Vertrag zur Auftragsverarbeitung
zwischen dem Betrieb, der Merle nutzt (Verantwortlicher), und Samy Consatntin, Sülmerstraße 50, 74072 Heilbronn (Auftragsverarbeiter). Der Vertrag wird bei der Einrichtung durch Bestätigung abgeschlossen.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die Leistungen von Merle zu erbringen. Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Art der Daten und betroffene Personen
| Betroffene | Daten | Zweck |
|---|---|---|
| Kundinnen und Kunden des Betriebs, die Google-Bewertungen schreiben | Name/Anzeigename, Bewertungstext, Sternebewertung | Antwortvorschläge, Veröffentlichung nach Freigabe |
| Personen auf Fotos | Bilddaten | Beitragsentwürfe, Veröffentlichung nach Freigabe |
| Mitarbeitende des Betriebs | WhatsApp-Nummer, Nachrichten, Fotos | Einreichen von Inhalten |
3. Weisungen
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Freigabe eines Entwurfs gilt als Weisung zur Veröffentlichung.
4. Vertraulichkeit und Sicherheit
Zur Sicherheit gehören u. a.: verschlüsselte Übertragung (HTTPS), Server in Frankfurt, Zugriff nur für befugte Personen, Einmal-Links statt Passwörtern, Speicherung von Zugangs-Tokens nur als Hash, regelmäßige Sicherungen der Datenbank. [Technische und organisatorische Maßnahmen (TOM) als Anlage ergänzen bitte ergänzen]
5. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Render Services, Inc. (Hosting, Frankfurt), Anthropic PBC (KI), Mistral AI SAS (Umwandlung von Sprachnachrichten in Text), Meta Platforms Ireland Ltd. (WhatsApp, Instagram/Facebook), Google Ireland Ltd. (Google-Unternehmensprofil), Stripe Payments Europe, Ltd. (nur Abrechnung). Über Änderungen informieren wir vorab; der Verantwortliche kann widersprechen.
6. Unterstützung, Meldungen, Löschung
Der Auftragsverarbeiter unterstützt bei Anfragen Betroffener und bei Datenschutzverletzungen (Meldung unverzüglich, möglichst binnen 24 Stunden). Nach Vertragsende werden die Daten innerhalb von [z. B. 30 bitte ergänzen] Tagen gelöscht oder auf Wunsch herausgegeben, soweit keine Aufbewahrungspflicht besteht.
7. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung.