Auftragsverarbeitungsvertrag

1Parteien und Geltungsbereich#

Dieser Auftragsverarbeitungsvertrag (der „AVV“) wird zwischen dem Kunden, der ein CommentWatchDog-Konto hält (der „Kunde“, „du“), und GrowMeOrganic LLC, 30 N Gould St STE R, Sheridan, WY 82801, Vereinigte Staaten („wir“, „uns“), geschlossen, dem Betreiber des in den Nutzungsbedingungen beschriebenen Service.

Er gilt immer dann, wenn wir personenbezogene Daten in deinem Auftrag verarbeiten und diese Verarbeitung der Datenschutz-Grundverordnung der EU (DSGVO), der UK-DSGVO und dem Data Protection Act 2018, dem Schweizer Bundesgesetz über den Datenschutz (DSG) oder der brasilianischen Lei Geral de Proteção de Dados (LGPD) unterliegt. Nach diesen Gesetzen bist du Verantwortlicher für diese Daten, und wir sind dein Auftragsverarbeiter. Wo die LGPD die Wörter controlador und operador verwendet, meinen sie dieselben Rollen.

„Personenbezogene Kundendaten“ sind die personenbezogenen Daten in den Kommentaren, Nachrichten und Profilen kommentierender Personen, die wir von den Facebook-Seiten und Instagram-Konten abrufen, die du verbindest, die Aktionen, die du daran vornimmst, die Kontaktdatensätze, die die DM-Automatisierung für die Personen führt, die deine Automatisierungen erreichen, einschließlich dessen, was sie als Antwort auf deine Fragen eingeben, und die personenbezogenen Daten der Teammitglieder, die du einlädst, soweit wir sie auf deine Weisung verarbeiten. Unsere eigene Nutzung deiner Konto- und Abrechnungsdaten und die Anzeigenmessung auf unseren Websites sind in der Datenschutzerklärung beschrieben; dort handeln wir als Verantwortlicher.

Dieser AVV ist Teil der Nutzungsbedingungen. Für den Gegenstand, den er regelt, geht er den Nutzungsbedingungen vor. Eine Unterschrift ist nicht nötig: Er bindet uns beide ab dem Moment, in dem du den Service nutzt.

2Einzelheiten der Verarbeitung#

Dieser Abschnitt ist die Beschreibung der Verarbeitung, die die DSGVO verlangt, und dient als Anhang I der Standardvertragsklauseln in Abschnitt 6.

• Gegenstand: die Moderation und Beantwortung der Kommentare und Nachrichten auf den Facebook-Seiten und Instagram-Konten, die du mit dem Service verbindest, und die Ausführung der DM-Automatisierungen, die du dort einrichtest.
• Dauer: solange du ein Konto hast, und danach, bis die Löschung nach Abschnitt 10 abgeschlossen ist.
• Art und Zweck: Kommentare und Nachrichten über die APIs von Meta abrufen, sie speichern, sie nach den von dir festgelegten Regeln klassifizieren (nach Wort und, über einen KI-Anbieter, nach Bedeutung), sie nach deiner Konfiguration verbergen, löschen, archivieren oder beantworten, sie deinem Team in einem Posteingang anzeigen und Zählungen und Statistiken dazu erstellen. Wenn du die DM-Automatisierung nutzt: die öffentlichen Antworten und Direktnachrichten senden, die deine Automatisierungen und KI-Agenten schreiben, die von dir festgelegten Fragen stellen und die Antworten speichern, eine Kontaktliste mit den von dir definierten Tags und Feldern führen, zählen, welche Links in einer automatischen Nachricht geöffnet wurden, in Nachrichten gesendete Medien in unseren Speicher kopieren und die von dir konfigurierten HTTP-Anfragen an die von dir gewählten Adressen senden.
• Kategorien betroffener Personen: Personen, die auf deinen Seiten und Konten kommentieren oder ihnen schreiben, Personen, die in diesen Kommentaren erwähnt werden, und die Mitglieder deines Teams.
• Kategorien von Daten: der Text der Kommentare und Nachrichten, Name und öffentliches Profilbild der Person, die sie verfasst hat, Metas Kennungen für diese Person, den Beitrag und den Kommentar, Zeitstempel, die Labels, die unsere Regeln vergeben, die vorgenommenen Aktionen und von wem, und bei Teammitgliedern Name, E-Mail-Adresse und Rolle. Für die Kontakte, die die DM-Automatisierung führt: Name und Benutzername; auf Instagram, ob sie deinem Konto folgen, ihre Follower-Zahl und ob sie verifiziert sind; eine E-Mail-Adresse oder Telefonnummer, die sie eingegeben haben, mit der Frage, auf die sie geantwortet haben, und dem Zeitpunkt; die in deinen eigenen Feldern gespeicherten Antworten; Tags und Teamnotizen; ob sie um einen Stopp gebeten haben; die Links, die sie geöffnet haben; die Fotos, Videos, Sprachnachrichten und Dateien, die sie gesendet haben; und der Verlauf der Ausführungen von Automatisierungen, an denen sie beteiligt waren.
• Besondere Kategorien von Daten: es werden keine abgefragt. Ein Kommentar kann solche Daten beiläufig enthalten; wir verarbeiten sie nur, um den Kommentar zu moderieren, und zu nichts anderem. Auch eine Nachricht oder eine Antwort auf eine Frage deiner Automatisierung kann solche Daten enthalten; wir verarbeiten sie nur, um deine Weisungen auszuführen. Welche Fragen deine Automatisierungen stellen, entscheidest du.
• Häufigkeit: fortlaufend, sobald Kommentare und Nachrichten eingehen.
• Ort: Server, die Hetzner Online GmbH in Deutschland betreibt, in der Europäischen Union.

3Unsere Pflichten als Auftragsverarbeiter#

• Weisungen. Wir verarbeiten personenbezogene Kundendaten nur auf deine dokumentierte Weisung. Deine Weisungen sind die Nutzungsbedingungen, dieser AVV, die Regeln, Agenten und Automatisierungen, die du im Service konfigurierst, und die Aktionen, die dein Team darin vornimmt. Wir teilen dir mit, wenn eine Weisung aus unserer Sicht gegen das Gesetz verstößt, und können diese Weisung aussetzen, bis das geklärt ist.
• Vertraulichkeit. Zugriff haben nur Personen, die ihn für den Betrieb des Service brauchen, und jede von ihnen ist zur Vertraulichkeit verpflichtet.
• Sicherheit. Wir halten die Maßnahmen aus Abschnitt 7 aufrecht und verbessern sie, wenn sich der Stand der Technik weiterentwickelt.
• Unterstützung. Wir helfen dir, Anfragen betroffener Personen zu beantworten (Abschnitt 8) und Datenschutz-Folgenabschätzungen sowie Konsultationen einer Aufsichtsbehörde durchzuführen, soweit uns die Informationen vorliegen.
• Löschung. Wir löschen personenbezogene Kundendaten oder geben sie zurück, wie in Abschnitt 9 beschrieben.
• Verzeichnisse und Zusammenarbeit. Wir führen die gesetzlich vorgeschriebenen Verzeichnisse von Verarbeitungstätigkeiten, stellen dir die Informationen bereit, die zum Nachweis der Einhaltung nötig sind, und arbeiten mit deiner Aufsichtsbehörde zusammen, wenn sie es verlangt.
• Keine andere Nutzung. Wir verkaufen personenbezogene Kundendaten nie, nutzen sie nie für Werbung und nie zum Training von KI-Modellen. Unsere KI-Anbieter verarbeiten sie unter API-Bedingungen, die ein Training mit Kundeninhalten ausschließen.

4Deine Pflichten als Verantwortlicher#

• Du hast eine Rechtsgrundlage für die Verarbeitung, die du anweist, und deine Weisungen entsprechen dem Recht, das für dich gilt.
• Die Personen, die auf deinen Seiten kommentieren und ihnen schreiben, werden so, wie dein Recht es verlangt, darüber informiert, dass du mit einem Tool moderierst, das in deinem Auftrag handelt.
• Du konfigurierst die Regeln, Agenten und Automatisierungen und bist verantwortlich für die Moderationsentscheidungen, die sie ausführen, für die Nachrichten, die sie senden, und für die Fragen, die sie stellen.
• Wenn ein Flow Daten an eine von dir konfigurierte Webadresse sendet (ein Schritt HTTP-Anfrage), hast du diesen Empfänger gewählt und bist für diese Übermittlung verantwortlich. Der Empfänger ist nicht unser Unterauftragsverarbeiter.
• Du hältst Metas Bedingungen für die Seiten und Konten ein, die du verbindest.
• Du nutzt die Steuerungsmöglichkeiten im Service (Rollen, Seitenzugriff, Löschung), um die Verarbeitung auf das zu beschränken, was du brauchst.

5Unterauftragsverarbeiter#

Du erteilst uns die allgemeine Genehmigung, die auf unserer Seite Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter einzusetzen. Diese Seite dient als Anhang III der Standardvertragsklauseln in Abschnitt 6. Sie nennt jedes Unternehmen, was es für uns tut, welche Daten es verarbeitet und wo.

Wir halten diese Seite aktuell: Ein Unterauftragsverarbeiter wird dort eingetragen, bevor er personenbezogene Kundendaten verarbeitet, einer, der sie nicht mehr verarbeitet, wird entfernt, und das Änderungsprotokoll auf der Seite hält beides mit Datum fest. Die Seite ist die Mitteilung über solche Änderungen; prüfe sie so oft, wie dein Compliance-Prozess es verlangt. Wenn du den Service nach einer Änderung weiter nutzt, akzeptierst du die dort aufgeführten Unterauftragsverarbeiter. Jeder Unterauftragsverarbeiter ist an schriftliche Bedingungen gebunden, die personenbezogene Kundendaten mindestens so gut schützen wie dieser AVV.

6Internationale Übermittlungen#

Personenbezogene Kundendaten werden in der Europäischen Union gespeichert und verarbeitet. Weil wir ein Unternehmen in den Vereinigten Staaten sind und einige Unterauftragsverarbeiter dort Daten verarbeiten, gelten für Übermittlungen aus dem EWR, dem Vereinigten Königreich und der Schweiz die folgenden Garantien:

• EWR: die Standardvertragsklauseln, die die Europäische Kommission mit dem Beschluss (EU) 2021/914 angenommen hat, Modul zwei (Verantwortlicher an Auftragsverarbeiter), sind Bestandteil dieses AVV. Du bist der Datenexporteur, und wir sind der Datenimporteur. Klausel 7 (die Kopplungsklausel) gilt; nach Klausel 9 erteilst du die allgemeine Genehmigung aus Abschnitt 5, und die Seite Unterauftragsverarbeiter enthält die Mitteilung über Änderungen; nach Klausel 11 gilt die optionale unabhängige Streitbeilegung nicht; nach Klausel 13 ist die Aufsichtsbehörde die des EU-Mitgliedstaats, in dem du niedergelassen bist; nach Klausel 17 unterliegen die Klauseln dem Recht Irlands; nach Klausel 18 gehen Streitigkeiten an die Gerichte Irlands. Anhang I ist Abschnitt 2, Anhang II ist Abschnitt 7, und Anhang III ist die Seite Unterauftragsverarbeiter.
• Vereinigtes Königreich: das International Data Transfer Addendum zu den EU-Standardvertragsklauseln, herausgegeben vom britischen Information Commissioner und in Kraft seit dem 21. März 2022, ist einbezogen; die Tabellen werden durch dieselben Abschnitte ausgefüllt. Jede Partei kann das Addendum beenden, wie dessen Abschnitt 19 es erlaubt.
• Schweiz: die EU-Klauseln gelten mit den Anpassungen, die der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte verlangt: Verweise auf die DSGVO gelten als Verweise auf das DSG, der Beauftragte ist die zuständige Behörde, und die Klauseln schützen auch die Daten juristischer Personen, soweit das DSG dies tut.
• Brasilien: wo die LGPD gilt, dienen die EU-Klauseln als vertragliche Garantie für internationale Übermittlungen, bis die eigenen Standardklauseln der ANPD sie ablösen.

Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb dieser Gebiete, stützt sich die Übermittlung auf dieselben Klauseln in den Bedingungen dieses Unterauftragsverarbeiters zur Datenverarbeitung oder auf einen Angemessenheitsbeschluss, wie es die Seite Unterauftragsverarbeiter für jeden von ihnen angibt.

7Sicherheitsmaßnahmen#

Dies sind die technischen und organisatorischen Maßnahmen, die heute gelten, und sie dienen als Anhang II der Klauseln in Abschnitt 6. Die Seite Sicherheit erklärt sie in einfachen Worten.

• Hosting: alle Daten des Service liegen auf Servern, die Hetzner Online GmbH in Deutschland betreibt, in nach ISO 27001 zertifizierten Rechenzentren.
• Verschlüsselung bei der Übertragung: jede Verbindung nutzt TLS, und Browser werden angewiesen, nur HTTPS zu verwenden.
• Zugangsdaten: es gibt keine Passwörter; Anmeldecodes und Anmeldelinks sind nur einmal verwendbar, laufen nach Minuten oder nach einem Tag ab, und gespeichert werden nur ihre Hashes. Zugriffstokens für Seiten bleiben auf dem Server, werden nie an einen Browser gesendet und werden gelöscht, wenn eine Seite oder ein Facebook-Konto getrennt wird.
• Zugriffskontrolle: der Zugriff auf Produktivsysteme ist auf die Personen beschränkt, die den Service betreiben, und läuft über SSH mit Schlüssel. Im Service begrenzen vier Rollen und der Zugriff pro Seite, was jedes Teammitglied sehen kann, und wird ein Mitglied entfernt, endet sein Zugriff auf allen Geräten sofort.
• Backups und Wiederherstellung: Datenbank-Backups werden täglich erstellt und auf einen zweiten Server kopiert. Auf dem ersten verfallen sie nach 14 Tagen, auf dem zweiten nach 30 Tagen.
• Möglichst wenig Daten an Dritte: ein KI-Anbieter erhält den Text eines Kommentars, den Anzeigenamen der Person, die ihn verfasst hat, wenn eine Regel ihn braucht, und deine Regelnotizen, nie deine Kontodaten oder Seiten-Tokens. Beantwortet ein KI-Agent einen Kommentar oder eine Nachricht, erhält der Anbieter außerdem diesen Kommentar oder diese Nachricht, das Wissen und die Anweisungen, die du dem Agenten gegeben hast, und bei einer Nachricht die neuesten Nachrichten desselben Gesprächs mit dem Anzeigenamen des Absenders und dem Namen deiner Seite. Unser Zahlungsdienstleister hält die Kartendaten; wir sehen nie die vollständige Nummer.
• Geheime Werte in HTTP-Anfrage-Schritten: ein API-Schlüssel, ein Token oder ein Passwort, das du im Schritt HTTP-Anfrage eines Flows speicherst, wird mit AES-256-GCM verschlüsselt, an dein Konto gebunden, nur auf unseren Servern geöffnet, wenn die Anfrage gestellt wird, und nicht in den Verlauf der Ausführungen aufgenommen. Anfragen an Adressen in privaten Netzwerken werden abgelehnt.
• Überwachung: die Fehlerüberwachung läuft auf unseren eigenen Servern. Wenn sie aufzeichnet, wie sich ein Bildschirm bei einem Fehler verhalten hat, ist jeder Text maskiert und jedes Bild blockiert.
• Löschung: du kannst eine Seite, deine Facebook-Verbindung oder dein ganzes Konto jederzeit ohne unser Zutun löschen, und Löschungen werden mit einem Beleg bestätigt.

8Anfragen betroffener Personen#

Wenn sich jemand, dessen Daten in deinem Workspace liegen, an uns wendet, um ein Recht auszuüben (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit), antworten wir nicht in der Sache. Wir leiten die Anfrage innerhalb von fünf Arbeitstagen an den Inhaber deines Workspace weiter und helfen dir mit den Informationen, die uns vorliegen, innerhalb der Frist zu antworten, die dein Recht vorsieht. Das meiste, was eine solche Person verlangen kann, steht dir direkt im Service zur Verfügung: der Kommentar, wer ihn verfasst hat, die vorgenommenen Aktionen und die Möglichkeit, ihn zu löschen. Für eine Person in deiner Kontaktliste zeigt der Tab „Personen“ den Kontaktdatensatz, den der Service führt, und „Vergessen“ löscht diesen Datensatz zusammen mit den gespeicherten Antworten der Person und dem im Service aufbewahrten Gespräch.

9Rückgabe und Löschung#

Während der Laufzeit kannst du exportieren, was der Service zum Export anbietet, und jederzeit eine beliebige Seite, deine Facebook-Verbindung oder dein ganzes Konto löschen, wie es die Seite Datenlöschung beschreibt. Bevor du dein Konto löschst, kannst du uns per E-Mail um eine Kopie der personenbezogenen Kundendaten bitten, die wir gespeichert haben, und wir stellen sie in einem gängigen maschinenlesbaren Format bereit.

Wenn dein Konto gelöscht wird oder der Service endet, löschen wir alle personenbezogenen Kundendaten sofort. Spätestens nach 30 Tagen sind sie aus den Backups verschwunden, und jede Spur ist beseitigt. Wir behalten nur, was wir gesetzlich aufbewahren müssen, etwa Rechnungen und Zahlungsbelege, sowie die in der Datenschutzerklärung beschriebenen Löschbelege, die Zählungen und einen Bestätigungscode enthalten, aber nie Inhalte.

10Audits#

Die Seite Sicherheit, die Seite Unterauftragsverarbeiter und dieser AVV sind unsere erste Antwort auf jede Frage dazu, wie wir deine Daten schützen. Darüber hinaus beantworten wir einmal im Jahr kostenlos einen angemessenen schriftlichen Sicherheitsfragebogen von dir.

Verlangt dein Recht oder deine Aufsichtsbehörde ein Audit, kannst du oder ein unabhängiger, zur Vertraulichkeit verpflichteter Prüfer eines durchführen: höchstens einmal im Jahr, sofern eine Behörde nichts anderes verlangt, mit schriftlicher Ankündigung mindestens 30 Tage im Voraus, während der Geschäftszeiten, auf deine Kosten und so, dass weder der Service gestört wird noch Daten anderer Kunden offengelegt werden.

11Haftung#

Jede Partei haftet für den Schaden, den sie verursacht, indem sie diesen AVV oder das Gesetz nicht einhält, wie es Artikel 82 DSGVO und die entsprechenden Bestimmungen der anderen Gesetze aus Abschnitt 1 vorsehen. Die Grenzen im Abschnitt zur Haftung der Nutzungsbedingungen gelten für diesen AVV, außer wo das Gesetz dies nicht zulässt.

12Laufzeit und Änderungen#

Dieser AVV gilt, solange wir personenbezogene Kundendaten für dich verarbeiten, und seine Pflichten bestehen über das Ende der Nutzungsbedingungen hinaus fort, bis die Löschung nach Abschnitt 9 abgeschlossen ist.

Wir können diesen AVV aktualisieren, wenn sich das Gesetz, unsere Unterauftragsverarbeiter oder der Service ändern. Über wesentliche Änderungen informieren wir den Inhaber deines Workspace per E-Mail, mindestens 14 Tage bevor sie wirksam werden. Jede Fassung trägt oben ihr Datum, und frühere Fassungen gibt es auf Anfrage.

13Unterzeichnete Ausfertigung und Kontakt#

Wenn dein Compliance-Prozess eine gegengezeichnete Ausfertigung braucht, schreib von der E-Mail-Adresse deines Kontos an support@commentwatchdog.com, mit dem Betreff „Signed DPA“ und dem rechtlichen Namen und der Anschrift deines Unternehmens. Wir senden dir diesen AVV innerhalb von fünf Arbeitstagen als unterzeichnetes PDF mit deinen eingetragenen Angaben zurück.

Fragen zu diesem AVV: support@commentwatchdog.com, oder per Post an GrowMeOrganic LLC, 30 N Gould St STE R, Sheridan, WY 82801, Vereinigte Staaten.