Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag regelt, wie Pitoora personenbezogene Daten verarbeitet, die du als Kunde in das Tool einbringst oder über verbundene Dienste zugänglich machst – etwa Fotos und Namen deiner Mitarbeiter in Beiträgen, Eingaben von Besuchern deines Website-Chatbots oder den Zugang zu deinem Newsletter-Konto. Für diese Daten bist du der Verantwortliche, wir sind dein Auftragsverarbeiter. Er wird mit Abschluss des Nutzungsvertrages Bestandteil der AGB und gilt für dessen gesamte Laufzeit.

1. Vertragsparteien

Auftragsverarbeiter
CreateBetter.Design
Inhaber: Christian Radmann-Bender
Im Holzwinkel 6
53819 Neunkirchen-Seelscheid
E-Mail: hallo@pitoora.de

Verantwortlicher
Der Kunde gemäß den bei der Registrierung angegebenen Rechnungsdaten.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Pitoora Marketing-Suite. Die Dauer entspricht der Laufzeit des Nutzungsvertrages; sie endet mit dessen Beendigung und der anschließenden Löschung oder Rückgabe der Daten.

3. Art, Zweck und Umfang der Verarbeitung

Verarbeitet wird ausschließlich, was für den Betrieb des Tools erforderlich ist:

Speichern und Verwalten von Inhalten, Betriebsdaten sowie den von dir hochgeladenen Bildern und Videos in unserer Datenbank und auf unserem Server
Erzeugen und Bearbeiten von Inhalten (Posts, Newsletter, Blogbeiträge, Bilder, Videoskripte) über einen KI-Dienst; die dafür nötigen Texte, Bilder und Audioaufnahmen werden an diesen Dienst übermittelt (Ziffer 8)
Beantworten von Anfragen der Besucher deiner Website über den Chatbot; die Eingaben werden zur Beantwortung an den KI-Dienst übermittelt und bei uns nicht gespeichert
Übergeben fertiger Newsletter in dein eigenes Brevo-Konto sowie Lesen der dortigen Listen und Absender mit dem von dir hinterlegten API-Schlüssel; die Empfängerdaten selbst verbleiben in deinem Brevo-Konto
Veröffentlichen von Inhalten auf den von dir verbundenen Kanälen (z. B. WordPress) mit den von dir hinterlegten Zugangsdaten

Eine Nutzung der Daten zu eigenen Zwecken – insbesondere zum Training von KI-Modellen, zu Werbezwecken oder zur Weitergabe an Dritte – findet nicht statt.

Klarstellung zu den Referenzen: Die Nutzung von Ergebnissen, die keine Angaben zu Personen enthalten, zur Eigenwerbung nach § 13 der AGB erfolgt nicht im Auftrag des Kunden und ist nicht Gegenstand dieses Vertrages (Art. 28 Abs. 10 DSGVO). Inhalte mit Personenbezug erfasst § 13 der AGB nicht; wir verwenden sie dafür nur nach ausdrücklicher Freigabe des Kunden im Einzelfall.

4. Kategorien betroffener Personen und Daten

Betroffene Personen: Nutzer:innen des Kundenkontos (Inhaber, Redakteure); Mitarbeiter:innen, Kund:innen und andere Personen, die in Beiträgen des Kunden erscheinen (etwa Team-Vorstellung, Kundenstimmen, Stellenanzeigen, Fotos); Besucher:innen der Website des Kunden bei Einsatz des Chatbots; Empfänger:innen von Newslettern, soweit über das verbundene Brevo-Konto auf sie zugegriffen wird.

Datenkategorien: Name, E-Mail-Adresse, Anrede, Funktion oder Position, Fotos und Videos, Zitate und Bewertungstexte, Chat-Eingaben, Zugangsdaten zu verbundenen Diensten (API-Schlüssel, Anwendungspasswörter) sowie inhaltliche Angaben, die der Kunde selbst einträgt.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrages und dürfen nicht in das Tool eingegeben werden. Der Kunde stellt sicher, dass für Fotos, Namen und Aussagen von Personen, die er in Beiträgen verwendet, eine Rechtsgrundlage vorliegt (etwa eine Einwilligung).

5. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung der Funktionen des Tools gilt als Weisung; darüber hinausgehende Weisungen erteilt der Kunde in Textform an hallo@pitoora.de. Halten wir eine Weisung für rechtswidrig, weisen wir darauf hin und dürfen die Ausführung aussetzen.

Eine Übermittlung in ein Drittland außerhalb der EU erfolgt nur im Rahmen der in Ziffer 8 genannten Unterauftragsverarbeiter oder auf ausdrückliche Weisung des Kunden.

6. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorschriften unterrichtet. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Transportverschlüsselung: Alle Verbindungen laufen ausschließlich über TLS.
Zugangskontrolle: Anmeldung über Magic-Link; Sitzungen laufen automatisch ab.
Zugriffskontrolle: Mandantentrennung auf Datenbankebene – jeder Betrieb sieht ausschließlich die eigenen Daten. Rollen- und Sitzplatzverwaltung je Konto.
Serverstandort: Deutschland (siehe Ziffer 8).
Nicht-Ausliefern von Datenbeständen: Datenbank- und Konfigurationsdateien sind serverseitig von der Auslieferung ausgeschlossen.
Verfügbarkeit: Regelmäßige Sicherungen durch den Hosting-Dienstleister.
Datenminimierung: An den KI-Dienst wird nur der für die jeweilige Erzeugung nötige Kontext übermittelt.

8. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland – Hosting, Datenbank und Versand der System-E-Mails. Serverstandort Deutschland.
OpenAI, L.L.C., San Francisco, USA – Erzeugung und Bearbeitung von Texten und Bildern, Transkription von Audioaufnahmen, Beantwortung von Chatbot-Anfragen. Übermittelt werden die jeweils zu verarbeitenden Inhalte (Texte, Bilder, Audio, Chat-Eingaben) sowie der dafür nötige Kontext aus dem Firmenprofil. OpenAI nutzt über die API übermittelte Daten vertragsgemäß nicht zum Training seiner Modelle. Grundlage der Übermittlung in die USA sind die EU-Standardvertragsklauseln als Bestandteil des OpenAI Data Processing Addendum.

Keine Unterauftragsverarbeiter von uns sind Dienste, die der Kunde selbst beauftragt und mit Pitoora verbindet – insbesondere Brevo (Newsletter) und die eigene WordPress-Installation. Den Auftragsverarbeitungsvertrag dafür schließt der Kunde direkt mit dem jeweiligen Anbieter; wir greifen mit den hinterlegten Zugangsdaten ausschließlich auf seine Weisung darauf zu. Pexels (Berlin) liefert lizenzfreie Bilder und Videos; dabei werden keine personenbezogenen Daten des Kunden übermittelt.

Über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters informieren wir mindestens vier Wochen vorher per E-Mail. Der Kunde kann innerhalb dieser Frist widersprechen; in diesem Fall darf er den Vertrag zum Wirksamwerden der Änderung kündigen.

9. Unterstützung des Verantwortlichen

Wir unterstützen den Kunden bei der Beantwortung von Betroffenenanfragen (Art. 15–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldepflichten. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir den Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und beantworten sie nicht selbst.

10. Nachweis und Kontrolle

Wir stellen dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses Vertrages erforderlichen Informationen zur Verfügung. Kontrollen erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

11. Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrages löschen wir die verarbeiteten Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Vor Ablauf dieser Frist kann der Kunde seine Daten in einem gängigen Format exportieren. Rechnungs- und Buchhaltungsdaten bewahren wir nach den handels- und steuerrechtlichen Fristen auf; sie sind nicht Gegenstand dieses Vertrages.

12. Schlussbestimmungen

Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Änderungen bedürfen der Textform. Maßgeblich ist die Fassung, die dem Kunden bei Vertragsschluss als PDF übermittelt wurde; über Änderungen informieren wir in Textform.

Fragen zu diesem Vertrag: hallo@pitoora.de