Auftragsverarbeitungsvertrag

Dieser Vertrag zur Auftragsverarbeitung („AVV“) gilt zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und Widchat, Inh. Kilian Hauber, Am Rosengarten 18B, 79183 Waldkirch, als Auftragsverarbeiter („Auftragnehmer“). Er wird mit Annahme der AGB Bestandteil des Hauptvertrags über die Nutzung von Widchat. Auf Wunsch stellen wir eine unterzeichnete Fassung bereit.

1. Gegenstand und Dauer

1.1 Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die Software Widchat gemäß Hauptvertrag bereitzustellen.

1.2 Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

2. Art, Zweck und Umfang der Verarbeitung

Art der Verarbeitung	Speichern, Empfangen, Senden, Anzeigen, automatisiertes Verarbeiten nach den vom Auftraggeber eingerichteten Flows, Exportieren und Löschen
Zweck	Kommunikation des Auftraggebers mit seinen Kontakten über WhatsApp und weitere verbundene Kanäle, Automatisierung dieser Kommunikation, gemeinsame Bearbeitung im Team
Arten von Daten	Telefonnummern und Kanal-Kennungen, Profilnamen, Nachrichteninhalte und Medien, Zeitstempel und Zustellstatus, Antworten und Variablen aus Flows, vom Auftraggeber gespeicherte Merkmale und Notizen, Einwilligungs- und Abmeldestatus
Betroffene Personen	Kontakte des Auftraggebers (Kunden, Interessenten, Bewerber und andere Personen, die über verbundene Kanäle kommunizieren); bei Agenturen zusätzlich Mitarbeiter und Kontakte der Endkunden

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sollen nur verarbeitet werden, wenn der Auftraggeber dafür eine Rechtsgrundlage hat und geeignete Schutzmaßnahmen trifft.

3. Weisungen

3.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Weisungen sind der Hauptvertrag, die Einstellungen und Aktionen des Auftraggebers in Widchat sowie Weisungen in Textform.

3.2 Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

4. Pflichten des Auftragnehmers

4.1 Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.

4.2 Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

4.3 Er unterstützt den Auftraggeber im angemessenen Umfang bei der Erfüllung der Rechte betroffener Personen, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde. Anfragen von Betroffenen, die beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter.

4.4 Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

4.5 Er verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung oder zum Training von KI-Modellen.

5. Unterauftragsverarbeiter

5.1 Der Auftraggeber genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter. Der Auftragnehmer darf weitere oder andere Unterauftragsverarbeiter einsetzen, wenn er den Auftraggeber mindestens vier Wochen vorher in Textform informiert. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

5.2 Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

5.3 Meta: Den Vertrag über die Nutzung der WhatsApp Business Platform schließt der Auftraggeber (bzw. sein Endkunde) direkt mit Meta. Meta ist daher kein Unterauftragsverarbeiter des Auftragnehmers. Für die Verarbeitung durch Meta gelten die Vereinbarungen zwischen dem Auftraggeber und Meta.

6. Agenturen

Nutzt eine Agentur Widchat für ihre Endkunden, ist die Agentur gegenüber dem Auftragnehmer der Auftraggeber. Ist die Agentur ihrerseits Auftragsverarbeiter ihres Endkunden, ist der Auftragnehmer deren Unterauftragsverarbeiter. Die Agentur stellt sicher, dass ihr Vertrag mit dem Endkunden den Einsatz von Widchat erlaubt, und gibt Weisungen und Anfragen des Endkunden an den Auftragnehmer weiter.

7. Übermittlung in Drittländer

Der Auftragnehmer verarbeitet die Daten in Deutschland bzw. der EU. Eine Übermittlung in Drittländer erfolgt nur, soweit in Anlage 2 angegeben und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

8. Kontrollen

Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach, zum Beispiel durch Beschreibungen der Maßnahmen oder Zertifikate seiner Unterauftragsverarbeiter. Darüber hinaus darf der Auftraggeber nach rechtzeitiger Anmeldung, in der Regel mindestens 30 Tage vorher, während der Geschäftszeiten Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, die den Betrieb nicht unverhältnismäßig stören. Den Aufwand für Vor-Ort-Kontrollen trägt der Auftraggeber.

9. Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer sie, einschließlich Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Daten in Backups werden mit deren regulärem Überschreiben nach höchstens 30 weiteren Tagen gelöscht.

10. Haftung und Rangfolge

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in Fragen des Datenschutzes vor.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Hosting in zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland (ISO 27001) mit Zutrittskontrolle durch den Betreiber
• Zugriff auf Server nur per SSH-Schlüssel, Administrationszugänge mit Zwei-Faktor-Authentifizierung
• Rollen- und Rechtekonzept in der Anwendung; jeder Datensatz ist einem Workspace zugeordnet und nur für dessen berechtigte Nutzer sichtbar
• Datenbank nicht aus dem Internet erreichbar
• Passwörter nur als kryptografischer Hash, Zugriffsschlüssel von Meta mit AES-256 verschlüsselt gespeichert

Integrität

• Übertragung ausschließlich verschlüsselt (TLS)
• Prüfung der Signatur aller eingehenden Webhooks von Meta
• Protokollierung von Anmeldungen und wichtigen Änderungen

Verfügbarkeit und Belastbarkeit

• tägliche Sicherung der Datenbank, Aufbewahrung höchstens 30 Tage
• Schutz vor Überlastungsangriffen über Cloudflare
• Überwachung der Dienste und automatische Neustarts

Verfahren zur regelmäßigen Überprüfung

• regelmäßige Sicherheitsupdates von Betriebssystem, Datenbank und Abhängigkeiten
• Überprüfung dieser Maßnahmen mindestens jährlich und bei wesentlichen Änderungen

Unterauftragsverarbeiter

Anlage 2: Liste der genehmigten Unterauftragsverarbeiter.

Anbieter	Leistung	Ort der Verarbeitung	Garantie bei Drittland
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Server, Datenbank, Backups	Deutschland	–
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA	DNS, Reverse Proxy, Schutz vor Angriffen (Verbindungsdaten, verschlüsselter Datenverkehr)	EU und weltweit	EU-U.S. Data Privacy Framework, Standardvertragsklauseln

Für den Versand von E-Mails und für die Zahlungsabwicklung nehmen wir Anbieter erst in diese Liste auf, wenn sie eingesetzt werden, und informieren Kunden nach Ziffer 5.1.