Auftragsverarbeitungsvertrag

PRÄAMBEL

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem im Vertrag über die Nutzung der Blentify Plattform („Hauptvertrag“) genannten Kunden („Auftraggeber“ oder „Kunde“) und der Blentify GmbH, Klettenweg 33a, 12357 Berlin, Deutschland („Auftragnehmer“ oder „Blentify“), geschlossen, beide jeweils auch als „Partei“ bzw. beide gemeinsam als „Parteien“ bezeichnet. Im Rahmen der Durchführung des Hauptvertrags kann es erforderlich sein, dass der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten nach der Datenschutzgrundverordnung (DSGVO) schließen die Parteien den vorliegenden AVV.

1. GEGENSTAND/UMFANG/DAUER DIESER AVV/BEGRIFFE

1.1Dieser AVV gilt für die Verarbeitung aller personenbezogenen Daten (nachstehend auch „Daten“ genannt), die von dem Auftragnehmer im Auftrag des Auftraggebers zur Erbringung der Leistungen nach dem Hauptvertrag verarbeitet werden. Der Umfang, die Art und der Zweck der Verarbeitung werden durch den Hauptvertrag bestimmt und sind in Anlage 1 (Zweck, Art und Umfang der Datenverarbeitung; Art der Daten und Kategorien betroffener Personen) zu diesem AVV aufgeführt.

1.2Soweit in diesem AVV nichts anderes bestimmt ist, gelten für die Laufzeit und die Beendigung dieses AVV die Laufzeit- und Beendigungsbestimmungen des Hauptvertrags. Dieser AVV bleibt während der gesamten Laufzeit des Hauptvertrags in Kraft, soweit er nicht durch eine Nachfolgeregelung ersetzt wird. Eine Beendigung des Hauptvertrages führt automatisch zu einer Beendigung dieses AVV. Eine isolierte Beendigung dieses AVV ist ausgeschlossen.

1.3Soweit die Verarbeitung im Rahmen dieses AVV in einem Drittland (also außerhalb des Gebiets der EU/EWR) erfolgt, stellen die Parteien sicher, dass die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

1.4Sofern in diesem AVV nicht anders bestimmt, gelten die Definitionen des Hauptvertrags auch für diesen AVV.

2. WEISUNGSBEFUGNIS DES AUFTRAGGEBERS

2.1Die Parteien sind für die Einhaltung der einschlägigen datenschutzrechtlichen Vorschriften verantwortlich. Der Auftraggeber kann den Auftragnehmer jederzeit anweisen, die im Rahmen dieses AVV verarbeiteten Daten freizugeben, zu berichtigen, anzupassen, zu löschen und einzuschränken.

2.2Der Auftragnehmer verarbeitet die Daten im Auftrag und nach den Weisungen des Auftraggebers im Sinne von Art. 28 DSGVO. Der Auftraggeber bleibt der für die Verarbeitung Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.

2.3Der Auftragnehmer darf Daten nur nach den Weisungen des Auftraggebers verarbeiten, es sei denn, der Auftragnehmer ist nach dem Recht der Union oder des Mitgliedstaates, dem der Auftragnehmer unterliegt, zu einer abweichenden Verarbeitung verpflichtet (z.B. Ermittlungen der Strafverfolgungs- oder staatlichen Sicherheitsbehörden); in einem solchen Fall hat der Auftragnehmer den Auftraggeber vor der Verarbeitung über diese rechtlichen Anforderungen zu unterrichten, es sei denn, das betreffende Recht verbietet eine solche Unterrichtung aus Gründen eines wichtigen öffentlichen Interesses (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

2.4Die Weisungen des Auftraggebers sind in den Bestimmungen dieses AVV grundsätzlich abschließend geregelt und dokumentiert. Ergänzende Weisungen, die von den Bestimmungen dieses AVV abweichen oder zusätzliche Anforderungen stellen, bedürfen der Zustimmung des Auftragnehmers und sind dem Auftragnehmer grundsätzlich schriftlich oder per E-Mail zu erteilen. Mündliche Weisungen sind unverzüglich vom Auftragnehmer schriftlich oder elektronisch zu bestätigen. Die dem Auftragnehmer durch solche ergänzenden Weisungen entstehenden Mehrkosten gehen zu Lasten des Auftraggebers.

2.5Änderungen am Gegenstand der Verarbeitung sind gemeinsam zu vereinbaren und zu dokumentieren. Der Auftragnehmer darf die Daten nicht für andere Zwecke verwenden und ist insbesondere nicht berechtigt, diese Daten an Dritte weiterzugeben. Der Auftragnehmer ist nicht berechtigt, Daten ohne Wissen des Auftraggebers zu kopieren oder zu vervielfältigen.

2.6Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen einschlägige datenschutzrechtliche Vorschriften verstößt, so unterrichtet er den Auftraggeber unverzüglich. Der Auftragnehmer ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis die Weisung von dem Auftraggeber bestätigt oder geändert wird.

3. SCHUTZMASSNAHMEN

3.1Die Parteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisatorischen Maßnahmen (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der Auftragnehmer stellt dem Auftraggeber hierzu bei Bedarf entsprechende Informationen zur Verfügung.

3.2Die Parteien vereinbaren die spezifischen technischen und organisatorischen Sicherheitsmaßnahmen, die in der Anlage 3 (Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO) zu diesem AVV aufgeführt sind. Anlage 3 ist wesentlicher Bestandteil dieses AVV.

3.3Technische und organisatorische Maßnahmen sind dem technischen Fortschritt unterworfen. Dem Auftragnehmer ist es insoweit gestattet, alternative, aber angemessene Maßnahmen gemäß den einschlägigen datenschutzrechtlichen Vorschriften und dieses AVV zu ergreifen. Wesentliche Änderungen der Maßnahmen sind zu dokumentieren.

3.4Auf Verlangen des Auftraggebers hat der Auftragnehmer geeignete Nachweise über die Einhaltung der in Anlage 3 festgelegten technischen und organisatorischen Maßnahmen vorzulegen.

3.5Der Auftragnehmer stellt sicher, dass alle Personen, die mit der Verarbeitung von Daten des Auftraggebers betraut sind, vor Aufnahme ihrer Tätigkeit schriftlich oder in elektronischer Form auf die Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO verpflichtet werden. Der Auftragnehmer gewährleistet mit der gebotenen Sorgfalt die Einhaltung dieser Verpflichtung und legt dem Auftraggeber auf Anforderung entsprechende Vertraulichkeitserklärungen vor.

4. PFLICHTEN DES AUFTRAGGEBERS

4.1Der Auftraggeber ist allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung und für die Wahrung der Rechte der betroffenen Personen im Verhältnis zwischen den Parteien. Sollten Dritte Ansprüche gegen den Auftragnehmer geltend machen, die auf der Verarbeitung von Daten gemäß diesem AVV beruhen, so stellt der Auftraggeber den Auftragnehmer auf erstes Anfordern von allen derartigen Ansprüchen frei, es sei denn, der Anspruch beruht auf einem Verstoß des Auftragnehmers gegen diesen AVV, gegen Weisungen des Auftraggebers oder gegen die für ihn geltenden datenschutzrechtlichen Vorschriften.

4.2Der Auftraggeber ist dafür verantwortlich, dem Auftragnehmer rechtzeitig erforderliche Daten für die Erbringung der Leistungen gemäß dem Hauptvertrag zur Verfügung zu stellen, und er ist für die Qualität der Daten verantwortlich. Der Auftraggeber unterrichtet den Auftragnehmer unverzüglich und vollständig, wenn er bei der Prüfung der Ergebnisse des Auftragnehmers Fehler oder Unregelmäßigkeiten in Bezug auf die einschlägigen datenschutzrechtlichen Vorschriften oder seine Weisungen feststellt.

4.3Auf Anfrage stellt der Auftraggeber dem Auftragnehmer die in Art. 30 Abs. 2 DSGVO genannten Informationen zur Verfügung, soweit sie dem Auftragnehmer nicht selbst zur Verfügung stehen.

4.4Ist der Auftragnehmer verpflichtet, einer staatlichen Stelle bei der Verarbeitung von Daten Auskunft zu erteilen oder auf andere Weise mit diesen Stellen zusammenzuarbeiten, so ist der Auftraggeber auf erstes Anfordern verpflichtet, den Auftragnehmer bei der Erteilung dieser Auskunft und bei der Erfüllung sonstiger Kooperationspflichten zu unterstützen.

5. INFORMATIONS- UND UNTERSTÜTZUNGSPFLICHTEN DES AUFTRAGNEHMERS

5.1Der Auftragnehmer ist verpflichtet, den Auftraggeber unverzüglich zu unterrichten, wenn er eine schwerwiegende Störung seines Betriebs feststellt, wenn er den Verdacht hat, dass er gegen diesen AVV und gegen einschlägige datenschutzrechtliche Vorschriften verstößt oder wenn er sonstige Unregelmäßigkeiten bei der Verarbeitung der Daten des Auftraggebers feststellt. Dies gilt insbesondere im Hinblick auf die Meldepflicht nach Art. 33 Abs. 2 DSGVO sowie für entsprechende Pflichten des Verantwortlichen nach Art. 33 und Art. 34 DSGVO (Meldepflichten bei Datenverletzungen). Der Auftragnehmer stellt sicher, dass er den Auftraggeber in angemessener Weise bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO unterstützt, sofern dies erforderlich ist. Der Auftragnehmer darf die Meldungen nach Art. 33 oder 34 DSGVO für den Auftraggeber nur nach vorheriger Weisung gemäß Abschnitt 2 dieses AVV vornehmen.

5.2Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei dem Auftragnehmer anfragt, ermittelt oder sonstige Erkundigungen einzieht.

6. SONSTIGE PFLICHTEN DES AUFTRAGNEHMERS

6.1Der Auftraggeber ist für seine Aufzeichnungen über Verarbeitungstätigkeiten allein verantwortlich (Art. 30 Abs. 1 DSGVO). Auf Verlangen des Auftraggebers stellt der Auftragnehmer dem Auftraggeber Informationen für das Verarbeitungsverzeichnis zur Verfügung. Der Auftragnehmer führt ebenfalls ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die im Auftrag des Auftraggebers durchgeführt werden, gemäß Art. 30 Abs. 2 DSGVO.

6.2Der Auftragnehmer unterstützt den Auftraggeber bei der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO sowie bei einer gegebenenfalls erforderlichen vorherigen Konsultation der zuständigen Aufsichtsbehörde nach Art. 36 DSGVO.

6.3Soweit gesetzlich vorgeschrieben, hat der Auftragnehmer eine/n Datenschutzbeauftragte/n zu benennen, die/der ihre/seine Tätigkeit entsprechend den gesetzlichen Vorschriften ausübt. Die Kontaktdaten der/des Datenschutzbeauftragten sind dem Auftraggeber zum Zwecke der direkten Kontaktaufnahme mitzuteilen.

7. KONTROLLRECHTE DES AUFTRAGGEBERS

7.1Der Auftraggeber ist berechtigt, sich regelmäßig von der Einhaltung der Regelungen dieses AVV, insbesondere der Umsetzung und Einhaltung der technischen und organisatorischen Maßnahmen gemäß Abschnitt 3 dieses AVV, zu überzeugen („Kontrolle“). Der Auftragnehmer weist dem Auftraggeber auf Nachfrage die Umsetzung der technischen und organisatorischen Maßnahmen nach. Dieser Nachweis kann auch durch Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz) erbracht werden. Der Auftragnehmer verpflichtet sich, den Auftraggeber unverzüglich über jede Form der Aufhebung oder wesentlichen Änderung der vorgenannten Nachweise zu informieren. Darüber hinaus ist der Auftraggeber berechtigt, die technischen und organisatorischen Maßnahmen des Auftragnehmers zu den üblichen Geschäftszeiten, ohne Störung des Geschäftsablaufs und unter strikter Wahrung der Geschäfts- und Betriebsgeheimnisse des Auftragnehmers selbst persönlich bzw. durch einen sachkundigen Dritten prüfen zu lassen.

7.2Der Auftraggeber informiert den Auftragnehmer rechtzeitig (in der Regel zwei Wochen im Voraus) über alle mit der Durchführung der Kontrolle verbundenen Umstände. Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang (grundsätzlich eine Kontrolle pro Kalenderjahr) durchführen und angemessene Rücksicht auf die Betriebsabläufe des Auftragnehmers nehmen. Über den Zeitpunkt sowie die Art der Prüfung verständigen sich die Parteien rechtzeitig.

7.3Beauftragt der Auftraggeber einen sachkundigen Dritten mit der Durchführung der Kontrolle, so verpflichtet der Auftraggeber den Dritten schriftlich in gleicher Weise, wie er sich gegenüber dem Auftragnehmer gemäß Abschnitt 7 dieses AVV verpflichtet. Darüber hinaus verpflichtet der Auftraggeber den Dritten zur Geheimhaltung und Vertraulichkeit, es sei denn, der Dritte unterliegt einer beruflichen Verschwiegenheitspflicht. Auf Verlangen des Auftragnehmers legt der Auftraggeber diesem unverzüglich die Verpflichtungsvereinbarungen mit dem Dritten vor. Der Auftraggeber darf keinen Konkurrenten, d.h. einem Dritten, der mit dem Auftragnehmer in einem unmittelbaren Wettbewerbsverhältnis steht, mit der Durchführung der Kontrolle beauftragen.

7.4Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten, die der Auftraggeber feststellt, hat er den Auftragnehmer unverzüglich zu informieren. Werden bei der Kontrolle Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilt der Auftraggeber dem Auftragnehmer die notwendigen Verfahrensänderungen unverzüglich mit.

8. RECHTE BETROFFENER

8.1Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflichten gemäß Art. 12 bis 22 sowie Art. 32 bis 36 DSGVO. Er wird dem Auftraggeber unverzüglich die gewünschte Auskunft über Daten geben, sofern der Auftraggeber nicht selbst über die entsprechenden Informationen verfügt.

8.2Zur Wahrung der Rechte betroffener Personen gemäß Art. 15 bis 21 DSGVO unterstützt der Auftragnehmer den Auftraggeber in angemessenem Umfang, insbesondere durch die Umsetzung geeigneter technischer und organisatorischer Maßnahmen. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, um ihre Rechte geltend zu machen, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter.

8.3Der Auftragnehmer stellt betroffenen Personen einen geeigneten Mechanismus zur Verfügung, über den sie ihre Einwilligung zur Nutzung ihrer Testimonials gemäß Art. 7 Abs. 3 DSGVO jederzeit widerrufen können.

9. UNTERAUFTRAGNEHMER

9.1Die derzeitigen Unterauftragnehmer, die für die Durchführung dieses AVV eingesetzt und zwischen den Parteien vereinbart werden, sind in Anlage 2 im Einzelnen aufgeführt.

9.2Sollte der Auftragnehmer weitere Unterauftragnehmer mit der Verarbeitung personenbezogener Daten betrauen wollen, so informiert er den Auftraggeber hierüber vorab und räumt diesem das Recht ein, der Beauftragung des betreffenden Unterauftragnehmers binnen 14 Tagen zu widersprechen, wobei der Auftraggeber nur aus einem sachlichen Grund widersprechen darf. Sollte diese Frist fruchtlos verstreichen, gilt der angekündigte Unterauftragnehmer als genehmigt.

9.3Beauftragt der Auftragnehmer weitere Unterauftragnehmer, wählt er diese sorgfältig unter Berücksichtigung ihrer Eignung und Zuverlässigkeit aus. Er stellt sicher, dass seine vertraglichen Vereinbarungen mit dem Unterauftragnehmer ein Datenschutzniveau gewährleisten, das dem zwischen dem Auftraggeber und dem Auftragnehmer vereinbarten Niveau entspricht. Dies umfasst insbesondere die Verpflichtung, geeignete technische und organisatorische Maßnahmen umzusetzen. Erfolgt die Einbindung von Unterauftragnehmern in einem Drittland, trägt der Auftragnehmer dafür Sorge, dass dort ein angemessenes Datenschutzniveau gewährleistet ist und dass die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

9.4Ein Unterauftragsverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z. B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt und Bewachungsdienste.

10. LÖSCHUNG UND RÜCKGABE VON DATEN

10.1Sofern Datenträger und Datensätze zur Verfügung gestellt werden, bleiben diese im Eigentum des Auftraggebers.

10.2Nach Beendigung der vertraglich vereinbarten Leistungen oder früher auf entsprechendes Verlangen des Auftraggebers, spätestens jedoch bei Beendigung dieses AVV, hat der Auftragnehmer alle in seinen Besitz gelangten Unterlagen, Verarbeitungs- und Nutzungsergebnisse und Datensätze (sowie Kopien oder Vervielfältigungen davon), die im Zusammenhang mit dem Vertragsverhältnis stehen, an den Auftraggeber herauszugeben oder datenschutzgerecht zu vernichten, sofern der Auftraggeber nichts anderes anordnet. Dies gilt auch für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Auftraggeber auf dessen Aufforderung vorzulegen.

10.3Der Auftragnehmer darf Unterlagen, die dem Nachweis der Datenverarbeitung nach diesem AVV und den geltenden Gesetzen dienen, unter Einhaltung der jeweiligen Aufbewahrungsfristen bis zur Beendigung dieses AVV (und ggf. danach) aufbewahren. Für die nach Satz 1 gespeicherten Daten gelten die Verpflichtungen nach Ziffer 10.2 dieses AVV auch nach Ablauf der Speicherfrist.

10.4Der Auftragnehmer ist verpflichtet, auch über das Ende des Hauptvertrags hinaus die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten vertraulich zu behandeln.

10.5Ein Zurückbehaltungsrecht ist ausgeschlossen.

11. HAFTUNG

11.1Für die Haftung des Auftragnehmers nach diesem AVV gelten die im Hauptvertrag vorgesehenen Haftungsausschlüsse und -beschränkungen.

11.2Der Auftragnehmer haftet dem Auftraggeber auch für etwaige Verstöße der von ihm eingeschalteten Unterauftragnehmer.

12. SCHLUSSBESTIMMUNGEN

12.1Bei etwaigen Widersprüchen gehen Regelungen dieses AVV zum Datenschutz den Regelungen des Hauptvertrages vor.

12.2Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt.

ANLAGE 1: ZWECK, ART UND UMFANG DER DATENVERARBEITUNG; ART DER DATEN UND KATEGORIEN DER BETROFFENEN PERSONEN

Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zum Zweck der Bereitstellung des Dienstes gemäß dem Hauptvertrag sowie des Betriebs und der Wartung der Blentify Plattform. Konkret umfasst dies insbesondere:

• ·Bereitstellung und Verwaltung von Kundenkonten, Arbeitsbereichen, Collection Pages, Zugriffsrechten
• ·Entgegennahme und Speicherung von Video-Testimonials der Testimonial-Geber
• ·Automatisierter Import von Bewertungen aus Drittplattformen (z. B. Google, Trustpilot) über deren Programmierschnittstellen (API)
• ·Verarbeitung von Text-Testimonials und Fragebogen-Antworten
• ·KI-gestützte Echtheitsprüfung (Verified Capture) der eingereichten Videos (technische Bot- und Aufnahmeprüfung ohne Gewähr für Identität oder inhaltliche Richtigkeit)
• ·Automatische Transkription von Audio- und Videoinhalten
• ·Automatische, KI-gestützte Übersetzung von Testimonial-Inhalten in andere Sprachen
• ·KI-gestützte Textgenerierung und Inhaltserzeugung, insbesondere Vorschläge von Zitaten und Zusammenfassungen aus Testimonial-Inhalten
• ·KI-gestützte Analyse von Screenshots und importierten Bewertungen, einschließlich Texterkennung und Auswertung der Bewertungsinhalte
• ·KI-gestützte Erstellung von Case Studies auf Grundlage von Testimonial-Inhalten
• ·Versand von Bestätigungs- und Benachrichtigungs-E-Mails an Testimonial-Geber
• ·Technische Bereitstellung des Testimonial-Widgets für die Website des Kunden
• ·Protokollierung von Einwilligungen gemäß Art. 7 DSGVO
• ·Bereitstellung öffentlicher Freigabe- und Share-Links zur Anzeige einzelner oder mehrerer Testimonial-Inhalte
• ·Bereitstellung des Zugriffs auf Daten über die API und Webhooks des Auftragnehmers zur Anbindung an Systeme des Kunden
• ·Schutz der Plattform vor Missbrauch und Überlastung durch Begrenzung der Anfragen je IP-Adresse (Rate-Limiting)
• ·Technische Bereitstellung und Auslieferung des Bewertungs-Fensters auf den vom Kunden angegebenen Websites, einschließlich der Anzeige der vom Kunden freigegebenen Testimonials, Bewertungen und Sterne-Bewertungen.
• ·Übermittlung von Daten an vom Kunden verbundene Drittsysteme (z. B. KlickTipp): Abgleich von Einladungen mit Kontakten des Kunden, Rückmeldung des Bearbeitungsstands als Markierungen im System des Kunden sowie Anmeldung zum Newsletter des Kunden im Double-Opt-in-Verfahren, sofern die betroffene Person dies gesondert und freiwillig wählt.
• ·Öffentliche Anzeige der vom Kunden konfigurierten zusätzlichen Angaben der Testimonial-Geber (z. B. Ort, Postleitzahl) in Widgets und im Bewertungs-Fenster sowie Auswahl und Filterung von Testimonials anhand dieser Angaben, soweit vom Kunden aktiviert.

Eine Verarbeitung zu anderen als den hier genannten Zwecken findet ohne ausdrückliche Weisung des Kunden nicht statt. Insbesondere werden Daten nicht für Werbezwecke, das Training eigener KI-Modelle oder die Weitergabe an Dritte zu eigenen Zwecken des Auftragnehmers verwendet.

Arten oder Kategorien von Daten

• ·Anmeldedaten des Nutzers der Plattform (z.B. Name, E-Mail-Adresse)
• ·Name, E-Mail-Adresse des Testimonial-Gebers
• ·Nutzungsdaten (Zugriffsprotokollierung)
• ·IP-Adresse (gehasht, nur bei AVV-Annahme und API-Nutzung)
• ·IP-Adresse im Klartext zur Begrenzung der Anfragen (Rate-Limiting), z. B. beim Hochladen von Videos; kurzzeitige Speicherung bei Upstash mit automatischer Löschung nach höchstens einer Stunde
• ·Einwilligungszeitpunkt und -text
• ·Von der Plattform erfasste oder von Drittplattformen importierte Testimonial- und Bewertungsinhalte (Videoaufnahmen, Fotos / Bilder (sofern Foto-Upload aktiviert), Screenshots von Bewertungen, Bewertungsinhalte)
• ·Reward-Formularangaben (sofern ein physischer Reward oder zusätzliche Reward-Felder aktiviert sind)
• ·Rating, Benutzername und Metadaten importierter Bewertungen (z. B. Bewertungsdatum, Quellplattform)
• ·E-Mail-Inhalte sowie Zustelldaten (z. B. Zustellstatus)
• ·Technische Sicherheitsdaten (z. B. Aufnahmemetadaten, Ergebnisse der Bot- und Echtheitsprüfung)
• ·Über öffentliche Freigabelinks, Widgets, die API und Webhooks abgerufene oder bereitgestellte Inhalte
• ·Sterne-Bewertung (1–5) als Teil des eingereichten Testimonials
• ·Kontakt-Kennung im verbundenen Drittsystem des Kunden (z. B. KlickTipp-Kontakt-ID), gehashte Kennung aus dem Einladungslink sowie Bearbeitungsstand der Einladung
• ·Nachweis einer gesondert erteilten Newsletter-Einwilligung (angezeigter Text und Zeitpunkt) sowie verschlüsselt gespeicherte Zugangsdaten des Kunden zu verbundenen Drittsystemen
• ·Vom Kunden konfigurierte zusätzliche Eingabefelder der Testimonial-Geber (z. B. Ort, Postleitzahl, „Kunde seit“)

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden nicht angefordert und nicht gezielt erhoben. Der Kunde weist die Testimonial-Geber darauf hin, solche Daten nicht einzureichen. Soweit derartige Daten dennoch in eingereichten Inhalten enthalten sind, verarbeitet der Auftragnehmer sie ausschließlich im Rahmen der in dieser Anlage genannten Zwecke und schützt sie durch die Maßnahmen nach Anlage 3.

Kreis der Betroffenen

• ·Mitarbeiter des Kunden, die zur Nutzung der Plattform berechtigt sind
• ·Testimonial-Geber des Kunden, also natürliche Personen, die über den Dienst ein Testimonial einreichen.
• ·Besucher der Websites des Kunden, auf denen das Bewertungs-Fenster eingebunden ist — beschränkt auf die technische Auslieferung des Fensters. Die Zählung eindeutiger Besucher zu Abrechnungs- und Missbrauchsschutzzwecken erfolgt in alleiniger Verantwortung des Auftragnehmers und ist nicht Gegenstand dieser Auftragsverarbeitung (siehe Datenschutzerklärung des Auftragnehmers).
• ·Kontakte des Kunden, die über ein verbundenes Drittsystem (z. B. KlickTipp) eine Einladung zur Abgabe eines Testimonials erhalten — auch dann, wenn sie kein Testimonial abgeben.

ANLAGE 2: GENEHMIGTE UNTERAUFTRAGNEHMER

Liste der genehmigten Unterauftragnehmer (Subunternehmer des Auftragnehmers, die Daten verarbeiten):

ANLAGE 3: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN NACH ART. 32 DSGVO