverzüglich über Anfragen oder Maßnahmen einer Aufsichtsbehörde, die die Verarbeitung nach dieser Vereinbarung betreffen.

11. Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags. Die Haftungsbeschränkungen des Hauptvertrags gelten nicht, soweit sie gegenüber betroffenen Personen nach Art. 82 DSGVO unwirksam wären; im Innenverhältnis der Parteien bleiben sie anwendbar. Art. 82 Abs. 4 und 5 DSGVO bleiben unberührt.

12. Beendigung, Rückgabe und Löschung

12.1 Rückgabe: Während der Vertragslaufzeit und bis zur Löschung nach Ziffer 12.2 kann die Kund:in ihre Rechnungen und Belege (Excel, ZIP, DATEV, CSV) und ihre Listen in der Anwendung selbst exportieren. Mails verbleiben im Postfach der Kund:in; kiato ist nicht deren Ablage. Weitere Kundendaten stellt FDM auf Anfrage in einem gängigen, maschinenlesbaren Format bereit. Ein Entgelt fällt nur für Aufwand an, der über eine Bereitstellung in den in kiato vorgesehenen Formaten hinausgeht, und nur nach vorheriger Ankündigung.

12.2 Nach dem Ende des Hauptvertrags bleiben die Kundendaten 30 Tage erhalten. FDM informiert die Kund:in darüber per E-Mail und erinnert sieben Tage vor der Löschung erneut. Danach werden die Kundendaten aus den Produktivsystemen (Datenbank und Dateiablage) gelöscht und die angebundenen Postfächer getrennt.

12.3 Testkonten ohne Abo: Nach dem Ende der Testphase bleiben die Kundendaten gespeichert, damit die Kund:in kiato später ohne Neueinrichtung mit einem Abo fortsetzen kann. Die KI-Verarbeitung ist in dieser Zeit pausiert. FDM löscht die Daten, sobald die Kund:in dies in Textform an office@fdm-software.at verlangt; Ziffer 12.4 gilt entsprechend.

12.4 Eine Weisung, die Kundendaten schon vor dem Vertragsende vollständig zu löschen, richtet die Kund:in in Textform an office@fdm-software.at. FDM merkt die Löschung vor, sperrt den Zugang und führt die Löschung nach 30 Tagen aus; bis dahin kann die Kund:in die Weisung zurücknehmen. In dieser Zeit werden die Kundendaten gesperrt und nicht verarbeitet; auf ausdrücklichen Wunsch der Kund:in löscht FDM ohne Wartefrist. Exporte nach Ziffer 12.1 erstellt die Kund:in daher vor der Weisung. Einzelne Daten löscht die Kund:in in der Anwendung selbst; gelöschte Einträge liegen bis zu 30 Tage im Papierkorb und werden danach endgültig entfernt.

12.5 Kundendaten in Sicherungskopien der Datenbank werden mit dem Ablauf des Sicherungszyklus, spätestens sieben Tage nach der Löschung in den Produktivsystemen, überschrieben bzw. gelöscht. Bis dahin werden sie nicht produktiv verarbeitet und nur zur Wiederherstellung nach einem Störfall verwendet.

12.6 Ausgenommen sind Daten, die FDM aufgrund gesetzlicher Aufbewahrungspflichten speichern muss; diese werden gesperrt und ausschließlich für diesen Zweck aufbewahrt. Vertrags- und Abrechnungsdaten, die FDM als eigene Verantwortliche verarbeitet, unterliegen den hierfür geltenden gesetzlichen Aufbewahrungsfristen und nicht der Löschweisung nach dieser Vereinbarung.

12.7 Soweit Protokolldaten personenbezogene Kundendaten enthalten, werden sie nur so lange gespeichert, wie dies für Sicherheits-, Nachweis- und Dokumentationszwecke erforderlich ist, und danach gelöscht oder anonymisiert. Nach Vertragsende gelten ergänzend die Ziffern 12.2, 12.5 und 12.6.

13. Schlussbestimmungen

13.1 Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Änderungen der Subunternehmer richten sich nach Ziffer 6.2. Sonstige Änderungen, die aus sachlichem Grund (Gesetz, Rechtsprechung, Vorgaben der Aufsichtsbehörden, technische Änderungen des Dienstes) erforderlich sind und das Schutzniveau nicht senken, teilt FDM mindestens acht Wochen vor ihrem Inkrafttreten per E-Mail unter Gegenüberstellung der geänderten Bestimmungen mit. Die Kund:in kann bis zum Inkrafttreten in Textform widersprechen; dann kann jede Seite den Hauptvertrag zum Inkrafttreten kostenfrei kündigen, im Voraus bezahlte Entgelte für die Zeit danach werden anteilig erstattet. Widerspricht sie nicht, gilt die Änderung als vereinbart; darauf weist FDM in der Mitteilung gesondert hin.

13.2 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Wien; zuständig ist das in Wien sachlich zuständige Gericht.

13.3 Die Anlagen 1 und 2 sind Bestandteil dieser Vereinbarung. Der Abschluss in elektronischer Form ist zulässig.

Anlage 1: Technische und organisatorische Maßnahmen

FDM trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere:

1. Zugriffsschutz: Anmeldung mit bestätigter E-Mail-Adresse und Passwort oder über ein Microsoft-Konto. Bei der Anmeldung über Microsoft gelten die Anmelderichtlinien des Microsoft-Kontos der Kund:in, einschließlich einer dort eingerichteten Mehr-Faktor-Anmeldung. Für die Anmeldung mit E-Mail-Adresse und Passwort bietet kiato derzeit keine Zwei-Faktor-Anmeldung an. Rollen und Rechte je Person und Gruppe legen fest, wer welche Postfächer und Bereiche sehen, bearbeiten und freigeben darf. Die Plattform-Verwaltung durch FDM ist nur mit Zwei-Faktor-Anmeldung (Authenticator-App) zugänglich; privilegierte Zugriffe sind nach dem Need-to-know-Prinzip beschränkt.
2. Mandantentrennung: Jeder Datensatz ist einem Unternehmenskonto (Mandanten) zugeordnet; Zeilenrichtlinien der Datenbank (Row Level Security) erzwingen, dass ein Mandant nur seine eigenen Daten lesen und ändern kann. Dateien werden je Mandant getrennt abgelegt. Die Trennung von Mailtexten und Anhängen erfolgt logisch über diese Mechanismen.
3. Verschlüsselung: Übertragung ausschließlich verschlüsselt (TLS). Datenbank und Dateiablage, einschließlich Mails, Anhängen und Belegen, sind beim Anbieter Supabase im Ruhezustand mit AES-256 verschlüsselt. Zugangsdaten zu Postfächern, Kalendern und eigenen Zielen der Kund:in (insbesondere Tokens, IMAP-/SMTP-Passwörter und Webhook-Schlüssel) werden zusätzlich in der Anwendung mit AES-256-GCM verschlüsselt, mit einem je Unternehmenskonto aus einem Hauptschlüssel abgeleiteten Schlüssel, und nicht protokolliert. Mailtexte und Anhänge werden in der Anwendung nicht zusätzlich verschlüsselt.
4. Protokollierung: Aktionen von kiato und der Benutzer stehen im Aktivitätsprotokoll des Mandanten. Zugriffe und Verwaltungsaktionen der Plattform-Verwaltung werden in einem eigenen Protokoll festgehalten. Technische Fehlerprotokolle werden 90 Tage nach dem letzten Auftreten gelöscht.
5. Kontrolle automatischer Aktionen: Autonomiestufen je Schritt; Senden, Weiterleiten und Webhooks standardmäßig nur nach Freigabe; bei niedriger Erkennungs-Sicherheit Vorlage zur Freigabe; Rückholfrist für freigegebene Antworten; Hinweis am Anfang automatisch versendeter Mails; Kontingente und Tageslimits.
6. Verfügbarkeit und Wiederherstellung: Die Datenbank wird täglich gesichert; die Sicherungen werden sieben Tage aufbewahrt. Für die Dateiablage (Anhänge, Belege) besteht keine gesonderte Sicherung; eine Wiederherstellung auf einen beliebigen Zeitpunkt (Point-in-Time-Recovery) wird nicht angeboten. Hintergrundaufträge laufen über kurzlebige Warteschlangen mit Wiederholung, damit eingehende Mails bei Störungen nicht verloren gehen; Mails bleiben zudem im Postfach der Kund:in.
7. Entwicklungs- und Betriebssicherheit: Änderungen am Dienst durchlaufen automatisierte Prüfungen und Tests; sicherheitsrelevante Konfigurationen und Berechtigungen werden regelmäßig überprüft.
8. Organisatorische Maßnahmen: Personen mit Zugriff auf Kundendaten sind schriftlich zur Vertraulichkeit und zum Datengeheimnis verpflichtet (Ziffer 7.2); Zugriffsberechtigungen werden nach Erforderlichkeit vergeben und angepasst; für Datenschutz- und Sicherheitsvorfälle bestehen interne Verfahren mit Meldung nach Ziffer 4.5.
9. Weiterentwicklung: FDM darf einzelne Maßnahmen ändern oder durch gleichwertige ersetzen, sofern das Schutzniveau insgesamt nicht wesentlich herabgesetzt wird.

Anlage 2: Genehmigte Subunternehmer

Die Kund:in genehmigt die nachstehenden weiteren Auftragsverarbeiter. Änderungen folgen dem Verfahren nach Ziffer 6.2.

Nicht in dieser Liste stehen die von der Kund:in selbst angebundenen Dienste (Ziffer 6.5), über deren Postfächer kiato auch Mails versendet, und der Zahlungsdienstleister Stripe, den FDM für die Abrechnung als eigene Verantwortliche einsetzt (siehe Datenschutzerklärung).

Fassung 2.2 · Stand: 16. Oktober 2026. Mitgeltend: Nutzungsbedingungen · Datenschutzerklärung · Impressum

← Zurück zur Startseite