Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 Abs. 3 DSGVO wird geschlossen zwischen [Platzhalter Kundenname], [Platzhalter Kundenanschrift] — nachfolgend „Verantwortlicher" oder „Kunde" — und Alexander Zakharov (Einzelunternehmer), Turmweg 31, 20148 Hamburg, Deutschland, USt-IdNr.: DE455314355, E-Mail: hello@sageobot.com — nachfolgend „Auftragsverarbeiter" oder „Anbieter" — (einzeln „Partei", gemeinsam „Parteien").

Dieser AVV ergänzt den zwischen den Parteien bestehenden Hauptvertrag über die Nutzung der Plattform „SAGEOBOT" (nachfolgend „Hauptvertrag" bzw. „AGB") und regelt die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SAGEOBOT-Plattform (taxonomie-gebundene KI-gestützte SEO-Content-Erstellung inkl. Website-/Unternehmensprofilierung, KI-Artikelgenerierung und -prüfung, mehrstufigem Qualitäts-Gate, CMS-Publishing, Indexierungsautomatisierung, Google-Search-Console-Anbindung, Performance-/Analytics-Reporting und KI-Sichtbarkeits-Reporting), wie im Hauptvertrag näher beschrieben.

(2) Die Verarbeitung erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen (§ 3), soweit sich aus diesem Vertrag nichts anderes ergibt.

(3) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung, unbeschadet der Löschungs-/Rückgabepflichten nach § 11 und etwaiger gesetzlicher Aufbewahrungsfristen.

(1) Art und Zweck der Verarbeitung: Bereitstellung der SAGEOBOT-Plattform gemäß Hauptvertrag, insbesondere Speicherung und Verarbeitung von Konto-, Site- und Content-Daten, KI-gestützte Erstellung und Qualitätsprüfung von Inhalten (inkl. Übermittlung an KI-Sprachmodell-Anbieter zur Verarbeitung), Website-Analyse (Scraping öffentlich zugänglicher Kunden-Website-Inhalte zur Profilerstellung, „SiteBrief"), CMS-Publishing, Performance- und Sichtbarkeits-Reporting.

(2) Art der personenbezogenen Daten:

• Konto-/Authentifizierungsdaten: E-Mail-Adresse, Firebase-UID, Auth-Provider, Rolle, Site-Zuordnungen, Zeitpunkt/Version der ToU-/Datenschutz-Zustimmung;
• Site- und Content-Daten des Kunden (einschließlich generierter und importierter Inhalte);
• Integrations-Credentials, OAuth-Tokens, API-Schlüssel (soweit personenbeziehbar);
• Abrechnungsdaten, soweit im Rahmen der Plattformnutzung an den Auftragsverarbeiter weitergegeben (E-Mail, Name, Rechnungsadresse, USt-ID — Zahlungsdaten selbst werden Stripe-seitig verarbeitet, siehe Unterauftragsverarbeiter-Liste);
• personenbezogene Daten Dritter, die in vom Kunden bereitgestellten oder aus der öffentlichen Kunden-Website extrahierten Inhalten enthalten sein können (z. B. namentlich genannte Mitarbeiter, Autoren von Kundenstimmen/Testimonials — siehe Abs. 3).

(3) Kategorien betroffener Personen:

• Endnutzer/Nutzer des Kundenkontos (Mitarbeiter, Beauftragte des Verantwortlichen);
• in vom Kunden verarbeiteten Inhalten genannte Dritte (z. B. Mitarbeiter des Verantwortlichen, Kunden des Verantwortlichen, Autoren von Testimonials), soweit deren Daten über die Website des Verantwortlichen oder anderweitig durch den Kunden in die Plattform eingebracht werden.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sowie Daten von Kindern sind nicht Gegenstand der vertragsgemäßen Verarbeitung; deren Upload ist dem Kunden nach § 7 Abs. 3 der AGB untersagt.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Konfiguration und Nutzung der Plattform durch den Verantwortlichen (Eingabe von Inhalten, Aktivierung von Funktionen, Freigabe zur Veröffentlichung) gilt als Weisung im Rahmen der im Hauptvertrag beschriebenen Leistung. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, bedürfen einer gesonderten Vereinbarung (einschließlich Vergütung).

(3) Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Da der Auftragsverarbeiter als Einzelunternehmer persönlich handelt, gilt diese Verpflichtung entsprechend für ihn selbst sowie für jede Person, die er im Rahmen der Leistungserbringung Zugriff auf personenbezogene Daten gewähren lässt. Über die in der Unterauftragsverarbeiter-Liste (Anlage 2) benannten technischen Dienstleister hinaus hat aktuell kein weiteres Personal Zugriff auf personenbezogene Daten.

(1) Der Auftragsverarbeiter trifft die in Anlage 1 (TOMs) beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.

(2) Der Auftragsverarbeiter ist berechtigt, die TOMs im Rahmen des technischen Fortschritts anzupassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Verschlechterungen sind dem Verantwortlichen mitzuteilen.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die aktuell eingesetzten Unterauftragsverarbeiter sind in der als Anlage 2 beigefügten, gesondert geführten Unterauftragsverarbeiter-Liste (veröffentlicht unter https://sageobot.com/unterauftragsverarbeiter) benannt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern per E-Mail an die im Kundenkonto hinterlegte Vertrags-E-Mail-Adresse, mindestens 14 Tage vor Wirksamwerden der Änderung. Der Verantwortliche kann gegen die Änderung innerhalb von 14 Tagen ab Zugang der Mitteilung widersprechen. Im Falle eines berechtigten Widerspruchs ist der Auftragsverarbeiter berechtigt, die betroffene Leistung nicht zu erbringen oder den Hauptvertrag außerordentlich zu kündigen, sofern eine Fortführung ohne den betreffenden Unterauftragsverarbeiter nicht zumutbar ist.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind, insbesondere zur Gewährleistung hinreichender Garantien für geeignete technische und organisatorische Maßnahmen.

(4) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung der Pflichten der Unterauftragsverarbeiter, als hätte er die betreffende Verarbeitung selbst vorgenommen, sofern und soweit gesetzlich vorgesehen (Art. 28 Abs. 4 DSGVO).

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Pflicht des Verantwortlichen, Anträge auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der betroffenen Person, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(3) Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die vertragsgegenständliche Daten betrifft, unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, mit den zur Erfüllung der Meldepflicht des Verantwortlichen nach Art. 33, 34 DSGVO erforderlichen, dem Auftragsverarbeiter bekannten Informationen.

Ansprechpartner des Auftragsverarbeiters für datenschutzrechtliche Anfragen im Rahmen dieses Vertrags: Alexander Zakharov, hello@sageobot.com. Ansprechpartner des Verantwortlichen: [Platzhalter Ansprechpartner Kunde].

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Nachweis erfolgt vorrangig durch Dokumentation und Selbstauskunft des Auftragsverarbeiters, der aktuell über keine formalen Zertifizierungen (z. B. SOC 2, ISO 27001) verfügt. Der Verantwortliche ist darüber hinaus berechtigt, sich im Rahmen einer Vor-Ort-Prüfung mit einer Vorankündigungsfrist von 14 Tagen, höchstens einmal jährlich (außer bei begründetem Anlass), und unter Wahrung der Betriebs- und Geschäftsgeheimnisse sowie der Sicherheitsinteressen des Auftragsverarbeiters von der Einhaltung dieses Vertrags zu überzeugen.

(3) Kosten einer Vor-Ort-Prüfung oder eines Audits trägt der Verantwortliche, es sei denn, die Prüfung deckt einen Verstoß des Auftragsverarbeiters gegen diesen Vertrag auf.

(1) Ein Teil der in Anlage 2 genannten Unterauftragsverarbeiter ist in Drittländern (insb. USA) ansässig oder verarbeitet Daten dort. Der Auftragsverarbeiter stellt sicher, dass jede Übermittlung personenbezogener Daten in ein Drittland auf einer geeigneten Garantie im Sinne von Art. 44 ff. DSGVO beruht, insbesondere:

• Angemessenheitsbeschluss der EU-Kommission, oder
• Standardvertragsklauseln (SCC) der EU-Kommission, oder
• Zertifizierung nach dem EU-U.S. Data Privacy Framework (DPF), soweit der jeweilige Anbieter zertifiziert ist.

(2) Der konkrete Transfermechanismus je Unterauftragsverarbeiter ist in der Unterauftragsverarbeiter-Liste (Anlage 2) ausgewiesen. Aktiviert der Verantwortliche optional einen eigenen, kundenseitig konfigurierten Client-Telegram-Kanal für Client-Benachrichtigungen, gilt für diese gesondert vom Verantwortlichen ausgelöste Verarbeitung die in der Unterauftragsverarbeiter-Liste dokumentierte Transfergrundlage (Drittland-Übermittlungsrisiko im Sinne des Art. 49 DSGVO), da hierfür weder ein Angemessenheitsbeschluss noch eine abschließbare Standardvertragsklausel vorliegt.

(3) Soweit für einen US-Unterauftragsverarbeiter kein DPF-Zertifikat vorliegt (aktuell: OpenAI), stützt sich der Auftragsverarbeiter auf Standardvertragsklauseln gemäß dem jeweiligen Vendor-Auftragsverarbeitungsvertrag.

(4) Die vorstehend zugrunde gelegten Transfermechanismen und DPF-Zertifizierungsstände wurden zuletzt am 27. Juli 2026 überprüft (Stand).

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (z. B. steuer-/handelsrechtliche Aufbewahrungsfristen: Rechnungen/Buchungsbelege 8 Jahre gem. § 147 Abs. 3 AO / § 257 Abs. 4 HGB seit Bürokratieentlastungsgesetz IV, Bücher/Jahresabschlüsse weiterhin 10 Jahre, Geschäftsbriefe 6 Jahre).

(2) Frist zur Löschung/Rückgabe: Der Auftragsverarbeiter löscht die im Auftrag verarbeiteten personenbezogenen Daten binnen 90 Tagen nach Vertragsende. Auf Anfrage vor Vertragsende stellt der Auftragsverarbeiter dem Verantwortlichen einen Export der Inhalte in einem gängigen Format (z. B. Markdown/JSON) zur Verfügung.

(3) Bestehende Kopien werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; für plattformseitige Backups der eingesetzten Infrastrukturanbieter (Firestore Multi-Region-Replikation, Hetzner) gilt deren jeweils reguläres Backup-Verfahren, ohne dass der Auftragsverarbeiter einen eigenen, hiervon abweichenden Rotationszyklus betreibt.

Es gelten die Haftungsregelungen des Hauptvertrags (§ 13 AGB) entsprechend, soweit dieser Vertrag keine abweichenden Regelungen trifft. Die Haftung der Parteien gegenüber Betroffenen und Aufsichtsbehörden nach Art. 82 DSGVO bleibt unberührt.

(1) Dieser Vertrag unterliegt deutschem Recht.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform, soweit nicht in diesem Vertrag selbst eine abweichende Form vorgesehen ist (z. B. § 6 Unterauftragsverarbeiter).

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag im Hinblick auf datenschutzrechtliche Regelungsgegenstände vor.

1. Vertraulichkeit

• Transportverschlüsselung mittels TLS (HTTPS) für sämtliche Client-Server- und Server-Server-Kommunikation.
• Plattformseitige Verschlüsselung ruhender Daten (at-rest) durch die eingesetzten Infrastrukturanbieter (Firestore/Google Cloud, Hetzner) nach deren jeweiligem Standard.
• Zugriffskontrolle über Firebase Authentication mit rollenbasierter Berechtigung (Admin-/Kunden-Rollen) auf Anwendungsebene.
• Pseudonymisierung, wo technisch möglich und mit dem Verarbeitungszweck vereinbar (z. B. ip_hash für IP-Adressen im Diagnose-Funnel statt Klartext-Speicherung).
• Zugriff auf produktive Systeme und Datenbestände ist auf den Auftragsverarbeiter persönlich beschränkt und erfolgt ausschließlich über schlüsselbasierte Authentifizierung (Tailscale/SSH) nach dem Prinzip der minimalen Rechte.

2. Integrität

• Versionierte, nachvollziehbare Änderungen an der Anwendung über ein Code-Repository mit Historie.
• Eingabevalidierung an Systemgrenzen (API-Schicht).

3. Verfügbarkeit und Belastbarkeit

• Firestore-Multi-Region-Replikation (Location eur3) sowie plattformseitige Backups der eingesetzten Infrastrukturanbieter (Google Cloud/Firestore, Hetzner) nach deren jeweiligem Standardverfahren.
• Hosting bei etablierten Infrastrukturanbietern (Google Cloud/Firebase, Hetzner Online GmbH) mit deren jeweiligen Verfügbarkeits- und Redundanzmaßnahmen.

4. Verfahren zur regelmäßigen Überprüfung

• Der Auftragsverarbeiter überprüft die Wirksamkeit der TOMs im Rahmen der laufenden Weiterentwicklung der Plattform; es bestehen keine formalen Zertifizierungen (z. B. SOC 2, ISO 27001).

5. Auftragskontrolle

• Vertragliche Bindung sämtlicher Unterauftragsverarbeiter gemäß § 6 dieses Vertrags; Liste siehe Anlage 2.

Es gilt die gesondert geführte, jeweils aktuelle Fassung der Unterauftragsverarbeiter-Liste (veröffentlicht unter https://sageobot.com/unterauftragsverarbeiter), die durch Bezugnahme Bestandteil dieses Vertrags ist. Änderungen erfolgen nach dem in § 6 geregelten Verfahren.