Auftragsverarbeitungsvertrag

1. Gegenstand und Geltungsbereich

1. Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag und nach Weisung des Kunden bei der Bereitstellung der Plattform qoyaa gemäß Hauptvertrag.
2. Der AVV gilt insbesondere für Daten, die der Kunde über die Integrationen mit Odoo, WooCommerce, Shopware und Google Analytics 4 an die Plattform übermittelt, sowie für personenbezogene Daten, die in Inhalten der Website des Kunden oder in sonstigen Eingaben des Kunden enthalten sind.
3. Nicht Gegenstand dieses AVV sind Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist, insbesondere die Verwaltung der Kundenkonten und Teammitglieder, die Vertragsabwicklung, die Abrechnung sowie der Betrieb und die Sicherheit der Website. Hierfür gilt die Datenschutzerklärung.

2. Dauer

Der AVV gilt für die Laufzeit des Hauptvertrags. Er endet nicht vor Abschluss der Löschung oder Rückgabe aller im Auftrag verarbeiteten Daten nach Ziffer 12. Das Recht zur außerordentlichen Kündigung bleibt unberührt.

3. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Erfassen, Speichern, Ordnen, Auswerten, Abfragen, Darstellen, Übermitteln an Unterauftragsverarbeiter, Einschränken und Löschen von Daten zu den folgenden Zwecken:

4. Art der Daten

• Besuchsdaten aus Shop-Integrationen nach gemeldeter Einwilligung: pseudonyme Sitzungskennung, Einstiegsseite, Herkunft beziehungsweise KI-Quelle, Zeitpunkt, Einwilligungsstatus,
• Bestelldaten: Bestell- und Transaktionskennungen, Zahlungszeitpunkt, Beträge, Währung, Positionen, Erstattungen und der Bezug zur pseudonymen Sitzung; ausdrücklich keine Namen, Anschriften oder E-Mail-Adressen der Endkunden,
• Produkt- und Inhaltsdaten der freigegebenen Produkte, soweit diese personenbezogene Angaben enthalten,
• Analytics-Daten: zusammengefasste Tageswerte aus Google Analytics 4 wie Sitzungen, Sitzungen mit Schlüsselereignissen, Käufe und Umsatz, sowie die zugehörigen Zugriffstoken,
• Website-Inhalte der Domain des Kunden, soweit sie personenbezogene Daten enthalten, etwa Namen und Kontaktdaten in Impressum oder Teamseiten,
• Sonstige Eingaben des Kunden, soweit sie entgegen Ziffer 6.4 personenbezogene Daten enthalten, sowie in KI-Antworten genannte Personen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung.

5. Kategorien betroffener Personen

• Besucherinnen und Besucher sowie Käuferinnen und Käufer der Websites und Shops des Kunden,
• Personen, die auf der Website des Kunden oder in seinen Produktinhalten genannt werden,
• Personen, die in Antworten von KI-Assistenten auf Prompts des Kunden genannt werden.

6. Rechte und Pflichten des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Rechtsgrundlage der Übermittlung an den Anbieter, und für die Wahrung der Rechte der betroffenen Personen verantwortlich.
2. Der Kunde erteilt Weisungen grundsätzlich durch die Konfiguration der Plattform, etwa durch das Aktivieren, Einschränken und Trennen von Integrationen, die Freigabe von Produkten, Exporte und Löschaufträge. Weitere Weisungen erteilt er in Textform an Dennis Schott. Weisungsberechtigt sind die Owner und Admins des jeweiligen Teams.
3. Der Kunde stellt sicher, dass Besuchsdaten erst nach einer wirksamen Einwilligung über sein Consent-Management an die Integration gemeldet werden und dass ein Widerruf ebenfalls gemeldet wird.
4. Der Kunde gibt in Prompts, Markenprofile und Wettbewerbsangaben keine personenbezogenen Daten ein.
5. Der Kunde informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

7. Pflichten des Anbieters

1. Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Kunden unverzüglich darauf hin. Er kann die Ausführung der Weisung bis zur Bestätigung oder Änderung durch den Kunden aussetzen.
3. Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
4. Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Ziffer 8 und Art. 32 DSGVO.
5. Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen.
6. Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO.
7. Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
8. Ansprechpartner des Anbieters für den Datenschutz ist Dennis Schott.
9. Der Anbieter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen, und gibt sie nicht an Dritte weiter, soweit dies nicht zur Leistungserbringung nach diesem AVV erforderlich ist.

8. Technische und organisatorische Maßnahmen

Der Anbieter trifft insbesondere die folgenden Maßnahmen. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

Vertraulichkeit

• Betrieb der Anwendung, Datenbank und Sicherungen in den Rechenzentren des Hosting-Anbieters (Hetzner) mit dessen physischen Zutrittskontrollen,
• Anmeldung mit gehashten Passwörtern, optionaler Zwei-Faktor-Authentifizierung und Passkeys, Begrenzung von Anmeldeversuchen,
• rollenbasierte Berechtigungen je Team (Owner, Admin, Analyst, Mitglied, Nur lesen, Abrechnung) und Prüfung der Teamzugehörigkeit bei jedem Zugriff,
• logische Mandantentrennung: alle Projektdaten sind einem Team zugeordnet und nur für dessen Mitglieder abrufbar,
• Integrationsschlüssel werden nur als Hash, Zugriffstoken für Google Analytics 4 verschlüsselt gespeichert und nicht an Browser oder angebundene Systeme ausgegeben,
• administrativer Zugriff nur für berechtigtes Personal nach dem Prinzip der minimalen Rechte.

Integrität

• Verschlüsselung aller Verbindungen per TLS,
• Prüfung der Signatur eingehender Zahlungsereignisse und deren verschlüsselte Speicherung,
• Protokollierung sicherheitsrelevanter Änderungen im Team mit handelnder Person und Zeitpunkt,
• Prüfsummen für gespeicherte Originalantworten.

Verfügbarkeit und Belastbarkeit

• regelmäßige verschlüsselte Datensicherungen mit Wiederherstellungsprüfung,
• getrennte Verarbeitungswarteschlangen, damit einzelne Vorgänge den Betrieb nicht blockieren,
• Zeit- und Kostengrenzen für Anfragen an Drittanbieter.

Datenminimierung und Löschung

• Shop-Integrationen übermitteln keine Namen, Anschriften oder E-Mail-Adressen von Endkunden; Besuche werden erst nach gemeldeter Einwilligung erfasst,
• Prompts und Projektangaben für Prompt-Vorschläge werden ohne Konto- oder Personendaten an KI-Anbieter übermittelt,
• automatisierte Löschfristen nach Ziffer 12,
• Löschungen werden in einem Löschjournal festgehalten und bei einer Wiederherstellung aus Sicherungen erneut angewendet.

Überprüfung

• regelmäßige Überprüfung der Maßnahmen und Sicherheitsprüfungen bei Änderungen der Anwendung,
• Verfahren zur Meldung und Bearbeitung von Datenschutzvorfällen.

9. Unterauftragsverarbeiter

1. Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Bei Vertragsschluss sind die folgenden Unterauftragsverarbeiter genehmigt:

2. KI-Anbieter erhalten für Messungen den Text der Prompts und technische Suchparameter. Für Prompt-, Profil- und Wettbewerbervorschläge erhalten sie außerdem Produktkategorie, Unternehmensprofil, Markennamen, Domain, bestehende Prompts und Meta-Angaben der Startseite. Für vom Kunden angeforderte Umsetzungsvorschläge werden zusätzlich die betreffende Aufgabe, Messbefunde, Quellenhinweise sowie ausgewählte Auszüge aus erfassten eigenen Webseiten, Inhaltsentwürfen und KI-Antworten übermittelt. Diese Inhalte können personenbezogene Angaben enthalten, wenn solche Angaben in den Eingaben oder erfassten Inhalten vorkommen. Konto- und Abrechnungsdaten werden nicht als solche mitgesendet.
3. Der Anbieter informiert den Kunden mindestens 30 Tage vorher in Textform über beabsichtigte Änderungen bei Unterauftragsverarbeitern. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.
4. Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den Pflichten aus diesem AVV im Wesentlichen entsprechen. Erfolgt die Verarbeitung außerhalb der EU oder des EWR, stellt er die Einhaltung der Art. 44 ff. DSGVO sicher.
5. Keine Unterauftragsverarbeitung im Sinne dieser Ziffer sind Leistungen, die der Kunde selbst beauftragt, insbesondere Google Analytics 4, Odoo, WooCommerce und Shopware, sowie Nebenleistungen wie Telekommunikationsdienste.

10. Unterstützung bei Betroffenenrechten

1. Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO. Hierfür stehen insbesondere die Export-, Trenn- und Löschfunktionen der Plattform zur Verfügung.
2. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst, soweit der Kunde nichts anderes anweist.

11. Nachweise und Kontrollen

1. Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen.
2. Der Kunde ist berechtigt, Überprüfungen einschließlich Inspektionen durch sich oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchzuführen, der nicht in einem Wettbewerbsverhältnis zum Anbieter steht. Inspektionen sind mit einer Frist von mindestens 14 Tagen anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören.
3. Die Prüfung kann sich auf die Räumlichkeiten von Unterauftragsverarbeitern nur nach deren Bedingungen erstrecken; deren Prüfberichte und Nachweise können eine eigene Inspektion ersetzen.

12. Löschung und Rückgabe

1. Während der Vertragslaufzeit löscht der Anbieter die Daten automatisiert nach den folgenden Fristen:

2. Trennt der Kunde eine Google-Analytics-4-Verbindung, löscht der Anbieter die Zugriffstoken und die importierten Werte. Löschaufträge für Projekte und Teams führt der Anbieter nach einer Wartezeit von 24 Stunden aus, in der der Kunde den Auftrag zurücknehmen kann.
3. Vor Vertragsende kann der Kunde seine Daten über die Exportfunktion als CSV abrufen. Damit ist die Rückgabe der Daten erfüllt. Nach Vertragsende löscht der Anbieter die im Auftrag verarbeiteten Daten, soweit nicht eine Pflicht zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats besteht.
4. Daten in Datensicherungen werden im regulären Sicherungszyklus nach spätestens 35 Tagen überschrieben. Bis dahin sind sie gegen Zugriff geschützt und werden bei einer Wiederherstellung erneut gelöscht.
5. Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

13. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags, soweit nicht zwingende gesetzliche Vorschriften entgegenstehen.

14. Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor.
2. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Für Änderungen gilt § 14 der AGB entsprechend.
3. Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An ihre Stelle tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.
4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der im Hauptvertrag vereinbarte Gerichtsstand.