Auftragsverarbeitungsvertrag

gemäß Art. 28 Abs. 3 DSGVO

Dieser Auftragsverarbeitungsvertrag („AVV“) bildet eine Ergänzung zu dem zwischen dem Kunden und HYPD bestehenden Vertrag über die Nutzung der HYPD-Dienstleistungen gemäß den HYPD-Nutzungsbedingungen (nachfolgend „Hauptvertrag“) und wird geschlossen zwischen

dem Verantwortlichen: dem Kunden, der im Konto des Kunden oder in der Bestellung bezeichnet ist,

und

dem Auftragsverarbeiter: HYPD Advertising Intelligence GmbH, Attilastraße 16, 12529 Schönefeld, Deutschland; Registergericht Amtsgericht Cottbus, HRB 18651 CB; USt-IdNr. DE458705751; Geschäftsführung Ionut Ciobotaru, Philip Mohr, Simon Schneckenberger (nachfolgend „HYPD“ oder „Auftragsverarbeiter“),

beide Parteien gemeinsam nachfolgend „Vertragsparteien“.

Dieser AVV ist Bestandteil des Hauptvertrages und gilt für jeden Kunden automatisch ab dem Zeitpunkt, zu dem der Kunde die Nutzungsbedingungen akzeptiert oder die Nutzung des Dienstes aufnimmt. Eine Unterschrift ist nicht erforderlich. Der Auftragsverarbeiter dokumentiert im Konto des Kunden das Datum, den akzeptierenden Nutzer und die akzeptierte Version dieses AVV und stellt diese Dokumentation auf Anfrage zur Verfügung. Eine gegengezeichnete Ausfertigung oder eine deutsche Fassung ist auf Anfrage unter privacy@hypd.ai erhältlich.

Mit dem Abschluss dieses AVV gehen die Vertragsparteien ein Auftragsverarbeitungsverhältnis gemäß Art. 28 DSGVO ein. In diesem AVV gelten die Begriffsdefinitionen der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, nachfolgend „DSGVO“). Wenn in diesem Vertragswerk der Begriff „Daten“ verwendet wird, sind damit „personenbezogene Daten“ im Sinne der DSGVO gemeint. Sofern sich dieser AVV und der Hauptvertrag bezüglich der Verarbeitung personenbezogener Daten widersprechen, geht dieser AVV dem Hauptvertrag vor.

§ 1 Vertragsgegenstand und Dauer

1.1 Dieser AVV findet Anwendung auf alle Verarbeitungen personenbezogener Daten, die sich aus dem Hauptvertrag ergeben, sofern der Auftragsverarbeiter diese Daten im Auftrag des Verantwortlichen verarbeitet. Gegenstand des Hauptvertrages ist die Bereitstellung der HYPD-Plattform – eines KI-gestützten Co-Piloten für Performance-Marketer, der sich mit den Werbe-, Analytics- und Messkonten des Verantwortlichen verbindet, um Kampagnenanalysen, Audits, Empfehlungen, Reports und konversationelle Antworten bereitzustellen und – soweit der Verantwortliche Write Actions (Schreibaktionen) aktiviert hat – vom Verantwortlichen ausdrücklich freigegebene Änderungen umzusetzen. Der Auftragsverarbeiter verarbeitet Konto-, Authentifizierungs-, Nutzungs-, Sicherheits-, Abrechnungs- und Supportdaten der Nutzer des Verantwortlichen als eigenständiger Verantwortlicher gemäß seiner Datenschutzerklärung; diese Verarbeitung ist nicht Gegenstand dieses AVV.

1.2 Dieser AVV tritt zusammen mit dem Hauptvertrag in Kraft. Er gilt akzessorisch zum Hauptvertrag und bleibt in Geltung, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Mit Beendigung des Hauptvertrages erlischt auch dieser AVV automatisch; es bedarf in diesem Fall keiner gesonderten Kündigung.

1.3 Dieser AVV und somit das gesamte Auftragsverarbeitungsverhältnis kann von jeder Vertragspartei fristlos aus wichtigem Grund gekündigt werden, insbesondere wenn die jeweils andere Partei in schwerwiegender Weise gegen diesen AVV oder einschlägiges Datenschutzrecht verstößt. Ein solcher schwerwiegender Verstoß des Auftragsverarbeiters liegt insbesondere vor, wenn der Auftragsverarbeiter die Pflichten aus Art. 28 DSGVO oder aus diesem AVV nicht einhält, Weisungen des Verantwortlichen nicht befolgt, vertraglich festgelegte Kontrollrechte verweigert oder zwingend notwendige bzw. vereinbarte Sicherheitsmaßnahmen unterlässt.

§ 2 Art und Zweck der Verarbeitung

2.1 Der Auftragsverarbeiter verarbeitet die vom Verantwortlichen zur Verfügung gestellten bzw. über die verbundenen Konten des Verantwortlichen zugänglichen personenbezogenen Daten ausschließlich zur Erfüllung seiner Pflichten aus dem Hauptvertrag sowie gemäß den dokumentierten Weisungen des Verantwortlichen. Dem Auftragsverarbeiter ist es untersagt, personenbezogene Daten für eigene oder fremde Zwecke zu verarbeiten oder ohne vorherige Weisung des Verantwortlichen in Textform an Dritte weiterzugeben.

2.2 Der Verantwortliche weist den Auftragsverarbeiter an, die unter diesem AVV verarbeiteten personenbezogenen Daten für die in Ziffer 7.3 der Nutzungsbedingungen genannten Zwecke zu aggregieren und zu anonymisieren, vorbehaltlich der dort genannten plattformspezifischen Grenzen. Die Anonymisierung erfolgt so, dass weder der Verantwortliche, seine Nutzer, seine Konten noch eine einzelne Person durch den Auftragsverarbeiter oder einen Dritten mit Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, identifiziert werden kann (Erwägungsgrund 26 DSGVO), unter anderem durch die Entfernung sämtlicher Kontokennungen vor der Aggregation und durch die Aggregation ausschließlich über mindestens zehn nicht miteinander verbundene Konten. Nach der Anonymisierung handelt es sich nicht mehr um personenbezogene Daten, und der Auftragsverarbeiter darf sie gemäß Ziffer 7.3 der Nutzungsbedingungen als eigene Daten nutzen. Der Auftragsverarbeiter trainiert keine KI- oder Machine-Learning-Modelle mit unter diesem AVV verarbeiteten personenbezogenen Daten, gleich ob identifizierbar, aggregiert oder anonymisiert.

2.3 Eine Duplizierung oder Kopie personenbezogener Daten durch den Auftragsverarbeiter ist nur zulässig, soweit dies vom Verantwortlichen genehmigt wurde, für die Sicherstellung einer ordnungsgemäßen Datenverarbeitung (z. B. Sicherungskopien) oder zur Einhaltung gesetzlicher Aufbewahrungspflichten unbedingt erforderlich ist.

2.4 Die konkreten Verarbeitungsarten im Sinne des Art. 4 Nr. 2 DSGVO, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Zwecke der Verarbeitung sind in Anhang 1 näher beschrieben. Anhang 1 ist Bestandteil dieses AVV.

2.5 Die Verarbeitung personenbezogener Daten erfolgt in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums. Eine Verarbeitung außerhalb der EU/des EWR findet nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO statt. Eine Übersicht der eingesetzten Unterauftragsverarbeiter und etwaiger Drittlandübermittlungen ergibt sich aus Anhang 3.

§ 3 Art der personenbezogenen Daten, Kategorien betroffener Personen

Die durch den Auftragsverarbeiter verarbeiteten Arten personenbezogener Daten sowie die Kategorien betroffener Personen ergeben sich aus Anhang 1. Anhang 1 ist Bestandteil dieses AVV.

§ 4 Rechte und Pflichten des Verantwortlichen

4.1 Dem Verantwortlichen obliegt allein die Entscheidung über die Zwecke und Mittel der Verarbeitung der von ihm zur Verfügung gestellten bzw. über verbundene Konten zugänglich gemachten personenbezogenen Daten.

4.2 Der Verantwortliche ist für die Einhaltung der unionsrechtlichen und nationalen Datenschutzbestimmungen sowie der Bestimmungen dieses AVV verantwortlich. Er ist insbesondere dafür verantwortlich, die Rechtmäßigkeit der Verarbeitung personenbezogener Daten (Art. 6 DSGVO) zu beurteilen und sicherzustellen, dass die Rechte der betroffenen Personen gemäß Art. 12–22 DSGVO gewahrt werden. Die Entscheidung über die Beantwortung einer Anfrage einer betroffenen Person obliegt ausschließlich dem Verantwortlichen; die entsprechende Kommunikation erfolgt ausschließlich durch diesen.

4.3 Der Verantwortliche ist berechtigt, dem Auftragsverarbeiter Weisungen hinsichtlich Art, Umfang und Verfahren der Verarbeitung zu erteilen. Weisungen sind in dokumentierter schriftlicher oder elektronischer Form zu erteilen; mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Eine Weisung ist jede Anordnung an den Auftragsverarbeiter bezüglich des Umgangs mit personenbezogenen Daten. Die Nutzung des Dienstes über seine Benutzeroberflächen, die Verbindung von Konten, die Konfiguration des Dienstes, die Verbindung eines KI-Assistenten und die Freigabe einer Write Action durch einen autorisierten Nutzer stellen jeweils dokumentierte Weisungen dar. Weisungen können von Nutzern mit der Owner- oder Admin-Rolle im Konto des Verantwortlichen erteilt werden; der Verantwortliche hält diese Liste aktuell. Die allgemeine Genehmigung der in Anhang 3 gelisteten Unterauftragsverarbeiter durch den Verantwortlichen stellt seine Weisung für die dort aufgeführten Übermittlungen dar.

4.4 Datensätze, die der Verantwortliche dem Auftragsverarbeiter überlässt oder die über verbundene Konten zugänglich gemacht werden, verbleiben in der alleinigen Verantwortung des Verantwortlichen. Der Verantwortliche ist jederzeit berechtigt, dem Auftragsverarbeiter die Löschung, Berichtigung, Herausgabe, Anpassung oder Einschränkung der Verarbeitung personenbezogener Daten anzuordnen.

4.5 Der Verantwortliche meldet dem Auftragsverarbeiter unverzüglich Fehler und Auffälligkeiten, die ihm an Ergebnissen der Auftragsverarbeitung auffallen.

4.6 Der Verantwortliche ist verpflichtet, den Auftragsverarbeiter unverzüglich zu verständigen, wenn es zu einem Wechsel seines Datenschutzbeauftragten oder der für den Datenschutz zuständigen Ansprechperson kommt.

4.7 Der Verantwortliche stellt sicher, dass die Gewährung von Zugängen für den Auftragsverarbeiter zu Werbe-, Analytics- oder Messkonten Dritter (z. B. über OAuth) mit den Nutzungsbedingungen der jeweiligen Plattform und der Rechtsgrundlage zur Offenlegung der Daten gegenüber dem Auftragsverarbeiter vereinbar ist.

4.8 Nutzt der Verantwortliche HYPD über einen KI-Assistenten eines Drittanbieters seiner Wahl (z. B. Claude oder ChatGPT), schließt der Verantwortliche den Vertrag mit dem Betreiber des Assistenten unmittelbar selbst. Die Verbindung eines KI-Assistenten ist die dokumentierte Weisung des Verantwortlichen, Ergebnisse einschließlich Daten verbundener Plattformen an diesen Assistenten zu übermitteln (Art. 28 Abs. 3 lit. a DSGVO); der Auftragsverarbeiter protokolliert die Verbindung als Nachweis der Weisung. Der Auftragsverarbeiter beantwortet ausschließlich Anfragen, die vom Assistenten gesendet werden. Die Rolle des Betreibers – als Auftragsverarbeiter oder eigenständiger Verantwortlicher – bestimmt sich nach der Vereinbarung des Verantwortlichen mit diesem. Die Verarbeitung der Konversation durch den Betreiber, einschließlich der Ergebnisse, die der Auftragsverarbeiter in diese zurückgibt, ist nicht Gegenstand dieses AVV und liegt in der Verantwortung des Verantwortlichen. Dem Verantwortlichen wird empfohlen, Business- oder Enterprise-Tarife mit deaktiviertem Modelltraining zu nutzen.

4.9 Nutzt der Kunde den Dienst für eigene Mandanten (Agenturnutzung), handelt der Kunde als Auftragsverarbeiter für diese Mandanten und HYPD als Unterauftragsverarbeiter. Der Kunde gewährleistet, dass jeder Mandant die Beauftragung von HYPD gemäß Art. 28 Abs. 2 DSGVO genehmigt hat, dass der Vertrag des Kunden mit dem Mandanten die in Anhang 1 beschriebene Verarbeitung gestattet und dass er die Weisungen seiner Mandanten an HYPD weitergibt. In diesem Fall gelten die Pflichten und Rechte des Verantwortlichen aus diesem AVV entsprechend für den Kunden, und Anhang 1 Ziffer 4 umfasst die Mitarbeitenden, Endnutzer und Kunden der Mandanten des Kunden.

§ 5 Pflichten des Auftragsverarbeiters

5.1 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur aufgrund dokumentierter Weisungen des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation –, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Der Auftragsverarbeiter ist verpflichtet, personenbezogene Daten zu löschen, zu berichtigen, herauszugeben, anzupassen oder einzuschränken, wenn dies vom Verantwortlichen angeordnet wird.

5.3 Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5.4 Der Auftragsverarbeiter ergreift alle erforderlichen technischen und organisatorischen Maßnahmen (TOMs) im Sinne des Art. 32 DSGVO, die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlich sind. Die durch den Auftragsverarbeiter umgesetzten Maßnahmen sind in Anhang 2 näher beschrieben. Anhang 2 ist Bestandteil dieses AVV.

5.5 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz der in Anhang 3 gelisteten Unterauftragsverarbeiter. Diese Unterauftragsverarbeiter sind zur Erfüllung des Hauptvertrages erforderlich. Der Auftragsverarbeiter veröffentlicht alle Änderungen seiner Unterauftragsverarbeiter unter https://www.hypd.ai/subprocessors. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, mindestens 30 Tage im Voraus per E-Mail an den Kontoinhaber. Der Verantwortliche kann innerhalb von 14 Tagen nach der Mitteilung aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Können die Vertragsparteien den Einspruch nicht beilegen, kann der Verantwortliche den betroffenen Teil des Hauptvertrages mit Wirkung zum Zeitpunkt des Wirksamwerdens der Änderung kündigen; vorausbezahlte Entgelte werden anteilig erstattet.

5.6 Mit jedem Unterauftragsverarbeiter schließt der Auftragsverarbeiter eine vertragliche Vereinbarung, die mindestens das gleiche Datenschutzniveau gewährleistet wie dieser AVV. Dabei werden alle gesetzlichen und vertraglichen Vorgaben berücksichtigt, insbesondere die Anforderungen an technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Bei Übermittlungen in Drittländer stellt der Auftragsverarbeiter sicher, dass geeignete Garantien im Sinne der Art. 44 ff. DSGVO vereinbart werden, insbesondere die EU-Standardvertragsklauseln in ihrer jeweils geltenden Fassung.

5.7 Verstößt ein Unterauftragsverarbeiter gegen seine datenschutzrechtlichen Pflichten, haftet der Auftragsverarbeiter dem Verantwortlichen für dessen Pflichterfüllung. Im Falle eines solchen Verstoßes kann der Verantwortliche den Auftragsverarbeiter anweisen, die Beauftragung des Unterauftragsverarbeiters ganz oder teilweise zu beenden.

5.8 Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III der DSGVO innerhalb der gesetzlichen Fristen durch geeignete technische und organisatorische Maßnahmen. Wird ein Antrag einer betroffenen Person irrtümlich an den Auftragsverarbeiter gerichtet und ist erkennbar, dass er an den Verantwortlichen hätte gerichtet werden sollen, leitet der Auftragsverarbeiter den Antrag unverzüglich an den Verantwortlichen weiter und benachrichtigt diesen.

5.9 Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der betroffenen Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

5.10 Nach Beendigung der Leistungserbringung, spätestens mit Beendigung des Hauptvertrages, löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt diese an den Verantwortlichen zurück und löscht vorhandene Kopien, jeweils innerhalb von 30 Tagen, sofern nicht das Recht der Union oder der Mitgliedstaaten eine Speicherung vorschreibt. Von LinkedIn bezogene Daten werden innerhalb von 10 Tagen gelöscht. Während der Laufzeit sowie auf Anfrage innerhalb von 30 Tagen nach Beendigung stellt der Auftragsverarbeiter einen Export der Ergebnisse, des Kontokontexts und der für den Verantwortlichen gespeicherten Daten verbundener Plattformen in einem gängigen maschinenlesbaren Format bereit. Der Auftragsverarbeiter darf das Änderungsprotokoll der Write Actions für 12 Monate nach Beendigung des Hauptvertrages als Dokumentation der erhaltenen Weisungen aufbewahren (Art. 28 Abs. 3 lit. a und lit. h DSGVO), wobei der Zugriff auf diesen Zweck beschränkt ist; danach wird es gelöscht. Der Auftragsverarbeiter ist berechtigt, sonstige Dokumentationen zum Nachweis der ordnungsgemäßen Datenverarbeitung unter Berücksichtigung einschlägiger Aufbewahrungsfristen aufzubewahren.

5.11 Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht und unterstützt Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Überprüfungen finden höchstens einmal jährlich statt sowie zusätzlich nach einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft, auf Verlangen einer Aufsichtsbehörde, bei begründeten Anhaltspunkten für Verstöße, zur Überprüfung der Behebung früherer Feststellungen oder in dringenden Fällen; in dringenden Fällen kann die Ankündigungsfrist auf das den Umständen nach Angemessene verkürzt werden. Der Auftragsverarbeiter kann einem Überprüfungsverlangen zunächst durch Bereitstellung seiner aktuellen Sicherheitsdokumentation, ausgefüllter Fragebögen sowie der Prüfberichte oder Zertifizierungen seiner Unterauftragsverarbeiter nachkommen. Vor-Ort-Inspektionen sind mit einer Frist von 30 Tagen anzukündigen und finden während der Geschäftszeiten statt; der Verantwortliche trägt seine eigenen Kosten. Kontrollrechte dürfen nur in einem angemessenen und erforderlichen Umfang und in einer Weise ausgeübt werden, die den Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigt.

5.12 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn es zu schwerwiegenden Störungen des Betriebsablaufs kommt, wenn er der Ansicht ist, dass eine Weisung gegen gesetzliche Datenschutzbestimmungen verstößt, wenn es zu Verstößen durch Mitarbeitende oder Unterauftragsverarbeiter kommt oder wenn sich sonstige Unregelmäßigkeiten im Zuge der Verarbeitung ergeben. Der Auftragsverarbeiter kann die Durchführung einer Weisung, die nach seiner Auffassung gegen gesetzliche Datenschutzbestimmungen verstößt, bis zur Bestätigung oder Änderung durch den Verantwortlichen aussetzen.

5.13 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 33 DSGVO bekannt geworden ist, die die Daten des Verantwortlichen betrifft, und unterstützt ihn bei der Erfüllung seiner Meldepflichten.

§ 6 Vertraulichkeit

Die Vertragsparteien verpflichten sich, alle Kenntnisse von Betriebsgeheimnissen und datenschutzrechtlichen Sicherheitsmaßnahmen der jeweils anderen Vertragspartei vertraulich zu behandeln und nicht an Dritte weiterzugeben. Diese Verpflichtung besteht auch nach Beendigung dieses AVV fort.

§ 7 Änderungen

Änderungen und Ergänzungen dieses AVV bedürfen zu ihrer Wirksamkeit der Textform. Dies gilt auch für die Änderung dieser Klausel. Der Auftragsverarbeiter darf diesen AVV nur ändern, soweit dies gesetzlich, durch eine Aufsichtsbehörde oder durch einen Wechsel von Unterauftragsverarbeitern gemäß § 5.5 erforderlich ist, mit Ankündigung gemäß Ziffer 16 der Nutzungsbedingungen; sonstige Änderungen bedürfen der Zustimmung des Verantwortlichen in Textform. Frühere Fassungen sind auf Anfrage erhältlich.

§ 8 Haftung

8.1 Die Haftungsbeschränkungen in Ziffer 13 der Nutzungsbedingungen gelten für alle Ansprüche aus diesem AVV, es sei denn, die Haftung kann von Gesetzes wegen nicht beschränkt werden.

8.2 Jede Vertragspartei haftet gegenüber betroffenen Personen nach Art. 82 DSGVO. Im Verhältnis zwischen den Vertragsparteien richtet sich die Haftung nach dem jeweiligen Anteil der Verantwortung für den Schaden (Art. 82 Abs. 5 DSGVO).

8.3 Jede Vertragspartei stellt die andere – in den Grenzen des § 8.1 und soweit gesetzlich zulässig – von Ansprüchen Dritter und behördlichen Geldbußen frei, die auf einer der freistellenden Vertragspartei zurechenbaren Verletzung datenschutzrechtlicher Pflichten beruhen.

§ 9 Rechtswahl und Gerichtsstand

Dieser AVV unterliegt deutschem Recht sowie dem einschlägigen Recht der Europäischen Union, insbesondere der DSGVO. Für den Gerichtsstand gilt Ziffer 17.2 der Nutzungsbedingungen.

§ 10 Sprache

Dieser AVV wird in englischer und deutscher Sprache bereitgestellt. Die englische Fassung ist verbindlich; die deutsche Fassung ist eine Übersetzung zur besseren Verständlichkeit.

§ 11 Salvatorische Klausel

Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hiervon nicht berührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Dieser Anhang beschreibt die Art, den Umfang und den Zweck der Verarbeitung personenbezogener Daten im Rahmen des Hauptvertrages. Grundlage ist die Nutzung der HYPD-Plattform, eines KI-gestützten Co-Piloten für Performance-Marketer.

1. Gegenstand und Zweck der Verarbeitung

Der Auftragsverarbeiter stellt dem Verantwortlichen einen KI-gestützten Co-Piloten zur Verfügung, der sich mit den Werbe-, Analytics- und Messkonten des Verantwortlichen verbindet (derzeit Google Ads, Google Analytics, Google Merchant Center, Google Search Console, Google Tag Manager, Meta Ads, LinkedIn Ads, Microsoft Advertising und TikTok for Business) und folgende Leistungen ausschließlich im Auftrag und nach den Weisungen des Verantwortlichen erbringt:

• Analyse von Werbekonten, Kampagnen, Anzeigengruppen, Keywords, Anzeigen und Zielgruppen;
• Durchführung von Audits zur Identifikation von Optimierungspotenzialen, Fehlkonfigurationen und Budgetverschwendung;
• Erstellung von Optimierungsempfehlungen und strategischen Insights auf Basis der Kampagnendaten;
• Beantwortung von Fragen des Verantwortlichen zu seinen Konten in konversationeller Form, in der HYPD-App oder über einen vom Verantwortlichen verbundenen KI-Assistenten;
• Bereitstellung von Reports, Dashboards und Benchmarks für die Performance-Marketing-Tätigkeit des Verantwortlichen;
• soweit der Verantwortliche Write Actions für ein Konto aktiviert hat: Umsetzung einzelner, vom Verantwortlichen ausdrücklich freigegebener Änderungen mit Änderungsprotokoll.

Der Zweck der Verarbeitung liegt in der Unterstützung und Optimierung der Performance-Marketing-Aktivitäten des Verantwortlichen. Eine Verarbeitung personenbezogener Daten zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Die Erstellung aggregierter und anonymisierter Daten erfolgt auf Weisung des Verantwortlichen gemäß § 2.2 dieses AVV innerhalb der durch die Bedingungen der verbundenen Plattformen gesetzten Grenzen, wie in Ziffer 7.3 der Nutzungsbedingungen festgelegt: keine Aggregation von Meta-Daten, LinkedIn-Daten nur für Reporting und Benchmarks mit Zustimmung des verbindenden Account-Managers, Google-Daten nur soweit nach der Google API Services User Data Policy zulässig. Der Auftragsverarbeiter trainiert keine KI- oder Machine-Learning-Modelle mit unter diesem AVV verarbeiteten personenbezogenen Daten.

2. Art der Verarbeitung

Die Verarbeitung umfasst insbesondere das Erheben, Erfassen, Speichern, Auslesen, Abfragen, Verwenden, Strukturieren, Auswerten, Offenlegen durch Übermittlung (an die in Anhang 3 gelisteten Unterauftragsverarbeiter, an einen vom Verantwortlichen verbundenen KI-Assistenten sowie – bei freigegebenen Write Actions – an die jeweilige Plattform), Einschränken sowie Löschen personenbezogener Daten.

Der Zugriff auf die Konten des Verantwortlichen erfolgt über die von den jeweiligen Plattformen bereitgestellten Schnittstellen (APIs) mit OAuth-basierter Autorisierung durch die eigenen Nutzer des Verantwortlichen. Lesezugriff ist der Standard. Schreibzugriff wird ausschließlich zur Umsetzung von Änderungen genutzt, die ein autorisierter Nutzer des Verantwortlichen im Dienst einzeln freigegeben hat, und erfolgt im Rahmen der eigenen Berechtigung dieses Nutzers bei der Plattform. Google-Ads-Daten werden für jede Anfrage live abgerufen und nicht zwischengespeichert.

Die in der konversationellen Benutzeroberfläche verarbeiteten Eingaben und Kontextdaten werden an die in Anhang 3 gelisteten KI-Modell-Anbieter übermittelt, soweit dies zur Beantwortung der Anfrage erforderlich ist. Diese Anbieter werden in EU-Regionen betrieben, es ist ihnen vertraglich untersagt, mit den Daten zu trainieren, und sie speichern Anfragen nur vorübergehend – für bis zu 30 Tage – zur Missbrauchsüberwachung gemäß ihren EU-Bedingungen.

Greift der Verantwortliche über einen KI-Assistenten eines Drittanbieters auf HYPD zu, wird die Anfrage über die Infrastruktur dieses Assistenten auf Grundlage der eigenen Vereinbarung des Verantwortlichen mit dessen Betreiber geleitet (§ 4.8). Dieser Betreiber ist kein Unterauftragsverarbeiter von HYPD. Der Auftragsverarbeiter speichert die vom Assistenten empfangenen Anfragen als Konversationshistorie für 30 Tage und technische Protokolle der Aufrufe für 60 Tage.

3. Art der personenbezogenen Daten

Die HYPD-Plattform ist darauf ausgelegt, im Regelbetrieb möglichst wenige personenbezogene Daten zu verarbeiten. Je nach Konfiguration der verbundenen Konten und der Nutzung durch den Verantwortlichen können folgende Kategorien personenbezogener Daten verarbeitet werden:

• die Identität der Nutzer des Verantwortlichen, soweit sie in Kundendaten erscheint, z. B. der freigebende Nutzer im Änderungsprotokoll, die E-Mail-Adresse des Nutzers, der eine Plattformverbindung autorisiert hat, oder in Prompts eingegebene Namen (Konto-, Authentifizierungs-, Nutzungs- und Abrechnungsdaten der Nutzer verarbeitet der Auftragsverarbeiter als eigenständiger Verantwortlicher gemäß seiner Datenschutzerklärung; sie sind nicht Gegenstand dieses AVV);
• Account- und Zugangsdaten zu verbundenen Konten (Account-IDs, OAuth-Tokens, verknüpfte E-Mail-Adressen);
• kampagnenbezogene Daten und Metriken (Kampagnen-, Anzeigengruppen- und Anzeigenstrukturen, Keywords, Creatives, Budgets, Gebote, Impressionen, Klicks, Conversions, Kosten, KPIs);
• Freitextfelder wie Suchbegriffe, URLs, Anzeigentexte und Keywords, wie sie von den Plattformen empfangen werden, die gelegentlich von Dritten eingegebene personenbezogene Daten enthalten können;
• aggregierte Zielgruppen- und Segmentinformationen, wie sie von den Plattformen über ihre APIs bereitgestellt werden (z. B. demografische Aggregate, Geo-Aggregate und Geräte-Aggregate, Zielgruppennamen und -größen), ohne Daten auf Mitgliederebene;
• Inhalte konversationeller Anfragen und Antworten (Prompts, Konversationshistorie) sowie der vom Verantwortlichen eingerichtete Kontokontext, soweit der Verantwortliche oder seine Mitarbeitenden darin personenbezogene Daten eingeben;
• das Änderungsprotokoll der Write Actions (freigebender Nutzer, Zeitpunkt, Änderungsdetails).

Der Auftragsverarbeiter fragt keine nutzerbezogenen Dimensionen ab (wie Analytics-User- oder Client-IDs oder Klick-Identifikatoren) und entfernt solche Felder vor der Speicherung, sofern eine API-Antwort sie dennoch enthält. Der Auftragsverarbeiter greift nicht auf Endpoints zu, die personenbezogene Daten von Kunden des Verantwortlichen oder von Dritten zurückgeben; insbesondere ruft der Auftragsverarbeiter keine Lead-Formular-Einsendungen und nicht die Mitglieder von Customer-Match-, Custom- oder sonstigen Zielgruppenlisten ab.

Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ist nicht vorgesehen. Der Verantwortliche wird solche Daten nicht in die HYPD-Plattform einbringen.

4. Kategorien betroffener Personen

• Mitarbeitende und autorisierte Nutzer des Verantwortlichen, die die HYPD-Plattform verwenden;
• Personen, die in den verbundenen Konten des Verantwortlichen als Account-Inhaber, Administratoren oder autorisierte Nutzer hinterlegt sind;
• Endnutzer und Kunden des Verantwortlichen, soweit sie mittelbar über aggregierte Kampagnen- und Zielgruppendaten oder über Freitextfelder wie Suchbegriffe erfasst werden;
• bei Agenturnutzung (§ 4.9): die Mitarbeitenden, Endnutzer und Kunden der Mandanten des Kunden.

5. Dauer der Verarbeitung

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages. Nach Beendigung des Hauptvertrages erfolgt die Löschung oder Rückgabe gemäß § 5.10 dieses AVV. Während der Laufzeit gelten folgende Aufbewahrungsfristen: Rohdaten verbundener Plattformen, mit Ausnahme von Google Ads, höchstens 12 Monate ab Abruf; abgeleitete Daten auf Basis von LinkedIn-Reporting-Daten höchstens 12 Monate; Konversationshistorie und Anfragen verbundener KI-Assistenten 30 Tage; technische Protokolle 60 Tage; Daten einer getrennten Plattform 30 Tage, bei LinkedIn 10 Tage, oder sofort auf Anfrage; das Änderungsprotokoll der Write Actions für die Laufzeit zuzüglich 12 Monate als Dokumentation.

Der Auftragsverarbeiter hat die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus getroffen. Maßnahmen können im Rahmen der technischen Weiterentwicklung angepasst werden, sofern das Schutzniveau erhalten bleibt. Die HYPD-Plattform wird vollständig auf der in Anhang 3 gelisteten Cloud-Infrastruktur betrieben; die physische Sicherheit der Rechenzentren wird durch diese Anbieter gewährleistet, deren ISO-27001- und SOC-2-Berichte über die Anbieter verfügbar sind.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle (HYPD-Büro)

• Eigenes Büro von HYPD in der Attilastraße 16, 12529 Schönefeld;
• Eingangstüren sind durch eine genormte Schließanlage mit Sicherheitsschlössern gesichert;
• Vergabe, Verlust und Rückgabe von Schlüsseln an Mitarbeitende und Dritte werden dokumentiert;
• Besucher und externes Personal werden von Mitarbeitenden begleitet;
• Zutritt nur für Personen, die für die Erfüllung ihrer Aufgaben Zutritt benötigen (Need-to-access-Prinzip).

1.2 Zugangskontrolle

• Anmeldung an Arbeitsrechnern und zentralen Systemen ausschließlich über personenbezogene Benutzerkonten; Multi-Faktor-Authentifizierung ist für alle Produktivsysteme, Cloud-Konsolen und administrativen Konten verpflichtend;
• Verbindliche Passwortrichtlinie: Mindestkomplexität (Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen), Mindestlänge 12 Zeichen für administrative Konten;
• Automatische Sperre von Arbeitsplätzen bei Inaktivität, Entsperrung nur durch Passwort oder biometrisches Verfahren;
• Einsatz von Firewalls, Antiviren- und Endpoint-Protection-Lösungen auf allen Clients sowie regelmäßige Aktualisierung;
• Eingehende E-Mails werden serverseitig auf Viren und Spam geprüft;
• Zugriff auf interne Systeme von außerhalb des Büros ausschließlich über verschlüsselte Verbindungen;
• Festplatten von Laptops und mobilen Endgeräten sind vollständig verschlüsselt (Full-Disk-Encryption);
• Mobile Endgeräte sind durch Passcode oder Biometrie geschützt;
• WLAN-Netzwerke sind verschlüsselt; Gäste erhalten Zugang ausschließlich über ein separates Gäste-WLAN.

1.3 Zugriffskontrolle

• Differenziertes Berechtigungskonzept auf Basis des Need-to-know-Prinzips; Rollen- und Rechtevergabe erfolgt zentral;
• Begrenzung der Anzahl administrativer Accounts auf das notwendige Minimum; administrative Tätigkeiten erfolgen mit separaten Admin-Konten;
• Zeitnaher Entzug von Berechtigungen beim Ausscheiden von Mitarbeitenden oder bei Änderung der Tätigkeit;
• Protokollierung von Zugriffen auf sensible Anwendungen und Daten (Wer? Wann? Welche Aktion?);
• Sichere Vernichtung von Papierunterlagen mit personenbezogenen Daten durch Aktenvernichter der Sicherheitsstufe P-4 oder höher (Cross-Cut).

1.4 Trennungsgebot

• Logische Mandantentrennung von Kundendaten innerhalb der HYPD-Plattform;
• Trennung von Test-, Entwicklungs- und Produktivsystemen;
• Zweckbindung der Verarbeitung: Personenbezogene Daten werden ausschließlich für die im Hauptvertrag und in diesem AVV festgelegten Zwecke verarbeitet.

1.5 Pseudonymisierung und Verschlüsselung

• Verschlüsselung personenbezogener Daten bei der Übertragung über öffentliche Netze mittels aktueller TLS-Protokolle (TLS 1.2 oder höher);
• Verschlüsselung von Datenbanken und Speichermedien, in denen personenbezogene Daten verarbeitet werden (Encryption-at-Rest);
• Verschlüsselte Speicherung von OAuth-Tokens und API-Zugangsdaten;
• Fernzugriffe und Datenübertragungen erfolgen ausschließlich über verschlüsselte Verbindungen;
• Entfernung nutzerbezogener Identifikatoren aus abgerufenen Plattformdaten vor der Speicherung;
• Pseudonymisierung personenbezogener Daten, soweit dies mit dem Verarbeitungszweck vereinbar ist.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Eingabekontrolle

• Protokollierung von Eingabe, Änderung und Löschung personenbezogener Daten auf Ebene einzelner Benutzerkonten inklusive Zeitstempel;
• Protokollierung der An- und Abmeldungen an zentralen Systemen und Anwendungen;
• Nachvollziehbarkeit administrativer Aktionen auf Server- und Anwendungsebene;
• Write Actions werden nur nach einzelner Freigabe durch einen autorisierten Nutzer umgesetzt und in einem unveränderlichen Änderungsprotokoll mit freigebendem Nutzer, Zeitpunkt und Änderungsdetails erfasst.

2.2 Weitergabekontrolle

• Übermittlung personenbezogener Daten an Unterauftragsverarbeiter ausschließlich verschlüsselt (TLS);
• Fernzugriffe auf Arbeitsrechner erfolgen nur nach vorheriger Zustimmung der Nutzer; hiervon ausgenommen sind automatisierte Update- und Konfigurationsvorgänge;
• Vor der internen oder externen Weitergabe von Datenträgern werden diese sicher gelöscht;
• Aktenvernichtung durch datenschutzkonforme Verfahren (siehe 1.3).

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Regelmäßige Einspielung von Sicherheitsupdates und Patches auf Clients und Produktivsystemen;
• Regelmäßige, verschlüsselte Datensicherungen (Backups) der produktiven Systeme; Prüfung der Wiederherstellbarkeit durch Test-Restores;
• Einsatz redundanter Infrastruktur bei den Cloud-Anbietern (Google Cloud, AWS, Railway auf Google Cloud, Vercel) – Nutzung von Verfügbarkeitszonen und automatisiertem Failover, soweit vom Dienst vorgesehen;
• Produktivumgebungen sind durch Monitoring- und Alerting-Systeme überwacht;
• Feuer- und Rauchmelder sowie geeignete Löschmittel in den Geschäftsräumen;
• Dokumentiertes Backup- und Recovery-Konzept.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Datenschutz-Management

• Führung und laufende Aktualisierung eines Verzeichnisses von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO, einschließlich der Vorprüfung zur Datenschutz-Folgenabschätzung für die KI-Funktionen;
• Regelmäßige Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen (mindestens jährlich);
• Etablierte Abläufe zur Erfüllung der Betroffenenrechte gemäß Art. 12–22 DSGVO;
• Regelmäßige Prüfung und Aktualisierung der Informationspflichten (Datenschutzerklärung);
• Verpflichtung aller Mitarbeitenden auf die Einhaltung der Vertraulichkeit und des Datenschutzes;
• Schulung und Sensibilisierung der Mitarbeitenden im Bereich Datenschutz und Informationssicherheit;
• Dokumentierte Passwort- und Zugriffsrichtlinien;
• Benannte Datenschutz-Ansprechperson (Philip Mohr, privacy@hypd.ai).

4.2 Incident-Response-Management

• Automatische Sperre von Benutzerkonten nach einer definierten Anzahl fehlgeschlagener Login-Versuche;
• Dokumentierter Prozess zur Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen gemäß Art. 33 DSGVO innerhalb von 48 Stunden;
• Zentrale Dokumentation und Priorisierung von Sicherheitsvorfällen;
• Nach jedem Sicherheitsvorfall werden Maßnahmen zur Vermeidung oder Milderung weiterer Vorfälle diskutiert und umgesetzt.

4.3 Auftragskontrolle

• Sorgfältige Auswahl von Unterauftragsverarbeitern unter Berücksichtigung der Anforderungen an den Datenschutz und die Datensicherheit;
• Abschluss schriftlicher Auftragsverarbeitungsvereinbarungen mit Unterauftragsverarbeitern gemäß Art. 28 DSGVO;
• Bei Übermittlungen in Drittländer: Sicherstellung geeigneter Garantien gemäß Art. 44 ff. DSGVO (insbesondere EU-Standardvertragsklauseln);
• Regelmäßige Überprüfung der eingesetzten Unterauftragsverarbeiter.

Der Verantwortliche stimmt dem Einsatz der in den Tabellen 1, 2 und 4 gelisteten Unterauftragsverarbeiter zu. Diese sind zur Erfüllung des Hauptvertrages erforderlich. Bei Übermittlungen in Drittländer bestehen geeignete Garantien gemäß Art. 44 ff. DSGVO, insbesondere die EU-Standardvertragsklauseln („SCC“) in der jeweils geltenden Fassung und, soweit einschlägig, eine Zertifizierung unter dem EU-US Data Privacy Framework (DPF). Die aktuelle Liste wird zudem unter https://www.hypd.ai/subprocessors veröffentlicht.

1. Infrastruktur und Plattformbetrieb (Unterauftragsverarbeiter)

2. Vom Auftragsverarbeiter eingesetzte KI-Modell-Anbieter (Unterauftragsverarbeiter)

3. Empfänger auf Weisung des Verantwortlichen (eigenständige Verantwortliche, keine Unterauftragsverarbeiter)

4. Interner Geschäftsbetrieb (Unterauftragsverarbeiter mit beiläufigem Zugriff)

Anbieter, die ausschließlich Daten verarbeiten, für die HYPD Verantwortlicher ist (Stripe für Zahlungen, Featurebase für Feedback), sind keine Unterauftragsverarbeiter im Sinne dieses AVV und werden in der Datenschutzerklärung beschrieben.

Hinweise:

• Soweit Unterauftragsverarbeiter oder deren Konzerngesellschaften Daten außerhalb der EU/des EWR verarbeiten, bestehen geeignete Garantien, insbesondere EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 und – soweit einschlägig – eine Zertifizierung unter dem EU-US Data Privacy Framework.
• Der Auftragsverarbeiter informiert den Verantwortlichen gemäß § 5.5 dieses AVV über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern.
• Für jeden Unterauftragsverarbeiter bestehen vertragliche Regelungen, die mindestens das in diesem AVV vereinbarte Schutzniveau gewährleisten.