Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Pflichten zwischen dem im Hauptvertrag bezeichneten Kunden als Verantwortlichem beziehungsweise Auftragsverarbeiter („Kunde“) und SENDER ENERGY UG (haftungsbeschränkt) als Auftragsverarbeiter beziehungsweise Unterauftragsverarbeiter („CGOS“).
Der AVV wird elektronischer Bestandteil des Hauptvertrags, wenn CGOS personenbezogene Daten im Auftrag des Kunden verarbeitet und dieser AVV im Bestellprozess oder in den Vertragsunterlagen einbezogen wird.
1. Gegenstand, Dauer, Art und Zweck
| Merkmal | Beschreibung |
|---|---|
| Gegenstand | Bereitstellung, Betrieb und Support von Creative Growth OS einschließlich Speicherung, Strukturierung, Generierung, Analyse, Export und integrationsbezogener Verarbeitung von Kundendaten |
| Dauer | Laufzeit des Hauptvertrags zuzüglich der zur Rückgabe, Löschung, Sicherung und Erfüllung gesetzlicher Pflichten erforderlichen Zeit |
| Art der Verarbeitung | Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Einschränken, Löschen und Vernichten |
| Zweck | Vertragliche Bereitstellung der vom Kunden gewählten CGOS-Funktionen, insbesondere Konto- und Teamverwaltung, Produkt- und Creative-Workflows, KI-gestützte Erstellung, Meta-Import, Testauswertung, Learnings, Empfehlungen und Support |
2. Datenarten und betroffene Personen
Betroffene Personen können insbesondere Beschäftigte, Teammitglieder, Ansprechpartner, Kunden, Interessenten, Lieferanten, Testimonials, abgebildete Personen, Zielgruppenangehörige und sonstige Personen sein, deren Daten der Kunde in CGOS verarbeitet.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten über strafrechtliche Verurteilungen sollen nicht verarbeitet werden, sofern dies nicht vorher ausdrücklich vereinbart, dokumentiert und technisch sowie rechtlich abgesichert wurde.
- Stamm-, Kontakt-, Berufs-, Unternehmens- und Organisationsdaten
- Account-, Rollen-, Authentifizierungs-, Sitzungs- und Nutzungsdaten
- Produkt-, Marken-, Content-, Bild-, Text-, Prompt- und Creative-Daten
- Werbekonto-, Kampagnen-, Anzeigen-, Leistungs-, Conversion- und Integrationsdaten
- Kommunikations-, Support-, Fehler- und Protokolldaten
- sonstige vom Kunden eigenverantwortlich eingebrachte Daten
3. Weisungen
CGOS verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Verpflichtung zur Verarbeitung besteht. Hauptvertrag, AVV, Konfigurationen und vom Kunden ausgelöste Funktionen gelten als dokumentierte Weisungen.
Hält CGOS eine Weisung für datenschutzrechtswidrig, informiert CGOS den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen. Mündliche Weisungen sind vom Kunden unverzüglich in Textform zu bestätigen.
4. Pflichten von CGOS
- Einsatz nur solcher Personen, die zur Vertraulichkeit verpflichtet und datenschutzrechtlich unterwiesen sind
- Umsetzung angemessener technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO
- Unterstützung bei Betroffenenrechten, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen im erforderlichen Umfang
- unverzügliche Weiterleitung von Betroffenenanfragen, soweit eine Zuordnung zum Kunden möglich ist
- Führung der gesetzlich erforderlichen Verzeichnisse und Bereitstellung erforderlicher Informationen
- keine Verarbeitung für eigene, mit der Weisung unvereinbare Zwecke
5. Technische und organisatorische Maßnahmen
Die Maßnahmen werden entsprechend dem Stand der Technik und dem Risiko weiterentwickelt. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.
- verschlüsselte Übertragung über TLS und Nutzung der Verschlüsselungsfunktionen der eingesetzten Infrastruktur
- passwortgeschützte, serverseitig validierte Authentifizierung, gehashte Passwörter, zeitlich begrenzte Setup- und Reset-Links sowie serverseitige Sitzungsverwaltung
- rollen- und mandantenbezogene Autorisierung mit Zugriff nur im erforderlichen Umfang
- Schutz vor automatisierten Anmelde- und Reset-Versuchen durch dauerhafte Begrenzungs- und Missbrauchsschutzmechanismen
- Protokollierung sicherheitsrelevanter Vorgänge sowie technische Fehler- und Verfügbarkeitsüberwachung
- regelmäßige Aktualisierung, Schwachstellenbehandlung und kontrollierte Änderungen am Produktivsystem
- Datensicherung, Wiederanlauf- und Verfügbarkeitsmaßnahmen der eingesetzten Infrastrukturpartner
- Datenminimierung, zweckbezogene Aufbewahrung, Lösch- und Sperrprozesse sowie Trennung von Produktiv-, Entwicklungs- und Testzwecken
- vertragliche und risikobezogene Prüfung eingesetzter Dienstleister
6. Unterauftragnehmer
Der Kunde erteilt CGOS eine allgemeine Genehmigung zum Einsatz der in der aktuellen Dienstleister- und Unterauftragnehmerliste bezeichneten Unterauftragnehmer.
CGOS informiert über beabsichtigte wesentliche Ergänzungen oder Ersetzungen, soweit gesetzlich erforderlich, über die registrierte Kontaktadresse oder innerhalb der Anwendung. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können die Parteien keine zumutbare Lösung finden, kann die betroffene Leistung beendet werden.
CGOS verpflichtet Unterauftragnehmer vertraglich auf ein diesem AVV entsprechendes Datenschutzniveau und bleibt gegenüber dem Kunden für die Erfüllung der Pflichten verantwortlich.
7. Drittlandübermittlungen
Verarbeitungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO. CGOS nutzt je nach Empfänger Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework, EU-Standardvertragsklauseln und erforderliche ergänzende Maßnahmen.
Der Kunde erteilt CGOS die Weisung, solche Übermittlungen vorzunehmen, soweit sie zur Nutzung der im Hauptvertrag gewählten Funktionen erforderlich und in der Unterauftragnehmerliste transparent gemacht sind.
8. Meldung von Datenschutzverletzungen
CGOS informiert den Kunden unverzüglich, sobald CGOS eine Verletzung des Schutzes personenbezogener Daten feststellt, die Kundendaten betrifft. Die Mitteilung enthält die verfügbaren Informationen zu Art, Umfang, betroffenen Daten, wahrscheinlichen Folgen und ergriffenen oder vorgeschlagenen Maßnahmen.
Der Kunde bleibt für Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen verantwortlich, soweit er Verantwortlicher ist. CGOS unterstützt ihn angemessen.
9. Unterstützung und Betroffenenrechte
CGOS unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie bei Pflichten nach Art. 32 bis 36 DSGVO.
Ein außergewöhnlicher, nicht durch die vertragliche Standardfunktion abgedeckter Aufwand kann nach vorheriger Abstimmung angemessen vergütet werden, soweit die Unterstützung nicht durch eine Pflichtverletzung von CGOS verursacht wurde.
10. Rückgabe und Löschung
Nach Ende des Hauptvertrags löscht oder anonymisiert CGOS personenbezogene Kundendaten nach Wahl beziehungsweise Weisung des Kunden und nach Maßgabe der technischen Export- und Löschfunktionen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
Daten in Sicherungen werden im regulären Sicherungszyklus überschrieben oder bis dahin gesperrt und nicht für andere Zwecke verarbeitet. Der Kunde exportiert benötigte Daten vor Vertragsende.
11. Nachweise und Kontrollen
CGOS stellt dem Kunden auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung. Der Kunde darf nach angemessener Vorankündigung und unter Wahrung von Vertraulichkeit sowie Betriebs- und Sicherheitsinteressen Prüfungen selbst oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer durchführen.
Vorrangig werden vorhandene Zertifikate, Prüfberichte, Dokumentationen und standardisierte Auskünfte genutzt. Vor-Ort-Prüfungen erfolgen nur, soweit diese Nachweise nicht ausreichen und ein berechtigter Anlass besteht.
12. Pflichten des Kunden
- rechtmäßige Verarbeitung, transparente Information und Wahrung der Betroffenenrechte
- Erteilung rechtmäßiger, eindeutiger Weisungen und Beschränkung auf erforderliche Daten
- sichere Konfiguration von Konten, Rollen und Integrationen
- keine Verarbeitung besonderer Kategorien ohne vorherige Vereinbarung
- unverzügliche Information über erkennbare Datenschutz- oder Sicherheitsrisiken
13. Rangfolge und Schlussbestimmungen
Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieses AVV für die Auftragsverarbeitung den AGB vor. Im Übrigen gelten Hauptvertrag und AGB.
Änderungen dieses AVV bedürfen der Textform. Es gilt deutsches Recht. Die Haftung richtet sich nach dem Hauptvertrag, soweit Art. 82 DSGVO oder andere zwingende Vorschriften nichts Abweichendes bestimmen.