Auftragsverarbeitungsvereinbarung für Tellmachines

Diese Vereinbarung nach Art. 28 DSGVO wird zwischen dem im Tellmachines-Vertrag bezeichneten Kunden als Auftraggeber und Zeradion UG (haftungsbeschränkt), Silberne-Fisch-Gasse 10, 93047 Regensburg, vertreten durch Geschäftsführer Daniel Schellhorn, Amtsgericht Regensburg HRB 22599, als Auftragnehmer geschlossen. Sie gilt für die in Anlage 1 beschriebene Verarbeitung personenbezogener Daten im Kundenauftrag und einschließlich ihrer Anlagen als Bestandteil des Hauptvertrags.

1 Gegenstand und Rollen

1.1 Der Auftraggeber ist für Rechtmäßigkeit, Zwecke und zulässigen Umfang der beauftragten Verarbeitung verantwortlich. Handelt er selbst als Auftragsverarbeiter, gewährleistet er die erforderliche Beauftragung und Genehmigung seiner Auftraggeber. Die Rechte der jeweils Verantwortlichen bleiben bestehen.

1.2 Zeradion verarbeitet Auftragsdaten ausschließlich für die vereinbarten Leistungen und dokumentierten Weisungen. Eine eigene Nutzung der Auftragsdaten für allgemeines Modelltraining oder Werbung ist nicht beauftragt. Eigene Verarbeitung Zeradions, etwa für Vertragsverwaltung, Abrechnung und erforderliche Sicherheit der eigenen Dienste, ist nicht Gegenstand dieser AVV und muss auf einer eigenen zulässigen Grundlage erfolgen.

1.3 Die AVV gilt ab Beginn der Auftragsverarbeitung, auch in einem entsprechenden kostenlosen Test, bis zur vereinbarten Rückgabe oder Löschung. Sie geht im Datenschutzbereich widersprechenden Regelungen des Hauptvertrags vor.

2 Weisungen und Kontakt

2.1 Weisungen ergeben sich aus dieser Vereinbarung, der Bestellung und zulässigen Einstellungen beziehungsweise Funktionsaufrufen berechtigter Nutzer. Ergänzende Weisungen können in Textform an legal@zeradion.com gerichtet werden. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Gesetzliche Pflichten werden durch Weisungen nicht abbedungen.

2.2 Der Auftraggeber benennt und pflegt weisungsberechtigte Kontaktpersonen und einen erreichbaren Datenschutz-/Vorfallkontakt in seinen Vertrags- oder Kontodaten. Die vereinbarten Nutzerrollen begrenzen die Weisungsbefugnis im Studio. Zeradion nutzt legal@zeradion.com als Datenschutzkontakt; Support kann unter support@zeradion.com erreicht werden.

2.3 Hält Zeradion eine Weisung für rechtswidrig, weist es unverzüglich darauf hin und darf die betroffene Ausführung bis zur Klärung aussetzen. Muss Zeradion aufgrund zwingenden Unions- oder Mitgliedstaatenrechts verarbeiten, informiert es den Auftraggeber vorab, soweit das betreffende Recht dies nicht aus wichtigen öffentlichen Interessen untersagt.

3 Vertraulichkeit und Sicherheit

3.1 Zeradion setzt nur entsprechend berechtigte Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf den erforderlichen Umfang begrenzt. Die Verpflichtung gilt nach Tätigkeitsende fort.

3.2 Zeradion trifft und unterhält nach Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen. Anlage 2 beschreibt die vereinbarten Maßnahmen. Änderungen sind zulässig, wenn das vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und auf Anforderung erläutert.

4 Unterstützung und Betroffenenrechte

4.1 Zeradion unterstützt den Auftraggeber unter Berücksichtigung der Verarbeitungsart durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung von Betroffenenrechten. Vorrangig nutzt der Auftraggeber die bereitgestellten Studiofunktionen. Unmittelbar eingehende Anfragen leitet Zeradion ohne unangemessene Verzögerung weiter; eine eigene Sachentscheidung erfolgt nur auf Weisung oder gesetzlicher Grundlage.

4.2 Zeradion unterstützt unter Berücksichtigung der Verarbeitungsart und verfügbarer Informationen bei Sicherheitsanforderungen, Datenschutz-Folgenabschätzungen und einer gegebenenfalls erforderlichen vorherigen Konsultation. Der Auftraggeber bleibt für die eigene Bewertung und erforderliche Meldungen verantwortlich.

4.3 Weitergehende Beratung oder eine rechtliche Prüfung des Kundeneinsatzes sind über Art. 28 Abs. 3 Buchstaben e und f DSGVO hinaus nicht geschuldet.

5 Datenschutzverletzungen

5.1 Zeradion informiert den Auftraggeber nach Bekanntwerden einer Verletzung des Schutzes beauftragter personenbezogener Daten unverzüglich und unterstützt bei Eindämmung, Untersuchung und Abhilfe. Auf vollständige Untersuchungsergebnisse wird mit der Erstinformation nicht gewartet.

5.2 Soweit verfügbar, teilt Zeradion Art, Umfang, betroffene Personen-/Datenkategorien, wahrscheinliche Folgen, Kontaktstelle und Gegenmaßnahmen mit. Informationen können schrittweise ergänzt werden und beschränken sich auf die betroffene Auftragsverarbeitung.

5.3 Die unverzügliche Information wird nicht durch normale Supportzeiten begrenzt. Der Auftraggeber verantwortet seine Meldungen an Behörden und Betroffene; eigene gesetzliche Pflichten Zeradions bleiben bestehen.

6 Weitere Auftragsverarbeiter und Drittlandverarbeitung

6.1 Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der für die beauftragten Leistungen in Anlage 3 bezeichneten weiteren Auftragsverarbeiter. Unvollständig bezeichnete Einträge sind vor ihrem Einsatz zu vervollständigen und mitzuteilen. Sonstige Dienstleister mit eigenen Zwecken werden nicht allein durch ihre Erwähnung zu Unterauftragsverarbeitern.

6.2 Über beabsichtigte Hinzuziehung oder Ersetzung informiert Zeradion rechtzeitig vor dem vorgesehenen Beginn mit einer nach Umständen und Dringlichkeit angemessenen Prüfungs- und Widerspruchsmöglichkeit in Textform unter Angabe von Tätigkeit und Verarbeitungsorten. Der Auftraggeber kann aus sachlichen Datenschutzgründen widersprechen. Die Parteien suchen eine angemessene Lösung. Bis zur Klärung erfolgt keine neue Verarbeitung bei dem beanstandeten Dienstleister, soweit keine anderweitige wirksame Genehmigung besteht.

6.3 Ist eine datenschutzgerechte wirtschaftlich zumutbare Alternative nicht möglich, können beide Parteien die betroffene Leistung mit Wirkung vor dem beanstandeten Einsatz beenden. Nicht erbrachte vorausbezahlte Leistungsanteile werden erstattet. Eine bloße unbegründete Ablehnung begründet kein beliebiges kostenfreies Kündigungsrecht.

6.4 Zeradion schließt die erforderlichen Verträge nach Art. 28 Abs. 4 DSGVO, legt im erforderlichen Umfang gleichwertige Pflichten auf und bleibt für die Erfüllung dieser Pflichten gegenüber dem Auftraggeber verantwortlich. Reine Hilfsleistungen ohne Auftragsdatenzugriff unterfallen dieser Genehmigung nicht.

6.5 Verarbeitungen oder Zugriffe außerhalb des EWR erfolgen nur innerhalb dokumentierter Weisungen und bei Erfüllung der Voraussetzungen von Kapitel V DSGVO. Je Empfänger kommen insbesondere ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien einschließlich passender Standardvertragsklauseln und erforderlicher Zusatzmaßnahmen in Betracht. Zeradion hält die für den konkreten Einsatz erforderlichen Nachweise bereit.

7 Nachweise und Kontrollen

7.1 Zeradion stellt die zur Darlegung seiner Pflichterfüllung erforderlichen Informationen zur Verfügung. Geeignete aktuelle Berichte, dokumentierte Maßnahmen und vorhandene Prüfungsnachweise können vorrangig verwendet werden, soweit sie das Kontrollziel erreichen.

7.2 Zeradion ermöglicht und unterstützt erforderliche Prüfungen einschließlich Inspektionen durch den Auftraggeber oder einen vertraulich gebundenen unabhängigen Prüfer. Anlasslose Prüfungen werden mit angemessener Vorankündigung zu üblichen Geschäftszeiten bei unveränderter Verarbeitung grundsätzlich jährlich gebündelt. Zusätzliche oder kurzfristige erforderliche Prüfungen bleiben möglich. Sicherheit, Geschäftsgeheimnisse und Daten anderer Kunden sind zu schützen; das Kontrollrecht darf dadurch nicht vereitelt werden.

7.3 Für zusätzlichen personellen Aufwand bei individuellen Weisungen, Unterstützung oder Kontrollen kann Zeradion eine angemessene Vergütung nach vorab mitgeteilten und vereinbarten Sätzen verlangen, soweit dies rechtlich zulässig und nicht bereits vom vereinbarten Leistungsumfang umfasst ist. Dies darf gesetzliche Unterstützung und wirksame Kontrollen nicht vereiteln. Die Kosten der Behebung eigener Pflichtverletzungen Zeradions trägt Zeradion. Betroffenen werden hierdurch keine Gebühren auferlegt.

8 Rückgabe Löschung und Vertragsende

8.1 Der Auftraggeber kann während der Vertragsdauer zulässige Berichtigung, Einschränkung, Herausgabe oder Löschung anweisen. Für Standardaufbewahrung und Abweichungen gilt Anlage 1. Bei Löschung werden bekannte verknüpfte Kopien im Verantwortungsbereich Zeradions berücksichtigt und beauftragte Dienstleister im erforderlichen Umfang einbezogen.

8.2 Nach Ende der Verarbeitung gibt Zeradion nach Wahl des Auftraggebers sämtliche Auftragsdaten zurück oder löscht sie und vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Rückgabe erfolgt vorrangig über bereitgestellte Standardexporte, soweit diese die gesetzlichen Anforderungen erfüllen. Zwingende Abruf- und Wechselrechte nach dem Data Act bleiben erhalten. Eine Datenherausgabe im Standardverfahren ist nicht von der Begleichung streitiger Forderungen abhängig.

8.3 Gesetzlich aufzubewahrende Daten werden auf das erforderliche Maß beschränkt, für andere Zwecke gesperrt und nach Fristablauf gelöscht. Nicht sofort einzeln bereinigbare Sicherungskopien werden dem normalen Betrieb entzogen und nach Ablauf des vereinbarten Backupzyklus entfernt. Bei Wiederherstellung werden bereits wirksam gewordene Löschungen erneut umgesetzt, bevor Daten wieder regulär verwendet werden.

9 Schlussregelungen

9.1 Für Haftung und Vergütung gilt der Hauptvertrag, soweit zwingendes Datenschutzrecht nicht entgegensteht. Rechte betroffener Personen und die Verantwortlichkeit nach Art. 82 DSGVO bleiben unberührt.

Anlage 1 Beschreibung der Verarbeitung

Gegenstand ist die Bereitstellung der gebuchten Tellmachines-Funktionen: Kommunikation, Wissensbereitstellung, Kalenderbuchung, Nachrichten/Notizen, Studioverwaltung und gegebenenfalls Website-Hosting/-Pflege. Die Verarbeitung umfasst Empfangen, Weiterleiten, KI-gestütztes Auswerten/Erzeugen, Speichern, Abrufen, Übermitteln, Berichtigen, Einschränken und Löschen.

Dauer ist die beauftragte Leistung einschließlich Rückgabe-/Löschabwicklung. Der Kunde bestimmt die zulässigen Kommunikationszwecke und Inhalte. Zeradion nutzt den Datenbestand nicht für eigene Kundenakquise.

Eine gezielte Verarbeitung von Daten nach Art. 9 oder 10 DSGVO ist im Standardumfang nicht beauftragt. Bei unvorhergesehenem Eingang erteilt der Auftraggeber erforderliche zulässige Weisungen; gesetzliche Schutzpflichten bleiben bestehen. Ausgeschlossene Einsätze und Berufsgeheimnisträger nach den besonderen Bedingungen sind nicht vom Standardauftrag umfasst.

Standardmäßig werden Transkripte, Gesprächszusammenfassungen, Nachrichten und Notizen 30 Tage aufbewahrt: bei anrufbezogenen Inhalten ab Gesprächsende, sonst ab Erstellung. Gesprächs-/Verbindungsdaten unterliegen ebenfalls der vereinbarten 30-Tage-Regel. Für Buchungskontaktdaten und Terminfreitext gelten 90 Tage ab Terminende, für produktive Sicherungskopien 30 Tage. Zulässige Abweichungen werden über verfügbare Einstellungen oder den Datenschutzkontakt vereinbart. Ein Verwaltungsaccount rechtfertigt keine unbegrenzte Inhaltsaufbewahrung.

Anlage 2 Technische und organisatorische Maßnahmen

Die Maßnahmen beziehen sich auf die beauftragte Tellmachines-Anwendung. Ihr Umfang richtet sich nach Art. 32 DSGVO, insbesondere Verarbeitungsrisiken, Stand der Technik und Implementierungskosten. Implementierungsdetails und interne Sicherheitsdokumente sind kein allgemeiner Veröffentlichungsbestandteil. Erforderliche ergänzende Nachweise werden dem Auftraggeber im Rahmen von Abschnitt 7 vertraulich bereitgestellt.

1 Zugang und Berechtigungen

Kundenressourcen werden logisch getrennt. Serverseitige Berechtigungsprüfungen und rollenbezogene Zugriffe begrenzen die Verarbeitung auf zugeordnete Kundenressourcen. Administrative Rechte werden gesondert verwaltet; entzogene Administratorrechte werden bei zugehörigen Sitzungen und Zugriffen berücksichtigt.

Anmeldung und Wiederherstellung verwenden abgesicherte Authentifizierungsverfahren. Für besonders sensible Verwaltungsfunktionen und privilegierte Studiozugriffe werden starke Mehrfaktor-Authentifizierung und erneute Bestätigung verwendet. Passwörter und sicherheitsrelevante Tokens werden nicht als Klartext zur Anmeldung vorgehalten.

2 Übertragung und vertrauliche Zugangsdaten

Öffentliche Zugänge und zentrale Serviceverbindungen sind transportverschlüsselt. Interne Dienstaufrufe werden authentifiziert und gegen unberechtigte Verwendung abgesichert. Gespeicherte Integrationszugänge und ausgewählte weitere Geheimnisse werden verschlüsselt; Schlüssel werden serverseitig und zweckbezogen verwaltet. Eine vollständige Verschlüsselung sämtlicher Datenbestände und interner Verbindungen wird nicht als zusätzliche Eigenschaft vereinbart.

3 Support und Nachvollziehbarkeit

Privilegierte Studio-Supportzugriffe sind authentifiziert, begründet, zeitlich begrenzt und dem tatsächlichen Administrator sowie dem betroffenen Kunden zugeordnet. Beginn, Ende und Änderungsanfragen werden protokolliert. Eine lückenlose Protokollierung sämtlicher Lesezugriffe ist nicht vereinbart.

4 Verfügbarkeit Entwicklung und Wiederherstellung

Entwicklungs-, Vorschau- und Produktivumgebung sind getrennt bezeichnet; echte Kundendaten werden nicht in die Entwicklungs- oder Vorschauumgebung übernommen. Für die produktive Umgebung sind tägliche Sicherungen mit 30 Tagen Aufbewahrung vorgesehen. Wiederherstellung und erneute Anwendung wirksamer Löschungen werden unterstützt. Die Wirksamkeit der Maßnahmen wird risikogerecht überprüft, einschließlich erforderlicher Wiederherstellungskontrollen.

5 Löschung und Organisation

Die Anwendung unterstützt Suche, Export, Berichtigung, Einschränkung und gezielte Löschung einschließlich zugeordneter Kopien. Aufbewahrungsregeln und Schutz gegen erneute unerwünschte Einträge unterstützen die Umsetzung zulässiger Weisungen.

Produktionszugriffe sind auf erforderliche berechtigte und zur Vertraulichkeit verpflichtete Personen beschränkt. Zeradion organisiert die Behandlung von Datenschutzvorfällen und die gesetzlich erforderliche Information des Auftraggebers. Physische Zutritts- und Rechenzentrumsmaßnahmen werden durch die beauftragten Hostinganbieter erbracht. Eine bestimmte Zertifizierung oder ein bestimmter externer Prüfrhythmus wird nicht vereinbart.

Anlage 3 Weitere Auftragsverarbeiter

Die Liste bezieht sich nur auf beauftragte Funktionen mit Auftragsdatenzugriff. Genehmigung, Änderungen und Drittlandvoraussetzungen richten sich nach Abschnitt 6. Innerhalb der jeweiligen Anbieterketten eingesetzte weitere Verarbeiter ergeben sich ergänzend aus den zugänglich gehaltenen produktspezifischen Anbieterlisten.

Abgrenzung zur eigenen Vertragsverwaltung

Stripe wird für Zeradions eigene SaaS-Zahlungsabwicklung und Rechnungs-/Abonnementverwaltung eingesetzt. Es ist insoweit kein weiterer Auftragsverarbeiter der Kundengespräche unter dieser AVV. Für diesen eigenen Verantwortungsbereich beauftragt Zeradion Stripe selbst; je Zweck handelt Stripe als Auftragsverarbeiter oder eigenständig Verantwortlicher. Entsprechendes gilt für Clickatell bei eigenen Studio-Anmeldecodes. Die Informationen zu diesen Verarbeitungen stehen in Zeradions Datenschutzerklärung. Eine spätere Zahlungsabwicklung im Auftrag von Tellmachines-Kunden wäre gesondert zu bewerten und gegebenenfalls in diese Liste aufzunehmen. Direkt vom Kunden beauftragte Kalender-, Mail- und WhatsApp-Dienste werden auf dessen Weisung angebunden; ihre Rolle richtet sich nach der tatsächlichen Beauftragung und etwaigen zusätzlichen eigenen Verarbeitungstätigkeiten. Ändert sich die Vertragskette, ist die Liste entsprechend zu ergänzen.

Die 30-Tage-Fristen für Tellmachines-Inhalte und eigene Sicherungen sind von gesonderten Anbieterzwecken zu unterscheiden. Die Cloud-API-Bedingungen sehen nach Nutzungsende und Abschluss ausstehender Zustellungen für verbleibende Unternehmensdaten eine Löschung innerhalb von 90 Tagen vor, mit gesetzlichen Ausnahmen und begrenzter weiterer Sicherungsaufbewahrung. Die WhatsApp-Plattformbedingungen enthalten entsprechende Regeln für Kontodaten nach Vertragsende. Dies bedeutet nicht, dass jede laufende Nachricht 90 Tage gespeichert wird. Zeradion veranlasst erforderliche Löschungen in der Anbieterkette; eine von diesen Bedingungen abweichende kürzere Anbieterfrist wird nicht zugesagt.