Auftragsverarbeitungsvertrag

zwischen dem Kunden der Plattform Branddoq als Verantwortlichem („Kunde") und der today is day one UG (haftungsbeschränkt), Rotebühlstraße 44, 70178 Stuttgart, als Auftragsverarbeiterin („Branddoq")

1. Gegenstand und Dauer

Branddoq verarbeitet personenbezogene Daten im Auftrag des Kunden im Rahmen der Bereitstellung der Plattform Branddoq gemäß den Allgemeinen Geschäftsbedingungen („Hauptvertrag"). Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags einschließlich der Exportfrist von 30 Tagen nach Vertragsende.

2. Art und Zweck der Verarbeitung

Speicherung, Bereitstellung, Anzeige, Vervielfältigung (Vorschaubilder, Exporte), Übermittlung an vom Kunden berechtigte Nutzer und, soweit der Kunde KI-Funktionen nutzt, Übermittlung von Inhalten an den Unterauftragsverarbeiter Anthropic zur Erzeugung von Vorschlägen und Prüfergebnissen. Zweck ist ausschließlich der Betrieb der Brand Guides des Kunden.

3. Art der personenbezogenen Daten

• Stamm- und Zugangsdaten der vom Kunden angelegten Nutzer: Name, E-Mail-Adresse, Passwort (als Hash), Rolle, Zuordnung zu Brand Guides und Seiten.
• Nutzungsdaten: Zeitpunkte von Anmeldungen, Server-Protokolle.
• Inhaltsdaten in Brand Guides und Mediapool, soweit sie Personenbezug haben: etwa Fotos und Namen von Mitarbeitenden, Ansprechpartnerdaten, E-Mail-Signaturen.
• Inhalte, die Nutzer in KI-Funktionen eingeben.

4. Kategorien betroffener Personen

Mitarbeitende, Dienstleister und Geschäftspartner des Kunden, die als Nutzer angelegt sind; Personen, die in Kundeninhalten abgebildet oder genannt werden; Besucher der veröffentlichten Brand Guides (Server-Protokolle).

5. Weisungen und Pflichten des Kunden

Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, die Information der betroffenen Personen und die Rechtmäßigkeit der von ihm hochgeladenen Inhalte verantwortlich. Er informiert Branddoq unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt, und benennt einen Ansprechpartner für Datenschutzfragen.

Branddoq verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen erfolgen durch die Nutzung der Plattform (etwa Anlegen von Nutzern, Hochladen und Veröffentlichen von Inhalten, Löschen) und ergänzend in Textform an hello@branddoq.io. Hält Branddoq eine Weisung für datenschutzrechtlich unzulässig, weist sie den Kunden darauf hin und darf die Ausführung bis zur Bestätigung durch den Kunden aussetzen.

6. Vertraulichkeit

Branddoq verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit und stellt sicher, dass sie die Daten nur weisungsgemäß verarbeiten. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutritt und Zugang: Rechenzentrum des Hosting-Anbieters mit Zutrittskontrolle; Serverzugriff nur verschlüsselt (SSH) mit personengebundenen Zugangsdaten; Administrationsoberfläche nur für benannte Personen.
• Zugriff: rollenbasiertes Berechtigungssystem (Administrator, Editor, Viewer); Mandantentrennung über die Zuordnung jedes Datensatzes zu genau einem Brand Guide; seitenbezogene Zugriffsbeschränkungen für Viewer.
• Weitergabe: TLS-Verschlüsselung aller Verbindungen; geschützte Auslieferung von Mediapool-Dateien über authentifizierte Routen; keine Übermittlung an Dritte außer den in Ziffer 9 genannten Unterauftragsverarbeitern.
• Eingabe: Protokollierung von Veröffentlichungen und Änderungen mit Zeitstempel; Server-Protokolle.
• Verfügbarkeit: redundante Stromversorgung und Netzanbindung des Rechenzentrums; Überwachung der Erreichbarkeit; tägliche Sicherungskopien (Dateien, Datenbank, Konfiguration) mit einer Aufbewahrung von mindestens 14 Tagen und Benachrichtigung bei fehlgeschlagener Sicherung; Exportfunktionen (ZIP, PDF), mit denen der Kunde seine Inhalte jederzeit selbst sichern kann.
• Trennung: getrennte Umgebungen für Entwicklung und Produktion; keine Echtdaten in Testumgebungen.
• Anwendungssicherheit: serverseitige Prüfung hochgeladener Dateitypen, Bereinigung von SVG-Dateien, Schutz vor Cross-Site-Request-Forgery, Content-Security-Policy, Passwort-Hashing, zeitnahe Sicherheitsupdates von Framework und Serversoftware.
• Organisation: benannter Ansprechpartner für Datenschutz und Informationssicherheit; Prozess zur Meldung von Sicherheitsvorfällen (Ziffer 8); regelmäßige Überprüfung der Maßnahmen.

Branddoq darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Branddoq informiert den Kunden unverzüglich, spätestens 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, die Daten des Kunden betreffen, mit den zu diesem Zeitpunkt verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO, und unterstützt den Kunden bei seinen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

9. Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung	Garantie
VHUG Technologies OÜ, Lõõtsa tn 5, 11415 Tallinn, Estland (Registernummer 17334484)	Hosting, Betrieb und Verwaltung der Server (Rechenzentrumsstandort Deutschland)	Estland / Deutschland	Auftragsverarbeitungsvertrag
IONOS SE, Elgendorfer Str. 57, 56410 Montabaur	Versand von Transaktions-E-Mails	Deutschland	Auftragsverarbeitungsvertrag
VON HELDEN UND GESTALTEN GmbH, Rotebühlstraße 44, 70178 Stuttgart	Kundenbetreuung, Support, Gestaltungsleistungen im Auftrag von Branddoq	Deutschland	Konzerninterne Vereinbarung / Auftragsverarbeitungsvertrag
Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA	KI-Funktionen, nur bei Nutzung durch den Kunden	USA	Data Processing Addendum mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Stripe (Zahlungsabwicklung) verarbeitet ausschließlich Stammdaten des Kunden selbst für den eigenen Vertrag mit Branddoq und keine Daten, die Branddoq im Auftrag des Kunden verarbeitet; Stripe ist deshalb kein Unterauftragsverarbeiter im Sinne dieses AVV.

Branddoq informiert den Kunden mindestens vier Wochen vor dem Einsatz weiterer oder dem Wechsel von Unterauftragsverarbeitern in Textform (E-Mail an die Kontoadresse). Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Im Fall des Widerspruchs kann jede Partei den Hauptvertrag hinsichtlich der betroffenen Leistung mit einer Frist von einem Monat kündigen. Branddoq verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses AVV.

10. Löschung und Rückgabe

Nach Ende des Hauptvertrags entscheidet der Kunde innerhalb von 30 Tagen, ob Branddoq die Daten zurückgibt oder löscht. Für die Rückgabe kann der Kunde seine Inhalte über die Exportfunktionen der Plattform sichern oder einen Export in einem gängigen, maschinenlesbaren Format bei Branddoq anfordern. Nach Ablauf der Frist oder nach erfolgter Rückgabe löscht Branddoq alle Kundeninhalte und Nutzerdaten; Sicherungskopien werden im regulären Turnus überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Die Löschung wird auf Anfrage in Textform bestätigt.

11. Unterstützung, Nachweise, Kontrollen

Branddoq unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) und stellt die dafür benötigten Informationen innerhalb von fünf Werktagen nach Anforderung bereit; Anfragen betroffener Personen, die unmittelbar bei Branddoq eingehen, leitet Branddoq unverzüglich an den Kunden weiter. Branddoq unterstützt den Kunden ferner bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO) und stellt alle zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen bereit. Der Kunde darf die Einhaltung einmal jährlich sowie bei konkretem Anlass nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten überprüfen oder durch einen zur Vertraulichkeit verpflichteten Dritten überprüfen lassen. Branddoq kann zunächst auf aktuelle Prüfberichte und Zertifikate ihrer Unterauftragsverarbeiter verweisen. Aufwand, der über eine Auskunft in Textform hinausgeht, wird nach Aufwand vergütet, soweit die Kontrolle keinen Verstoß von Branddoq offenlegt.

12. Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gilt Ziffer 11 der Allgemeinen Geschäftsbedingungen. Bußgelder, die einer Partei wegen eines eigenen Verstoßes auferlegt werden, trägt diese Partei allein.

13. Ort der Verarbeitung

Die Verarbeitung findet in der Europäischen Union statt. Übermittlungen in Drittländer erfolgen nur über die in Ziffer 9 genannten Unterauftragsverarbeiter auf Grundlage der dort genannten Garantien (Art. 44 ff. DSGVO).

14. Schlussbestimmungen

Änderungen dieses AVV bedürfen der Textform; Ziffer 13 der Allgemeinen Geschäftsbedingungen gilt entsprechend. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser AVV vor. Es gilt deutsches Recht; Gerichtsstand ist Stuttgart.