Auftragsverarbeitungsvertrag

Winkler Technologies GmbH

Achter de Knick 4, 24980 Schafflund, Deutschland

Vertreten durch Fabian Winkler, Geschäftsführer

E-Mail: [email protected]

1. Vertragsparteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der myHERALD-Nutzungsbedingungen („Hauptvertrag“), die zwischen der Winkler Technologies GmbH, Achter de Knick 4, 24980 Schafflund, Deutschland („Auftragsverarbeiter“ oder „myHERALD“) und dem im Hauptvertrag bezeichneten Kunden („Verantwortlicher“ oder „Kunde“) geschlossen werden, und wird in diese einbezogen.

Dieser AVV regelt die Vereinbarung der Parteien über die Verarbeitung personenbezogener Daten durch myHERALD im Auftrag des Kunden im Zusammenhang mit der Software-as-a-Service-Plattform myHERALD („Dienste“) gemäß Art. 28 der Verordnung (EU) 2016/679 („DSGVO“).

Mit Annahme des Hauptvertrags nimmt der Kunde zugleich diesen AVV an. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor.

2. Begriffsbestimmungen

Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“, „betroffene Person“ und „Aufsichtsbehörde“ haben die ihnen in Art. 4 DSGVO zugewiesene Bedeutung. „Standardvertragsklauseln“ oder „SCCs“ bezeichnen die mit Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 genehmigten Standardvertragsklauseln.

3. Gegenstand, Art, Zweck und Dauer der Verarbeitung

4. Pflichten des Auftragsverarbeiters

myHERALD verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland, sofern myHERALD nicht durch das Recht der Union oder eines Mitgliedstaats, dem myHERALD unterliegt, hierzu verpflichtet ist;
• den Kunden unverzüglich zu informieren, wenn myHERALD der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzbestimmungen verstößt;
• zu gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• die in Anhang 2 (TOM) festgelegten technischen und organisatorischen Maßnahmen umzusetzen, um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO sicherzustellen;
• die in Abschnitt 6 festgelegten Bedingungen für die Beauftragung von Unterauftragsverarbeitern einzuhalten;
• den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht zu unterstützen, Anfragen zur Ausübung der Rechte betroffener Personen nach Kapitel III DSGVO zu beantworten;
• den Kunden unter Berücksichtigung der Art der Verarbeitung und der myHERALD zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO zu unterstützen;
• nach Wahl des Kunden alle personenbezogenen Daten nach Abschluss der Erbringung der Dienstleistungen zu löschen oder zurückzugeben und bestehende Kopien zu löschen, sofern nicht das Recht der Union oder eines Mitgliedstaats eine Speicherung der personenbezogenen Daten vorschreibt;
• dem Kunden alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und Überprüfungen, einschließlich Inspektionen, die vom Kunden oder einem vom Kunden beauftragten Prüfer durchgeführt werden, zu ermöglichen und dazu beizutragen, vorbehaltlich Abschnitt 9.

5. Pflichten des Verantwortlichen

Der Kunde sichert zu, dass:

• er über eine gültige Rechtsgrundlage für die Verarbeitung personenbezogener Daten über die Dienste verfügt und, soweit erforderlich, alle notwendigen Einwilligungen der betroffenen Personen eingeholt hat;
• die Weisungen, die er myHERALD erteilt, dem anwendbaren Datenschutzrecht entsprechen;
• er keine personenbezogenen Daten hochlädt, die übermäßig sind, unrechtmäßig erhoben wurden oder ohne vorherige schriftliche Vereinbarung unter die besonderen Kategorien nach Art. 9 DSGVO fallen;
• er für die Richtigkeit, Qualität und Rechtmäßigkeit der Kundendaten sowie für die Art und Weise, wie er diese Daten erlangt hat, verantwortlich ist.

6. Unterauftragsverarbeiter

Der Kunde erteilt myHERALD hiermit die allgemeine schriftliche Genehmigung, für die Erbringung der Dienste Unterauftragsverarbeiter einzusetzen, und zwar unter den folgenden Bedingungen:

• myHERALD führt eine aktuelle Liste der Unterauftragsverarbeiter unter myherald.io/sub-processors.
• myHERALD erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die kein geringeres Schutzniveau bieten als die in diesem AVV festgelegten Pflichten, insbesondere hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen.
• myHERALD informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit einer Frist von mindestens vierzehn (14) Tagen per E-Mail oder über eine produktinterne Benachrichtigung und gibt dem Kunden dadurch die Möglichkeit, solchen Änderungen aus angemessenen datenschutzrechtlichen Gründen zu widersprechen.
• Widerspricht der Kunde aus angemessenen Gründen, bemühen sich die Parteien nach Treu und Glauben um eine Lösung. Kommt keine Lösung zustande, kann der Kunde die betroffenen Dienste kündigen und erhält eine anteilige Erstattung im Voraus gezahlter Entgelte.
• myHERALD haftet gegenüber dem Kunden in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

7. Internationale Datenübermittlungen

Soweit myHERALD oder einer seiner Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, stellt myHERALD sicher, dass solche Übermittlungen durch einen geeigneten Übermittlungsmechanismus nach Kapitel V DSGVO geschützt sind, insbesondere durch:

• einen Angemessenheitsbeschluss der Europäischen Kommission (z. B. das EU–U.S. Data Privacy Framework, soweit anwendbar);
• die Standardvertragsklauseln (Modul Zwei: Verantwortlicher an Auftragsverarbeiter oder Modul Drei: Auftragsverarbeiter an Auftragsverarbeiter, je nach Anwendbarkeit), die durch Verweis in diesen AVV einbezogen werden und für jede nicht von einem Angemessenheitsbeschluss erfasste Übermittlung als zwischen den Parteien abgeschlossen gelten;
• ergänzende technische und vertragliche Maßnahmen, soweit eine Übermittlungsfolgenabschätzung (Transfer Impact Assessment) dies erfordert.

Die Liste der Unterauftragsverarbeiter unter myherald.io/sub-processors weist das Land der Verarbeitung und den jeweils anwendbaren Übermittlungsmechanismus aus.

Hinweis zu Drittanbieter-Integrationen: Verbindet der Kunde eigene Konten auf Drittplattformen (etwa LinkedIn, X, Instagram, Facebook, TikTok, Reddit, Slack oder vergleichbare Dienste) über OAuth oder eine vergleichbare Authentifizierung mit der myHERALD-Plattform, handeln diese Dritten hinsichtlich der Daten, die der Kunde dort veröffentlicht oder von dort abruft, als eigenständige Verantwortliche. Sie sind keine Unterauftragsverarbeiter von myHERALD. Die Rolle von myHERALD beschränkt sich darauf, die Weisungen und Inhalte des Kunden über die API des Drittanbieters zu übermitteln. Die jeweiligen Nutzungsbedingungen und Datenschutzerklärungen dieser Dritten gelten unmittelbar zwischen dem Kunden und dem Dritten.

8. Anfragen betroffener Personen und Verletzungen des Schutzes personenbezogener Daten

Erhält myHERALD eine Anfrage einer betroffenen Person in Bezug auf Kundendaten, leitet myHERALD diese Anfrage unverzüglich an den Kunden weiter und antwortet der betroffenen Person nicht unmittelbar, es sei denn, dies erfolgt auf dokumentierte Weisung des Kunden oder ist gesetzlich vorgeschrieben.

myHERALD benachrichtigt den Kunden unverzüglich, spätestens jedoch innerhalb von zweiundsiebzig (72) Stunden, nachdem myHERALD von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Kundendaten betrifft. Die Benachrichtigung enthält die in Art. 33 Abs. 3 DSGVO genannten Informationen, soweit diese myHERALD vorliegen, und wird ergänzt, sobald weitere Informationen verfügbar werden.

9. Überprüfungen (Audits)

myHERALD stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV und von Art. 28 DSGVO billigerweise erforderlich sind. Zur Erfüllung der Prüfrechte nach Art. 28 Abs. 3 lit. h DSGVO stellt myHERALD auf schriftliche Anfrage und höchstens einmal pro Kalenderjahr (außer im Fall einer Verletzung des Schutzes personenbezogener Daten oder einer Anordnung einer Aufsichtsbehörde) Folgendes bereit:

• das aktuelle TOM-Dokument (Anhang 2);
• eine schriftliche Beantwortung eines angemessenen Sicherheitsfragebogens des Kunden;
• vorhandene Prüfberichte oder Zertifizierungen Dritter (z. B. SOC 2, ISO 27001), soweit verfügbar.

Prüfungen vor Ort finden nur statt, wenn die vorstehende Dokumentation nicht ausreicht. Sie werden während der Geschäftszeiten, mit einer schriftlichen Ankündigungsfrist von mindestens dreißig (30) Tagen, durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer und in einer Weise durchgeführt, die den Geschäftsbetrieb von myHERALD nicht unangemessen stört. Der Kunde trägt seine eigenen Prüfungskosten.

10. Haftung

Die Haftung der Parteien aus diesem AVV richtet sich nach den im Hauptvertrag vereinbarten Haftungsbeschränkungen, soweit das anwendbare Recht eine solche Beschränkung nicht verbietet. Art. 82 DSGVO bleibt unberührt.

11. Laufzeit, Beendigung, Löschung und Rückgabe

Dieser AVV tritt mit Annahme des Hauptvertrags in Kraft und gilt, solange myHERALD personenbezogene Daten im Auftrag des Kunden verarbeitet.

Die Kündigung oder das Auslaufen eines kostenpflichtigen Abonnements führt für sich genommen nicht zur Löschung des Kontos oder der Kundendaten. Dieser AVV gilt fort, solange myHERALD personenbezogene Daten im Auftrag des Kunden verarbeitet. Der Kunde kann seine Daten jederzeit vor der Löschung seines Kontos oder Workspace über die produktinterne Exportfunktion exportieren.

Wenn der Kunde sein Konto oder seinen Workspace löscht oder der Hauptvertrag anderweitig endet, sodass die Verarbeitung eingestellt wird, löscht myHERALD die Kundendaten unverzüglich, spätestens jedoch innerhalb von dreißig (30) Tagen, aus den aktiven Systemen. Verbleibende Kopien in geschützten Sicherungen laufen im Rahmen des geltenden Sicherungszyklus spätestens nach sechzig (60) Tagen aus und werden nur wiederhergestellt, wenn dies zur Notfallwiederherstellung erforderlich ist. Diese Pflichten gelten nicht, soweit das Recht der Union oder eines Mitgliedstaats eine Aufbewahrung vorschreibt. Auf schriftliche Anfrage bestätigt myHERALD die Löschung schriftlich.

12. Schlussbestimmungen

Sollte eine Bestimmung dieses AVV unwirksam oder undurchsetzbar sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien ersetzen die unwirksame oder undurchsetzbare Bestimmung durch eine Regelung, die dem wirtschaftlich und rechtlich Gewollten am nächsten kommt.

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG). Ausschließlicher Gerichtsstand ist Flensburg, Deutschland, soweit gesetzlich zulässig.

Anhang 1 – Beschreibung der Verarbeitung

Dieser Anhang konkretisiert die Einzelheiten der Verarbeitung gemäß Art. 28 Abs. 3 DSGVO. Die Angaben in Abschnitt 3 dieses AVV sind Bestandteil dieses Anhangs.

Verarbeitungsvorgänge

• Authentifizierung und Kontoverwaltung der Nutzer des Kunden auf der myHERALD-Plattform.
• Speicherung der vom Kunden hochgeladenen Wissensdatenbank-Dokumente und Erzeugung von Vektor-Embeddings.
• KI-gestützte Recherche, Texterstellung, Überprüfung und Bildgenerierung für Social-Media-Inhalte.
• Veröffentlichung freigegebener Inhalte auf Social-Media-Plattformen über per OAuth verbundene Konten.
• Protokollierung von Agentenläufen und Nutzungskennzahlen für Abrechnung, Fehleranalyse und Sicherheit.

Häufigkeit: Fortlaufend, für die Dauer des Hauptvertrags.

Anhang 2 – Technische und organisatorische Maßnahmen (TOM)

myHERALD setzt die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO um. Die Maßnahmen können sich im Laufe der Zeit weiterentwickeln; myHERALD behält sich vor, sie zu aktualisieren, sofern das Schutzniveau dadurch nicht verringert wird.

1. Vertraulichkeit

• Zugangskontrolle: Supabase Auth mit bcrypt-gehashten Passwörtern; Google OAuth als alternative Anmeldung. Workspace-bezogene Row Level Security (RLS) auf allen über die Daten-API erreichbaren Tabellen. Rollenbasierte Zugriffskontrolle (Inhaber, Admin, Bearbeiter, Betrachter).
• Privater Dateispeicher: Kundenspezifische Wissensdokumente, Chat-Anhänge und Feedback-Anhänge werden in einem nicht öffentlichen Objektspeicher gespeichert. Der Zugriff ist auf den Workspace beschränkt und erfolgt über kurzzeitig gültige, kryptografisch signierte Links, die erst nach erfolgreicher Berechtigungsprüfung ausgestellt werden. Für die öffentliche Verbreitung bestimmte Dateien, etwa Bilder für Social-Media-Veröffentlichungen, liegen in einer getrennten öffentlichen Medienbibliothek.
• Berechtigungen: Prinzip der geringsten Rechte; keine geteilten Konten; Service-Role-Schlüssel werden ausschließlich in serverseitigen Umgebungsvariablen gespeichert.
• Vertraulichkeitsverpflichtungen: alle Mitarbeitenden und Auftragnehmer sind durch schriftliche Vertraulichkeitsverpflichtungen gebunden.
• Pseudonymisierung und Verschlüsselung: Wissensdatenbank-Inhalte werden als numerische Vektoren eingebettet; OAuth-Tokens werden im Ruhezustand verschlüsselt gespeichert.

2. Integrität

• Verschlüsselung bei der Übertragung mittels TLS 1.2+ für die gesamte Kommunikation zwischen Client und Server sowie zwischen Server und Unterauftragsverarbeitern.
• Verschlüsselung im Ruhezustand mittels von Supabase verwalteter AES-256-Verschlüsselung (Region eu-central-1).
• Audit-Protokollierung der Agentenläufe (Token-Verbrauch, Kosten, Aktionen) in der Tabelle agent_runs.
• Eingabevalidierung und parametrisierte Datenbankabfragen zur Verhinderung von Injection-Angriffen.

3. Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte Sicherungen über Supabase, aufbewahrt gemäß der Backup-Richtlinie von Supabase.
• Hosting in EU West (Amsterdam) über Railway für die Anwendungsebene; eu-central-1 (Frankfurt) für primäre Datenbank und Speicher.
• Verfügbarkeitsüberwachung und Fehlererfassung.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Schwachstellen-Scans der Softwareabhängigkeiten.
• Regelmäßige Überprüfung der Zugriffsrechte und der Liste der Unterauftragsverarbeiter.
• An Art. 33 DSGVO ausgerichteter Prozess zur Reaktion auf Sicherheitsvorfälle (72-Stunden-Meldung).

5. Verwaltung der Unterauftragsverarbeiter

• Prüfung aller Unterauftragsverarbeiter auf DSGVO-Konformität vor der Beauftragung.
• Schriftliche Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern, einschließlich Standardvertragsklauseln für Übermittlungen außerhalb des EWR.
• Öffentliche Liste der Unterauftragsverarbeiter mit Benachrichtigung über Änderungen.

6. Datenminimierung, Aufbewahrung und Löschung

• Vorläufige Löschung (Soft Deletion) mit endgültiger Löschung nach 30 Tagen für Inhaltselemente und Wissensdatenbank-Einträge.
• Kontolöschung innerhalb von 30 Tagen nach Anfrage.
• Aufbewahrungsfristen sind im Verzeichnis von Verarbeitungstätigkeiten dokumentiert.

Anhang 3 – Liste der Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter wird auf einer gesonderten Seite gepflegt und ist Bestandteil dieses AVV: myherald.io/sub-processors.