Auftragsverarbeitungsvertrag und Anlagen

1. Parteien, Abschluss und Verhältnis zum Hauptvertrag

Auftraggeber ist die in der individuellen Vereinbarung bezeichnete Kundenorganisation mit Name, Anschrift, vertretungsberechtigter Person und Kontakt. Auftragnehmer ist lol.marketing LLC, 30 N Gould St Ste N, Sheridan, WY 82801, USA, vertreten durch Manuel Streit. Die Parteien vereinbaren die bezeichnete Fassung und die vervollständigten Anlagen in Textform, beispielsweise durch einen eindeutigen gegenseitigen E-Mail-Austausch; Datum und Dokumentfassung sind aufzubewahren. Eine gegebenenfalls erforderliche EU-Vertretung und die einschlägigen Niederlassungsverhältnisse sind vorher zu klären. Dieser Vertrag ergänzt das vereinbarte SiGeKo-Nutzungsverhältnis und geht bei Widersprüchen über die Auftragsverarbeitung vor. Zwingende Standardvertragsklauseln für Drittlandtransfers behalten ihren vereinbarten Vorrang.

2. Gegenstand, Rollen und Dauer

Der Auftragnehmer verarbeitet die in Anlage 1 beschriebenen Daten zur Bereitstellung der freigeschalteten Dokumentations-, Koordinations- und Lernfunktionen. Der Auftraggeber bestimmt Zwecke und wesentliche Mittel der Verarbeitung seiner Projekt- und Personendaten und verantwortet Rechtsgrundlagen, Information der Betroffenen und fachliche Vorgaben. Handelt der Auftraggeber selbst als Auftragsverarbeiter, muss er zur weiteren Beauftragung befugt sein und die erforderlichen Weisungen weitergeben. Eigene Verarbeitungen des Anbieters, etwa zur Verwaltung seiner Vertragskontakte, sind nach den Datenschutzhinweisen gesondert abzugrenzen. Die Auftragsverarbeitung beginnt erst nach wirksamem Abschluss und Klärung der erforderlichen Voraussetzungen. Sie dauert für die vereinbarte Leistung und endet nach ordnungsgemäßer Rückgabe beziehungsweise Löschung; Vertraulichkeits- und Nachweispflichten wirken insoweit fort.

3. Dokumentierte Weisungen

Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich einer Weisung zu einer zulässigen Drittlandübermittlung. Der Vertrag, die bestätigten Anlagen und berechtigte Bedienhandlungen innerhalb des vereinbarten Umfangs bilden solche Weisungen. Ergänzungen und Weisungsberechtigte werden in Textform festgehalten. Verlangt das Recht der Union oder eines Mitgliedstaats eine Verarbeitung, informiert der Auftragnehmer vorher über diese Pflicht, soweit das Recht dies nicht wegen eines wichtigen öffentlichen Interesses untersagt. Hält er eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und setzt die betroffene Weisung bis zur Klärung aus. Er darf Kundendaten nicht ohne gesonderte zulässige Grundlage für eigene Werbung, den Verkauf von Daten oder eigenes KI-Training nutzen.

4. Vertraulichkeit und befugte Personen

Zugriff erhalten nur Personen, die ihn für die vereinbarte Aufgabe benötigen und zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Pflicht unterliegen. Der Auftragnehmer unterweist sie über ihre Datenschutzpflichten, vergibt rollenbezogene Berechtigungen und überprüft beziehungsweise entzieht diese bei Änderungen ihrer Aufgaben. Die Verpflichtung zur Vertraulichkeit bleibt nach Ende der Tätigkeit bestehen. Supportzugriffe auf Kundeninhalte müssen erforderlich, autorisiert und nachvollziehbar sein.

5. Sicherheit der Verarbeitung

Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO unter Berücksichtigung des Risikos, des Stands der Technik und der konkreten Verarbeitung. Anlage 2 ist vor Abschluss um die freigegebenen Maßnahmen und Nachweise zu ergänzen. Maßnahmen sind regelmäßig auf Wirksamkeit zu prüfen und bei Bedarf anzupassen; Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche sicherheitsrelevante Änderungen werden dokumentiert und dem Auftraggeber mitgeteilt. Die Beta-Kennzeichnung beschränkt diese Pflichten nicht und ist keine Zusage einer Zertifizierung oder ausschließlich europäischen Verarbeitung.

6. Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, soweit dies nach Art der Verarbeitung möglich ist. Direkt eingehende Anfragen zu Auftragsdaten werden unverzüglich an den Auftraggeber weitergeleitet; eine eigenständige inhaltliche Beantwortung erfolgt nur auf Weisung oder bei gesetzlicher Pflicht. Umfang und Identität sind angemessen zu prüfen, ohne unnötige Daten zu erheben. Unterstützung muss rechtzeitig ermöglichen, dass der Auftraggeber seine gesetzlichen Fristen einhält. Ein Nutzerexport allein ersetzt nicht die Prüfung, welche Daten einer bestimmten betroffenen Person zuzuordnen sind und welche Rechte anderer Personen betroffen sind.

7. Datenschutzvorfälle und weitere Unterstützung

Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten. Er teilt verfügbare Angaben zu Art und Umfang, betroffenen Daten und Personen, wahrscheinlichen Folgen, Kontaktperson sowie ergriffenen oder vorgeschlagenen Maßnahmen mit. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht; die Erstmeldung darf nicht bis zum Abschluss der Untersuchung warten. Der Auftragnehmer sichert erforderliche Belege, begrenzt Folgen und unterstützt bei Meldungen nach Art. 33 und 34 DSGVO. Unter Berücksichtigung seiner Informationen und der Art der Verarbeitung unterstützt er außerdem die Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Datenschutz-Folgenabschätzungen und vorherige Konsultationen. Behördenmeldungen im Namen des Auftraggebers erfolgen nur auf dessen Weisung, soweit keine eigene gesetzliche Pflicht besteht.

8. Unterauftragsverarbeitung

Die vorläufige Dienstleisterübersicht in Anlage 3 ist noch keine Genehmigung. Vor Beginn müssen konkrete Rechtsträger, Aufgaben, Daten, Orte und Vertragsgrundlagen bestätigt sein. Eine allgemeine Genehmigung kann sich ausschließlich auf die dann vereinbarte Liste und das folgende Änderungsverfahren beziehen: Der Auftragnehmer informiert mindestens 30 Tage vor einer beabsichtigten Ergänzung oder Ersetzung in Textform und gibt Gelegenheit zum begründeten datenschutzbezogenen Widerspruch. Bei berechtigtem Widerspruch wird vor einem Zugriff des neuen Dienstleisters eine geeignete Lösung vereinbart; ist dies nicht möglich, kann der betroffene Leistungsteil ohne Nachteil für bestehende Datenschutzrechte beendet werden. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu den einschlägigen gleichwertigen Datenschutzpflichten und bleibt gegenüber dem Auftraggeber für deren Erfüllung verantwortlich. Eine bloße Verlinkung allgemeiner Anbieterbedingungen weist keinen abgeschlossenen Vertrag nach.

9. Verarbeitungsorte und internationale Übermittlungen

Der Sitz des Auftragnehmers in den USA, mögliche Fernzugriffe sowie Hosting- und Dienstleisterorte sind getrennt zu prüfen. Vor einer Übermittlung oder einem Zugriff außerhalb des EWR müssen die Weisung des Auftraggebers und die erforderlichen Voraussetzungen nach Kapitel V DSGVO erfüllt und dokumentiert sein. Hierzu können ein einschlägiger Angemessenheitsbeschluss oder passende Standardvertragsklauseln mit erforderlicher Transferprüfung und ergänzenden Maßnahmen dienen. Eine DPF-Zertifizierung, wirksam vereinbarte Standardvertragsklauseln oder ein abgeschlossener Transfercheck werden mit dieser Seite nicht bestätigt. Auch EU-Hosting allein löst nicht jede Transferfrage. Änderungen einer maßgeblichen Transfergrundlage sind mitzuteilen; rechtlich nicht mehr gedeckte Übermittlungen sind bis zur wirksamen Abhilfe auszusetzen.

10. Nachweise, Prüfungen und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die zur Prüfung der Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht sowie unterstützt Prüfungen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten unabhängigen Prüfer. Aktuelle aussagekräftige Berichte können berücksichtigt werden, ersetzen aber nicht pauschal ein erforderliches Prüfungsrecht. Umfang, Vertraulichkeit und Ablauf werden verhältnismäßig abgestimmt; Rechte anderer Kunden und Betriebsgeheimnisse sind zu schützen. Regelmäßige Prüfungen werden mit angemessenem Vorlauf vereinbart. Bei konkreten Vorfällen, begründeten Zweifeln oder behördlichem Erfordernis darf dieses Verfahren keine notwendige zeitnahe Kontrolle verhindern. Festgestellte Mängel werden dokumentiert und risikogerecht behoben; gesetzliche Aufsichtsbefugnisse bleiben unberührt.

11. Rückgabe, Löschung und verbleibende Kopien

Nach Ende der Leistung löscht der Auftragnehmer nach Wahl des Auftraggebers die Auftragsdaten oder gibt sie in einem vereinbarten geeigneten Format zurück und löscht verbleibende Kopien, soweit keine unions- oder mitgliedstaatliche Aufbewahrungspflicht entgegensteht. Umfang, sichere Bereitstellung, Ausführungsfristen und Löschbestätigung müssen vor Vertragsabschluss in der Rückgabe- und Löschanlage verbindlich festgelegt werden. Das gilt gesondert für Produktivdaten, Datei-Versionen, lokale Kopien, Exporte, Sicherungen, Protokolle und Dienstleisterkopien. Bis zur zulässigen Löschung werden verbleibende Daten gesperrt beziehungsweise zweckgebunden geschützt und nicht für andere Zwecke genutzt. Eine Wiederherstellung aus Sicherungen muss bereits erteilte Löschweisungen berücksichtigen. Das Löschen eines persönlichen Zugangs darf nicht ungeprüft berechtigte Daten anderer Organisationsmitglieder entfernen. Diese Fassung bestätigt keinen automatischen 30-Tage-Löschlauf und keine sofortige Löschung sämtlicher Sicherungskopien.

11a. Aufbewahrungsweisungen und Beta-Resets

Der Auftraggeber legt die für seine Zwecke erforderlichen Aufbewahrungs- und Löschfristen sowie etwaige Aufbewahrungssperren fest und sichert aufbewahrungspflichtige Unterlagen außerhalb der Beta. Soll Ziffer 9a der Nutzungsbedingungen für personenbezogene Auftragsdaten gelten, sind Datenbestände, zulässige Reset-Zwecke, Ausnahmen und die Ausführung ohne gesonderte Vorankündigung ausdrücklich als Weisung in Anlage 4 zu vereinbaren. Ohne diese dokumentierte Weisung besteht keine allgemeine Befugnis zu Beta-Löschungen personenbezogener Auftragsdaten. Der Auftragnehmer prüft und dokumentiert die Weisungsgrundlage eines Resets; mitgeteilte Sperren, vereinbarte Rückgaben und gesetzliche Pflichten bleiben zu beachten. Ein unerlaubter Datenverlust wird durch diese Klausel nicht zu einer zulässigen Löschung; die Vorfallpflichten nach Ziffer 7 gelten fort.

12. Verantwortung und Fortbestand der Rechte

Jede Partei erfüllt die ihr durch Datenschutzrecht zugewiesenen Pflichten. Interne Haftungsabreden dürfen gesetzliche Rechte betroffener Personen, insbesondere Art. 82 DSGVO, nicht beschränken. Die kostenlose Beta ist kein Verzicht auf Datenschutz-, Sicherheits-, Unterstützungs- oder Kontrollrechte. Änderungen dieses Vertrags und seiner Anlagen sind nachvollziehbar zu vereinbaren; individuelle Abreden und zwingendes Recht bleiben unberührt. Kontakt für Weisungen, Vertragsklärung und Datenschutzvorfälle ist hello@lol.marketing; zusätzliche zuständige Personen und ein geeigneter Vorfallkontakt werden vor Abschluss dokumentiert.

Anlage 1 — Verarbeitung, Daten und betroffene Personen

Die individuelle Vereinbarung grenzt die tatsächlich genutzten Module ein. Erforderliche Tätigkeiten sind Erfassen, Ordnen, Speichern, Abrufen, Anzeigen, Ändern, Synchronisieren, Bereitstellen, Exportieren, Einschränken und Löschen sowie ausdrücklich beauftragte KI- und Medienverarbeitung. Die Datenverarbeitung dient der vom Auftraggeber festgelegten Projektkoordination, Dokumentation und Unterweisung; keine eigene Beschäftigtenbewertung durch den Anbieter.

• Personen: Beschäftigte, Fremdfirmen- und Projektkontakte, Bauherren, Verantwortliche, eingeladene Team- und Portalnutzer sowie Unterweisungsteilnehmende.
• Stamm- und Zugangsdaten: Namen, geschäftliche Kontaktdaten, Firmen-/Projektzuordnung, Rollen, Identitäts- und Zugangskennungen sowie erforderliche Zugriffsereignisse.
• Projektinhalte: Beobachtungen, Mängel, Maßnahmen, Zuständigkeiten, Fristen, Arbeitszeiten, Tagebuch, Dokumente, Kommentare, Fotos, freiwillige Standortangaben und erfasste Unterschriften.
• Lernportal: Zuweisungen, Sprachwahl, Lernfortschritt, Prüfungsantworten und -ergebnisse, Teilnahme-/Identitätsbestätigungen, Nachweise, Status und begrenzte Prüfansichten. Keine biometrische Identifikation durch eine bloß erfasste Unterschrift.
• Optionale KI: ausgewählte Texte, Dokumentauszüge, Bilder, Audio zur Transkription, Übersetzungsquellen, Vorlesetexte, Ergebnisse sowie zugehörige technische Nutzungs- und Verbrauchsdaten. Der konkrete Anbieter und Verarbeitungszweck müssen freigegeben sein.
• Art.-9-/Art.-10-Daten sind nicht vom Standardumfang erfasst. Geplante Verarbeitung erfordert vorherige gesonderte Vereinbarung, Rechtsgrundlage und risikogerechte Schutzmaßnahmen; vermeide solche Angaben auch in freien Texten, Fotos und Dokumenten.

Anlage 2 — TOM und erforderliche Betriebsnachweise

Diese Anlage beschreibt die zu konkretisierenden Schutzbereiche. Sie bescheinigt keine Zertifizierung, keine pauschale Verschlüsselungskonfiguration und keinen vollständigen Produktivnachweis. Vor Abschluss sind zuständige Personen, tatsächlich aktive Einstellungen, Kontrollrhythmus und geeignete Nachweise in der Vertragsanlage festzuhalten. Historische Tests oder Quellcode allein bestätigen keine aktuelle Betriebskonfiguration.

• Zugangs- und Zugriffsschutz: persönliche Authentifizierung, minimale Rollen, Organisations-/Projektberechtigungen, entziehbare Einladungen, besondere Beschränkung administrativer und Supportzugriffe.
• Mandantentrennung: serverseitige Berechtigungsprüfungen, Firestore-/Storage-Regeln, getrennte lokale Daten und Tests gegen unberechtigte Fremdzugriffe; auch Hintergrundjobs und Exporte berücksichtigen.
• Übertragung und Speicherung: HTTPS an Produktivendpunkten, überprüfte Provider-Einstellungen, sichere Secretverwaltung und begrenzte Freigaben. Verschlüsselung ruhender Daten und Schlüsselzuständigkeit je Dienst belegen.
• Verfügbarkeit und Wiederherstellung: tatsächlich aktive Sicherungs-/PITR-Regeln, Speicherorte, Fristen, Zugriffe, Wiederherstellungsverfahren und erprobte Wiederanlaufkontrollen belegen. Nutzerexporte sind kein Ersatz für betriebliche Sicherungen.
• Protokollierung und Datenminimierung: notwendige Sicherheits- und Betriebsereignisse, begrenzte Inhaltsprotokollierung, Zugriffsrechte, konkrete Löschfristen und nachvollziehbare Bearbeitung von Vorfällen festlegen.
• Lokale und mobile Nutzung: gerätebezogene Browserdaten, Offline-Entwürfe und Medien, sichere Abmeldung, Schutz gemeinsam genutzter Geräte sowie Export-/Löschanweisungen berücksichtigen.
• Organisatorische Kontrollen: Vertraulichkeitsverpflichtung, Weisungsverwaltung, Dienstleisterprüfung, Sicherheitsupdates, geregelte Supportzugriffe, Betroffenenanfragen und Vorfallbearbeitung mit Verantwortlichen dokumentieren.

Anlage 3 — Dienstleisterinventar zur Bestätigung

Für jeden tatsächlich eingesetzten Dienst sind vor Vertragsabschluss die genaue Vertragsgesellschaft, Anschrift, Leistung, Datenkategorien, Verarbeitungsorte, Unterauftragnehmer und gegebenenfalls Transfergrundlagen zu dokumentieren. Die folgende produktbezogene Übersicht ist vorläufig. Dienste für eigene Zwecke des Anbieters sind von Unteraufträgen für Kundeninhalte zu unterscheiden; eine Nennung allein bestätigt weder die Rolle noch den Vertragsschluss.

• Google/Firebase: Hosting, Authentifizierung, Datenbank, Dateispeicher, Hintergrundverarbeitung und Missbrauchsschutz. Im Unterweisungsportal zusätzlich Google Cloud Speech-to-Text für die Transkription von Lernmedien (EU-Endpunkt) sowie Text-to-Speech für Vorlesetexte und erzeugtes Audio (globaler Endpunkt). Die Produktdokumentation beschreibt Firestore eur3, serverseitige Webausführung in europe-west3 und einen bestehenden US-Dateispeicher; tatsächliche Speicher-/Zugriffswege und Vertragsgesellschaft vor Abschluss bestätigen. Analytics und selbstständige Anbieterzwecke gesondert einordnen.
• Brevo: Zustellung erforderlicher Konto-, Einladungs- und Portalnachrichten mit Kontakt- und Zustellinformationen. Vertragsgesellschaft, Unterauftragnehmer und Orte bestätigen; Newsletter und eigenes Kontaktmanagement des Anbieters gehören nicht automatisch zum Kundenauftrag.
• OpenAI API: ausdrücklich gewählte KI-Auswertung, Text-/Bildverarbeitung, Transkription, Übersetzung und gegebenenfalls Sprach-/Medienfunktionen. Konkrete Endpunkte, Datenumfang, Vertragsgesellschaft, Speicherung und internationale Transfergrundlagen müssen dem Auftrag entsprechen. Keine pauschale Zero-Retention- oder EU-Verarbeitungszusage.
• Weitere Medien- oder KI-Dienste: nur bei ausdrücklich freigegebenem Modul und nach bestätigter Ergänzung der Vertragsanlage. Eine technische Integrationsmöglichkeit ist keine datenschutzrechtliche Freigabe.
• Bright Sky/DWD-Wetterdaten: optionale Abfrage mit Standort-/Abfrageparametern über den SiGeKo-Server. Den konkreten Betreiber, Empfängerstatus und eine gegebenenfalls erforderliche Beauftragung prüfen; keine pauschale Gleichsetzung einer externen Datenquelle mit einem Unterauftragsverarbeiter.

Anlage 4 — Vor Abschluss zu vereinbarende Einzelangaben

• Vollständige Parteien, Vertretungsbefugnis, Vertragsfassung, Beginn, Module, Weisungsberechtigte und erreichbare Datenschutz-/Vorfallkontakte.
• Freigegebene Datenkategorien und Zwecke, tatsächliche Verarbeitungsorte, genehmigte konkrete Unterauftragsverarbeiter und erforderliche internationale Transferinstrumente mit Nachweisen.
• Bestätigte TOM, Prüf- und Vorfallverfahren sowie genaue Rückgabe-, Aufbewahrungs- und Löschfristen für jede relevante Daten- und Kopienart einschließlich Sicherungen und Dienstleisterdaten.
• Falls gewünscht: gesonderte dokumentierte Weisung für Beta-Resets ohne Einzelankündigung mit den betroffenen Datenbeständen, Reset-Zwecken, Ausnahmen und Verantwortlichen für externe Sicherungen; keine stillschweigende Genehmigung durch Veröffentlichung.
• Ausdrückliche Annahme beider Parteien in Textform und unveränderte Ablage der vereinbarten Fassung samt Anlagen. Diese öffentliche Übersicht ersetzt die ausgefüllte individuelle Vereinbarung nicht.