Auftragsverarbeitungsvertrag (AVV) für XHANA

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV”) ist Anlage 1 der Allgemeinen Geschäftsbedingungen für den Dienst „XHANA” der XHAUER Media GmbH, Stephansplatz 8/20, 1010 Wien, FN 571965 a („Auftragsverarbeiter” oder „Anbieter”) und wird mit Vertragsschluss nach Ziffer 3 der AGB integraler Vertragsbestandteil. Vertragspartner ist der jeweilige Kunde („Verantwortlicher” oder „Kunde”). Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien, soweit der Anbieter bei der Erbringung des Dienstes personenbezogene Daten im Auftrag des Kunden verarbeitet.

§ 1 Gegenstand und Dauer

1.1 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden zur Erbringung des Dienstes XHANA gemäß den AGB. Sie umfasst die KI-gestützte Erstellung und Veröffentlichung von LinkedIn-Beiträgen auf Basis der vom Kunden übermittelten Inhalte sowie bei aktivierter Analytics-Funktion den Abruf, die Speicherung und Auswertung von Leistungsdaten zu den Beiträgen und zum Profil des Kunden und die Bereitstellung von Berichten und Optimierungsvorschlägen nach Maßgabe von Ziffer 4.4 der AGB.

1.2 Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsvertrags (einschließlich einer Testphase). Die Pflichten aus § 10 (Löschung und Rückgabe) bestehen über das Vertragsende hinaus fort.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

2.1 Art und Zweck der Verarbeitung: Entgegennahme, Speicherung und Auswertung der vom Kunden übermittelten Inhalte; Transkription von Sprachnachrichten; Analyse übermittelter Bilder und Dokumente; Erstellung und Pflege eines Kundenprofils zur Personalisierung („Second Brain”); KI-gestützte Erstellung von Beitragsentwürfen; Versand und Empfang von Nachrichten über die WhatsApp Business Platform; Veröffentlichung freigegebener Beiträge über die LinkedIn-Schnittstelle; Speicherung und Auswertung von Leistungsdaten zu den Beiträgen und zum Profil des Kunden über die LinkedIn-Schnittstelle und deren Darstellung in der Web-Anwendung sowie in einem wöchentlichen Bericht über WhatsApp (Ziffer 4.4 der AGB); Planung und Verwaltung von Beiträgen in der Web-Anwendung; Protokollierung von Freigaben. Der Kunde weist den Anbieter an, personenbezogene Daten aus den im Rahmen des Dienstes verarbeiteten Inhalten, die nach Maßgabe von Ziffer 6.4 der AGB für Zwecke der internen Dienstverbesserung oder des Trainings, der Feinabstimmung oder Evaluation eigener oder intern betriebener Modelle aufbereitet werden sollen, als letzten Verarbeitungsschritt der Auftragsverarbeitung vollständig und unwiderruflich zu anonymisieren; dieser Vertrag gilt insoweit als Dokumentation der Weisung gemäß Art. 28 Abs. 3 lit. a DSGVO. Die Weisung bezieht sich ausschließlich auf die für diese Zwecke angefertigte oder technisch abgeleitete Datenbasis und bewirkt keine Anonymisierung oder Löschung der zur laufenden Vertragserfüllung weiterhin erforderlichen Original- und Kundendaten. Die Anonymisierung selbst erfolgt noch als Auftragsverarbeitung. Erst die daraus resultierenden anonymen Daten, bei denen kein Personenbezug im Sinne des Erwägungsgrunds 26 DSGVO mehr besteht, verarbeitet der Anbieter außerhalb dieses Vertrags in eigener Verantwortung zu den in Ziffer 6.4 der AGB genannten Zwecken. Zusätzlich werden vor einer solchen Verwendung unmittelbare und mittelbare Kundenbezüge sowie kundenspezifische vertrauliche Informationen und Geschäftsgeheimnisse nach Maßgabe von Ziffer 6.4 der AGB entfernt, abstrahiert oder transformiert. Diese Maßnahmen dienen dem vertraglichen Geheimnisschutz und sind von der datenschutzrechtlichen Anonymisierung zu unterscheiden. Das in Ziffer 6.4 der AGB geregelte Opt-out des Kunden gilt als Widerruf dieser Weisung mit Wirkung für die Zukunft. Ab Zugang des Widerspruchs unterbleibt die weitere Anonymisierung und Aufbereitung von Daten dieses Kunden zu den dort geregelten Trainings- und Verbesserungszwecken. Der Anbieter dokumentiert das Anonymisierungsverfahren, insbesondere die eingesetzten Methoden, Tests und die Bewertung des Re-Identifizierungsrisikos, und stellt dem Kunden die Dokumentation auf Anfrage gemäß § 11 zur Verfügung.

2.2 Kategorien personenbezogener Daten: Kontakt- und Identifikationsdaten (Name, WhatsApp-Telefonnummer, LinkedIn-Profilbezug); Kommunikationsinhalte (Textnachrichten, Sprachnachrichten und deren Transkripte, Bilder, Dokumente/PDFs, Chat-Verläufe); Profildaten des Kunden („Second Brain” : beruflicher Hintergrund, Erfahrungen, Meinungen, Anekdoten, Sprachstil, Geschäftskontext); Beitragsdaten (Entwürfe, Freigaben, Veröffentlichungszeitpunkte, veröffentlichte Beiträge); Zugangs- und Berechtigungsdaten für die Veröffentlichung und bei aktivierter Analytics-Funktion für den Abruf von Leistungsdaten (LinkedIn-OAuth-Token und erteilte Berechtigungen); Leistungsdaten von LinkedIn (Kennzahlen zu Beiträgen und Profil des Kunden, z. B. Impressionen, Reaktionen, Kommentare, Follower-Zahl; zu anderen LinkedIn-Mitgliedern ausschließlich zusammengefasste Zahlenwerte ohne Inhalte und Profildaten); aus den Leistungsdaten erstellte Berichte und Optimierungsvorschläge, soweit personenbezogen; technische Nutzungs- und Protokolldaten (Zeitstempel, Zustellstatus, Verarbeitungsprotokolle); in den übermittelten Inhalten enthaltene Daten Dritter (z. B. in Erzählungen erwähnte Personen).

2.3 Kategorien betroffener Personen: der Kunde selbst bzw. dessen Inhaber; Mitarbeiter und sonstige Nutzer des Kunden; Dritte, deren Daten in den übermittelten Inhalten enthalten sind (z. B. Mitarbeiter, Geschäftspartner, Kunden des Kunden, erwähnte Personen).

2.4 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der beauftragten Verarbeitung; Ziffer 2.5 der AGB gilt entsprechend. Der Dienst verarbeitet übermittelte Inhalte automatisiert und ohne inhaltliche Unterscheidung nach Datenkategorien; enthält oder offenbart ein übermittelter Inhalt gleichwohl besondere Kategorien personenbezogener Daten, kann er daher systembedingt in die Verarbeitung nach § 2.1 – einschließlich Transkription, Kundenprofil („Second Brain") und Beitragsentwürfen – einfließen. Der Anbieter nimmt jedoch keine auf die besondere Kategorie als solche gerichtete Auswertung, Kategorisierung oder Nutzung vor (insbesondere keine Profilbildung anhand von Gesundheitsdaten, politischen Meinungen, religiösen Überzeugungen oder vergleichbaren Merkmalen), die über die vertragsgemäße Leistungserbringung hinausgeht; für das Training eigener Modelle nach § 2.1 werden Inhalte, die als solche Daten erkannt wurden, nicht verwendet. Soweit derartige Inhalte den Kunden selbst betreffen und von ihm bewusst zur Leistungserbringung übermittelt wurden, gilt ihre Verarbeitung im Rahmen des Dienstes als von seiner Weisung umfasst. Erkennt der Anbieter im Rahmen der normalen Leistungserbringung, dass übermittelte Inhalte besondere Kategorien personenbezogener Daten Dritter enthalten, informiert er den Kunden unverzüglich in Textform; der Kunde erteilt bereits jetzt die dokumentierte Weisung (Art. 28 Abs. 3 lit. a DSGVO), solche erkannten Daten Dritter unverzüglich zu löschen bzw. aus dem Kundenprofil zu entfernen, soweit er nicht im Einzelfall binnen 5 Werktagen eine abweichende dokumentierte Weisung erteilt. Eine allgemeine proaktive Prüf- oder Überwachungspflicht des Anbieters besteht nicht. Der Anbieter dokumentiert derartige Vorfälle (Zeitpunkt, betroffene Inhalte in kategorialer Form, ergriffene Maßnahmen) und unterstützt den Kunden gemäß § 8 bei dessen Pflichten aus Art. 32 bis 36 DSGVO. Die Verantwortung für die Zulässigkeit der Übermittlung solcher Daten und für das Vorliegen einer Ausnahme nach Art. 9 Abs. 2 DSGVO liegt beim Kunden als Verantwortlichem.

§ 3 Weisungsrecht des Kunden

3.1 Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall informiert er den Kunden vor der Verarbeitung über diese Anforderungen, sofern das betreffende Recht dies nicht verbietet.

3.2 Die AGB, dieser AVV sowie die Nutzung der Funktionen des Dienstes durch den Kunden (insbesondere Übermittlung von Inhalten, Freigaben, Planungs- und Löschaktionen) gelten als dokumentierte Weisungen. Ergänzende Einzelweisungen bedürfen der Textform.

3.3 Ist der Anbieter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Kunden unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

§ 4 Vertraulichkeit

Der Anbieter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass sie die Daten nur auf Weisung verarbeiten. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen (TOMs)

5.1 Der Anbieter trifft die in Anhang A beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und passt sie der technischen Entwicklung fortlaufend an. Ein Absenken unter das vereinbarte Schutzniveau ist unzulässig.

5.2 Der Kunde ist für die Sicherheit seiner eigenen Systeme und Zugänge (insbesondere WhatsApp-Konto, LinkedIn-Konto, Zugangsdaten zur Web-Anwendung) selbst verantwortlich.

§ 6 Unterauftragsverarbeiter

6.1 Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die zum Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anhang B aufgeführt.

6.2 Der Anbieter informiert den Kunden über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens 14 Tage vor deren Wirksamwerden in Textform (z. B. per E-Mail oder über die Web-Anwendung). Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund binnen dieser Frist von 14 Tagen widersprechen. Im Fall des Widerspruchs sind beide Parteien berechtigt, den Nutzungsvertrag zum Wirksamkeitstermin der Änderung zu kündigen, wenn keine zumutbare Abhilfe möglich ist.

6.3 Der Anbieter erlegt Unterauftragsverarbeitern durch Vertrag dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, soweit diese Pflichten auf die dem jeweiligen Unterauftragsverarbeiter konkret übertragenen Verarbeitungstätigkeiten anwendbar sind. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für dessen Pflichterfüllung nach Maßgabe des Art. 28 Abs. 4 DSGVO.

6.4 Keine Unterauftragsverarbeiter im Sinne dieses AVV sind: die Digistore24 GmbH (eigener Verantwortlicher für die Zahlungsabwicklung, Ziffer 7 der AGB) sowie LinkedIn im Rahmen des eigenen Nutzungsverhältnisses des Kunden zu LinkedIn. LinkedIn ist Empfänger der vom Kunden nach Ziffern 4.2 und 5 der AGB einzeln freigegebenen Beiträge und bei aktivierter Analytics-Funktion Quelle der Leistungsdaten nach Ziffer 4.4 der AGB. Der OAuth-Prozess erteilt ausschließlich die technischen Zugriffsberechtigungen; er ersetzt nicht die gesonderte ausdrückliche Freigabe eines Beitrags zur Veröffentlichung.

§ 7 Verarbeitung in Drittländern

7.1 Die Verarbeitung findet im EWR sowie, durch die in Anhang B genannten Unterauftragsverarbeiter, in Drittländern (insbesondere USA) statt.

7.2 Übermittlungen in Drittländer erfolgen nur bei Vorliegen eines Angemessenheitsbeschlusses (insbesondere EU-US Data Privacy Framework für zertifizierte Empfänger) oder geeigneter Garantien gemäß Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln, ggf. mit ergänzenden Maßnahmen). Die je Unterauftragsverarbeiter einschlägigen Mechanismen ergeben sich aus Anhang B.

§ 8 Unterstützung des Kunden

8.1 Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO: insbesondere Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) zu beantworten. Anträge, die unmittelbar beim Anbieter eingehen, leitet er unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

8.2 Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).

8.3 Aufwände für Unterstützungsleistungen, die über ein übliches Maß hinausgehen oder auf Umständen aus der Sphäre des Kunden beruhen, kann der Anbieter nach Aufwand zu angemessenen Sätzen in Rechnung stellen.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich nach Kenntniserlangung, spätestens jedoch innerhalb von 48 Stunden, in Textform an die vom Kunden hinterlegte Kontaktadresse. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; Informationen können schrittweise nachgereicht werden. Die Meldung an die Aufsichtsbehörde und betroffene Personen ist Sache des Kunden.

§ 10 Löschung und Rückgabe

10.1 Nach Beendigung des Nutzungsvertrags löscht der Anbieter nach Wahl des Kunden alle im Auftrag verarbeiteten personenbezogenen Daten (inklusive Kundenprofil und Inhaltsdaten) oder gibt sie dem Kunden in einem gängigen, maschinenlesbaren Format zurück und löscht anschließend vorhandene Kopien. Die Wahl trifft der Kunde durch Weisung in Textform bis spätestens 30 Tage nach Vertragsende; bis dahin kann er eine getroffene Wahl ändern. Ohne fristgerechte Weisung gilt Löschung als gewählt. Die Löschung erfolgt innerhalb von 90 Tagen durch protokollierte Löschanweisungen und erfasst auch Sicherungskopien nach Maßgabe des turnusmäßigen Backup-Zyklus gemäß Anhang A Nr. 6; bis zur vollständigen Löschung bzw. Rückgabe gewährleistet der Anbieter weiterhin die Einhaltung dieses AVV und verarbeitet die Daten nicht mehr aktiv. Auf Anfrage bestätigt der Anbieter dem Kunden die erfolgte Löschung in Textform. Gesetzliche Aufbewahrungspflichten nach Unions- oder Mitgliedstaatenrecht bleiben unberührt; insoweit wird die Verarbeitung eingeschränkt. Sprachnachrichten und PDF-Dateien werden im eigenen aktiven Dateispeicher des Anbieters nicht dauerhaft aufbewahrt; zur Verarbeitung vorübergehend vorhandene Dateien werden unmittelbar nach Abschluss der Verarbeitung verworfen. Erstellte Transkripte und Zusammenfassungen werden als Inhaltsdaten nach den vorstehenden Regeln behandelt. Bild- und Video-Uploads werden 30 Tage nach Upload aus dem aktiven Medienspeicher entfernt. Das Rückgabewahlrecht bezieht sich insoweit nur auf noch vorhandene Dateien; für Sicherungskopien gelten die vorstehenden Löschregeln und für vorübergehende Speicherung bei Unterauftragsverarbeitern § 10.2. Für von LinkedIn abgerufene Leistungsdaten sowie daraus abgeleitete Berichte und Auswertungen gelten ergänzend folgende Regeln: Nach Widerruf der hierfür erforderlichen Zugriffsberechtigungen, einem Löschverlangen des Kunden oder Beendigung des Nutzungsvertrags werden der weitere Abruf und die laufende Auswertung unverzüglich eingestellt. Ein bei LinkedIn erklärter Widerruf wird beim nächsten automatisierten Abruf erkannt (in der Regel binnen eines Tages); die betreffenden Daten werden dann unverzüglich gelöscht. Auf Löschverlangen des Kunden werden sie binnen 14 Tagen gelöscht, nach Beendigung des Nutzungsvertrags mit den übrigen Daten innerhalb der Frist nach Satz 4. Ein bestehendes gesetzliches Rückgabewahlrecht bleibt unberührt; bei verlangter Rückgabe werden die Daten vor der Löschung in einem gängigen, maschinenlesbaren Format bereitgestellt. Die allgemeine 90-Tage-Frist stellt für LinkedIn-Leistungsdaten keine zulässige Mindestspeicherdauer dar: Die jeweils einschlägigen kürzeren Speicher- und Löschfristen der LinkedIn-Bedingungen sind einzuhalten, soweit zwingendes Recht nicht entgegensteht. Der Anbieter dokumentiert die für die eingesetzten Datenkategorien maßgeblichen Fristen und setzt sie auch für Kopien, zwischengespeicherte Daten und personenbezogene oder kundenbezogene Ableitungen um. Dies umfasst die Veranlassung der Löschung bei eingesetzten Unterauftragsverarbeitern und die Behandlung von Sicherungskopien; gelöschte Daten dürfen bei einer Wiederherstellung nicht erneut in die aktive Verarbeitung gelangen. Bereits an den Kunden zugestellte Berichte in dessen eigenen Systemen oder WhatsApp-Konto unterliegen seiner Verfügung und werden vom Anbieter nicht aus diesen Systemen gelöscht. Zwingende gesetzliche Aufbewahrungspflichten bleiben unberührt; insoweit werden die betreffenden Daten gesperrt und nur für den gesetzlichen Aufbewahrungszweck verarbeitet.

10.2 Bei den Unterauftragsverarbeitern nach Anhang B gelten deren vertraglich zugesagte Löschfristen (bei den KI-Anbietern nach deren Geschäftskunden-Bedingungen: standardmäßig Löschung der Ein- und Ausgaben binnen 30 Tagen; kein Einsatz der Daten zum Modell-Training).

§ 11 Nachweise und Kontrollen

11.1 Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Hierzu dienen vorrangig aktuelle Selbstauskünfte, Zertifikate und Berichte (auch der Unterauftragsverarbeiter).

11.2 Der Kunde kann darüber hinaus Überprüfungen, auch Inspektionen, durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Anbieter stehenden Prüfer durchführen lassen. Überprüfungen erfolgen mit angemessener Vorankündigung (mindestens 14 Tage), zu üblichen Geschäftszeiten und höchstens einmal jährlich. Bei konkretem Anlass – insbesondere (i) einer Verletzung des Schutzes personenbezogener Daten nach § 9, (ii) einer die Auftragsverarbeitung betreffenden Anordnung oder Untersuchung einer Datenschutz-Aufsichtsbehörde oder (iii) konkreten Anhaltspunkten für einen wesentlichen Verstoß gegen diesen AVV – gelten das Jahres-Limit und die 14-Tage-Frist nicht; in diesen Fällen genügt eine angemessene, kurze Vorankündigung. Überprüfungen dürfen den Geschäftsbetrieb nicht unangemessen stören; eigene Aufwände trägt jede Partei selbst.

§ 12 Haftung

Für die Haftung der Parteien aus diesem AVV gelten die Regelungen der Ziffer 12 der AGB. Die zwingende Haftung nach Art. 82 DSGVO im Außenverhältnis zu betroffenen Personen bleibt unberührt; die Beschränkungen regeln ausschließlich den Innenregress zwischen den Parteien.

§ 13 Schlussbestimmungen

13.1 Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in datenschutzrechtlichen Fragen vor.

13.2 Es gilt das Recht der Republik Österreich; Gerichtsstand ist Wien (Ziffer 14 der AGB).

13.3 Änderungen dieses AVV richten sich nach Ziffer 13 der AGB.

Anhang A: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Verschlüsselung: Sämtliche Datenübertragungen zwischen den Systemkomponenten sowie zu Unterauftragsverarbeitern (WhatsApp Business Platform, KI-Schnittstellen, Datenbank, Web-Anwendung, Medien-Speicher) erfolgen transportverschlüsselt (TLS 1.2+); Datenbankverbindungen der Verarbeitungs-Infrastruktur sind auf verschlüsselte Verbindungen beschränkt. Die zentrale Datenhaltung (Datenbank) ist at rest verschlüsselt (AES-256); der Medien-Speicher nutzt serverseitige Verschlüsselung (AES-256). Die Orchestrierungs-Infrastruktur läuft auf Servern in ISO-27001-zertifizierten Rechenzentren in Deutschland; dort temporär anfallende Verarbeitungsdaten werden durch Zugriffskontrollen (Nr. 2) geschützt und regelmäßig bereinigt (Nr. 5, Nr. 7). Eine Pseudonymisierung der Inhaltsdaten erfolgt aufgrund der Natur des Dienstes (personalisierte Inhalts-Erstellung) nicht; kompensierend wirken Zugriffsbeschränkung (Nr. 2) und mandantenbezogene Trennung (Nr. 3). Zugangsschlüssel für die LinkedIn-Schnittstelle werden zusätzlich verschlüsselt in der Datenbank gespeichert.

2. Zutritts-, Zugangs- und Zugriffskontrolle: Zugriff auf Produktionssysteme nur für autorisierte Personen (CEO, COO und AI Product and Growth); Authentifizierung mit Zwei–Faktor–Authentifizierung für Hosting, Datenbank, Orchestrierung; rollenbasierte Zugriffe in der Web–Anwendung (Login via Einmalpasswort per WhatsApp); Zugriffe auf Kundendaten nur zu Support– und Betriebszwecken.

3. Trennungskontrolle: Die Daten aller Kunden werden logisch getrennt über eine durchgängige konto-bezogene Datenhaltung (account-basierte Zuordnung in sämtlichen Tabellen) verarbeitet. Der Datenbank-Zugriff ist auf allen Tabellen durch Row Level Security abgesichert; für nicht authentifizierte Zugriffe bestehen keine Freigaben, und der API-Zugriff auf Kundendaten ist auf berechtigte interne Nutzer beschränkt. Die Kunden-Web-Anwendung beschränkt jeden Zugriff serverseitig auf das Konto der authentifizierten Sitzung. Eine Vermischung von Daten verschiedener Verantwortlicher ist somit durch mandantenbezogene Zuordnung, Row Level Security und serverseitige Zugriffskontrollen technisch verhindert beziehungsweise auf ein angemessenes Restrisiko reduziert.

4. Weitergabekontrolle: Übermittlung an Unterauftragsverarbeiter ausschließlich über deren Geschäftskunden-Schnittstellen auf Basis abgeschlossener Auftragsverarbeitungsverträge; kein Einsatz von Consumer-Diensten der KI-Anbieter; keine Nutzung der Kundendaten zum Training von Modellen externer Anbieter; ein Training eigener Modelle erfolgt ausschließlich mit vollständig anonymisierten Daten nach Maßgabe von Ziffer 6.4 der AGB (§ 2.1).

5. Eingabekontrolle / Protokollierung: Wesentliche Verarbeitungsschritte werden protokolliert: Nachrichtenverläufe und Zustellstatus, Freigaben und Veröffentlichungen von Beiträgen, KI-Verarbeitungsläufe (Metadaten ohne Inhaltsdaten), Änderungen an Systemvorgaben sowie sämtliche schreibenden Zugriffe über das interne Dashboard (mit Nutzer-Zuordnung). Vertragsrelevante Zustimmungen der Kunden werden mit Zeitstempel und Dokumentversion protokolliert. Technische Ausführungsprotokolle der Verarbeitungs-Infrastruktur werden automatisiert nach 7 Tagen bereinigt; für die übrigen Protokolle gelten dokumentierte Aufbewahrungsfristen. Vorfälle im Umgang mit besonderen Kategorien personenbezogener Daten (§ 2.4) werden mit Zeitpunkt, Datenkategorie und ergriffenen Maßnahmen protokolliert.

6. Verfügbarkeitskontrolle: Die zentrale Datenhaltung wird täglich automatisiert gesichert; die Hosting-Infrastruktur wird durch den Hosting-Anbieter täglich automatisiert gesichert (verschlüsselte Backups). Die Workflow-Konfiguration der Verarbeitungs-Infrastruktur ist zusätzlich versioniert extern gesichert. Wiederherstellungsverfahren sind in einem internen Runbook dokumentiert. Die Systemverfügbarkeit wird durch externes Uptime-Monitoring mit Alarmierung überwacht.

7. Löschkonzept: Nach Beendigung des Nutzungsvertrags werden die im Auftrag verarbeiteten Inhaltsdaten (Konversationen, Kundenprofil, Beiträge, Materialien, Zugriffstoken) nach Maßgabe des § 10.1 innerhalb von 90 Tagen durch eine automatisierte, protokollierte Löschroutine entfernt; ein zuvor ausgeübtes Rückgabewahlrecht wird berücksichtigt. Verbleibende Konto-Datensätze werden anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sprachnachrichten und PDF-Dateien werden im eigenen aktiven Dateispeicher nicht dauerhaft aufbewahrt; vorübergehend vorhandene Dateien werden unmittelbar nach Abschluss der Verarbeitung verworfen. Transkripte und Zusammenfassungen werden als Inhaltsdaten behandelt. Bild- und Video-Uploads werden 30 Tage nach Upload aus dem aktiven Medienspeicher entfernt. Für LinkedIn-Leistungsdaten, daraus abgeleitete Berichte und Auswertungen sowie ihre Kopien gelten ergänzend die besonderen Löschanlässe und Fristen nach § 10.1. Die Löschprozesse erfassen auch Zwischenspeicher und Sicherungskopien nach Maßgabe des § 10.1; bei einer Wiederherstellung wird die erneute aktive Verarbeitung bereits gelöschter Daten verhindert. Für Speicherungen bei Unterauftragsverarbeitern gilt ergänzend § 10.2, bei LinkedIn-Leistungsdaten unter Beachtung der besonderen Vorgaben des § 10.1. Technische Ausführungsprotokolle werden nach 7 Tagen bereinigt (Nr. 5). Für sonstige Metadaten ohne Inhaltsbezug und gesetzlich aufbewahrungspflichtige Unterlagen gelten die dokumentierten Aufbewahrungsfristen; diese dürfen die besonderen Löschvorgaben für LinkedIn-Leistungsdaten nicht umgehen.

8. Organisatorische Maßnahmen: Alle mit der Verarbeitung befassten Personen sind schriftlich zur Vertraulichkeit verpflichtet und in die datenschutzgerechte Nutzung der Systeme eingewiesen; dies umfasst das Verbot, Kundendaten in Consumer-Dienste von KI-Anbietern einzugeben. Der Anbieter führt ein Verzeichnis von Verarbeitungstätigkeiten, unterhält dokumentierte Prozesse für die Meldung von Datenschutzverletzungen (§ 9) und die Unterstützung bei Betroffenenanfragen (§ 8) sowie ein internes Störfall-Runbook, und stellt seinen Kunden Informationsmaterial zur Funktionsweise und zu den Grenzen des eingesetzten KI-Systems bereit.

9. Technisch-organisatorische Maßnahmen beim Mobilen Arbeiten: Beim mobilen Arbeiten (Remote Work) sowie bei der Datenverarbeitung im Homeoffice gelten zur Risikominimierung ergänzend folgende verpflichtende Schutzmaßnahmen:

• Gerätesicherheit & Speicherverbot: Die Datenverarbeitung erfolgt ausschließlich auf dienstlich bereitgestellten Endgeräten mit aktivierter Festplatten- und Datenträgerverschlüsselung. Eine Speicherung oder Verarbeitung von Kundendaten auf privaten Endgeräten (Bring Your Own Device) sowie in privaten Cloud-Speichern ist strikt untersagt.
• Zugangs- & Blickschutz: Sämtliche Zugriffe auf Produktionssysteme, Datenbanken und Verwaltungsoberflächen setzen eine obligatorische Multi-Faktor-Authentifizierung (MFA) voraus. Der mobile Arbeitsplatz ist so einzurichten, dass eine Einsichtnahme in den Bildschirm durch unbefugte Dritte (z. B. in der Öffentlichkeit oder durch Familienangehörige im Haushalt) durch Blickschutzfilter, geeignete Raumkonstellationen sowie automatische Bildschirmsperren bei Abwesenheit ausgeschlossen ist.
• Netzwerksicherheit: Die Einwahl in Unternehmenssysteme und die elektronische Übertragung personenbezogener Daten aus mobilen Umgebungen erfolgen ausnahmslos über abgesicherte, verschlüsselte Verbindungen (TLS 1.2+ / VPN).
• Papierlose Verarbeitung & Entsorgung: Im Rahmen des mobilen Arbeitens werden grundsätzlich keine Papierdokumente mit Kundendaten erstellt. Sollte dies in Ausnahmefällen unumgänglich sein, sind die Unterlagen vor unbefugtem Zugriff geschützt zu verwahren und nach Abschluss der Bearbeitung datenschutzkonform (gemäß DIN 66399) zu vernichten.

Anhang B: Unterauftragsverarbeiter (Stand: 03.11.2026)

1. Anthropic PBC

• Sitz: San Francisco, USA
• Leistung: KI-Textgenerierung (Beitragsentwürfe, Konversationsführung, Dokument-Zusammenfassung), KI-gestützte Support-, Fehler- und Betriebsanalysen auf Einzelfallbasis sowie – ausschließlich im nach Ziffer 4.4 der AGB zulässigen Umfang – Formulierung des wöchentlichen Leistungsberichts und von Optimierungsvorschlägen aus den hierfür erforderlichen zusammengefassten Wochenkennzahlen. Die Analytics-Verarbeitung dient der Berichtserstellung für den jeweiligen Kunden, nicht dem Training von Modellen des Unterauftragsverarbeiters.
• Verarbeitungsort: USA / EWR-Infrastruktur
• Transfermechanismus: Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 2/3) ergänzt durch ein durchgeführtes Transfer Impact Assessment (TIA) sowie ergänzende technische Maßnahmen (Transport- und Rest-Verschlüsselung, Verbot der Nutzung für Modell-Training).

2. OpenAI Ireland Ltd (Konzern: OpenAI OpCo, LLC, USA)

• Sitz: Dublin, Irland
• Leistung: Transkription von Sprachnachrichten, Bildanalyse, KI-Textgenerierung (u. a. Ausfallsicherung, Themen-/Fragenvorschläge)
• Verarbeitungsort: EWR-Vertragspartner ist OpenAI Ireland Ltd; Verarbeitung auch in den USA
• Transfermechanismus: EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) gemäß OpenAI-DPA (§ 4.1, Fassung 01.01.2026), inklusive Transfer Impact Assessment; EWR-Vertragspartner ist OpenAI Ireland Ltd. Da der Anbieter gegenüber dem Kunden Auftragsverarbeiter ist und OpenAI als Subauftragsverarbeiter eingesetzt wird, ist SCC-Modul 3 (Processor-to-Processor) maßgeblich (vgl. Schedule 1 Ziff. 8.1 des OpenAI-DPA: Modul 2 bei Kunde als Verantwortlicher, Modul 3 bei Kunde als Auftragsverarbeiter). Kein DPF-Teilnehmer (Registerprüfung 24.08.2026).

3. Meta Platforms Ireland Limited

• Sitz: Merrion Road, Dublin 4, D04 X2K5, Irland
• Leistung: WhatsApp Business Platform Cloud API; Hosting, Übermittlung und Empfang der Kundennachrichten (Text, Sprachnachrichten, Bilder, Metadaten) sowie Übermittlung von Analytics-Berichten im nach Ziffer 4.4 der AGB zulässigen Umfang, andernfalls von Benachrichtigungen über in der Web-Anwendung verfügbare Berichte.
• Verarbeitungsort: Meta-Rechenzentren in EU (Irland, Schweden, Dänemark) und USA; Nachrichten max. 30 Tage, at rest verschlüsselt
• Transfermechanismus: Weitergabe an Meta Platforms, Inc. (USA) auf Basis des EU-US Data Privacy Framework (aktiv zertifiziert), hilfsweise EU-Standardvertragsklauseln gemäß Meta Global Processor Terms

4. WhatsApp Ireland Limited

• Sitz: c/o Meta Platforms Ireland Ltd, Merrion Road, Dublin 4, Irland
• Leistung: WhatsApp Business Services (Business-Konto, Nachrichtenzustellung im WhatsApp-Netzwerk), einschließlich der Zustellung von Analytics-Berichten oder Benachrichtigungen nach Maßgabe von Ziffer 4.4 der AGB.
• Verarbeitungsort: EU und USA (WhatsApp LLC / Meta-Rechenzentren)
• Transfermechanismus: EU-US Data Privacy Framework (WhatsApp LLC: aktiv, Re-Zertifizierung fällig 23.01.2027); hilfsweise EU-Standardvertragsklauseln Modul 3 gemäß WhatsApp Business Data Transfer Addendum

5. Supabase Pte. Ltd.

• Sitz: 65 Chulia Street, OCBC Centre, Singapur 049513
• Leistung: Managed PostgreSQL-Datenbank, Auth und Storage (Backend der Web-App und des Dashboards), einschließlich Speicherung und Bereitstellung der Analytics-Leistungsdaten und Berichte nach Maßgabe von Ziffer 4.4 der AGB und § 10.1 dieses AVV.
• Verarbeitungsort: primär AWS eu-west-3 (Paris, Frankreich); Support-/Monitoring-Zugriffe durch Supabase, Inc. (USA) und weitere US-Subprozessoren möglich
• Transfermechanismus: EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) i. V. m. einem Transfer Impact Assessment (TIA). Zu den kompensierenden Zusatzmaßnahmen gehören: serverseitige Verschlüsselung ruhender Daten mit AES-256“, strikte Zugriffsbeschränkungen für Support-Personal über Bastion-Hosts mit MFA sowie zeitenbasierte Session-Protokollierung.

6. ELESTIO LIMITED

• Sitz: 66 Fitzwilliam Square, Dublin 2, D02 AT27, Irland (CRN 755058)
• Leistung: Managed Hosting der Orchestrierungs- und Anwendungs-Infrastruktur (VMs, Backups, Monitoring)
• Verarbeitungsort: vom Anbieter gewählte Provider-Region: Deutschland; Management-Infrastruktur auf AWS (Irland) und Hetzner (Deutschland)
• Transfermechanismus: Sitz und Verarbeitung in EU/EWR; für etwaige Drittland-Transfers EU-Standardvertragsklauseln (Processor-to-Processor) gemäß Elestio-DPA

7. Uploadcare Inc.

• Sitz: 2711 Centerville Road, Wilmington, DE 19808, USA
• Leistung: Datei-Upload, Bildverarbeitung und CDN-Auslieferung (Medien für Beiträge)
• Verarbeitungsort: USA (AWS); Auslieferung über weltweites CDN (Akamai/CloudFront/Fastly); keine EU-Storage-Option im Standardangebot
• Transfermechanismus: EU-US Data Privacy Framework (aktiv inkl. UK-/Swiss-Extension, geprüft 24.08.2026; Re-Zertifizierung fällig 23.10.2026); ergänzend EU-Standardvertragsklauseln inkl. UK-IDTA im Uploadcare-DPA