Vertrag über die Verarbeitung im Auftrag (DPA)

§ 1 Gegenstand und Dauer

1. Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb von Content Cockpit einschließlich der KI-gestützten Erstellung, Bearbeitung, Planung und Veröffentlichung von Inhalten sowie der Auswertung verbundener Kanäle. Die Einzelheiten ergeben sich aus Anlage 1.
2. Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages. Sie endet mit dessen Beendigung, soweit nicht nach § 11 eine Aufbewahrung fortbesteht.
3. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen dieses Vertrages und Ihrer Weisungen. Eine Verarbeitung zu eigenen Zwecken findet nur in den in § 12 genannten Fällen statt; insoweit sind wir selbst Verantwortliche und dieser Vertrag findet keine Anwendung.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien

1. Art, Zweck und Umfang der Verarbeitung, die Kategorien betroffener Personen und der personenbezogenen Daten ergeben sich abschließend aus Anlage 1.
2. Sie entscheiden selbst, welche personenbezogenen Daten Sie in die Anwendung eingeben oder hochladen. Das gilt insbesondere für
   1. Abbildungen realer Personen, die als Referenz- oder Ausgangsbild für die Bildbearbeitung verwendet werden,
   2. Inhalte von Eingabeaufforderungen an KI-Modelle,
   3. Marken- und Wissensdokumente, die zur Vektorisierung hochgeladen werden.

   Wir prüfen diese Inhalte nicht auf personenbezogene Daten und filtern sie nicht heraus. Die Zulässigkeit der Verarbeitung, insbesondere das Vorliegen erforderlicher Einwilligungen, verantworten Sie.

3. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrages. Bringen Sie solche Daten dennoch ein, verarbeiten wir sie im Rahmen der allgemeinen Verarbeitung mit, ohne dass hierfür besondere Maßnahmen vereinbart sind.

§ 3 Weisungen

1. Die Verarbeitung erfolgt ausschließlich auf Ihre dokumentierte Weisung. Weisungen ergeben sich zunächst aus diesem Vertrag und seinen Anlagen. Im laufenden Betrieb gilt die Bedienung der Anwendung durch Ihre Nutzer als Weisung: welche Kanäle verbunden, welche Inhalte erzeugt und welche Beiträge veröffentlicht werden, bestimmen Sie durch die Nutzung selbst.
2. Einzelweisungen, die über die Bedienung hinausgehen, erteilen Sie schriftlich oder in einem dauerhaft abrufbaren elektronischen Format.
3. Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das unverzüglich mit. Wir sind berechtigt, die Ausführung bis zur Bestätigung oder Änderung auszusetzen.

§ 4 Unsere Pflichten

1. Wir verarbeiten personenbezogene Daten nur wie in §§ 1 bis 3 festgelegt.
2. Wir unterstützen Sie bei der Erfüllung Ihrer Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und der Abstimmung mit Aufsichtsbehörden, soweit dies erforderlich und uns zumutbar ist.
3. Wir führen ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellen Ihnen den Sie betreffenden Auszug auf Anforderung zur Verfügung.
4. Ein Datenschutzbeauftragter ist bei uns nicht bestellt.

§ 5 Sicherheit der Verarbeitung

1. Wir treffen die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und halten sie während der Vertragslaufzeit aufrecht.
2. Wir dürfen die Maßnahmen weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir.

§ 6 Anforderungen an das Personal

Die zur Verarbeitung befugten Personen sind auf Vertraulichkeit verpflichtet und über die einschlägigen datenschutzrechtlichen Pflichten unterrichtet. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.

§ 7 Unterauftragsverarbeiter

1. Sie stimmen der Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter zu. Die Beauftragung setzt voraus, dass wir mit ihnen Verpflichtungen vereinbart haben, die den Pflichten aus diesem Vertrag entsprechen.
2. Über die Hinzuziehung weiterer oder den Austausch bestehender Unterauftragsverarbeiter informieren wir mit einer Frist von vier Wochen vor der Änderung. Die Information erfolgt durch Aktualisierung der Anlage 2 auf dieser Seite und durch Mitteilung an die von Ihnen hinterlegte Kontaktadresse. Innerhalb der Frist können Sie aus einem wichtigen datenschutzrechtlichen Grund widersprechen.
3. Widersprechen Sie, sind wir berechtigt, den Nutzungsvertrag zum Änderungszeitpunkt zu kündigen, wenn die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht erbracht werden kann.
4. OpenRouter setzen wir als Vermittler für Text- und Bildanalysemodelle ein. OpenRouter leitet die Anfragen an den Anbieter des jeweils gewählten Modells weiter; diese Modellanbieter sind Unterauftragsverarbeiter des OpenRouter. Anlage 2 führt sie nachrichtlich auf.
5. Leistungen, die wir als Nebenleistung von Dritten beziehen, ohne dass diese personenbezogene Daten aus Ihrem Bestand verarbeiten, sind keine Unterauftragsverarbeitung.

§ 8 Übermittlung in Drittländer

1. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet nur statt, soweit dies in Anlage 2 ausgewiesen ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
2. Die je Übermittlung maßgebliche Grundlage — Angemessenheitsbeschluss nach Art. 45 DSGVO einschließlich der Teilnahme am EU-US Data Privacy Framework oder Standarddatenschutzklauseln nach Art. 46 Abs. 2 lit. c DSGVO — ist in Anlage 2 je Unterauftragsverarbeiter angegeben.
3. Eingaben und hochgeladene Medien zur Erzeugung von Inhalten werden an die in Anlage 2 genannten Modellanbieter übermittelt; je nach Anbieter findet dabei eine Verarbeitung in einem Drittland statt.

§ 9 Rechte betroffener Personen

1. Wir unterstützen Sie bei der Beantwortung von Anfragen betroffener Personen. Wir beantworten solche Anfragen nicht selbst, sondern verweisen die betroffene Person an Sie, soweit sich die Anfrage auf eine Verarbeitung im Auftrag bezieht.
2. Inhalte, Entwürfe, Medien und Daten aus verbundenen Kanälen können Sie jederzeit selbst über die Anwendung berichtigen und löschen. Ist ein Begehren nur mit unseren Mitteln erfüllbar, führen wir die erforderlichen Schritte auf Ihre Weisung aus.
3. § 12 Abs. 2 bleibt unberührt.

§ 10 Mitteilungen und Unterstützung

1. Wir unterrichten Sie unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, die im Rahmen der Verarbeitung im Auftrag eingetreten sind.
2. Die Meldung enthält, soweit verfügbar, die Art der Verletzung, die Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.
3. Meldungen an die Aufsichtsbehörde und an betroffene Personen obliegen Ihnen. Wir unterstützen Sie dabei.

§ 11 Löschung und Rückgabe

1. Nach Beendigung des Nutzungsvertrages löschen wir die im Auftrag verarbeiteten personenbezogenen Daten. Die Löschfrist ergibt sich aus dem Nutzungsvertrag.
2. Sie können Ihre Inhalte während der Vertragslaufzeit jederzeit über die Anwendung exportieren. Ein gesonderter Rückgabeanspruch nach Vertragsende besteht nicht; führen Sie den Export daher vor Vertragsende durch.
3. Von der Löschung ausgenommen sind Daten, die wir aufgrund gesetzlicher Aufbewahrungspflichten oder zur Erfüllung eigener regulatorischer Pflichten weiter aufbewahren müssen. Das betrifft insbesondere das Nachweisprotokoll nach § 12 Abs. 2 sowie Rechnungs- und Buchhaltungsunterlagen.

§ 12 Abgrenzung: unsere eigene Verantwortlichkeit

1. Für die folgenden Verarbeitungen sind wir selbst Verantwortliche. Sie sind nicht Gegenstand dieses Vertrages, und Sie haben insoweit kein Weisungsrecht. Einzelheiten stehen in unserer Datenschutzerklärung.
2. Nachweisprotokoll nach der KI-Verordnung. Zur Erfüllung eigener Pflichten aus der Verordnung (EU) 2024/1689 protokollieren wir zurückgewiesene Eingaben einschließlich eines Auszugs von höchstens 500 Zeichen, die Kennzeichnung erzeugter Medien samt Ausnahmen sowie Veröffentlichungs- und Terminierungsvorgänge, jeweils mit dem auslösenden Nutzerkonto und Zeitpunkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c und lit. f DSGVO, die Aufbewahrungsfrist beträgt 36 Monate. Die Einträge werden nachträglich nicht verändert und unterliegen nicht Ihrer Weisungsbefugnis. Auf Anforderung stellen wir Ihnen die Sie betreffenden Einträge zur Verfügung, soweit Sie sie für eigene Nachweispflichten gegenüber Aufsichtsbehörden benötigen.
3. Vertragsdurchführung und Abrechnung. Bestands-, Vertrags- und Abrechnungsdaten verarbeiten wir zur Erfüllung des Nutzungsvertrages und unserer steuerlichen Pflichten.
4. Betrieb, Sicherheit und Missbrauchsabwehr. Server- und Zugriffsprotokolle sowie die Nutzungsstatistik der Anwendung verarbeiten wir zur Sicherstellung des Betriebs und zur Abwehr von Missbrauch.
5. Kunden- und Interessentenverwaltung. Kontaktdaten aus Registrierung und Vertragsanbahnung führen wir in unserem eigenen Kundenverwaltungssystem.

§ 13 Nachweise und Überprüfungen

1. Sie sind berechtigt, die Einhaltung dieses Vertrages zu überprüfen. Die Nachweise erbringen wir vorrangig durch Vorlage aktueller Prüfberichte, Zertifikate oder einer dokumentierten Selbstauskunft.
2. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Für den Aufwand können wir eine Vergütung nach Zeitaufwand zu unseren üblichen Sätzen verlangen, wenn die Kontrolle nicht durch einen Umstand veranlasst ist, der in unserem Verantwortungsbereich liegt.

§ 14 Haftung

1. Für die Haftung gelten die Regelungen des Nutzungsvertrages, soweit dieser Vertrag nichts anderes bestimmt. Art. 82 DSGVO bleibt unberührt.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

§ 15 Vertragsdauer und Schlussbestimmungen

1. Dieser Vertrag gilt für die Laufzeit des Nutzungsvertrages und darüber hinaus, bis die Löschung nach § 11 abgeschlossen ist.
2. Änderungen dieses Vertrages bedürfen der Schriftform. Die Aktualisierung der Anlage 2 nach § 7 Abs. 2 bleibt hiervon unberührt.
3. Wird eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1 — Verarbeitungsübersicht

Zwecke der Verarbeitung

Kategorien betroffener Personen

• Ihre Nutzer, also Beschäftigte mit Zugang zur Anwendung
• Personen, die auf Ihre Beiträge reagieren: Kommentierende, Absender von Direktnachrichten, reagierende Profile — bei LinkedIn-Unternehmensseiten einschließlich Name, Position, Unternehmen, Profilbild und Profil-URL
• Personen, die Bewertungen abgeben
• Personen, die auf hochgeladenen Referenzbildern abgebildet sind
• Personen, die in von Ihnen eingegebenen Inhalten genannt werden
• Besucher Ihrer Website, in aggregierter Form

Kategorien personenbezogener Daten

• Kontaktdaten: Name, E-Mail-Adresse, Rolle
• Nutzungsdaten: Anmeldezeitpunkte, ausgelöste Vorgänge, Freigabevorgänge
• Inhaltsdaten: Eingabeaufforderungen, Entwürfe, Beitragstexte, Kommentare, Direktnachrichten, Bewertungstexte
• Bilddaten: hochgeladene Fotografien, erzeugte Bilder und Videos
• Profildaten Dritter aus verbundenen Kanälen: Name, Position, Unternehmen, Profilbild, Profil-URL
• Kennzahlen und Zeitreihen aus verbundenen Kanälen

Anlage 2 — Unterauftragsverarbeiter

Stand dieser Anlage: August 2026. Änderungen kündigen wir nach § 7 Abs. 2 an.

KI-Modelle

Nachrichtlich: Über OpenRouter erreichte Modellanbieter sind Unterauftragsverarbeiter des OpenRouter, nicht unsere.

Kanäle und Veröffentlichung

Auswertung und Betrieb

Nicht Unterauftragsverarbeitung

• Schriftdateien. Schriften für erzeugte Grafiken rufen wir serverseitig ab und binden sie in die Datei ein. Ein Abruf durch Endgeräte findet nicht statt.
• Zahlungsabwicklung, Nutzungsstatistik und Kundenverwaltung. Diese betreffen unsere eigene Verantwortlichkeit nach § 12 und nicht die Verarbeitung in Ihrem Auftrag.

Anlage 3 — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zugangskontrolle: Anmeldung über E-Mail und Einmal-Code; keine dauerhaften Passwörter für Nutzerkonten.
• Zugriffskontrolle: Rollen- und Profilbindung. Nutzer sehen ausschließlich Daten der ihnen zugeordneten Profile; der Profilzugriff wird serverseitig bei jedem Vorgang geprüft.
• Trennungskontrolle: Mandantentrennung über die Profilzuordnung auf jedem Datensatz.
• Administrative Zugänge: getrennte Superuser-Zugänge für die Datenbank, nicht identisch mit Anwendungskonten.
• Verschlüsselung im Transport: TLS für alle Verbindungen, auch zu Unterauftragsverarbeitern.

Integrität

• Eingabekontrolle: Veröffentlichungs- und Freigabevorgänge werden mit auslösendem Nutzerkonto und Zeitpunkt protokolliert.
• Weitergabekontrolle: Übermittlung an Unterauftragsverarbeiter nur über authentifizierte Schnittstellen mit serverseitig gespeicherten Zugangsdaten; Zugangsdaten werden nicht an Endgeräte ausgeliefert.
• Technische Nutzungssperren: Eingaben werden vor der Verarbeitung auf verbotene Praktiken nach der KI-Verordnung geprüft und im Verdachtsfall zurückgewiesen.

Verfügbarkeit und Belastbarkeit

• Lastbegrenzung: Begrenzung paralleler Verarbeitungsaufträge je Profil für die Bild- und Videoerzeugung.
• Wiederanlauf: fehlgeschlagene Verarbeitungsaufträge werden mit Fehlerstatus abgelegt und können erneut ausgelöst werden.
• Backups: siehe Hinweis oben

Verfahren zur Überprüfung

• Löschlauf: täglicher automatisierter Lauf, der abgelaufene Einträge des Nachweisprotokolls entfernt; das Ergebnis wird protokolliert.
• Auftragskontrolle: Weisungsbindung nach § 3, Unterauftragsverarbeiter nach § 7.
• Überprüfung der Maßnahmen: 6 Monate