Auftragsverarbeitung, Version 2.0

1. Gegenstand und Dauer der Verarbeitung

Der Auftragnehmer erbringt für den Auftraggeber die im jeweiligen Vertrag beauftragten Leistungen. Dazu können gehören:

• Websites und Onlineshops: Erstellung, Hosting, Wartung und Pflege, E-Mail-Postfächer, Formulare, Terminbuchung, Newsletter-Anbindung, Shop-Funktionen, Webanalyse und Support;
• Werbung: Einrichtung, Steuerung, Optimierung und Auswertung von Werbekampagnen auf den vereinbarten Plattformen (insbesondere Google, Meta, TikTok und LinkedIn), Einrichtung von Tracking und Conversion-Messung, Weiterleitung von Anfragen und Leads sowie Reporting;
• Inhalte: Erstellung von Texten und Werbemitteln (Bild und Video), Bearbeitung und Veröffentlichung auf den vereinbarten Kanälen.

Welche dieser Leistungen beauftragt sind, ergibt sich aus dem jeweiligen Vertrag. Die Verarbeitung dauert so lange wie dieser Vertrag; die Pflichten aus diesem AVV gelten bis zum Abschluss von Rückgabe und Löschung fort.

2. Art und Zweck der Verarbeitung

Erheben, Speichern, Ordnen, Verwenden, Übermitteln (Weiterleiten), Veröffentlichen und Löschen personenbezogener Daten, soweit es für die beauftragten Leistungen erforderlich ist, insbesondere für Betrieb und Sicherheit der Website, Verwaltung eingehender Anfragen und Bestellungen, Bereitstellung von Postfächern, Sicherungskopien, Einrichtung und Betrieb von Analyse-, Mess- und Marketing-Werkzeugen, Steuerung und Auswertung von Werbekampagnen, Weiterleitung von Leads sowie Erstellung und Veröffentlichung von Inhalten. Eine Nutzung der Daten für eigene Zwecke des Auftragnehmers findet nicht statt.

Formular-, Newsletter- und Lead-Daten werden ausschließlich an die vom Auftraggeber benannten Empfänger oder Systeme weitergeleitet beziehungsweise in vereinbarten Systemen bereitgestellt. Bei vereinbarter Bereitstellung in Google Sheets erhält der Auftraggeber Zugriff. Zusätzliche Kopien außerhalb der vereinbarten Verarbeitung und Sicherung werden nicht angelegt.

3. Art der personenbezogenen Daten

Je nach Leistung insbesondere: Stammdaten (Name, Anschrift), Kontaktdaten (E-Mail-Adresse, Telefonnummer), Inhaltsdaten (Nachrichten, Anfragen, Leads, Buchungs- und Bestelldaten), Vertrags- und Zahlungsdaten (soweit über die Website des Auftraggebers verarbeitet), Nutzungsdaten (IP-Adressen, Zugriffsdaten, Log-Dateien, Kennungen aus Analyse- und Messwerkzeugen), Konto-, Kampagnen- und Performance-Daten der Werbeplattformen, Bild-, Video- und Tonmaterial sowie Kommunikationsdaten aus E-Mail-Postfächern.

4. Kategorien betroffener Personen

Besucher, Interessenten und Kunden des Auftraggebers, Personen, die über Werbekampagnen Anfragen stellen (Leads), Nutzer der Werbeplattformen, Newsletter-Abonnenten, Beschäftigte und Ansprechpartner des Auftraggebers, in Bild- oder Videomaterial erkennbare Personen sowie sonstige Kommunikationspartner des Auftraggebers.

Die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht beauftragt. Sie bedarf einer vorherigen gesonderten Vereinbarung in Textform über Umfang, Weisungen und Schutzmaßnahmen. Ohne eine solche Vereinbarung beschränkt sich der Auftragnehmer bei unbeabsichtigter Kenntnisnahme auf unvermeidbare Einsicht, fertigt keine zusätzlichen Kopien an und stimmt die weitere Behandlung unverzüglich mit dem Auftraggeber ab. Angebote, die sich gezielt an Minderjährige richten, bedürfen ebenfalls einer gesonderten Vereinbarung in Textform.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet; in einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. Der Abschluss und die Durchführung des Vertrags gelten als Weisung. Weitere Weisungen werden in Textform (zum Beispiel per E-Mail) erteilt oder vom Auftragnehmer vor ihrer Ausführung in Textform dokumentiert. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich und führt sie bis zur Klärung nicht aus.

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Er ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 1).

Der Auftragnehmer unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) sowie unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO und bei Anfragen von Aufsichtsbehörden, soweit seine Verarbeitung betroffen ist. Für Unterstützungsleistungen, die über das übliche Maß hinausgehen, kann der Auftragnehmer eine angemessene Vergütung verlangen, sofern der Aufwand nicht auf einem Verstoß des Auftragnehmers beruht.

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten, die den Auftrag betreffen, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO. Datenschutz-Kontakt: info@tivaos.com.

6. Unterauftragsverhältnisse und Drittländer

Der Auftraggeber erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vor dem geplanten Einsatz in Textform über Identität, Aufgabe und Verarbeitungsorte neuer oder ersetzender Unterauftragsverarbeiter. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Bei einem solchen Widerspruch erfolgt der betroffene Einsatz erst nach Klärung; die Parteien vereinbaren eine datenschutzkonforme Alternative oder die Beendigung des betroffenen Leistungsteils. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu denselben einschlägigen Datenschutzpflichten (Art. 28 Abs. 4 DSGVO) und bleibt gegenüber dem Auftraggeber für deren Erfüllung verantwortlich.

Anlage 2 erfasst nur Verarbeitungsvorgänge, bei denen der Auftragnehmer einen Anbieter als weiteren Auftragsverarbeiter einsetzt. Bei Anbietern, die der Auftraggeber unmittelbar beauftragt (zum Beispiel über eigene Werbe-, Analyse-, Shop- oder Buchungskonten), sowie bei eigenständiger oder gemeinsamer Verantwortlichkeit eines Anbieters richtet sich die Rollenverteilung nach dem konkreten Verarbeitungsvorgang und den einschlägigen Vereinbarungen mit diesem Anbieter; die Inhaberschaft eines Kontos allein bestimmt die datenschutzrechtliche Rolle nicht. Personenbezogene Daten übermittelt der Auftragnehmer an Werbeplattformen (zum Beispiel Kundenlisten für Zielgruppen) nur auf Weisung des Auftraggebers.

Übermittlungen personenbezogener Daten in Drittländer, einschließlich dortiger Fernzugriffe und Weiterübermittlungen durch Unterauftragsverarbeiter, erfolgen nur im Rahmen der Weisungen des Auftraggebers, zu denen auch die Genehmigung der in Anlage 2 genannten Unterauftragsverarbeiter gehört, und unter Einhaltung der Art. 44 ff. DSGVO. Bei EU-Standardvertragsklauseln prüft der Auftragnehmer das erforderliche Schutzniveau und setzt gegebenenfalls ergänzende Maßnahmen um. Auf das EU-US Data Privacy Framework wird nur für den konkret zertifizierten US-Empfänger und die davon erfassten Übermittlungen zurückgegriffen.

7. Einsatz von KI-Diensten

Personenbezogene Auftragsdaten werden nur in den in Anlage 2 bezeichneten KI-Diensten und Funktionen verarbeitet, deren Einsatz vom einschlägigen Auftragsverarbeitungsvertrag mit dem Anbieter erfasst ist und bei denen eine Nutzung dieser Daten zum Modelltraining ausgeschlossen ist. Vor dem Einsatz prüft der Auftragnehmer Tarif, Vertragsabdeckung und Einstellungen; externe Integrationen und Zusatzdienste bedürfen einer gesonderten Prüfung. Soweit möglich, werden anonyme Daten verwendet, gegebenenfalls durch ausreichende Zusammenfassung; pseudonymisierte Daten bleiben personenbezogen. Besondere Kategorien personenbezogener Daten werden nicht in KI-Dienste eingegeben.

8. Rechte und Pflichten des Auftraggebers

Der Auftraggeber ist im Rahmen dieses AVV für die Einhaltung der datenschutzrechtlichen Vorschriften verantwortlich, insbesondere für die Rechtmäßigkeit der Datenverarbeitung auf seiner Website und in seinen Werbemaßnahmen (Rechtsgrundlagen, Informationspflichten, Einwilligungen für Tracking, Messung und Newsletter, Einstellungen des Cookie-Banners) und für die Rechtmäßigkeit der Weitergabe an den Auftragnehmer. Für bereitgestelltes Bild-, Video- und Textmaterial stellt der Auftraggeber die erforderlichen Rechte und Einwilligungen abgebildeter Personen sicher. Die eigenen gesetzlichen und vertraglichen Pflichten des Auftragnehmers bleiben unberührt.

9. Nachweis und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht und unterstützt Überprüfungen, einschließlich Inspektionen, die vom Auftraggeber oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchgeführt werden. Routinemäßige Kontrollen erfolgen grundsätzlich mit mindestens 14 Tagen Vorankündigung zu den üblichen Geschäftszeiten. Bei konkreten Anhaltspunkten für Datenschutzverstöße, Sicherheitsvorfällen oder behördlicher Dringlichkeit sind Kontrollen mit angemessen verkürzter Frist, erforderlichenfalls ohne Vorankündigung, möglich. Vertraulichkeit und Rechte anderer Kunden werden gewahrt, ohne erforderliche Kontrollen zu verhindern. Die Kosten externer Prüfer trägt der Auftraggeber, es sei denn, die Kontrolle ergibt einen Verstoß des Auftragnehmers gegen diesen AVV; in diesem Fall trägt der Auftragnehmer diese Kosten.

10. Löschung und Rückgabe

Nach Ende der Verarbeitungsleistungen gibt der Auftragnehmer nach Wahl des Auftraggebers sämtliche im Auftrag verarbeiteten personenbezogenen Daten zurück (Bereitstellung in einem gängigen, maschinenlesbaren Format, auch über den Zugang des Auftraggebers zum System) oder löscht sie, spätestens innerhalb von 30 Tagen. Auch nach einer Rückgabe löscht er sämtliche verbliebenen Kopien, sofern nicht Unionsrecht oder mitgliedstaatliches Recht eine Speicherung verlangt; gesetzlich aufzubewahrende Daten werden gesperrt und ausschließlich für diesen Zweck gespeichert. Für Sicherungskopien gelten die in Anlage 1 festgelegten Löschfristen; bis zur Löschung sind sie dem regulären Zugriff entzogen und werden ausschließlich zur Wiederherstellung verwendet. Bei einer Wiederherstellung werden bereits fällige Löschungen erneut umgesetzt. Unterlagen, die nach Prüfung keine personenbezogenen Daten enthalten (zum Beispiel Entwürfe und Projektdateien), darf der Auftragnehmer bis zu 24 Monate für Rückfragen aufbewahren.

Ein Anspruch auf Herausgabe oder Vervielfältigung der Website selbst, insbesondere ihrer Gestaltung, ihrer Programmdateien oder eines vollständigen Datenbankabbilds, ergibt sich aus diesem AVV nicht; hierfür gelten der jeweilige Vertrag und die AGB. Diese Beschränkung schränkt die vollständige Rückgabe personenbezogener Daten einschließlich personenbezogener Inhalte nicht ein.

11. Fassungen und Änderungen dieses AVV

Maßgeblich ist die im jeweiligen Vertrag ausdrücklich bezeichnete Fassung dieses AVV. Jede Fassung bleibt unter ihrer Versionsadresse auf tivaos.agency dauerhaft abrufbar. Eine Änderung der Website ändert bestehende Vereinbarungen nicht. Änderungen der Unterauftragsverarbeiter richten sich nach Ziffer 6; sonstige Änderungen bedürfen der Zustimmung des Auftraggebers in Textform.

12. Haftung und Schlussbestimmungen

Für die Haftung gelten die Regelungen des jeweiligen Vertrags sowie Art. 82 DSGVO. Bei Widersprüchen zwischen diesem AVV und anderen Vertragsregelungen gehen für die Verarbeitung personenbezogener Daten die Regelungen dieses AVV vor. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Hosting an den EU-Serverstandorten des Hosting-Anbieters, der den physischen Zutritt zu den Rechenzentren regelt; Zutrittsbeschränkungen gelten auch für die Arbeitsräume des Auftragnehmers; Arbeitsgeräte werden vor unbefugtem Zugriff geschützt.
• Zugangskontrolle: personalisierte Zugänge, starke Passwörter mit Passwort-Manager, Zwei-Faktor-Authentifizierung für alle für Kundenarbeit genutzten Konten, SSH-Schlüssel statt Passwörtern für Server-Zugriffe.
• Zugriffskontrolle: Zugriff auf Kundendaten nur für Mitarbeiter, die ihn zur Leistungserbringung benötigen (Need-to-know-Prinzip); getrennte Rollen und Rechte in den eingesetzten Systemen; regelmäßige Überprüfung der vergebenen Zugänge.
• Trennungskontrolle: je Kundenprojekt getrennte Website-Installationen und Datenbanken bzw. Datenbankbenutzer; Trennung von Produktiv- und Testdaten.
• Geräteschutz: Festplattenverschlüsselung und Schutz vor Schadsoftware auf allen Arbeitsgeräten.

Integrität

• Weitergabekontrolle: Personenbezogene Daten werden über verschlüsselte Transportwege übertragen, beispielsweise TLS oder SSH; gespeicherte personenbezogene Daten werden verschlüsselt, soweit dies technisch verfügbar ist.
• Eingabekontrolle: Protokollierung administrativer Zugriffe und wesentlicher Änderungen (Server- und Anwendungs-Logs), soweit technisch verfügbar; andernfalls Dokumentation der Änderungen durch den Auftragnehmer.

Verfügbarkeit und Belastbarkeit

• Regelmäßige, automatisierte Sicherungskopien der Websites und Datenbanken; dokumentierte Wiederherstellungsverfahren und regelmäßige Wiederherstellungstests.
• Löschfristen für Sicherungskopien: Manuelle Sicherungskopien (zum Beispiel vor Änderungen angelegte Datenbank- oder Dateikopien) löscht der Auftragnehmer spätestens 90 Tage nach ihrer Erstellung. Automatische Sicherungskopien beim Hosting-Anbieter werden spätestens 90 Tage nach ihrer Erstellung gelöscht oder überschrieben (derzeit tägliche Sicherungen nach 7 Tagen, wöchentliche nach 6 Wochen). Bei Google Workspace werden Sicherungskopien spätestens 180 Tage nach Auslösung der Löschung der betreffenden Daten gelöscht; die Löschung wird innerhalb der Frist nach Ziffer 10 ausgelöst. Für Sicherungskopien in sonstigen eingesetzten Systemen löst der Auftragnehmer die Löschung ebenfalls innerhalb der Frist nach Ziffer 10 aus; die Höchstfristen der Anbieter für die Entfernung aus deren Sicherungen nennt der Auftragnehmer dem Auftraggeber auf Anfrage, und vor dem Einsatz eines neuen Anbieters stellt er sicher, dass diese Höchstfrist 180 Tage ab Auslösung der Löschung nicht überschreitet. Die Beschränkungen für Zugriff, Verwendung und Wiederherstellung nach Ziffer 10 gelten für sämtliche Sicherungskopien.
• Aktuelle Systemsoftware, zeitnahe Einspielung sicherheitsrelevanter Updates, Schwachstellen- und Update-Management, Systemhärtung, Firewalls und Malware-Schutz auf Server-Ebene.

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung der eingesetzten Dienstleister, der Wirksamkeit der Maßnahmen und der Vergabepraxis von Zugriffsrechten; datenschutzfreundliche Voreinstellungen bei neuen Projekten (Privacy by Design/Default); Schulung und Vertraulichkeitsverpflichtung der Mitarbeiter.
• Wiederherstellungstests, Schwachstellenprüfungen und Überprüfungen der Zugriffsrechte werden in risikobasiert festgelegten und dokumentierten Intervallen sowie bei wesentlichen Änderungen durchgeführt. Ergebnisse und erforderliche Abhilfemaßnahmen werden dokumentiert und nachverfolgt. Soweit technische Protokollierung nicht verfügbar ist, werden administrative Zugriffe und wesentliche Änderungen nachvollziehbar dokumentiert und diese Aufzeichnungen regelmäßig kontrolliert.
• Die Maßnahmen dürfen durch Änderungen nicht unter das nach Art. 32 DSGVO erforderliche oder vereinbarte Schutzniveau sinken; wesentliche Änderungen werden dem Auftraggeber vorab mitgeteilt.

Anlage 2: Genehmigte Unterauftragsverarbeiter

• Hostinger International Ltd. (Hosting der Websites, Serverstandort EU), 61 Lordou Vironos Street, 6023 Larnaca, Zypern
• Zoho Corporation B.V. (E-Mail-Postfächer, Rechenzentren in der EU), Beneluxlaan 4B, 3527 HT Utrecht, Niederlande
• Google Cloud EMEA Limited (Google Workspace einschließlich Gemini innerhalb der vom Workspace-Vertrag erfassten Dienste: E-Mail, Ablage von Projektunterlagen, Dokumente und Auswertungen), 70 Sir John Rogerson’s Quay, Dublin 2, Irland (Verarbeitung auch außerhalb der EU: EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework für Google LLC)
• Microsoft Ireland Operations Ltd. (Microsoft-365-Postfächer, soweit gebucht), One Microsoft Place, Dublin 18, Irland
• Weglot SAS (Website-Übersetzung, soweit gebucht), 138 Rue Pierre Joigneaux, 92270 Bois-Colombes, Frankreich
• Sendinblue GmbH / Brevo (Newsletter-Versand, soweit gebucht), Köpenicker Straße 126, 10179 Berlin, Deutschland
• Cloudflare, Inc. (Content Delivery Network und Medien-Speicher, soweit eingesetzt), 101 Townsend Street, San Francisco, USA (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework)
• Zapier, Inc. (Automatisierung und Weiterleitung von Leads, soweit eingesetzt), 548 Market Street #62411, San Francisco, CA 94104, USA (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework)
• Atlassian Pty Ltd (Trello, Projektorganisation), Level 6, 341 George Street, Sydney NSW 2000, Australien; Partei des Auftragsverarbeitungsvertrags ist zusätzlich Atlassian US, Inc. (Übermittlung nach Australien und in die USA: EU-Standardvertragsklauseln; das EU-US Data Privacy Framework gilt nur für Atlassian, Inc. in den USA)
• Adobe Systems Software Ireland Limited (Adobe Creative Cloud, Gestaltung und Produktion von Werbemitteln), 4-6 Riverwalk, City West Business Campus, Dublin 24, Irland
• Anthropic Ireland, Limited (Claude Team: KI-gestützte Analyse sowie Text- und Code-Erstellung), 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland (Verarbeitung auch in den USA: EU-Standardvertragsklauseln)
• OpenAI Ireland Ltd (ChatGPT Business einschließlich der davon erfassten Codex-Nutzung: KI-gestützte Analyse sowie Text-, Code- und Bilderstellung), 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland (Verarbeitung auch in den USA: EU-Standardvertragsklauseln)

Für Google Ireland Limited, Meta Platforms Ireland Limited, TikTok Technology Limited und Stripe Payments Europe, Ltd. enthält diese Anlage keine pauschale Genehmigung als Unterauftragsverarbeiter. Soweit der Auftragnehmer einen dieser Anbieter als weiteren Auftragsverarbeiter einsetzen will, benennt er vor dem Einsatz den konkreten Dienst, den Verarbeitungsvorgang, die beauftragte Gesellschaft, die Vertragskette und die Verarbeitungsorte. Der Einsatz richtet sich nach dem Informations- und Widerspruchsverfahren der Ziffer 6. Für unmittelbar vom Auftraggeber beauftragte Anbieter sowie eigenständige oder gemeinsame Verantwortlichkeit gilt die Rollenabgrenzung in Ziffer 6.

Es werden jeweils nur die Unterauftragsverarbeiter eingesetzt, deren Leistungen für das konkrete Kundenprojekt gebucht bzw. erforderlich sind. Kommen für ein Projekt weitere Dienstleister zum Einsatz (zum Beispiel spezielle Buchungs-, Shop- oder Marketing-Werkzeuge, freie Mitarbeiter oder externe Creator), teilt der Auftragnehmer diese dem Auftraggeber vor dem Einsatz mit (zum Beispiel im Angebot); Ziffer 6 gilt entsprechend.

Zahlungen an den Auftragnehmer per SEPA-Lastschrift wickelt GoCardless SAS, 7 rue de Madrid, 75008 Paris, Frankreich, ab; GoCardless ist dabei eigener Verantwortlicher für die Zahlerdaten und kein Unterauftragsverarbeiter.