Vereinbarung zur Auftragsverarbeitung

1. Parteien, Rang und Abschluss

Auftragnehmer ist Benedikt Balint, Graftkit, Wasserstr. 4, 77652 Offenburg, Deutschland, hello@graftkit.dev. Auftraggeber ist das im Workspace-Vertragsnachweis mit juristischem Namen und Geschäftsanschrift bezeichnete Unternehmen. Die bevollmächtigte Person handelt für dieses Unternehmen. Ist der Auftraggeber selbst Auftragsverarbeiter, bestätigt er die Befugnis seiner Verantwortlichen zur weiteren Beauftragung.

Diese Vereinbarung wird zusammen mit dem SaaS-Vertrag ausdrücklich angenommen und gilt für die in Abschnitt 2 beschriebenen Auftragsdaten. Die Anlagen TOM und Unterauftragnehmer in derselben Fassung gehören dazu. Bei Widersprüchen geht diese Vereinbarung für den Datenschutz vor. Diese Fassung ist für den kontrollierten Betrieb mit bestehenden und ausdrücklich freigeschalteten Testkonten veröffentlicht. Der konkrete Einsatz und seine Grenzen sind in der Unterauftragnehmeranlage beschrieben.

2. Anlage: Verarbeitung, Dauer und Betroffene

Gegenstand ist die Bereitstellung von Graftkit zur Website-Erfassung, Kampagnenverwaltung, Veröffentlichung, Auslieferung und kundenseitig beauftragten Auswertung. Die Verarbeitung umfasst Erheben, Speichern, Ordnen, Bereinigen, Abrufen, Übermitteln, Auswerten und Löschen; sie dauert für den Hauptvertrag einschließlich vereinbarter Rückgabe und erforderlicher Abwicklung.

Datenarten: Namen und geschäftliche Kontaktdaten berechtigter Teammitglieder; Website- und Mandantenzuordnungen; vom Kunden eingestellte Kampagneninhalte und Metadaten; URLs, bereinigte HTML-Ausschnitte und gegebenenfalls Screenshots; technische Anfrage- und Laufzeitdaten sowie Impressionen, Klicks, Conversions, Zeitstempel, Pfade und kundenseitig definierte Ereignisinhalte. Ob einzelne Inhalte personenbezogen sind, hängt auch von den Eingaben und Websites des Kunden ab. Technische Bereinigung ist keine Garantie vollständiger Anonymisierung.

Betroffene: Beschäftigte und Beauftragte des Kunden, gegebenenfalls dessen Agenturkunden und deren Beschäftigte sowie Besucher verbundener Websites. Besondere Kategorien nach Art. 9 DSGVO und strafrechtliche Daten sind nicht Gegenstand der vereinbarten Standardleistung. Der Kunde verhindert deren Übermittlung. Eigenverantwortliche Vertrags-, Abrechnungs- und Missbrauchsschutzverarbeitung des Anbieters fällt nicht unter diese Weisungsbeziehung.

3. Weisungen und Verantwortlichkeit

Der Kunde bestimmt Zwecke, Rechtsgrundlagen, zulässige Daten und Aufbewahrungsbedarf. Dokumentierte Weisungen ergeben sich aus Vertrag, Dashboard-Einstellungen und ergänzenden Anweisungen der benannten befugten Personen in Textform an hello@graftkit.dev. Mündliche Weisungen sind zu dokumentieren. Änderungen außerhalb des Leistungsumfangs werden vorab geklärt; gesetzliche Pflichten bleiben unberührt.

Der Anbieter verarbeitet Auftragsdaten nur auf dokumentierte Weisung, auch bei Drittlandübermittlungen. Zwingt ihn Unions- oder Mitgliedstaatenrecht zu einer abweichenden Verarbeitung, informiert er vorher, soweit das Gesetz dies erlaubt. Er weist unverzüglich auf aus seiner Sicht rechtswidrige Weisungen hin und setzt die betroffene Handlung bis zur Klärung aus. Er verwendet Auftragsdaten nicht für eigene Werbung oder eigene Modelltrainingszwecke.

4. Vertraulichkeit und Sicherheit

Zugriff erhalten nur befugte Personen, die einer gesetzlichen oder vertraglichen Vertraulichkeitspflicht unterliegen. Der Anbieter begrenzt Berechtigungen auf den jeweiligen Arbeitszweck und prüft sie bei Änderungen. Die TOM-Anlage beschreibt den technischen Stand und die erforderlichen organisatorischen Abläufe.

Die Parteien berücksichtigen Risiko, Stand der Technik und Verhältnismäßigkeit. Der Anbieter darf Maßnahmen weiterentwickeln, wenn das vereinbarte Schutzniveau nicht abgesenkt wird; wesentliche Änderungen werden dokumentiert und mitgeteilt. Er kann keine vollständige Fehlerfreiheit oder uneingeschränkte Sicherheit versprechen.

5. Unterstützung und Datenschutzvorfälle

Der Anbieter leitet Anfragen betroffener Personen zu Auftragsdaten unverzüglich an den Kunden weiter und beantwortet sie nur auf dessen Weisung oder aufgrund gesetzlicher Pflicht. Er unterstützt unter Berücksichtigung der verfügbaren Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie Sicherheitsbewertung, Folgenabschätzung und Konsultation der Aufsicht.

Sobald eine Verletzung des Schutzes von Auftragsdaten bekannt wird, informiert er den Kunden unverzüglich über den vereinbarten Ansprechpartner. Die Meldung enthält, soweit bekannt, Art und Umfang, betroffene Kategorien, Kontakt, mögliche Folgen und ergriffene beziehungsweise vorgeschlagene Maßnahmen. Fehlende Informationen werden schrittweise ergänzt. Der Anbieter sichert erforderliche Belege, begrenzt die Folgen und unterstützt die Bewertung. Meldungen an Aufsicht und Betroffene verantwortet der Kunde, soweit nicht eigene gesetzliche Pflichten bestehen.

6. Unterauftragnehmer und Übermittlungen

Der Kunde erteilt eine allgemeine Genehmigung für die in der freigegebenen Unterauftragnehmeranlage konkret bezeichneten Verarbeitungen. Reine Hilfsdienste ohne Zugang zu Auftragsdaten sind keine Unterauftragnehmer. Vertrags- oder Zahlungsdienste in eigener Verantwortlichkeit sind dort gesondert gekennzeichnet. Der Anbieter stellt gleichwertige Datenschutzpflichten sicher und bleibt für seine Unterauftragnehmer verantwortlich.

Neue oder ersetzte Unterauftragnehmer werden mindestens 30 Tage vor beabsichtigtem Einsatz in Textform unter Angabe von Unternehmen, Aufgabe, Daten und Ländern angekündigt. Der Kunde kann innerhalb dieser Frist aus sachlichen Datenschutzgründen widersprechen. Die Parteien suchen eine geeignete Alternative. Ist keine zumutbare Lösung möglich, kann der betroffene Leistungsteil vor Beginn des neuen Einsatzes ohne zukünftige Entgelte beendet werden; vorausbezahlte ungenutzte Zeiträume werden anteilig erstattet.

Verarbeitung außerhalb des EWR setzt eine dokumentierte Grundlage nach Art. 44 ff. DSGVO voraus. Der Anbieter prüft einschlägige Angemessenheitsentscheidungen oder geeignete Garantien einschließlich erforderlicher Transferbewertung und ergänzender Maßnahmen. Eine bloße Wahl einer EU-Speicherregion schließt Drittlandzugriffe nicht aus. Nicht belegte Routen dürfen für personenbezogene Auftragsdaten nicht freigegeben werden.

7. Nachweise und Kontrollen

Der Anbieter stellt die zur Überprüfung erforderlichen Informationen zu Auftragsverarbeitung, Maßnahmen und Unterauftragnehmern bereit und ermöglicht Prüfungen durch den Kunden oder einen beauftragten unabhängigen Prüfer. Geeignete aktuelle Dokumente und Remote-Prüfungen können den Aufwand begrenzen, ersetzen aber keine erforderliche weitergehende Kontrolle.

Regelprüfungen werden mit angemessener Vorankündigung, unter Vertraulichkeit und Schutz fremder Mandanten abgestimmt. Bei Vorfällen, begründeten Zweifeln oder behördlichen Anforderungen bleiben kurzfristige Prüfungen möglich. Angemessene Unterstützung gehört zu den gesetzlichen Pflichten; außergewöhnlicher Zusatzaufwand wird vorab transparent vereinbart, ohne Kontrollrechte faktisch auszuschließen. Der Anbieter meldet, wenn er vereinbarte Pflichten nicht mehr erfüllen kann.

8. Aufbewahrung während des Vertrags

Laufzeitereignisse unterliegen im derzeitigen Code einer Bereinigung nach 90 Tagen. Gewöhnliche Audit- und wirtschaftliche Betriebshistorie wird grundsätzlich nach 30 Tagen bereinigt; laufende oder noch referenzierte Veröffentlichungen und bestimmte Freigaben können länger benötigt werden. Die Ausführung erfolgt in Batches und ist keine sekundengenaue Löschgarantie. Kampagnen, Workspace-Stammdaten und aktive Konfigurationen bleiben für die Nutzung erhalten, bis sie wirksam gelöscht werden.

Diese technischen Zyklen ersetzen weder eine vollständige Löschweisung noch gesetzliche Aufbewahrung. Vertragliche Annahmenachweise werden getrennt von kurzlebigen Auditdaten behandelt. Für über die Vertragsabwicklung hinaus erforderliche Nachweise entscheidet der Anbieter in eigener Verantwortlichkeit nach Zweck, Anspruchsfristen und gesetzlichen Pflichten. Der Kunde stimmt abweichende berechtigte Fristvorgaben vor Übermittlung ab.

9. Anlage: manueller Rückgabe- und Löschprozess

Anfrage: Der berechtigte Workspace-Inhaber schreibt an hello@graftkit.dev und nennt Workspace, gewünschten Umfang sowie Rückgabe oder Löschung. Zugangsdaten gehören nicht in die E-Mail. Der Anbieter verifiziert die Berechtigung über den bestehenden Konto- beziehungsweise Wiederherstellungsweg und klärt widersprüchliche Weisungen. Eine Kündigung allein gilt nicht als Einverständnis zum Verlust noch zurückzugebender Daten.

Abgrenzung und Übergabe: Der Anbieter ermittelt die zugeordneten Datensätze, gespeicherten Dateien und relevanten Anbieterbestände. Er stimmt ein lesbares übliches Format, etwa JSON oder CSV und vorhandene Originaldateien, mit dem Kunden ab; kein bestimmter automatischer Export wird zugesagt. Die Übergabe erfolgt über einen vereinbarten geschützten, zeitlich begrenzten Kanal an den verifizierten Empfänger. Der Kunde erhält Umfang und bekannte Lücken zur Kontrolle.

Löschung: Nach bestätigter Rückgabe oder eindeutiger Löschweisung beendet der Anbieter betroffene Auslieferungen, berücksichtigt noch laufende Aufträge, entzieht Freigaben und entfernt zugehörige aktive Daten und Dateien. Er veranlasst erforderliche Löschungen bei Unterauftragnehmern. Gesetzlich aufzubewahrende Daten werden getrennt, auf den Aufbewahrungszweck beschränkt und mit Rechtsgrund und Frist dokumentiert.

Sicherungen und Abschluss: Der Anbieter ermittelt betroffene Sicherungen und deren vertraglich belegte Löschzyklen, beschränkt verbliebene Kopien auf Wiederherstellung und hält sie von normaler Nutzung fern. Eine Wiederherstellung muss Löschweisungen erneut anwenden. Der Kunde erhält eine Abschlussmitteilung mit Zeitpunkt, Umfang, Ausnahmen und noch ausstehenden Provider- oder Backup-Schritten. Offene Restkopien werden nachverfolgt; unbekannte Backupfristen werden nicht als erledigte Löschung bestätigt. Termine werden nach Bestandsprüfung vereinbart, ohne gesetzliche Fristen zu verlängern.

10. Vertragsende und Ansprechpartner

Nach Wahl des Kunden gibt der Anbieter Auftragsdaten zurück oder löscht sie einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Weisungen, Nachweise und weiterwirkende Vertraulichkeit bleiben für die Abwicklung maßgeblich. Ansprechpartner des Anbieters für Weisungen, Vorfälle und Kontrollen ist hello@graftkit.dev. Ansprechpartner des Kunden ist der im Vertragsnachweis bezeichnete Inhaber, bis ein anderer Befugter dokumentiert benannt wird.