Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeiter

Kuro Studio, Lukas Wirth

Anschrift

Hirschberger Str. 24, 90559 Burgthann, Deutschland

Kontakt

legal@kurostudio.io

Verantwortlicher

Der Kunde, der den Workspace betreibt

Gegenstand ist die Verarbeitung personenbezogener Daten, die anfällt, wenn wir Kuro Engage für dich bereitstellen: das Ausführen deiner Automatisierungskampagnen auf deinen verbundenen Social Accounts, das Zustellen der daraus entstehenden Nachrichten und Assets sowie das Erfassen der Leads, die diese Kampagnen erzeugen. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

Wir erheben, speichern, ordnen, gleichen ab, übermitteln, rufen ab und löschen Daten für die vom Kunden konfigurierten Social-Media-Automationen, Assetzustellung, Leaderfassung und zugehörigen Zustell- und Interaktionsnachweise. Die Verarbeitung dauert für die Dienstbeziehung und den vereinbarten Rückgabe- und Löschzeitraum.

Betroffene Personen

• Personen, die mit verbundenen Konten und Kampagnen des Kunden interagieren, einschließlich Kommentierender, Nachrichtenempfänger und Leads.
• Personen, deren Angaben der Kunde in Kampagneninhalte oder hochgeladene Assets aufnimmt.

Datenarten

• Plattformkonto-, Publikums- und Interaktionskennungen, Nutzernamen, Kommentare, Nachrichteninhalte und -status sowie Abmeldeanweisungen.
• In der Kampagne mitgeteilte Leadkontaktdaten, der Instagram-Anzeigename des Leads und ob er dem verbundenen Konto folgt sowie Kampagnen- oder Quellenzuordnung.
• Kampagneneinstellungen, hochgeladene Dateien, Zugangsdaten verbundener Konten und erforderliche Verarbeitungs- und Zustellmetadaten.

Kontoinhaberverwaltung, unsere Abrechnung, Sicherheitsüberwachung und optionale Produktanalyse sind gesonderte Verarbeitungen in unserer Verantwortung gemäß Datenschutzerklärung; dieser AVV macht sie nicht zu Kundenweisungen. Besondere Datenkategorien nach Art. 9 DSGVO und strafrechtliche Daten nach Art. 10 DSGVO sind nicht vorgesehen und dürfen ohne gesonderte ausdrückliche Vereinbarung nicht bereitgestellt werden.

Wir verarbeiten personenbezogene Daten ausschließlich auf deine dokumentierte Weisung, auch in Bezug auf Übermittlungen in ein Drittland, sofern wir nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet sind. In diesem Fall teilen wir dir die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Deine Konfiguration im Produkt ist deine primäre Weisung: die Kampagnen, Keywords, Nachrichtentexte, Assets und verbundenen Accounts, die du einrichtest, zusammen mit diesem Vertrag und dem Hauptvertrag. Darüber hinausgehende Weisungen sind in Textform an legal@kurostudio.io zu richten.

Halten wir eine Weisung für rechtswidrig, informieren wir dich unverzüglich und setzen sie bis zur Klärung aus. Die Wiederholung einer rechtswidrigen Weisung verpflichtet uns nicht zur Ausführung. Gesetzliche Hindernisse oder vorgeschriebene Verarbeitung teilen wir mit, soweit das Gesetz die Mitteilung nicht verbietet.

Wir stellen sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort. Zugriff wird strikt nach dem Need-to-know-Prinzip gewährt.

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung und des Risikos für die Rechte und Freiheiten natürlicher Personen. Insbesondere:

• Transportverschlüsselung, Infrastrukturverschlüsselung ruhender Daten und geschützte Zugangsdaten in einem eigenen Geheimnisspeicher.
• Workspaceisolation durch Row Level Security der Datenbank, rollenbasierte Berechtigungen, eingeschränkter Service-Role-Zugriff und autorisierter Supportzugriff.
• Magic-Link- und Passkey-Anmeldung, Botschutz, sicherer Umgang mit Zugangsdaten und Vertraulichkeitspflichten für berechtigte Personen.
• Bereinigte Betriebs- und Sicherheitsprotokolle, Behebung von Schwachstellen und Verfahren zur Bewertung und Bearbeitung von Vorfällen.
• Trennung von Produktion und Entwicklung, verschlüsselte Sicherungen, dokumentierte Wiederherstellung mit erneuter Anwendung späterer Löschungen sowie abgegrenzte Löschung von Dateien und Datenbankeinträgen.
• Datenminimierung, dokumentierte Aufbewahrungs- und Löschklassen sowie Prüfung von Zugriffen, Isolation und kritischen Verarbeitungswegen.

Wir können diese Maßnahmen fortentwickeln, sofern das Schutzniveau nicht unterschritten wird. Maßgeblich sind die jeweils in diesem Vertrag dokumentierten Maßnahmen.

Du erteilst eine allgemeine schriftliche Genehmigung für die in der einbezogenen Liste unter /subprocessors genannten Unterauftragsverarbeiter. Sie nennt Gesellschaft, Zweck und Verarbeitungsorte. Wir verpflichten sie auf im Wesentlichen dieselben einschlägigen Datenschutzpflichten und bleiben dir gegenüber für deren Erfüllung verantwortlich. Deren eigene Unterauftragnehmerlisten bilden unter diesen Garantien die weitere Verarbeitungskette.

Über beabsichtigte Hinzunahme oder Ersetzung informieren wir Workspaceadmins mindestens 30 Tage vor Verarbeitung von Kundendaten durch den neuen Unterauftragsverarbeiter in Textform. Innerhalb dieser Frist kannst du aus begründeten Datenschutzgründen widersprechen. Wir bemühen uns um eine Lösung, gegebenenfalls eine zumutbare Alternative. Ist keine angemessene Lösung möglich, kann jede Partei die betroffene Leistung vor Wirksamwerden der Änderung beenden; Vorauszahlungen für den ungenutzten betroffenen Zeitraum werden erstattet. Diese Mitteilung ist keine optionale Tracking-Einwilligung und ersetzt sie nicht.

Unter Berücksichtigung der Verarbeitung unterstützen wir dich mit geeigneten technischen und organisatorischen Maßnahmen bei Anfragen nach Kapitel III DSGVO. Kontaktiert uns eine Person zu deinen Kampagnendaten, leiten wir die Anfrage unverzüglich weiter, können den Eingang bestätigen und unsere Rolle erläutern und handeln nach deiner dokumentierten Weisung. Wir entscheiden nicht eigenständig über die Berechtigung und löschen deine Daten nicht allein auf Wunsch Dritter, soweit keine gesetzliche Pflicht besteht.

Wir unterstützen dich unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung deiner Pflichten nach Art. 32 bis 36 DSGVO. Das umfasst die Sicherheit der Verarbeitung, Datenschutz-Folgenabschätzungen und die vorherige Konsultation einer Aufsichtsbehörde.

Wir informieren dich unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die in deinem Auftrag verarbeitete Daten betrifft, und stellen dir die Informationen bereit, die du für deine eigenen Meldepflichten nach Art. 33 und Art. 34 DSGVO benötigst.

Nach Ende der Leistung geben wir nach deiner Wahl personenbezogene Kundendaten zurück oder löschen sie und vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die Rückgabe erfolgt nach dem Export- und Wechselverfahren in Abschnitt 19 der AGB einschließlich gespeicherter Assetdateien und einschlägigem Abrufzeitraum. Die reguläre Löschung nach Ende eines bezahlten Abonnements ist für 30 Tage vorgesehen, muss aber einen rechtzeitig vereinbarten Wechsel- oder Rückgabezeitplan und zwingende Rechte beachten. Kundenkampagnendaten behalten wir nicht für eigene Werbung.

Geschützte Sicherungen laufen durch ihre Rotation aus und werden nicht für weitere gewöhnliche Verarbeitung genutzt. Nach Wiederherstellung sind spätere Löschungen erneut anzuwenden. Auf Anfrage stellen wir verfügbare Löschbestätigungen bereit. Gesondert erforderliche Verantwortlichen-Nachweise wie Rechnungen sind keine Kundenkampagnenkopien und bleiben auf ihren rechtmäßigen Aufbewahrungszweck beschränkt.

Wir stellen dir alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglichen Überprüfungen einschließlich Inspektionen, die von dir oder einem von dir beauftragten Prüfer durchgeführt werden, und tragen dazu bei.

Überprüfungen werden mit angemessener Vorlaufzeit angekündigt, finden während der üblichen Geschäftszeiten statt, dürfen unseren Betrieb nicht unverhältnismäßig stören und müssen die Vertraulichkeit und die Daten unserer anderen Kunden wahren. Wir können zunächst aktuelle Zertifizierungen, Berichte oder Dokumentationen von uns oder unseren Unterauftragsverarbeitern vorlegen, soweit diese zum Nachweis geeignet sind.

Personenbezogene Daten können außerhalb der EU oder des EWR verarbeitet werden, insbesondere wenn ein Unterauftragsverarbeiter dort tätig ist. In diesen Fällen stellen wir ein angemessenes Schutzniveau sicher, durch einen Angemessenheitsbeschluss einschließlich des EU-US Data Privacy Framework, durch Standardvertragsklauseln oder durch andere geeignete Garantien nach Kapitel V DSGVO, jeweils samt erforderlicher zusätzlicher Maßnahmen.

Daten, die zur Zustellung deiner Kampagnennachrichten an Meta übermittelt werden, gehen auf Grundlage deiner Weisung und der Plattformbedingungen von Meta an Meta, die du als Betreiber des verbundenen Accounts akzeptierst.

Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag für die Verarbeitung personenbezogener Daten in deinem Auftrag vor. Soweit dieser Vertrag keine Regelung enthält, gelten die AGB einschließlich ihrer Bestimmungen zu Haftung und anwendbarem Recht.

Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Fragen zu diesem Vertrag: legal@kurostudio.io.