Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

zwischen dem Kunden als Verantwortlichem („Auftraggeber“)

und der Tappla UG (haftungsbeschränkt), Dürerweg 31, 88212 Ravensburg, als Auftragsverarbeiter („Auftragnehmer“, „wir“).

1. Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber den Dienst 99takes bereit (Allgemeine Geschäftsbedingungen, „Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers, soweit solche Daten in den Inhalten stecken, die der Auftraggeber an 99takes übergibt.

(2) Die Vereinbarung gilt für die Laufzeit des Hauptvertrags und danach, solange der Auftragnehmer noch Daten des Auftraggebers verarbeitet.

(3) Keine Auftragsverarbeitung ist:

• die Verwaltung des Kontos des Auftraggebers selbst, also seiner eigenen Anmeldedaten, Buchungen und Rechnungen,
• die fertigen Zielgruppen, die allen Konten zur Verfügung stehen, mit ihren Belegen aus öffentlichen Quellen,
• die Recherche in öffentlichen Quellen, die der Auftragnehmer selbst verantwortet.

Hierfür ist der Auftragnehmer selbst Verantwortlicher. Das beschreibt die Datenschutzerklärung.

2. Art und Zweck der Verarbeitung, Datenarten, Betroffene

Zweck	Bewertung von Texten und Seiten durch eine simulierte Jury, Schreiben neuer Fassungen, Speichern eigener Zielgruppen, Analysen von Seiten, Erstellen und Teilen von Berichten, Auswerten eigener Gespräche des Auftraggebers zu Belegen für seine Zielgruppen (§ 9)
Art	Speichern, Auslesen, Übermitteln an Unterauftragsverarbeiter (Sprachmodell, Abruf von Seiten), Pseudonymisieren, Löschen
Datenarten	Texte und Entwürfe; Inhalte und Bildschirmfotos von Webseiten, deren Adresse der Auftraggeber nennt; eigene Zielgruppen mit Personas und Belegen, etwa Kundenzitate; Inhalte hochgeladener Gespräche (Interviews, Support-Tickets, Gesprächsnotizen) während der Auswertung und daraus pseudonymisierte Zitate (§ 9); E-Mail-Adressen eingeladener Leser von Berichten; gemeldete Marktergebnisse
Betroffene	Kunden, Interessenten und Mitarbeiter des Auftraggebers, deren Daten in diesen Inhalten stehen; Gesprächspartner des Auftraggebers in hochgeladenen Gesprächen (Interviewte, Teilnehmer von Verkaufs- und Support-Gesprächen, Absender von Tickets) und die darin genannten Personen; Personen, die auf geprüften Webseiten genannt sind; eingeladene Leser von Berichten

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber übergibt solche Daten nicht, auch nicht in hochgeladenen Gesprächen.

3. Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind der Hauptvertrag, diese Vereinbarung und die Aufträge, die der Auftraggeber über 99takes erteilt (etwa über Claude oder das Konto).

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

4. Pflichten des Auftragnehmers

(1) Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

(2) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit es ihm möglich und zumutbar ist.

(4) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

(5) Der Auftragnehmer verwendet die Daten nicht für eigene Zwecke. Ausnahme: Gemeldete Marktergebnisse wertet er ohne Personenbezug und ohne Bezug zum Auftraggeber für die Trefferquote der Jury aus (Hauptvertrag § 9 Abs. 4).

5. Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt den Unterauftragsverarbeitern in Anlage 2 zu.

(2) Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 30 Tage vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Auftraggeber den Hauptvertrag zum Wechsel kündigen.

(3) Der Auftragnehmer legt den Unterauftragsverarbeitern Pflichten auf, die dieser Vereinbarung entsprechen. Bei Übermittlungen in Drittländer stellt er sie durch einen Angemessenheitsbeschluss (etwa das EU-US Data Privacy Framework) oder durch Standardvertragsklauseln der EU-Kommission ab.

6. Rechte des Auftraggebers, Nachweise

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Überprüfungen vor Ort sind nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören, und höchstens einmal im Jahr, außer es gibt einen konkreten Anlass. Die Kosten trägt der Auftraggeber, außer die Prüfung ergibt einen erheblichen Verstoß.

7. Löschung und Rückgabe

Nach dem Ende des Hauptvertrags löscht der Auftragnehmer die Daten des Auftraggebers, einschließlich der Bildschirmfotos im Speicher. Vor der Löschung kann der Auftraggeber seine Berichte und Ergebnisse selbst sichern. Kopien in Sicherungen werden mit deren Ablauf gelöscht, spätestens nach sieben Tagen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

8. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gilt die Haftungsregel des Hauptvertrags.

9. Eigene Gespräche

(1) Lädt der Auftraggeber eigene Gespräche hoch (Interviews, Support-Tickets, Gesprächsnotizen), verarbeitet der Auftragnehmer sie nur, um daraus pseudonymisierte Zitate für die eigenen Zielgruppen des Auftraggebers zu ziehen. Er ersetzt Namen, Firmen, Orte, Adressen, Telefonnummern, E-Mail-Adressen und Kunden- oder Ticketnummern durch Platzhalter. Sätze, in denen jemand über besondere Kategorien nach Art. 9 DSGVO spricht, entfernt er, bevor der Text an das Sprachmodell geht.

(2) Der Auftragnehmer speichert nur die pseudonymisierten Zitate, ihren Typ und eine verallgemeinerte Rolle des Sprechers. Die hochgeladenen Gespräche, ihre Dateinamen und die ersetzten Stellen speichert er nicht. Sie gehen zur Auswertung an das Sprachmodell (Anlage 2) und sind danach beim Auftragnehmer gelöscht. Bei Anthropic gilt die dort genannte Speicherdauer.

(3) Die Zitate verwendet der Auftragnehmer nur für die eigenen Zielgruppen des Auftraggebers. Er gibt sie an kein anderes Konto weiter, auch nicht bei der Übergabe einer Zielgruppe. Er nimmt sie nicht in Zielgruppen auf, die allen Konten zur Verfügung stehen, und zeigt ihren Wortlaut nicht in Berichten. Der Auftraggeber kann die Zitate jederzeit löschen, einzeln je Upload oder alle. Dabei entfernt der Auftragnehmer auch ihren Wortlaut aus gespeicherten Ergebnissen und Berichten.

(4) Der Auftraggeber bleibt Verantwortlicher. Er sorgt dafür, dass er die Gespräche für diesen Zweck verwenden darf: Es besteht eine Rechtsgrundlage, die Gesprächspartner sind nach Art. 13 und 14 DSGVO informiert, und Aufnahmen, aus denen Transkripte stammen, sind nur mit Einwilligung der Gesprächspartner entstanden. Er bestätigt das vor jedem Upload.

(5) Die Pseudonymisierung erfolgt automatisch, zum Teil mit einem Sprachmodell. Sie kann eine Stelle übersehen. Die Zitate bleiben deshalb personenbezogene Daten im Sinne dieser Vereinbarung.

10. Schlussbestimmungen

Bei Widersprüchen geht diese Vereinbarung dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.

---

Anlage 1: Technische und organisatorische Maßnahmen

Bereich	Maßnahme
Ort der Verarbeitung	Datenbank, Anwendung und Speicher bei Supabase in der Region Frankfurt am Main (eu-central-1)
Zugangskontrolle	Anmeldung mit E-Mail und Passwort über Supabase Auth, Passwörter nur als Hash; API-Schlüssel nur als SHA-256-Hash gespeichert, der Schlüssel selbst wird einmal angezeigt; Zugriff aus Claude nur nach Anmeldung und ausdrücklicher Zustimmung (OAuth)
Zugriffskontrolle	Zeilenbasierte Zugriffsregeln in der Datenbank (Row Level Security): ein Konto sieht nur seine eigenen Daten; Bildschirmfotos in einem nicht öffentlichen Speicher, nur über signierte Links mit begrenzter Laufzeit; Berichte auf Wunsch nur für eingeladene Adressen mit Code per E-Mail
Administrativer Zugang	Nur der Geschäftsführer und ausdrücklich benannte Mitarbeiter; Zwei-Faktor-Anmeldung bei Supabase, Cloudflare, GitHub und Anthropic
Übertragung	Verschlüsselt über TLS (HTTPS) zwischen Browser, Claude, 99takes und den Unterauftragsverarbeitern
Speicherung	Verschlüsselung der Daten im Ruhezustand mit AES-256 durch Supabase
Trennung	Getrenntes Projekt für 99takes, keine gemeinsame Datenbank mit anderen Diensten der Gesellschafter
Verfügbarkeit	Tägliche Sicherung der Datenbank durch Supabase, sieben Tage aufbewahrt; Schutz vor Angriffen durch Cloudflare
Löschung	Konto-Löschung mit allen Inhalten und Bildschirmfotos über ein festes Verfahren; Eingaben im kostenlosen Headline Analyzer nach 90 Tagen; hochgeladene Gespräche werden nicht gespeichert, Zitate daraus lassen sich jederzeit löschen (§ 9)
Datensparsamkeit	Keine Klick- und Öffnungsmessung in E-Mails; Kundenstimmen aus öffentlichen Quellen ohne Benutzernamen
Pseudonymisierung	Hochgeladene Gespräche: Muster (E-Mail, Telefon, Nummern, Adressen) und Sätze zu besonderen Kategorien werden vor dem Modellaufruf ersetzt oder entfernt; Namen, Firmen und Orte ersetzt der Auftragnehmer nach dem Modellaufruf selbst und prüft das Ergebnis; Zitate, die danach noch eine erkannte Stelle tragen, werden verworfen; Belege mit eingetragenem Gesprächszitat ohne Quelle verlieren E-Mail-Adressen und Telefonnummern

Anlage 2: Unterauftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung	Grundlage für Drittland
Supabase Pte. Ltd., Singapur	Datenbank, Anmeldung, Anwendung, Speicher	EU (Frankfurt am Main)	Standardvertragsklauseln (Module 2 und 3) im DPA von Supabase
Anthropic Ireland, Limited, Irland	Sprachmodell Claude für Bewertung, Schreiben und die Auswertung hochgeladener Gespräche	weltweit, gespeichert in den USA; eine Verarbeitung nur in der EU bietet Anthropic nicht an; Ein- und Ausgaben löscht Anthropic binnen 30 Tagen, bei Verstößen gegen die Nutzungsrichtlinie bis zu zwei Jahre oder länger, wenn das Gesetz es verlangt	Standardvertragsklauseln (Module 2 und 3) im DPA von Anthropic; keine Nutzung der Inhalte zum Training laut Vertragsbedingungen
SideGuide Technologies, Inc. (Firecrawl), USA	Abruf von Webseiten und Bildschirmfotos	USA	Noch keine Garantien nach Art. 46 DSGVO vereinbart
Cloudflare, Inc., USA	Bildschirmfotos (Browser Rendering), Auslieferung der Website	weltweit	EU-US Data Privacy Framework; ersatzweise Standardvertragsklauseln im DPA
Plus Five Five, Inc. (Resend), USA	Versand von Codes für Berichte und Hinweisen zum Konto	Irland (Versandregion), Unternehmen in den USA	EU-US Data Privacy Framework, dazu Standardvertragsklauseln im DPA