Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Parteien und Vertragsschluss

Dieser Vertrag wird zwischen dem Kunden als Verantwortlichem und MAD Consulting L.L.C-FZ (Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E.) als Auftragsverarbeiter geschlossen und ist Teil der AGB.

Der Inhaber des Arbeitsbereichs nimmt ihn in der App im Namen des Unternehmens per Checkbox an: Er gibt den Namen des Unternehmens an und bestätigt, dass er befugt ist, für das Unternehmen zu handeln. Wir protokollieren die Annahme mit dem Namen des Unternehmens, Version und Sprache des Vertrags sowie dem Zeitpunkt (siehe Abschnitt 3 der Datenschutzerklärung). Eine unterschriebene Fassung gibt es auf Anfrage: hello@sayweek.com.

2. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten, die der Kunde und seine Nutzer in Sayweek einbringen oder aus verbundenen Konten zugänglich machen, ausschließlich zur Erbringung der Sayweek-Leistung. Der Vertrag gilt für die Laufzeit des Vertrags nach den AGB und bleibt bis zur Löschung der Daten (Abschnitt 11) wirksam.

3. Art und Zweck der Verarbeitung

Speichern, Ordnen, Auslesen, KI-gestütztes Schreiben und Auswerten, Planen und – nach Freigabe durch den Kunden – Veröffentlichen in sozialen Netzwerken, Statistiken, Benachrichtigungen, Export und Löschung, damit wir die Posts der Marken des Kunden schreiben, zur Freigabe vorbereiten, planen und messen können.

4. Arten personenbezogener Daten

• Namen, E-Mail-Adressen, Rollen, Anmelde- und Aktivitätsdaten der Nutzer und Teammitglieder.
• Posts, Ideen, transkribierte Sprachnotizen, Bilder, Videos, Stories und Daten der darin erwähnten Personen.
• Auszüge aus verbundenen Kalendern, Postfächern (Gmail, Outlook), CRMs, Notion, Drive und OneDrive / SharePoint sowie maskierte Auszüge aus verbundenen oder von Hand hinzugefügten (eingefügten, hochgeladenen, weitergeleiteten) Meeting-Transkripten, die nur im Arbeitsspeicher verarbeitet werden; von einem Transkript werden nur die Ideen und ein Hash seiner Wörter gespeichert (eingeschränkt wie in der Datenschutzerklärung beschrieben).
• Der transkribierte Text von Nachrichten, Links und Sprachnachrichten an den Telegram- oder WhatsApp-Bot, die Chat-ID und der Anzeigename.
• Kommentare unter den Posts in sozialen Netzwerken (Name des Verfassers, Text – höchstens 48 Stunden) und Statistiken.
• Namen und Kommentare, die Kunden des Kunden auf Freigabelinks eingeben.

5. Kategorien betroffener Personen

Nutzer und Teammitglieder des Kunden; Kunden und Ansprechpartner des Kunden; Personen, die in Inhalten, Kalendern, E-Mails und CRM-Einträgen erwähnt werden; Personen, die die Posts des Kunden kommentieren. Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht vorgesehen; der Kunde gibt solche Daten nicht wissentlich ein.

6. Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden – auch im Hinblick auf Übermittlungen in ein Drittland –, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist; in diesem Fall teilt er dies dem Kunden vorab mit, sofern das Gesetz es nicht verbietet. Weisungen sind die AGB, dieser Vertrag sowie alle Einstellungen und Handlungen des Kunden in der App (z. B. Verbinden, Freigeben, Löschen).

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich. Er nutzt die Daten nie für eigene Zwecke und nie zum Training von KI-Modellen.

7. Vertraulichkeit

Zugriff auf die Daten haben nur Personen, die ihn für die Leistung, den Support oder die Störungsbehebung benötigen und die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

8. Sicherheit der Verarbeitung (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft dem Risiko angemessene technische und organisatorische Maßnahmen; sie sind in Anlage 1 aufgeführt, eine verständliche Zusammenfassung steht auf der Seite Sicherheit. Wir dürfen die Maßnahmen dem Stand der Technik anpassen, das Schutzniveau darf dabei aber nicht sinken.

9. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste – Zweck, Daten, Ort – steht auf der Seite Unterauftragsverarbeiter und ist Teil dieses Vertrags.

• Über neue oder ersetzte Unterauftragsverarbeiter informieren wir den Inhaber des Arbeitsbereichs mindestens 30 Tage im Voraus per E-Mail.
• In dieser Zeit kann der Kunde aus berechtigten datenschutzrechtlichen Gründen widersprechen. Finden wir keine Lösung, kann der Kunde vor Wirksamwerden der Änderung kostenfrei kündigen; bereits bezahlte, nicht genutzte Zeiträume erstatten wir.
• Jedem Unterauftragsverarbeiter erlegen wir schriftlich Datenschutzpflichten auf, die mindestens denen dieses Vertrags entsprechen, und haften dem Kunden gegenüber für deren Einhaltung.

Dienste, die der Kunde selbst verbindet (z. B. Google – auch Meet und Unternehmensprofil –, Microsoft 365, LinkedIn, Meta – auch Threads –, TikTok, Bluesky, Zoom, Fireflies.ai, Fathom, tl;dv, Telegram, Unsplash, Pexels, Zapier, Make, KI-Assistenten), sind keine Unterauftragsverarbeiter: Der Kunde nutzt sie auf Grundlage seines eigenen Vertrags mit ihnen, und der Auftragsverarbeiter tauscht nur auf Weisung des Kunden Daten mit ihnen aus.

10. Unterstützung und Datenschutzverletzungen

• Der Auftragsverarbeiter unterstützt den Kunden bei Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Export), vorrangig über die Funktionen der App, und leitet an ihn gerichtete Anfragen an den Kunden weiter.
• Er unterstützt den Kunden bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen.
• Er meldet dem Inhaber des Arbeitsbereichs eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis: was passiert ist, welche Daten und wie viele Personen etwa betroffen sein können, die wahrscheinlichen Folgen und was wir getan haben oder empfehlen. Fehlende Informationen reicht er nach, sobald sie vorliegen.

11. Löschung oder Rückgabe der Daten

Bei Vertragsende kann der Kunde zuerst einen Export herunterladen (Einstellungen → Daten & Datenschutz → Export, JSON). Danach löscht der Auftragsverarbeiter alle personenbezogenen Daten aus der Datenbank und innerhalb von 30 Tagen aus den Backups, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Ausgestellte Rechnungen bewahren wir nicht als Auftragsverarbeiter, sondern aufgrund unserer eigenen gesetzlichen Pflicht auf (siehe Datenlöschung).

12. Informationen und Kontrollen

Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Einmal jährlich (zusätzlich nach einer Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde) kann der Kunde schriftliche Auskunft über die Sicherheitsmaßnahmen verlangen; Vor-Ort-Prüfungen – durch einen vom Kunden beauftragten, zur Vertraulichkeit verpflichteten Prüfer – sind mit mindestens 30 Tagen Vorlauf, zu Geschäftszeiten, unter Schutz der Daten anderer Kunden und auf Kosten des Kunden möglich.

13. Internationale Übermittlungen

Der Auftragsverarbeiter hat seinen Sitz in den Vereinigten Arabischen Emiraten; die Datenbank liegt in der EU (Frankfurt). Übermittlungen außerhalb von EU/EWR – in die VAE und an Unterauftragsverarbeiter in den USA – stützen sich auf die Standardvertragsklauseln (SCC) der Europäischen Kommission oder eine andere Garantie nach Kapitel V DSGVO, die die Parteien als Teil dieses Vertrags ansehen. [SCC-Modul(e) benennen (Modul 2: Verantwortlicher → Auftragsverarbeiter; Modul 3: Auftragsverarbeiter → Unterauftragsverarbeiter), ausgefüllte Anhänge, anwendbares Recht und Gerichtsstand sowie das Transfer Impact Assessment]

14. Haftung und Vorrang

Für die Haftung der Parteien gelten die Haftungsregeln der AGB unter Berücksichtigung von Art. 82 DSGVO. In Datenschutzfragen hat dieser Vertrag Vorrang vor den AGB. [Haftungsbegrenzung mit den AGB und Art. 82 DSGVO abstimmen]

15. Kontakt

MAD Consulting L.L.C-FZ, Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E. · hello@sayweek.com

Anlage 1 – Technische und organisatorische Maßnahmen

• Verschlüsselung: alle Verbindungen über HTTPS/TLS; Zugriffstoken Dritter, Zwei-Faktor-Geheimnisse und Webhook-Adressen mit AES-256-GCM verschlüsselt gespeichert; Passwörter als scrypt-Hash.
• Zugriffskontrolle: Daten je Arbeitsbereich getrennt (jede Abfrage ist an den Arbeitsbereich gebunden); Rollen (Inhaber, Bearbeiter) und optionale zweistufige Freigabe; Passkeys und TOTP als zweiter Faktor; erneute Anmeldung für Betreiberfunktionen.
• Protokollierung: Aktivitätsprotokoll des Arbeitsbereichs (Freigaben, Verbindungen, Löschungen), Fehlerprotokoll für 30 Tage, das Protokoll der Vertragsannahme.
• Verfügbarkeit und Backups: verwaltete Datenbank (Neon, EU) mit fortlaufenden Backups und Wiederherstellung zu einem Zeitpunkt; verwaltetes Hosting (Vercel, EU-Region).
• Datenminimierung: Anbindungen lesen überwiegend nur; E-Mail-Texte und CRM-Datensätze werden nicht gespeichert; Namen, E-Mail-Adressen und Beträge werden vor der Übermittlung an die KI maskiert; Kommentare anderer werden nach 48 Stunden gelöscht.
• Sichere Entwicklung: Code-Review, automatisierte Tests, regelmäßige Updates der Abhängigkeiten, Sicherheits-Header (z. B. X-Frame-Options, nosniff), Geheimnisse nur in der Serverumgebung.
• Organisatorische Maßnahmen: Vertraulichkeitsverpflichtung, Zugriff auf das nötige Minimum beschränkt, ein Verfahren für Sicherheitsvorfälle (Meldung binnen 48 Stunden), eine Richtlinie zur Meldung von Schwachstellen.
• [zu ergänzen: Audits / Zertifizierungen, Penetrationstest, Mitarbeiterschulung, Gerätesicherheit]