Auftragsverarbeitungsvertrag (AVV)

§ 1 Vertragsparteien und Geltung

1. Dieser Vertrag gilt zwischen dem Kunden von rankPilot als Verantwortlichem (nachfolgend „Kunde“) und der ELEVUM LLC, 1309 Coffeen Avenue, STE 19324, Sheridan, WY 82801, USA, als Auftragsverarbeiter (nachfolgend „rankPilot“).
2. Er ist Bestandteil des Vertrags über die Nutzung der rankPilot-Plattform (Hauptvertrag) einschließlich der AGB und wird mit Abschluss des Hauptvertrags vereinbart. Er gilt für die gesamte Laufzeit des Hauptvertrags und darüber hinaus, solange rankPilot personenbezogene Daten des Kunden verarbeitet.
3. Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags vor, soweit es um den Schutz personenbezogener Daten geht.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

1. rankPilot stellt dem Kunden eine Software für lokales Online-Marketing bereit (u. a. Sichtbarkeits- und Ranking-Analysen, Erstellung und Veröffentlichung von Beiträgen, Verwaltung von Bewertungen, KI-gestützte Text- und Bilderstellung, Kontaktverwaltung). Dabei verarbeitet rankPilot personenbezogene Daten, die der Kunde in die Plattform einstellt, hochlädt, über verbundene Dienste abruft oder über von rankPilot bereitgestellte Formulare erhält.
2. Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Analysieren, Verändern, Übermitteln an verbundene Netzwerke auf Veranlassung des Kunden, Löschen.
3. Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen.

§ 3 Art der Daten und Kategorien betroffener Personen

Betroffene Personen:

• Mitarbeiter und Teammitglieder des Kunden, die die Plattform nutzen;
• Kunden, Interessenten und Kontaktpersonen des Kunden (z. B. Anfragen über Kontaktformulare, Leads);
• Verfasser von Bewertungen und Kommentaren auf Google und in sozialen Netzwerken;
• Personen, die auf vom Kunden hochgeladenen Bildern, Videos oder in Texten erkennbar sind oder genannt werden.

Arten von Daten:

• Namen, Kontaktdaten (E-Mail-Adresse, Telefonnummer), Firmen- und Funktionsangaben;
• Nachrichten- und Anfrageinhalte, Bewertungstexte, Profilnamen und öffentliche Profilangaben;
• Bild-, Video- und Sprachaufnahmen sowie Inhalte, die der Kunde selbst einstellt;
• Nutzungs- und Protokolldaten der Plattform (z. B. Anmeldezeitpunkte, Aktionen).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde stellt sicher, dass er solche Daten nicht in die Plattform einstellt.

§ 4 Weisungsgebundenheit

1. rankPilot verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, einschließlich in Bezug auf Übermittlungen in Drittländer, es sei denn, rankPilot ist gesetzlich zu einer Verarbeitung verpflichtet. In diesem Fall teilt rankPilot dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und der Nutzung der Funktionen der Plattform durch den Kunden (z. B. Verbinden eines Kanals, Veröffentlichen eines Beitrags, Löschen von Inhalten). Ergänzende Weisungen erteilt der Kunde in Textform an info@rankpilot.de.
3. Ist rankPilot der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist rankPilot den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 5 Vertraulichkeit

rankPilot setzt bei der Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Ein Zugriff auf Kundenkonten durch den rankPilot-Support erfolgt nur, soweit er zur Leistungserbringung, Fehlerbehebung oder auf Anfrage des Kunden erforderlich ist.

§ 6 Technische und organisatorische Maßnahmen

rankPilot trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage 1 beschrieben. rankPilot darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

1. Der Kunde erteilt rankPilot die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. rankPilot informiert den Kunden mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters in Textform (z. B. per E-Mail oder in der Plattform). Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters kündigen.
3. rankPilot verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.
4. Keine Unterauftragsverarbeitung sind Leistungen, die der Kunde selbst veranlasst und die eine Übermittlung an Dritte in deren eigener Verantwortung darstellen, insbesondere das Veröffentlichen von Inhalten auf Facebook, Instagram, LinkedIn oder im Google-Unternehmensprofil.

§ 8 Übermittlung in Drittländer

1. rankPilot (ELEVUM LLC) hat seinen Sitz in den USA. Die Plattform und die Daten werden auf Servern der IONOS SE in Deutschland betrieben und gespeichert; ein Zugriff aus den USA ist möglich. Einzelne Unterauftragsverarbeiter verarbeiten Daten in den USA (Anlage 2).
2. Für Übermittlungen vom Kunden an rankPilot vereinbaren die Parteien hiermit die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter), die durch Bezugnahme Bestandteil dieses Vertrags werden. Dabei gilt: Klausel 7 (Kopplungsklausel) findet keine Anwendung; Klausel 9 Buchstabe a: Option 2 (allgemeine Genehmigung) mit der Frist aus § 7 Abs. 2 dieses Vertrags; Klausel 11 Buchstabe a: die Option einer unabhängigen Streitbeilegungsstelle wird nicht gewählt; Klausel 13: zuständige Aufsichtsbehörde ist die Aufsichtsbehörde des Mitgliedstaats, in dem der Kunde niedergelassen ist; Klauseln 17 und 18: es gilt das Recht der Bundesrepublik Deutschland, zuständig sind die Gerichte in Deutschland. Die Anhänge der Standardvertragsklauseln werden durch §§ 2 und 3 sowie die Anlagen 1 und 2 dieses Vertrags ausgefüllt. Bei Widersprüchen gehen die Standardvertragsklauseln vor.
3. Für Weiterübermittlungen an Unterauftragsverarbeiter in Drittländern stellt rankPilot sicher, dass ein Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework bei zertifizierten Empfängern) oder Standardvertragsklauseln (Modul 3) bestehen.

§ 9 Unterstützung des Kunden

1. rankPilot unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person direkt an rankPilot, leitet rankPilot die Anfrage unverzüglich an den Kunden weiter.
2. rankPilot unterstützt den Kunden unter Berücksichtigung der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. rankPilot meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 10 Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Kunde seine Daten bis zum Ende der Laufzeit exportieren. Danach löscht rankPilot die Daten innerhalb von 30 Tagen, einschließlich vorhandener Kopien; Sicherungskopien werden im Rahmen des regulären Zyklus innerhalb von weiteren 30 Tagen überschrieben. Dies gilt nicht, soweit eine gesetzliche Pflicht zur Speicherung besteht. Auf Verlangen bestätigt rankPilot die Löschung in Textform.

§ 11 Nachweise und Kontrollen

rankPilot stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Der Kunde kann Überprüfungen, einschließlich Inspektionen, durch sich oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen. Inspektionen sind mit angemessener Frist, in der Regel mindestens 14 Tage, anzukündigen und während der üblichen Geschäftszeiten ohne Störung des Betriebs durchzuführen. Vorrangig erfolgt der Nachweis durch Auskünfte und Unterlagen.

§ 12 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit die Standardvertragsklauseln nichts anderes bestimmen.
2. Änderungen dieses Vertrags teilt rankPilot dem Kunden in Textform mit. Für Änderungen gilt das Verfahren zur Änderung der AGB entsprechend, soweit sie nicht durch geänderte gesetzliche Anforderungen notwendig sind.
3. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

• Rechenzentrum und Hosting: Betrieb auf Servern der IONOS SE in Rechenzentren in Deutschland; physische Zutrittskontrolle durch den Rechenzentrumsbetreiber.
• Verschlüsselung der Übertragung: Alle Verbindungen zur Plattform erfolgen ausschließlich verschlüsselt über HTTPS (TLS).
• Zugangskontrolle: Passwörter werden ausschließlich als bcrypt-Hashwert gespeichert; Anmeldelinks sind 15 Minuten, Links zum Zurücksetzen des Passworts 30 Minuten gültig und werden nur als Hashwert gespeichert; Sitzungen laufen nach spätestens 7 Tagen ab; Begrenzung von Anmelde- und Registrierungsversuchen pro IP-Adresse.
• Zugriffskontrolle: Trennung der Daten nach Kunden und Organisationen; Prüfung der Berechtigung bei jedem Zugriff auf Projekte, Dateien und Daten; Zugangstokens zu verbundenen Diensten (z. B. Google Search Console) werden verschlüsselt gespeichert; Administrationszugriff nur für berechtigte Personen.
• Weitergabekontrolle: Übermittlung an Unterauftragsverarbeiter nur über verschlüsselte Schnittstellen und nur im für die jeweilige Funktion erforderlichen Umfang.
• Verfügbarkeit und Wiederherstellung: Tägliche Datensicherung mit einer Aufbewahrung von 30 Tagen; unterbrechungsfreie Bereitstellung neuer Versionen (Blue-Green-Deployment) mit automatischer Funktionsprüfung.
• Löschkonzept: Automatisierte Löschung von Konten nach Löschantrag (30 Tage), von Protokollen nach 30 Tagen und von Sicherungen nach 30 Tagen; Löschung verbundener Zugriffe bei Drittanbietern bei Kontolöschung.
• Organisation: Verpflichtung der eingesetzten Personen auf Vertraulichkeit; vertragliche Verpflichtung der Unterauftragsverarbeiter; Überprüfung der Maßnahmen bei wesentlichen Änderungen der Plattform.

Anlage 2: Unterauftragsverarbeiter