Auftragsverarbeitungsvertrag

Dieser Vertrag gilt, wenn eine Organisation thestory.run nutzt und wir personenbezogene Daten in ihrem Auftrag verarbeiten: die Konten ihrer Mitarbeitenden, was diese schreiben, und die Verbindungen, die sie zum Veröffentlichen herstellen. Er ergänzt den Hauptvertrag über die Nutzung des Dienstes. Wie wir mit Daten allgemein umgehen, auch auf der Marketing-Website, steht in der Datenschutzerklärung.

1. Geltungsbereich

1.1 Die Swat.io GmbH, eingetragen im Firmenbuch des Handelsgerichts Wien unter FN 348798 p (die „Auftragsverarbeiterin“), verarbeitet personenbezogene Daten im Auftrag ihrer Kundin (der „Verantwortlichen“; gemeinsam die „Parteien“) auf Grundlage dieses AVV in der bei Abschluss des Hauptvertrags gültigen Fassung.

1.2 Die Auftragsverarbeiterin kann diesen AVV mit einer Frist von mindestens 30 Tagen ändern, angekündigt auf ihrer Website und gesendet an die zuletzt bekanntgegebene E-Mail-Adresse der Verantwortlichen. Widerspricht die Verantwortliche nicht innerhalb von 30 Tagen schriftlich an lab@swat.io, gilt die Änderung als angenommen. Bei rechtzeitigem Widerspruch gilt die bisherige Fassung weiter, und die Auftragsverarbeiterin kann mit einer Frist von 14 Tagen zum Monatsende kündigen.

1.3 Die Auftragsverarbeiterin führt die im Anhang beschriebene Verarbeitung (die „Datenverarbeitung“) im Rahmen des Hauptvertrags über die Nutzung des Dienstes thestory.run durch.

2. Ort der Verarbeitung

2.1 Die Datenverarbeitung findet in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Die im Anhang genannten Unterauftragsverarbeiter gelten an den dort genannten Verarbeitungsorten als genehmigt, einschließlich der dort genannten Übermittlungsgrundlagen für Unterauftragsverarbeiter mit Sitz außerhalb des EWR.

2.2 Eine Übermittlung ist dem Dienst wesenseigen und wird hier ausdrücklich genannt, damit sie keine Überraschung ist: Weist ein Nutzer der Verantwortlichen den Dienst an, einen Beitrag auf seinem eigenen LinkedIn-Profil zu veröffentlichen, werden der Text und die LinkedIn-Identität des Nutzers an LinkedIn übermittelt, das sie außerhalb des EWR verarbeitet. Diese Übermittlung erfolgt auf ausdrückliche Weisung der einzelnen Person, für einen Beitrag, der seiner Natur nach öffentlich ist (Art. 49 Abs. 1 lit. a DSGVO). Ohne LinkedIn-Verbindung findet keine solche Übermittlung statt.

2.3 Jede weitere Verlagerung der Datenverarbeitung in ein Drittland bedarf der vorherigen Zustimmung der Verantwortlichen und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

3. Pflichten der Auftragsverarbeiterin

3.1 Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen; die Konfiguration des Dienstes durch die Verantwortliche stellt eine solche Weisung dar. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, informiert sie die Verantwortliche unverzüglich. Sie kann die Ausführung der Weisung aussetzen, bis die Weisung bestätigt oder geändert wird.

3.2 Die Auftragsverarbeiterin trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Zusammengefasst: TLS bei der Übertragung; AES-256-GCM im Ruhezustand für jede im Auftrag der Verantwortlichen gehaltene Zugangsberechtigung, unter einem rotierbaren Schlüssel und gebunden an den zugehörigen Datensatz; Authentifizierungstokens ausschließlich als Hashes gespeichert; passwortlose Anmeldung über einmalig gültige, ratenbegrenzte Links; Mandantentrennung, die bei jeder Abfrage durchgesetzt und durch eine eigene Testsuite abgedeckt wird; sowie ein ausschließlich anfügendes Protokoll verändernder Handlungen.

Die vollständigen und jeweils aktuellen technischen und organisatorischen Maßnahmen sind unter thestory.run/de/tom veröffentlicht. Sie werden dort aktuell gehalten und nicht in diesem Vertrag festgeschrieben, damit eine Verbesserung der Sicherheit dann wirksam wird, wenn sie umgesetzt wird. Die Maßnahmen werden nicht unter das in dieser Ziffer beschriebene Niveau abgesenkt.

3.3 Die Auftragsverarbeiterin verpflichtet jede zur Verarbeitung befugte Person zur Vertraulichkeit und unterweist sie über die daraus folgenden Pflichten.

3.4 Die Auftragsverarbeiterin unterstützt die Verantwortliche bei der Beantwortung von Anfragen betroffener Personen und bei der Erfüllung ihrer Pflichten nach Art. 32 bis 36 DSGVO und leitet unmittelbar an sie gerichtete Anfragen unverzüglich weiter.

3.5 Die Auftragsverarbeiterin meldet der Verantwortlichen unverzüglich jede Verletzung des Schutzes personenbezogener Daten, die deren Daten betrifft, mit den Angaben, die die Verantwortliche für ihre eigenen Meldepflichten benötigt.

3.6 Mit Beendigung des Hauptvertrags speichert die Auftragsverarbeiterin die personenbezogenen Daten der Verantwortlichen weitere 30 Tage, damit die Verantwortliche sie exportieren kann. Danach werden die Daten gelöscht. Die Verantwortliche kann jederzeit die sofortige Löschung verlangen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Unabhängig von dieser Frist führt die Trennung des LinkedIn-Kontos durch eine einzelne nutzende Person zur sofortigen Löschung der Zugangsberechtigung und der für sie gehaltenen LinkedIn-Kennungen.

3.7 Die Auftragsverarbeiterin informiert die Verantwortliche über Prüfungen und Anordnungen von Aufsichtsbehörden, soweit diese die Verarbeitung nach diesem Vertrag betreffen und soweit die Erteilung dieser Information rechtlich zulässig ist.

3.8 Die Auftragsverarbeiterin verwendet weder die personenbezogenen Daten der Verantwortlichen noch die von deren Nutzenden verfassten Inhalte zum Training von Modellen des maschinellen Lernens, weder eigener noch fremder.

4. Unterauftragsverarbeiter

4.1 Die Verantwortliche genehmigt den Einsatz von Unterauftragsverarbeitern. Die im Anhang genannten gelten mit Vertragsschluss als genehmigt.

4.2 Die Auftragsverarbeiterin informiert die Verantwortliche über jeden beabsichtigten Wechsel eines Unterauftragsverarbeiters. Die Verantwortliche kann innerhalb von 30 Werktagen nach der Mitteilung schriftlich an lab@swat.io widersprechen; ohne rechtzeitigen Widerspruch gilt der Wechsel als genehmigt.

4.3 Setzt die Auftragsverarbeiterin einen Unterauftragsverarbeiter ein, schließt sie mit diesem eine Vereinbarung nach Art. 28 Abs. 4 DSGVO, die dieselben Pflichten auferlegt wie dieser AVV.

5. Kontroll- und Überprüfungsrechte

5.1 Die Verantwortliche kann die Datenverarbeitung im Einvernehmen mit der Auftragsverarbeiterin selbst oder durch eine prüfende Person überprüfen, nach angemessener Vorankündigung, während der Geschäftszeiten und höchstens einmal in zwölf Monaten. Weist die Auftragsverarbeiterin die ordnungsgemäße Umsetzung ihrer Pflichten nach, beschränken sich die Prüfungen auf Stichproben.

5.2 Die Auftragsverarbeiterin stellt die Informationen bereit, die die Verantwortliche zum Nachweis der Einhaltung von Art. 28 DSGVO benötigt.

5.3 Für eine Überprüfung je zwölf Monate in angemessenem Umfang trägt die Auftragsverarbeiterin ihre eigenen internen Kosten. Übersteigt der Umfang einer Überprüfung das angemessene Maß oder werden zusätzliche Überprüfungen verlangt, informiert die Auftragsverarbeiterin die Verantwortliche und legt eine Kostenschätzung vor; die Beauftragung und die dadurch entstehenden Kosten trägt dann die Verantwortliche. Ihre eigenen Kosten sowie die Kosten externer Prüferinnen und Prüfer trägt die Verantwortliche in jedem Fall.

6. Vergütung

6.1 Die Vergütung nach dem Hauptvertrag deckt die hier geregelten Pflichten der Auftragsverarbeiterin ab. Unterstützung, die über das nach der DSGVO Erforderliche hinausgeht, sowie Prüfungen über die Häufigkeit nach Ziffer 5.1 hinaus können zu den üblichen Sätzen der Auftragsverarbeiterin verrechnet werden.

7. Laufzeit

7.1 Dieser AVV läuft so lange wie der Hauptvertrag und endet mit ihm. Pflichten, die ihrer Natur nach fortwirken, insbesondere Vertraulichkeit und Löschung, bleiben bestehen.

8. Schlussbestimmungen

8.1 Es gilt österreichisches Recht unter Ausschluss seiner Verweisungsnormen und des UN-Kaufrechts.

8.2 Die Haftung der Parteien richtet sich nach den Bestimmungen der AGB. Der in den AGB vereinbarte Gerichtsstand gilt für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag.

8.3 Dieser Vertrag wird in englischer und deutscher Sprache bereitgestellt. Verbindlich ist ausschließlich die englische Fassung; die deutsche Fassung ist eine Übersetzung und dient der Information.

8.4 Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag bestehen.

Anhang: Beschreibung der Datenverarbeitung

1. Gegenstand

Bereitstellung von thestory.run: ein Coaching-Produkt, mit dem die Mitarbeitenden der Verantwortlichen Beiträge für ihre eigenen beruflichen Social-Media-Profile schreiben, deren Veröffentlichung planen, sie veröffentlichen und sich im Team abstimmen.

2. Dauer

Die Dauer des Hauptvertrags.

3. Art und Zweck

• Speichern und Anzeigen von Konten, Organisationen, Teams und Rollen.
• Speichern dessen, was Nutzende schreiben: Ideen, Entwürfe, fertige Beiträge, Coach-Gespräche und geteilte Erfolge, und Kolleginnen und Kollegen nur das anzeigen, was die Konfiguration der Verantwortlichen erlaubt (einen fertigen oder veröffentlichten Beitrag; nie einen unfertigen Entwurf).
• Senden des Textes, an dem eine Person arbeitet, an ein großes Sprachmodell, um die Fragen und Anmerkungen des Coaches zu erzeugen.
• Auf Weisung der einzelnen Person Veröffentlichen eines Beitrags auf deren eigenem LinkedIn-Profil und Aufbewahren des dafür nötigen Zugriffstokens.
• Versenden transaktionaler E-Mails: Anmeldelinks und Benachrichtigungen, um die die Person gebeten hat.
• Optional Senden kurzer Abstimmungsnachrichten in den eigenen Slack-Workspace der Verantwortlichen.

4. Kategorien personenbezogener Daten

• Kontaktdaten: E-Mail-Adresse, Name, optionales Profilbild.
• Nutzungs- und Sitzungsdaten: Anmeldezeitpunkte, IP-Adresse und User-Agent einer Sitzung, Handlungen in der Organisation.
• Inhaltsdaten: alles, was die Person im Produkt schreibt, einschließlich der Coach-Gespräche.
• Verbindungsdaten: LinkedIn-Personenkennung, LinkedIn-Profilname, eine Kopie des LinkedIn-Profilbilds und ein verschlüsseltes LinkedIn-Zugriffstoken.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO fragt der Dienst nicht ab. Was eine Person zu schreiben wählt, ist ihre Sache; das Produkt fragt nicht danach.

5. Kategorien betroffener Personen

Mitarbeitende und Auftragnehmende der Verantwortlichen, die den Dienst nutzen, sowie Personen, die ihn administrieren.

6. Genehmigte Unterauftragsverarbeiter

Amazon Web Services EMEA SARL: 38 Avenue John F. Kennedy, L-1855 Luxemburg

Anwendungshosting, Datenbank, Dateispeicher und transaktionale E-Mails, alles in eu-central-1 (Frankfurt); Modellinferenz über Amazon Bedrock unter einem EU-Inferenzprofil; statisches Hosting und CDN für die Marketing-Website.

PostHog, Inc.: Vereinigte Staaten

Produktanalyse. Verarbeitung und Speicherung finden ausschließlich in der EU Cloud (Frankfurt) statt. Für einen Zugriff aus den USA gelten die Standardvertragsklauseln der Europäischen Kommission.

Slack Technologies, LLC: Vereinigte Staaten

Optionale Übermittlung von Abstimmungsnachrichten (Thema und verfassende Person, nicht der Inhalt) in den eigenen Slack-Workspace der Verantwortlichen. Wird nur genutzt, wenn die Verantwortliche die Funktion aktiviert. Die Übermittlung in die USA stützt sich auf die Zertifizierung nach dem EU-US Data Privacy Framework.

LinkedIn ist kein Unterauftragsverarbeiter: LinkedIn ist Empfänger und handelt auf die eigene Veröffentlichungsweisung der einzelnen Person, wie in Ziffer 2.2 beschrieben.

Anbieterin und Kontakt

Swat.io GmbH: Datenschutzkontakt lab@swat.io, Unternehmensangaben unter swat.io/de/impressum.