Auftrags-verarbeitung.

Soweit Sie in Ihrem Workspace personenbezogene Daten verarbeiten – etwa Daten Ihrer Teammitglieder, von Personen, die in Ihren Medien zu sehen oder zu hören sind, Daten aus Ihren verbundenen Social-Media-Konten oder Daten Ihres Publikums –, sind Sie Verantwortliche/r im Sinne von Art. 4 Nr. 7 DSGVO. [Firmenname] [Rechtsform (falls zutreffend)] verarbeitet diese Daten als Auftragsverarbeiter ausschließlich in Ihrem Auftrag und nach Ihren Weisungen.

Für Daten, die wir für eigene Zwecke verarbeiten (z. B. Vertragsabwicklung, Abrechnung, Sicherheit und Missbrauchsabwehr), sind wir selbst Verantwortliche; hierzu informiert unsere Datenschutzerklärung.

Gegenstand ist die Bereitstellung der Software-as-a-Service-Plattform flect gemäß unseren AGB. Die Auftragsverarbeitung dauert so lange wie der Hauptvertrag und darüber hinaus bis zur vollständigen Löschung bzw. Rückgabe der Daten nach Vertragsende.

• Hosting und Betrieb der Anwendung sowie Speicherung von Inhalten und Medien
• Verarbeitung von Eingaben (Prompts, Medien, Texte) durch KI-Anbieter, wenn Sie eine Generierung starten
• Planung und Veröffentlichung von Beiträgen auf verbundenen Social-Media-Konten in Ihrem Auftrag, einschließlich Autopilot innerhalb der von Ihnen festgelegten Regeln
• Abruf von Kennzahlen (Metriken) und öffentlichen Profildaten über die offiziellen Plattform-Schnittstellen
• Zusammenarbeit im Team (Kommentare, Freigaben, Aufgaben, Einladungen) sowie Support

• Stammdaten und Kontaktdaten von Workspace-Mitgliedern (Name, E-Mail-Adresse, Rolle)
• Inhaltsdaten: Texte, Bilder, Videos, Audiodateien, Prompts, Kommentare, Vorlagen und Markenprofile
• Stimmdaten, soweit Sie Voice Cloning nutzen (biometrieähnliche Daten; nur mit dokumentierter Einwilligung der sprechenden Person)
• Daten verbundener Social-Media-Konten: Zugriffstoken (verschlüsselt), öffentliche Profildaten, Beitrags- und Kennzahlen
• Nutzungs- und Protokolldaten (z. B. Audit-Logs mit IP-Adressen)

• Ihre Beschäftigten, Teammitglieder und eingeladene Gäste
• Personen, die in Ihren Inhalten und Medien erscheinen oder deren Stimme verwendet wird
• Ihre Kundinnen und Kunden sowie Geschäftspartner, soweit in Inhalten enthalten
• Follower und Publikum Ihrer verbundenen Social-Media-Konten, soweit in Kennzahlen oder Kommentaren enthalten

Ihre Weisungen erteilen Sie grundsätzlich durch die Nutzung und Konfiguration des Produkts (z. B. Einstellungen, Rollen, Agentenregeln, Veröffentlichungsplanung). Darüber hinausgehende Weisungen sind in Textform zu erteilen und werden dokumentiert. Wir informieren Sie unverzüglich, wenn eine Weisung nach unserer Auffassung gegen Datenschutzrecht verstößt.

Alle Personen, die Zugriff auf Ihre Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

• Transportverschlüsselung (TLS) für alle Verbindungen
• Verschlüsselung von OAuth-Zugriffstoken und sonstigen Geheimnissen im Ruhezustand mit AES-256-GCM
• Passwörter ausschließlich als gesalzener scrypt-Hash gespeichert
• Rollenbasierte Zugriffskontrolle (Owner, Admin, Manager, Editor, Viewer) mit serverseitiger Prüfung
• Mandantentrennung: Jede Datenbankabfrage auf Workspace-Daten ist auf den jeweiligen Workspace beschränkt
• Audit-Logging sicherheitsrelevanter Vorgänge
• Rate Limiting und Schutz vor Brute-Force-Anmeldeversuchen
• Datensicherungen entsprechend der jeweiligen Hosting-Konfiguration
• Administrativer Zugriff nach dem Prinzip der minimalen Berechtigung

Die Maßnahmen werden regelmäßig überprüft und dem Stand der Technik angepasst. Eine ausführliche Beschreibung ist Anlage des unterzeichneten AVV.

Wir setzen die folgenden Kategorien von Unterauftragsverarbeitern ein – jeweils nur, soweit sie vom Betreiber konfiguriert und für die genutzte Funktion erforderlich sind:

Über beabsichtigte Änderungen bei Unterauftragsverarbeitern informieren wir Sie vorab in Textform. Sie können der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb einer angemessenen Frist widersprechen; im Fall eines berechtigten Widerspruchs können Sie den Vertrag außerordentlich kündigen.

Soweit Unterauftragsverarbeiter Daten in Ländern außerhalb der EU bzw. des EWR (insbesondere in den USA) verarbeiten, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses, insbesondere des EU-US Data Privacy Framework für zertifizierte Anbieter, oder auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), gegebenenfalls mit ergänzenden Maßnahmen.

• Unterstützung bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO), u. a. durch Export- und Löschfunktionen im Produkt
• Unterstützung bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation)
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie uns bekannt geworden sind

Vor Vertragsende können Sie Ihre Daten über die Exportfunktion (Einstellungen → Datenschutz) herunterladen. Nach Vertragsende bzw. nach Löschung des Workspace löschen wir die Daten innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Kopien in Datensicherungen werden im Rahmen der regulären Rotation überschrieben.

Wir stellen Ihnen auf Anfrage die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Überprüfungen einschließlich Inspektionen sind nach angemessener Vorankündigung, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs möglich.

Den unterzeichneten Auftragsverarbeitungsvertrag fordern Sie bitte per E-Mail an [E-Mail-Adresse] an. Geben Sie dabei den Namen Ihres Unternehmens und den Namen Ihres Workspace an.