Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV") ist Bestandteil der AGB zwischen Ihnen als Betreiber von Websites, die mit Lepka erstellt wurden (Verantwortlicher), und MDMA RACINGTEAM OU, Harju maakond, Tallinn, Kesklinna linnaosa, Narva mnt 7-634, 10117, Estonia (Auftragsverarbeiter, „wir"). Er gilt, wann immer wir im Zusammenhang mit Ihren Websites personenbezogene Daten in Ihrem Auftrag verarbeiten, und erfüllt die Anforderungen des Art. 28 DSGVO. Sie schließen ihn mit der Annahme der AGB ab. Widersprechen sich dieser AVV und die AGB in Fragen des Datenschutzes, geht dieser AVV vor.

1. Gegenstand und Dauer

1. Wir verarbeiten personenbezogene Daten in Ihrem Auftrag, um den Dienst zu erbringen: Ihre Websites und Apps zu hosten, die von Ihren Websites erhobenen Daten zu speichern und Ihnen anzuzeigen, E-Mails und Benachrichtigungen zu versenden, den KI-Assistenten auf Ihren Websites zu betreiben, Besuche zu zählen und Daten an von Ihnen angebundene Dienste Dritter zu übermitteln. Einzelheiten enthält Anlage 1.
2. Dieser AVV gilt, solange wir personenbezogene Daten in Ihrem Auftrag verarbeiten, einschließlich der Zeit nach Vertragsende bis zur Löschung der Daten (Ziffer 9).

2. Ihre Weisungen

1. Wir verarbeiten die personenbezogenen Daten nur auf Ihre dokumentierte Weisung — auch in Bezug auf die Übermittlung in Drittländer —, sofern wir nicht nach dem Recht der EU oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet sind; in diesem Fall teilen wir Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Ihre Weisungen sind die AGB und dieser AVV, die Einstellungen Ihrer Websites und Projekte sowie Ihre Handlungen im Dienst (zum Beispiel einen Dienst anbinden, Daten exportieren oder löschen). Weitere Weisungen können in Textform (E-Mail genügt) erteilt werden.
3. Sind wir der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informieren wir Sie unverzüglich.
4. Wir verarbeiten die personenbezogenen Daten nicht für eigene Zwecke. Wir dürfen anonyme, aggregierte Statistiken über die Nutzung des Dienstes erstellen (zum Beispiel wie viele Gespräche KI-Assistenten führen), die keine personenbezogenen Daten enthalten.

3. Vertraulichkeit

Wir gewährleisten, dass sich alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Unser Team greift auf die Inhalte Ihrer Projekte nur zur Unterstützung auf Ihre Anfrage, zur Untersuchung von Fehlern und zur Durchsetzung der AGB zu; Zugriffe über unsere Verwaltungswerkzeuge werden protokolliert.

4. Sicherheit

Wir treffen die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Wir dürfen diese Maßnahmen dem technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

5. Unterauftragsverarbeiter

1. Sie erteilen uns eine allgemeine Genehmigung, die auf der Seite Unterauftragsverarbeiter genannten Unterauftragsverarbeiter einzusetzen.
2. Wir informieren Sie mindestens 30 Tage vorher per E-Mail, bevor wir einen Unterauftragsverarbeiter hinzuziehen oder ersetzen. Innerhalb dieser Frist können Sie aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können wir Ihren Einwand nicht ausräumen, können Sie die betroffene Leistung vor dem Wirksamwerden der Änderung kostenlos beenden; vorausbezahlte Beträge für die Zeit danach erstatten wir.
3. Wir erlegen jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten wie in diesem AVV auf, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Für die Erfüllung der Pflichten unserer Unterauftragsverarbeiter haften wir Ihnen gegenüber.

6. Übermittlung in Drittländer

Unsere Server befinden sich in der EU. Einige Unterauftragsverarbeiter verarbeiten personenbezogene Daten außerhalb der EU/des EWR, insbesondere in den USA (siehe Seite Unterauftragsverarbeiter). Wir übermitteln ihnen personenbezogene Daten nur auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Sie weisen uns an, diese Übermittlungen vorzunehmen, soweit sie für die von Ihnen genutzten Funktionen erforderlich sind.

7. Unterstützung

1. Anfragen betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie bei der Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Im Dienst können Sie die Daten Ihrer Websites selbst einsehen, exportieren und löschen. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an Sie weiter und beantworten sie nicht selbst, sofern Sie uns nicht dazu anweisen.
2. Weitere Pflichten. Unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen unterstützen wir Sie bei der Einhaltung Ihrer Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

8. Verletzungen des Schutzes personenbezogener Daten

Wir melden Ihnen jede Verletzung des Schutzes der in Ihrem Auftrag verarbeiteten personenbezogenen Daten unverzüglich, spätestens 48 Stunden, nachdem sie uns bekannt geworden ist. Die Meldung geht an die E-Mail-Adresse Ihres Kontos und enthält, soweit verfügbar, die Angaben, die Sie für Ihre eigene Meldung nach Art. 33 Abs. 3 DSGVO benötigen: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Anlaufstelle. Wir dokumentieren jede Verletzung und treffen die erforderlichen Maßnahmen, um sie einzudämmen und ihre Folgen abzumildern.

9. Löschung und Rückgabe der Daten

1. Während der Nutzung des Dienstes können Sie die Daten Ihrer Websites jederzeit exportieren und löschen.
2. Nach Vertragsende bewahren wir die Daten 30 Tage auf, damit Sie sie exportieren können (Ziffer 16 der AGB), und löschen sie dann, sofern nicht nach dem Recht der EU oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Sicherungskopien werden nach ihrem regulären Zeitplan innerhalb von 14 Tagen überschrieben.

10. Informationen und Kontrollen

Wir stellen Ihnen alle erforderlichen Informationen zum Nachweis der Einhaltung des Art. 28 DSGVO zur Verfügung und ermöglichen und unterstützen Überprüfungen einschließlich Inspektionen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden. Überprüfungen sind mindestens 30 Tage vorher anzukündigen, finden während der üblichen Geschäftszeiten statt, dürfen unseren Betrieb nicht stören und die Daten anderer Kunden nicht gefährden und erfolgen auf Ihre Kosten; zuvor versuchen wir, Ihre Fragen schriftlich zu beantworten.

11. Haftung

Für diesen AVV gelten die Haftungsregeln der AGB; Art. 82 DSGVO bleibt unberührt.

Anlage 1 — Beschreibung der Verarbeitung

Kategorien betroffener Personen: Besucher Ihrer Websites; Personen, die auf Ihren Websites Formulare absenden, bestellen oder Termine buchen; Nutzer, die sich in mit Lepka erstellten Apps anmelden; Personen, die mit dem KI-Assistenten Ihrer Websites chatten; Empfänger von E-Mails, die Ihre Websites versenden; weitere Personen, deren Daten Sie in Ihre Projekte einfügen.

Kategorien personenbezogener Daten: Kontaktdaten (etwa Name, E-Mail-Adresse, Telefonnummer), Inhalte von Formularen, Bestellungen, Buchungen und Nachrichten, Gespräche mit dem KI-Assistenten, Benutzerkonten Ihrer Apps (E-Mail-Adresse, Name, Rolle), von Besuchern hochgeladene Dateien sowie alle weiteren Daten, die Ihre Websites erheben sollen. Technische Daten (IP-Adresse, Browserangaben) werden nur für die Sicherheit und zur Bildung anonymer Besuchsstatistiken verwendet und nicht gespeichert.

Besondere Kategorien personenbezogener Daten: Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen ausgelegt. Erhebt Ihre Website solche Daten, sind Sie für die Rechtmäßigkeit und die erforderlichen Garantien verantwortlich.

Art und Zweck der Verarbeitung: Speicherung und Hosting; Anzeige der Daten für Sie; Versand von E-Mails und Benachrichtigungen in Ihrem Namen; Erzeugung der Antworten des KI-Assistenten (durch unseren KI-Unterauftragsverarbeiter); Übermittlung an von Ihnen angebundene Dienste Dritter; anonyme Zählung von Besuchen; Sicherungskopien; Löschung.

Speicherdauer: nach Ihrer Festlegung, bis Sie die Daten oder das Projekt löschen. Gespräche mit dem KI-Assistenten werden spätestens ein Jahr nach der letzten Nachricht gelöscht, die anonyme Besuchsstatistik wird 13 Monate aufbewahrt.

Anlage 2 — Technische und organisatorische Maßnahmen

• Verschlüsselung: alle Verbindungen mit TLS (HTTPS); Zugangsschlüssel für Dienste Dritter werden verschlüsselt gespeichert.
• Standort: Produktionsserver in einem Rechenzentrum in Deutschland (EU).
• Zugriffskontrolle: Zugang zu den Produktionssystemen nur für befugte Teammitglieder; Zwei-Faktor-Authentifizierung für administrative Zugänge; Zugriffe auf die Inhalte von Kundenprojekten über die Verwaltungswerkzeuge werden protokolliert; Prinzip der minimalen Rechte.
• Trennung: Code der Kunden wird in isolierten Umgebungen erstellt und ausgeführt; die Daten jeder Website werden getrennt gehalten.
• Verfügbarkeit und Sicherung: stündliche Sicherung der Datenbank (2 Tage aufbewahrt) und nächtliche Vollsicherung (14 Tage aufbewahrt); Überwachung des Dienstes.
• Datenminimierung: Besuchsstatistik ohne Cookies und ohne Speicherung von IP-Adressen; keine personenbezogenen Daten in der Nutzungsanalyse.
• Sichere Entwicklung: regelmäßige Sicherheitsupdates, Prüfung von Abhängigkeiten, Schutz vor Missbrauch (Anfragebegrenzungen, Prüfung veröffentlichter Websites auf Phishing).
• Umgang mit Vorfällen: ein dokumentiertes Verfahren zur Behandlung und Meldung von Datenschutzverletzungen.

Anlage 3 — Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter finden Sie auf der Seite Unterauftragsverarbeiter.