Vertrag zur Auftragsverarbeitung
Diese Vereinbarung nach Art. 28 DSGVO wird zwischen dir als Verantwortlichem (nachfolgend „Auftraggeber") und [[Firmierung]] als Auftragsverarbeiter (nachfolgend „vicini") geschlossen. Du stimmst ihr beim Anlegen deines Zugangs zu; sie gilt für die gesamte Dauer der Nutzung.
1. Gegenstand und Dauer
vicini erstellt im Auftrag des Auftraggebers Beiträge für dessen Social-Media- und Unternehmensprofile und veröffentlicht diese nach dessen Freigabe. Die Verarbeitung beginnt mit der Bereitstellung des Zugangs und endet mit dessen Beendigung.
2. Art und Zweck der Verarbeitung
Speicherung und Aufbereitung von Betriebsstammdaten und Bildmaterial, Erzeugung von Bild- und Textinhalten, Terminierung und Übermittlung freigegebener Beiträge an die vom Auftraggeber verbundenen Plattformen sowie Abruf und Darstellung der zugehörigen Kennzahlen.
3. Art der Daten
- Stammdaten des Betriebs (Name, Anschrift, Kontaktdaten, Öffnungszeiten, Sortiment, Preise)
- Zugangs- und Kontaktdaten der Nutzenden des Auftraggebers (E-Mail-Adresse, Passwort-Hashwert)
- Bildmaterial des Betriebs, einschließlich darauf gegebenenfalls erkennbarer Personen
- Inhalte von Kundenbewertungen einschließlich der dort angegebenen Verfassernamen
- Technische Kennungen der verbundenen Plattform-Konten sowie deren Kennzahlen
4. Kategorien betroffener Personen
Mitarbeitende und Inhaber des Auftraggebers, Gäste und Kunden des Auftraggebers, soweit sie auf Bildmaterial erkennbar sind oder Bewertungen verfasst haben.
5. Weisungsbindung
vicini verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten die Nutzung der Anwendung, die in ihr getroffenen Einstellungen sowie die Freigabe einzelner Beiträge. Hält vicini eine Weisung für rechtswidrig, wird sie ausgesetzt und der Auftraggeber unverzüglich informiert.
6. Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und in den Anforderungen des Datenschutzes unterwiesen.
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Transportverschlüsselung (TLS) für sämtliche Zugriffe auf die Anwendung
- Trennung der Daten verschiedener Auftraggeber auf Datenbankebene, technisch erzwungen und durch automatisierte Tests abgesichert
- Bildmaterial wird ausschließlich über authentifizierte, mandantengebundene Abrufwege ausgeliefert; für die Übergabe an die Plattformen werden kurzlebige, signierte Einmal-Adressen erzeugt
- Passwörter ausschließlich als Hashwert; Einladungs- und Freigabelinks einmalig verwendbar und zeitlich befristet
- Rollentrennung zwischen Betreiber- und Kundenzugängen; Zugriffe des Betreibers auf Kundendaten werden protokolliert
- Tägliche Sicherung von Datenbank und Bildmaterial mit erprobter Wiederherstellung
- Zugangsdaten zu Drittanbietern ausschließlich in geschützter Serverkonfiguration, nie im Quellcode
8. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Unterauftragsverarbeiter | Leistung | Ort |
|---|---|---|
| IONOS SE, Montabaur | Hosting, Datenbank, E-Mail-Versand | Deutschland |
| Zernio | Anbindung und Veröffentlichung auf den Plattformen, Kennzahlen | [[Region eintragen]] |
| Anthropic | Erzeugung der Beitragstexte | [[Region eintragen]] |
| fal.ai | Erzeugung von Bildhintergründen (nur bei Aktivierung) | [[Region eintragen]] |
Wechsel oder Ergänzungen teilt vicini mindestens [[14 / 30]] Tage vorher in Textform mit. Der Auftraggeber kann innerhalb dieser Frist widersprechen; in diesem Fall steht beiden Seiten ein Sonderkündigungsrecht zu.
9. Unterstützung des Auftraggebers
vicini unterstützt den Auftraggeber bei der Beantwortung von Betroffenenanfragen und bei Datenschutz-Folgenabschätzungen. Wendet sich eine betroffene Person direkt an vicini, wird sie an den Auftraggeber verwiesen.
10. Meldung von Verletzungen des Schutzes personenbezogener Daten
vicini meldet dem Auftraggeber jede Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, einschließlich der bekannten Umstände und der ergriffenen Maßnahmen.
11. Löschung und Rückgabe
Nach Beendigung löscht vicini die verarbeiteten Daten innerhalb von [[Frist eintragen, Vorschlag: 30]] Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Auftraggeber kann vor Ablauf dieser Frist die Herausgabe seiner Bilddateien und Beiträge verlangen.
12. Nachweise und Kontrollen
vicini weist die Einhaltung der Pflichten auf Anfrage in geeigneter Form nach. Vor-Ort- Kontrollen sind nach rechtzeitiger Ankündigung und während der üblichen Geschäftszeiten möglich.