Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung („AVV“) gilt zwischen dem in der ReplyGuy-Buchung bezeichneten Kunden als Verantwortlichem und der track by track GmbH, Schliemannstr. 23, 10437 Berlin, Deutschland, handelnd als ReplyGuy, als Auftragsverarbeiter. Sie wird mit Abschluss des ReplyGuy-Vertrags Bestandteil des Hauptvertrags.

1. Gegenstand, Dauer und Weisungsrahmen

ReplyGuy verarbeitet personenbezogene Daten zur Beobachtung, Formulierung, Abstimmung, Veröffentlichung und Auswertung von Antworten auf Rezensionen im benannten Google-Unternehmensprofil. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags und endet mit Löschung oder Rückgabe der Auftragsdaten nach dessen Ende. Hauptvertrag, Onboarding-Angaben und dokumentierte Mitteilungen des Kunden bilden die Weisungen.

2. Art, Zweck und Umfang

Verarbeitungsvorgänge sind insbesondere Abruf, Sichtung, Strukturierung, Entwurf, interne Übermittlung zur Freigabe, Veröffentlichung, Dokumentation und statistische Zusammenfassung von Rezensionen und Antworten. Zweck ist ausschließlich die Erbringung des gebuchten Review-Antwortservices. Eine Verarbeitung zu eigenen Werbe-, Profilbildungs- oder Trainingszwecken erfolgt nicht.

3. Datenarten und betroffene Personen

Betroffen sein können Rezensenten, Kunden, Interessenten, Beschäftigte und Ansprechpartner des Verantwortlichen. Verarbeitet werden insbesondere öffentliche Anzeigenamen, Rezensionstexte, Sternebewertungen, Veröffentlichungszeitpunkte, Antworttexte, Unternehmens- und Kontaktdaten, Freigaben sowie ausnahmsweise besondere Kategorien personenbezogener Daten, wenn Rezensenten solche Angaben selbst in einer Rezension veröffentlichen. Solche Angaben werden nicht ohne erforderliche Weisung öffentlich wiederholt.

4. Pflichten von ReplyGuy

• Verarbeitung nur auf dokumentierte Weisung, soweit keine gesetzliche Pflicht entgegensteht.
• Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen.
• Umsetzung und laufende Prüfung angemessener technischer und organisatorischer Maßnahmen.
• Unterstützung bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Konsultationen und Nachweispflichten, soweit die Verarbeitung betroffen ist.
• Unverzügliche Information, wenn eine Weisung nach Auffassung von ReplyGuy gegen Datenschutzrecht verstößt.
• Keine eigenständige Entscheidung über Zwecke oder wesentliche Mittel der Auftragsverarbeitung.

5. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Rechtsgrundlage, Informationspflichten, Weisungen und die Wahrung von Betroffenenrechten verantwortlich. Er übermittelt keine vertraulichen Fallinformationen, die für eine öffentliche Antwort nicht erforderlich sind, und kennzeichnet besondere Schutzbedarfe.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die folgenden Unterauftragnehmer. ReplyGuy informiert mindestens 14 Tage vor einer wesentlichen Änderung per E-Mail. Der Kunde kann aus sachlichem Datenschutzgrund widersprechen; können die Parteien keine angemessene Alternative finden, darf jede Partei den betroffenen Service beenden.

7. Drittlandübermittlungen

Soweit Daten aus dem EWR durch einen Unterauftragnehmer in einem Drittland verarbeitet werden, stellt ReplyGuy ein angemessenes Datenschutzniveau sicher, insbesondere durch einen Angemessenheitsbeschluss, geeignete Garantien oder die jeweils anwendbaren Standardvertragsklauseln der Europäischen Kommission gemäß Durchführungsbeschluss (EU) 2021/914. ReplyGuy unterstützt angemessene ergänzende Schutzmaßnahmen und informiert, soweit rechtlich zulässig, über behördliche Zugriffsersuchen.

Offizielle EU-Standardvertragsklauseln ↗

8. Technische und organisatorische Maßnahmen

• Transportverschlüsselung per HTTPS/TLS; Stripe verarbeitet Zahlungsdaten auf seiner eigenen PCI-konformen Oberfläche.
• Zugriff auf Kundendaten nach Erforderlichkeit; signierte Magic-Links und getrennte Administrator-Geheimnisse.
• Keine Secrets im Quellcode; Verwaltung über geschützte Umgebungsvariablen.
• Webhook-Signaturprüfung, idempotente Ereignisverarbeitung und protokollierte Statusänderungen.
• Datensparsame Felder, Eingabevalidierung, Ausgabe-Kodierung und Sperrung von Drittinhalten in öffentlichen Antworten.
• Regelmäßige Sicherheitsupdates der eingesetzten Abhängigkeiten und beschränkte Aufbewahrung technischer Ereignisdaten.
• Wiederherstellbarkeit über die Infrastruktur des Hosting- und Speicheranbieters sowie dokumentierte manuelle Betriebsprozesse.

Die Parteien können die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht abgesenkt wird.

9. Datenschutzverletzungen

ReplyGuy informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes auftragsverarbeiteter personenbezogener Daten und stellt die verfügbaren Informationen zu Art, Umfang, Folgen und Abhilfemaßnahmen bereit. Meldungen an Behörden oder Betroffene erfolgen durch den Kunden, soweit nicht zwingendes Recht ReplyGuy verpflichtet.

10. Kontrolle und Nachweise

ReplyGuy stellt auf Anfrage die zur Prüfung von Art. 28 DSGVO erforderlichen Informationen bereit. Der Kunde darf nach angemessener Vorankündigung höchstens einmal jährlich sowie anlassbezogen Prüfungen durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Prüfungen müssen verhältnismäßig sein, dürfen andere Kunden nicht beeinträchtigen und können durch aktuelle Zertifikate oder Berichte ersetzt werden.

11. Rückgabe und Löschung

Nach Ende des Hauptvertrags löscht oder gibt ReplyGuy die Auftragsdaten nach Wahl des Kunden zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Google-Inhalte verbleiben im vom Kunden kontrollierten Profil. Sicherungskopien werden im regulären Löschzyklus überschrieben. Vertragliche Abrechnungs- und Nachweisdaten werden getrennt nach den gesetzlichen Fristen aufbewahrt.

12. Ansprechpartner und Rangfolge

Datenschutzanfragen sind an lfg@replyguy.de zu richten. Bei Widersprüchen gilt folgende Rangfolge: Standardvertragsklauseln, diese AVV, Hauptvertrag und AGB.

Vor Produktivbetrieb sollten insbesondere Transfer Impact Assessment, tatsächliche Upstash-Region und aktuelle Unterauftragsverträge dokumentiert und rechtlich geprüft werden.