Vereinbarung zur Auftragsverarbeitung (AVV)

1. Parteien und Rollen

Auftragsverarbeiter ist Carlo Krämer, CarloMedia, Huronsee Str. 46, 10319 Berlin (nachfolgend „wir“). Verantwortlicher ist das Unternehmen, das ein Profil auf dieser Plattform registriert hat (nachfolgend „Unternehmen“).

Klarstellung der Rollen: Für den Betrieb der Plattform selbst (öffentliche Profilseiten, Verzeichnis, Verifizierung, Moderation) sind wir eigener Verantwortlicher im Sinne der DSGVO; das regelt unsere Datenschutzerklärung. Diese Vereinbarung gilt, soweit wir personenbezogene Daten im Auftrag des Unternehmens verarbeiten, insbesondere die Speicherung und Bereitstellung der über das Profil des Unternehmens eingeholten Rezensionsdaten für dessen eigene Zwecke (z. B. Anzeige im eingebetteten Widget auf der Website des Unternehmens).

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist das Erheben, Speichern, Anzeigen und Bereitstellen von Rezensionsdaten über die Plattform und das einbettbare Widget. Die Vereinbarung läuft, solange das Profil besteht, und endet automatisch mit dessen Löschung. Zweck ist ausschließlich die Erbringung der in den Nutzungsbedingungen beschriebenen Leistungen; eine Verarbeitung zu eigenen Werbezwecken auf Basis der Auftragsdaten findet nicht statt.

3. Datenarten und betroffene Personen

• Rezensionsdaten: Name bzw. Anzeigename, ggf. Firma, E-Mail-Adresse (nur zur Verifizierung, nicht öffentlich), Sternebewertung, Rezensionstext, Zeitstempel.
• Betroffene Personen: Kundinnen und Kunden des Unternehmens, die eine Rezension abgeben.

4. Unsere Pflichten

• Wir verarbeiten die Daten nur im Rahmen dieser Vereinbarung und der über die Plattform erteilten, dokumentierten Weisungen (die Nutzung der Plattformfunktionen gilt als Weisung).
• Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
• Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Hosting ausschließlich in Deutschland (ISO-27001-zertifiziertes Rechenzentrum), TLS-Verschlüsselung, Zugriffsbeschränkung, Sicherheits- Header, tokenbasierte Verifizierung, regelmäßige Datensicherungen.
• Wir unterstützen das Unternehmen bei Betroffenenanfragen (Auskunft, Berichtigung, Löschung) und bei den Pflichten aus Art. 32–36 DSGVO, soweit uns das möglich ist.
• Wir melden dem Unternehmen Verletzungen des Schutzes personenbezogener Daten, die den Auftrag betreffen, unverzüglich.
• Nach Ende des Auftrags (Profil-Löschung) löschen wir die Auftragsdaten vollständig, soweit keine gesetzliche Aufbewahrungspflicht besteht.

5. Unterauftragsverarbeiter

Das Unternehmen genehmigt allgemein den Einsatz folgender Unterauftragsverarbeiter; über beabsichtigte Änderungen informieren wir auf dieser Seite, das Unternehmen kann der Änderung widersprechen:

• Sliplane GmbH (Hosting/Betrieb, Serverstandort Deutschland, Hetzner- Rechenzentrum, ISO 27001).
• Brevo (Sendinblue GmbH, Berlin) für den Versand von Bestätigungs- und System-E-Mails (Double-Opt-in).

Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt.

6. Kontrollrechte

Das Unternehmen kann sich von der Einhaltung dieser Vereinbarung überzeugen; wir stellen dafür die erforderlichen Informationen bereit, in der Regel durch aussagekräftige Dokumentation (diese Seite, die Datenschutzerklärung und auf Anfrage per E-Mail an mail@echtstimmen.de). Vor-Ort-Kontrollen sind nach Ankündigung möglich, soweit gesetzlich erforderlich.

7. Schlussbestimmungen

Diese Vereinbarung geht bei Widersprüchen den Nutzungsbedingungen im Hinblick auf die Verarbeitung personenbezogener Daten im Auftrag vor. Es gilt deutsches Recht. Sollte eine Regelung unwirksam sein, bleibt der Rest wirksam.