Auftragsverarbeitungsvertrag

1. Einleitung

Dieser Auftragsverarbeitungsvertrag ("DPA") ist Bestandteil der Vereinbarung zwischen dem Kunden ("Verantwortlicher") und Bonalogic, Betreiber von Nolorem ("Auftragsverarbeiter"), über die Bereitstellung der Dienste der Nolorem-Plattform.

Dieser DPA gilt für alle personenbezogenen Daten, die von Nolorem-Auftragsverarbeitern im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung des Dienstes verarbeitet werden.

2. Begriffsbestimmungen

• Verantwortlicher: Der Kunde, der die Zwecke und Mittel der Verarbeitung personenbezogener Daten über den Dienst bestimmt.
• Auftragsverarbeiter: Bonalogic (Nolorem), das personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• Unterauftragsverarbeiter: Ein Drittdienst, der vom Auftragsverarbeiter zur Unterstützung bei der Verarbeitung personenbezogener Daten herangezogen wird.
• Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
• Verarbeitung: Jeder mit personenbezogenen Daten ausgeführte Vorgang, einschließlich Erhebung, Speicherung, Verwendung, Übermittlung und Löschung.

3. Einzelheiten der Verarbeitung

Der Auftragsverarbeiter verarbeitet die folgenden Kategorien personenbezogener Daten im Auftrag des Verantwortlichen:

• Kontodaten: Name, E-Mail-Adresse, Organisationsname und Authentifizierungsdaten zur Verwaltung des Nutzerkontos.
• Inhaltsdaten: Blogbeiträge, Social-Media-Inhalte, Rechercheanfragen, Themengliederungen sowie generierte Texte und Bilder.
• Reaktionen auf veröffentlichte Social-Media-Beiträge: Wenn jemand auf einen Beitrag reagiert, den der Verantwortliche über den Dienst veröffentlicht hat, ruft der Auftragsverarbeiter diese Reaktion bei der Plattform ab (über bundle.social) und speichert sie. Das umfasst die Plattform-ID des Autors, den Anzeigenamen, soweit die Plattform ihn liefert, den Link zum Profil, den Link zum Profilbild (ein Link, der abläuft; das Bild selbst wird nicht gespeichert), den Text der Reaktion, den Zeitpunkt, die Anzahl der Likes und Antworten sowie die Position im Gesprächsverlauf. Zweck: dem Verantwortlichen zu ermöglichen, die Reaktionen zu lesen und zu beantworten. Diese Personen sind keine Kunden des Auftragsverarbeiters; ihre Daten stammen von der Plattform.
• Abrechnungsdaten: Abonnementstufe, Referenzen zur Zahlungsmethode und Rechnungsunterlagen, die über Stripe verarbeitet werden.
• Nutzungsdaten: Funktionsnutzung, Seitenaufrufe und Interaktionsprotokolle zur Verbesserung des Dienstes.
• Text vor und nach der Bearbeitung: Der Text, wie der Auftragsverarbeiter ihn generiert hat und wie der Verantwortliche ihn gesendet oder eingeplant hat, mit Kanal, Stimmprofil, Sprache, Art des Inhalts und der Nutzer-ID dessen, der den letzten Schritt gestartet hat. Zweck: die eigenen Generierungen des Verantwortlichen verbessern zu können. Der Auftragsverarbeiter verwendet diese Daten weder für andere Kunden noch zum Training eines Modells. Analysen laufen nur auf Zahlen ohne Kundennamen. Die Nutzer-ID bleibt bis zum Ende der Aufbewahrungsfrist gespeichert und verweist nach dem Löschen dieses Kontos auf niemanden mehr.

Die Daten werden für die Dauer der Nutzung des Dienstes durch den Verantwortlichen verarbeitet und innerhalb von 30 Tagen nach Beendigung des Kontos gelöscht.

Der Text vor und nach der Bearbeitung wird 12 Monate lang gespeichert oder früher zusammen mit dem Beitrag oder Artikel gelöscht sowie beim Löschen der Organisation des Verantwortlichen. Ein Beitrag oder Artikel im Papierkorb zählt mit, bis er endgültig gelöscht ist oder die 12 Monate um sind.

Reaktionen Dritter werden aufbewahrt, solange der Beitrag, unter dem sie stehen, im Dienst existiert. Der Auftragsverarbeiter ruft Reaktionen bis etwa 30 Tage nach der Veröffentlichung des Beitrags ab. Eine Reaktion, die vor diesem Zeitpunkt auf der Plattform gelöscht wird, verschwindet beim nächsten Abruf auch aus dem Dienst. Eine Reaktion, die danach auf der Plattform gelöscht wird, bleibt im Dienst, bis der Verantwortliche den Beitrag endgültig löscht (auch aus dem Papierkorb); die Reaktionen verschwinden dann mit ihm. Antworten, die aus dem Dienst gesendet wurden, werden als Teil des Beitrags aufbewahrt.

4. Auftragsverarbeiter

Die folgenden Auftragsverarbeiter werden zur Erbringung des Dienstes herangezogen. Jeder Auftragsverarbeiter ist durch Auftragsverarbeitungsverträge gebunden, die den Anforderungen der GDPR entsprechen.

Der Verantwortliche wird über alle Änderungen bei den Auftragsverarbeitern benachrichtigt. Einwände gegen neue Auftragsverarbeiter können innerhalb von 30 Tagen nach der Benachrichtigung erhoben werden.

bundle.social ruft außerdem die Reaktionen auf die Beiträge des Verantwortlichen bei der Plattform ab und sendet die Antworten, die der Verantwortliche aus dem Dienst heraus gibt. Anthropic (und als Rückfall OpenAI) erhält den Text einer Reaktion und den Namen des Autors ausschließlich dann, wenn der Verantwortliche auf die Schaltfläche „Antwort vorschlagen“ klickt, um einen Vorschlag zu verfassen. Ohne diese Handlung geht keine Reaktion an einen KI-Anbieter. Der Vorschlag wird nie gesendet, ohne dass ein Mensch auf Senden klickt.

5. Datensicherheit

Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten um, darunter:

• Verschlüsselung bei der Übertragung: Alle zwischen der Plattform und den Nutzern übertragenen Daten werden mit TLS 1.2 oder höher verschlüsselt.
• Verschlüsselung im Ruhezustand: In der Datenbank gespeicherte personenbezogene Daten werden im Ruhezustand mit AES-256 verschlüsselt.
• Zugriffskontrollen: Rollenbasierte Zugriffskontrollen und organisationsbezogene Richtlinien der Row Level Security (RLS) gewährleisten die Datenisolation zwischen Kunden.
• Regelmäßige Überprüfungen: Sicherheitspraktiken und Auftragsverarbeitungsverträge werden regelmäßig überprüft.

6. Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anträgen betroffener Personen gemäß GDPR, darunter:

• Auskunft über personenbezogene Daten
• Berichtigung unrichtiger Daten
• Löschung personenbezogener Daten
• Datenübertragbarkeit in einem maschinenlesbaren Format
• Einschränkung der Verarbeitung
• Widerspruch gegen die Verarbeitung

Der Auftragsverarbeiter wird auf Anfragen des Verantwortlichen innerhalb von 15 Werktagen antworten.

Für Reaktionen Dritter gilt: Auf Verlangen des Verantwortlichen löscht ein Administrator des Auftragsverarbeiters alle Reaktionen einer Person im Arbeitsbereich dieses Verantwortlichen. Dabei werden auch die Antworten gelöscht, die der Verantwortliche dieser Person im Dienst gegeben hat, weil sie den Namen dieser Person tragen können. Die Antwort auf der Plattform selbst bleibt bestehen; der Verantwortliche verwaltet sie dort. Anschließend vermerkt der Auftragsverarbeiter ausschließlich die Plattform-ID dieser Person und das Datum auf einer Ausschlussliste für diesen Arbeitsbereich, damit der nächste Abruf die Person nicht zurückbringt. Diese Liste gilt je Organisation und enthält nichts anderes. Rechtsgrundlage: das berechtigte Interesse, eine Löschung dauerhaft zu machen.

7. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten wird der Auftragsverarbeiter den Verantwortlichen unverzüglich und spätestens 72 Stunden, nachdem ihm die Verletzung bekannt geworden ist, benachrichtigen. Die Benachrichtigung umfasst:

• Die Art der Verletzung
• Kategorien und ungefähre Anzahl der betroffenen Personen
• Wahrscheinliche Folgen der Verletzung
• Ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung

8. Prüfungsrechte

Der Verantwortliche kann die Informationen anfordern, die erforderlich sind, um die Einhaltung der GDPR-Pflichten nachzuweisen. Der Auftragsverarbeiter stellt alle erforderlichen Informationen zur Verfügung und ermöglicht Prüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem vom Verantwortlichen beauftragten Prüfer durchgeführt werden, vorbehaltlich angemessener Ankündigung und Vertraulichkeitspflichten.

9. Beendigung

Bei Beendigung des DPA oder der zugrunde liegenden Dienstvereinbarung wird der Auftragsverarbeiter nach Wahl des Verantwortlichen:

• Alle personenbezogenen Daten in einem strukturierten, gängigen Format an den Verantwortlichen zurückgeben, oder
• Alle personenbezogenen Daten innerhalb von 30 Tagen löschen, es sei denn, eine Aufbewahrung ist nach geltendem Recht erforderlich.

Der Auftragsverarbeiter stellt auf Anfrage eine schriftliche Bestätigung der Datenlöschung bereit.

10. Kontakt

Bei Fragen zu diesem Auftragsverarbeitungsvertrag, zur Beantragung einer Prüfung oder zur Meldung eines Datenschutzanliegens kontaktieren Sie uns unter:

• E-Mail: info@nolorem.io
• Unternehmen: Bonalogic