Vertrag zur Auftragsverarbeitung

1. Parteien und Geltung

Verantwortlicher ist der Kunde, der RepsPublic nutzt (nachfolgend „Kunde“). Auftragsverarbeiter ist Moritz Rathmann, An der Bleiche 26, 48356 Nordwalde (nachfolgend „wir“).

Dieser Vertrag ist Teil der AGB und gilt für jede Nutzung von RepsPublic, auch während der Testphase. Er geht den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

2. Gegenstand, Dauer, Art und Zweck

Wir verarbeiten personenbezogene Daten, die der Kunde in RepsPublic anlegt, hochlädt, verbindet oder aufzeichnet, ausschließlich, um ihm die Software bereitzustellen: Leads anzeigen und ordnen, Gesprächsleitfäden und E-Mail-Entwürfe erzeugen, Gespräche transkribieren und auswerten, Daten mit dem verbundenen CRM oder Postfach austauschen.

Die Verarbeitung dauert so lange wie die Nutzung von RepsPublic, zuzüglich der Frist zur Rückgabe und Löschung nach Ziffer 9.

3. Betroffene Personen und Datenarten

• Kontakte des Kunden (Interessenten, Kunden, Ansprechpartner): Name, Firma, Position, E-Mail, Telefonnummer, Website, Notizen, Gesprächsinhalte und -mitschriften, E-Mail-Verläufe, Status im Vertriebsprozess.
• Mitarbeiter des Kunden (Nutzer): Name, E-Mail, Anmeldedaten, Rolle im Arbeitsbereich, Aktivitäten im Produkt, Sprachaufnahmen in Gesprächen.

Besondere Kategorien nach Art. 9 DSGVO (etwa Gesundheitsdaten) sind nicht vorgesehen; der Kunde legt solche Daten nicht gezielt an.

4. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag und daraus, wie der Kunde die Software bedient und einstellt. Weitere Weisungen erteilt der Kunde in Textform. Halten wir eine Weisung für rechtswidrig, sagen wir es dem Kunden unverzüglich. Eine Verarbeitung für eigene Zwecke – etwa Werbung oder das Trainieren von KI-Modellen mit Kundendaten – findet nicht statt.

5. Vertraulichkeit

Alle Personen, die bei uns Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff gibt es nur, soweit er für Betrieb, Fehlersuche oder Support nötig ist.

6. Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Kunde erlaubt uns, die in Anlage 1 genannten Dienstleister einzusetzen. Mit jedem bestehen Verträge, die ihnen dieselben Datenschutzpflichten auferlegen. Neue oder geänderte Dienstleister kündigen wir mindestens 30 Tage vorher in Textform an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; finden wir keine Lösung, kann er den Vertrag zum Wechsel kündigen.

Werden Daten in ein Land außerhalb der EU übermittelt, geschieht das auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.

8. Unterstützung des Kunden

• Rechte der Betroffenen: Fragt eine Person nach Auskunft, Löschung oder Berichtigung, unterstützen wir den Kunden dabei. Erreicht eine solche Anfrage uns direkt, leiten wir sie an den Kunden weiter.
• Datenpannen: Bemerken wir eine Verletzung des Schutzes der Daten des Kunden, informieren wir ihn unverzüglich, möglichst innerhalb von 48 Stunden, mit den Angaben, die er für eine Meldung an die Aufsichtsbehörde braucht.
• Bei einer Datenschutz-Folgenabschätzung und bei Anfragen von Behörden helfen wir mit den Informationen, die uns vorliegen.

9. Rückgabe und Löschung

Nach Vertragsende kann der Kunde seine Daten innerhalb von 30 Tagen in einem gängigen Format anfordern. Danach löschen wir sie, auch bei unseren Dienstleistern, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im normalen Zyklus überschrieben. Auf Wunsch bestätigen wir die Löschung in Textform.

10. Nachweise und Kontrollen

Wir stellen dem Kunden die Informationen bereit, die er braucht, um die Einhaltung dieses Vertrags zu prüfen. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung, während der Geschäftszeiten und ohne Störung des Betriebs möglich; Kosten trägt jede Seite selbst.

11. Haftung und Schluss

Für die Haftung gelten Art. 82 DSGVO und die Regeln der AGB. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam.

Anlage 1 – Unterauftragsverarbeiter

• Render Services, Inc., USA – Betrieb der Webanwendung (Server).
• Supabase, Inc., USA – Datenbank, Anmeldung, Dateispeicher.
• OpenAI, L.L.C., USA – KI für Analysen, Leitfäden, Einwandantworten und E-Mail-Entwürfe. Verbindet der Kunde einen eigenen OpenAI-Schlüssel, läuft die Verarbeitung über sein eigenes OpenAI-Konto.
• Deepgram, Inc., USA – Umwandlung von Gesprächsaudio in Text, nur wenn eine Aufnahme gestartet wird.

Dienste, die der Kunde selbst verbindet (etwa HubSpot, sein E-Mail-Postfach oder ein Telefonanbieter), sind keine Unterauftragsverarbeiter von uns; mit ihnen hat der Kunde einen eigenen Vertrag.

Anlage 2 – Technische und organisatorische Maßnahmen

Zugang und Zugriff

• Zugriff auf Daten nur nach Anmeldung; jeder Datensatz gehört zu genau einem Arbeitsbereich, und die Anwendung zeigt einem Nutzer nur die Daten seiner Arbeitsbereiche.
• Rollen im Arbeitsbereich (Inhaber, Mitglied); Verbindungen wie KI-Schlüssel verwaltet nur der Inhaber.
• Administrativer Zugriff auf Server und Datenbank nur durch uns, über Konten der Anbieter.

Verschlüsselung

• Alle Verbindungen zwischen Browser, Erweiterung und Server laufen verschlüsselt (HTTPS/TLS).
• Zugangsdaten, die der Kunde hinterlegt (Postfach, Telefonanbieter, KI-Schlüssel), werden zusätzlich verschlüsselt gespeichert, getrennte Schlüssel je Zweck.

Verfügbarkeit und Belastbarkeit

• Betrieb in Rechenzentren der Anbieter aus Anlage 1, die nach anerkannten Standards (u. a. SOC 2) geprüft sind.
• Regelmäßige Datensicherung der Datenbank durch den Datenbankanbieter.

Datensparsamkeit

• RepsPublic versendet nichts selbstständig; jede Nachricht schickt ein Mensch ab.
• Gespräche werden nur aufgezeichnet, wenn der Nutzer die Aufnahme startet.
• An KI-Dienste geht nur, was für die angeforderte Ausgabe nötig ist.

Organisation

• Änderungen an der Software werden versioniert und nachvollziehbar ausgeliefert.
• Diese Maßnahmen werden bei Änderungen am Produkt überprüft und angepasst.