Auftragsverarbeitungsvertrag

**zwischen dem Kunden der Plattform Branddoq als Verantwortlichem („Kunde") und der today is day one UG (haftungsbeschränkt), Rotebühlstraße 44, 70178 Stuttgart, als Auftragsverarbeiterin („Branddoq")**


## 1. Gegenstand, Dauer, Rollen

Branddoq verarbeitet personenbezogene Daten im Auftrag des Kunden im Rahmen der Bereitstellung der Plattform Branddoq gemäß den Allgemeinen Geschäftsbedingungen („Hauptvertrag"). Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags einschließlich der Exportfrist von 30 Tagen nach Vertragsende. Die Pflichten aus Ziffer 6, 7, 8 und 10 gelten darüber hinaus fort, bis alle Daten des Kunden einschließlich Sicherungskopien und Kopien bei Unterauftragsverarbeitern gelöscht oder zurückgegeben sind.

Der Kunde ist in der Regel Verantwortlicher. Verarbeitet der Kunde die Daten selbst als Auftragsverarbeiter für einen Dritten (etwa eine Agentur, die Brand Guides für ihre Endkunden betreibt), ist Branddoq weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 4 DSGVO. Der Kunde sichert in diesem Fall zu, dass sein Auftraggeber den Einsatz von Branddoq und der in Ziffer 9 genannten Unterauftragsverarbeiter genehmigt hat, und gibt die Pflichten dieses AVV in seinem eigenen Auftragsverarbeitungsvertrag weiter. Weisungen erteilt gegenüber Branddoq allein der Kunde; Anfragen des Endkunden oder betroffener Personen, die unmittelbar bei Branddoq eingehen, leitet Branddoq an den Kunden weiter.

## 2. Art und Zweck der Verarbeitung

Speicherung, Bereitstellung, Anzeige, Vervielfältigung (Vorschaubilder, Exporte), Übermittlung an vom Kunden berechtigte Nutzer und, soweit der Kunde KI-Funktionen nutzt, Übermittlung von Inhalten an den Unterauftragsverarbeiter Anthropic zur Erzeugung von Vorschlägen und Prüfergebnissen. Zweck ist ausschließlich der Betrieb der Brand Guides des Kunden.

## 3. Art der personenbezogenen Daten

- Stamm- und Zugangsdaten der vom Kunden angelegten Nutzer: Name, E-Mail-Adresse, Passwort (als Hash), Rolle, Zuordnung zu Brand Guides und Seiten.
- Nutzungsdaten: Zeitpunkte von Anmeldungen, Server-Protokolle.
- Inhaltsdaten in Brand Guides und Mediapool, soweit sie Personenbezug haben: etwa Fotos und Namen von Mitarbeitenden, Ansprechpartnerdaten, E-Mail-Signaturen.
- Inhalte, die Nutzer in KI-Funktionen eingeben.

## 4. Kategorien betroffener Personen

Mitarbeitende, Dienstleister und Geschäftspartner des Kunden, die als Nutzer angelegt sind; Personen, die in Kundeninhalten abgebildet oder genannt werden; Besucher der veröffentlichten Brand Guides (Server-Protokolle).

## 5. Weisungen und Pflichten des Kunden

Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, die Information der betroffenen Personen und die Rechtmäßigkeit der von ihm hochgeladenen Inhalte verantwortlich. Er informiert Branddoq unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt, und benennt einen Ansprechpartner für Datenschutzfragen.

Branddoq verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen erfolgen durch die Nutzung der Plattform (etwa Anlegen von Nutzern, Hochladen und Veröffentlichen von Inhalten, Löschen) und ergänzend in Textform an hello@branddoq.io. Hält Branddoq eine Weisung für datenschutzrechtlich unzulässig, weist sie den Kunden unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung aussetzen, bis der Kunde die Weisung geändert oder ihre Rechtmäßigkeit nachvollziehbar dargelegt hat. Eine Weisung, deren Ausführung offensichtlich gegen die DSGVO oder andere Datenschutzvorschriften verstoßen würde, darf Branddoq ablehnen.

## 6. Vertraulichkeit

Branddoq verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit und stellt sicher, dass sie die Daten nur weisungsgemäß verarbeiten. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

## 7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

- **Zutritt und Zugang:** Rechenzentrum des Hosting-Anbieters mit Zutrittskontrolle; Serverzugriff nur verschlüsselt (SSH) mit personengebundenen Zugangsdaten; Administrationsoberfläche nur für benannte Personen.
- **Zugriff:** rollenbasiertes Berechtigungssystem (Administrator, Editor, Viewer); Mandantentrennung über die Zuordnung jedes Datensatzes zu genau einem Brand Guide; seitenbezogene Zugriffsbeschränkungen für Viewer.
- **Weitergabe:** TLS-Verschlüsselung aller Verbindungen; geschützte Auslieferung von Mediapool-Dateien über authentifizierte Routen; keine Übermittlung an Dritte außer den in Ziffer 9 genannten Unterauftragsverarbeitern.
- **Eingabe:** Protokollierung von Veröffentlichungen und Änderungen mit Zeitstempel; Server-Protokolle.
- **Verfügbarkeit:** redundante Stromversorgung und Netzanbindung des Rechenzentrums; Überwachung der Erreichbarkeit; tägliche Sicherungskopien (Dateien, Datenbank, Konfiguration) mit einer Aufbewahrung von mindestens 14 Tagen und Benachrichtigung bei fehlgeschlagener Sicherung; Exportfunktionen (ZIP, PDF), mit denen der Kunde seine Inhalte jederzeit selbst sichern kann.
- **Trennung:** getrennte Umgebungen für Entwicklung und Produktion; keine Echtdaten in Testumgebungen.
- **Anwendungssicherheit:** serverseitige Prüfung hochgeladener Dateitypen, Bereinigung von SVG-Dateien, Schutz vor Cross-Site-Request-Forgery, Content-Security-Policy, Passwort-Hashing, zeitnahe Sicherheitsupdates von Framework und Serversoftware.
- **Organisation:** benannter Ansprechpartner für Datenschutz und Informationssicherheit; Prozess zur Meldung von Sicherheitsvorfällen (Ziffer 8); regelmäßige Überprüfung der Maßnahmen.

Branddoq darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

## 8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Branddoq informiert den Kunden unverzüglich, spätestens 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, die Daten des Kunden betreffen, mit den zu diesem Zeitpunkt verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO, und unterstützt den Kunden bei seinen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

## 9. Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:

| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung | Garantie |
| --- | --- | --- | --- |
| VHUG Technologies OÜ, Lõõtsa tn 5, 11415 Tallinn, Estland (Registernummer 17334484) | Hosting, Betrieb und Verwaltung der Server (Rechenzentrumsstandort Deutschland) | Estland / Deutschland | Auftragsverarbeitungsvertrag |
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Versand von Transaktions-E-Mails | Deutschland | Auftragsverarbeitungsvertrag |
| VON HELDEN UND GESTALTEN GmbH, Rotebühlstraße 44, 70178 Stuttgart | Kundenbetreuung, Support, Gestaltungsleistungen im Auftrag von Branddoq | Deutschland | Konzerninterne Vereinbarung / Auftragsverarbeitungsvertrag |
| Asana, Inc., 633 Folsom Street, Suite 100, San Francisco, CA 94107, USA | Bearbeitung von Support-Anfragen, die Nutzer des Kunden aus dem Kundenportal senden (Anfragetext, Nutzerkennung, Projektname, Paket) | USA | Zertifizierung unter dem EU-US Data Privacy Framework (Art. 45 DSGVO); ergänzend Data Processing Addendum mit EU-Standardvertragsklauseln |
| Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA | KI-Funktionen, nur bei Nutzung durch den Kunden; Eingaben und Ausgaben werden dort in der Regel innerhalb von 30 Tagen gelöscht, bei Verdacht auf Verstoß gegen die Nutzungsrichtlinien bis zu zwei Jahre gespeichert | USA | Data Processing Addendum mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |

Stripe (Zahlungsabwicklung) verarbeitet ausschließlich Stammdaten des Kunden selbst für den eigenen Vertrag mit Branddoq und keine Daten, die Branddoq im Auftrag des Kunden verarbeitet; Stripe ist deshalb kein Unterauftragsverarbeiter im Sinne dieses AVV.

Branddoq informiert den Kunden mindestens vier Wochen vor dem Einsatz weiterer oder dem Wechsel von Unterauftragsverarbeitern in Textform (E-Mail an die Kontoadresse). Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Widerspricht der Kunde fristgerecht, übermittelt Branddoq keine Daten des Kunden an den neuen Unterauftragsverarbeiter, bis die Parteien eine Lösung gefunden haben oder der Hauptvertrag hinsichtlich der betroffenen Leistung beendet ist; kann Branddoq die betroffene Leistung ohne den Unterauftragsverarbeiter nicht erbringen, ruht sie für den Kunden, und die Vergütung entfällt für diesen Teil anteilig. Kommt keine Lösung zustande, kann jede Partei den Hauptvertrag hinsichtlich der betroffenen Leistung mit einer Frist von einem Monat kündigen. Branddoq verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses AVV.

## 10. Löschung und Rückgabe

Nach Ende des Hauptvertrags entscheidet der Kunde innerhalb von 30 Tagen, ob Branddoq die Daten zurückgibt oder löscht. Für die Rückgabe kann der Kunde seine Inhalte bis zum Vertragsende über die Exportfunktionen der Plattform sichern oder innerhalb der Frist in Textform einen Export in einem gängigen, maschinenlesbaren Format anfordern; Branddoq stellt ihn innerhalb von 14 Tagen nach der Anforderung zum Abruf bereit (Einzelheiten in Ziffer 9.5 der AGB). Nach Ablauf der Frist oder nach erfolgter Rückgabe löscht Branddoq alle Kundeninhalte und Nutzerdaten aus den Produktivsystemen. Sicherungskopien werden im regulären Turnus von etwa vier Wochen überschrieben, sodass die Daten spätestens acht Wochen nach Vertragsende vollständig entfernt sind; werden in dieser Zeit Daten aus einer Sicherungskopie wiederhergestellt, löscht Branddoq die bereits gelöschten Daten des Kunden unverzüglich erneut. Bis zur vollständigen Löschung gelten die Schutzpflichten dieses AVV fort. Branddoq veranlasst die Löschung auch bei den Unterauftragsverarbeitern nach Ziffer 9. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Die Löschung wird auf Anfrage in Textform bestätigt.

## 11. Unterstützung, Nachweise, Kontrollen

Branddoq unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) und stellt die dafür benötigten Informationen innerhalb von fünf Werktagen nach Anforderung bereit; Anfragen betroffener Personen, die unmittelbar bei Branddoq eingehen, leitet Branddoq unverzüglich an den Kunden weiter. Branddoq unterstützt den Kunden ferner bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO) und stellt alle zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen bereit. Der Kunde darf die Einhaltung einmal jährlich sowie bei konkretem Anlass nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten überprüfen oder durch einen zur Vertraulichkeit verpflichteten Dritten überprüfen lassen. Branddoq kann zunächst auf aktuelle Prüfberichte und Zertifikate ihrer Unterauftragsverarbeiter verweisen. Aufwand, der über eine Auskunft in Textform hinausgeht, wird nach Aufwand vergütet, soweit die Kontrolle keinen Verstoß von Branddoq offenlegt.

## 12. Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gilt Ziffer 11 der Allgemeinen Geschäftsbedingungen. Bußgelder, die einer Partei wegen eines eigenen Verstoßes auferlegt werden, trägt diese Partei allein.

## 13. Ort der Verarbeitung

Die Verarbeitung findet in der Europäischen Union statt. Übermittlungen in Drittländer erfolgen nur über die in Ziffer 9 genannten Unterauftragsverarbeiter auf Grundlage der dort genannten Garantien (Art. 44 ff. DSGVO).

## 14. Schlussbestimmungen

Änderungen dieses AVV bedürfen der Textform; Ziffer 13 der Allgemeinen Geschäftsbedingungen gilt entsprechend. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser AVV vor. Es gilt deutsches Recht; für den Gerichtsstand gilt Ziffer 15.2 der Allgemeinen Geschäftsbedingungen.