Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen des Nutzungsvertrags über den Dienst Tidefall. Der Kunde ist hinsichtlich der Daten seines LinkedIn-Umfelds Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; Vincent van A.I., Inhaber Andreas Bernhardt, Suttkamp 13, 59229 Ahlen (nachfolgend „Auftragnehmer") ist insoweit Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Bei Widersprüchen zwischen diesem AVV und den AGB gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

§ 1 Gegenstand, Art, Zweck und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Kunden zum Zweck der Erbringung der im Nutzungsvertrag beschriebenen Leistungen (insbesondere Erstellung, Planung und Veröffentlichung von Inhalten sowie – nach Aktivierung durch den Kunden – automatisierte Interaktion mit dem Netzwerk des Kunden und mit Beiträgen Dritter).

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Auswerten (einschließlich KI-gestützter Auswertung), Verwenden, Übermitteln an die im Nutzungsvertrag vorgesehenen Empfänger/Plattformen, Löschen.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Löschpflichten nach § 10 bestehen nach dessen Beendigung fort.

§ 2 Kategorien betroffener Personen und Datenarten

(1) Kategorien betroffener Personen: Kontakte des Kunden, Personen im LinkedIn-Netzwerk des Kunden, Verfasser von Kommentaren und Beiträgen, potenzielle Kontakte, mit denen der Kunde in Interaktion tritt.

(2) Datenarten: Profil- und Identitätsdaten (Name, Headline, Unternehmen, Profilbild), im Netzwerk sichtbare Beitrags- und Kommentartexte, öffentlich sichtbare Kennzahlen, sowie daraus abgeleitete Bewertungen (z. B. Eignungs-Score).

(3) Der Kunde übermittelt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) zur Verarbeitung, es sei denn, dies wurde gesondert vereinbart.

§ 3 Weisungsrecht des Kunden

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den dokumentierten Weisungen des Kunden, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet. Die Nutzung der Funktionen des Dienstes durch den Kunden gilt als dokumentierte Einzelweisung.

(2) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Kunden darauf hinzuweisen; er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Vertraulichkeit

Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung des Vertrags fort.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen sind in Anlage 1 beschrieben.

§ 6 Weitere Auftragsverarbeiter (Subunternehmer)

(1) Der Kunde erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subunternehmer sind in Anlage 2 aufgeführt.

(2) Der Auftragnehmer unterrichtet den Kunden über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter. Der Kunde kann einer Änderung aus wichtigem, datenschutzbezogenem Grund innerhalb von vier Wochen widersprechen. Kann der Grund nicht ausgeräumt werden, ist jede Partei zur außerordentlichen Kündigung berechtigt.

(3) Der Auftragnehmer erlegt jedem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).

§ 7 Drittlandübermittlung

Übermittlungen personenbezogener Daten in ein Drittland erfolgen nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage der Standardvertragsklauseln (Art. 46 DSGVO), ergänzt – soweit einschlägig – durch einen Angemessenheitsbeschluss bzw. das EU-US Data Privacy Framework (Art. 45 DSGVO).

§ 8 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Kapitel III DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Kunden weiter.

§ 9 Unterstützung bei Sicherheit und Meldepflichten

Der Auftragnehmer unterstützt den Kunden bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Er meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.

§ 10 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragnehmer nach Wahl des Kunden alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 11 Kontroll- und Auditrechte

Der Auftragnehmer stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen. Diese können nach angemessener Vorankündigung und unter Wahrung des Betriebsablaufs erfolgen; der Nachweis kann auch durch geeignete Zertifikate, Testate oder Berichte geführt werden.

§ 12 Verantwortlichkeit und Haftung

Die Verantwortlichkeit für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen liegt beim Kunden. Für die Haftung im Außenverhältnis gilt Art. 82 DSGVO; im Innenverhältnis gelten ergänzend die Haftungsregelungen der AGB.

§ 13 Elektronischer Vertragsschluss

Dieser AVV wird gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Die Annahme durch den Kunden (Zustimmung beim Onboarding) wird mit der jeweiligen Fassung und einem Zeitstempel dokumentiert.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Transportverschlüsselung (TLS) für sämtliche Verbindungen; von Kunden vergebene Schnittstellen-/API-Schlüssel werden ausschließlich als Hash gespeichert.
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept, Mandantentrennung auf Datenbankebene mittels Row-Level-Security, Zugriff nach dem Prinzip der geringsten Rechte.
• Authentifizierung: passwortbasierte Anmeldung mit gehashten Passwörtern; API-/MCP-Zugriffe über gehashte, widerrufbare Schlüssel.
• Standort: Verarbeitung und Speicherung in Rechenzentren in Deutschland bzw. der EU (Hetzner, Deutschland; Datenbank Frankfurt am Main).
• Verfügbarkeit und Wiederherstellbarkeit: regelmäßige Sicherungen der Datenbank durch den Datenbank-/Hosting-Dienstleister.
• Protokollierung: Zugriffs- und Fehlerprotokolle mit begrenzter Aufbewahrung (7 Tage).
• Überprüfung: regelmäßige Überprüfung und Anpassung der Maßnahmen.

Anlage 2 — Verzeichnis der Subunternehmer