Zusatzvereinbarung zur Auftragsverarbeitung

1. Parteien und Geltungsbereich

Diese Zusatzvereinbarung zur Auftragsverarbeitung (die „DPA“) besteht zwischen PeakCore LLC, einer Limited Liability Company nach dem Recht von Wyoming, die AIGROW betreibt („wir“, „uns“), und dem Unternehmen, das unsere Nutzungsbedingungen akzeptiert („Sie“). Sie ist Bestandteil des Vertrags, der aus den Nutzungsbedingungen und den dort genannten Dokumenten besteht (der „Vertrag“).

Sie gilt immer dann, wenn wir bei der Erbringung der Dienste für Sie personenbezogene Kundendaten verarbeiten. Sie gilt automatisch und ohne Unterschrift ab dem Zeitpunkt, zu dem Sie uns erstmals solche Daten überlassen. Typische Fälle sind:

• die Unternehmensangaben, Wettbewerber und Gesamtwerte des Google-Analytics-Traffics, die Sie in einem Monitor speichern;
• die Kundendaten, das Branding und die White-Label-Berichte einer Agentur;
• die Leads, die der eingebettete Checker einer Agentur von den Besuchern der Website der Agentur erfasst;
• Search-Console-Daten und der Schlüssel, den Sie mit der Blog-Engine verbinden;
• die Nachrichten, Erinnerungen und Dokumente, die Sie dem Assistenten übergeben, sowie die Inhalte der Blog-Engine;
• Prompts und Antworten, die über unsere API laufen;
• die Unterlagen, die Sie uns für Done-for-you-Leistungen und Pressemitteilungen senden, etwa Kundenbewertungen, Zitate und die Namen Ihrer Mitarbeitenden.

Diese DPA gilt nur für Geschäftskunden. Sie gilt nicht für personenbezogene Daten, die wir als Verantwortlicher verarbeiten, etwa Ihre Konto-, Rechnungs- und Kontaktdaten. Diese regelt die Datenschutzerklärung.

2. Begriffsbestimmungen

Begriffe, die in den Nutzungsbedingungen definiert sind, haben hier dieselbe Bedeutung. „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die DSGVO zuweist. Darüber hinaus gilt:

• Personenbezogene Kundendaten sind personenbezogene Daten, die wir bei der Erbringung der Dienste in Ihrem Auftrag verarbeiten.
• Datenschutzrecht sind die Gesetze, die auf diese Verarbeitung Anwendung finden. Dazu können die EU-Datenschutz-Grundverordnung 2016/679 (die „DSGVO“), die DSGVO in der Form, in der sie Teil des Rechts des Vereinigten Königreichs ist (die „UK-DSGVO“), der UK Data Protection Act 2018, das Schweizer Bundesgesetz über den Datenschutz (das „DSG“), der California Consumer Privacy Act und ähnliche Gesetze von US-Bundesstaaten gehören.
• Unterauftragsverarbeiter ist ein Dritter, den wir mit der Verarbeitung personenbezogener Kundendaten beauftragen.
• Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Kundendaten oder zum unbefugten Zugang zu ihnen führt, und zwar auf Systemen, die wir oder unsere Unterauftragsverarbeiter kontrollieren.
• SCC sind die Standardvertragsklauseln, die mit dem Durchführungsbeschluss 2021/914 der Europäischen Kommission genehmigt wurden.
• UK-Addendum ist der von der britischen Datenschutzbehörde (UK Information Commissioner) herausgegebene Zusatz für internationale Datenübermittlungen zu den SCC.

3. Rollen

Sie sind der Verantwortliche für die personenbezogenen Kundendaten, und wir sind Ihr Auftragsverarbeiter. Wenn Sie für Ihren eigenen Kunden handeln, wie es bei einer Agentur der Fall ist, sind Sie Auftragsverarbeiter, Ihr Kunde ist der Verantwortliche, und wir sind Ihr Unterauftragsverarbeiter. Sie bestätigen, dass Ihr Kunde Sie ermächtigt hat, uns diese Weisungen zu erteilen, einschließlich der Beauftragung unserer Unterauftragsverarbeiter, und dass Sie weiterhin unser einziger Ansprechpartner bleiben.

Für die Daten, die wir zum Betrieb unseres Unternehmens benötigen, sind wir Verantwortlicher und nicht Auftragsverarbeiter. Dazu zählen Konto- und Rechnungsdaten, Aufzeichnungen zu Nutzung und Kosten, Sicherheits- und Missbrauchsprotokolle sowie Statistiken, die niemanden identifizieren. Wir dürfen Nutzungsaufzeichnungen und solche Statistiken verwenden, um die Dienste zu betreiben, zu sichern, abzurechnen und zu verbessern, nie jedoch, um Ihre betroffenen Personen zu identifizieren.

USA. Soweit Datenschutzgesetze von US-Bundesstaaten gelten, handeln wir als Ihr Dienstleister oder Auftragnehmer. Wir verkaufen oder teilen personenbezogene Kundendaten nicht. Wir behalten sie nicht, verwenden sie nicht und legen sie nicht offen, es sei denn, dies dient der Erbringung der Dienste im Rahmen des Vertrags und erfolgt innerhalb unserer unmittelbaren Geschäftsbeziehung zu Ihnen. Wir führen sie nicht mit personenbezogenen Daten aus anderen Quellen zusammen, soweit diese Gesetze dies nicht erlauben. Wir erfüllen die Pflichten, die diese Gesetze uns auferlegen, und teilen Ihnen mit, wenn wir sie nicht mehr erfüllen können. Sie dürfen dann angemessene und geeignete Maßnahmen ergreifen, um eine unbefugte Verwendung zu beenden und zu beheben.

4. Verarbeitung auf Ihre Weisung

Wir verarbeiten personenbezogene Kundendaten ausschließlich auf Ihre dokumentierte Weisung, auch in Bezug auf internationale Übermittlungen, es sei denn, das Gesetz verlangt etwas anderes. In diesem Fall teilen wir Ihnen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.

Ihre Weisungen sind diese DPA, der Vertrag, die von Ihnen gewählten Einstellungen und die Art, wie Sie die Dienste nutzen, sowie alle weiteren schriftlichen Weisungen, denen wir zustimmen. Die Wahl einer Funktion, eines Modells oder einer Zustelladresse ist eine Weisung. Wenn Sie beispielsweise im Assistenten oder in der API ein Modell auswählen, ist die Übermittlung Ihrer Inhalte an den Anbieter dieses Modells Teil Ihrer Weisungen.

Wir informieren Sie, wenn eine Weisung nach unserer Auffassung gegen das Datenschutzrecht verstößt. Wir sind nicht verpflichtet, Ihre Weisungen auf ihre Rechtmäßigkeit zu prüfen, und dürfen die betreffende Verarbeitung aussetzen, bis Sie die Weisung bestätigen oder ändern.

Sie sind für die Rechtmäßigkeit der von Ihnen veranlassten Verarbeitung verantwortlich: Sie benötigen eine Rechtsgrundlage, müssen die gesetzlich vorgeschriebenen Hinweise geben und Einwilligungen einholen und sind für die Richtigkeit der Daten verantwortlich, die Sie bereitstellen. Die Dienste sind nicht für besondere Kategorien personenbezogener Daten, Strafregisterdaten oder Daten von Kindern ausgelegt. Überlassen Sie uns solche Daten nur, wenn sie für den Dienst erforderlich und rechtmäßig sind.

5. Vertraulichkeit

Wir gewähren nur Personen Zugang zu personenbezogenen Kundendaten, die ihn benötigen, um die Dienste zu erbringen, zu unterstützen oder zu sichern, und die zur Vertraulichkeit oder durch eine gesetzliche Verschwiegenheitspflicht gebunden sind.

Verlangt ein Gericht, eine Behörde oder ein sonstiger Dritter von uns personenbezogene Kundendaten, verweisen wir ihn, soweit möglich, an Sie. Wir teilen Ihnen das Verlangen mit, sofern das Gesetz dies nicht verbietet, und legen nur offen, wozu wir gesetzlich verpflichtet sind.

6. Sicherheit

Wir setzen technische und organisatorische Maßnahmen um, die ein dem Risiko angemessenes Sicherheitsniveau gewährleisten, wie es Art. 32 DSGVO verlangt, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung. Die derzeit bestehenden Maßnahmen sind unten aufgeführt und bilden Anhang II im Sinne der SCC.

Wir dürfen diese Maßnahmen ändern, wenn sich Technologie und Risiken weiterentwickeln, sofern die Änderung das Sicherheitsniveau insgesamt nicht wesentlich verringert. Sie sind für die Sicherheit Ihres eigenen Kontos, Ihrer Geräte, API-Schlüssel und Berichtslinks sowie für die Daten verantwortlich, die Sie hochladen. Auf unserer Sicherheitsseite erfahren Sie, wie AIGROW funktioniert.

7. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die Kategorien, die wir nutzen, samt ihren Standorten stehen im Anhang unten. Die aktuelle Liste der Unterauftragsverarbeiter erhalten Sie auf Anfrage unter privacy@aigrow.gg.

Wir informieren Sie per E-Mail an die Adresse Ihres Kontos mindestens 14 Tage, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt. Innerhalb dieser Frist können Sie aus berechtigten, datenschutzbezogenen Gründen widersprechen, indem Sie schriftlich an privacy@aigrow.gg schreiben. Wir besprechen Ihre Bedenken nach Treu und Glauben. Können wir sie nicht ausräumen, dürfen Sie den betroffenen Dienst durch schriftliche Mitteilung beenden, und auf bereits gezahlte Beträge findet die Rückerstattungsrichtlinie Anwendung. Dies ist Ihr einziger Rechtsbehelf bei einem Widerspruch.

Müssen wir einen Unterauftragsverarbeiter dringend ersetzen, etwa aus Sicherheitsgründen oder um die Dienste am Laufen zu halten, dürfen wir dies sofort tun. Wir informieren Sie danach so bald wie möglich, mit demselben Widerspruchsrecht.

Wir erlegen jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die der Sache nach denselben Schutz bieten wie diese DPA, wie es Art. 28 Abs. 4 DSGVO verlangt. Für die Erfüllung der Pflichten unserer Unterauftragsverarbeiter bleiben wir Ihnen gegenüber verantwortlich.

8. Unterstützung

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir Sie bei:

• der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte, und zwar über die Funktionen der Dienste und, wenn diese nicht ausreichen, auf Anfrage unter privacy@aigrow.gg;
• Ihren Sicherheitspflichten, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen von Aufsichtsbehörden, indem wir Informationen über die Dienste bereitstellen.

Wendet sich eine betroffene Person wegen personenbezogener Kundendaten direkt an uns, verweisen wir sie an Sie und antworten nicht selbst, außer um zu bestätigen, dass wir die Anfrage weitergeleitet haben.

Geht die Unterstützung über die Funktionen und Informationen hinaus, die die Dienste ohnehin bieten, dürfen wir angemessene Kosten berechnen, die wir Ihnen vorab mitteilen, es sei denn, die Unterstützung ist erforderlich, weil wir gegen diese DPA verstoßen haben.

9. Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, per E-Mail an die Adresse Ihres Kontos. Sobald sie vorliegen, geben wir Ihnen die in Art. 33 Abs. 3 DSGVO genannten Informationen:

• die Art der Verletzung, soweit möglich einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
• eine Anlaufstelle für weitere Informationen;
• die wahrscheinlichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wir ergreifen angemessene Maßnahmen, um die Verletzung einzudämmen und zu beheben. Sie sind für jede Meldung an Aufsichtsbehörden und betroffene Personen verantwortlich, und wir unterstützen Sie dabei, wie im Abschnitt zur Unterstützung beschrieben.

Erfolglose Versuche oder Aktivitäten, die die Sicherheit der Personenbezogenen Kundendaten nicht beeinträchtigen, wie fehlgeschlagene Anmeldeversuche, Pings, Portscans oder abgewehrte Angriffe, sind keine Verletzungen des Schutzes personenbezogener Daten. Unsere Mitteilung über eine Verletzung ist kein Eingeständnis von Verschulden oder Haftung.

10. Rückgabe und Löschung

Solange Sie die Services nutzen, können Sie einen Großteil Ihrer Daten selbst löschen, etwa einen Monitor, eine verbundene Blog-Website, ein Dokument oder eine Erinnerung des Assistenten. Eine Kopie der übrigen Daten können Sie bei privacy@aigrow.gg anfordern.

Wenn die Services enden oder jederzeit auf Ihre schriftliche Aufforderung an privacy@aigrow.gg geben wir die Personenbezogenen Kundendaten nach Ihrer Wahl innerhalb angemessener Frist zurück oder löschen sie, es sei denn, das Gesetz verpflichtet uns zur Aufbewahrung. Auf Wunsch bestätigen wir die Löschung schriftlich. Wenn Sie keine Aufforderung stellen, löschen wir die Personenbezogenen Kundendaten, sobald wir sie nicht mehr zur Erbringung der Services benötigen, wie in der Datenschutzerklärung beschrieben.

Daten, die wir aufgrund gesetzlicher Vorgaben aufbewahren müssen, bleiben durch diesen AVV geschützt und werden nur zu dem Zweck verarbeitet, der ihre Aufbewahrung erfordert.

11. Informationen und Audits

Wir stellen Ihnen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Artikel 28 der DSGVO nachzuweisen. Das geschieht zunächst schriftlich: durch diesen AVV, unsere Sicherheitsseite und schriftliche Antworten auf Ihre angemessenen Fragen zu unserer Verarbeitung. Wir verfügen über keine Zertifizierungen Dritter wie SOC 2 oder ISO 27001.

Eine Überprüfung findet nur statt, wenn das Datenschutzrecht oder eine Aufsichtsbehörde sie verlangt und die schriftlichen Informationen diese Anforderung nicht erfüllen. In diesem Fall gilt Folgendes:

• Sie kündigen uns die Überprüfung angemessen im Voraus schriftlich an und vereinbaren Umfang, Zeitpunkt und Dauer mit uns;
• sie wird von Ihnen oder von einem unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchgeführt, der nicht unser Wettbewerber ist;
• sie findet während der Geschäftszeiten statt, vermeidet Störungen der Services und gewährt keinen Zugang zu Daten anderer Kunden oder zu unseren vertraulichen Informationen, soweit die Überprüfung diese nicht erfordert;
• Sie tragen ihre Kosten, einschließlich unserer;
• sie findet höchstens einmal im Jahr statt, es sei denn, eine Aufsichtsbehörde verlangt mehr.

Audits nach den SCC werden auf dieselbe Weise durchgeführt, soweit die SCC dies zulassen.

12. Internationale Datenübermittlungen

Wir verarbeiten Personenbezogene Kundendaten in den Vereinigten Staaten und in Deutschland, und Sie genehmigen Übermittlungen in diese Länder und an die Standorte unserer Unterauftragsverarbeiter.

Der DSGVO unterliegende Übermittlungen

Werden Personenbezogene Kundendaten, die der DSGVO unterliegen, an uns oder durch uns an einen Unterauftragsverarbeiter in ein Land ohne Angemessenheitsbeschluss übermittelt, so werden die SCC durch Verweis in diesen AVV einbezogen: Modul 2, wenn Sie Verantwortlicher sind, und Modul 3, wenn Sie Auftragsverarbeiter sind. Sie sind der Datenexporteur und wir sind der Datenimporteur. Für die SCC gilt:

• die Kopplungsklausel in Klausel 7 findet Anwendung;
• in Klausel 9 gilt Option 2, mit der im Abschnitt zu Unterauftragsverarbeitern festgelegten Benachrichtigungsfrist;
• der fakultative Wortlaut in Klausel 11 findet keine Anwendung;
• in Klausel 13 wird die zuständige Aufsichtsbehörde gemäß Klausel 13(a) bestimmt;
• in den Klauseln 17 und 18 gelten das Recht und die Gerichte Irlands;
• Anhang I wird durch die in diesem AVV genannten Parteien und den Anhang zu den Verarbeitungsdetails ausgefüllt, Anhang II durch die Sicherheitsmaßnahmen in diesem AVV und Anhang III durch die auf Anfrage erhältliche Liste der Unterauftragsverarbeiter.

Handeln Sie als Agentur für Ihre Kunden, kann ein Kunde, der Verantwortlicher ist, den SCC mit Ihrem Einverständnis nach Klausel 7 durch schriftliche Mitteilung an privacy@aigrow.gg beitreten.

Vereinigtes Königreich. Für Übermittlungen, die der UK-DSGVO unterliegen, wird der UK-Zusatz durch Verweis einbezogen. Tabelle 1 wird mit den Angaben der Parteien in diesem AVV ausgefüllt, Tabelle 2 mit den SCC wie oben dargelegt und Tabelle 3 mit den Anhängen dieses AVV. In Tabelle 4 kann der Importeur den UK-Zusatz beenden, soweit sein Abschnitt 19 dies erlaubt.

Schweiz. Für Übermittlungen, die dem Schweizer Datenschutzgesetz (FADP) unterliegen, gelten die SCC mit folgenden Änderungen: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die zuständige Aufsichtsbehörde, Verweise auf die DSGVO sind als Verweise auf das FADP zu lesen, und betroffene Personen in der Schweiz können an ihrem gewöhnlichen Aufenthaltsort Klage erheben.

Ist ein Empfänger nach dem EU-US Data Privacy Framework oder dessen britischer oder Schweizer Erweiterung zertifiziert, können wir uns stattdessen auf diese Zertifizierung stützen. Wird ein Übermittlungsmechanismus ersetzt oder verliert er seine Gültigkeit, können wir einen anderen rechtmäßigen Mechanismus einführen und werden Sie informieren.

Widersprechen die SCC oder der UK-Zusatz diesem AVV, haben sie für die von ihnen erfassten Übermittlungen Vorrang.

13. Haftung

Soweit gesetzlich zulässig, unterliegt die Haftung jeder Partei, die sich aus diesem AVV einschließlich der SCC ergibt oder damit zusammenhängt, den Haftungsbeschränkungen und -ausschlüssen in den Nutzungsbedingungen. Diese Grenzen gelten für den Vertrag und diesen AVV zusammen, nicht getrennt.

Nichts in diesem AVV beschränkt die Haftung gegenüber betroffenen Personen nach den SCC oder eine Haftung, die nach dem anwendbaren Recht nicht beschränkt werden kann.

Soweit gesetzlich zulässig, stellen Sie uns von Ansprüchen Dritter, Bußgeldern und Kosten frei, die aus einer auf Ihre Weisung durchgeführten Verarbeitung entstehen, wenn diese Weisungen oder die von Ihnen bereitgestellten Daten gegen das Datenschutzrecht verstoßen haben.

14. Laufzeit, Rangfolge und Änderungen

Dieser AVV gilt, solange wir Personenbezogene Kundendaten verarbeiten. Er besteht nach Ende des Vertrags fort, bis diese Daten zurückgegeben oder gelöscht sind.

Bei Widersprüchen zwischen Dokumenten gilt folgende Rangfolge: ein von beiden Parteien unterzeichneter Auftrag oder eine schriftliche Vereinbarung, dann die Servicebedingungen für das betreffende Produkt, dann dieser AVV in Fragen des Datenschutzes, dann die Nutzungsbedingungen, dann unsere übrigen Richtlinien. Die SCC und der UK-Zusatz haben Vorrang, wie im Abschnitt zu internationalen Datenübermittlungen angegeben. Zwingendes Recht hat Vorrang vor allen diesen Dokumenten.

Wir können diesen AVV aktualisieren, zum Beispiel um Änderungen der Rechtslage oder unserer Unterauftragsverarbeiter abzubilden. Über jede Änderung, die den Schutz der Personenbezogenen Kundendaten wesentlich verringert, informieren wir Sie mindestens 30 Tage im Voraus per E-Mail. Keine Änderung verringert den Schutz, den das Datenschutzrecht verlangt.

Dieser AVV unterliegt dem Recht, das für die Nutzungsbedingungen gilt, mit der Ausnahme, dass die SCC dem Recht unterliegen, das ihre Klauseln festlegen. Wenn Sie für Ihre Unterlagen eine gegengezeichnete Kopie benötigen, schreiben Sie an legal@aigrow.gg.

15. Anhang: Verarbeitungsdetails

Dieser Anhang beschreibt die Verarbeitung im Sinne von Artikel 28 Absatz 3 der DSGVO und Anhang I der SCC.

16. Anhang: Kategorien von Unterauftragsverarbeitern

Dies sind die Kategorien von Unterauftragsverarbeitern, die Personenbezogene Kundendaten verarbeiten können, mit ihren Standorten. Die aktuelle Liste der namentlich benannten Unterauftragsverarbeiter erhalten Sie auf Anfrage unter privacy@aigrow.gg.