zwischen dem Kunden, der sich bei CURSIVUM registriert hat bzw. mit dem ein Hauptvertrag besteht, – im Folgenden „Verantwortlicher“ –
und Manuel Kurrle, CURSIVUM, Parkstr. 5, 71063 Sindelfingen – im Folgenden „Auftragsverarbeiter“ –
Dieser Vertrag (nachfolgend „AVV“) ergänzt den zwischen den Parteien bestehenden Vertrag über die Nutzung der Plattform CURSIVUM einschließlich der AGB (nachfolgend „Hauptvertrag“) und regelt die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.
(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung der Software-Plattform CURSIVUM zur automatisierten Erstellung von Social-Media-Content.
(2) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung, soweit sich aus § 10 (Löschung und Rückgabe) nichts anderes ergibt.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu dem Zweck, im Auftrag des Verantwortlichen automatisiert Text- und Bildinhalte für dessen Social-Media-Kommunikation zu erstellen. Die Verarbeitung umfasst insbesondere die technische Speicherung, die Verarbeitung durch KI-Sprachmodelle und die Bereitstellung der vom Verantwortlichen eingegebenen Inhalte.
Für die Daten, die er zur Durchführung des Hauptvertrags selbst benötigt (Kundenkonto, Markenprofil, Abrechnung), ist der Auftragsverarbeiter selbst Verantwortlicher; hierfür gilt die Datenschutzerklärung. Dieser AVV betrifft die Inhalte, die der Verantwortliche zur Erstellung von Beiträgen eingibt (insbesondere Themen- und Freitextfelder).
Betroffen sind in erster Linie der Verantwortliche selbst sowie von ihm benannte Mitarbeitende. Der Verantwortliche ist nach Ziffer 6 der AGB und nach § 3 dieses AVV verpflichtet, keine personenbezogenen Daten Dritter (insbesondere keine Daten eigener Endkunden) in die Themen- und Formularfelder einzugeben. Dieser AVV gilt dennoch auch für den Fall, dass entgegen dieser Verpflichtung im Einzelfall personenbezogene Daten Dritter in Freitextfeldern eingegeben werden.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist.
(2) Der Hauptvertrag sowie dieser AVV stellen die grundlegende dokumentierte Erstweisung dar. Der Verantwortliche kann weitere Weisungen in Textform (z. B. E-Mail an info@cursivum.de) erteilen.
(3) Der Verantwortliche verpflichtet sich, in den Themen- und Formularfeldern der Plattform keine personenbezogenen Daten Dritter einzugeben. Verstößt er gegen diese Verpflichtung, bleibt die Verarbeitung dieser Daten gleichwohl von diesem AVV erfasst; der Auftragsverarbeiter haftet jedoch nicht für Schäden, die daraus entstehen, dass der Verantwortliche entgegen dieser Verpflichtung personenbezogene Daten Dritter eingegeben hat, ohne den Auftragsverarbeiter vorab darüber zu informieren.
(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
Der Auftragsverarbeiter gewährleistet gemäß Art. 28 Abs. 3 DSGVO insbesondere, dass er
Der Auftragsverarbeiter stellt sicher, dass alle zur Datenverarbeitung befugten Personen (beim Auftragsverarbeiter als Einzelunternehmen in erster Linie er selbst sowie ggf. künftig hinzukommende Mitarbeitende) zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, auch über das Ende ihrer Tätigkeit hinaus.
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO. Er darf sie im Zuge der technischen Weiterentwicklung anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er dem Verantwortlichen auf Anfrage mit.
(1) Der Verantwortliche erteilt die allgemeine Genehmigung, die in Anlage 2 aufgeführten Unterauftragsverarbeiter einzusetzen.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor dem Einsatz weiterer oder anderer Unterauftragsverarbeiter in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Widerspricht er nicht fristgerecht, gilt die Änderung als genehmigt. Im Fall eines Widerspruchs kann jede Partei den Hauptvertrag außerordentlich kündigen.
(3) Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, wie sie in diesem AVV vereinbart sind.
(4) Ist ein Unterauftragsverarbeiter in einem Drittland ansässig oder ist ein Zugriff aus einem Drittland möglich, stellt der Auftragsverarbeiter sicher, dass geeignete Garantien im Sinne der Art. 44 ff. DSGVO vorliegen (z. B. Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework oder EU-Standardvertragsklauseln, siehe Anlage 2).
(1) Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und danach in angemessenen Abständen von der Einhaltung der Pflichten aus diesem AVV zu überzeugen.
(2) Der Auftragsverarbeiter stellt auf Anfrage die erforderlichen Nachweise (z. B. eine aktuelle Beschreibung der TOM) zur Verfügung. Vor-Ort-Kontrollen sind nach Anmeldung mit angemessenem Vorlauf während der üblichen Geschäftszeiten möglich; Geschäftsgeheimnisse des Auftragsverarbeiters und die Daten anderer Kunden sind dabei zu schützen.
(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, über jede Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die im Rahmen dieses AVV verarbeitete Daten betrifft.
(2) Die Mitteilung enthält, soweit bekannt, mindestens eine Beschreibung der Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei dessen Pflichten nach Art. 33 und 34 DSGVO.
(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Rahmen dieses AVV verarbeiteten personenbezogenen Daten, sofern der Verantwortliche nicht ausdrücklich die Rückgabe verlangt oder gesetzliche Aufbewahrungspflichten entgegenstehen.
(2) Erstellte Bild-Dateien werden unabhängig davon automatisiert 90 Tage nach ihrer Erstellung vom Server gelöscht. Der Verantwortliche kann einzelne Beiträge jederzeit selbst im Kundenbereich löschen.
(3) Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt.
Es gelten die Haftungsregelungen des Hauptvertrags (Ziffer 11 der AGB) entsprechend, soweit dieser AVV nichts Abweichendes regelt; Art. 82 DSGVO bleibt unberührt. Für Schäden aus einer Verarbeitung, die der Verantwortliche entgegen § 3 Abs. 3 veranlasst hat, haftet der Auftragsverarbeiter nicht.
(1) Dieser AVV beginnt mit Abschluss des Hauptvertrags, bei Online-Registrierung mit der Bestätigung bei der Registrierung, und endet automatisch mit dem Hauptvertrag. Eine gesonderte Kündigung ist nicht vorgesehen, solange der Hauptvertrag fortbesteht.
(2) Der Abschluss in elektronischem Format genügt der Form nach Art. 28 Abs. 9 DSGVO. Auf Wunsch stellt der Auftragsverarbeiter eine unterzeichnete Fassung zur Verfügung.
(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Für Änderungen dieses AVV gilt das in Ziffer 13 der AGB beschriebene Verfahren entsprechend.
(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit es um die Verarbeitung personenbezogener Daten geht.
(3) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(4) Es gilt das Recht der Bundesrepublik Deutschland.
| Unternehmen | Leistung | Ort der Verarbeitung | Garantie bei Drittlandbezug |
|---|---|---|---|
| Hetzner Online GmbH | Server-Hosting (Webseiten, Verarbeitungs-Server, Bild-Dateien) | Deutschland | kein Drittlandtransfer |
| Supabase, Inc. | Datenbank (Kundenkonten, Markenprofile, Beiträge und Themen-Eingaben) | Frankfurt am Main (AWS, Region eu-central-1); Anbieter mit Sitz in den USA | EU-Standardvertragsklauseln bzw. Data Privacy Framework gemäß Auftragsverarbeitungsvertrag des Anbieters |
| OpenAI, L.L.C. | Erstellung von Text- und Bildinhalten (KI-Verarbeitung der Themen-Eingaben) | USA | EU-US Data Privacy Framework / EU-Standardvertragsklauseln |
Diese Liste wird bei Änderungen gemäß § 7 Abs. 2 aktualisiert.