Datenschutz · Auftragsverarbeitungsvertrag (DPA)

1. Gegenstand, vertragliche Bindung und Identität

Dieser DPA regelt die Verarbeitung personenbezogener Daten, die im Auftrag des Kunden (Verantwortlicher) zur Erbringung des Dienstes erfolgt: Import und Verwaltung von Bewertungen, unterstützte Generierung von Antworten, Musteranalyse, Erstellung von Empfehlungen und Berichten sowie Zustellung über die konfigurierten Kanäle.

Vertragliche Bindung

Wenn RepuOrbit personenbezogene Daten im Auftrag des Kunden verarbeitet, ist dieser DPA (Version 1.0), der auf Artikel 28 DSGVO beruht, wesentlicher Bestandteil der für den Dienst geltenden Vertragsbedingungen und der Allgemeine Geschäftsbedingungen und bindet die Parteien ab der Annahme dieser Bedingungen.

Identität des Auftragsverarbeiters

RepuOrbit ist ein Produkt von IATASKIA S.L., NIF B05703038 (Spanien), die als Auftragsverarbeiter handelt, wenn sie personenbezogene Daten im Auftrag des Kunden verarbeitet.

Art

Vorgänge der Erhebung, Speicherung, Abfrage, Analyse, KI-unterstützten Generierung, Übermittlung an die konfigurierten Kanäle und Löschung, mit automatisierten Mitteln.

2. Dauer

Die Auftragsverarbeitung besteht, solange das Dienstverhältnis in Kraft ist. Bei dessen Beendigung gelten die Bestimmungen der Rückgabe- oder Löschungsklausel.

3. Kategorien betroffener Personen und Datenarten

Kategorien betroffener Personen

• Endkunden und Verfasser von Bewertungen des Unternehmens.
• Personal und autorisierte Nutzer des Geschäftskunden.

Datenarten

• In Bewertungen und Antworten enthaltene Identifikations- und Kontaktdaten.
• Inhalt der Meinungen und der zugehörigen Kommunikation.
• Konfigurationsdaten und technische Metadaten, die für den Dienst erforderlich sind.

Besondere Kategorien von Daten

RepuOrbit fordert für die gewöhnliche Erbringung des Dienstes keine besonderen Kategorien personenbezogener Daten an. Gleichwohl kann der Inhalt der verarbeiteten Bewertungen oder Kommunikationen beiläufig Informationen dieser Art enthalten, die von ihren eigenen Verfassern eingegeben wurden. Der Kunde muss in seiner Eigenschaft als Verantwortlicher das Vorliegen einer geeigneten Rechtsgrundlage, soweit anwendbar, sicherstellen und den Dienst gemäß den Datenschutzvorschriften konfigurieren und nutzen.

4. Dokumentierte Weisungen und Vertraulichkeit

RepuOrbit verarbeitet die Daten ausschließlich nach den dokumentierten Weisungen des Kunden, einschließlich derjenigen dieses DPA und derjenigen, die sich aus der Nutzung der Plattform ergeben, außer bei gesetzlicher Verpflichtung. Verstößt eine Weisung gegen die Vorschriften, informiert RepuOrbit den Kunden.

Die zur Verarbeitung der Daten befugten Personen verpflichten sich zur Vertraulichkeit oder unterliegen einer gleichwertigen Vertraulichkeitspflicht.

5. Technische und organisatorische Maßnahmen

RepuOrbit wendet dem Risiko angemessene technische und organisatorische Maßnahmen an. Die tatsächlich umgesetzten Maßnahmen sind in Anhang I dieses DPA beschrieben.

6. Unterstützung des Verantwortlichen und Ausübung von Rechten

RepuOrbit unterstützt den Kunden in angemessener Weise dabei: Anträgen auf Ausübung der Rechte betroffener Personen nachzukommen; die Pflichten zur Sicherheit, zur Meldung von Verletzungen und, soweit angebracht, zu Folgenabschätzungen und vorherigen Konsultationen zu erfüllen.

7. Vorfälle und Sicherheitsverletzungen

RepuOrbit benachrichtigt den Kunden unverzüglich, wenn es von einer Sicherheitsverletzung Kenntnis erlangt, die im Auftrag des Kunden verarbeitete Daten betrifft.

Soweit verfügbar, stellt es bereit:

• die Art des Vorfalls;
• die Kategorien der betroffenen Daten und Personen;
• die wahrscheinlichen Folgen;
• die ergriffenen oder vorgeschlagenen Maßnahmen;
• die Informationen, die der Verantwortliche benötigt, um seinen Meldepflichten nachzukommen.

8. Unterauftragsverarbeiter

• Der Kunde erteilt eine allgemeine Genehmigung für die Inanspruchnahme von Unterauftragsverarbeitern bei der Erbringung des Dienstes.
• RepuOrbit informiert über die Hinzufügung oder den Austausch von Unterauftragsverarbeitern, die die Datenverarbeitung betreffen.
• Der Kunde kann gemäß diesem DPA begründete Einwände erheben.
• Die Unterauftragsverarbeiter unterliegen Datenschutzpflichten, die den für RepuOrbit geltenden gleichwertig sind.

9. Unterauftragsverarbeiter und Verarbeitungsanbieter

Je nach den genutzten Funktionen kann sich der Dienst auf die folgenden Arten von Anbietern stützen. Die Liste ist darauf vorbereitet, mit den tatsächlichen Anbietern aktualisiert zu werden; kein noch nicht beauftragter Anbieter wird als solcher dargestellt:

• Google Business Profile / Google — Bewertungen und Veröffentlichung.
• Meta / WhatsApp Business Platform und Telegram — Zustellung und Freigabe von Antworten.
• Vom Kunden konfigurierte KI-Anbieter — OpenAI, Anthropic, Google Gemini.
• Zahlungsanbieter — sobald das Abrechnungssystem eingeführt wird.
• Hosting-/Datenbankanbieter — Infrastruktur des Dienstes.
• E-Mail-Anbieter — Servicekommunikation.
• Technische Dienste, die für den Betrieb der Plattform erforderlich sind.

KI-Anbieter und Zugangsdaten (API-Schlüssel)

• Der Kunde kann seinen eigenen KI-Anbieter konfigurieren und seine eigenen Zugangsdaten/seinen eigenen API-Schlüssel verwenden.
• Das bedeutet nicht, dass die Daten niemals durch die Infrastruktur von RepuOrbit laufen.
• RepuOrbit kann bestimmte Daten empfangen, verarbeiten und übermitteln müssen, um die angeforderte Funktion auszuführen.
• Die erforderlichen Daten können an den vom Kunden ausgewählten oder konfigurierten KI-Anbieter gesendet werden.
• Die Zugangsdaten werden gemäß den tatsächlich umgesetzten Maßnahmen sicher behandelt (siehe Anhang I): Sie werden verschlüsselt gespeichert und in den Protokollen unkenntlich gemacht.

10. Internationale Übermittlungen

Wenn ein Anbieter oder Unterauftragsverarbeiter eine internationale Datenübermittlung mit sich bringt, wird der entsprechende Rechtsmechanismus gemäß Kapitel V DSGVO verwendet, zum Beispiel: ein Angemessenheitsbeschluss, Standardvertragsklauseln oder andere rechtlich gültige Garantien.

Es wird nicht behauptet, dass die Gesamtheit der Daten stets in Spanien oder im EWR verbleibt.

Sobald bestätigt, werden die Informationen nach tatsächlichem Anbieter mit folgender Struktur detailliert:

• Anbieter;
• Land oder Region der Verarbeitung;
• erbrachter Dienst;
• anwendbarer Übermittlungsmechanismus.

11. Audit und Compliance-Informationen

Unbeschadet des Rechts des Kunden, gemäß Art. 28 DSGVO zu auditieren, wird dieses Recht zu angemessenen Bedingungen ausgeübt:

• RepuOrbit stellt dem Kunden die zum Nachweis der Erfüllung seiner Pflichten vernünftigerweise erforderlichen Informationen zur Verfügung.
• Audits werden mit angemessener Vorankündigung durchgeführt.
• Die Vertraulichkeit und Sicherheit der eigenen Informationen und der von Dritten werden gewahrt.
• Unverhältnismäßige Eingriffe in die Kontinuität des Dienstes werden vermieden.
• Das Recht kann durch Dokumentation, Nachweise oder Audits Dritter erfüllt werden, sofern diese ausreichend sind.

12. Rückgabe oder Löschung der Daten

Nach Beendigung der Leistung und nach Wahl des Verantwortlichen gibt RepuOrbit die im Auftrag des Kunden verarbeiteten personenbezogenen Daten zurück oder löscht sie. Zu diesem Zweck wird unterschieden:

• Aktive Daten: werden nach Beendigung des Dienstes zurückgegeben oder gelöscht, je nach Wahl des Verantwortlichen.
• Aufgrund gesetzlicher Verpflichtung aufbewahrte Daten: werden für die gesetzlich vorgeschriebenen Fristen gesperrt aufbewahrt und bei deren Ablauf gelöscht.
• Sicherungskopien (Backups): Die in Sicherungskopien enthaltenen Daten werden gemäß dem technisch festgelegten Aufbewahrungszyklus gelöscht und bleiben während dieses Zeitraums gesperrt und für die gewöhnliche Nutzung nicht zugänglich, soweit anwendbar.
• Ende des Dienstes: Nach Abschluss der vorstehenden Schritte werden die Informationen gelöscht, mit Ausnahme derjenigen, die gesetzlich aufbewahrt werden müssen.

Anhang I — Technische und organisatorische Maßnahmen

Zum Datum dieser Version des DPA tatsächlich im Dienst umgesetzte Maßnahmen:

• Verschlüsselung von Geheimnissen im Ruhezustand: sensible Zugangsdaten und Integrationen (API-Schlüssel der KI-Anbieter und Zugriffstoken von Google, WhatsApp und Telegram) werden mittels AES-256-GCM verschlüsselt gespeichert.
• Passwortschutz: Benutzerpasswörter werden mittels bcrypt gehasht gespeichert; niemals im Klartext.
• Authentifizierung: Zugriff über signierte Token (JWT), die bei jeder Anfrage überprüft werden.
• Rollenbasierte Zugriffskontrolle: Berechtigungen nach Rolle innerhalb jeder Organisation und Trennung der Plattform-Administrationsrolle.
• Logische Multi-Tenant-Isolierung: Die Daten werden nach Organisation und Unternehmen segmentiert; der Zugriff wird nach der Zugehörigkeit des Nutzers aufgelöst.
• Validierung und Bereinigung von Eingaben: Anfragen werden vor der Verarbeitung anhand strenger Schemata validiert.
• Prüfprotokolle: relevante Ereignisse (zum Beispiel Authentifizierung und Änderungen von Zugangsdaten) werden zur Nachverfolgbarkeit aufgezeichnet.
• HTTP-Sicherheitsheader und eingeschränktes CORS: Sicherheitsheader und eine kontrollierte CORS-Richtlinie werden angewendet.
• Ratenbegrenzung (Rate Limiting): Die Häufigkeit der Anfragen wird begrenzt, mit strengeren Limits bei der Authentifizierung, um Missbrauch und Brute-Force-Angriffe zu mindern.
• Sichere Verwaltung von Geheimnissen: sensible Konfiguration wird validiert und aus der Umgebung geladen (nicht in den Code eingebettet), und sensible Daten werden in den Protokollen unkenntlich gemacht.
• Verschlüsselte Kommunikation: Die Kommunikation mit externen Diensten erfolgt über HTTPS/TLS; die Anwendung ist darauf vorbereitet, hinter einem Proxy zu arbeiten, der die TLS-Terminierung verwaltet.
• Verifizierung in konstanter Zeit: Die Überprüfung bestimmter sensibler Token verwendet Vergleiche in konstanter Zeit.
• Löschmechanismen: Es ist möglich, gespeicherte Zugangsdaten und Integrationen zu widerrufen und zu löschen sowie Unternehmen und ihre zugehörigen Daten zu löschen. Datenminimierung: Es werden die zur Bereitstellung der angeforderten Funktion erforderlichen Daten verarbeitet.