Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (Art. 28 DSGVO) 1. Gegenstand und Grundlage Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO. Er gilt für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter (FHC+P GmbH, Würmstraße 55, 82166 Gräfelfing) im Auftrag des Verantwortlichen (Kunde/Nutzer des Dienstes adflow) im Rahmen der Nutzung des Dienstes durchführt. 2. Gegenstand, Art, Zweck und Dauer Gegenstand/Zweck: KI-gestützte Erstellung, Verwaltung und Auswertung von Werbekampagnen über angebundene Werbeplattformen sowie zugehörige Konto-, Kunden- und Abrechnungsverwaltung. Art: Erheben, Speichern, Verändern, Auslesen, Übermitteln (an die vom Nutzer verbundenen Werbeplattformen und eingesetzten Dienstleister), Löschen. Dauer: für die Laufzeit des Nutzungsverhältnisses; danach gemäß Ziffer 7. 3. Art der Daten und Kategorien betroffener Personen Datenarten: Stammdaten (Firma/Name, Anschrift, USt-IdNr./Steuernummer, Kontaktdaten), Konto-/Zugangsdaten des Nutzers, Verbindungsdaten zu angebundenen Werbekonten (Zugriffstoken), von der Werbeplattform bezogene Kampagnen- und Leistungsdaten, vom Nutzer erstellte oder von der KI erzeugte Anzeigeninhalte einschließlich darin enthaltener personenbezogener Daten sowie Abrechnungsdaten. Betroffene: Beschäftigte und Ansprechpartner des Verantwortlichen sowie in den Inhalten genannte oder abgebildete Personen. 4. Weisungsbindung Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (einschließlich der über die Anwendung getätigten Eingaben, Freigaben und Schaltungen), es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen. 5. Vertraulichkeit Zur Verarbeitung eingesetzte Personen sind auf Vertraulichkeit verpflichtet und entsprechend unterwiesen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO). 6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO) - Transportverschlüsselung: TLS/HTTPS für alle Verbindungen; HSTS. - Zugangs-/Zugriffskontrolle: persönliche Konten, Passwort-Hashing, Rollen-/Admintrennung, optionale Zwei-Faktor-Authentisierung. - Mandantentrennung: kontobezogene Datentrennung; Kundendaten sind je Konto isoliert. - Verschlüsselte Ablage von Zugangstoken der Werbeplattformen und von KI-Schlüsseln. - Verfügbarkeit/Wiederherstellbarkeit: regelmäßige, integritätsgeprüfte Backups; Wiederherstellungsverfahren. - Protokollierung: sicherheitsrelevante Ereignisse; Fehler-/Zugriffslogs sowie ein Freigabe-Protokoll für automatische Änderungen (Veto-Nachweis). - Datenminimierung: es werden keine besonderen Kategorien (Art. 9 DSGVO) erhoben. 7. Löschung und Rückgabe Nach Abschluss der Leistung löscht der Auftragsverarbeiter die Daten oder gibt sie zurück (Wahl des Verantwortlichen), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Export von Kampagnendaten und Rechnungen ist möglich. 8. Unterauftragsverarbeiter Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter; ein Wechsel wird mit angemessener Frist mitgeteilt und kann begründet abgelehnt werden: [[TODO: Hosting-Provider (EU-Rechenzentrum) für adflow bestätigen]], Hosting / Rechenzentrum, Deutschland (EU). Stripe Payments Europe, Ltd., Zahlungsabwicklung, EU/Irland. KI-Anbieter (nur bei aktivierter KI-Funktion, je nach gewähltem Anbieter, z. B. OpenAI, Anthropic, OpenRouter, Mistral), KI-gestützte Text-/Vorschlagserzeugung, EU oder Drittland (u. a. USA). Die Schaltung der Anzeigen erfolgt auf Weisung des Verantwortlichen an die von ihm ausgewählten Werbeplattformen (z. B. Google); diese sind insoweit eigene Verantwortliche. 9. Unterstützung, Betroffenenrechte, Datenpannen Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23) sowie bei Pflichten nach Art. 32 bis 36. Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden. 10. Nachweise und Kontrollen Der Auftragsverarbeiter stellt die zur Einhaltung erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h). 11. Schlussbestimmungen Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.