Auftragsverarbeitungsvertrag (Marken)

Entwurf zur rechtlichen Prüfung. Version 2026-10-draft-1, gültig ab 19 Oktober 2026. Vorlage für Marken, die als Verantwortlicher handeln; laden Sie die eigenständige Datei zur Gegenzeichnung herunter. Der Anhang mit den Standardvertragsklauseln ist ein Platzhalter, bis er mit dem Rechtsbeistand abgeschlossen wurde.

Auftragsverarbeitungsvertrag

zwischen der in ihren ProvenReel-Organisationseinstellungen bezeichneten Marke („Verantwortlicher“) und Start Learn LLC, 3402, 1603 Capitol Avenue, Suite 413A, Cheyenne, WY 82001, United States of America, handelnd unter der Bezeichnung ProvenReel („Auftragsverarbeiter“). Dieser Vertrag ist Bestandteil der Nutzungsbedingungen für Marken und gilt immer dann, wenn der Auftragsverarbeiter über die Plattform personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

1. Gegenstand, Dauer, Art und Zweck

1.1 Gegenstand: personenbezogene Daten, die der Verantwortliche in seinem Arbeitsbereich über Creator, Kontakte und seine eigenen Mitglieder eingibt, importiert oder erzeugt — CRM-Kontakte, Notizen zur Auswahlliste, Beziehungsquellen, Brand-Kit-Freigaben, von ihm geprüfte Kampagnenbewerbungen, von ihm gesendete Nachrichten, Prüfkommentare und Veröffentlichungsnachweise.

1.2 Dauer: die Laufzeit der Nutzung der Plattform durch den Verantwortlichen zuzüglich der für jeden Datensatz geltenden Aufbewahrungsfrist.

1.3 Art und Zweck: Hosting, Speicherung, Anzeige, Suche, Matching, Benachrichtigung, Export und Löschung der Daten entsprechend den über die Funktionen der Plattform erteilten Weisungen.

1.4 Betroffene Personen: Creator und ihre Vertreter, die Mitglieder des Verantwortlichen und die Personen, die er als Kontakte erfasst. Kategorien: Identifikations- und Kontaktdaten, berufliche und Kanaldaten, Kommunikationsinhalte, Beziehungsnotizen, Verifizierungsergebnisse. Besondere Kategorien personenbezogener Daten werden nicht erwartet; der Verantwortliche darf sie nicht eingeben.

2. Weisungen und Verantwortlichkeiten des Verantwortlichen

Der Verantwortliche erteilt dem Auftragsverarbeiter Weisungen durch seine Nutzung der Plattform und für alles Übrige schriftlich. Der Verantwortliche ist verantwortlich für die Rechtmäßigkeit der von ihm eingegebenen Daten (einschließlich einer Rechtsgrundlage für importierte Kontakte und für die Kontaktaufnahme), für die Richtigkeit seiner Weisungen und für die Information der betroffenen Personen.

3. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Der Auftragsverarbeiter

• verarbeitet personenbezogene Daten nur auf dokumentierte Weisung, auch in Bezug auf internationale Übermittlungen, sofern er nicht gesetzlich dazu verpflichtet ist (in diesem Fall informiert er den Verantwortlichen, sofern dies nicht untersagt ist);
• gewährleistet, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind;
• ergreift die technischen und organisatorischen Maßnahmen nach Anhang 2;
• hält die in Abschnitt 4 genannten Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern ein;
• unterstützt den Verantwortlichen durch geeignete technische Maßnahmen bei der Beantwortung von Anfragen betroffener Personen (Export-, Berichtigungs- und Löschfunktionen der Plattform sowie das Datenschutz-Postfach);
• unterstützt bei der Sicherheit, der Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und der vorherigen Konsultation unter Berücksichtigung der ihm zur Verfügung stehenden Informationen;
• löscht nach Wahl des Verantwortlichen die Daten nach Beendigung des Dienstes oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht (Finanz- und Vertragsunterlagen, aufgeführt in der Datenschutzerklärung);
• stellt alle zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt dazu bei, höchstens einmal jährlich mit angemessener Vorankündigung, sofern nicht eine Verletzung oder eine Behörde etwas anderes erfordert.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anhang 3 aufgeführten Unterauftragsverarbeiter (das in der Datenschutzerklärung veröffentlichte Verzeichnis der Auftragsverarbeiter). Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters; der Verantwortliche kann aus angemessenen datenschutzrechtlichen Gründen Einspruch erheben; in diesem Fall suchen die Parteien eine Lösung, und falls keine gefunden wird, kann der Verantwortliche den betroffenen Dienst kündigen. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter dieselben Pflichten auf und bleibt für deren Erfüllung haftbar.

5. Internationale Übermittlungen

Der Auftragsverarbeiter verarbeitet Daten in den Vereinigten Staaten. Für betroffene Personen in der EU/im EWR, im Vereinigten Königreich und in der Schweiz stützen sich die Parteien auf die Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter) in Anhang 4 — Platzhalter: mit dem Rechtsbeistand abzuschließen — zusammen mit der Transfer-Folgenabschätzung des Auftragsverarbeiters und ergänzenden Maßnahmen (Verschlüsselung im Ruhezustand und bei der Übertragung, Zugriffsprotokollierung, Datenminimierung).

6. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die Daten des Verantwortlichen betrifft, mit den zu diesem Zeitpunkt verfügbaren Informationen, und dokumentiert Verletzungen gemäß Artikel 33 Absatz 5 DSGVO.

7. Haftung

Jede Partei haftet nach Artikel 82 DSGVO und nach den Nutzungsbedingungen. Haftungsbeschränkung — mit den genehmigten Nutzungsbedingungen abzustimmen.

8. Laufzeit und Kündigung

Dieser Vertrag gilt so lange wie die Nutzungsbedingungen. Bei Beendigung löscht der Auftragsverarbeiter die Daten gemäß Abschnitt 3 innerhalb von 30 Tagen oder gibt sie zurück und bestätigt die Löschung auf Anfrage.

9. Anwendbares Recht

[Anwendbares Recht – vom Gründer zu bestätigen]; für Daten betroffener Personen in der EU haben die von der DSGVO vorgeschriebenen Bestimmungen Vorrang.

Anhang 1 — Angaben zur Verarbeitung

Siehe Abschnitt 1. Der Verantwortliche kann in seinen Organisationseinstellungen weitere Angaben hinterlegen.

Anhang 2 — Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand; Verschlüsselung auf Anwendungsebene für Zugangsdaten und Anleitungen zum Produktzugang.
• Rollenbasierter Zugriff mit Isolierung der Arbeitsbereiche, durchgesetzt durch Richtlinien und Tests; Operator-Zugriff erfordert Zwei-Faktor-Authentifizierung, ist zeitlich befristet und wird protokolliert.
• Protokollierung mit Schwärzung von E-Mail-Adressen und Geheimnissen; Korrelations-IDs; Ratenbegrenzung an sensiblen Endpunkten.
• Schadsoftware-Prüfung von Uploads; signierte, zeitlich begrenzte Download-Links.
• Nächtliche Datenbank-Backups mit Wiederherstellungsübungen; Störfall-Runbook mit benannten Zuständigen.
• Löschung durch Anonymisierung mit dokumentierten gesetzlichen Ausnahmen; Export in einem maschinenlesbaren Format.

Anhang 3 — Unterauftragsverarbeiter

Anhang 4 — Standardvertragsklauseln

Platzhalter. Die Klauseln des Durchführungsbeschlusses (EU) 2021/914 der Kommission, Modul 2, mit den Angaben des Auftragsverarbeiters und den vorstehenden Anhängen werden nach Abschluss beigefügt.

Unterschriften

Verantwortlicher: ______________________ (Name, Funktion, Datum)

Auftragsverarbeiter: Start Learn LLC — ______________________ (Name, Funktion, Datum)