Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

für die Nutzung von TextRocket.ai

Dieser Vertrag zur Auftragsverarbeitung („AVV“) regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers gemäß Art. 28 DSGVO.

Er ergänzt die zwischen den Parteien geschlossenen Nutzungsbedingungen bzw. den Hauptvertrag über die Nutzung der Software TextRocket.ai.

Der Vertrag findet Anwendung auf alle Tätigkeiten, bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Personen personenbezogene Daten des Auftraggebers verarbeiten.

Es gelten die Begriffsbestimmungen der DSGVO.

1. Vertragsgegenstand und Weisungsrecht des Auftraggebers

Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der TextRocket.ai Plattform, einer Software zur Erstellung, Analyse und Verwaltung von Content.

TextRocket.ai ermöglicht insbesondere:

• Erstellung von SEO- und Marketing-Texten
• Analyse von Keywords und Suchintentionen
• Generierung und Verwaltung von Content
• Organisation von Content-Workflows
• Speicherung und Bearbeitung von Textinhalten innerhalb eines Projekts

Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO und allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich:

• im Auftrag des Auftraggebers
• nach dokumentierter Weisung des Auftraggebers
• im Rahmen der vereinbarten Leistung

Sofern der Auftragnehmer gesetzlich zu einer weitergehenden Verarbeitung verpflichtet ist, informiert er den Auftraggeber vor der Verarbeitung darüber.

Weisungen des Auftraggebers können schriftlich oder in dokumentierter elektronischer Form erfolgen.

Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich.

Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages über die Nutzung von TextRocket.ai.

2. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer verpflichtet sich, angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen, um personenbezogene Daten zu schützen.

Diese Maßnahmen berücksichtigen:

• Stand der Technik
• Art der Verarbeitung
• Umfang der Datenverarbeitung
• Eintrittswahrscheinlichkeit und Schwere möglicher Risiken

Die Maßnahmen umfassen insbesondere:

Zugangskontrolle
‍

• Zugriff auf Systeme nur über personalisierte Benutzerkonten
• sichere Passwort-Richtlinien
• optional Multi-Faktor-Authentifizierung
• rollenbasierte Zugriffsrechte

Zugriffskontrolle
‍

• Zugriff auf Daten ausschließlich nach dem Need-to-know-Prinzip
• Protokollierung administrativer Zugriffe
• eingeschränkte Administratorrechte

Übertragungskontrolle
‍

• Verschlüsselte Datenübertragung (TLS / HTTPS)

Integrität
‍

• Logging von Änderungen an Daten
• Versionshistorien für Inhalte

Verfügbarkeit
‍

• Betrieb auf hochverfügbarer Cloud-Infrastruktur
• regelmäßige Datensicherungen
• Notfall- und Wiederherstellungspläne

Trennung von Daten
‍

• logische Mandantentrennung zwischen Kundenprojekten
• getrennte Entwicklungs-, Test- und Produktionssysteme

Der Auftraggeber ist berechtigt, diese Maßnahmen zu überprüfen.

3. Vertraulichkeit

Der Auftragnehmer verpflichtet alle Personen, die Zugang zu personenbezogenen Daten haben, zur Vertraulichkeit.

Diese Verpflichtung besteht auch nach Beendigung des Vertragsverhältnisses fort.

4. Informationspflichten des Auftragnehmers

Der Auftragnehmer informiert den Auftraggeber unverzüglich über:

• Datenschutzverletzungen
• Sicherheitsvorfälle
• Verstöße gegen diesen Vertrag
• behördliche Anfragen oder Untersuchungen im Zusammenhang mit der Datenverarbeitung

Die Meldung enthält soweit möglich:

• Art der Datenschutzverletzung
• betroffene Datenkategorien
• Anzahl der betroffenen Personen
• mögliche Folgen
• ergriffene Gegenmaßnahmen

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäß Art. 12 bis 36 DSGVO.

5. Kontrollrechte des Auftraggebers

Der Auftraggeber ist berechtigt, die Einhaltung der Datenschutzbestimmungen beim Auftragnehmer zu überprüfen.

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage innerhalb einer angemessenen Frist geeignete Nachweise zur Einhaltung der vereinbarten TOMs zur Verfügung (z. B. TOM Dokumentation, Richtlinien, Auditberichte, Zertifikate, Pen Test Summary). Vor Ort Prüfungen sind ausgeschlossen. Der Auftraggeber kann bei berechtigtem Anlass eine Remote Prüfung im erforderlichen Umfang verlangen, sofern dadurch keine Betriebs- und Geschäftsgeheimnisse oder Sicherheitsinteressen des Auftragnehmers gefährdet werden und der Aufwand verhältnismäßig ist.

6. Einsatz von Subunternehmern

Der Auftragnehmer darf zur Leistungserbringung Unterauftragsverarbeiter einsetzen.

Der Auftragnehmer verpflichtet sich:

• mit allen Subunternehmern einen AVV abzuschließen
• ein vergleichbares Datenschutzniveau sicherzustellen

Der Auftraggeber erteilt eine allgemeine Genehmigung für Subunternehmer.

7. Haftung

Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen entsprechend der Regelung in Art. 82 DSGVO.

8. Beendigung des Vertrages

Nach Beendigung des Hauptvertrages wird der Auftragnehmer nach Wahl des Auftraggebers:

• personenbezogene Daten löschen oder
• an den Auftraggeber zurückgeben

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

9. Schlussbestimmungen

Änderungen dieses Vertrages bedürfen der Schriftform oder eines dokumentierten elektronischen Formats.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gelten die gesetzlichen Regelungen der DSGVO.

Anlagen

Anlage 1 – Beschreibung der Datenverarbeitung

Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt im Rahmen der Nutzung von TextRocket.ai zur Erstellung, Analyse und Verwaltung von Content.

Zwecke der Verarbeitung:

• Generierung von SEO- und Marketing-Texten
• Analyse von Keywords und Suchintention
• Organisation von Content-Projekten
• Speicherung und Bearbeitung von Textinhalten

Art der personenbezogenen Daten

Je nach Nutzung durch den Auftraggeber können verarbeitet werden:

• Kontaktdaten (z. B. Name, E-Mail-Adresse, Telefonnummer)
• Accountdaten (z.B. Projektnamen, Websites, Firmennamen)
• Inhalte innerhalb von Texten
• Nutzungs- und Logdaten

Kategorien betroffener Personen

• Mitarbeiter des Auftraggebers
• Kunden oder Leads des Auftraggebers
• Websitebesucher des Auftraggebers

Anlage 2 – Technische und organisatorische Maßnahmen

Die TOMs umfassen insbesondere:

• Zugriffsschutz durch Authentifizierung
• rollenbasierte Zugriffskontrolle
• verschlüsselte Datenübertragung
• sichere Cloud-Infrastruktur
• regelmäßige Backups
• Monitoring und Logging
• getrennte Entwicklungs- und Produktionssysteme

Anlage 3 – Subunternehmer

Beispielhafte Subdienstleister können sein:

Unterauftragsverarbeiter

1. Cloud Hosting Provider
   Verarbeitungstätigkeit: Hosting der Plattform
   Standort: EU
   ‍
2. AI Provider
   Verarbeitungstätigkeit: Verarbeitung von Textanfragen
   Standort: EU / USA
   ‍
3. Analytics Anbieter
   Verarbeitungstätigkeit: Analyse von Nutzungsdaten
   Standort: EU/USA

‍

Alle Subunternehmer unterliegen vertraglichen Datenschutzvereinbarungen gemäß Art. 28 DSGVO.