Auftragsverarbeitungsvertrag

Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Kunden, der unsere Nutzungsbedingungen akzeptiert hat („Kunde“, der Verantwortliche), und der IGP Global Solutions FZ-LLC („IGP one“, der Auftragsverarbeiter). Er gilt, wenn IGP one bei der Erbringung des Dienstes personenbezogene Daten im Auftrag des Kunden verarbeitet („personenbezogene Kundendaten“).

Er ist Bestandteil der Nutzungsbedingungen und wird mit deren Annahme durch den Kunden angenommen. Widersprechen sich dieser AVV und die Nutzungsbedingungen in Fragen des Datenschutzes, hat dieser AVV Vorrang. Eine gegengezeichnete Fassung erhalten Sie per E-Mail an [email protected].

Einzelheiten der Verarbeitung (Anhang I)

Gegenstand und Zweck: Bereitstellung des Dienstes IGP one, einschließlich KI-Agent (im Chat und im Sprachmodus), Content-Erstellung, Veröffentlichung, Bearbeitung von Kommentaren, Nachrichten und Story-Antworten, Comment-to-DM-Abläufen, Automatisierungen für Story-Antworten, Lead-Erfassung, Benachrichtigungen und Berichten.

Art der Verarbeitung: Erhebung über verbundene Konten, Speicherung, Organisation, Analyse durch KI-Modelle, Erstellung von Antworten und Inhalten, Übermittlung an verbundene Plattformen sowie Löschung.

Dauer: die Laufzeit des Abonnements des Kunden zuzüglich der nachstehend genannten Löschfrist.

Betroffene Personen: Personen, die mit dem verbundenen Instagram-Konto des Kunden interagieren (etwa Kommentierende, Absender von Nachrichten, Personen, die auf seine Stories antworten, und Leads), sowie die Teammitglieder des Kunden.

Datenkategorien: Benutzernamen, Profilnamen und -bilder, Plattform-IDs, Inhalte von Nachrichten, Kommentaren und Story-Antworten, von Personen mitgeteilte Kontaktdaten und Anfragen, Lead-Notizen und -Tags, Namen und E-Mail-Adressen von Teammitgliedern sowie der Chatverlauf des Arbeitsbereichs (einschließlich Transkripten von Sprachgesprächen; Sprachaudio wird in Echtzeit verarbeitet und nicht gespeichert).

Besondere Kategorien: nicht vorgesehen. Der Kunde darf den Dienst nicht zur Erhebung besonderer Kategorien personenbezogener Daten, von Gesundheitsdaten, Zahlungskartendaten oder Ausweisnummern nutzen.

Häufigkeit der Übermittlung: laufend, solange der Dienst genutzt wird. Speicherdauer: wie unter „Löschung und Rückgabe“ festgelegt. Zuständige Aufsichtsbehörde für die Standardvertragsklauseln: die nach Klausel 13 für den Kunden bestimmte Behörde. Unterauftragsverarbeiter (Anhang III): wie auf unserer Seite „Unterauftragsverarbeiter“ aufgeführt.

Weisungen des Kunden

IGP one verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden – auch in Bezug auf Übermittlungen in Drittländer –, sofern IGP one nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist; in einem solchen Fall teilt IGP one dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz eine solche Mitteilung nicht verbietet. Diese Weisungen bestehen aus den Nutzungsbedingungen, diesem AVV sowie der Konfiguration und Nutzung des Dienstes durch den Kunden. IGP one informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

Der Kunde ist dafür verantwortlich, über eine Rechtsgrundlage zu verfügen und den betroffenen Personen die erforderlichen Informationen zu geben, einschließlich des Hinweises, dass automatisierte und KI-gestützte Antworten eingesetzt werden.

Vertraulichkeit

IGP one stellt sicher, dass alle zur Verarbeitung personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind und nur insoweit darauf zugreifen, wie es für die Bereitstellung und den Support des Dienstes erforderlich ist.

Sicherheit (Anhang II)

IGP one trifft geeignete technische und organisatorische Maßnahmen, darunter: Verschlüsselung bei der Übertragung und im Ruhezustand; primäre Speicherung personenbezogener Kundendaten in der Europäischen Union; logische Mandantentrennung mit Row-Level-Security; Verschlüsselung von Social-Media-Zugriffstokens auf Feldebene in einem Tresor; rollenbasierte Zugriffsrechte; Single Sign-on und Zugriffskontrollen für interne Tools; Audit-Protokolle; tägliche Backups mit getesteter Wiederherstellung sowie kontinuierliche Fehler- und Verfügbarkeitsüberwachung. Dienstprotokolle, die keine Nachrichteninhalte enthalten, werden von Better Stack in den Vereinigten Staaten gespeichert. Unsere Sicherheitsseite beschreibt diese Maßnahmen; sie kann aktualisiert werden, sofern das Schutzniveau insgesamt nicht sinkt.

Unterauftragsverarbeiter

Der Kunde erteilt IGP one eine allgemeine Genehmigung zum Einsatz der auf unserer Seite zu Unterauftragsverarbeitern aufgeführten Unterauftragsverarbeiter.

Bevor IGP one einen Unterauftragsverarbeiter, der personenbezogene Kundendaten verarbeitet, hinzuzieht oder ersetzt, kündigt IGP one dies mindestens 30 Tage im Voraus an, indem diese Seite aktualisiert und die Kontoinhaber per E-Mail informiert werden. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Können wir dem Einspruch nicht in zumutbarer Weise abhelfen, kann der Kunde den betroffenen Teil des Dienstes beenden und erhält die dafür im Voraus gezahlten Entgelte erstattet.

IGP one erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als dieser AVV, und bleibt für seine Unterauftragsverarbeiter verantwortlich.

Internationale Datenübermittlungen

Personenbezogene Kundendaten werden in der EU gespeichert. IGP one kann aus den Vereinigten Arabischen Emiraten darauf zugreifen, und KI- sowie andere Unterauftragsverarbeiter können sie in den Vereinigten Staaten verarbeiten.

Für Übermittlungen personenbezogener Daten, die der DSGVO unterliegen, in ein Land ohne Angemessenheitsbeschluss vereinbaren die Parteien die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission angenommenen Standardvertragsklauseln: Modul Zwei (Verantwortlicher an Auftragsverarbeiter) zwischen dem Kunden und IGP one und, soweit erforderlich, Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) zwischen IGP one und seinen Unterauftragsverarbeitern. Klausel 7 (Kopplungsklausel) findet Anwendung; für Klausel 9(a) gilt die Option der allgemeinen schriftlichen Genehmigung mit der oben genannten Ankündigungsfrist; die optionale Formulierung in Klausel 11 findet keine Anwendung; für die Klauseln 17 und 18 gilt irisches Recht, und zuständig sind die Gerichte Irlands. Anhang I und Anhang II entsprechen den obigen Abschnitten.

Für Daten aus dem Vereinigten Königreich gilt das vom UK Information Commissioner herausgegebene International Data Transfer Addendum zu den EU-Standardvertragsklauseln; die Tabellen 1 bis 3 gelten als anhand dieses AVV und der Standardvertragsklauseln ausgefüllt. Für Daten aus der Schweiz gelten die Standardvertragsklauseln mit der Maßgabe, dass Verweise als Verweise auf das Schweizer Bundesgesetz über den Datenschutz zu lesen sind; der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist eine zuständige Aufsichtsbehörde.

Ist ein Unterauftragsverarbeiter nach dem EU-U.S. Data Privacy Framework zertifiziert, kann stattdessen dieser Rahmen genutzt werden.

Übermittlungen, die dem Datenschutzgesetz der VAE (PDPL) oder israelischem Recht unterliegen, erfolgen nach den Übermittlungsvorschriften dieser Gesetze, einschließlich vertraglicher Garantien.

Erhält IGP one von einer Behörde ein rechtsverbindliches Ersuchen um Herausgabe personenbezogener Kundendaten, benachrichtigt IGP one den Kunden, soweit gesetzlich zulässig, fechtet das Ersuchen an, wenn es dafür begründeten Anlass gibt, und legt nur das erforderliche Minimum offen.

Unterstützung des Kunden

IGP one unterstützt den Kunden bei der Beantwortung von Anträgen betroffener Personen, vor allem durch Self-Service-Funktionen für Auskunft, Export, Berichtigung und Löschung. Erhält IGP one einen Antrag direkt, leitet IGP one ihn unverzüglich an den Kunden weiter und beantwortet ihn nur auf Weisung oder soweit gesetzlich vorgeschrieben.

IGP one unterstützt den Kunden auf Grundlage der verfügbaren Informationen in angemessenem Umfang bei der Erfüllung seiner Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Datenschutzverletzungen, zu Datenschutz-Folgenabschätzungen und zur vorherigen Konsultation der Aufsichtsbehörden (Art. 32 bis 36 DSGVO) und führt ein Verzeichnis der Verarbeitungstätigkeiten, die es im Auftrag des Kunden durchführt.

Verletzungen des Schutzes personenbezogener Daten

IGP one benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem IGP one eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist. Die Meldung beschreibt den Vorfall, die betroffenen Daten und Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen und wird aktualisiert, sobald weitere Informationen vorliegen.

IGP one benachrichtigt Behörden oder betroffene Personen nicht im Namen des Kunden, es sei denn, der Kunde verlangt dies oder das Gesetz schreibt es vor.

Löschung und Rückgabe

Der Kunde kann personenbezogene Kundendaten während des Abonnements und bis 30 Tage nach dessen Ende jederzeit exportieren. Nach Wahl des Kunden werden die Daten per Export zurückgegeben oder gelöscht: Nachdem der Kunde sein Konto gelöscht hat oder 30 Tage nach Vertragsbeendigung löscht IGP one die personenbezogenen Kundendaten; aus rollierenden Backups verschwinden sie innerhalb weiterer 35 Tage, sofern das Gesetz keine längere Aufbewahrung verlangt.

Solange Instagram verbunden ist, werden Nachrichten und Kommentare 12 Monate nach der letzten Aktivität in der Unterhaltung aufbewahrt, Lead-Datensätze, solange das Konto des Kunden besteht und Instagram verbunden bleibt. Trennt der Kunde die Verbindung zu Instagram, wird das Zugriffstoken sofort gelöscht, und die über diese Verbindung erhaltenen Daten werden innerhalb von 30 Tagen gelöscht, sofern das Konto nicht innerhalb dieser Frist erneut verbunden wird.

Audits

IGP one stellt die Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, einschließlich schriftlicher Antworten auf Sicherheitsfragebögen einmal jährlich. Reicht dies nicht aus oder verlangt eine Behörde es, kann der Kunde einmal jährlich mit einer Ankündigungsfrist von 30 Tagen während der Geschäftszeiten ein Audit durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer auf eigene Kosten durchführen.

Datenschutzgesetze der US-Bundesstaaten

Im Sinne von CCPA/CPRA und vergleichbaren Gesetzen der US-Bundesstaaten handelt IGP one als Service Provider bzw. Processor. IGP one wird personenbezogene Kundendaten weder verkaufen noch weitergeben (share), sie nicht außerhalb der unmittelbaren Geschäftsbeziehung oder zu einem anderen Zweck als der Bereitstellung des Dienstes aufbewahren, nutzen oder offenlegen, sie nur im gesetzlich zulässigen Umfang mit anderen Daten zusammenführen und den Kunden benachrichtigen, wenn IGP one diese Pflichten nicht mehr erfüllen kann. IGP one bestätigt, diese Beschränkungen zu verstehen und einzuhalten.

VAE und Israel

Personenbezogene Kundendaten, die dem Datenschutzgesetz der VAE (PDPL) unterliegen, verarbeitet IGP one nur auf Weisung, behandelt sie vertraulich und sicher, meldet Verletzungen wie oben beschrieben und löscht sie nach Abschluss der Verarbeitung. Für Daten, die dem israelischen Protection of Privacy Law und den Data Security Regulations unterliegen, erfüllt IGP one die Pflichten eines Besitzers (holder), der für den Kunden verarbeitet, einschließlich Sicherheitsmaßnahmen, Vertraulichkeit, Meldung von Sicherheitsvorfällen an den Kunden sowie Rückgabe oder Löschung bei Ende der Zusammenarbeit.

Haftung und Laufzeit

Die Haftung jeder Partei aus diesem AVV unterliegt den Beschränkungen der Nutzungsbedingungen, soweit das Gesetz oder die Standardvertragsklauseln dies zulassen. Dieser AVV gilt, solange IGP one personenbezogene Kundendaten verarbeitet.

Kontakt

Fragen zum Datenschutz: [email protected]. Unterzeichnete Fassungen und rechtliche Mitteilungen: [email protected].