Vertrag über die Auftragsverarbeitung (AVV)

§ 1 Gegenstand, Umfang und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SocialEdge-Software, der Optimierung und laufenden Betreuung von Google-Unternehmensprofilen sowie der im Hauptvertrag vereinbarten Support-, Analyse- und Kommunikationsleistungen.

(2) Gegenstand, Art, Zweck und Umfang der Verarbeitung, die Kategorien personenbezogener Daten, die Kategorien betroffener Personen, die Verarbeitungshäufigkeit und die zulässigen Verarbeitungsorte sind in Anlage 1 beschrieben. Die Anlagen sind Bestandteil dieser Vereinbarung.

(3) Die Verarbeitung beginnt frühestens mit Wirksamwerden dieser Vereinbarung und endet, wenn alle auftragsbezogenen personenbezogenen Daten nach Maßgabe von § 11 gelöscht oder zurückgegeben wurden. Die datenschutzrechtlichen Pflichten, die ihrer Natur nach fortgelten, insbesondere Vertraulichkeit, Nachweis- und Löschpflichten, bleiben bis zu ihrer vollständigen Erfüllung bestehen.

§ 2 Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dies gilt auch für Übermittlungen in ein Drittland oder an eine internationale Organisation. Die anfänglichen Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung, Anlage 1 und den vom Verantwortlichen freigegebenen Funktionen der SocialEdge-Software.

(2) Weitere Weisungen erfolgen über freigegebene Funktionen der Software oder in Textform durch die in Anlage 4 benannten weisungsbefugten Personen. Mündliche Weisungen sind vom Verantwortlichen unverzüglich in Textform zu bestätigen. Der Auftragsverarbeiter dokumentiert wesentliche Weisungen.

(3) Ist der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer nicht angewiesenen Verarbeitung verpflichtet, informiert er den Verantwortlichen vor der Verarbeitung über diese Rechtspflicht, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er darf die Umsetzung einer offensichtlich rechtswidrigen Weisung bis zu deren Bestätigung, Änderung oder rechtlicher Klärung aussetzen.

(5) Weisungen, die den vereinbarten Leistungsumfang wesentlich erweitern, können nach vorheriger Information über den Aufwand gesondert vergütet werden. Gesetzlich geschuldete Mindestleistungen dieser AVV bleiben unberührt.

§ 3 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Erhebung, Verarbeitung und Bereitstellung der personenbezogenen Daten, die Rechtmäßigkeit seiner Weisungen, die Erfüllung der Informationspflichten sowie die Wahrung der Rechte betroffener Personen verantwortlich.

(2) Der Verantwortliche beschränkt die bereitgestellten Daten auf das für die beauftragten Zwecke Erforderliche und übermittelt keine Zugangspasswörter, Gesundheits-, Patienten-, Strafdaten oder andere besonders schutzbedürftige Daten, soweit dies nicht zuvor ausdrücklich vereinbart und durch zusätzliche Schutzmaßnahmen abgesichert wurde.

(3) Da Rezensionen, Freitexte oder Anhänge unbeabsichtigt besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten nach Art. 10 DSGVO enthalten können, stellt allein ihr unaufgefordertes Auftreten keine vereinbarte planmäßige Verarbeitung solcher Daten dar. Die Parteien stimmen das weitere Vorgehen unverzüglich ab; Daten werden bis dahin nur gesichert, beschränkt und nicht zu anderen Zwecken ausgewertet.

(4) Der Verantwortliche benennt weisungs- und kontrollberechtigte Personen, hält deren Kontaktdaten aktuell und informiert den Auftragsverarbeiter unverzüglich über erkennbare Fehler, Datenschutzverletzungen oder Unregelmäßigkeiten.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet Daten nur im vertraglich vereinbarten Umfang und verwendet sie nicht für eigene Werbung, Profilbildung, den Verkauf von Daten oder das Training eigener oder fremder allgemeiner KI-Modelle.

(2) Der Auftragsverarbeiter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und über die für ihre Aufgaben erforderlichen Datenschutz- und Sicherheitsvorgaben unterrichtet wurden. Zugriffe werden nach dem Erforderlichkeitsprinzip vergeben.

(3) Der Auftragsverarbeiter führt, soweit gesetzlich erforderlich, ein Verzeichnis der im Auftrag ausgeübten Verarbeitungstätigkeiten und arbeitet mit der zuständigen Aufsichtsbehörde zusammen.

(4) Der Auftragsverarbeiter gewährleistet, dass Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf dokumentierte Weisung verarbeiten, sofern keine gesetzliche Verarbeitungspflicht besteht.

(5) Personenbezogene oder vertrauliche Kundendaten dürfen nur über die in Anlage 3 freigegebenen geschäftlichen API- oder Unternehmenslösungen verarbeitet werden. Eine Eingabe in private, kostenlose oder nicht für die Verarbeitung freigegebene KI-Oberflächen, insbesondere persönliche ChatGPT-, Claude- oder Gemini-Konten, ist untersagt.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft vor Beginn der Verarbeitung und während ihrer Dauer geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die bei Vertragsschluss vereinbarten Maßnahmen ergeben sich aus Anlage 2 in der dort angegebenen Fassung.

(2) Die Maßnahmen berücksichtigen den Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken für betroffene Personen.

(3) Der Auftragsverarbeiter darf die Maßnahmen an die technische Entwicklung anpassen, sofern das vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Wesentliche, das Risiko erhöhende Änderungen werden dem Verantwortlichen vorab oder, wenn dies aus Sicherheitsgründen nicht möglich ist, unverzüglich nachträglich mitgeteilt.

(4) Der Verantwortliche bestätigt mit Abschluss dieser Vereinbarung, dass er die in Anlage 2 beschriebenen Maßnahmen unter Berücksichtigung der eigenen Verarbeitung und Risiken geprüft hat und sie zum Zeitpunkt des Vertragsschlusses für angemessen hält.

§ 6 Unterstützung und Betroffenenrechte

(1) Erhält der Auftragsverarbeiter einen Antrag einer betroffenen Person, beantwortet er ihn nicht selbst, sondern leitet ihn unverzüglich an den Verantwortlichen weiter, sofern er nicht ausdrücklich zur Beantwortung ermächtigt wurde.

(2) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und sonstigen Betroffenenrechten.

(3) Unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Risikoanalysen, Datenschutz-Folgenabschätzungen, vorheriger Konsultation und Sicherheitsnachweisen.

(4) Der Auftragsverarbeiter stellt die zur Erfüllung dieser Pflichten vorhandenen Informationen ohne unangemessene Verzögerung bereit. Außergewöhnlicher Zusatzaufwand außerhalb der gesetzlich geschuldeten Mindestunterstützung darf nach vorheriger Abstimmung angemessen vergütet werden.

§ 7 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden über den in Anlage 4 genannten Meldeweg. Eine Meldung darf nicht bis zum Abschluss der internen Untersuchung aufgeschoben werden.

(2) Die Meldung enthält, soweit jeweils verfügbar: Art und Zeitpunkt des Vorfalls, betroffene Systeme, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, bereits ergriffene oder vorgeschlagene Maßnahmen, die Datenschutzkontaktstelle und den Stand der Untersuchung. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

(3) Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Eindämmung, Beweissicherung, Ursachenanalyse und Vermeidung weiterer Schäden, dokumentiert den Vorfall und unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten.

(4) Die Entscheidung, ob eine Meldung an eine Aufsichtsbehörde oder Benachrichtigung betroffener Personen erforderlich ist, obliegt dem Verantwortlichen, soweit SocialEdge im konkreten Vorgang Auftragsverarbeiter ist.

§ 8 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter für die dort genannten Tätigkeiten einzusetzen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Kalendertage vor der erstmaligen Beauftragung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Die Information enthält mindestens Name, Anschrift oder Sitz, Zweck der Verarbeitung, Datenkategorien, Verarbeitungsort und gegebenenfalls den Mechanismus für Drittlandübermittlungen.

(3) Der Verantwortliche kann innerhalb dieser Frist aus wichtigem, nachvollziehbar datenschutzrechtlichem Grund widersprechen. Die Parteien bemühen sich um eine angemessene Alternative. Ist keine zumutbare Alternative möglich, kann der Verantwortliche die konkret betroffene Leistung vor Einsatz des neuen Unterauftragsverarbeiters außerordentlich beenden; weitergehende gesetzliche Rechte bleiben unberührt.

(4) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu im Wesentlichen denselben Datenschutzpflichten. Er bleibt gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten durch den Unterauftragsverarbeiter voll verantwortlich und informiert über erhebliche Pflichtverletzungen.

(5) Auf Verlangen stellt der Auftragsverarbeiter Informationen über die Unterbeauftragung und, soweit erforderlich, eine Kopie der einschlägigen Datenschutzregelungen zur Verfügung. Geschäftsgeheimnisse, Sicherheitsdetails und personenbezogene Daten Dritter dürfen angemessen geschwärzt werden.

§ 9 Drittlandübermittlungen

(1) Drittlandübermittlungen erfolgen ausschließlich auf dokumentierte Weisung und unter Einhaltung von Kapitel V DSGVO. Die pauschale Bezeichnung „DPF/SCC“ ersetzt nicht die Prüfung des im Einzelfall tatsächlich anwendbaren Transfermechanismus.

(2) Soweit ein Empfänger wirksam nach dem EU-US Data Privacy Framework zertifiziert ist und die konkrete Verarbeitung von der Zertifizierung erfasst wird, kann die Übermittlung hierauf gestützt werden. Andernfalls werden insbesondere die jeweils geltenden EU-Standardvertragsklauseln, erforderliche Transfer-Folgenabschätzungen und angemessene ergänzende Maßnahmen eingesetzt.

(3) Der Auftragsverarbeiter dokumentiert den eingesetzten Transfermechanismus und stellt dem Verantwortlichen auf Anfrage die erforderlichen Nachweise zur Verfügung, soweit dem keine gesetzlichen, sicherheitsbezogenen oder vertraglichen Geheimhaltungspflichten entgegenstehen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind. Vorrangig können aktuelle TOM-Dokumentationen, Zertifikate, Prüfberichte, Selbstauskünfte und Auszüge aus Unterauftragsvereinbarungen verwendet werden.

(2) Der Verantwortliche darf selbst oder durch einen unabhängigen, fachkundigen und zur Vertraulichkeit verpflichteten Prüfer angemessene Kontrollen durchführen. Vor-Ort-Prüfungen sind grundsätzlich mindestens 14 Werktage vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und auf das erforderliche Maß zu beschränken.

(3) Bei einem konkreten Datenschutzvorfall, begründetem Verdacht einer erheblichen Pflichtverletzung oder Anordnung einer Aufsichtsbehörde kann von der regulären Ankündigungsfrist abgewichen werden.

(4) Kontrollen dürfen den Geschäftsbetrieb, Rechte anderer Kunden, Geschäftsgeheimnisse und die Sicherheit der Systeme nicht unangemessen beeinträchtigen. Der Verantwortliche trägt eigene Prüfungskosten; ein nachweislich allein durch eine wesentliche Pflichtverletzung des Auftragsverarbeiters verursachter notwendiger Zusatzaufwand bleibt hiervon unberührt.

§ 11 Rückgabe, Löschung und Vertragsende

(1) Nach Abschluss der auftragsbezogenen Leistungen löscht oder übergibt der Auftragsverarbeiter nach Wahl des Verantwortlichen die in seinem Verfügungsbereich befindlichen personenbezogenen Daten und Kopien, sofern keine gesetzliche Aufbewahrungspflicht oder ein anderer zulässiger Rechtsgrund für eine befristete weitere Speicherung besteht.

(2) Operative App-, Ranking-, Review-, Support- und Google-Unternehmensprofildaten werden nach Vertragsende grundsätzlich innerhalb von 90 Tagen gelöscht oder anonymisiert. Support-Uploads und Nachweise werden grundsätzlich 90 Tage nach Abschluss des jeweiligen Vorgangs gelöscht, sofern sie nicht für ein laufendes Google-Verfahren, die Rechtsverteidigung oder eine gesetzliche Pflicht erforderlich sind.

(3) Daten in technisch erforderlichen Sicherungskopien werden nach dem regulären Sicherungszyklus, spätestens innerhalb von 90 Tagen, überschrieben oder gelöscht und bis dahin nicht produktiv verarbeitet, außer zur Wiederherstellung oder Erfüllung gesetzlicher Pflichten.

(4) Aufbewahrungspflichtige Daten werden von der laufenden Verarbeitung getrennt beziehungsweise in der Nutzung beschränkt und ausschließlich für den jeweiligen Aufbewahrungs- oder Nachweiszweck verarbeitet.

(5) Bereits im Google-Unternehmensprofil oder auf anderen Plattformen veröffentlichte Inhalte und Optimierungen verbleiben im Verantwortungsbereich und unter der Kontrolle des Verantwortlichen. Ihre Löschung aus Systemen von SocialEdge bewirkt keine Rückgängigmachung veröffentlichter Profiländerungen.

(6) Auf Anforderung bestätigt der Auftragsverarbeiter die Durchführung der Löschung in Textform. Gesetzliche Nachweisrechte und Pflichten aus dieser Vereinbarung bleiben bis zum Ablauf der jeweils maßgeblichen Frist bestehen.

§ 12 Haftung

(1) Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Die interne Verantwortungszuordnung richtet sich nach den gesetzlichen Vorschriften und dem jeweiligen Verantwortungsbeitrag.

(2) Im Übrigen gelten die Haftungsregelungen des Hauptvertrags nur, soweit sie zwingenden datenschutzrechtlichen Bestimmungen nicht entgegenstehen und Rechte betroffener Personen nicht beschränken.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen gehen für die Verarbeitung personenbezogener Daten im Auftrag die Bestimmungen dieser AVV vor. Individuelle Weisungen dürfen die gesetzlichen Mindestanforderungen nicht abbedingen.

(2) Änderungen und Ergänzungen dieser Vereinbarung einschließlich ihrer Anlagen bedürfen mindestens der Textform. Die elektronische Form und der nachweisbare Abschluss über eine Vertrags- oder Signaturplattform genügen.

(3) Es gilt deutsches Recht. Gerichtsstandsvereinbarungen des Hauptvertrags gelten, soweit sie wirksam sind und zwingende datenschutzrechtliche Zuständigkeiten unberührt bleiben.

(4) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Regelung durch eine wirksame Regelung, die dem datenschutzrechtlichen Zweck am nächsten kommt.

Anlage 1 – Beschreibung der Verarbeitung

1. Gegenstand und Zweck

Bereitstellung und Administration der SocialEdge-Software; autorisierte Verwaltung und Optimierung von Google-Unternehmensprofilen; Erstellung, Freigabe und Veröffentlichung von Profilinhalten und Bewertungsantworten; Analyse von Ranking, Sichtbarkeit und Interaktionen; Unterstützung bei Sperrungen, Einschränkungen und Video-Verifizierungen; in Paket 3 Prüfung und Meldung nachweislich falscher oder rufschädigender Tatsachenbehauptungen; Support und technische Fehlerbehebung.

2. Art der Verarbeitung

• Erheben, Erfassen, Ordnen, Speichern, Strukturieren und Auslesen;
• Abgleichen, Analysieren, Berechnen und Darstellen von Ranking-, Sichtbarkeits- und Interaktionsdaten;
• Erstellen, Anpassen, Freigeben, Übermitteln und Veröffentlichen von Profilinhalten und Bewertungsantworten;
• Verwalten von Profil-, Standort-, Produkt-, Leistungs-, Öffnungszeit- und Kontaktdaten;
• Kommunikation mit dem Verantwortlichen und, soweit angewiesen und technisch möglich, mit Google;
• Einschränken, Exportieren, Anonymisieren und Löschen.

3. Kategorien personenbezogener Daten

• Stamm-, Unternehmens- und Kontaktdaten des Verantwortlichen und seiner Nutzer;
• Benutzerkonto-, Rollen-, Berechtigungs- und Authentifizierungsdaten; keine Speicherung von Kundenpasswörtern als regulärer Leistungsbestandteil;
• Standort-, Profil-, Produkt-, Leistungs-, Öffnungszeit- und sonstige Unternehmensprofildaten;
• Rezensions- und Interaktionsdaten, insbesondere Namen/Pseudonyme und Inhalte von Rezensenten sowie Bewertungsantworten;
• Beiträge, Bilder, Videos, Dokumente und sonstige vom Verantwortlichen bereitgestellte Inhalte;
• Support-, Chat-, E-Mail- und Kommunikationsdaten einschließlich Anhängen und Nachweisen;
• Nutzungs-, Protokoll-, Geräte-, Sicherheits- und Metadaten, insbesondere Zeitstempel, IP-Adressen, Aktivitäten und Fehlerdaten;
• Ranking-, Sichtbarkeits-, Wettbewerbs- und aggregierte Google-Interaktionsdaten.

4. Kategorien betroffener Personen

• Inhaber, Organmitglieder, Beschäftigte, Beauftragte und Nutzer des Verantwortlichen;
• Kunden, Interessenten, Website- oder Standortbesucher und sonstige Endkunden des Verantwortlichen;
• Rezensenten und sonstige Personen, die mit dem Google-Unternehmensprofil interagieren;
• Kontaktpersonen bei Google oder anderen vom Verantwortlichen genutzten Plattformen.

5. Besondere Kategorien und Strafdaten

Eine planmäßige Verarbeitung besonderer Kategorien nach Art. 9 DSGVO oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO ist nicht vereinbart. Ein unbeabsichtigtes Auftreten in Rezensionen, Freitexten oder Anhängen ist möglich; hierfür gelten § 3 Abs. 3 und die Weisungen des Verantwortlichen.

6. Dauer und Häufigkeit

Regelmäßige Verarbeitung während der Laufzeit des Hauptvertrags und einer gegebenenfalls anschließenden kostenlosen Garantieverlängerung; anschließende Rückgabe oder Löschung gemäß § 11. Ranking-Scans, Profilaktualisierungen und Veröffentlichungen erfolgen in der im Hauptvertrag oder der Software vereinbarten Häufigkeit.

7. Verarbeitungsorte

Deutschland, EU/EWR und die in Anlage 3 ausgewiesenen Verarbeitungsorte. Drittlandzugriffe oder -übermittlungen sind nur nach § 9 und dem für den jeweiligen Unterauftragnehmer dokumentierten Transfermechanismus zulässig.

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

Stand: 30.07.2026. Diese Anlage beschreibt den von SocialEdge geschuldeten technischen und organisatorischen Mindeststandard.

1. Datenschutzorganisation und Verantwortlichkeiten

• Benannte datenschutzrechtliche Kontaktstelle und dokumentierte Zuständigkeiten innerhalb von SocialEdge;
• Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen vor dem ersten Datenzugriff;
• regelmäßige Sensibilisierung zu Datenschutz, Phishing, Zugangsschutz und Datenschutzvorfällen;
• Verzeichnis relevanter Verarbeitungstätigkeiten, Löschkonzept und dokumentierter Vorfallprozess;
• regelmäßige Überprüfung der Unterauftragnehmer und ihrer Datenschutzbedingungen.

2. Zutritts- und Geräteschutz

• Schutz der Arbeitsräume gegen unbefugten Zutritt; keine unbeaufsichtigte Offenlegung von Kundendaten;
• Geräteverschlüsselung, automatische Bildschirmsperre und kennwortgeschützte Benutzerkonten;
• zeitnahe Sicherheitsupdates für Betriebssysteme, Browser und eingesetzte Anwendungen;
• Schutz vor Schadsoftware sowie Möglichkeit zur Sperrung oder Löschung verlorener Geräte, soweit technisch verfügbar;
• keine Verarbeitung über öffentlich zugängliche oder nicht kontrollierte Geräte.

3. Zugangs- und Zugriffskontrolle

• individuelle Benutzerkonten; keine gemeinsame Nutzung persönlicher Zugangsdaten;
• Mehrfaktor-Authentifizierung für administrative Cloud-, Google- und Code-/Deployment-Zugänge, soweit vom Dienst unterstützt;
• starke, einzigartige Passwörter und geschützter Passwortmanager;
• rollen- und aufgabenbezogene Berechtigungen nach dem Need-to-know- und Least-Privilege-Prinzip;
• regelmäßige, mindestens vierteljährliche Prüfung privilegierter Zugänge sowie unverzüglicher Entzug nicht mehr benötigter Rechte;
• Kunde bleibt Inhaber/primärer Eigentümer seines Google-Unternehmensprofils; SocialEdge erhält nur erforderliche Manager- oder API-Berechtigungen.

4. Übertragungs-, Eingabe- und Weitergabekontrolle

• verschlüsselte Datenübertragung über aktuelle TLS-Verbindungen;
• keine Übermittlung personenbezogener Kundendaten über nicht freigegebene private Kommunikations- oder KI-Konten;
• Dokumentation wesentlicher Empfänger, API-Berechtigungen und administrativer Profiländerungen, soweit technisch verfügbar;
• sichere Übermittlung besonders schutzbedürftiger Anhänge; Vermeidung unverschlüsselter offener Links;
• Prüfung von Empfängern vor manuellen Datenübermittlungen.

5. Speicher-, Mandanten- und Trennungskontrolle

• logische Trennung von Kundendaten durch Nutzer-, Mandanten-, Rollen- oder dokumentbezogene Sicherheitsregeln;
• serverseitige Berechtigungsprüfung; reine Oberflächenbeschränkungen genügen nicht;
• Trennung von Entwicklungs-, Test- und Produktivumgebungen; produktive personenbezogene Daten werden in Tests vermieden oder zuvor anonymisiert/pseudonymisiert;
• Verschlüsselung gespeicherter Daten durch die eingesetzten Cloud-Anbieter nach deren dokumentiertem Standard;
• API-Schlüssel und sonstige Geheimnisse werden nicht in öffentlich zugänglichem Quellcode gespeichert.

6. Verfügbarkeit, Belastbarkeit und Wiederherstellung

• Nutzung professioneller Cloud-Infrastruktur mit dokumentierten Verfügbarkeits- und Sicherungsmechanismen;
• angemessene Datensicherungs- oder Wiederherstellungsmechanismen für geschäftskritische Daten;
• Rate-Limiting, Sicherheitsregeln und Monitoring für öffentlich erreichbare Schnittstellen, soweit technisch einschlägig;
• dokumentiertes Vorgehen für Störungen, Sicherheitsvorfälle und Wiederanlauf;
• regelmäßige Prüfung der Wiederherstellbarkeit und der administrativen Notfallzugänge.

7. Protokollierung und Sicherheitskontrolle

• Protokollierung administrativer und sicherheitsrelevanter Ereignisse, soweit technisch verfügbar;
• Schutz der Protokolle gegen unbefugte Veränderung und Zugriff;
• begrenzte Aufbewahrung von Sicherheitsprotokollen nach dokumentiertem Löschkonzept;
• regelmäßige Prüfung auffälliger Zugriffe, Fehlermeldungen und misslungener Authentifizierungen;
• dokumentierte Bearbeitung und Nachverfolgung erkannter Sicherheitsmängel.

8. Löschung und Datenminimierung

• Erhebung und Speicherung nur der für den jeweiligen Zweck erforderlichen Daten;
• Lösch- und Aufbewahrungsregeln nach Datenkategorie; operative Kundendaten grundsätzlich gemäß § 11;
• Entzug von Manager-, API- und Softwarezugängen nach Vertragsende;
• Löschung oder Anonymisierung temporärer Exporte, Screenshots und Supportanhänge nach Abschluss des Zwecks;
• aufbewahrungspflichtige Daten werden gesperrt und nicht für operative oder werbliche Zwecke weiterverwendet.

9. KI-spezifische Maßnahmen

• personenbezogene Kundendaten nur über ausdrücklich freigegebene geschäftliche API-/Unternehmenslösungen;
• keine Verwendung zu Modelltraining oder allgemeiner Produktverbesserung, soweit dies durch Anbieteroptionen und Vertragsbedingungen steuerbar ist;
• Datenminimierung, Pseudonymisierung und Entfernung unnötiger Identifikatoren vor KI-Übermittlungen;
• keine Eingabe von Zugangsdaten, Authentifizierungsgeheimnissen oder vollständigen Kundenakten;
• menschliche Prüfung vor Veröffentlichung KI-gestützter Inhalte oder Bewertungsantworten;
• Dokumentation der freigegebenen KI-Anbieter in Anlage 3.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Der Verantwortliche genehmigt die nachstehend aufgeführten Unterauftragsverarbeiter. Für Übermittlungen außerhalb der EU beziehungsweise des EWR gilt der jeweils konkret anwendbare Transfermechanismus nach § 9 dieser Vereinbarung.

Nicht automatisch Teil dieser AVV: Zahlungsabwicklung, eigene Buchhaltung, Websitebetrieb, Terminbuchung und Eigenwerbung von SocialEdge sind grundsätzlich eigene Verarbeitungstätigkeiten von SocialEdge und nicht allein deshalb Unterauftragsverarbeitung für den Kunden. Google als Betreiber des vom Kunden selbst gehaltenen Google-Unternehmensprofils kann je nach konkretem Vorgang eigenständig Verantwortlicher sein. Diese Rollen sind bei wesentlichen Produktänderungen erneut zu prüfen.

Figma / native KI-Funktionen: Solange dort keine personenbezogenen Kundendaten im Auftrag verarbeitet werden, ist Figma nicht für diesen Zweck in der obigen Liste aufgeführt. Vor einer solchen Nutzung ist Figma als Unterauftragsverarbeiter zu prüfen, vorab nach § 8 anzukündigen und die Nutzung für Training/Content Training soweit verfügbar zu deaktivieren.

Anlage 4 – Kontakte, Weisungen und kundenspezifische Festlegungen

Mit ihrer Unterzeichnung beziehungsweise nachweisbaren elektronischen Zustimmung bestätigen die Parteien, diese AVV einschließlich der Anlagen erhalten, geprüft und als Bestandteil des Hauptvertrags vereinbart zu haben.

Rechtsgrundlage und Orientierung: Art. 28 DSGVO sowie die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Durchführungsbeschluss (EU) 2021/915. Die Parteien überprüfen die Anlagen bei wesentlichen Änderungen der technischen Konfiguration, Unterauftragnehmer oder Verarbeitungsvorgänge und aktualisieren sie bei Bedarf.