Direkt zum Inhalt

Rechtliche Informationen Legal Information

Rechtliche Hinweise, Verantwortliche und Informationen zum Datenschutz bei Weros Webdynamics. Legal information, ownership details and data protection notes for Weros Webdynamics.

Ihre Nachricht wurde erfolgreich abgeschickt! Your message has been sent successfully!

Wir werden uns in Kürze bei Ihnen melden. We will get back to you shortly.

Rechtliche Informationen Legal information

Rechtliche Informationen

Stand: 15.03.2026

Impressum (Anbieterkennzeichnung)

1. Diensteanbieter

WEROS WEBDYNAMICS LTD Agias Fylaxeos 200, Flat 401, Office 5 Kapsalos, 3083 Limassol, Cyprus

Register: Cyprus Companies Register
Company No.: HE486588

VAT No.: CY60302705O

2. Vertretungsberechtigte Person

Director: Robert Sebastian Bremer

3. Kontakt

E-Mail: team@weros-webdynamics.com
Telefon: +357 962 65917
Website: https://www.weros-webdynamics.com

4. Verantwortlich für Inhalte

WEROS WEBDYNAMICS LTD, vertreten durch Robert Sebastian Bremer.

5. Hinweis zur Streitbeilegung

WEROS WEBDYNAMICS LTD bietet Leistungen ausschließlich für Unternehmer (B2B) an. Verträge mit Verbrauchern werden nicht geschlossen. Eine Teilnahme an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle findet nicht statt.

Rechtsgrundlage Anbieterkennzeichnung: § 5 DDG.1

Datenschutzerklärung

Diese Datenschutzerklärung informiert über Art, Umfang und Zwecke der Verarbeitung personenbezogener Daten im Rahmen der Nutzung unserer Website unter weros-webdynamics.com einschließlich aller Unterseiten und Subdomains unter dieser Domain.

1. Verantwortlicher

WEROS WEBDYNAMICS LTD
Agias Fylaxeos 200, Flat 401, Office 5
Kapsalos, 3083 Limassol, Cyprus

E-Mail (allgemein): team@weros-webdynamics.com
E-Mail (Datenschutz): privacy@weros-webdynamics.com
Telefon: +357 962 65917

2. Kategorien verarbeiteter Daten

  • Nutzungs-/Meta-Daten (serverseitig): URL, Referrer, Zeitstempel, Statuscode (keine Speicherung von User-Agent; keine Speicherung von Chat-IP/Chat-User-Agent)
  • Eingaben in Formularen: Website-URL (Pflicht), optional E-Mail-Adresse
  • Kommunikationsdaten: Name, E-Mail-Adresse, ggf. weitere Inhalte, die Nutzer im Chat/Feld eingeben
  • Chat-/Interaktionsdaten: Nachrichteninhalte, Konversationsverläufe, Systemzustände/Metadaten innerhalb unserer Chat-Anwendung
  • Newsletterdaten: E-Mail-Adresse, ggf. Name/Firma (soweit erhoben), An-/Abmelde- und Versandprotokolle
  • Projekt-/Vertragsdaten (B2B): Ansprechpartnerdaten, Projektkommunikation, Leistungs- und Abrechnungsinformationen

3. Zwecke und Rechtsgrundlagen

  • Bereitstellung und Sicherheit der Website und Systeme, Missbrauchs-/Angriffserkennung, Fehlersuche, Performance-Analyse
    Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, stabilem Betrieb).
  • Durchführung des Live-KI-Check/Index (Formular) inkl. Speicherung der Eingaben und Versand von Bestätigungs-/Status-E-Mails, sofern E-Mail angegeben wurde
    Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der angefragten Leistung/Kommunikation) und/oder Art. 6 Abs. 1 lit. f DSGVO (Betrieb/Sicherheit).
  • Bereitstellung des KI-Chats „George“
    • Wissensmodus: Nutzung ohne Pflichtangaben möglich; Verarbeitung der Chat-Inhalte zur Beantwortung.
    • Kontaktmodus: Verarbeitung von Name und E-Mail sowie Chat-Inhalten zur Bearbeitung einer Kontaktanfrage; Einwilligungs-Checkbox innerhalb des Chats.
    • Terminmodus: Verarbeitung von Name, E-Mail und Chat-Inhalten zur Termin-/Anfrageabwicklung.
    Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfragebearbeitung/Vertragserfüllung) sowie – soweit eine Einwilligung abgefragt wird – Art. 6 Abs. 1 lit. a DSGVO.
  • Newsletterversand
    Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Ein Widerruf ist jederzeit möglich (z. B. über Abmeldelink oder per E-Mail an privacy@weros-webdynamics.com).

4. Serverhosting, Betrieb und Zugriffsdaten

Unsere Website und Systeme werden auf eigener Infrastruktur bei einem Hosting-Anbieter betrieben (Serverbetrieb). Dabei fallen serverseitig Protokolldaten an (URL, Referrer, Zeitstempel, Statuscode), die wir zur Sicherheit, Fehlersuche und Performance-Analyse nutzen.

5. KI-gestützte Verarbeitung / Drittanbieter

Für bestimmte Funktionen setzen wir KI- und Kommunikationsdienste ein. Abhängig vom Produkt/Use-Case können dies insbesondere sein:

  • LLM/KI: OpenAI sowie ggf. Anthropic und/oder Google (Gemini)
  • Speech-to-Text: Deepgram
  • Text-to-Speech: OpenAI, ElevenLabs
  • Telefonie/CPaaS: Telnyx

Dabei können Inhalte (z. B. Chat-Eingaben, Audio, Transkripte) an diese Dienstleister übermittelt werden, soweit dies für die jeweilige Funktion erforderlich ist.

Wichtige Hinweise

  • KI-Systeme können probabilistische, unvollständige oder fehlerhafte Ergebnisse liefern.
  • Die Nutzung erfolgt zweckgebunden für die bereitgestellte Funktion.
  • Ob Eingaben/Outputs zur Verbesserung genutzt werden, ist produktabhängig (Konfiguration/Modus).
  • Bei Kundenprojekten (B2B) liegt die Informationspflicht gegenüber Endkunden/Anrufern – insbesondere bei Telefon-KI, Aufzeichnung und Transkription – beim jeweiligen Kunden, sofern dieser Verantwortlicher ist.

Für B2B-Kundenprojekte, in denen wir als Auftragsverarbeiter tätig werden, gilt zusätzlich der AVV / DPA (Art. 28 DSGVO).

6. Datenübermittlung in Drittländer

Sofern Dienstleister außerhalb der EU/des EWR eingesetzt werden, erfolgt eine Übermittlung nur bei Vorliegen der gesetzlichen Voraussetzungen (z. B. Angemessenheitsbeschluss oder geeignete Garantien wie EU-Standardvertragsklauseln).

7. Speicherdauer / Löschung

Wir speichern personenbezogene Daten grundsätzlich bis zu 1 Jahr, sofern keine abweichenden (insbesondere gesetzlichen) Aufbewahrungspflichten bestehen oder eine längere/kurzere Speicherdauer ausdrücklich vereinbart wurde. Konkret:

  • Server-Protokolldaten: 1 Jahr
  • Chat-/George-Konversationen: 1 Jahr (ohne Speicherung von IP/User-Agent im Chat)
  • Live-KI-Check/Index-Eingaben: 1 Jahr
  • Call-Aufzeichnungen/Transkripte (wo eingesetzt): max. 1 Jahr
  • Backups: 1 Monat Aufbewahrung
  • Löschung auf Anforderung: innerhalb von 30 Tagen, sofern keine gesetzlichen Pflichten oder überwiegenden Gründe entgegenstehen
  • Vertrags-/Rechnungsdaten: entsprechend gesetzlicher handels- und steuerrechtlicher Aufbewahrungspflichten (regelmäßig länger als 1 Jahr)

8. Empfänger / Kategorien von Empfängern

  • Hosting-/Infrastruktur-Dienstleister
  • E-Mail- und Kommunikationssysteme (Versand/Empfang von System- und Bestätigungs-E-Mails)
  • KI-/Speech-/Telefonie-Dienstleister (siehe Ziff. 5)
  • IT-Sicherheits- und Betriebsdienstleister (soweit eingebunden)
  • Steuer-/Rechtsberatung, sofern erforderlich

9. Rechte der betroffenen Personen

Betroffene Personen haben insbesondere das Recht auf:

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch (Art. 21 DSGVO)
  • Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständige Behörde am Sitz des Verantwortlichen ist das Office of the Commissioner for Personal Data Protection (Cyprus).2

10. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen zur Sicherung personenbezogener Daten, insbesondere Zugriffsbeschränkungen, Berechtigungskonzepte sowie verschlüsselte Verbindungen (TLS) und Betriebs-/Sicherheitsmonitoring.

Allgemeine Geschäftsbedingungen (AGB) – B2B

für digitale Dienstleistungen, Software-/Web-/KI-Leistungen, Hosting, Betrieb, Wartung, Support und Managed Services der WEROS WEBDYNAMICS LTD
Stand: 15.03.2026

1. Begriffsdefinitionen

1.1 „Weros“: WEROS WEBDYNAMICS LTD.

1.2 „Kunde“: Unternehmer i. S. d. jeweils anwendbaren Rechts (B2B).

1.3 „Leistungsbeschreibung“: Angebot, SOW, Projektbeschreibung, Ticket-/Leistungspaketbeschreibung, die Art/Umfang/Preise konkret festlegt.

1.4 „Werkleistung“: Leistung mit definiertem Ergebnis/Deliverable (z. B. Website-Release, Software-Release, Design-Assets, Audit-Report).

1.5 „Dienstleistung“: Tätigkeit ohne konkret geschuldetes Werk (z. B. Beratung, laufende Betreuung).

1.6 „Managed Services“: Betrieb/Wartung/Monitoring/Support laufender Systeme.

1.7 „Drittanbieter“: externe Dienste/Provider/APIs/Modelle (z. B. KI-, STT/TTS-, Telefonie-, Hosting-, E-Mail-, Zahlungsdienste).

1.8 „Kundeninhalte“: vom Kunden bereitgestellte Inhalte/Daten (Texte, Bilder, Logos, Daten, Zugangsdaten etc.).

1.9 „Erfolgsabhängige Vergütung/Success Fee“: variable Vergütung, deren Auslöser/Definition/Messung in der Leistungsbeschreibung geregelt ist.

2. Geltungsbereich, B2B-Ausschluss Verbraucher

2.1 Diese AGB gelten für alle Verträge zwischen Weros und dem Kunden über digitale Leistungen, insbesondere: Beratung/Strategie, Webdesign/UX, Website- und Webapp-/Softwareentwicklung, Backend/APIs/Datenbanken, Automatisierungen, SEO/GEO, KI-Chat/Assistenten, Telefon-KI/Voice-Systeme, Hosting/Betrieb, Wartung/Support/Monitoring, Schulungen, Content/Landingpages, Lead-Analysen/Audits sowie sonstige vereinbarte digitale Leistungen.

2.2 Weros schließt keine Verträge mit Verbrauchern.

2.3 Abweichende Bedingungen des Kunden gelten nur bei ausdrücklicher Bestätigung durch Weros in Textform.

3. Vertragsschluss, Rangfolge der Dokumente

3.1 Ein Vertrag kommt zustande durch Annahme eines Angebots in Textform oder durch schriftliche/elektronische Auftragsbestätigung von Weros; alternativ durch Leistungsbeginn auf ausdrückliche Beauftragung.

3.2 Rangfolge bei Widersprüchen (absteigend): (1) Individuelle Vereinbarung/Angebot/Auftragsbestätigung, (2) Leistungsbeschreibung/SOW, (3) SLA/Supportbedingungen (falls vereinbart), (4) AVV/DPA (falls anwendbar), (5) diese AGB.

4. Leistungsumfang, Leistungsänderungen, Iteration

4.1 Weros schuldet ausschließlich die in der Leistungsbeschreibung ausdrücklich vereinbarten Leistungen.

4.2 Weros arbeitet standardmäßig iterativ. Zwischenstände/Entwürfe/Prototypen dienen der Abstimmung, sind aber nicht automatisch Endabnahmen.

4.3 Änderungen/Erweiterungen (Change Requests) sind nur geschuldet, wenn sie in der Leistungsbeschreibung enthalten sind oder nachträglich vereinbart werden. Soweit nicht ausdrücklich inklusive, werden Change Requests nach Aufwand oder nach vereinbarter Zusatzvergütung abgerechnet.

5. Mitwirkungspflichten des Kunden

5.1 Der Kunde stellt alle erforderlichen Informationen, Inhalte, Zugänge, Ansprechpartner und Freigaben rechtzeitig bereit.

5.2 Der Kunde stellt sicher, dass Kundeninhalte rechtefrei sind bzw. erforderliche Nutzungsrechte vorliegen.

5.3 Verzögert sich die Leistungserbringung aufgrund fehlender/verspäteter Mitwirkung, verschieben sich Termine angemessen. Weros kann das Projekt pausieren und Mehraufwand abrechnen.

6. Termine, Leistungshindernisse, Drittanbieterabhängigkeiten

6.1 Termine sind nur verbindlich, wenn ausdrücklich als verbindlich vereinbart.

6.2 Weros haftet nicht für Verzögerungen/Leistungsstörungen, die auf Drittanbieter (z. B. KI/APIs/Telefonie/Hosting) zurückzuführen sind, sofern Weros diese nicht zu vertreten hat.

6.3 Ereignisse außerhalb des Einflussbereichs (z. B. Netzausfälle, Drittanbieter-Ausfälle, Sicherheitsvorfälle, höhere Gewalt) verlängern Fristen um die Dauer der Behinderung zzgl. angemessener Anlaufzeit.

7. Abnahme (für alle abnahmepflichtigen Leistungen)

7.1 Abnahmepflicht: Alle von Weros bereitgestellten Deliverables/Werkleistungen gelten als abnahmepflichtig.

7.2 Abnahmefrist: Der Kunde prüft innerhalb von 14 Werktagen ab Bereitstellung und erklärt Abnahme oder rügt wesentliche Mängel in Textform.

7.3 Erfolgt keine Abnahme und keine wesentliche Mängelrüge innerhalb der Frist, gilt die Leistung als abgenommen.

7.4 Produktive Nutzung = Abnahme, sofern nicht unverzüglich ein wesentlicher Mangel gerügt wird.

7.5 Unwesentliche Mängel berechtigen nicht zur Abnahmeverweigerung; sie werden im Rahmen der Nacherfüllung behandelt.

8. Vergütung, Zahlungsbedingungen, Abschläge

8.1 Die Vergütung ergibt sich aus der Leistungsbeschreibung (Festpreis, Pauschale, Zeitaufwand, Retainer, laufende Gebühren, SaaS/Managed Services, Success Fee).

8.2 Zahlungsziel: Rechnungen sind innerhalb von 30 Tagen ab Rechnungsdatum ohne Abzug fällig.

8.3 Anzahlung: Bei Projektbeauftragung ist eine Anzahlung von 25% fällig, sofern die Leistungsbeschreibung nichts Abweichendes regelt.

8.4 Laufende Gebühren werden nach Monat abgerechnet, sofern nicht anders vereinbart.

8.5 Bei Zahlungsverzug ist Weros berechtigt, Leistungen nach Mahnung angemessen auszusetzen (Sicherheitsmaßnahmen ausgenommen) und Verzugszinsen sowie Verzugsschäden geltend zu machen.

9. Erfolgsabhängige Vergütung (Success Fee)

9.1 Sofern eine Success Fee vereinbart ist, regelt die Leistungsbeschreibung eindeutig: Auslöser, Messmethode, Datenquellen, Abrechnungszeitraum, Fälligkeit und eventuelle Ausschlüsse.

9.2 Der Kunde stellt die zur Abrechnung erforderlichen Daten/Nachweise fristgerecht zur Verfügung. Ohne fristgerechte Datenbereitstellung kann Weros nach angemessener Schätzung auf Basis verfügbarer Informationen abrechnen.

10. Hosting, Betrieb, Support, Wartung, SLA

10.1 Hosting/Betrieb/Wartung/Support/Monitoring sind nur geschuldet, wenn vereinbart (Managed Services).

10.2 Ohne separate SLA schuldet Weros keine garantierte Verfügbarkeit und keinen 24/7-Support. Ein optionales SLA ist im Abschnitt SLA beschrieben und gilt nur bei ausdrücklicher Beauftragung.

10.3 Support erfolgt flexibel; Weros bemüht sich um Rückmeldung in der Regel innerhalb von 1 Woche.

10.4 Wartungsfenster: Weros kann planbare Wartungen durchführen und kündigt diese nach Möglichkeit vorab an.

10.5 Disaster-Recovery/Business-Continuity-Zusagen bestehen nur bei ausdrücklicher Vereinbarung.

11. Backups, Datenwiederherstellung

11.1 Backups sind standardmäßig Teil der Leistung, soweit Weros Systeme betreibt.

11.2 Backup-Aufbewahrung: 1 Monat.

11.3 Weros haftet für Datenverlust nur im Rahmen von Ziff. 18 und nur insoweit, wie der Schaden bei ordnungsgemäßer Datensicherung vermeidbar gewesen wäre; Ersatz typischerweise begrenzt auf den Wiederherstellungsaufwand aus vorhandenen Backups.

12. Datenschutz, Rollen, AVV/DPA

12.1 In Kundenprojekten ist Weros typischerweise Auftragsverarbeiter.

12.2 Soweit Weros im Auftrag personenbezogene Daten verarbeitet, ist der Abschluss einer separaten AVV/DPA verpflichtend. Verweigert der Kunde den Abschluss trotz Erforderlichkeit, ist Weros berechtigt, betroffene Leistungen zurückzuhalten oder den Vertrag außerordentlich zu kündigen. Der AVV ist im Abschnitt AVV / DPA aufgeführt.

12.3 Bei Telefon-KI/Voice und vergleichbaren Anwendungen ist der Kunde dafür verantwortlich, erforderliche Informationspflichten (z. B. Hinweise zur KI-Nutzung, Aufzeichnung, Transkription) gegenüber Endkunden/Anrufern zu erfüllen, sofern der Kunde Verantwortlicher ist.

13. Drittanbieter, Lizenzen, Verbrauchskosten

13.1 Drittanbieter können technisch erforderlich sein (KI/STT/TTS/Telefonie/APIs/Hosting/Email/Payment etc.).

13.2 Änderungen/Abkündigungen/Preisänderungen/Limitierungen durch Drittanbieter liegen außerhalb der Kontrolle von Weros. Weros schuldet keine unveränderte Verfügbarkeit/Funktionsgleichheit dieser Drittanbieter.

13.3 Drittanbieter- und Verbrauchskosten (z. B. API-Calls, Telefonie, Tokens) trägt der Kunde, sofern nicht anders vereinbart.

14. Nutzungsrechte, Quellcode, Open Source

14.1 Alle Rechte an Konzepten, Designs, Quellcode, Templates, Modulen, Analysen und Arbeitsergebnissen verbleiben bei Weros, soweit nicht abweichend vereinbart.

14.2 Der Kunde erhält nach vollständiger Zahlung ein einfaches, nicht übertragbares, nicht unterlizenzierbares Nutzungsrecht für die vereinbarten Zwecke.

14.3 Quellcode-Herausgabe erfolgt nur nach Projektvereinbarung. Vorerzeugnisse (Frameworks, Module, Libraries, Templates, Methoden, Tooling) bleiben bei Weros.

14.4 Soweit Open-Source-Komponenten enthalten sind, gelten deren jeweilige Lizenzbedingungen vorrangig.

15. Referenznennung

Weros ist berechtigt, den Kunden (Name/Logo) und das Projekt als Referenz zu nennen (z. B. Website/Portfolio). Vertraulichkeitsvereinbarungen oder ausdrücklich vereinbarte Geheimhaltung gehen vor.

16. Vertraulichkeit

Beide Parteien behandeln vertrauliche Informationen geheim und verwenden sie ausschließlich zur Vertragserfüllung. Dies gilt auch über das Vertragsende hinaus.

17. Gewährleistung / Mängel

17.1 Bei Werkleistungen leistet Weros Gewähr nach den gesetzlichen Regeln, mit folgenden Grundsätzen:

  • Der Kunde rügt Mängel in Textform mit ausreichender Beschreibung.
  • Weros hat zunächst das Recht zur Nacherfüllung (Nachbesserung).

17.2 Bei Dienstleistungen schuldet Weros sorgfältige, fachgerechte Leistungserbringung, jedoch kein bestimmtes wirtschaftliches Ergebnis (z. B. Rankings, Leads, Umsätze).

18. Haftung

18.1 Weros haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit sowie bei Verletzung von Leben, Körper oder Gesundheit.

18.2 Bei einfacher Fahrlässigkeit haftet Weros nur bei Verletzung wesentlicher Vertragspflichten; die Haftung ist in diesen Fällen auf den vertragstypisch vorhersehbaren Schaden begrenzt.

18.3 Haftungscap: Soweit rechtlich zulässig, ist die Haftung von Weros insgesamt auf den Auftragswert (Gesamtvergütung des jeweiligen Auftrags/der jeweiligen Leistungsbeschreibung) begrenzt.

18.4 Ausschlüsse: Soweit rechtlich zulässig, sind mittelbare Schäden, Folgeschäden und entgangener Gewinn ausgeschlossen.

18.5 Datenverlust: Ersatz nur im Rahmen ordnungsgemäßer Backup-/Wiederherstellbarkeit; Haftung begrenzt auf den typischen Wiederherstellungsaufwand.

18.6 Drittanbieter-Ausfälle: Weros haftet nur, soweit Weros den Ausfall zu vertreten hat.

18.7 SEO/GEO/Erfolg: Keine Haftung für das Erreichen bestimmter Rankings, Reichweiten, Leads, Conversion- oder Umsatzwerte.

18.8 KI-Ergebnisse: Keine Haftung für sachliche Richtigkeit/Vollständigkeit von KI-Ausgaben. Der Kunde ist verpflichtet, KI-Ergebnisse vor Nutzung/Weitergabe fachlich zu prüfen.

19. Freistellung

Der Kunde stellt Weros von Ansprüchen Dritter frei, die aus folgenden Umständen resultieren:

  • fehlende Rechte an Kundeninhalten,
  • rechtswidrige Inhalte/Behauptungen des Kunden,
  • DSGVO-/Wettbewerbsverstöße aufgrund von Kundenvorgaben oder Kundennutzung,
  • missbräuchliche/unerlaubte Nutzung der Systeme (z. B. Spam, Missbrauch, Umgehung von Sicherheitsmechanismen).

20. Laufzeit, Kündigung, Sperrung

20.1 Laufende Leistungen (Hosting/Wartung/Support/Managed Services) laufen auf unbestimmte Zeit, sofern nicht anders vereinbart.

20.2 Kündigungsfrist:

  • Standard: monatlich zum Monatsende,
  • sofern in der Leistungsbeschreibung vereinbart: 3 Monate.

20.3 Außerordentliche Kündigung ist insbesondere möglich bei Zahlungsverzug, rechtswidriger Nutzung, Sicherheitsrisiken, wiederholter Pflichtverletzung oder fehlender AVV trotz Erforderlichkeit.

20.4 Weros kann bei erheblichen Sicherheitsrisiken oder rechtswidriger Nutzung Leistungen vorübergehend sperren, soweit erforderlich und verhältnismäßig.

21. Vertragsende, Datenexport, Löschung, Übergangsfrist

21.1 Nach Vertragsende stellt Weros auf Wunsch einen Datenexport bereit. Umfang/Vergütung richten sich nach Vereinbarung.

21.2 Zugriffe werden nach einer Übergangsfrist von 30 Tagen gesperrt, sofern nicht zwingende Sicherheitsgründe eine frühere Sperrung erfordern.

21.3 Löschung: Auf Anforderung innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden Gründe entgegenstehen.

22. Schlussbestimmungen

22.1 Es gilt das Recht der Republik Zypern unter Ausschluss der Kollisionsnormen. UN-Kaufrecht (CISG) ist ausgeschlossen.

22.2 Gerichtsstand ist – soweit zulässig – der Sitz von Weros in Limassol, Cyprus.

22.3 Änderungen/Ergänzungen bedürfen der Textform, soweit gesetzlich zulässig.

22.4 Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

zwischen
WEROS WEBDYNAMICS LTD, Agias Fylaxeos 200, Flat 401, Office 5, Kapsalos, 3083 Limassol, Cyprus, Company No. HE486588, VAT No. CY60302705O – nachfolgend „Auftragsverarbeiter“ –

und dem jeweiligen Geschäftskunden von WEROS WEBDYNAMICS LTD – nachfolgend „Verantwortlicher“ –

Stand: 15.03.2026

§ 1 Gegenstand, Dauer und Einordnung

  1. Dieser AVV regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der vom Verantwortlichen beauftragten Leistungen (insbesondere Software-/Web-/KI-/Voice-Systeme, Hosting/Betrieb, Wartung/Support/Monitoring, Automationen, Analysen).
  2. Gegenstand, Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Datenarten ergeben sich aus Anlage 1 und Anlage 2 sowie den dokumentierten Weisungen des Verantwortlichen.
  3. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags und – soweit erforderlich – bis zur Rückgabe/Löschung gemäß § 10 und Anlage 5.
  4. Dieser AVV gilt ausschließlich im B2B-Kontext.

§ 2 Weisungsrecht des Verantwortlichen

  1. Der Verantwortliche erteilt Weisungen grundsätzlich in Textform (z. B. E-Mail). Weisungen können auch durch dokumentierte Konfigurationen/Produkt-Einstellungen (z. B. aktivierte Module, Speicherfristen, Logging-Modi) erfolgen.
  2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung zur Verarbeitung besteht.
  3. Erkennt der Auftragsverarbeiter, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich. Der Auftragsverarbeiter ist berechtigt, die Ausführung der Weisung bis zur Klärung auszusetzen.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

  1. nur im Rahmen der Weisungen zu verarbeiten (§ 2),
  2. die Vertraulichkeit zu wahren (§ 4),
  3. geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO umzusetzen (§ 5, Anlage 3),
  4. Unterauftragsverarbeiter nur nach Maßgabe von § 6 einzusetzen,
  5. den Verantwortlichen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Konsultationen zu unterstützen (§ 8),
  6. Verletzungen des Schutzes personenbezogener Daten nach § 9 zu behandeln,
  7. nach Vertragsende Daten zurückzugeben und zu löschen (§ 10).

§ 4 Vertraulichkeit

  1. Der Auftragsverarbeiter stellt sicher, dass alle mit der Verarbeitung befassten Personen auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
  2. Zugriffe auf personenbezogene Daten erfolgen nach dem Need-to-know-Prinzip und rollenbasiert.

§ 5 Technische und organisatorische Maßnahmen (TOMs)

  1. Der Auftragsverarbeiter implementiert und unterhält TOMs gemäß Art. 32 DSGVO.
  2. Die TOMs sind in Anlage 3 beschrieben. Sie können weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage in geeigneter Form mit.

§ 6 Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern gemäß Anlage 4.
  2. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über beabsichtigte Änderungen der Unterauftragsverarbeiterliste (Hinzufügung/Ersetzung) mit einer Widerspruchsfrist von 14 Kalendertagen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt.
  3. Im Fall eines begründeten Widerspruchs (insbesondere bei nachweislich wesentlicher Erhöhung des Datenschutzrisikos) werden die Parteien eine zumutbare Alternative prüfen. Ist eine Alternative nicht möglich, kann der Verantwortliche den betroffenen Leistungsteil außerordentlich kündigen.
  4. Der Auftragsverarbeiter schließt mit Unterauftragsverarbeitern Verträge, die die Datenschutzpflichten dieses AVV (insb. TOMs, Vertraulichkeit, Unterstützungspflichten) inhaltlich abbilden.

§ 7 Drittlandübermittlungen

  1. Soweit Unterauftragsverarbeiter oder Verarbeitungsvorgänge eine Übermittlung in Drittländer außerhalb EU/EWR erfordern, erfolgt dies nur unter Einhaltung der gesetzlichen Voraussetzungen (z. B. Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln).
  2. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung geeignete Nachweise über die verwendeten Transfermechanismen zur Verfügung.

§ 8 Unterstützungspflichten

  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Maßgabe der Art. 28 Abs. 3 lit. e–f DSGVO bei:
    • der Erfüllung von Betroffenenrechten (Auskunft, Löschung, Berichtigung, Einschränkung, Datenübertragbarkeit, Widerspruch),
    • der Einhaltung von Art. 32–36 DSGVO (Sicherheit, Meldungen, DSFA, Konsultation).
  2. Der Verantwortliche bleibt für die rechtliche Bewertung und Entscheidung über die Umsetzung von Betroffenenanfragen verantwortlich.
  3. Unterstützungsleistungen, die über den üblichen Rahmen hinausgehen (z. B. umfangreiche Export-/Filteranforderungen), können gesondert vergütet werden.

§ 9 Meldung von Datenschutzverletzungen

  1. Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich nach Kenntnis eine Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft.
  2. Die Meldung umfasst – soweit verfügbar – Art des Vorfalls, betroffene Daten/Kategorien, mögliche Folgen und ergriffene/empfohlene Maßnahmen.
  3. Der Auftragsverarbeiter dokumentiert Datenschutzverletzungen intern.

§ 10 Rückgabe und Löschung nach Vertragsende

  1. Nach Beendigung der Verarbeitungstätigkeiten gibt der Auftragsverarbeiter dem Verantwortlichen die personenbezogenen Daten in einem geeigneten, technisch üblichen Format zurück oder löscht sie – nach Wahl des Verantwortlichen, soweit nichts anderes vereinbart ist.
  2. Standard: Löschung auf Anforderung innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
  3. Backups: Daten können in Sicherungen bis zur regulären Überschreibung/Rotation verbleiben; die Backup-Aufbewahrung beträgt standardmäßig 1 Monat. Während der Backup-Aufbewahrung erfolgt keine produktive Verarbeitung der Daten, außer soweit zur Wiederherstellung erforderlich.
  4. Details sind in Anlage 5 beschrieben.

§ 11 Nachweise, Audits

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Verfügung stehenden Informationen bereit, die erforderlich sind, um die Einhaltung dieses AVV nachzuweisen (Art. 28 Abs. 3 lit. h DSGVO).
  2. Audits/Inspektionen sind nach vorheriger Ankündigung mit angemessener Frist durchzuführen, unter Wahrung von Geschäftsgeheimnissen und Sicherheitsanforderungen.
  3. Vor-Ort-Audits erfolgen nur, wenn ein Dokumenten-/Remote-Audit nicht ausreicht und ein berechtigtes Interesse besteht. Auditkosten können nach Aufwand berechnet werden, sofern nicht anders vereinbart.

§ 12 Haftung

  1. Die Haftung gegenüber betroffenen Personen und Aufsichtsbehörden richtet sich nach den zwingenden gesetzlichen Bestimmungen der DSGVO; vertragliche Regelungen können diese Rechte nicht einschränken.
  2. Im Innenverhältnis zwischen Verantwortlichem und Auftragsverarbeiter gilt – soweit rechtlich zulässig – die Haftungsregelung des Hauptvertrags/AGB, ohne Einschränkung gesetzlicher Mindestpflichten.

§ 13 Schlussbestimmungen

  1. Dieser AVV ergänzt den Hauptvertrag. Bei Widersprüchen gilt die im Hauptvertrag festgelegte Rangfolge, wobei datenschutzrechtliche Mindestanforderungen vorrangig einzuhalten sind.
  2. Änderungen und Ergänzungen dieses AVV bedürfen der Textform, soweit gesetzlich zulässig.
  3. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Gegenstand, Art und Zweck der Verarbeitung; Dauer

  1. Gegenstand: Verarbeitung personenbezogener Daten zur Bereitstellung, Konfiguration, dem Betrieb und der Wartung/Weiterentwicklung der vom Verantwortlichen beauftragten digitalen Systeme/Leistungen (Software, Webanwendungen, KI-Chat/Assistenten, Voice-/Telefonagenten, Automationen, Integrationen, Analysen, Hosting/Betrieb/Monitoring/Support).
  2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Auslesen, Abfragen, Übermitteln, Abgleichen, Strukturieren, Löschen; ggf. Transkription/Sprachanalyse, Generierung von Text/Antworten, Scoring/Klassifikation – jeweils gemäß Weisung/Produktkonfiguration.
  3. Zwecke:
    • technische Bereitstellung und Funktionsausführung,
    • Kommunikation/Support,
    • Betriebssicherheit, Fehleranalyse und Performance,
    • vereinbarte Analysen/Audits/Reports,
    • (bei Voice) Gesprächsabwicklung, Aufzeichnung/Transkription, soweit beauftragt.
  4. Dauer: Für die Dauer des Hauptvertrags; standardmäßige Speicher- und Löschlogik gemäß § 10 / Anlage 5 (insbesondere: Löschung auf Anforderung binnen 30 Tagen; Backup-Aufbewahrung 1 Monat; soweit nichts Abweichendes vereinbart).

Anlage 2 – Kategorien betroffener Personen und Datenarten

1. Kategorien betroffener Personen (typisch, je Projekt/Weisung)

  • Beschäftigte, Ansprechpartner und sonstige Nutzer des Verantwortlichen
  • Kunden/Interessenten/Leads des Verantwortlichen (B2B und ggf. B2C, je Projekt)
  • Website-/App-Nutzer des Verantwortlichen
  • Anrufer/Kommunikationspartner bei Voice-/Telefon-Systemen
  • Sonstige vom Verantwortlichen definierte Personengruppen

2. Datenarten (typisch, je Projekt/Weisung)

  • Stammdaten/Kontaktdaten (Name, E-Mail, Telefonnummer, Unternehmen, Rolle/Funktion)
  • Kommunikationsinhalte (Nachrichten, E-Mails, Chat-Inhalte)
  • Termin-/Buchungsdaten (z. B. Name, E-Mail, Terminwünsche, Kontextinformationen)
  • Audioaufzeichnungen und Transkripte (wenn beauftragt/aktiviert)
  • Nutzungs-/Betriebsdaten und Protokolldaten (soweit für Betrieb/Sicherheit erforderlich)
  • CRM-/Vertriebsdaten (Leads, Status, Notizen), soweit beauftragt
  • Ergebnisdaten aus Analysen/Scoring/Klassifikation (indikativ, je Use-Case)
  • Besondere Kategorien nach Art. 9 DSGVO: nur, soweit der Verantwortliche dies projektbezogen vorgibt und eine entsprechende vertragliche/organisatorische Absicherung (insb. Weisungen, ggf. zusätzliche TOMs) besteht.

Anlage 3 – Technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO

Die Maßnahmen werden risikoorientiert umgesetzt und fortlaufend überprüft/weiterentwickelt. (Auszug auf geeigneter Abstraktionsebene.)

1. Zutrittskontrolle (physisch)

  • Physische Sicherheit der Rechenzentren durch eingesetzte Infrastruktur-/Hosting-Provider (Zutrittsregeln, Überwachung, Zugangsbeschränkung).
  • Zugriff auf eigene Arbeitsumgebungen nach internen Berechtigungsvorgaben.

2. Zugangskontrolle (Auth)

  • Rollenbasierte Zugriffskonzepte für Systeme/Umgebungen.
  • Vergabe/Entzug von Zugängen nach Need-to-know-Prinzip.
  • Verwaltung von Zugangsdaten/Schlüsseln getrennt von Quellcode, soweit technisch möglich.

3. Zugriffskontrolle (Autorisierung)

  • Berechtigungen nach Rollen/Funktionen (Least-Privilege-Grundsatz).
  • Trennung administrativer Zugänge von Standardzugängen, soweit anwendbar.
  • Protokollierung administrativer/technisch sicherheitsrelevanter Aktionen, soweit anwendbar.

4. Weitergabekontrolle (Transport)

  • Verschlüsselte Übertragung (TLS) für Web-/API-Kommunikation.
  • Übermittlungen an Drittanbieter nur, soweit für die Funktion erforderlich, und gemäß vertraglicher Einbindung (Unterauftragsverarbeitung/Transfermechanismen).

5. Eingabekontrolle (Nachvollziehbarkeit)

  • Protokollierung relevanter Systemereignisse zur Fehleranalyse, Sicherheit und Betrieb.
  • Nachvollziehbarkeit von Änderungen/Deployments im Rahmen der Betriebsprozesse, soweit anwendbar.

6. Verfügbarkeitskontrolle

  • Standardmäßige Datensicherungen, soweit Weros Systeme betreibt; Backup-Aufbewahrung 1 Monat.
  • Schutzmaßnahmen gegen Ausfälle/Missbrauch durch Monitoring/Alerting und Störungsprozesse.
  • Schutz gegen Schadsoftware/Angriffe durch geeignete Hardening-, Update- und Betriebsmaßnahmen, soweit anwendbar.

7. Trennungsgebot (Mandantentrennung)

  • Logische Trennung von Kundendaten/Umgebungen, soweit anwendbar (z. B. getrennte Projekte, Datenbereiche, Zugriffsrechte).
  • Zugriffe auf Kundendaten ausschließlich im Rahmen von Support/Weisungen.

8. Datenschutzfreundliche Voreinstellungen / Datenminimierung

  • Speicherung nur soweit für Funktion und Betrieb erforderlich; Konfigurationsmöglichkeiten je Produkt (z. B. Speichermodi, Aufzeichnungs-/Transkriptionsoptionen).
  • Standardisierte Löschlogik (u. a. Löschung auf Anforderung binnen 30 Tagen; Standardaufbewahrung grundsätzlich bis 1 Jahr, sofern nicht abweichend vereinbart).

9. Umgang mit Sicherheitsvorfällen

  • Interner Prozess zur Erkennung, Bewertung, Eindämmung und Dokumentation von Vorfällen.
  • Unverzügliche Meldung relevanter Datenschutzverletzungen an den Verantwortlichen (§ 9 AVV).

Anlage 4 – Genehmigte Unterauftragsverarbeiter (Stand 15.03.2026)

Die folgenden Unterauftragsverarbeiter können – je nach Produkt/Weisung – eingesetzt werden:

  1. Hetzner (Hosting/Infrastruktur, Serverbetrieb)
  2. OpenAI (LLM/KI-Modelle; ggf. zusätzlich TTS je Konfiguration)
  3. Anthropic (LLM/KI-Modelle; nur sofern aktiviert)
  4. Google (Gemini) (LLM/KI-Modelle; nur sofern aktiviert)
  5. Deepgram (Speech-to-Text / Transkription)
  6. ElevenLabs (Text-to-Speech)
  7. Telnyx (Telefonie/CPaaS, Rufnummern/Call-Routing; ggf. Audio-Transport)

Hinweis: Der tatsächliche Einsatz ist produkt- und projektabhängig (Weisung/Konfiguration). Änderungen werden gemäß § 6 AVV mit 14 Tagen Widerspruchsfrist mitgeteilt.

Anlage 5 – Rückgabe-/Export- und Löschkonzept

  1. Rückgabe/Export: Auf Anforderung stellt Weros dem Verantwortlichen einen Export der im Auftrag verarbeiteten Daten in einem technisch üblichen Format bereit, soweit dies mit vertretbarem Aufwand möglich ist und keine Rechte Dritter entgegenstehen. Umfang/Format können projektbezogen konkretisiert werden.
  2. Löschung:
    • Standard: Löschung auf Anforderung innerhalb von 30 Tagen.
    • Der Verantwortliche kann die Löschung statt Rückgabe verlangen.
  3. Backups: Daten können bis zur Rotation in Backups verbleiben (Aufbewahrung 1 Monat). Eine aktive Verarbeitung erfolgt in Backups nicht, außer zur Wiederherstellung im Störungsfall.
  4. Protokolle/Betriebsdaten: Soweit Betriebs-/Sicherheitslogs personenbezogene Daten enthalten und eine Löschung technisch/organisatorisch möglich ist, erfolgt Löschung im Rahmen der jeweiligen Aufbewahrungsregeln; gesetzliche Pflichten bleiben unberührt.

SLA – Service Level Addendum (optional, nur bei ausdrücklicher Beauftragung)

Stand: 15.03.2026

Dieses SLA gilt nur, wenn im Angebot/Vertrag ausdrücklich ein SLA-Level (Standard oder Premium) beauftragt wurde. Ohne SLA gelten ausschließlich die Bestimmungen des Hauptvertrags/AGB (insb. keine garantierte Verfügbarkeit).

§ 1 Geltungsbereich und Messobjekt

  1. SLA-Leistungen beziehen sich ausschließlich auf die im Angebot ausdrücklich genannten Systeme/Komponenten („SLA-Services“).
  2. Verfügbarkeit bezieht sich auf die Erreichbarkeit der SLA-Services über die vereinbarten Schnittstellen (z. B. Web/App/API) aus Sicht der Server-/Service-Ebene.

§ 2 Definitionen

  1. Verfügbarkeit = (Gesamtzeit – Ausfallzeit) / Gesamtzeit pro Kalendermonat.
  2. Ausfallzeit = Zeitraum, in dem der SLA-Service aufgrund eines von Weros zu vertretenden Fehlers nicht nutzbar ist.
  3. Wartungsfenster = geplante Arbeiten, die nach Möglichkeit vorab angekündigt werden; Wartungsfenster zählen nicht als Ausfallzeit.

§ 3 SLA-Level

SLA Standard

  1. Ziel-Verfügbarkeit: 99,5% pro Kalendermonat.
  2. Reaktionszeiten (Bestätigung der Störung / Start Bearbeitung) – Werktage:
    • P1 (kritisch, Service nicht nutzbar): 1 Werktag
    • P2 (hoch, wesentliche Funktion beeinträchtigt): 2 Werktage
    • P3 (mittel, nicht-kritischer Fehler): 5 Werktage
  3. Kommunikation: Status-Updates nach angemessener Frequenz abhängig von Schweregrad und Komplexität.

SLA Premium

  1. Ziel-Verfügbarkeit: 99,9% pro Kalendermonat.
  2. Reaktionszeiten – Werktage:
    • P1: same-day (Werktag), spätestens 1 Werktag
    • P2: 1 Werktag
    • P3: 3 Werktage
  3. Priorisierte Bearbeitung gegenüber nicht-SLA-gebundenen Supportanfragen.

§ 4 Schweregrade (Severity)

  • P1 Kritisch: kompletter Ausfall oder sicherheitsrelevanter Vorfall mit unmittelbarer Betriebsunterbrechung.
  • P2 Hoch: Kernfunktion gestört, Workaround ggf. eingeschränkt möglich.
  • P3 Mittel: Fehler ohne wesentliche Betriebsunterbrechung, Workaround möglich.
  • P4 Niedrig: kosmetische/kleine Themen, Feature Requests (nicht Teil SLA).

§ 5 Ausschlüsse (zählen nicht als SLA-Verstoß)

  1. Ausfälle/Degradierungen durch:
    • Drittanbieter (KI/APIs/Telefonie/Provider), sofern nicht von Weros zu vertreten,
    • Fehlbedienung/Änderungen des Kunden oder Dritter,
    • Netz-/Providerprobleme außerhalb der Systeme von Weros,
    • höhere Gewalt, Sicherheitsangriffe außerhalb des beherrschbaren Rahmens.
  2. Geplante Wartungsfenster (sofern nach Möglichkeit angekündigt).
  3. Einschränkungen zur Gefahrenabwehr (Security-Maßnahmen), soweit erforderlich und verhältnismäßig.

§ 6 Backups / Restore (SLA-konform)

  1. Backups sind Teil der betriebenen Leistungen; Aufbewahrung 1 Monat.
  2. Es wird keine feste RPO/RTO garantiert, sofern nicht ausdrücklich schriftlich vereinbart. Wiederherstellungen erfolgen nach Best Effort und Priorisierung gemäß Schweregrad.

§ 7 Mitwirkungspflichten des Kunden im SLA-Kontext

Der Kunde stellt für Störungsmeldungen mindestens bereit: Zeitpunkt, betroffene Funktion/Endpoint, Fehlerbild, Reproduzierbarkeit, ggf. Logs/Screenshots. Fehlende Informationen können Reaktions-/Behebungszeiten verlängern.

§ 8 Rechtsfolgen bei SLA-Unterschreitung

Sofern nicht ausdrücklich anders vereinbart, besteht die Rechtsfolge bei SLA-Unterschreitung ausschließlich in angemessener Nachbesserung/Optimierung. Service Credits werden nur geschuldet, wenn sie im Angebot ausdrücklich vereinbart sind.

§ 9 Rangfolge

Dieses SLA geht bei Widerspruch den allgemeinen Support-/Betriebsregelungen in den AGB vor, jedoch nur für die ausdrücklich erfassten SLA-Services.

Quellen / Links

  1. § 5 Digitale-Dienste-Gesetz (DDG) – Anbieterkennzeichnung: https://www.gesetze-im-internet.de/ddg/__5.html
  2. Office of the Commissioner for Personal Data Protection (Cyprus): https://www.dataprotection.gov.cy/…

Legal information

Status: 15.03.2026

Imprint (provider identification)

1. Service Providers

WEROS WEBDYNAMICS LTD Agias Fylaxeos 200, Flat 401, Office 5 Kapsalos, 3083 Limassol, Cyprus

Register: Cyprus Companies Register
Company No.: HE486588

VAT No.: CY60302705O

2. Person authorized to represent

Director: Robert Sebastian Bremer

3. Contact

E-mail: team@weros-webdynamics.com
Phone: +357 962 65917
Website: https://www.weros-webdynamics.com

4. Responsible for content

WEROS WEBDYNAMICS LTD, represented by Robert Sebastian Bremer.

5. Dispute Resolution Notice

WEROS WEBDYNAMICS LTD offers services exclusively for Entrepreneur (B2B) to. Contracts are not concluded with consumers. Participation in dispute resolution procedures before a consumer arbitration board does not take place.

Legal basis for provider identification: Section 5 DDG.1

Privacy Policy

This data protection declaration provides information about the type, scope and purposes of the processing of personal data Data when using our website weros-webdynamics.com including everyone Subpages and subdomains under this domain.

1. Responsible person

WEROS WEBDYNAMICS LTD
Agias Fylaxeos 200, Flat 401, Office 5
Kapsalos, 3083 Limassol, Cyprus

Email (general): team@weros-webdynamics.com
Email (data protection): privacy@weros-webdynamics.com
Phone: +357 962 65917

2. Categories of processed data

  • Usage/meta data (server-side): URL, referrer, timestamp, status code (none storage of user agent; no storage of chat IP/chat user agent)
  • Entries in forms: Website URL (mandatory), optional email address
  • Communication data: Name, e-mail address, if applicable, other content that users in the Enter chat/field
  • Chat/interaction data: message content, conversation histories, System states/metadata within our chat application
  • Newsletter data: E-mail address, if applicable name/company (if collected), registration/unsubscription details Shipping logs
  • Project/contract data (B2B): Contact person data, project communication, Performance and billing information

3. Purposes and legal basis

  • Provision and security of the website and systems, Abuse/attack detection, troubleshooting, performance analysis
    Legal basis: Art. 6 Para. 1 lit. f GDPR (legitimate interest in secure, stable operation).
  • Carrying out the live AI check/index (form) including storage of entries and Sending confirmation/status emails, if email was specified
    Legal basis: Art. 6 Para. 1 lit. b GDPR (implementation of the requested service/communication) and/or Article 6 Paragraph 1 Letter f GDPR (Operation/Security).
  • Deploying the AI ​​chat “George”
    • Knowledge mode: Use possible without mandatory information; processing the Chat content to answer.
    • Contact mode: Processing of name and email as well as chat content Processing a contact request; Consent checkbox within the chat.
    • Appointment mode: Processing of name, email and chat content for Appointment/enquiry processing.
    Legal basis: Art. 6 Para. 1 lit. b GDPR (inquiry processing/contract fulfillment) and - as far as consent is requested – Art. 6 Para. 1 lit. a GDPR.
  • Newsletter dispatch
    Legal basis: Article 6 Paragraph 1 Letter a GDPR (consent). A revocation is possible at any time (e.g. B. via unsubscribe link or by email privacy@weros-webdynamics.com).

4. Server hosting, operations and access data

Our website and systems are operated on our own infrastructure with a hosting provider (Server operation). This generates protocol data on the server side (URL, referrer, timestamp, status code), which we use Security, troubleshooting and performance analysis to use.

5. AI-assisted processing / third-party providers

For certain functions we set AI and communication services a. Depending on Product/use cases can in particular be:

  • LLM/KI: OpenAI and if necessary Anthropic and/or Google (Gemini)
  • Speech to text: Deepgram
  • Text to Speech: OpenAI, ElevenLabs
  • Telephony/CPaaS: Telnyx

Content (e.g. chat inputs, audio, transcripts) can be transmitted to these service providers become, to the extent that this is necessary for the respective function.

Important instructions

  • AI systems can produce probabilistic, incomplete or erroneous results.
  • The use is intended for the purpose provided for the function provided.
  • Whether inputs/outputs are used for improvement is product dependent (Configuration/Mode).
  • In customer projects (B2B), the obligation to provide information lies with end customers/callers – especially with telephone AI, Recording and Transcription – with the respective customer, provided this is responsible.

For B2B customer projects in which we act as a processor, the following also applies AVV / DPA (Article 28 GDPR).

6. Data transfer to third countries

If service providers are used outside the EU/EEA, transmission will only take place present the legal requirements (e.g. adequacy decision or suitable guarantees such as EU standard contractual clauses).

7. Storage period / deletion

We generally store personal data up to 1 year, unless none deviating There are (particularly legal) retention obligations or a longer/shorter storage period expressly was agreed. Specifically:

  • Server log data: 1 year
  • Chat/George conversations: 1 year (without saving IP/user agent in chat)
  • Live AI check/index entries: 1 year
  • Call recordings/transcripts (where used): max. 1 year
  • Backups: 1 month storage
  • Deletion on request: within 30 days, unless statutory Obligations or overriding reasons conflict with this
  • Contract/invoice data: in accordance with statutory commercial and tax law Retention obligations (usually longer than 1 year)

8. Recipients / categories of recipients

  • Hosting/infrastructure service provider
  • Email and communication systems (sending/receiving system and confirmation emails)
  • AI/speech/telephony service providers (see point 5)
  • IT security and operational service providers (if involved)
  • Tax/legal advice if required

9. Rights of data subjects

In particular, affected persons have the right to:

  • Information (Article 15 GDPR)
  • Correction (Art. 16 GDPR)
  • Deletion (Art. 17 GDPR)
  • Restriction of processing (Article 18 GDPR)
  • Data portability (Article 20 GDPR)
  • Objection (Art. 21 GDPR)
  • Revocation of consent given (Art. 7 Para. 3 GDPR)

There is also a right to lodge a complaint with a data protection supervisory authority. Competent authority at the headquarters of That is the person responsible Office of the Commissioner for Personal Data Protection (Cyprus).2

10. Data Security

We take technical and organizational measures to secure personal data, in particular access restrictions, Authorization concepts as well as encrypted connections (TLS) and operational/security monitoring.

General Terms and Conditions (GTC) – B2B

for digital services, software/web/AI services, hosting, operation, maintenance, support and managed services from WEROS WEBDYNAMICS LTD
Status: 15.03.2026

1. Definitions of terms

1.1 “Weros”: WEROS WEBDYNAMICS LTD.

1.2 “Customer”: entrepreneur i. S.d. applicable law (B2B).

1.3 “Service description”: offer, SOW, project description, Ticket/service package description that specifically specifies the type/scope/prices.

1.4 “Work performance”: Service with a defined result/deliverable (e.g. Website release, software release, design assets, audit report).

1.5 “Service”: Activity without specific work owed (e.g. advice, ongoing care).

1.6 “Managed Services”: Operation/maintenance/monitoring/support of running systems.

1.7 “Third-party providers”: external services/providers/APIs/models (e.g. AI, STT/TTS, Telephony, hosting, email, payment services).

1.8 “Customer content”: content/data provided by the customer (text, images, logos, data, access data etc.).

1.9 “Performance-related remuneration/success fee”: variable remuneration, whose Trigger/definition/measurement is regulated in the service description.

2. Scope, B2B exclusion consumers

2.1 These General Terms and Conditions apply to all digital contracts between Weros and the customer Services, in particular: consulting/strategy, web design/UX, website and web app/software development, Backend/APIs/Databases, Automations, SEO/GEO, AI Chat/Assistant, Phone AI/Voice Systems, Hosting/operation, maintenance/support/monitoring, training, content/landing pages, lead analysis/audits as well as other agreed digital services.

2.2 Weros does not conclude contracts with consumers.

2.3 Differing conditions from the customer only apply if expressly confirmed by us Weros in text form.

3. Conclusion of contract, ranking of documents

3.1 A contract is concluded by accepting an offer in text form or by written/electronic order confirmation from Weros; alternatively by starting the service express assignment.

3.2 Ranking of contradictions (descending): (1) Individual agreement/offer/order confirmation, (2) Service description/SOW, (3) SLA/Support Terms (if agreed), (4) AVV/DPA (if applicable), (5) these Terms and Conditions.

4. Scope, performance changes, iteration

4.1 Weros only owes those expressly stated in the service description agreed services.

4.2 Weros works by default iterative. Interim results/drafts/prototypes are used for coordination, but are not automatically final acceptance.

4.3 Changes/extensions (change requests) are only due if they are in the The service description is included or can be agreed upon subsequently. Unless explicitly stated included, change requests are billed according to effort or according to agreed additional remuneration.

5. Customer’s obligation to cooperate

5.1 The customer provides all necessary information, content, access, Contact person and approvals ready in a timely manner.

5.2 The customer ensures that customer content is free of rights or required Rights of use exist.

5.3 If the provision of services is delayed due to lack of/delayed cooperation, Appointments are postponed appropriately. Weros can pause the project and bill for additional work.

6. Deadlines, impediments to performance, third-party dependencies

6.1 Appointments are only binding if expressly agreed as binding.

6.2 Weros is not liable for delays/disruptions in performance caused by third parties (e.g. B. AI/APIs/telephony/hosting), unless Weros is responsible for them.

6.3 Events outside the sphere of influence (e.g. power failures, Third-party outages, security incidents, force majeure) extend deadlines by the duration of Disability plus appropriate start-up time.

7. Acceptance (for all services subject to acceptance)

7.1 Obligation to accept: All provided by Weros Deliverables/work services are deemed to be subject to acceptance.

7.2 Acceptance deadline: The customer checks within 14 working days from provision and declares acceptance or reports significant defects in text form.

7.3 If there is no acceptance and no significant notification of defects within the deadline, this applies Performance as accepted.

7.4 Productive use = acceptance, unless not done immediately a significant defect is complained about.

7.5 Insignificant defects do not entitle you to refuse acceptance; her will be dealt with as part of subsequent performance.

8. Compensation, payment conditions, discounts

8.1 The remuneration results from the service description (fixed price, flat rate, Time expenditure, retainer, ongoing fees, SaaS/managed services, success fee).

8.2 Payment term: Invoices are due within 30 days due without deduction from the invoice date.

8.3 Down payment: When commissioning a project, one is Deposit from 25% due unless the service description states otherwise.

8.4 Ongoing fees will be by month billed if not agreed otherwise.

8.5 In the event of late payment, Weros is entitled to provide appropriate services after a reminder to suspend (security measures excluded) and to claim default interest and damages caused by default.

9. Success-related remuneration (success fee)

9.1 If a success fee has been agreed, the service description clearly regulates: Triggers, measurement method, data sources, billing period, due date and any exclusions.

9.2 The customer provides the data/evidence required for billing in a timely manner available. Without timely data provision, Weros can make a reasonable estimate based on based on available information.

10. Hosting, Operations, Support, Maintenance, SLA

10.1 Hosting/operation/maintenance/support/monitoring are only owed if agreed (Managed Services).

10.2 Without separate SLA owes Weros not a guaranteed one Availability and no 24/7 support. An optional SLA is in section SLA described and only applies if expressly commissioned.

10.3 Support is flexible; Weros usually tries to get feedback within from 1 week.

10.4 Maintenance window: Weros can carry out planned maintenance and cancel it afterwards possibility in advance.

10.5 Disaster recovery/business continuity commitments only exist express agreement.

11. Backups, data recovery

11.1 Backups are a standard part of the service as long as Weros operates systems.

11.2 Backup retention: 1 month.

11.3 Weros is liable for data loss only within the scope of Section 18 and only to the extent that Damage could have been avoided with proper data backup; Replacement typically limited to the effort required to restore from existing backups.

12. Data protection, roles, AVV/DPA

12.1 Weros is typical in customer projects Processor.

12.2 Insofar as Weros processes personal data on behalf of the contract, the conclusion of a separate AVV/DPA causing obligation. The customer refuses to complete the transaction despite this Necessity, Weros is entitled to withhold affected services or the contract to terminate extraordinarily. The AVV is in section AVV / DPA listed.

12.3 When it comes to telephone AI/voice and comparable applications, the customer is in favor of it responsible, necessary information obligations (e.g. information on AI use, recording, Transcription) towards end customers/callers, provided that the customer is the responsible party.

13. Third Party Providers, Licenses, Consumption Costs

13.1 Third party providers may be technically necessary (AI/STT/TTS/Telephony/APIs/Hosting/Email/Payment etc.).

13.2 Changes/discontinuations/price changes/limitations by third parties are subject to change outside the control of Weros. Weros does not owe unchanged availability/equality of functionality this third party.

13.3 Third-party and consumption costs (e.g. API calls, telephony, tokens) are borne by the provider Customer, unless otherwise agreed.

14. Rights of use, source code, open source

14.1 All rights to concepts, designs, source code, templates, modules, analyzes and The work results remain with Weros unless otherwise agreed.

14.2 The customer receives a receipt after full payment simple, not transferable, non-sublicensable right of use for the agreed purposes.

14.3 Source code release takes place just after Project agreement. Preliminary products (frameworks, modules, libraries, templates, methods, Tooling) remain with Weros.

14.4 If open source components are included, their respective ones apply License conditions take precedence.

15. References

Weros is entitled to name the customer (name/logo) and the project as a reference (e.g. website/portfolio). Confidentiality agreements or expressly agreed confidentiality are possible before.

16. Confidentiality

Both parties treat confidential information secretly and use it exclusively for Fulfillment of contract. This also applies beyond the end of the contract.

17. Warranty / Defects

17.1 Weros provides a warranty for work services in accordance with the statutory regulations, with the following Principles:

  • The customer reports defects in text form with a sufficient description.
  • Weros initially has the right to subsequent performance (repair).

17.2 When it comes to services, Weros owes careful, professional performance of the service, but no specific economic result (e.g. rankings, leads, sales).

18. Liability

18.1 Weros has unlimited liability for intent and gross negligence as well as for Injury to life, body or health.

18.2 In the case of simple negligence, Weros is only liable for material breaches contractual obligations; In these cases, liability is limited to the damage that is typically foreseeable under the contract limited.

18.3 Liability cap: Weros is liable to the extent permitted by law total on the Contract value (Total remuneration for the respective order/s Service description) limited.

18.4 Exclusions: To the extent legally permissible, indirect damages, Consequential damages and lost profits are excluded.

18.5 Data loss: Replacement only within the scope of proper backup/restoreability; Liability limited to the typical restoration effort.

18.6 Third Party Failures: Weros is only liable to the extent that Weros causes the failure has to represent.

18.7 SEO/GEO/Success: No liability for achieving certain Rankings, reach, leads, conversion or sales values.

18.8 AI results: No liability for material matters Accuracy/completeness of AI outputs. The customer is obliged to provide AI results Use/distribution must be checked professionally.

19. Exemption

The customer releases Weros from third-party claims resulting from the following circumstances:

  • lack of rights to customer content,
  • unlawful content/claims made by the customer,
  • GDPR/competition violations due to customer specifications or customer use,
  • improper/unauthorized use of the systems (e.g. spam, misuse, circumvention of security mechanisms).

20. Term, termination, blocking

20.1 Ongoing services (hosting/maintenance/support/managed services) accrue indefinite period of time, unless otherwise agreed.

20.2 Notice period:

  • Standard: monthly at the end of the month,
  • if agreed in the service description: 3 months.

20.3 Extraordinary termination is possible in particular in the event of late payment, unlawful use, security risks, repeated breach of duty or lack of AVV Necessity.

20.4 Weros may be responsible for significant security risks or unlawful use Temporarily block services if necessary and proportionate.

21. End of contract, data export, deletion, transition period

21.1 After the contract ends, Weros will provide one upon request Data export ready. Scope/remuneration depends on agreement.

21.2 Accesses are after a Transition period of 30 days blocked, unless compelling security reasons require earlier blocking.

21.3 Deletion: Upon request within 30 days, as far as none legal retention obligations or overriding reasons conflict with this.

22. Final provisions

22.1 The law of the Republic of Cyprus applies, excluding conflict of law provisions. UN Convention on Contracts for the International Sale of Goods (CISG) is excluded.

22.2 The place of jurisdiction is - to the extent permitted - Weros' registered office in Limassol, Cyprus.

22.3 Changes/additions must be made in text form, to the extent permitted by law.

22.4 If individual provisions are ineffective, the remaining ones remain valid Regulations are unaffected.

Order processing contract (AVV) according to Art. 28 GDPR

between
WEROS WEBDYNAMICS LTD, Agias Fylaxeos 200, Flat 401, Office 5, Kapsalos, 3083 Limassol, Cyprus, Company No. HE486588, VAT No. CY60302705O – below “Processor” –

and the respective one Business customers by WEROS WEBDYNAMICS LTD – below “responsible person” –

Status: 15.03.2026

§ 1 Subject, duration and classification

  1. This AVV regulates the processing of personal data by the processor on behalf of the company of the person responsible within the scope of the services commissioned by the person responsible (in particular Software/web/AI/voice systems, hosting/operation, maintenance/support/monitoring, automation, analyses).
  2. Subject, type and purpose of processing, categories of data subjects and types of data out Appendix 1 and Appendix 2 as well as the documented instructions of the person responsible.
  3. The processing takes place for the duration of the main contract and - if necessary - until Return/deletion in accordance with Section 10 and Appendix 5.
  4. This AVV applies exclusively in a B2B context.

§ 2 Right of the person responsible to give instructions

  1. The person responsible generally issues instructions in text form (e.g. email). Instructions can also through documented configurations/product settings (e.g. activated modules, storage periods, logging modes).
  2. The processor processes personal data exclusively on documented instructions of the person responsible, unless there is a legal obligation to process it.
  3. If the processor recognizes that an instruction violates data protection law, he will inform you the person responsible immediately. The processor is entitled to carry out the execution Suspend instructions until clarification.

§ 3 Obligations of the processor

The processor undertakes in particular:

  1. only to be processed within the scope of the instructions (§ 2),
  2. to maintain confidentiality (§ 4),
  3. to implement appropriate technical and organizational measures (TOMs) in accordance with Art. 32 GDPR (§ 5, Appendix 3),
  4. To use sub-processors only in accordance with Section 6,
  5. to those responsible for data subject rights, data protection impact assessments and consultations support (§ 8),
  6. to deal with violations of the protection of personal data in accordance with Section 9,
  7. to return and delete data after the end of the contract (§ 10).

§ 4 Confidentiality

  1. The processor ensures that all persons involved in the processing are obliged to maintain confidentiality or are subject to a legal duty of confidentiality.
  2. Access to personal data occurs on a need-to-know basis and is role-based.

§ 5 Technical and organizational measures (TOMs)

  1. The processor implements and maintains TOMs in accordance with Art. 32 GDPR.
  2. The TOMs are in Appendix 3 described. They can be developed further, provided the level of protection is not fallen below. The processor will notify you of any significant changes Upon request, inform those responsible in an appropriate form.

§ 6 Sub-processors

  1. The person responsible issues one general approval for the use of Sub-processors in accordance with Appendix 4.
  2. The processor informs the person responsible in text form about intended changes the sub-processor list (addition/replacement) with a Deadline for objection is 14 calendar days. If no objection is made within the deadline, the change is deemed to be valid approved.
  3. In the event of a justified objection (particularly if there is a demonstrable significant increase in the data protection risk), the parties will examine a reasonable alternative. Is an alternative If this is not possible, the person responsible can terminate the affected part of the service extraordinarily.
  4. The processor enters into contracts with sub-processors who: Data protection obligations of this AVV (in particular TOMs, confidentiality, support obligations) in terms of content depict.

§ 7 Third country transfers

  1. As far as sub-processors or processing operations involve transfer to third countries outside the EU/EEA, this only takes place in compliance with the legal requirements (e.g. B. adequacy decision or appropriate guarantees such as standard contractual clauses).
  2. Upon request, the processor will provide the controller with appropriate evidence of the data transfer mechanisms used.

§ 8 Obligations to support

  1. The processor supports the person responsible in accordance with Article 28 Paragraph 3 Letters e–f GDPR for:
    • the fulfillment of the rights of those affected (information, deletion, correction, restriction, data portability, objection),
    • compliance with Articles 32-36 GDPR (security, reports, DPIA, consultation).
  2. The person responsible remains responsible for the legal assessment and decision on the implementation Responsible for inquiries from those affected.
  3. Support services that go beyond the usual scope (e.g. extensive Export/filter requirements) can be paid for separately.

§ 9 Reporting of data protection violations

  1. The processor reports to the person responsible immediately upon knowledge one Breach of personal data protection affecting data of the controller.
  2. The report includes – where available – type of incident, affected data/categories, possible Consequences and actions taken/recommended.
  3. The processor documents data protection violations internally.

§ 10 Return and deletion after the end of the contract

  1. After completion of the processing activities, the processor gives the data controller the personal data in a suitable, technically standard format or deletes it Choice of person responsible, unless otherwise agreed.
  2. Standard: Deletion upon request within 30 days, so far there are no legal retention requirements.
  3. Backups: Data can be stored in backups up to regular overwriting/rotation remain; backup retention is by default 1 month. During the No productive processing of the data takes place during backup storage, except to the extent necessary Restore required.
  4. Details are in Appendix 5 described.

§ 11 Evidence, audits

  1. The processor provides the controller with the information available ready to provide evidence of compliance with this AVV (Art. 28 para. 3 lit. h GDPR).
  2. Audits/inspections must be carried out after prior notice with reasonable notice, at Safeguarding trade secrets and security requirements.
  3. On-site audits are only carried out if a document/remote audit is not sufficient and a legitimate one is There is interest. Audit costs can be charged based on effort, unless otherwise agreed.

§ 12 Liability

  1. Liability towards affected persons and supervisory authorities is based on the mandatory ones legal provisions of the GDPR; Contractual provisions cannot restrict these rights.
  2. In the internal relationship between the controller and the processor, the following applies - as far as legal permissible – the liability provisions of the main contract/terms and conditions, without any legal restrictions Minimum obligations.

§ 13 Final provisions

  1. This AVV supplements the main contract. In the event of contradictions, the terms specified in the main contract apply Ranking, whereby minimum data protection requirements must be adhered to with priority.
  2. Changes and additions to this AVV must be in text form, to the extent permitted by law.
  3. If individual provisions are ineffective, the rest of the contract remains valid.

Appendix 1 – Subject, type and purpose of processing; Length of time

  1. Object: Processing of personal data for provision, configuration, the operation and maintenance/further development of the digital ones commissioned by the person responsible Systems/services (software, web applications, AI chat/assistants, voice/telephone agents, Automations, integrations, analytics, hosting/operations/monitoring/support).
  2. Type of processing: Collecting, recording, organizing, storing, reading out, querying, transmitting, comparing, structuring, deleting; if necessary, transcription/language analysis, Generation of text/answers, scoring/classification – each according to instructions/product configuration.
  3. Purposes:
    • technical provision and functional execution,
    • communication/support,
    • Operational safety, error analysis and performance,
    • agreed analyses/audits/reports,
    • (for voice) call handling, recording/transcription, if commissioned.
  4. Duration: For the duration of the main contract; standard save and delete logic in accordance with § 10 / Appendix 5 (in particular: deletion on request within 30 days; backup storage 1 month; unless otherwise agreed).

Appendix 2 – Categories of data subjects and types of data

1. Categories of affected persons (typical, per project/directive)

  • Employees, contact persons and other users of the person responsible
  • Customers/interested parties/leads of the person responsible (B2B and possibly B2C, per project)
  • Website/app users of the controller
  • Caller/communication partner in voice/telephone systems
  • Other groups of people defined by the person responsible

2. Types of data (typical, per project/instruction)

  • Master data/contact data (name, email, telephone number, company, role/function)
  • Communication content (messages, emails, chat content)
  • Appointment/booking data (e.g. name, email, appointment requests, context information)
  • Audio recordings and transcripts (if commissioned/activated)
  • Usage/operational data and log data (if required for operation/security)
  • CRM/sales data (leads, status, notes), if ordered
  • Result data from analyses/scoring/classification (indicative, per use case)
  • Special categories according to Art. 9 GDPR: only if the person responsible does so project-related and a corresponding contractual/organizational safeguard (esp. Instructions, if necessary additional TOMs).

Appendix 3 – Technical and organizational measures (TOMs) according to Art. 32 GDPR

The measures are implemented in a risk-oriented manner and are continually reviewed/developed. (Excerpt from appropriate level of abstraction.)

1. Access control (physical)

  • Physical security of the data centers through the infrastructure/hosting providers used (Access rules, monitoring, access restrictions).
  • Access to your own work environments according to internal authorization requirements.

2. Access control (Auth)

  • Role-based access concepts for systems/environments.
  • Granting/revoking access according to the need-to-know principle.
  • Management of access data/keys separately from source code, as far as technically possible.

3. Access control (authorization)

  • Authorizations according to roles/functions (least privilege principle).
  • Separation of administrative access from standard access, where applicable.
  • Logging of administrative/technical security-related actions, where applicable.

4. Transfer control (transport)

  • Encrypted transmission (TLS) for web/API communication.
  • Transfers to third parties only to the extent necessary for the function and in accordance with the contract Integration (subcontract processing/transfer mechanisms).

5. Input control (traceability)

  • Logging relevant system events for error analysis, security and operations.
  • Traceability of changes/deployments as part of the operational processes, where applicable.

6. Availability control

  • Standard data backups, as far as Weros operates systems; Backup storage 1 month.
  • Protective measures against failures/misuse through monitoring/alerting and disruption processes.
  • Protection against malware/attacks through appropriate hardening, updating and operational measures, where applicable.

7. Separation requirement (client separation)

  • Logical separation of customer data/environments, where applicable (e.g. separate projects, data areas, access rights).
  • Access to customer data only as part of support/instructions.

8. Privacy-Friendly Presets/Data Minimization

  • Storage only to the extent necessary for function and operation; Configuration options per product (e.g. storage modes, recording/transcription options).
  • Standardized deletion logic (including deletion on request within 30 days; standard storage generally up to 1 year, unless otherwise agreed).

9. Handling security incidents

  • Internal process for detecting, assessing, containing and documenting incidents.
  • Immediate reporting of relevant data protection violations to the person responsible (§ 9 AVV).

Appendix 4 – Approved sub-processors (as of March 15, 2026)

The following sub-processors can be used - depending on the product/instructions:

  1. Hetzner (hosting/infrastructure, server operation)
  2. OpenAI (LLM/KI models; additional TTS if necessary per configuration)
  3. Anthropic (LLM/AI models; only if activated)
  4. Google (Gemini) (LLM/AI models; only if activated)
  5. Deepgram (Speech-to-Text / Transcription)
  6. ElevenLabs (Text to Speech)
  7. Telnyx (Telephony/CPaaS, phone numbers/call routing; if necessary, audio transport)

Note: The actual use depends on the product and project (instructions/configuration). Changes will be communicated in accordance with Section 6 AVV with a 14-day objection period.

Appendix 5 – Return/export and deletion concept

  1. Return/Export: Upon request, Weros will provide the person responsible with an export The data processed in the order is available in a technically standard format, provided this is the case is possible with reasonable effort and does not conflict with any rights of third parties. Scope/format can be specified on a project-related basis.
  2. Deletion:
    • Default: Delete on request within 30 days.
    • The person responsible can request deletion instead of return.
  3. Backups: Data can remain in backups until rotation (retention 1 month). Active processing does not take place in backups, except for Recovery in the event of a fault.
  4. Protocols/operational data: As far as operational/security logs are personal data contained and deletion is technically/organizationally possible, deletion will take place within the framework of the respective retention rules; legal obligations remain unaffected.

SLA – Service Level Addendum (optional, only if expressly commissioned)

Status: 15.03.2026

This SLA applies only, if the offer/contract explicitly specifies an SLA level (standard or Premium) was commissioned. Without an SLA, only the provisions of the main contract/terms and conditions apply (in particular no guaranteed ones availability).

§ 1 Scope and measurement object

  1. SLA services relate exclusively to those expressly stated in the offer Systems/Components (“SLA Services”).
  2. Availability refers to the availability of the SLA services beyond the agreed ones Interfaces (e.g. web/app/API) from a server/service layer perspective.

§ 2 Definitions

  1. Availability = (Total time – Downtime) / Total time per calendar month.
  2. Downtime = period during which the SLA service is due to a request from Weros cannot be used due to the error represented.
  3. Maintenance window = planned work, which will be announced in advance if possible; Maintenance windows do not count as downtime.

§ 3 SLA level

SLA standard

  1. Target availability: 99.5% per calendar month.
  2. Response times (confirmation of the fault / start of processing) – working days:
    • P1 (critical, service not usable): 1 working day
    • P2 (high, essential function impaired): 2 working days
    • P3 (medium, non-critical error): 5 working days
  3. Communication: Status updates at appropriate frequency depending on severity and complexity.

SLA Premium

  1. Target availability: 99.9% per calendar month.
  2. Response times – working days:
    • P1: same-day (working day), at latest 1 working day
    • P2: 1 working day
    • P3: 3 working days
  3. Prioritized processing towards non-SLA-bound support requests.

§ 4 Degrees of Severity

  • P1 Critical: complete failure or safety-related incident immediate business interruption.
  • P2 High: Core function disrupted, workaround may be possible to a limited extent.
  • P3 means: Error without significant operational interruption, workaround possible.
  • P4 Low: cosmetic/small issues, feature requests (not part of SLA).

§ 5 Exclusions (do not count as an SLA violation)

  1. Failures/demotions due to:
    • Third-party providers (AI/APIs/telephony/providers), unless Weros is responsible,
    • Incorrect operation/changes by the customer or third parties,
    • Network/provider problems outside of Weros' systems,
    • force majeure, security attacks beyond controllable limits.
  2. Scheduled maintenance windows (if announced where possible).
  3. Restrictions to avert danger (security measures), where necessary and proportionate.

§ 6 Backups / Restore (SLA-compliant)

  1. Backups are part of the services provided; Storage 1 month.
  2. It will no Fixed RPO/RTO guaranteed unless expressly written agreed. Restores are best effort and prioritized based on severity.

§ 7 Customer’s obligations to cooperate in the SLA context

For fault reports, the customer provides at least: time, affected function/endpoint, error pattern, reproducibility, if necessary logs/screenshots. Missing information can increase response/resolution times.

§ 8 Legal consequences if the SLA is not met

Unless expressly agreed otherwise, the legal consequences apply if the SLA is not met only in an appropriate manner Improvement/optimization. Service credits are only owed if explicitly stated in the offer are agreed.

§ 9 Ranking

In the event of a contradiction, this SLA takes precedence over the general support/operational regulations in the General Terms and Conditions, but only for those expressly recorded SLA services.

Sources/Links

  1. § 5 Digital Services Act (DDG) – Provider identification: https://www.gesetze-im-internet.de/ddg/__5.html
  2. Office of the Commissioner for Personal Data Protection (Cyprus): https://www.dataprotection.gov.cy/…

Switch to English Switch language Sprache Language
Zur Startseite
Startseite Home page Startseite Home page
Uns anrufen
Anrufen Call us Anrufen Call us
E-Mail schreiben
Mail schreiben Write an email Mail schreiben Write an email