Auftragsverarbeitungsvertrag

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Code Angels Unipessoal, Lda. („Auftragsverarbeiter“, „wir“) und dem Geschäftskunden, der adRobin nutzt („Verantwortlicher“, „Sie“). Er gilt, soweit wir im Rahmen der Erbringung des Dienstes personenbezogene Daten in Ihrem Auftrag verarbeiten, gemäß Artikel 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“).

Er gilt nicht für personenbezogene Daten, die wir als Verantwortlicher verarbeiten, etwa die Konto- und Rechnungsdaten Ihrer Nutzer. Diese Verarbeitung ist in der Datenschutzerklärung beschrieben.

2. Einzelheiten der Verarbeitung

• Gegenstand und Zweck: die Erbringung des Dienstes. Dazu gehören die Speicherung und Verarbeitung der von Ihnen bereitgestellten Inhalte, die Generierung von Marketinginhalten und Analysen mithilfe künstlicher Intelligenz, die Veröffentlichung auf den von Ihnen verbundenen Social-Media-Konten, die Erhebung von Leistungskennzahlen sowie der Support.
• Dauer: die Laufzeit des Vertrags zuzüglich der in den Nutzungsbedingungen festgelegten Frist für Export und Löschung.
• Art der Verarbeitung: Hosting, Speicherung, Organisation, Anpassung, Übermittlung an KI-Modellanbieter und soziale Plattformen, Abfrage, Löschung.
• Arten personenbezogener Daten: alle personenbezogenen Daten, die in Kundeninhalten enthalten sind. Dazu können Namen, Bilder und Abbildungen von Personen, Kontaktdaten, geschäftliche Informationen über Personen sowie Inhalte von Nachrichten und Anweisungen gehören.
• Kategorien betroffener Personen: Ihre Beschäftigten und Mitarbeitenden, Ihre Kunden und Interessenten sowie alle Personen, die in den von Ihnen hochgeladenen Inhalten erscheinen.
• Besondere Kategorien: nicht vorgesehen. Sie dürfen keine besonderen Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen hochladen, es sei denn, dies ist unbedingt erforderlich und rechtmäßig. Tun Sie dies dennoch, sind Sie dafür verantwortlich, dass eine gültige Rechtsgrundlage besteht.

3. Unsere Pflichten

Wir werden:

• personenbezogene Daten ausschließlich auf Ihre dokumentierte Weisung verarbeiten. Die Nutzungsbedingungen, Ihre Konfiguration des Dienstes und Ihre Nutzung seiner Funktionen gelten als Ihre Weisungen. Wir informieren Sie, wenn eine Weisung unseres Erachtens gegen Datenschutzvorschriften verstößt;
• gewährleisten, dass sich alle zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben;
• die in Abschnitt 9 beschriebenen technischen und organisatorischen Maßnahmen umsetzen;
• die Bedingungen in Abschnitt 5 für die Inanspruchnahme von Unterauftragsverarbeitern einhalten;
• Sie unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anträgen betroffener Personen sowie bei der Erfüllung Ihrer Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation unterstützen;
• Sie unverzüglich, nach Möglichkeit innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die Ihre Daten betrifft, mit den zu diesem Zeitpunkt verfügbaren Informationen benachrichtigen;
• nach Beendigung des Dienstes die personenbezogenen Daten gemäß den Nutzungsbedingungen löschen oder zurückgeben, sofern wir nicht gesetzlich zu ihrer Aufbewahrung verpflichtet sind;
• Ihnen die Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und Überprüfungen gemäß Abschnitt 8 ermöglichen.

4. Ihre Pflichten

Sie sind verantwortlich für:

• die Rechtmäßigkeit der Verarbeitung und Ihrer Weisungen;
• das Vorliegen einer Rechtsgrundlage für die personenbezogenen Daten in Kundeninhalten, einschließlich der Einwilligungen oder Genehmigungen der auf Bildern gezeigten Personen;
• die gesetzlich vorgeschriebene Information der betroffenen Personen.

5. Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern. Die derzeitigen Unterauftragsverarbeiter sind in Anhang 1 aufgeführt. Wir informieren Sie mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters per E-Mail oder in der App. Sie können innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Können wir den Einspruch nicht ausräumen, können Sie den betroffenen Dienst kündigen und erhalten eine Erstattung für den noch nicht genutzten, im Voraus bezahlten Zeitraum.

Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und bleiben für deren Erfüllung verantwortlich.

6. Internationale Datenübermittlungen

Einige Unterauftragsverarbeiter verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums. Jede solche Übermittlung stützt sich auf einen Angemessenheitsbeschluss (einschließlich des EU-US-Datenschutzrahmens für zertifizierte Empfänger) oder auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln, erforderlichenfalls mit zusätzlichen Maßnahmen.

7. Anbieter künstlicher Intelligenz

An KI-Modellanbieter übermittelte Inhalte werden ausschließlich zur Erstellung der von Ihnen angeforderten Ergebnisse verwendet. Sofern der Anbieter diese Option bietet, wählen wir Konfigurationen, die eine Verwendung Ihrer Inhalte zum Training seiner Modelle nicht zulassen.

8. Überprüfungen

Wir beantworten angemessene schriftliche Fragen zur Einhaltung unserer Pflichten und stellen die einschlägige Dokumentation bereit. Reicht dies zum Nachweis der Einhaltung nicht aus, können Sie auf eigene Kosten höchstens einmal pro Jahr eine Überprüfung durchführen, oder jederzeit, wenn eine Aufsichtsbehörde dies verlangt. Die Überprüfung wird von einem unabhängigen, zur Vertraulichkeit verpflichteten Prüfer mit einer Ankündigungsfrist von mindestens 30 Tagen durchgeführt, ohne unseren Betrieb zu stören oder die Sicherheit anderer Kunden zu gefährden.

9. Sicherheitsmaßnahmen

• Verschlüsselung der Daten bei der Übertragung (TLS). Verschlüsselung ruhender Daten, soweit von den Hosting- und Datenbankanbietern angeboten.
• Zugriff auf Produktivsysteme nur für befugtes Personal nach dem Need-to-know-Prinzip, mit Zwei-Faktor-Authentifizierung für administrative Zugriffe.
• Logische Trennung der Daten jedes Kunden. Zugriffskontrollen in der Anwendung.
• Protokollierung von Zugriffen und administrativen Handlungen.
• Regelmäßige Sicherungskopien und Wiederherstellungsverfahren.
• Schutz vor automatisierten Angriffen und Missbrauch, einschließlich Ratenbegrenzung und Bot-Schutz.
• Aktualisierung von Systemen und Abhängigkeiten sowie Überprüfung sicherheitsrelevanter Änderungen.
• Verfahren zur Erkennung von und Reaktion auf Sicherheitsvorfälle.

10. Haftung und Vorrang

Die Haftungsbeschränkungen der Nutzungsbedingungen gelten, soweit gesetzlich zulässig, auch für diesen AVV. Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen in Bezug auf personenbezogene Daten hat dieser AVV Vorrang.

Anhang 1: Unterauftragsverarbeiter