Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Ajansify („Ajansify“, „wir“) und dem Kunden, der den Ajansify-Dienst nutzt („Kunde“, „Sie“). Er gilt, wann immer Ajansify personenbezogene Kundendaten im Auftrag des Kunden verarbeitet. Mit der Annahme der Nutzungsbedingungen nimmt der Kunde diesen AVV an; eine gesonderte Unterschrift ist nicht erforderlich. Er erfüllt die Anforderungen von Artikel 28 DSGVO, Artikel 28 UK GDPR und Artikel 12 des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (KVKK).

1. Begriffsbestimmungen

• Anwendbares Datenschutzrecht: das KVKK, die DSGVO, die UK GDPR und jedes sonstige Datenschutzrecht, das auf die Verarbeitung anwendbar ist.
• Personenbezogene Kundendaten: personenbezogene Daten in Inhalten, die der Kunde oder seine Nutzer in den Dienst hochladen, darin erstellen oder mit ihm verbinden und die Ajansify im Auftrag des Kunden verarbeitet (Anlage A).
• Unterauftragsverarbeiter: ein Dritter, den Ajansify mit der Verarbeitung personenbezogener Kundendaten beauftragt.
• Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Kundendaten führt.
• SCC: die Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission.
• Andere Begriffe, wie Verantwortlicher, Auftragsverarbeiter, betroffene Person und Verarbeitung, haben die Bedeutung, die ihnen im anwendbaren Datenschutzrecht zukommt. Nach dem KVKK bedeutet Verantwortlicher „veri sorumlusu“ und Auftragsverarbeiter „veri işleyen“.

2. Rollen und Geltungsbereich

• Der Kunde ist der Verantwortliche für die personenbezogenen Kundendaten oder ein Auftragsverarbeiter, der für einen anderen Verantwortlichen handelt. Ajansify ist der Auftragsverarbeiter bzw. Unterauftragsverarbeiter des Kunden.
• Ist der Kunde ein Auftragsverarbeiter, bestätigt er, dass sein Verantwortlicher die Weisungen des Kunden genehmigt hat, einschließlich der Nutzung von Ajansify und seiner Unterauftragsverarbeiter.
• Für Konto-, Abrechnungs-, Sicherheits-, Marketing-, Cookie- und Betriebsdaten des Dienstes ist Ajansify Verantwortlicher und nicht Auftragsverarbeiter. Diese Verarbeitung richtet sich nach unserer Datenschutzerklärung und nicht nach diesem AVV.

3. Einzelheiten der Verarbeitung

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage A festgelegt.

4. Verarbeitung auf dokumentierte Weisung

• Ajansify verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Diese Weisungen sind die Nutzungsbedingungen, dieser AVV sowie die Nutzung und die Einstellungen des Dienstes durch den Kunden, zum Beispiel das Erzeugen von Inhalten, das Verbinden von Diensten, das Veröffentlichen, das Speichern im Cloud-Speicher, das Teilen über öffentliche Links und das Einladen von Teammitgliedern.
• Zusätzliche Weisungen müssen schriftlich erfolgen und mit den Nutzungsbedingungen vereinbar sein.
• Wir informieren den Kunden unverzüglich, wenn eine Weisung nach unserer Auffassung gegen anwendbares Datenschutzrecht verstößt, und können die betreffende Verarbeitung aussetzen, bis die Weisung bestätigt oder geändert wird.
• Sind wir gesetzlich verpflichtet, personenbezogene Kundendaten anderweitig zu verarbeiten, informieren wir den Kunden zuvor darüber, sofern das Gesetz dies nicht verbietet.
• Wir verwenden personenbezogene Kundendaten nicht für eigene Zwecke, außer um den Dienst sicher zu halten und Betrug und Missbrauch zu verhindern sowie um aggregierte oder anonymisierte Statistiken zu erstellen, die weder den Kunden noch eine Person identifizieren. Wir verkaufen personenbezogene Kundendaten nicht, verwenden sie nicht für Werbung oder zum Training eigener KI-Modelle und gestatten KI-Anbietern nicht, sie zum Training ihrer allgemeinen Modelle zu verwenden.

5. Pflichten des Kunden

Der Kunde bestätigt Folgendes und ist dafür verantwortlich:

• er verfügt über eine Rechtsgrundlage für die Verarbeitung, auch für die Übermittlung personenbezogener Kundendaten an Ajansify, dessen Unterauftragsverarbeiter und die KI-Anbieter, die die Aufträge ausführen;
• er hat den betroffenen Personen die erforderlichen Informationen erteilt, einschließlich der Informationen über Daten, die nicht bei ihnen erhoben wurden (Artikel 14 DSGVO, Artikel 10 KVKK), zum Beispiel gegenüber Bewertenden, Personen auf Fotos und seinen eigenen Kunden;
• er hat, soweit gesetzlich erforderlich, die Einwilligung oder Erlaubnis der Personen eingeholt, die auf Bildern und in Videos zu sehen sind, und der Personen, deren Stimmen verwendet werden, auch für KI-Funktionen zur Lippensynchronisation, Stimme und Abbildung;
• er lädt keine besonderen Kategorien personenbezogener Daten oder Daten von Kindern hoch, es sei denn, dies ist rechtmäßig und erforderlich und er wendet die erforderlichen Schutzmaßnahmen an, im Einklang mit unserer KI- und Nutzungsrichtlinie;
• seine Weisungen stehen im Einklang mit dem Gesetz;
• er ist für die Auswahl und Nutzung verbundener Dienste Dritter (Veröffentlichungstools, Cloud-Speicher, Google Business Profile) verantwortlich. Diese Dienste werden vom Kunden ausgewählt und sind keine Unterauftragsverarbeiter von Ajansify;
• er ist für die Prüfung und Kennzeichnung KI-generierter Inhalte und für die von ihm veröffentlichten Inhalte verantwortlich.

6. Vertraulichkeit

Ajansify stellt sicher, dass die zur Verarbeitung personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind und nur in dem Umfang Zugang haben, in dem sie ihn für ihre Arbeit benötigen.

7. Sicherheit

• Ajansify trifft geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO und Artikel 12 KVKK, wie in Anlage B beschrieben.
• Wir können diese Maßnahmen aktualisieren, sofern das Gesamtschutzniveau nicht gesenkt wird.
• Der Kunde ist für die Sicherheit seines eigenen Kontos verantwortlich, einschließlich Passwörtern, Teamberechtigungen und der von ihm erstellten öffentlichen Links.

8. Unterauftragsverarbeiter

• Der Kunde erteilt Ajansify eine allgemeine Genehmigung zur Beauftragung der unter Dienstleister und Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter.
• Bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, aktualisieren wir diese Liste und informieren den Kunden nach Möglichkeit mindestens 30 Tage im Voraus per E-Mail oder in der App. In dringenden Fällen, etwa aus Gründen der Sicherheit oder der Aufrechterhaltung des Dienstes, informieren wir so bald wie möglich.
• Der Kunde kann innerhalb der Mitteilungsfrist aus berechtigten datenschutzrechtlichen Gründen schriftlich an [email protected] Einspruch erheben. Wir werden den Einspruch nach Treu und Glauben erörtern. Können wir ihn nicht ausräumen, kann der Kunde die Nutzung des betroffenen Dienstes einstellen, indem er sein Abonnement vor dem Wirksamwerden der Änderung nach Maßgabe der Nutzungsbedingungen kündigt; seine zwingenden gesetzlichen Rechte bleiben unberührt.
• Wir erlegen jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die nicht weniger schützend sind als dieser AVV. Ajansify bleibt gegenüber dem Kunden für die Leistung seiner Unterauftragsverarbeiter verantwortlich.

9. Unterstützung bei Anträgen betroffener Personen

• Der Dienst ermöglicht es dem Kunden, Inhalte einzusehen, zu berichtigen, zu löschen und zu exportieren sowie Dienste zu trennen, was ihm bei der Beantwortung von Anträgen betroffener Personen hilft.
• Erhalten wir direkt einen Antrag zu personenbezogenen Kundendaten, leiten wir ihn unverzüglich an den Kunden weiter und antworten nicht selbst, außer um die Person an den Kunden zu verweisen, sofern das Gesetz nichts anderes verlangt.
• Unter Berücksichtigung der Art der Verarbeitung leisten wir weitere angemessene Unterstützung.

10. Datenschutz-Folgenabschätzungen und vorherige Konsultation

Wir stellen angemessene Informationen und Unterstützung für die Datenschutz-Folgenabschätzungen des Kunden und für vorherige Konsultationen mit Aufsichtsbehörden bereit, soweit sie unsere Verarbeitung betreffen. Dies geschieht hauptsächlich durch diesen AVV, Anlage B und die Liste der Unterauftragsverarbeiter.

11. Verletzung des Schutzes personenbezogener Daten

• Wir informieren den Kunden unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft. Wir streben an, dies innerhalb von 48 Stunden zu tun.
• Die Meldung beschreibt, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle. Die Informationen können schrittweise bereitgestellt werden.
• Wir ergreifen angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Auswirkungen zu verringern.
• Der Kunde entscheidet über Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen und nimmt diese vor; wir unterstützen ihn dabei. Eine Meldung ist kein Schuldeingeständnis.
• Wir senden Meldungen an die E-Mail-Adresse des Kontoinhabers und können sie zusätzlich in der App anzeigen.

12. Rückgabe und Löschung

• Solange das Abonnement aktiv ist, kann der Kunde seine Inhalte mit den Funktionen des Dienstes exportieren.
• Nach Beendigung der Nutzungsbedingungen oder Schließung des Kontos hat der Kunde 30 Tage Zeit, seine Inhalte zu exportieren. Danach löschen wir die personenbezogenen Kundendaten aus unseren aktiven Systemen. Kopien in Sicherungen werden im regulären Sicherungszyklus gelöscht, spätestens innerhalb von 90 Tagen nach der Schließung, und werden in der Zwischenzeit nicht aktiv verarbeitet.
• Sind wir gesetzlich verpflichtet, bestimmte Daten aufzubewahren, bewahren wir sie nur so lange wie erforderlich auf und schützen sie.
• Auf Anfrage bestätigen wir die Löschung schriftlich.
• Inhalte, die der Kunde in seinem eigenen Cloud-Speicher gespeichert oder über verbundene Dienste veröffentlicht hat, befinden sich außerhalb unserer Systeme und werden nicht von uns gelöscht.

13. Überprüfungen

• Wir stellen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind: diesen AVV, Anlage B, die Liste der Unterauftragsverarbeiter und einmal alle 12 Monate schriftliche Antworten auf einen angemessenen Sicherheitsfragebogen.
• Reichen diese Informationen nicht aus, verlangt eine Aufsichtsbehörde dies oder ist es zu einer Verletzung des Schutzes personenbezogener Daten gekommen, kann der Kunde eine Überprüfung (Audit) durchführen, einschließlich einer Vor-Ort-Prüfung. Der Kunde muss diese 30 Tage im Voraus ankündigen, und die Überprüfung findet während der Geschäftszeiten statt, höchstens einmal alle 12 Monate (außer wenn eine Behörde sie verlangt oder nach einer Verletzung). Sie wird vom Kunden oder von einem unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchgeführt, der nicht unser Wettbewerber ist. Der Kunde trägt seine eigenen Kosten. Die Überprüfung darf unseren Betrieb nicht stören und keinen Zugang zu Daten anderer Kunden verschaffen.
• Überprüfungen der Einrichtungen von Unterauftragsverarbeitern, etwa von Rechenzentren, werden durch die eigenen Prüfberichte oder Zertifizierungen der Unterauftragsverarbeiter abgedeckt, soweit verfügbar.

14. Internationale Übermittlungen

• Die personenbezogenen Kundendaten werden in Deutschland (EU) gehostet. Ajansify ist in der Türkei niedergelassen, und einige Unterauftragsverarbeiter haben ihren Sitz in den Vereinigten Staaten oder sind weltweit tätig.
• EU/EWR. Umfasst die Verarbeitung eine Übermittlung personenbezogener Kundendaten aus der EU/dem EWR in ein Land ohne Angemessenheitsbeschluss, werden die SCC durch Verweis einbezogen: Modul 2 (Verantwortlicher an Auftragsverarbeiter), wenn der Kunde Verantwortlicher ist, und Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Kunde Auftragsverarbeiter ist. Der Kunde ist der Datenexporteur und Ajansify der Datenimporteur. Für die SCC gilt: Klausel 7 (Kopplungsklausel) findet Anwendung; nach Klausel 9 Buchstabe a gilt Option 2 (allgemeine Genehmigung) mit der Mitteilungsfrist nach Abschnitt 8; die fakultative Formulierung in Klausel 11 findet keine Anwendung; nach Klausel 13 ist die zuständige Aufsichtsbehörde diejenige des Mitgliedstaats, in dem der Kunde niedergelassen ist, oder, falls er nicht in der EU niedergelassen ist, diejenige des Mitgliedstaats, in dem sich sein Vertreter befindet oder in dem sich die betroffenen Personen befinden; nach Klausel 17 gilt Option 2, und die SCC unterliegen dem Recht des Mitgliedstaats, in dem der Kunde niedergelassen ist, oder, wenn dieses Recht keine Rechte von Drittbegünstigten zulässt oder der Kunde nicht in der EU niedergelassen ist, dem Recht Irlands; nach Klausel 18 werden Streitigkeiten von den Gerichten dieses Mitgliedstaats entschieden. Anhang I der SCC wird durch Anlage A ausgefüllt, Anhang II durch Anlage B und Anhang III durch die Liste der Unterauftragsverarbeiter.
• Erlässt die Europäische Kommission Standardvertragsklauseln für Importeure, die selbst der DSGVO unterliegen, gelten diese Klauseln anstelle der oben genannten SCC. Bis dahin gelten die SCC, soweit anwendbar, zusammen mit den Maßnahmen in Anlage B.
• Weiterübermittlungen an Unterauftragsverarbeiter in Drittländern stützen sich auf den EU-US-Datenschutzrahmen (EU-US Data Privacy Framework), sofern der Unterauftragsverarbeiter zertifiziert ist, und andernfalls auf die SCC.
• Vereinigtes Königreich. Für Übermittlungen, die der UK GDPR unterliegen, wird das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum zu den EU-SCC einbezogen und mit den Informationen in diesem AVV ausgefüllt.
• Türkei. Übermittlungen personenbezogener Kundendaten ins Ausland erfolgen auf Grundlage der Standardverträge, die in der Verordnung über die Verfahren und Grundsätze für die Übermittlung personenbezogener Daten ins Ausland festgelegt sind. Ajansify schließt mit seinen Unterauftragsverarbeitern die entsprechenden Standardverträge ab und meldet sie der Behörde für den Schutz personenbezogener Daten innerhalb der gesetzlichen Frist, soweit Ajansify für die Meldung verantwortlich ist. Verlangt das Gesetz, dass der Kunde Vertragspartei ist, erklärt sich der Kunde bereit, den betreffenden Standardvertrag zu unterzeichnen.
• Andere Länder. Verlangen andere Gesetze Garantien für Übermittlungen, wenden die Parteien die nach diesen Gesetzen erforderlichen Garantien an.
• Widersprechen sich die SCC und dieser AVV, haben die SCC Vorrang.

15. Anfragen von Behörden

Erhalten wir von einer Behörde ein rechtsverbindliches Ersuchen um personenbezogene Kundendaten, informieren wir den Kunden, sofern das Gesetz dies nicht verbietet, legen nur das erforderliche Minimum offen und fechten Ersuchen, die rechtswidrig oder unverhältnismäßig erscheinen, an, soweit dies angemessen ist.

16. Haftung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV unterliegt den Haftungsbeschränkungen und -ausschlüssen der Nutzungsbedingungen, es sei denn, das anwendbare Datenschutzrecht, einschließlich der SCC, lässt eine solche Beschränkung nicht zu.

17. Laufzeit, Rangfolge und Änderungen

• Dieser AVV gilt, solange Ajansify personenbezogene Kundendaten verarbeitet, auch nach Beendigung der Nutzungsbedingungen bis zur Löschung nach Abschnitt 12.
• Bei Widersprüchen in Bezug auf den Datenschutz haben die SCC Vorrang vor diesem AVV, und dieser AVV hat Vorrang vor den Nutzungsbedingungen.
• Wir können diesen AVV aktualisieren, um Änderungen des Rechts, der Unterauftragsverarbeiter oder des Dienstes Rechnung zu tragen. Wesentliche Änderungen teilen wir im Voraus per E-Mail oder in der App mit. Änderungen, die den Gesamtschutz der personenbezogenen Kundendaten verringern, bedürfen der Zustimmung des Kunden.
• Mit Ausnahme der SCC unterliegt dieser AVV dem Recht und dem Gerichtsstand, die in den Nutzungsbedingungen festgelegt sind.

Anlage A – Einzelheiten der Verarbeitung

Anlage B – Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung: HTTPS/TLS für Verbindungen zum Dienst und für Aufrufe an Unterauftragsverarbeiter.
• Zugangsdaten und Schlüssel: Passwörter werden nur als Hashes gespeichert; Zugangsschlüssel für verbundene Dienste werden verschlüsselt gespeichert.
• Zugriffskontrolle: rollen- und markenbasierte Berechtigungen innerhalb der Kundenkonten; interner Zugriff nach dem Need-to-know-Prinzip und dem Prinzip der geringsten Rechte; administrativer Zugriff auf befugte Mitarbeitende beschränkt.
• Trennung: Kundendaten werden logisch nach Konten getrennt.
• Verfügbarkeit: regelmäßige Sicherungen; Hosting in Rechenzentren in Deutschland, die von Contabo betrieben werden.
• Protokollierung und Überwachung: Sicherheits- und Zugriffsprotokolle werden 2 Jahre aufbewahrt; Protokolle von KI-Aufträgen werden bis zu 1 Jahr mit eingeschränktem Zugriff aufbewahrt.
• Netzwerksicherheit: Cloudflare-Proxy und Schutz vor Angriffen, Ratenbegrenzungen und Bot-Prüfungen.
• Datenminimierung: temporäre Serverkopien werden nach jedem Auftrag gelöscht; Kartendaten werden vom Zahlungsinstitut und nicht von Ajansify verarbeitet; es wird nur auf die vom Kunden ausgewählten Cloud-Dateien zugegriffen, mit eng gefassten Berechtigungsumfängen.
• Management von Unterauftragsverarbeitern: schriftliche Verträge; KI-Anbieter werden über Geschäftsangebote (API) genutzt, ohne Training mit personenbezogenen Kundendaten.
• Vorfallmanagement: Behandlung und Meldung von Verletzungen wie in Abschnitt 11 beschrieben.
• Personal: Vertraulichkeitspflichten; Entzug des Zugangs, sobald er nicht mehr benötigt wird.
• Löschung: Löschverfahren wie in Abschnitt 12 beschrieben.

Anlage C – Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter, ihrer Zwecke, Standorte und Übermittlungsgarantien ist unter Dienstleister und Unterauftragsverarbeiter veröffentlicht.