Auftragsverarbeitungsvertrag

1. Parteien

Verantwortlicher: der Kunde, der MarketSolve nach den AGB nutzt (nachfolgend „Kunde“).

Auftragsverarbeiter: MarketConsultive GmbH, Allgäuerstraße 35, 87719 Mindelheim, Deutschland, vertreten durch den Geschäftsführer Abdullah Gül (nachfolgend „Auftragsverarbeiter“). MarketSolve ist eine Marke der MarketConsultive GmbH.

2. Vertragsschluss

Dieser AVV wird elektronisch geschlossen, indem der Kunde bei der Registrierung die AGB akzeptiert. Einer gesonderten Unterzeichnung bedarf es nicht.

3. Gegenstand und Dauer

3.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Kunden bei der Bereitstellung der vom Kunden gebuchten MarketSolve-Produkte.

3.2 Die Laufzeit dieses AVV entspricht der Laufzeit des Nutzungsvertrags einschließlich der Testphase. Er endet nicht vor Abschluss der Löschung bzw. Rückgabe der Daten nach Ziffer 14.

4. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Abfragen, Verwenden, Übermitteln und Löschen von Daten, jeweils nur zum Zweck der Leistungserbringung:

• Support: Empfang, Speicherung und Beantwortung von Kundenanfragen per E-Mail und Website-Chatbot; Erstellung von KI-Antwortentwürfen; Wissenssuche.
• Mail: Verwaltung von Kontakten, Segmenten und Einwilligungen; Versand von Newslettern und automatisierten E-Mails; Auswertung von Zustellung, Öffnungen und Klicks.
• Reviews: Versand von Bewertungsanfragen; Erhebung, Speicherung und Anzeige von Bewertungen und Fotos im Shop des Kunden.
• Rechnungen: Abruf von Bestelldaten und automatischer Upload von Zollrechnungen für Bestellungen außerhalb der EU an MarketPrint.
• Produktübergreifend: Abgleich von Shop- und Bestelldaten aus dem vom Kunden verbundenen Shopify-Shop.

5. Art der Daten

• Namen von Endkunden
• E-Mail-Adressen und sonstige Kontaktdaten
• Liefer- und Rechnungsadressen
• Bestelldaten (zum Beispiel Produkte, Beträge, Bestell- und Versandstatus)
• Nachrichteninhalte aus Support-Anfragen und Chats
• Bewertungen und hochgeladene Fotos
• Nachweise über Marketing-Einwilligungen und Abmeldungen
• Rechnungsdokumente
• technische Nutzungsdaten im Zusammenhang mit E-Mails und Widgets (zum Beispiel Zustell-, Öffnungs- und Klickereignisse)

6. Kategorien betroffener Personen

• Endkunden und Interessenten des Kunden
• Newsletter-Abonnenten und sonstige Kontakte des Kunden
• Personen, die den Kunden über Support-Kanäle oder den Chatbot kontaktieren
• Verfasser von Bewertungen
• Mitarbeiter des Kunden, die MarketSolve nutzen

7. Weisungen und Pflichten des Auftragsverarbeiters

7.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die AGB, dieser AVV und die Einstellungen und Aktionen des Kunden in der Anwendung gelten als Weisungen. Eine Verarbeitung für eigene Zwecke findet nicht statt.

7.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

7.3 Ist der Auftragsverarbeiter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.

8. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Kundendaten erhalten nur Personen, die ihn zur Leistungserbringung benötigen.

9. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Hosting in der EU (Frankfurt)
• Verschlüsselung der Übertragung per TLS
• Verschlüsselung gespeicherter Daten (at rest)
• zusätzliche Verschlüsselung gespeicherter Zugangsdaten (zum Beispiel Schnittstellen-Schlüssel) mit AES-256-GCM
• strikte Mandantentrennung durch Row-Level-Security in der Datenbank
• rollenbasierte Zugriffskontrolle
• regelmäßige Datensicherungen
• Protokollierung sicherheitsrelevanter Vorgänge

10. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit sind dies:

• Vercel Inc., USA: Hosting der Anwendungen, Region Frankfurt (fra1)
• Supabase: Datenbank, Dateispeicher und Authentifizierung, Region EU (Frankfurt)
• Amazon Web Services (AWS) Simple Email Service: E-Mail-Versand, Region eu-central-1 (Frankfurt)
• Postmark (ActiveCampaign LLC), USA: Empfang und Versand von Support-E-Mails
• Anthropic PBC, USA: Erstellung von KI-Antwortentwürfen; keine Nutzung der Daten zum Training
• OpenAI, USA: Embeddings für die Wissenssuche

11. Änderungen und Pflichten bei Unterauftragsverarbeitern

11.1 Der Auftragsverarbeiter informiert den Kunden vorab per E-Mail über beabsichtigte Änderungen. Der Kunde kann innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde das betroffene Abonnement außerordentlich kündigen.

11.2 Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den in diesem AVV vereinbarten entsprechen.

11.3 Shopify ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Der Shopify-Shop ist ein System des Kunden, das dieser selbst mit MarketSolve verbindet. Gleiches gilt für MarketPrint als Empfänger der Zollrechnungen im Produkt Rechnungen.

12. Internationale Datenübermittlungen

Übermittlungen an Unterauftragsverarbeiter außerhalb der EU bzw. des EWR erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage der EU-Standardvertragsklauseln und, soweit der Empfänger zertifiziert ist, des EU-U.S. Data Privacy Framework.

13. Unterstützung des Kunden

13.1 Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 15 bis 22 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage an den Kunden weiter.

13.2 Er unterstützt den Kunden zudem bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit dies die ihm vorliegenden Informationen erlauben.

13.3 Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen, ihm verfügbaren Informationen.

14. Löschung und Rückgabe nach Vertragsende

Nach Ende der Leistungserbringung kann der Kunde seine Daten 30 Tage lang über das Konto exportieren. Danach löscht der Auftragsverarbeiter die Daten einschließlich vorhandener Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Daten in Datensicherungen werden im Rahmen der regulären Sicherungszyklen überschrieben.

15. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind. Der Kunde kann Überprüfungen, einschließlich Inspektionen, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Inspektionen sind mit angemessener Frist, in der Regel mindestens 30 Tage, anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Der Nachweis kann auch durch aktuelle Prüfberichte oder Zertifikate erbracht werden.

16. Haftung und Schlussbestimmungen

16.1 Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB.

16.2 Bei Widersprüchen zwischen diesem AVV und den AGB gehen in Fragen des Datenschutzes die Regelungen dieses AVV vor.

16.3 Es gilt deutsches Recht. Gerichtsstand ist Memmingen, soweit gesetzlich zulässig. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.