Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeiter: Opus Growth, eine Handelsmarke von Talat KOÇ, einem in der Türkei eingetragenen Einzelunternehmen (Finanzamt Gökalp). Kontakt: support@opus-growth.com

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Nutzungsbedingungen von Opus Growth (der "Vertrag") und gilt automatisch für jeden Kunden, der sie akzeptiert (der "Kunde"). Er regelt die personenbezogenen Daten, die Opus Growth bei der Erbringung des Opus Growth Dienstes (der "Dienst") im Auftrag des Kunden verarbeitet. Eine gesonderte Unterschrift ist nicht erforderlich. Wenn Sie für Ihre Unterlagen ein gegengezeichnetes Exemplar benötigen, schreiben Sie an support@opus-growth.com.

Dies ist eine Übersetzung. Bei Abweichungen gilt der englische Text.

1. Begriffsbestimmungen#

Begriffe wie "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "betroffene Person", "Verletzung des Schutzes personenbezogener Daten" und "Aufsichtsbehörde" haben die Bedeutung aus der Verordnung (EU) 2016/679 ("DSGVO"). "SCC" bezeichnet die Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission.

2. Rollen und Geltungsbereich#

• Der Kunde ist Verantwortlicher für die in Anlage I beschriebenen personenbezogenen Daten, und Opus Growth verarbeitet sie als Auftragsverarbeiter. Handelt der Kunde selbst als Auftragsverarbeiter für seinen eigenen Auftraggeber, ist Opus Growth Unterauftragsverarbeiter des Kunden, und der Kunde bestätigt, dass sein Auftraggeber dem zugestimmt hat.
• Die Werbe- und Analyseplattformen, die der Kunde verbindet (etwa Google, Meta, Microsoft, TikTok, LinkedIn und ChatGPT Ads von OpenAI), und der KI-Assistent, mit dem der Kunde den Dienst nutzt (etwa Claude von Anthropic oder ChatGPT von OpenAI), erbringen ihre Leistungen für den Kunden auf Grundlage der eigenen Verträge des Kunden mit ihnen. Sie sind keine Unterauftragsverarbeiter von Opus Growth. Opus Growth tauscht Daten mit ihnen nur auf Weisung des Kunden aus.
• Dieser AVV gilt nicht für Daten, die Opus Growth als eigenständiger Verantwortlicher verarbeitet, etwa Konto-, Abrechnungs- und Supportdaten der eigenen Nutzer des Kunden. Für diese Daten gilt unsere Datenschutzerklärung.

3. Weisungen#

Opus Growth verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen, sofern es nicht gesetzlich dazu verpflichtet ist; in diesem Fall teilt es dies dem Kunden vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet. Der Vertrag, dieser AVV und die Nutzung und Konfiguration des Dienstes durch den Kunden, einschließlich der Anfragen über den KI-Assistenten des Kunden und der dort erteilten Freigaben, sind die dokumentierten Weisungen des Kunden. Änderungen an verbundenen Werbekonten werden erst ausgeführt, nachdem der Kunde eine Vorschau gesehen und die Änderung freigegeben hat. Opus Growth informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

4. Vertraulichkeit#

Opus Growth stellt sicher, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind und nur in dem Umfang Zugriff haben, der zur Erbringung, Sicherung und Unterstützung des Dienstes erforderlich ist.

5. Sicherheit#

Opus Growth setzt die in Anlage II beschriebenen technischen und organisatorischen Maßnahmen um. Es darf sie aktualisieren, sofern das Gesamtschutzniveau nicht sinkt.

6. Unterauftragsverarbeiter#

• Der Kunde erteilt Opus Growth die allgemeine Genehmigung, die in Anlage III aufgeführten Unterauftragsverarbeiter einzusetzen.
• Opus Growth aktualisiert Anlage III auf dieser Seite und informiert die Kunden per E-Mail mindestens 30 Tage, bevor ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können die Parteien den Widerspruch nicht ausräumen, kann der Kunde den betroffenen Teil des Dienstes kündigen und erhält im Voraus gezahlte Entgelte für die Restlaufzeit anteilig zurück.
• Opus Growth erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als die dieses AVV, und bleibt dem Kunden gegenüber für dessen Pflichterfüllung verantwortlich.

7. Unterstützung#

• Opus Growth unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO. Erhält Opus Growth einen solchen Antrag direkt, leitet es ihn unverzüglich an den Kunden weiter und antwortet ohne Weisung nicht selbst.
• Opus Growth unterstützt den Kunden unter Berücksichtigung der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus den Artikeln 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultationen.

8. Datenschutzverletzungen#

Opus Growth benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem es von einer Verletzung des Schutzes personenbezogener Daten des Kunden Kenntnis erlangt hat. Die Meldung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Opus Growth liefert weitere Informationen, sobald sie vorliegen, und ergreift angemessene Schritte zur Eindämmung und Behebung der Verletzung.

9. Löschung und Rückgabe#

Bei Beendigung des Dienstes oder früher auf Verlangen des Kunden löscht Opus Growth die personenbezogenen Daten des Kunden innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Das Trennen einer Plattform löscht den dafür gespeicherten Zugriffstoken sofort. Gelöschte Daten verschwinden innerhalb von höchstens 12 Monaten aus den verschlüsselten Backups von Opus Growth, wenn diese rotieren, und werden daraus nur zur Wiederherstellung des Dienstes zurückgespielt. Vor der Löschung kann der Kunde die im Dienst verfügbaren Daten über seinen KI-Assistenten oder das Panel exportieren.

10. Informationen und Prüfungen#

Opus Growth stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO und dieses AVV erforderlich sind. Der Kunde fordert diese Informationen zunächst schriftlich an, etwa mit einem Sicherheitsfragebogen, den Opus Growth in angemessener Frist beantwortet. Reichen die Informationen nicht aus, kann der Kunde oder ein zur Vertraulichkeit verpflichteter unabhängiger Prüfer einmal innerhalb von 12 Monaten oder nach einer Datenschutzverletzung eine Prüfung durchführen, mit mindestens 30 Tagen Vorankündigung, während der Geschäftszeiten, ohne den Dienst zu stören oder die Sicherheit und Vertraulichkeit der Daten anderer Kunden zu gefährden, und auf eigene Kosten des Kunden.

11. Internationale Übermittlungen#

• Opus Growth speichert die personenbezogenen Daten des Kunden in der Europäischen Union, in Deutschland und Finnland (Anlage III).
• Opus Growth hat seinen Sitz in der Türkei; ein Zugriff auf die personenbezogenen Daten aus der Türkei kann daher eine Übermittlung in ein Drittland darstellen. Soweit die DSGVO auf eine solche Übermittlung anwendbar ist, schließen die Parteien die SCC ab, die durch Verweis Bestandteil dieses AVV sind: Modul Zwei (Verantwortlicher an Auftragsverarbeiter) oder Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Kunde als Auftragsverarbeiter handelt, mit dem Kunden als Datenexporteur und Opus Growth als Datenimporteur.
• Für die SCC gilt: Klausel 7 (Kopplungsklausel) findet Anwendung; nach Klausel 9(a) gilt Option 2 (allgemeine schriftliche Genehmigung) mit der Frist von 30 Tagen aus Abschnitt 6; die fakultative Formulierung in Klausel 11 findet keine Anwendung; nach Klausel 13 ist die nach Anlage I.C bestimmte Aufsichtsbehörde zuständig; nach Klausel 17 unterliegen die SCC dem Recht des EU-Mitgliedstaats, in dem der Kunde niedergelassen ist, sofern dieses Rechte Dritter als Begünstigte vorsieht, andernfalls irischem Recht; nach Klausel 18 sind die Gerichte desselben Mitgliedstaats zuständig. Die Anlagen I, II und III dieses AVV ergänzen die Anhänge I, II und III der SCC.
• Opus Growth übermittelt personenbezogene Daten an einen Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums nur, wenn ein Angemessenheitsbeschluss oder ein anderes Übermittlungsinstrument nach Kapitel V DSGVO besteht.

12. Haftung, Laufzeit und Vorrang#

• Die Haftung der Parteien aus diesem AVV unterliegt den Haftungsbeschränkungen des Vertrags, soweit diese nach DSGVO oder SCC zulässig sind.
• Dieser AVV gilt, solange Opus Growth personenbezogene Daten im Auftrag des Kunden verarbeitet.
• Bei Widersprüchen gehen die SCC diesem AVV und dieser AVV dem Vertrag vor.

Anlage I: Beschreibung der Verarbeitung#

A. Parteien. Datenexporteur: der Kunde als Verantwortlicher (oder Auftragsverarbeiter, siehe Abschnitt 2), der den Dienst zur Verwaltung seiner eigenen oder der digitalen Werbung und Analyse seiner Kunden nutzt. Datenimporteur: Opus Growth wie oben angegeben, als Auftragsverarbeiter (oder Unterauftragsverarbeiter), der den Dienst erbringt.

B. Beschreibung der Verarbeitung.

• Betroffene Personen: Mitarbeitende des Kunden, die den Dienst nutzen; Personen, deren Daten in den verbundenen Werbe- und Analysekonten des Kunden liegen, etwa Personen, die ein Lead-Formular ausgefüllt haben, und Personen auf Kundenlisten, die für Zielgruppen oder Conversion-Messung hochgeladen wurden; Besucher von Websites des Kunden, auf denen er das Klickschutz-Tag von Opus Growth installiert oder die er bei Opus Growth hostet.
• Personenbezogene Daten: Namen, E-Mail-Adressen und Telefonnummern aus Lead-Formularen und Kundenlisten, oft als Einweg-Hashwerte; Online-Kennungen wie Klick-IDs, IP-Adressen und Browserinformationen; Conversion- und Interaktionsdaten; Kontakt- und Formulardaten auf Websites, die der Kunde bei Opus Growth hostet; Namen und E-Mail-Adressen der Nutzer des Kunden.
• Besondere Kategorien: nicht vorgesehen. Der Kunde darf den Dienst nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten nutzen.
• Häufigkeit: fortlaufend, solange der Kunde den Dienst nutzt.
• Art der Verarbeitung: Lesen von Daten aus den verbundenen Plattformen, wenn der Kunde oder sein KI-Assistent dies anfordert; Strukturieren und Zusammenfassen; Übermitteln an den KI-Assistenten und die Berichte, die der Kunde wählt; Änderungen in den verbundenen Plattformen nach Freigabe durch den Kunden; Speichern der unten beschriebenen begrenzten Daten; Hosting von Websites, wenn der Kunde AI Server nutzt.
• Zweck: Erbringung des Dienstes nach dem Vertrag.
• Speicherdauer: Werbe- und Messdaten werden bei Bedarf von der Plattform gelesen und nicht vollständig kopiert. Opus Growth speichert nur, was eine Funktion braucht, etwa die letzten Berichtszusammenfassungen, vom Kunden geteilte Berichtslinks und bis zu 30 Minuten für Data Studio zwischengespeicherte Daten; diese werden mit dem Konto gelöscht. Klickschutz-Einträge werden 90 Tage gespeichert. Zugriffstoken bleiben gespeichert, bis die Plattform getrennt oder das Konto gelöscht wird. Die vollständige Liste steht in Abschnitt 4 der Datenschutzerklärung.
• Unterauftragsverarbeiter: wie in Anlage III aufgeführt, mit gleicher Art, gleichem Zweck und gleicher Dauer.

C. Zuständige Aufsichtsbehörde. Die Aufsichtsbehörde des EU-Mitgliedstaats, in dem der Kunde niedergelassen ist, oder, wenn der Kunde nicht in der EU niedergelassen ist, die Aufsichtsbehörde des Mitgliedstaats, in dem sein Vertreter nach Artikel 27 Absatz 1 DSGVO niedergelassen ist.

Anlage II: Technische und organisatorische Maßnahmen#

• Verschlüsselung bei der Übertragung: jeder Zugriff auf den Dienst, seine API und den Connector erfolgt über HTTPS mit TLS.
• Verschlüsselung im Ruhezustand: Zugriffs- und Aktualisierungstoken sowie API-Schlüssel verbundener Plattformen werden mit authentifizierter symmetrischer Verschlüsselung (Fernet) mit Schlüsselrotation gespeichert. Backups werden verschlüsselt, bevor sie den Server verlassen.
• Datenminimierung: Werbedaten werden bei Bedarf gelesen und nicht vollständig kopiert; gespeichert werden nur die Zusammenfassungen, die eine Funktion braucht.
• Hosting: Server in Rechenzentren von Hetzner in Deutschland, mit einer laufend replizierten, schreibgeschützten Standby-Datenbank und verschlüsselten Backups in Finnland.
• Zugriffskontrolle: administrativer Serverzugriff nur mit SSH-Schlüsseln von autorisierten Rechnern hinter Firewalls; Datenbankreplikation über ein privates Netz; Prinzip der geringsten Rechte für Mitarbeitende.
• Nutzerauthentifizierung: Anmeldung mit Google oder mit Passwort und einem per E-Mail gesendeten Einmalcode; Einmalcodes gelten 15 Minuten und sind einmal verwendbar; Nutzer können verbundene KI-Anwendungen im Panel einsehen und trennen.
• Änderungskontrolle in Kundenkonten: jede Änderung an einem verbundenen Werbekonto wird als Vorschau gezeigt und erst nach ausdrücklicher Freigabe ausgeführt; Budgetänderungen sind pro Änderung und pro 24 Stunden begrenzt; alle Aktionen werden in einem Aktivitätsprotokoll erfasst, das der Kunde einsehen kann.
• Isolierung gehosteter Websites: jeder AI Server läuft in einem eigenen isolierten Container mit Ressourcengrenzen, eingeschränktem ausgehendem Netzwerkzugriff und schreibgeschütztem Basissystem.
• Verfügbarkeit und Belastbarkeit: unterbrechungsfreie Deployments mit Health-Checks, eine Hot-Standby-Datenbank und regelmäßige, überwachte Backups mit getesteter Wiederherstellung.
• Überwachung und Vorfallbehandlung: Dienststatus und Fehler werden mit maskierten personenbezogenen Inhalten protokolliert; Datenschutzverletzungen werden wie in Abschnitt 8 beschrieben behandelt.
• Löschung: Kontolöschung innerhalb von 30 Tagen, sofortige Löschung von Token beim Trennen und Backup-Rotation innerhalb von 12 Monaten.

Anlage III: Unterauftragsverarbeiter#

• Hetzner Online GmbH (Deutschland): Server, Datenbank, Website-Hosting, Standby-Datenbank und Backups. Standort: Falkenstein, Deutschland und Helsinki, Finnland. Übermittlungsinstrument: nicht erforderlich, Verarbeitung innerhalb der EU.
• Cloudflare, Inc. (USA): Netzwerkauslieferung, TLS-Terminierung und Schutz vor Angriffen für Website, Panel und Connector (Daten bei der Übertragung). Standort: globales Netz von Cloudflare; jede Anfrage wird im Rechenzentrum verarbeitet, das dem Besucher am nächsten liegt. Übermittlungsinstrument: EU-US Data Privacy Framework und SCC.
• Google LLC / Google Ireland Limited: E-Mail über Google Workspace für Dienstnachrichten wie Berichtslinks und Benachrichtigungen. Standort: EU und USA. Übermittlungsinstrument: EU-US Data Privacy Framework und SCC.