Octobooks Vertrag zur Auftragsverarbeitung

Fassung vom 9. Oktober 2026, Betreiberin Octobooks Ltd seit dem 29. Oktober 2026. Teil der Allgemeinen Geschäftsbedingungen von Octobooks. Erfüllt Artikel 28 UK GDPR und EU-DSGVO.

1. Parteien und Rollen

1. Der Kunde, der die Allgemeinen Geschäftsbedingungen von Octobooks akzeptiert hat („Sie“), ist der Verantwortliche.
2. Die Betreiberin von Octobooks, die Octobooks Ltd, eingetragen in England und Wales, Registernummer 17549566, Sitz 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich, Direktor Ingo Braeunlich (E-Mail hello@octobooks.ai) („wir“), ist der Auftragsverarbeiter.
3. Dieser Vertrag gilt, sobald wir über Octobooks personenbezogene Daten für Sie verarbeiten. Er läuft so lange wie die AGB und danach, bis die Daten gelöscht sind.

2. Was wir verarbeiten

3. Unsere Pflichten

1. Weisungen. Wir verarbeiten die Daten nur nach Ihren dokumentierten Weisungen. Die AGB, Ihre Einstellungen und die Handlungen, die Sie oder Ihre verbundene KI in Octobooks vornehmen, sind Ihre Weisungen. Wenn wir der Ansicht sind, dass eine Weisung gegen Datenschutzrecht verstößt, sagen wir es Ihnen.
2. Aggregierte Anbieter-Kategorien. Ist Ihr Schalter „Anonyme Anbieter-Kategorien teilen“ eingeschaltet, weisen Sie uns an, aus Ihren Büchern auf Anbieterebene aggregierte und anonymisierte Anbieter-Kategorien abzuleiten, die die Vorschläge für alle Kunden verbessern. Sie enthalten keine Beträge, keine Kunden, keine Personen und keinen Freitext. Sie können dies jederzeit in den Einstellungen ausschalten.
3. Vertraulichkeit. Jeder, der Zugriff auf die Daten hat, ist zur Vertraulichkeit verpflichtet.
4. Sicherheit. Wir halten die Maßnahmen aus Anhang 1 ein und dürfen sie verbessern, solange der Schutz nicht sinkt.
5. Unterauftragsverarbeiter. Sie erteilen eine allgemeine Genehmigung für die Unterauftragsverarbeiter in der Liste der Unterauftragsverarbeiter. Wir informieren Sie mindestens 30 Tage, bevor wir einen hinzufügen oder ersetzen, per E-Mail. Sie können aus berechtigten Datenschutzgründen widersprechen; lässt sich das nicht lösen, können Sie die AGB beenden und erhalten den ungenutzten vorausbezahlten Zeitraum erstattet. Wir verpflichten jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten und bleiben für ihn verantwortlich.
6. Anfragen zu Betroffenenrechten. Wendet sich eine betroffene Person an uns, leiten wir die Anfrage an Sie weiter. In Octobooks können Sie ihre Daten selbst finden, exportieren, berichtigen und löschen; wir helfen, wo Sie es nicht können.
7. Datenschutzverletzungen. Wir informieren Sie unverzüglich, möglichst innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Ihre Daten betrifft, mit dem, was wir wissen und was wir tun.
8. Unterstützung. Wir unterstützen Sie in angemessenem Umfang bei Ihren Folgenabschätzungen und Konsultationen mit Behörden, soweit sie Octobooks betreffen.
9. Ende des Dienstes. Sie können Ihre Daten 90 Tage nach Ende der AGB exportieren, und wir erinnern Sie zweimal daran. Danach löschen wir sie, es sei denn, das Gesetz verpflichtet uns zur Aufbewahrung. Sicherungen sind verschlüsselt und liegen an zwei Orten in der EU (unser Server in Deutschland und eine Storage Box in Finnland); gelöschte Daten sind innerhalb von 12 Monaten aus allen Sicherungen verschwunden.
10. Prüfungen. Wir geben Ihnen die Informationen, die Sie vernünftigerweise brauchen, um die Einhaltung nachzuweisen. Prüfungen vor Ort sind einmal im Jahr mit 30 Tagen Vorlauf möglich, auf Ihre Kosten und ohne Zugriff auf Daten anderer Kunden.

4. Internationale Übermittlungen

Ihre Daten werden in Deutschland gehostet. Verarbeitet ein Unterauftragsverarbeiter sie außerhalb des Vereinigten Königreichs oder der EU, stützen wir uns auf einen Angemessenheitsbeschluss, die EU-Standardvertragsklauseln oder das UK International Data Transfer Agreement oder Addendum.

5. Ihre Pflichten

1. Sie haben eine Rechtsgrundlage für die Daten, die Sie in Octobooks eingeben, und geben den betroffenen Personen die gesetzlich vorgeschriebenen Informationen.
2. Sie entscheiden, was Ihr verbundener KI-Assistent lesen und tun darf. Daten, die Sie an Ihren eigenen KI-Anbieter senden, sind Ihre Übermittlung, nicht unsere.

6. Haftung und Vorrang

1. Die Haftung nach diesem Vertrag unterliegt den Grenzen der Allgemeinen Geschäftsbedingungen, soweit das Gesetz es zulässt.
2. Widersprechen sich dieser Vertrag und die AGB beim Datenschutz, geht dieser Vertrag vor.

Anhang 1: Sicherheitsmaßnahmen

1. Hosting in einem nach ISO 27001 zertifizierten Rechenzentrum in Deutschland.
2. Verschlüsselung bei der Übertragung (TLS); sensible Felder und jede Sicherung verschlüsselt.
3. Die Bücher jedes Kunden werden nach Gesellschaft getrennt gehalten, und jede Abfrage ist auf die Gesellschaft begrenzt, für die sie gilt.
4. Zugang per Passkey oder starker Authentifizierung; Connector-Token sind je Gesellschaft begrenzt und jederzeit widerrufbar.
5. Administratorzugriff beschränkt auf den Inhaber und benannte Systeme, protokolliert und überprüft.
6. Vollständiges Prüfprotokoll, wer oder was jeden Eintrag erstellt, geändert oder freigegeben hat. Nichts wird stillschweigend gelöscht.
7. Nächtliche verschlüsselte Sicherungen an zwei Orten in der EU (Deutschland und Finnland), mit regelmäßigen Wiederherstellungstests, höchstens 12 Monate aufbewahrt.
8. Sicherheitsupdates werden zügig eingespielt; jedes laufende Image wird monatlich auf bekannte Schwachstellen geprüft.
9. Wenn wir einen KI-Anbieter nutzen, dann nur zu Bedingungen, die das Training mit Ihren Daten verbieten.

Zurück zum Start

Octobooks Ltd, 17549566, London