Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag regelt die Pflichten der Parteien nach Art. 28 DSGVO für personenbezogene Daten, die der Verantwortliche und seine Mitglieder in seinen Workspace bei FeedFoundry eingeben oder dort erzeugen lassen. Für diese Daten ist der Verantwortliche datenschutzrechtlich Verantwortlicher (Art. 4 Z 7 DSGVO), wir verarbeiten sie ausschließlich in seinem Auftrag (Art. 4 Z 8 DSGVO).

Für Konto, Anmeldung, Einladungen, Abrechnung und Support sind wir selbst Verantwortlicher. Diese Verarbeitung ist nicht Gegenstand dieses Vertrags und in der Datenschutzerklärung geregelt.

Dieser Vertrag ist Teil der AGB und wird mit ihnen in elektronischer Form geschlossen. Er gilt für Unternehmer und Verbraucher gleichermaßen, soweit sie personenbezogene Daten Dritter verarbeiten.

Gegenstand ist die Bereitstellung von FeedFoundry für den Workspace des Verantwortlichen: Speichern von Projekten, Quellen, Antworten, Markenprofil, Growth Dossier, Kampagnen und Beiträgen; KI-gestütztes Erstellen von Dossier-Entwürfen und Beitragstexten; Rendern der Beitragsgrafik nach festen Vorlagen; automatische Qualitätsprüfung von Text und gerenderter Grafik, auch durch KI-Modelle; Vorschau, Freigabe, Export und Löschung.

Art der Verarbeitung: Erheben, Speichern, Auslesen, Auswerten mit KI-Modellen, Übermitteln an die in Anlage 1 genannten Unterauftragsverarbeiter für die einzelne Anfrage, Bereitstellen als Export und Löschen.

Zweck: Erstellung, Prüfung und Bereitstellung von Marketing-Inhalten für den Verantwortlichen nach seinen Vorgaben.

Dauer: Laufzeit des Nutzungsvertrags nach den AGB, danach bis zur Löschung nach Punkt 12.

• Personen, die der Verantwortliche in Quellen, Antworten, Kampagnen oder Beiträgen nennt oder beschreibt, etwa seine Kunden, Partner, Beschäftigten oder Personen in Zitaten und Erfahrungsberichten;
• Mitglieder des Workspace, soweit festgehalten wird, wer Inhalte angelegt, geändert oder freigegeben hat.

• Namen, Funktionen, Aussagen und Kontaktangaben, soweit sie in den Inhalten des Workspace stehen;
• Urheber- und Freigabevermerke: Kennung des Kontos, Zeitpunkt und Art der Handlung.

FeedFoundry ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt. Der Verantwortliche gibt solche Daten nicht ein.

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, wir sind nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. Weisungen sind dieser Vertrag, die AGB und die Nutzung der Funktionen in der App, etwa das Erfassen einer Quelle, das Starten eines Dossier-Laufs oder eines Content Jobs, die Freigabe, der Export und die Löschung. Handlungen der Mitglieder gelten als Weisung des Verantwortlichen, soweit ihre Rolle sie zulässt.

Halten wir eine Weisung für datenschutzwidrig, informieren wir den Verantwortlichen unverzüglich.

Wir stellen sicher, dass sich alle Personen, die die Daten verarbeiten dürfen, zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Wir treffen die nach Art. 32 DSGVO erforderlichen Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO). Sie stehen in Anlage 2. Wir dürfen sie durch gleichwertige oder bessere Maßnahmen ersetzen.

Der Verantwortliche genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 3 lit. d DSGVO). Wir binden sie vertraglich an Pflichten, die diesem Vertrag entsprechen.

Wollen wir einen Unterauftragsverarbeiter hinzunehmen oder austauschen, informieren wir den Verantwortlichen mindestens 30 Tage vorher per E-Mail. Er kann in dieser Frist aus sachlichem Grund widersprechen. Finden wir keine Lösung, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

Wir unterstützen den Verantwortlichen im Rahmen des Zumutbaren bei Anträgen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an den Verantwortlichen weiter.

Wir unterstützen den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO). Wird uns eine Verletzung des Schutzes personenbezogener Daten aus seinem Workspace bekannt, melden wir sie ihm unverzüglich, damit er seine Pflichten nach Art. 33 und 34 DSGVO erfüllen kann.

Wir stellen die Informationen zur Verfügung, die zum Nachweis der Pflichten nach Art. 28 DSGVO nötig sind, und ermöglichen Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). Als Einzelunternehmen erbringen wir den Nachweis in der Regel durch schriftliche Auskunft und Unterlagen; eine Prüfung vor Ort ist nach angemessener Vorankündigung möglich.

Der Verantwortliche kann die Daten seines Workspace jederzeit exportieren. Der Export enthält Texte und Metadaten, keine Bilddateien. Löscht der Verantwortliche seinen Workspace oder endet der Vertrag und verlangt er die Löschung, löschen wir die Daten des Workspace. Sicherungskopien der Datenbank werden im Rhythmus ihrer Aufbewahrung überschrieben.

Ein Löschnachweis ohne Inhalte des Workspace bleibt erhalten, damit die Löschung belegbar ist (Art. 5 Abs. 2 DSGVO). Gesetzliche Aufbewahrungspflichten für Daten des Workspace bestehen bei FeedFoundry nicht; Rechnungen über das Abo betreffen unsere eigene Verarbeitung nach der Datenschutzerklärung.

Für die Haftung gelten die gesetzlichen Bestimmungen und ergänzend die Haftungsregeln der AGB.

Wir ändern diesen Vertrag nur aus sachlichem Grund, etwa wegen neuer Gesetze, neuer Verarbeitungen oder geänderter Unterauftragsverarbeiter. Für Änderungen gilt Punkt 11 der AGB.

Es gilt österreichisches Recht. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag für die Auftragsverarbeitung vor.

Diese Unterauftragsverarbeiter verarbeiten Daten aus dem Workspace des Verantwortlichen:

Zugang

Anmeldung nur über einen Einmal-Link an die E-Mail-Adresse, mit Begrenzung der Anfragen und, wo eingerichtet, einer Sicherheitsprüfung (CAPTCHA); jede Serveraktion prüft die Sitzung, bevor sie auf Daten zugreift.

Mandantentrennung

Jede Zeile mit Kundendaten trägt die Kennung ihres Workspace; erzwungene Zugriffsregeln in der Datenbank (Row Level Security) lassen nur Mitglieder dieses Workspace zu; automatisierte Tests mit zwei Workspaces prüfen, dass einer den anderen nicht lesen oder ändern kann.

Rollen

Die Rolle im Workspace legt fest, was ein Mitglied lesen und ändern darf; Abrechnung, Export und Löschung verwaltet der Inhaber.

Übertragung

Verschlüsselte Übertragung (TLS) zwischen Browser, Anwendung und Datenbank.

Eingabekontrolle

Sicherheitsrelevante Vorgänge im Workspace werden in einem Protokoll ohne Inhalte festgehalten.

KI-Anfragen

Jede Anfrage enthält nur die für den Schritt nötigen Inhalte und verlangt keine Speicherung und kein Training; welches Modell eine Funktion nutzt, legen wir fest.

Kostengrenzen

Jeder kostenpflichtige KI-Aufruf reserviert vorher Budget des Workspace; bei Erreichen der Grenze werden keine Aufrufe mehr ausgeführt.

Datenresidenz

Speicherung der Inhalte in der EU-Region Frankfurt; Serverfunktionen in Frankfurt.

Löschung

Die Löschung eines Workspace in der App verlangt eine erneute Anmeldung, sperrt sofort jede weitere Verarbeitung und entfernt die Daten des Workspace; ein Löschnachweis ohne Inhalte bleibt erhalten. Solange die App die Löschung nicht anbietet, erledigen wir sie auf Anfrage per E-Mail.

Trennung

Für FeedFoundry bestehen eigene Projekte und Schlüssel bei Datenbank und KI-Dienst; Daten aus FeedFoundry werden nicht für andere Angebote des Betreibers verwendet.