Auftragsverarbeitungsvertrag (AVV)

Präambel und Vertragsparteien

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden von Brand Dad als Verantwortlichem („Auftraggeber“) und SVIX Media, Inhaber Konstantin Botschmanowski, Schulstraße 72, 41372 Niederkrüchten, Deutschland, als Auftragsverarbeiter („Auftragnehmer“, „wir“).

Er konkretisiert die datenschutzrechtlichen Pflichten aus dem Nutzungsvertrag über die Plattform Brand Dad nach unseren AGB („Hauptvertrag“). Brand Dad richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber über Brand Dad erhebt, speichert oder verarbeiten lässt, bei der Erbringung der Leistungen nach dem Hauptvertrag.

Der Vertrag gilt für die Dauer des Hauptvertrags einschließlich einer kostenlosen Testphase. Er endet mit dem Hauptvertrag; Pflichten, die über das Vertragsende hinaus bestehen (insbesondere Ziffer 12 und die Vertraulichkeit), gelten fort.

2. Art und Zweck der Verarbeitung

Wir verarbeiten die Daten ausschließlich, um die vom Auftraggeber genutzten Funktionen von Brand Dad bereitzustellen, insbesondere:

• Hosting der Kunden-Websites einschließlich Auslieferung, Server-Logfiles und cookieloser Besucherstatistik,
• Kontakt-, Buchungs- und Bestellformulare der Kunden-Website: Entgegennahme, Speicherung und Weiterleitung der Angaben der Website-Besucher an den Auftraggeber,
• Lead-Posteingang: Verwaltung eingegangener Anfragen,
• Google-Unternehmensprofil und Bewertungen: Abruf und Anzeige von Profil- und Bewertungsdaten, Erstellung und Veröffentlichung von Antwortentwürfen,
• Social-Media-Beiträge: Planung, Erstellung und Veröffentlichung von Beiträgen in den vom Auftraggeber verbundenen Kanälen,
• Team-Nutzer: Verwaltung der Konten von Mitarbeitern oder Beauftragten des Auftraggebers, die er zur Plattform einlädt,
• KI-Funktionen (Text- und Bildentwürfe, Recherchen) auf Grundlage der Inhalte, die der Auftraggeber dafür bereitstellt.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Auftraggeber bestimmten Empfänger, Löschen.

3. Art der Daten und Kategorien betroffener Personen

Arten personenbezogener Daten:

• Kontakt- und Kommunikationsdaten (z. B. Name, E-Mail-Adresse, Telefonnummer, Nachrichteninhalte),
• Buchungs- und Bestelldaten (z. B. Terminwunsch, gebuchte Leistung, bestellte Produkte, Lieferangaben),
• Bewertungs- und Profildaten (z. B. Name bzw. Anzeigename von Bewertenden, Bewertungstext, Sternebewertung),
• Inhalte von Social-Media-Beiträgen und Bilder, soweit sie Personen zeigen oder nennen,
• Nutzerdaten der Team-Mitglieder (Name, E-Mail-Adresse, Rolle, Anmelde- und Aktivitätsdaten),
• technische Daten (z. B. IP-Adresse, Zeitstempel, Browserangaben in Server-Logfiles und zur Missbrauchsabwehr).

Kategorien betroffener Personen: Besucher der Kunden-Websites, Interessenten und Kunden des Auftraggebers, Personen, die das Unternehmen des Auftraggebers bewerten, Mitarbeiter und Beauftragte des Auftraggebers, sonstige Personen, deren Daten der Auftraggeber in Brand Dad eingibt.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags. Der Auftraggeber setzt Formulare nicht zur Erhebung solcher Daten ein, es sei denn, er hat die rechtlichen Voraussetzungen selbst geprüft und geschaffen und uns vorab informiert.

4. Weisungen des Auftraggebers

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, wir sind nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilen wir dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen und Aktionen des Auftraggebers in der Plattform (z. B. Veröffentlichen, Verbinden eines Kontos, Weiterleitungsadresse für Formulare, Löschen). Weitere Weisungen erteilt der Auftraggeber in Textform an support@branddad.io.

Sind wir der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weisen wir den Auftraggeber unverzüglich darauf hin und dürfen die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

5. Vertraulichkeit

Wir setzen für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den maßgeblichen Datenschutzvorschriften vertraut gemacht wurden. Diese Pflicht gilt auch nach Ende ihrer Tätigkeit fort.

6. Technische und organisatorische Maßnahmen

Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM), die in Anlage 1 beschrieben sind. Die Maßnahmen unterliegen dem technischen Fortschritt; wir dürfen sie durch gleichwertige oder bessere Maßnahmen ersetzen. Das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentieren wir.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

Über die beabsichtigte Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters informieren wir den Auftraggeber mindestens 30 Tage vorher in Textform (z. B. per E-Mail an die Konto-Adresse oder per Hinweis im Konto) und aktualisieren Anlage 2. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden wir keine zumutbare Lösung, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters kündigen; bereits gezahlte Entgelte für die Zeit danach erstatten wir anteilig.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen, und bleiben dem Auftraggeber für dessen Pflichterfüllung verantwortlich (Art. 28 Abs. 4 DSGVO).

Keine Unterauftragsverarbeitung im Sinne dieser Ziffer sind Leistungen von Plattformen, die der Auftraggeber selbst mit Brand Dad verbindet und an die wir Daten auf seine Weisung übermitteln: Google (Unternehmensprofil-API, Search Console-API, Anmeldung mit Google), Meta (Facebook, Instagram) und TikTok (nach Freischaltung durch TikTok). Für diese Plattformen gelten deren eigene Bedingungen; sie verarbeiten die Daten in eigener Verantwortung. Ebenso wenig ist der Zahlungsdienstleister Paddle Unterauftragsverarbeiter, da er als eigener Verantwortlicher handelt.

8. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (für die USA das EU-U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist) oder der EU-Standardvertragsklauseln. Die jeweilige Grundlage ist in Anlage 2 genannt.

9. Unterstützung bei Betroffenenrechten

Wir unterstützen den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12–22 DSGVO) zu beantworten. Viele dieser Schritte kann der Auftraggeber selbst in der Plattform ausführen (z. B. Anfragen einsehen, exportieren oder löschen); im Übrigen unterstützen wir auf Anfrage.

Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an den Auftraggeber weiter und beantworten sie nicht selbst, soweit nichts anderes vereinbart ist.

10. Weitere Unterstützungspflichten und Meldung von Datenschutzverletzungen

Wir unterstützen den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Verletzungen des Schutzes personenbezogener Daten, die Daten des Auftraggebers betreffen, melden wir dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform an die E-Mail-Adresse des Kontos. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, reichen wir unverzüglich nach.

Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Auftraggeber als Verantwortlichem.

11. Kontrollrechte des Auftraggebers

Wir stellen dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere diesen Vertrag mit Anlagen, die Beschreibung der TOM und die Liste der Unterauftragsverarbeiter, sowie, soweit vorhanden, Nachweise und Zertifikate unserer Unterauftragsverarbeiter (z. B. ISO 27001 der Rechenzentren von Hetzner).

Darüber hinaus ermöglichen wir Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der nicht in einem Wettbewerbsverhältnis zu uns steht. Überprüfungen sind mit angemessener Frist, in der Regel mindestens 14 Tage vorher, anzukündigen und während der üblichen Geschäftszeiten ohne Störung des Betriebs durchzuführen. Die Rechenzentren unserer Unterauftragsverarbeiter sind nicht Gegenstand von Vor-Ort-Prüfungen; insoweit genügen deren Zertifikate und Prüfberichte. Für Überprüfungen, die über eine pro Kalenderjahr hinausgehen und nicht durch einen konkreten Anlass (z. B. eine Datenschutzverletzung) veranlasst sind, können wir eine angemessene Aufwandsentschädigung verlangen.

12. Löschung und Rückgabe nach Vertragsende

Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten noch 30 Tage lang exportieren oder bei uns anfordern. Danach löschen wir alle personenbezogenen Daten des Auftraggebers, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Löscht der Auftraggeber sein Konto selbst, werden die Daten sofort gelöscht.

In verschlüsselten Datenbank-Backups enthaltene Daten werden im Rahmen der Backup-Rotation spätestens nach 14 Tagen überschrieben. Auf Anfrage bestätigen wir die Löschung in Textform.

13. Agenturen und Weiterverkauf

Nutzt eine Agentur Brand Dad, um Daten im Auftrag ihrer eigenen Kunden zu verarbeiten (White-Label oder Weiterverkauf), ist die Agentur gegenüber ihren Kunden Auftragsverarbeiter und wir sind weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) der Agentur. Die Agentur stellt sicher, dass sie mit ihren Kunden einen Vertrag nach Art. 28 DSGVO geschlossen hat, der den Einsatz von Brand Dad und der Unterauftragsverarbeiter nach Anlage 2 erlaubt, und gibt Weisungen ihrer Kunden an uns weiter. Ansprechpartner für uns bleibt die Agentur.

14. Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (AGB Ziffer 15), soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.

15. Vertragsschluss, Form und Schlussbestimmungen

Dieser Vertrag wird Bestandteil des Hauptvertrags, sobald der Auftraggeber bei der Registrierung bzw. Buchung die AGB akzeptiert, in denen auf diesen Vertrag verwiesen wird. Der Vertrag wird damit in einem elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO); eine Unterschrift ist nicht erforderlich. Der Auftraggeber kann diese Seite jederzeit aufrufen, ausdrucken oder als PDF speichern. Auf Wunsch senden wir ihm eine Kopie per E-Mail.

Bei Widersprüchen gehen die Regelungen dieses Vertrags denen des Hauptvertrags vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen dieses Vertrags teilen wir mit; für das Verfahren gilt die Änderungsregelung der AGB (Ziffer 17), für Unterauftragsverarbeiter Ziffer 7 dieses Vertrags.

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Mönchengladbach. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Dieser Vertrag liegt auf Deutsch und Englisch vor; maßgeblich ist die deutsche Fassung.

Wie wir als eigener Verantwortlicher Daten verarbeiten (z. B. Kontodaten des Auftraggebers), steht in unserer Datenschutzerklärung. Fragen zu diesem Vertrag: support@branddad.io.