Vereinbarung zur Auftragsverarbeitung

AUFTRAGSVERARBEITUNGSVEREINBARUNG — Fassung 1.0.0 zwischen Auftraggeber: dem jeweiligen Kunden von Findely Auftragnehmer: Growup Marketing, Inhaber Josef Nasso, Detmolderstraße 18, 33189 Schlangen, Deutschland, E-Mail: info@findely.de 1. Gegenstand und Dauer Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung und Betreuung des SEO-Abonnements und der vom Auftraggeber freigegebenen Veröffentlichungen. Die Verarbeitung beginnt mit dem Vertrag und endet nach dessen Beendigung, vorbehaltlich gesetzlicher Pflichten und der Regelungen zur Löschung. 2. Art und Zweck der Verarbeitung Verarbeitet werden Daten zur Mandantenzuordnung, Kontoverwaltung, Inhaltserstellung, Analyse freigegebener Suchleistungsdaten sowie zur Veröffentlichung ausschließlich über die vom Auftraggeber freigegebenen Kanäle und Felder. Veröffentlichungs- und OAuth-Zugänge werden AES-256-GCM-verschlüsselt gespeichert und nur serverseitig für den jeweiligen Vorgang entschlüsselt. Passwörter werden als scrypt-Hash gespeichert. 3. Datenarten und betroffene Personen Datenarten: Kunden-Stammdaten; verschlüsselte Zugangsdaten zu Veröffentlichungszielen und OAuth-Verbindungen; öffentliche Website-Inhalte; aggregierte Search-Console-Suchdaten. Betroffene Personen: der Kunde und seine Beschäftigten sowie gegebenenfalls Personen, die auf einer öffentlichen Kundenwebsite genannt sind. Eine pauschale Verarbeitung von Websitebesucherdaten ist nicht beauftragt. Besondere Kategorien personenbezogener Daten sind nicht beauftragt. 4. Weisungen Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Pflicht entgegensteht. Weisungen können über die vereinbarten Kommunikationswege oder die hierfür vorgesehenen Funktionen des Kundenbereichs erfolgen. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. 5. Vertraulichkeit Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit und setzt sie nur ein, soweit sie die Daten zur Aufgabenerfüllung benötigen. 6. Technische und organisatorische Maßnahmen Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO und überprüft sie regelmäßig. Dazu gehören insbesondere Mandantenzuordnung, die Beschränkung von Veröffentlichungen auf freigegebene Kanäle und Felder, AES-256-GCM-Verschlüsselung für Veröffentlichungs- und OAuth-Zugänge, serverseitige Entschlüsselung und scrypt-Passwort-Hashing. 7. Unterauftragsverarbeiter Anthropic PBC — Zweck: KI-gestützte Verarbeitung. Google — Zweck: Google Search Console, optional freigegebenes Google-Unternehmensprofil, Google PageSpeed Insights und Google Stitch. Stripe — Zweck: Zahlungen, Checkout und Abonnements. Replit Inc. — Zweck: Hosting und Datenbank. IONOS SE — Sitz: Deutschland; Zweck: E-Mail-Versand. Drittlandtransfer: kein Drittlandtransfer vorgesehen. Functional Software, Inc. (Sentry) — Zweck: Fehlerüberwachung über den EU-Ingest-Endpunkt in Deutschland; Nutzerkennungen, Cookies, Header, Formularinhalte und URL-Parameter werden vor dem Versand entfernt. Soweit bei einem Unterauftragsverarbeiter Daten in ein Drittland übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien im Sinne der Art. 44 ff. DSGVO, insbesondere der Standardvertragsklauseln. 8. Unterstützung Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen sowie bei Meldungen und Konsultationen, soweit die Verarbeitung im Auftrag betroffen ist. 9. Kontrollrechte Der Auftraggeber darf die Einhaltung dieser Vereinbarung nach angemessener vorheriger Ankündigung und unter Wahrung von Betriebs- und Sicherheitsinteressen kontrollieren oder durch einen zur Vertraulichkeit verpflichteten Prüfer kontrollieren lassen. 10. Löschung und Rückgabe Nach Abschluss der Verarbeitung löscht oder gibt der Auftragnehmer personenbezogene Daten nach Weisung zurück, soweit keine gesetzlichen Pflichten entgegenstehen. Der Anwendungscode enthält Löschkaskaden und ein Löschprotokoll. Für Rate-Limit- und Login-Einträge ist eine Löschung nach 24 Stunden vorgesehen; unbestätigte Newsletter-Anmeldungen werden eine Woche nach Ablauf des Bestätigungslinks gelöscht. Eine vollständige oder fristbestimmte Löschung aus Sicherungskopien wird hiermit nicht garantiert. 11. Haftung und Schlussbestimmungen Es gelten die gesetzlichen Haftungsregeln und die zwischen den Parteien vereinbarten Hauptverträge. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform, soweit rechtlich zulässig. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Die technischen und organisatorischen Maßnahmen aus Abschnitt 6 sind im Einzelnen unter Datensicherheit beschrieben.