Data Processing Agreement (DPA)

Data Processing Agreement (DPA) of Gilu AI

Data Processing Agreement (DPA)

between

Customer ("Controller")

and

Backup Archive Solutions GmbH, Undinestraße 3, 81927 Munich, Germany (hereinafter referred to as the "Processor" or "Gilu AI")

1. Subject and Duration of the Processing

(1) This agreement governs the rights and obligations of the parties in relation to the processing of personal data by the Processor on behalf of the Controller pursuant to Art. 28 GDPR.

(2) The duration of this agreement corresponds to the term of the underlying main contract between the parties.

2. Nature and Purpose of the Processing

  • Nature of the processing: Storage, analysis, organization, structuring, transmission, and evaluation of user-submitted inputs within the platform.
  • Purpose of the processing:Operation of the SaaS platform Gilu AI to support communication, respond to user inquiries, and forward information to connected channels (e.g., email, form, chat).

3. Type of Personal Data and Categories of Data Subjects

  • Types of data: Name, email address, message content, technical metadata (e.g., IP address, device type), user behavior within the platform
  • Data subjects: End users of the customer's websites and applications, and potentially customer employees when using the dashboard

4. Obligations of the Processor (Gilu AI)

(1) Process personal data exclusively in accordance with the instructions of the Controller.

(2) Ensure appropriate technical and organizational measures in accordance with Art. 32 GDPR.

(3) Ensure confidentiality of all individuals involved in the processing.

(4) Assist the Controller in fulfilling data subject rights, reporting data breaches, and conducting data protection impact assessments.

(5) Maintain a record of processing activities pursuant to Art. 30(2) GDPR.

(6) Upon termination of the contract: delete or return all personal data (if requested by the Controller).

5. Subprocessors

Gilu AI is entitled to engage subprocessors. A current list of subprocessors is available at https://gilu.ai/subprocessors. The Controller will be informed of significant changes. Objections are only permitted for substantial data protection-related reasons.

Typical subprocessors include, for example:

  • Hosting providers (e.g., Hetzner, Neon)
  • AI service providers (e.g., OpenRouter, OpenAI, Anthropic, Mistral, etc.)
  • Support tools (e.g., email and logging services)

6. Rights and Obligations of the Controller (Customer)

  • Responsibility for the lawful processing of data in accordance with Art. 6 and Art. 9 GDPR
  • Right to issue instructions to the Processor
  • Right to audit and review compliance with this agreement and implemented measures

7. Technical and Organizational Measures (TOMs)

Gilu AI commits to implementing the measures defined in Art. 32 GDPR. An overview of the measures is available at any time at: https://gilu.ai/toms

8. Final Provisions

(1) This agreement enters into force upon conclusion of the main contract.

(2) In case of conflicts, this DPA shall prevail over the main contract with regard to data protection matters.

(3) Amendments must be made in writing.

(4) German law shall apply. Place of jurisdiction is Munich.

Digital acceptance: This agreement is considered concluded once the customer enters into the SaaS agreement with Gilu AI and accepts this DPA through explicit consent in the order process (e.g., via checkbox). A separate signature is not required.

As of: October 2025

Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (AVV) von Gilu AI

Auftragsverarbeitungsvertrag (AVV)

zwischen

Kunde ("Verantwortlicher")

und

Backup Archive Solutions GmbH, Undinestraße 3, 81927 München, Deutschland (im Folgenden "Auftragsverarbeiter" oder "Gilu AI")

1. Gegenstand und Dauer der Verarbeitung

(1) Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Hauptvertrags zwischen den Parteien.

2. Art und Zweck der Verarbeitung

  • Art der Verarbeitung: Speicherung, Analyse, Organisation, Strukturierung, Übermittlung und Auswertung von Eingaben durch Nutzerinteraktionen innerhalb der Plattform.
  • Zweck der Verarbeitung: Betrieb der SaaS-Plattform Gilu AI zur Unterstützung bei der Kommunikation, Beantwortung von Nutzeranfragen und Weiterleitung an angeschlossene Kanäle (z.B. E-Mail, Formular, Chat).

3. Art der personenbezogenen Daten und Kategorien betroffener Personen

  • Datenarten: Name, E-Mail-Adresse, Nachrichteninhalte, technische Metadaten (z.B. IP-Adresse, Gerätetyp), Benutzerverhalten innerhalb der Plattform
  • Betroffene Personen: Endnutzer der Kundenwebseiten und -anwendungen, ggf. Kundenmitarbeiter bei Nutzung des Dashboards

4. Pflichten des Auftragsverarbeiters (Gilu AI)

(1) Verarbeitung personenbezogener Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen.

(2) Gewährleistung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO.

(3) Verpflichtung zur Vertraulichkeit aller mit der Verarbeitung betrauten Personen.

(4) Unterstützung des Verantwortlichen bei Betroffenenrechten, Meldung von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen.

(5) Führung eines Verzeichnisses von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

(6) Nach Vertragsende: Löschung oder Rückgabe aller personenbezogenen Daten (sofern vom Verantwortlichen angefordert).

5. Unterauftragsverhältnisse

Gilu AI ist berechtigt, Unterauftragsverarbeiter einzusetzen. Eine aktuelle Liste der Unterauftragsverarbeiter ist unter https://gilu.ai/subprocessors abrufbar. Der Verantwortliche wird über wesentliche Änderungen informiert. Widerspruchsrechte bestehen nur aus wichtigem datenschutzrechtlichem Grund.

Typische Unterauftragsverarbeiter sind z. B.:

  • Hosting-Anbieter (z.B. Hetzner, Neon)
  • AI-Dienstleister (z.B. OpenRouter, OpenAI, Anthropic, Mistral, etc.)
  • Support-Tools (z.B. E-Mail- und Logging-Services)

6. Rechte und Pflichten des Verantwortlichen (Kunde)

  • Verantwortung für die Rechtmäßigkeit der Datenverarbeitung gemäß Art. 6 und Art. 9 DSGVO.
  • Weisungsrecht gegenüber dem Auftragsverarbeiter.
  • Prüfung und Kontrolle der Einhaltung dieses Vertrags und der getroffenen Maßnahmen.

7. Technische und organisatorische Maßnahmen (TOMs)

Gilu AI verpflichtet sich zur Umsetzung der in Art. 32 DSGVO genannten Maßnahmen. Ein Überblick über die Maßnahmen ist jederzeit abrufbar unter: https://gilu.ai/toms

8. Schlussbestimmungen

(1) Dieser Vertrag wird mit Abschluss des Hauptvertrags wirksam.

(2) Im Fall von Widersprüchen geht dieser AVV den Regelungen des Hauptvertrags in Bezug auf Datenschutz vor.

(3) Änderungen bedürfen der Schriftform.

(4) Es gilt deutsches Recht. Gerichtsstand ist München.

Digitale Zustimmung: Dieser Vertrag gilt als geschlossen, sobald der Kunde den SaaS-Vertrag mit Gilu AI eingeht und diesen AVV durch explizite Zustimmung im Bestellprozess akzeptiert (z. B. durch Checkbox). Eine separate Unterschrift ist nicht erforderlich.

Stand: Oktober 2025