Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") wird zwischen Ihnen, dem Kunden ("Sie", der Verantwortliche), und Taras Shynkarenko, handelnd als AdaptlyPost, NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Polen ("AdaptlyPost", der Auftragsverarbeiter), geschlossen.

Er gilt, wenn Sie über AdaptlyPost (der "Service") personenbezogene Daten verarbeiten, zum Beispiel Daten über Ihre Kunden, Teammitglieder oder Ihr Publikum. Er ist durch Verweis Bestandteil unserer Nutzungsbedingungen, und Sie nehmen ihn an, indem Sie den Service nutzen. Eine Unterschrift ist nicht nötig. Wenn Sie ein gegengezeichnetes Exemplar möchten, schreiben Sie an contact@adaptlypost.com.

1. Begriffsbestimmungen

Begriffe wie "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "betroffene Person", "Verletzung des Schutzes personenbezogener Daten" und "Aufsichtsbehörde" haben die Bedeutung, die ihnen die DSGVO (Verordnung (EU) 2016/679) gibt.

"Kundendaten" sind personenbezogene Daten, die AdaptlyPost bei der Erbringung des Service in Ihrem Auftrag verarbeitet. "Unterauftragsverarbeiter" ist ein Dritter, den AdaptlyPost mit der Verarbeitung von Kundendaten beauftragt.

2. Rollen

Sie sind der Verantwortliche für die Kundendaten, und AdaptlyPost ist Ihr Auftragsverarbeiter. Wenn Sie selbst als Auftragsverarbeiter für einen anderen Verantwortlichen handeln, ist AdaptlyPost Ihr Unterauftragsverarbeiter, und Sie bestätigen, dass Ihr Verantwortlicher dies genehmigt hat.

Für Daten, die AdaptlyPost zu eigenen Zwecken verarbeitet, etwa Ihr Konto, die Abrechnung, die Sicherheit und die eigene Website, ist AdaptlyPost eigenständiger Verantwortlicher. Diese Verarbeitung regelt unsere Datenschutzerklärung, nicht dieser AVV.

3. Gegenstand, Dauer, Art und Zweck

• •

  Gegenstand: die Erbringung des Service nach den Nutzungsbedingungen.

• •

  Dauer: solange Sie den Service nutzen und bis die Daten nach Abschnitt 13 gelöscht oder zurückgegeben sind.

• •

  Art: Speichern, Ordnen, Umwandeln, Übermitteln und Löschen von Daten. Dazu gehören das Veröffentlichen von Inhalten in den sozialen Netzwerken, die Sie verbinden, das Erzeugen der KI-Inhalte, die Sie anfordern, das Erfassen von Analysedaten und das Versenden von Benachrichtigungen.

• •

  Zweck: den Service so bereitzustellen, zu betreiben und Support dafür zu leisten, wie es die Nutzungsbedingungen und Ihre Weisungen beschreiben. AdaptlyPost nutzt Kundendaten nicht, um KI-Modelle zu trainieren oder feinabzustimmen.

4. Arten personenbezogener Daten und betroffene Personen

Je nachdem, wie Sie den Service nutzen, können Kundendaten Folgendes umfassen:

• •

  Ihre Teammitglieder und eingeladenen Nutzer: Namen, E-Mail-Adressen und Rollen

• •

  Verbundene Social-Media-Konten: Konto-IDs, Namen, Handles, Profilbilder und Zugriffstokens

• •

  Inhalte: Beiträge, Captions, Kommentare, Bilder, Videos und Dokumente, die Sie erstellen, hochladen oder planen, und alle darin enthaltenen personenbezogenen Daten

• •

  Analysedaten: Interaktions- und Zielgruppenstatistiken, die die sozialen Netzwerke liefern

• •

  KI-Eingaben und -Ausgaben: Prompts, Texte und Bilder, die Sie an KI-Funktionen senden, und die Ergebnisse

• •

  Technische Daten: IP-Adressen, Gerätedaten und Logs

Betroffene Personen sind Ihre Teammitglieder und andere Nutzer, die Sie einladen, die Inhaber der Konten, die Sie verbinden, und Personen, die in Ihren Inhalten vorkommen oder mit ihnen interagieren, etwa Ihre Kunden, Follower und Ihr Publikum.

Der Service ist nicht für besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO) oder Daten über strafrechtliche Verurteilungen ausgelegt. Laden Sie solche Daten nicht hoch, es sei denn, Sie haben dafür eine Rechtsgrundlage.

5. Ihre Weisungen und Pflichten

AdaptlyPost verarbeitet Kundendaten nur auf Ihre dokumentierte Weisung, auch in Bezug auf Übermittlungen außerhalb des Europäischen Wirtschaftsraums (EWR), sofern nicht EU-Recht oder polnisches Recht etwas anderes verlangt. In diesem Fall teilt AdaptlyPost Ihnen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Ihre Weisungen sind die Nutzungsbedingungen, dieser AVV und die Art, wie Sie den Service einrichten und nutzen. AdaptlyPost informiert Sie unverzüglich, wenn es der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der EU oder der Mitgliedstaaten verstößt.

Sie sind dafür verantwortlich, dass es für die Verarbeitung eine Rechtsgrundlage gibt, dass die Daten richtig sind und dass betroffene Personen die Informationen erhalten, auf die sie Anspruch haben.

6. Pflichten von AdaptlyPost

Wie Artikel 28 Absatz 3 DSGVO es verlangt, verpflichtet sich AdaptlyPost,

• •

  (a) Kundendaten nur auf Ihre dokumentierte Weisung zu verarbeiten, wie in Abschnitt 5 beschrieben;

• •

  (b) sicherzustellen, dass sich alle zur Verarbeitung von Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Abschnitt 7);

• •

  (c) die nach Artikel 32 DSGVO erforderlichen Sicherheitsmaßnahmen zu ergreifen (Abschnitt 8);

• •

  (d) Unterauftragsverarbeiter nur unter den Bedingungen in Abschnitt 9 in Anspruch zu nehmen;

• •

  (e) Sie mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte zu beantworten (Abschnitt 11);

• •

  (f) Sie unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung Ihrer Pflichten aus den Artikeln 32 bis 36 DSGVO zu Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation zu unterstützen (Abschnitte 8, 11 und 12);

• •

  (g) nach Ende des Service Kundendaten nach Ihrer Wahl zu löschen oder zurückzugeben, sofern nicht EU-Recht oder polnisches Recht eine Speicherung verlangt (Abschnitt 13);

• •

  (h) Ihnen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung von Artikel 28 DSGVO nötig sind, und Überprüfungen, einschließlich Inspektionen, zu ermöglichen und dazu beizutragen (Abschnitt 14).

7. Vertraulichkeit

AdaptlyPost gewährt Zugriff auf Kundendaten nur Personen, die ihn brauchen, um den Service bereitzustellen, zu warten oder Support dafür zu leisten. Jede dieser Personen ist zur Vertraulichkeit verpflichtet, und diese Pflicht besteht auch nach dem Ende ihrer Tätigkeit für AdaptlyPost fort.

8. Sicherheitsmaßnahmen

AdaptlyPost trifft geeignete technische und organisatorische Maßnahmen zum Schutz der Kundendaten und berücksichtigt dabei den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken für betroffene Personen. Dazu gehören:

• •

  Hosting in der EU: Anwendungsserver und Datenbank laufen bei Hetzner in Helsinki, Finnland. Datenbank-Backups werden bei Hetzner in Falkenstein, Deutschland, gespeichert. Mediendateien werden in Cloudflare R2 in der EU gespeichert.

• •

  Verschlüsselung bei der Übertragung: Alle Verbindungen zum Service nutzen TLS.

• •

  Verschlüsselte Zugangsdaten: OAuth-Zugriffs- und Aktualisierungstokens verbundener Social-Media-Konten werden mit AES-256 verschlüsselt.

• •

  Zugriffskontrolle: Zugriff auf Produktivsysteme haben nur die Personen, die ihn brauchen, und Workspace-Rollen und -Berechtigungen legen fest, was jedes Mitglied Ihres Teams sehen und tun kann.

• •

  Zwei-Faktor-Anmeldung: Jede Person kann die Zwei-Faktor-Authentifizierung mit einer Authenticator-App, SMS- oder E-Mail-Codes einschalten. Danach braucht jede Änderung eines Faktors und das Löschen des Kontos einen Code.

• •

  Backups: stündliche Datenbank-Backups, die 3 Tage aufbewahrt werden, danach ein Backup pro Tag für bis zu 14 Tage, mit Wiederherstellung auf einen beliebigen Zeitpunkt.

• •

  Protokollierung und Überwachung: Anwendungslogs und Traces zur Erkennung von Fehlern, Missbrauch und Sicherheitsvorfällen, die bis zu 90 Tage aufbewahrt werden.

AdaptlyPost kann diese Maßnahmen mit der Zeit anpassen, solange das Schutzniveau insgesamt nicht sinkt.

9. Unterauftragsverarbeiter

Sie erteilen AdaptlyPost eine allgemeine Genehmigung, Unterauftragsverarbeiter in Anspruch zu nehmen. Die aktuelle Liste steht auf unserer Seite zu Unterauftragsverarbeitern.

AdaptlyPost informiert Sie über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, indem es diese Seite mindestens 30 Tage vor dem Beginn der Verarbeitung von Kundendaten durch den neuen Unterauftragsverarbeiter aktualisiert. Wenn Sie diese Hinweise per E-Mail erhalten möchten, schreiben Sie an contact@adaptlypost.com.

Sie können innerhalb dieser 30 Tage aus nachvollziehbaren datenschutzrechtlichen Gründen Einspruch gegen einen neuen Unterauftragsverarbeiter erheben, indem Sie an contact@adaptlypost.com schreiben. AdaptlyPost sucht dann nach Treu und Glauben gemeinsam mit Ihnen nach einer Lösung. Wird keine gefunden, können Sie die Nutzung des Service beenden, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung Ihrer Daten beginnt.

AdaptlyPost erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die dasselbe Schutzniveau wie dieser AVV bieten, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. AdaptlyPost haftet Ihnen gegenüber in vollem Umfang dafür, dass jeder Unterauftragsverarbeiter seine Pflichten erfüllt.

10. Internationale Übermittlungen

AdaptlyPost hostet den Service in der EU. Einige Unterauftragsverarbeiter verarbeiten Daten außerhalb des EWR, wie auf der Seite zu Unterauftragsverarbeitern angegeben.

AdaptlyPost übermittelt Kundendaten nur dann außerhalb des EWR, wenn eine gültige Absicherung nach Kapitel V DSGVO besteht: ein Angemessenheitsbeschluss, einschließlich des EU-US Data Privacy Framework, wenn der Empfänger danach zertifiziert ist, oder andernfalls die Standardvertragsklauseln aus dem Durchführungsbeschluss (EU) 2021/914 der Kommission, mit Modul 2 (Verantwortlicher an Auftragsverarbeiter) oder Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), je nachdem, welches Modul zu den Rollen der Parteien passt.

11. Unterstützung bei Anträgen betroffener Personen und Folgenabschätzungen

Unter Berücksichtigung der Art der Verarbeitung unterstützt AdaptlyPost Sie dabei, Anträge betroffener Personen zu beantworten, etwa auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch. Viele Anträge können Sie selbst im Service bearbeiten: Sie können Beiträge, Workspaces und verbundene Konten bearbeiten und löschen, Analysen als CSV, XLSX oder PDF exportieren und Beiträge und Entwürfe über die REST-API abrufen. Für alles andere schreiben Sie an contact@adaptlypost.com.

Erhält AdaptlyPost einen Antrag zu Kundendaten direkt von einer betroffenen Person, leitet es den Antrag an Sie weiter und beantwortet ihn nicht selbst, es sei denn, Sie weisen es dazu an oder das Gesetz verlangt es.

AdaptlyPost stellt Ihnen außerdem die Informationen zur Verfügung, die Sie vernünftigerweise für eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation der Aufsichtsbehörde brauchen, wenn das Gesetz eine solche verlangt.

12. Verletzungen des Schutzes personenbezogener Daten

AdaptlyPost meldet Ihnen eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem ihm die Verletzung bekannt wurde. Die Meldung geht an die E-Mail-Adresse des Inhabers Ihres Kontos.

Die Meldung beschreibt, soweit die Informationen vorliegen: die Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; die wahrscheinlichen Folgen; die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen; und eine Anlaufstelle für weitere Informationen. Wenn nicht alles sofort bekannt ist, stellt AdaptlyPost die Informationen schrittweise ohne weitere unangemessene Verzögerung zur Verfügung.

AdaptlyPost unterstützt Sie dabei, Ihre eigenen Pflichten zur Meldung an die Aufsichtsbehörde und zur Benachrichtigung betroffener Personen zu erfüllen. Eine Meldung ist kein Eingeständnis von Verschulden oder Haftung.

13. Löschung und Rückgabe von Daten

Nach Ende des Service entscheiden Sie, ob AdaptlyPost Kundendaten löscht oder zurückgibt. Sie können Ihre Daten vorher selbst exportieren (Abschnitt 11) oder per E-Mail an contact@adaptlypost.com eine Rückgabe oder einen vollständigen Export anfordern. AdaptlyPost beantwortet solche Anfragen innerhalb von 30 Tagen.

Sie können Ihr Konto in den Einstellungen löschen. Wenn Sie Eigentümer einer Organisation mit weiteren Mitgliedern sind, übertragen Sie zuerst die Eigentümerschaft oder entfernen Sie die anderen Mitglieder. Wenn Sie Ihr Konto löschen, werden Ihr gesamter KI-Verlauf und die Organisationen gelöscht, in denen Sie das einzige Mitglied sind, mit ihren Workspaces, verbundenen Konten und Beiträgen, und ein aktives Abonnement wird gekündigt. Die Löschung wird sofort wirksam. Sie können uns auch per E-Mail an contact@adaptlypost.com bitten, Ihre Daten zu löschen, und wir löschen sie innerhalb von 30 Tagen.

Gelöschte Daten verschwinden innerhalb von 21 Tagen aus unseren Backups. Bis dahin bleiben die Backups durch diesen AVV geschützt und werden für keinen anderen Zweck genutzt. AdaptlyPost speichert Kundendaten nur dann länger, wenn EU-Recht oder polnisches Recht es verlangt, und nur für diesen Zweck.

14. Audits

AdaptlyPost stellt Ihnen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO nötig sind. Auf Anfrage beantwortet es zunächst schriftliche Fragen und stellt Unterlagen bereit, etwa diesen AVV, die Liste der Unterauftragsverarbeiter und eine Beschreibung seiner Sicherheitsmaßnahmen.

Reichen diese Informationen zum Nachweis nicht aus oder verlangt eine Aufsichtsbehörde es, können Sie AdaptlyPost überprüfen, auch durch eine Inspektion vor Ort, selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer. Sie müssen das Audit mit angemessener Frist schriftlich ankündigen, es während der üblichen Geschäftszeiten ohne unzumutbare Störungen durchführen und seine Kosten tragen.

15. Haftung

Die Haftung jeder Partei nach diesem AVV unterliegt den Haftungsbeschränkungen und -ausschlüssen in den Nutzungsbedingungen. Das beschränkt weder die Haftung einer Partei gegenüber betroffenen Personen nach Artikel 82 DSGVO noch eine Haftung, die gesetzlich nicht beschränkt werden kann.

16. Laufzeit, Vorrang und Änderungen

Dieser AVV gilt, solange AdaptlyPost Kundendaten für Sie verarbeitet. Widerspricht dieser AVV den Nutzungsbedingungen, hat dieser AVV für die Verarbeitung personenbezogener Daten Vorrang.

AdaptlyPost kann diesen AVV aktualisieren, um Änderungen des Rechts oder des Service abzubilden. Es veröffentlicht die neue Version auf dieser Seite und aktualisiert das Datum oben. Eine Aktualisierung senkt den Schutz der Kundendaten nicht.

17. Anwendbares Recht

Dieser AVV unterliegt polnischem Recht. Zuständig sind die Gerichte in Gdańsk, Polen, wie in den Nutzungsbedingungen festgelegt. Die Rechte betroffener Personen und die Befugnisse der Aufsichtsbehörden bleiben davon unberührt.

18. Kontakt

Für alle Fragen zu diesem AVV, auch für ein gegengezeichnetes Exemplar, schreiben Sie an contact@adaptlypost.com.

Taras Shynkarenko (handelnd als AdaptlyPost), NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Polen.