Auftragsverarbeitungsvereinbarung (AVV)

§1 Gegenstand und Dauer der Verarbeitung

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Sinne von Art. 28 DSGVO.

Gegenstand der Verarbeitung ist die Bereitstellung und Nutzung der Software-Plattform OnRep AI einschließlich:

• Analyse der Online- und KI-Sichtbarkeit,
• Verarbeitung von Website-, Inhalts- und Reputationsdaten,
• Bereitstellung von Analyse- und Content-Funktionen,
• Support- und Beratungsleistungen (je nach gebuchtem Paket).

Die Verarbeitung erfolgt für die Dauer des jeweiligen Vertragsverhältnisses gemäß den AGB.

§2 Art und Zweck der Verarbeitung

Art der Verarbeitung:

• Erheben
• Speichern
• Strukturieren
• Analysieren
• Übermitteln (z. B. an beauftragte Subunternehmer)
• Löschen

Zweck der Verarbeitung ist ausschließlich:

• die vertragsgemäße Bereitstellung der Plattform,
• die Durchführung von Analysen,
• die Unterstützung des Auftraggebers bei Online-Reputation und KI-Sichtbarkeit,
• Support, Wartung und Weiterentwicklung der Plattform.

§3 Art der personenbezogenen Daten

Je nach Nutzung der Plattform werden insbesondere folgende Daten verarbeitet:

• Stammdaten (Name, Unternehmen, E-Mail-Adresse)
• Kontaktdaten
• Vertrags- und Abrechnungsdaten
• Nutzungs- und Protokolldaten
• eingegebene Webseiten-URLs
• Inhalte, Texte und Entwürfe, die durch den Auftraggeber eingegeben oder erzeugt werden
• Kommunikationsdaten (E-Mail, Support-Anfragen, WhatsApp – sofern genutzt)

§4 Kategorien betroffener Personen

• Mitarbeiter des Auftraggebers
• Ansprechpartner
• Kunden und Geschäftspartner des Auftraggebers
• sonstige vom Auftraggeber benannte Personen

§5 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers.

Weisungen ergeben sich insbesondere aus:

• dieser AVV,
• den AGB,
• der Nutzung der Plattform durch den Auftraggeber.

Erkennt der Auftragnehmer, dass eine Weisung gegen Datenschutzrecht verstößt, wird er den Auftraggeber unverzüglich informieren.

§6 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

• personenbezogene Daten ausschließlich im Rahmen der Weisungen zu verarbeiten,
• die Vertraulichkeit zu wahren,
• geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen,
• nur solche Mitarbeiter einzusetzen, die zur Vertraulichkeit verpflichtet sind,
• den Auftraggeber bei der Wahrung der Betroffenenrechte zu unterstützen,
• Datenschutzverletzungen unverzüglich mitzuteilen.

§7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer setzt angemessene TOMs ein, insbesondere:

• Zugriffsbeschränkungen (rollenbasiert)
• verschlüsselte Datenübertragung (TLS/SSL)
• sichere Authentifizierungsverfahren
• regelmäßige Sicherheits- und Systemupdates
• Trennung von Kundenumgebungen
• Protokollierung sicherheitsrelevanter Zugriffe

Eine detaillierte TOM-Übersicht kann auf Anfrage zur Verfügung gestellt werden.

§8 Einsatz von Unterauftragnehmern

Der Auftragnehmer ist berechtigt, Unterauftragnehmer einzusetzen (z. B. Hosting-, Cloud-, KI- oder Zahlungsdienstleister).

Aktuell eingesetzte Kategorien von Unterauftragnehmern:

• Hosting- und Serveranbieter
• KI-API-Anbieter (z. B. OpenAI)
• Zahlungsdienstleister (Stripe, PayPal, Klarna)
• E-Mail- und Kommunikationsdienste

Der Auftragnehmer stellt sicher, dass Unterauftragnehmer datenschutzrechtlich verpflichtet sind.

Der Auftraggeber erklärt sich mit dem Einsatz dieser Unterauftragnehmer einverstanden.

§9 Datenübermittlung in Drittländer

Eine Verarbeitung außerhalb der EU/des EWR kann erfolgen, sofern:

• geeignete Garantien gemäß Art. 44 ff. DSGVO bestehen (z. B. Standardvertragsklauseln).

Kundendaten werden nicht zum Training externer KI-Modelle verwendet.

§10 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber bei:

• Auskunftsersuchen
• Berichtigung
• Löschung
• Einschränkung der Verarbeitung
• Datenübertragbarkeit

im Rahmen der technischen Möglichkeiten und gegen angemessene Vergütung, sofern der Aufwand erheblich ist.

§11 Meldung von Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich über:

• Verletzungen des Schutzes personenbezogener Daten,
• Art der Verletzung,
• betroffene Datenkategorien,
• ergriffene Gegenmaßnahmen.

§12 Löschung und Rückgabe von Daten

Nach Beendigung des Vertragsverhältnisses bleibt das Konto des Auftraggebers zunächst bestehen. Auf Weisung des Auftraggebers werden personenbezogene Daten:

• gelöscht oder
• dem Auftraggeber auf Wunsch zur Verfügung gestellt,

sofern keine gesetzliche Aufbewahrungspflicht besteht.

Backups können zeitverzögert gelöscht werden.

§13 Kontrollrechte

Der Auftraggeber ist berechtigt, die Einhaltung dieser AVV zu überprüfen.

Audits erfolgen nur:

• nach vorheriger Ankündigung,
• während der Geschäftszeiten,
• unter Wahrung von Geschäfts- und Betriebsgeheimnissen.

§14 Haftung

Es gelten die Haftungsregelungen der AGB von OnRep AI / OnRep Consulting GmbH.

Eine darüberhinausgehende Haftung wird ausgeschlossen, soweit gesetzlich zulässig.

§15 Schlussbestimmungen

Diese AVV ist integraler Bestandteil der AGB.

Es gilt deutsches Recht.

Gerichtsstand ist Frankfurt am Main.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.