Auftragsverarbeitungsvertrag

§ 1. Parteien und Gegenstand

1. Verantwortlicher ist der Kunde. Auftragsverarbeiter ist VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (nachfolgend: „Auftragsverarbeiter“).

2. Gegenstand des Vertrags ist die Verarbeitung personenbezogener Daten von Autoren durch den Auftragsverarbeiter im Namen des Kunden, soweit dies für die Erbringung des Service erforderlich ist: das Auslesen öffentlicher Beiträge in den angegebenen Quellen, deren Bewertung, die Speicherung von Leads und der Versand von Benachrichtigungen.

3. Der Vertrag gilt für die Dauer des Vertrags über die Nutzung des Service und bis zur Löschung der Daten gemäß § 9.

§ 2. Art, Zweck, Datenarten und Kategorien betroffener Personen

1. Art der Verarbeitung: automatisierte Erhebung, Erfassung, Ordnung, Speicherung, Inhaltsanalyse, Bereitstellung für den Kunden und Löschung.

2. Zweck: Identifizierung öffentlicher Beiträge, in denen der Autor einen Bedarf an einem Produkt oder einer Dienstleistung des Kunden äußert, um dem Kunden die Kontaktaufnahme zu ermöglichen.

3. Datenarten: Vor- und Nachname oder Profilname des Autors, Link zum Profil, sofern dieses öffentlich ist, Inhalt des Beitrags, Veröffentlichungsdatum, Adresse der Quelle, öffentliche Zähler für Reaktionen und Kommentare, Ergebnis der Bewertung des Beitrags einschließlich der vom Service erzeugten Begründung, vom Kunden vergebener Lead-Status.

4. Kategorien betroffener Personen: Autoren öffentlicher Beiträge in den vom Kunden angegebenen Quellen.

5. Der Auftragsverarbeiter verarbeitet im Namen des Kunden nicht absichtlich Daten besonderer Kategorien. Der Kunde verpflichtet sich, keine Quellen anzugeben, deren Thema solche Daten offenlegt (Nutzungsbedingungen § 7 Abs. 3). Enthält ein Beitrag dennoch solche Daten, werden sie ausschließlich als Bestandteil des Beitragsinhalts ohne gesonderte Analyse verarbeitet und unterliegen derselben Löschfrist wie die übrigen Daten.

§ 3. Weisungen des Kunden

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Weisungen sind: dieser Vertrag, die Nutzungsbedingungen sowie die Einstellungen, die der Kunde im Panel vornimmt — die Liste der Quellen, der Zeitplan der Scans, die Bewertungskriterien, die Benachrichtigungskanäle, der Tarif und die daraus resultierende Speicherdauer.

2. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich darüber und kann deren Ausführung bis zur Klärung aussetzen.

3. Der Auftragsverarbeiter übermittelt Daten weder an ein Drittland noch an eine internationale Organisation, außer nach Maßgabe des § 7, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall informiert er den Kunden vor Beginn der Verarbeitung, sofern das Recht dies nicht untersagt.

§ 4. Pflichten des Auftragsverarbeiters

1. Er stellt sicher, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben und nur Personen Zugang zu den Daten der Autoren haben, für die dies erforderlich ist; jeder Abruf von Daten der Autoren durch einen Betreiber des Service außerhalb des gewöhnlichen Betriebs des Service wird im Auditprotokoll erfasst.

2. Er setzt dem Risiko angemessene technische und organisatorische Maßnahmen um, insbesondere: Verschlüsselung von Verbindungen, Verschlüsselung von Integrationsgeheimnissen im Ruhezustand, Isolierung der Daten jeder Organisation mit nicht vorhersehbaren Kennungen, Zwei-Faktor-Authentifizierung für Betreiberkonten, Begrenzung der Anzahl von Anmeldeversuchen, automatische Löschung der Daten nach Ablauf der Speicherdauer, Sicherungskopien im Europäischen Wirtschaftsraum sowie Entfernung identifizierender Daten aus den an das Sprachmodell übermittelten Inhalten vor deren Versand.

3. Er unterstützt den Kunden bei der Erfüllung seiner Pflicht zur Beantwortung von Anfragen betroffener Personen. Eine an den Auftragsverarbeiter gerichtete Anfrage eines Autors wird zentral bearbeitet (§ 8), und der Kunde wird darüber informiert. Eine an den Kunden gerichtete Anfrage bearbeitet der Auftragsverarbeiter auf dessen Weisung innerhalb von 7 Tagen.

4. Er unterstützt den Kunden bei der Erfüllung der Pflichten aus Art. 32–36 DSGVO, einschließlich durch Bereitstellung der für die Datenschutz-Folgenabschätzung erforderlichen Informationen, unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen.

5. Über eine Verletzung des Schutzes personenbezogener Daten, die Daten von Autoren betrifft, informiert er den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Feststellung der Verletzung, unter Angabe der ihm bekannten Umstände, Kategorien und ungefähren Anzahl betroffener Personen sowie der ergriffenen Maßnahmen. Er ergänzt die Informationen fortlaufend.

6. Er stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Erfüllung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Audits nach Maßgabe des § 6.

§ 5. Unterauftragsverarbeitung

1. Der Kunde erteilt seine allgemeine Genehmigung für den Einsatz der unter useleadscanner.com/legal/subprocessors aufgeführten Unterauftragsverarbeiter durch den Auftragsverarbeiter in dem dort beschriebenen Umfang.

2. Der Auftragsverarbeiter informiert den Kunden mindestens 30 Tage im Voraus per E-Mail über die beabsichtigte Hinzufügung oder Änderung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist unter Angabe begründeter datenschutzbezogener Gründe Widerspruch einlegen. Kommen die Parteien zu keiner Einigung, kann der Kunde den Vertrag über die Nutzung des Service mit Wirkung zum Zeitpunkt der Einführung der Änderung kündigen; die Gebühr für den nicht genutzten Zeitraum wird anteilig erstattet.

3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die ihm obliegen, und haftet gegenüber dem Kunden für die Erfüllung dieser Pflichten durch diesen Unterauftragsverarbeiter.

§ 6. Audit

1. Der Kunde kann die Durchführung des Vertrags überprüfen, indem er Informationen und Unterlagen anfordert, einschließlich Auditergebnissen und Zertifikaten von Unterauftragsverarbeitern. Der Auftragsverarbeiter antwortet innerhalb von 14 Tagen.

2. Reichen die Informationen gemäß Abs. 1 nicht aus, kann der Kunde selbst oder durch einen zur Verschwiegenheit verpflichteten Auditor ein Audit durchführen, höchstens einmal jährlich, es sei denn, es ist zu einer Datenschutzverletzung gekommen, mit einer Vorankündigung von mindestens 14 Tagen, während der Geschäftszeiten und in einer Weise, die den Betrieb des Service nicht beeinträchtigt und die Vertraulichkeit der Daten anderer Kunden nicht verletzt. Die Kosten des Audits trägt der Kunde, es sei denn, das Audit weist einen wesentlichen Vertragsverstoß nach.

§ 7. Datenübermittlungen außerhalb des EWR

1. Die Daten der Autoren werden auf Servern im Europäischen Wirtschaftsraum gespeichert.

2. Eine Übermittlung außerhalb des EWR erfolgt ausschließlich an die in der Liste gemäß § 5 Abs. 1 genannten Unterauftragsverarbeiter auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (einschließlich im Rahmen des EU-U.S. Data Privacy Framework); falls ein solcher Beschluss nicht vorliegt oder aufgehoben wird, auf Grundlage der von der Kommission angenommenen Standardvertragsklauseln, ergänzt durch eine Bewertung der Auswirkungen der Übermittlung.

3. Anbieter des im KI-Modus verwendeten Sprachmodells ist OpenAI Ireland Ltd (EWR) auf Grundlage des Auftragsverarbeitungsvertrags von OpenAI. Anfragen an das Modell werden auf Servern von OpenAI in den Vereinigten Staaten verarbeitet; Grundlage für diese Übermittlung sind die in diesen Vertrag einbezogenen Standardvertragsklauseln. Über die API übermittelte Inhalte werden nicht zum Trainieren von Modellen verwendet. Der an das Modell übermittelte Inhalt des Beitrags wird zuvor von Vor- und Nachnamen, E-Mail-Adressen, Telefonnummern und Verweisen auf Profile bereinigt.

§ 8. Widerspruch des Autors und Ausschlussliste

1. Ein Autor, der der Verarbeitung widerspricht oder die Löschung seiner Daten verlangt, kann sich direkt an den Auftragsverarbeiter unter [email protected] wenden. Der Auftragsverarbeiter löscht dann die Daten des Autors aus allen Organisationen, einschließlich der Organisation des Kunden, und speichert einen irreversiblen Hash der Kennung des Autors in der Ausschlussliste, durch die künftige Scans dessen Beiträge überspringen.

2. Der Kunde nimmt zur Kenntnis, dass der Widerspruch des Autors ohne gesonderte Zustimmung des Kunden umgesetzt wird und dass der Kunde, dessen Organisation betroffen war, aufgrund des lokalen Charakters der Kennung nicht immer benachrichtigt werden kann; soweit möglich, informiert der Auftragsverarbeiter den Kunden über die Löschung.

3. Die Ausschlussliste ist die einzige Sammlung von Autorendaten, die der Auftragsverarbeiter im eigenen Namen als Verantwortlicher auf Grundlage von Art. 6 Abs. 1 Buchst. c DSGVO (Verpflichtung zur Wahrnehmung der Rechte betroffener Personen) sowie Art. 6 Abs. 1 Buchst. f DSGVO (berechtigtes Interesse an der wirksamen Umsetzung des Widerspruchs) führt. Die Liste enthält ausschließlich Hashes, aus denen sich die Daten des Autors nicht wiederherstellen lassen, und wird unbefristet geführt, da ihre Löschung eine erneute Erhebung der Daten einer Person bedeuten würde, die dies nicht wünscht.

§ 9. Beendigung der Verarbeitung

1. Die Daten der Autoren werden nach Ablauf der sich aus dem Tarif ergebenden Aufbewahrungsfrist automatisch gelöscht (Nutzungsbedingungen § 5 Abs. 6), und Beiträge, die nicht als Lead bewertet wurden, werden auf dieselbe Weise und spätestens zusammen mit den Leads gelöscht.

2. Nach Beendigung des Vertrags über die Nutzung des Service löscht der Auftragsverarbeiter nach Ablauf einer 30-tägigen Karenzzeit alle im Namen des Kunden verarbeiteten Autorendaten einschließlich ihrer Kopien, mit Ausnahme der Ausschlussliste (§ 8) sowie der Daten, deren Aufbewahrung nach Unionsrecht oder dem Recht eines Mitgliedstaats erforderlich ist.

3. Vor Beendigung des Vertrags kann der Kunde im Dashboard eine Kopie der Leads in einem offenen Format herunterladen; dies ist die in Art. 28 Abs. 3 Buchst. g DSGVO genannte Art der Rückgabe der Daten.

§ 10. Schlussbestimmungen

1. Jede Partei haftet für durch die Verarbeitung verursachte Schäden in dem sich aus Art. 82 DSGVO ergebenden Umfang. Gegenüber einem Kunden, der kein privilegierter Kunde ist, gilt die Haftungsbeschränkung gemäß § 10 der Nutzungsbedingungen, soweit dies nicht zwingenden Vorschriften widerspricht.

2. In nicht geregelten Angelegenheiten gelten die Nutzungsbedingungen und die DSGVO. Änderungen des Vertrags erfolgen nach dem Verfahren zur Änderung der Nutzungsbedingungen.

3. Der Vertrag wurde in polnischer und englischer Sprache ausgefertigt; im Falle von Abweichungen ist die polnische Fassung verbindlich. Er gilt ab dem 2. September 2026.