Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (Art. 28 DSGVO) 1. Gegenstand und Grundlage Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO. Er gilt für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter (FHC+P GmbH, Würmstraße 55, 82166 Gräfelfing) im Auftrag des Verantwortlichen (Kunde/Nutzer des Dienstes Personativ) im Rahmen der Nutzung des Dienstes durchführt. 2. Gegenstand, Art, Zweck und Dauer Gegenstand/Zweck: Erfassung, Aufbereitung, Planung und Veröffentlichung von Inhalten über angebundene Kanäle sowie zugehörige Konto-, Kunden- und Abrechnungsverwaltung. Art: Erheben, Speichern, Verändern, Auslesen, Übermitteln (an vom Nutzer gewählte Kanäle und Dienstleister), Löschen. Dauer: für die Laufzeit des Nutzungsverhältnisses; danach gemäß Ziffer 7. 3. Art der Daten und Kategorien betroffener Personen Datenarten: Stammdaten (Firma/Name, Anschrift, USt-IdNr./Steuernummer, Kontaktdaten), Konto-/Zugangsdaten des Nutzers, vom Nutzer erstellte Inhalte (Texte, Bilder, Videos) einschließlich darin enthaltener personenbezogener Daten, Verbindungsdaten zu angebundenen Kanälen (Zugriffstoken) sowie Abrechnungsdaten. Betroffene: Beschäftigte und Ansprechpartner des Verantwortlichen sowie in den Inhalten genannte oder abgebildete Personen und Empfänger. 4. Weisungsbindung Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (einschließlich der über die Anwendung getätigten Eingaben und Veröffentlichungen), es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen. Weisungen können schriftlich, in Textform oder durch dokumentierte Konfigurationen in der Anwendung erteilt werden. Der Auftragsverarbeiter archiviert alle Weisungen für die Dauer des Vertragsverhältnisses und macht sie dem Verantwortlichen auf Anfrage zugänglich. 5. Vertraulichkeit Zur Verarbeitung eingesetzte Personen sind auf Vertraulichkeit verpflichtet und entsprechend unterwiesen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO). 6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO) - Transportverschlüsselung: TLS/HTTPS für alle Verbindungen; HSTS. - Verschlüsselung ruhender sensibler Daten: Zugangstoken und KI-Schlüssel werden mit AES-256-GCM verschlüsselt gespeichert; Passwörter ausschließlich als kryptografischer Hash. - Zugangs-/Zugriffskontrolle: persönliche Konten, Rollen- und Admintrennung, Rechtevergabe nach dem Prinzip der geringsten Rechte. - Mandantentrennung: kontobezogene Datentrennung auf Datenbankebene (Row-Level-Security); Kundendaten sind je Konto isoliert. - Zutrittskontrolle: Der Betrieb erfolgt in einem Rechenzentrum innerhalb der EU; die physische Zutrittskontrolle obliegt dem Hosting-Dienstleister (siehe Ziffer 8). - Verfügbarkeit, Wiederherstellbarkeit und Notfallmanagement: regelmäßige, integritätsgeprüfte Backups sowie dokumentierte Wiederherstellungsverfahren. - Sicherheitsüberprüfung: automatisiertes Scanning der Anwendung auf offengelegte Zugangsdaten sowie auf bekannte Schwachstellen in eingesetzten Komponenten im Rahmen des Auslieferungsprozesses. - Protokollierung: sicherheitsrelevante Ereignisse; Fehler-/Zugriffslogs. - Datenminimierung: es werden keine besonderen Kategorien (Art. 9 DSGVO) erhoben. 7. Löschung und Rückgabe Nach Abschluss der Leistung löscht der Auftragsverarbeiter die Daten oder gibt sie zurück (Wahl des Verantwortlichen), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Export von Inhalten und Rechnungen ist möglich. 8. Unterauftragsverarbeiter Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter: Hostinger International Ltd, Hosting / Rechenzentrum, Deutschland (EU). Stripe Payments Europe, Ltd., Zahlungsabwicklung, EU/Irland. KI-Anbieter (nur bei aktivierter KI-Funktion, je nach gewähltem Anbieter, z. B. OpenAI, Anthropic, OpenRouter, Mistral), KI-gestützte Text-/Bildaufbereitung, EU oder Drittland (u. a. USA). Ein Wechsel eines Unterauftragsverarbeiters wird dem Verantwortlichen mindestens 30 Tage vor dem geplanten Wechsel mitgeteilt. Der Verantwortliche kann den Wechsel innerhalb von 14 Tagen nach Mitteilung in Textform ablehnen, wenn Tatsachen die Annahme rechtfertigen, dass der neue Unterauftragsverarbeiter nicht die in Art. 28 DSGVO geforderten Voraussetzungen erfüllt. Für die Übermittlung personenbezogener Daten an Unterauftragsverarbeiter in Drittstaaten (insbesondere OpenRouter, Inc. in den USA) werden die von der Europäischen Kommission erlassenen Standardvertragsklauseln vereinbart. Der Auftragsverarbeiter führt vor der erstmaligen Übermittlung ein Transfer Impact Assessment durch und trifft erforderliche ergänzende technische und organisatorische Maßnahmen, um ein den Anforderungen der DSGVO entsprechendes Schutzniveau zu gewährleisten. Die Ergebnisse werden dem Verantwortlichen auf Anfrage zur Verfügung gestellt. Die Veröffentlichung auf sozialen Netzwerken und Web-Zielen erfolgt auf Weisung des Verantwortlichen an die von ihm ausgewählten Plattformen; diese sind insoweit eigene Verantwortliche. 9. Unterstützung, Betroffenenrechte, Datenpannen Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23) sowie bei Pflichten nach Art. 32 bis 36. Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden. 10. Nachweise und Kontrollen Der Auftragsverarbeiter stellt die zur Einhaltung erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h). 11. Schlussbestimmungen Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.