Auftragsverarbeitungsvertrag

§ 1 Vertragsparteien

Auftraggeber (Verantwortlicher im Sinne der DSGVO): Der jeweilige Kunde, der sich für die Nutzung von CiteKit registriert hat (nachfolgend „Auftraggeber").

Auftragnehmer (Auftragsverarbeiter im Sinne der DSGVO):

Tugay Yentur (Yentur.de)
Breslauer Str. 9
71083 Herrenberg
Deutschland
E-Mail: [email protected]

Für die Verarbeitung von Konto-, Abrechnungs- sowie Missbrauchs- und Sicherheitsdaten ist der Auftragnehmer eigener Verantwortlicher im Sinne der DSGVO; dieser Vertrag erfasst ausschließlich die im Auftrag des Auftraggebers verarbeiteten personenbezogenen Daten nach § 2.

§ 2 Gegenstand und Dauer der Verarbeitung

Anders als bei Diensten, die personenbezogene Daten von Website-Besuchern erheben, verarbeitet CiteKit im Regelbetrieb weit überwiegend keine personenbezogenen Daten Dritter: Marken, Wettbewerber und Fragen sind nach den AGB als Unternehmens- und Produktinformationen auszugestalten. Dieser Vertrag erfasst daher nur den Fall, dass der Auftraggeber im Rahmen der Nutzung von CiteKit dennoch personenbezogene Daten eingibt oder eingeben lässt, insbesondere:

• Namen und E-Mail-Adressen von Personen, die der Auftraggeber als Mitglieder seines Teams für CiteKit vorsieht;
• sonstige personenbezogene Daten, die der Auftraggeber entgegen seiner in § 8 der AGB geregelten Pflicht dennoch in Marken-, Wettbewerber- oder Fragefeldern hinterlegt.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsverhältnisses. Bei Beendigung werden die Daten gemäß § 11 dieses Vertrags gelöscht oder zurückgegeben.

§ 3 Art der Daten und Kategorien betroffener Personen

Art der verarbeiteten Daten: Name und E-Mail-Adresse von Team-Mitgliedern des Auftraggebers; ggf. weitere personenbezogene Daten, die der Auftraggeber gemäß § 2 in Marken-, Wettbewerber- oder Fragefeldern hinterlegt.

Kategorien betroffener Personen: Mitglieder des Teams des Auftraggebers; im Ausnahmefall des § 2 Dritte, deren Daten der Auftraggeber entgegen seiner vertraglichen Pflicht einträgt.

Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder dem Berufsgeheimnis (§ 203 StGB) unterliegender Daten bestimmt. Der Auftraggeber verarbeitet derartige Daten über CiteKit nur nach gesonderter schriftlicher Vereinbarung mit dem Auftragnehmer.

§ 4 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

1. personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO);
2. sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
3. die gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe § 8);
4. den Auftraggeber bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO zu unterstützen;
5. den Auftraggeber unverzüglich zu informieren, falls eine Weisung nach Auffassung des Auftragnehmers gegen datenschutzrechtliche Vorschriften verstößt.

§ 5 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen können in Textform (E-Mail) erteilt werden. Die Nutzung der Funktionen im CiteKit-Konto (z. B. Anlegen von Team-Mitgliedern) gilt als Weisung des Auftraggebers. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Meinung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 DSGVO. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Kalendertage vor Wirksamwerden über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus berechtigten Gründen widersprechen; kann der Auftragnehmer den Widerspruch nicht durch zumutbare Maßnahmen ausräumen, ist der Auftraggeber zur außerordentlichen Kündigung berechtigt. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten und haftet für deren Einhaltung weiter (Art. 28 Abs. 4 DSGVO).

Aktuelle Unterauftragsverarbeiter:

Alle drei Unterauftragsverarbeiter haben ihren Sitz in den USA; die Verarbeitung erfolgt an den in der Tabelle genannten Standorten in der EU. Mit jedem Unterauftragsverarbeiter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Soweit dennoch personenbezogene Daten in die USA übermittelt werden, ist die Übermittlung abgesichert: bei Cloudflare, Inc. durch die Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO), bei Laravel Holdings Inc. und Resend, Inc. durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil der jeweiligen Auftragsverarbeitungsverträge sind.

§ 7 Keine Auftragsverarbeitung durch KI-Anbieter

CiteKit übermittelt die vom Auftraggeber hinterlegten Fragen zur Beantwortung an OpenAI, Perplexity, Google (Gemini und DataForSEO als SERP-Dienstleister für die Google-KI-Übersicht) sowie Anthropic; zur Auswertung der Antworten übermittelt CiteKit zusätzlich den Antworttext sowie die vom Auftraggeber hinterlegten Marken- und Wettbewerbernamen an Anthropic (Einzelheiten in der Datenschutzerklärung). Da der Auftraggeber nach § 8 der AGB verpflichtet ist, keine personenbezogenen Daten in Marken-, Wettbewerber- oder Fragefeldern zu hinterlegen, geht der Auftragnehmer davon aus, dass diese Übermittlungen im Regelfall keine personenbezogenen Daten enthalten. Die genannten KI-Anbieter werden daher nicht als Unterauftragsverarbeiter im Sinne dieses Vertrags geführt.

§ 8 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat folgende Maßnahmen gemäß Art. 32 DSGVO getroffen:

• Verschlüsselte Datenübertragung mittels TLS für das CiteKit-Konto und alle API-Endpunkte;
• Passwörter werden ausschließlich gehasht gespeichert (bcrypt), niemals im Klartext;
• Zugriffskontrolle auf Anwendungsebene: Autorisierungs-Policies prüfen bei jedem Zugriff die Team-Zugehörigkeit, sodass Kunden ausschließlich auf ihre eigenen Marken- und Team-Daten zugreifen können (Mandantentrennung auf Anwendungsebene);
• CSRF-Schutz für alle authentifizierten Formulare;
• regelmäßige Sicherheitsupdates der eingesetzten Software-Abhängigkeiten;
• tägliche automatisierte Sicherung der Datenbank und der Anwendungs-Konfiguration in einem AES-256-verschlüsselten Archiv; die Speicherung erfolgt räumlich getrennt vom Anwendungsserver in einem EU-Rechenzentrum (Cloudflare R2 mit EU-Jurisdiktion, siehe § 6);
• abgestufte Aufbewahrung der Sicherungen (tägliche, wöchentliche, monatliche und jährliche Stände) mit automatischer Löschung älterer Archive;
• automatische Überwachung der Sicherungen; bei Fehlschlägen oder veralteten Sicherungen wird der Auftragnehmer unverzüglich per E-Mail alarmiert.

§ 9 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO), soweit dies technisch möglich und zumutbar ist. Wendet sich eine betroffene Person direkt an den Auftragnehmer, wird die Anfrage unverzüglich an den Auftraggeber weitergeleitet. Der Auftraggeber kann Auskunfts-, Berichtigungs- und Löschungsersuchen zu Team-Mitgliedern in der Regel selbst über sein CiteKit-Konto erledigen.

§ 10 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Die Meldung enthält mindestens eine Beschreibung der Art der Verletzung, die Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, eine Beschreibung der wahrscheinlichen Folgen sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.

§ 11 Löschung und Rückgabe von Daten

Nach Beendigung des Nutzungsverhältnisses löscht der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten auf Anfrage des Auftraggebers oder wenn der Auftraggeber sein Konto löscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf Wunsch des Auftraggebers erfolgt vor der Löschung ein Export der Daten in einem gängigen maschinenlesbaren Format; die erfolgte Löschung bestätigt der Auftragnehmer auf Anforderung in Textform. Eine automatische Löschung nach einer festen Frist findet derzeit nicht statt.

§ 12 Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags und der datenschutzrechtlichen Vorgaben zu überprüfen, etwa durch Einholen von Auskünften oder Einsichtnahme in die technischen und organisatorischen Maßnahmen. Der Auftragnehmer stellt dem Auftraggeber die hierfür erforderlichen Informationen zur Verfügung. Der Nachweis erfolgt vorrangig durch Selbstauskünfte. Vor-Ort-Inspektionen sind auf einmal jährlich begrenzt, mit einer Ankündigungsfrist von mindestens 30 Tagen, während der Geschäftszeiten, ohne Störung des Betriebsablaufs und auf Kosten des Auftraggebers durchzuführen. Bei konkretem Verdacht einer Verletzung des Schutzes personenbezogener Daten bleibt das Recht zur anlassbezogenen Prüfung unberührt.

§ 13 Haftung

Die Haftung richtet sich nach den Regelungen der DSGVO, insbesondere Art. 82 DSGVO, sowie den Vereinbarungen in den Allgemeinen Geschäftsbedingungen von CiteKit. Im Innenverhältnis der Parteien gilt der Ausgleich nach Art. 82 Abs. 5 DSGVO. Die in den Allgemeinen Geschäftsbedingungen vereinbarten Haftungsbeschränkungen (§ 14 AGB) bleiben unberührt, soweit Art. 82 DSGVO dem nicht entgegensteht.

§ 14 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den Allgemeinen Geschäftsbedingungen gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht. Gerichtsstand ist Stuttgart.