Auftragsverarbeitungsvertrag (AVV)

Parteien

Verantwortlicher (im Folgenden „Kunde“):

• Firma: […]
• Anschrift: […]
• Register, falls vorhanden: […]
• Vertreten durch: [Name, Funktion]
• Ansprechperson für Datenschutz, E-Mail: […]

Auftragsverarbeiter (im Folgenden „Scalableloops“): Scalableloops GmbH, Lohbruck 22, 84307 Eggenfelden, Deutschland, Amtsgericht Landshut HRB 15329, vertreten durch die Geschäftsführer Jeremias Korbinian Burger und Nikolai Schöbel. Kontakt für Datenschutz und für Meldungen nach diesem Vertrag: [email protected].

§ 1 Gegenstand, Rangfolge und Laufzeit

1. Scalableloops stellt dem Kunden die Software-as-a-Service-Anwendung „Momentsuite“ auf Grundlage der Allgemeinen Geschäftsbedingungen (https://momentsuite.ai/rechtstexte/terms-v1/) und des vom Kunden gewählten Tarifs bereit (zusammen „Hauptvertrag“). Dabei verarbeitet Scalableloops personenbezogene Daten im Auftrag des Kunden („Kundendaten“). Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien für diese Verarbeitung.
2. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Standardvertragsklauseln, die Scalableloops mit Unterauftragsverarbeitern nach § 8 schließt, bleiben unberührt.
3. Dieser Vertrag gilt, solange Scalableloops Kundendaten verarbeitet, mindestens für die Laufzeit des Hauptvertrags. Er endet nicht vor Abschluss der Löschung oder Rückgabe nach § 11.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Art, Zweck, Datenkategorien und Kategorien betroffener Personen beschreibt Anlage V.
2. Scalableloops verarbeitet die Daten ausschließlich, um die vom Kunden genutzten Funktionen von Momentsuite bereitzustellen, Support auf Anfrage des Kunden zu leisten, Störungen zu beheben und die Sicherheit des Dienstes zu gewährleisten.
3. Der Kunde setzt Momentsuite nicht gezielt für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) ein, soweit dies nicht gesondert in Textform vereinbart ist. Enthalten eingehende Nachrichten, Bewertungen, Formulareingaben oder Medien solche Daten, gilt dieser Vertrag auch für sie.

§ 3 Abgrenzung zur eigenen Verantwortlichkeit von Scalableloops

1. Folgende Verarbeitungen nimmt Scalableloops als eigener Verantwortlicher vor. Sie fallen nicht unter diesen Vertrag und sind in der Datenschutzerklärung (https://momentsuite.ai/datenschutz.html) beschrieben:
   • Verwaltung des Kundenkontos, Vertragsabwicklung, Abrechnung und Buchhaltung,
   • einwilligungsbasierte Produktanalyse,
   • Sicherheits-, Missbrauchs- und Auditprotokolle, soweit für den Betrieb erforderlich,
   • Kommunikation mit Ansprechpartnern des Kunden über Vertrag, Support und Produktänderungen.
2. Scalableloops nutzt Kundendaten nicht für eigene Zwecke. Soweit bei den Verarbeitungen nach Absatz 1 Kundendaten anfallen, etwa Inhalte in Fehlerberichten oder Protokollen, verarbeitet Scalableloops sie ausschließlich nach diesem Vertrag. Kundendaten in Protokollen nach Absatz 1 löscht Scalableloops spätestens 12 Monate nach ihrer Entstehung; § 11 gilt für sie nicht.
3. Die Dienstleister für diese eigenen Verarbeitungen führt Anlage B, Teil 2 auf. Sie sind keine Unterauftragsverarbeiter nach § 7, solange sie nur Daten für diese Zwecke erhalten. Erhält ein Dienstleister Kundendaten, ist er insoweit Unterauftragsverarbeiter und in Anlage B, Teil 1 aufgeführt (zum Beispiel Sentry für Fehlerberichte).

§ 4 Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

1. Scalableloops verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland oder an eine internationale Organisation. Ausgenommen ist eine Verarbeitung, zu der Scalableloops nach Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet ist. In diesem Fall teilt Scalableloops dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Dokumentierte Weisungen sind dieser Vertrag, der Hauptvertrag sowie die Konfiguration und Nutzung der Funktionen von Momentsuite durch berechtigte Nutzer des Kunden, zum Beispiel Hochladen, Veröffentlichen, Verbinden von Konten, Exportieren und Löschen. Weitere Weisungen erteilt der Kunde in Textform an [email protected].
3. Für weitere Weisungen nach Absatz 2 Satz 2 berechtigt sind Nutzer des Kunden mit den Rollen Owner oder Admin eines Workspace, Company Owner oder Company Admin sowie die im Abschnitt Parteien benannte Ansprechperson. Empfänger von Weisungen bei Scalableloops ist die Geschäftsführung, erreichbar unter [email protected].
4. Ist Scalableloops der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Scalableloops den Kunden unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Scalableloops darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.
5. Weisungen zu Berichtigung, Löschung, Einschränkung und Export von Daten führt Scalableloops unentgeltlich aus. Erfordert eine sonstige Weisung Leistungen, die im Hauptvertrag nicht vorgesehen sind, teilt Scalableloops dem Kunden vorher den Aufwand in Textform mit; die Leistung wird nur nach Zustimmung des Kunden vergütet. Lehnt Scalableloops eine solche Weisung ab, kann der Kunde den Hauptvertrag fristlos kündigen; für den nicht genutzten Zeitraum bereits gezahlte Entgelte erstattet Scalableloops anteilig.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

1. Scalableloops setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.
2. Zugriff auf Kundendaten erhalten nur Personen, die ihn für ihre Aufgabe benötigen. Eine Anmeldung des Supports im Konto des Kunden („Als Nutzer anmelden“) dauert höchstens 30 Minuten je Sitzung, setzt eine dokumentierte Begründung voraus und wird mit Beginn und Ende protokolliert. Schreibende Aktionen sind dabei grundsätzlich gesperrt. Anlage A beschreibt den Umfang der Protokollierung und ihre Grenzen.

§ 6 Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

1. Scalableloops trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die zum Stand der Anlage getroffenen Maßnahmen und ihre Grenzen beschreibt Anlage A. Sie berücksichtigen den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie das Risiko für die Rechte und Freiheiten der betroffenen Personen.
2. Scalableloops überprüft die Maßnahmen regelmäßig, mindestens vierteljährlich, und bei wesentlichen Änderungen. Scalableloops darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert Scalableloops und teilt sie dem Kunden auf Anfrage mit.

§ 7 Unterauftragsverarbeiter (Art. 28 Abs. 2, Abs. 3 lit. d, Abs. 4 DSGVO)

1. Der Kunde erteilt Scalableloops die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage B, Teil 1 mit Name, Anschrift, Leistung, Verarbeitungsort und Übermittlungsgrundlage aufgeführt und gelten als genehmigt.
2. Scalableloops informiert den Kunden mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, den Scalableloops selbst beauftragt. Über Änderungen, die ein Unterauftragsverarbeiter in seiner eigenen Kette vornimmt, informiert Scalableloops den Kunden unverzüglich, nachdem es selbst davon erfahren hat. Die Mitteilung geht per E-Mail an die Owner und die im Abschnitt Parteien benannte Ansprechperson; die veröffentlichte Liste wird gleichzeitig aktualisiert.
3. Der Kunde kann der Änderung innerhalb der Frist nach Absatz 2, bei Änderungen in der Kette binnen 14 Tagen nach der Mitteilung, in Textform widersprechen; er soll den Widerspruch begründen. Widerspricht er nicht fristgerecht, gilt die Änderung als genehmigt; darauf weist die Mitteilung hin. Nach einem Widerspruch suchen die Parteien eine Lösung; bis dahin setzt Scalableloops den betroffenen Unterauftragsverarbeiter nicht für Daten des Kunden ein, soweit das technisch möglich ist. Ist das nicht möglich oder kommt binnen 30 Tagen nach dem Widerspruch keine Einigung zustande, kann der Kunde den Hauptvertrag ohne Einhaltung einer Frist kündigen, frühestens zum Zeitpunkt des Einsatzes, bei bereits begonnenem Einsatz mit sofortiger Wirkung. Für den nicht genutzten Zeitraum bereits gezahlte Entgelte erstattet Scalableloops anteilig. Wo diese Vorschrift entsprechend gilt, beträgt die Widerspruchsfrist 14 Tage ab der Mitteilung.
4. Eine kürzere Frist ist nur zulässig, soweit ein kurzfristiger Ersatz zur Abwehr einer Gefahr für die Daten oder den Dienst erforderlich ist, etwa nach einem Sicherheitsvorfall oder bei Insolvenz eines Unterauftragsverarbeiters. Auch dann informiert Scalableloops den Kunden vor dem Einsatz, so früh wie möglich. Absatz 3 gilt entsprechend.
5. Scalableloops schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm inhaltlich dieselben Datenschutzpflichten auferlegt wie dieser Vertrag, soweit sie auf den übertragenen Teil der Verarbeitung anwendbar sind; dies gilt auch für weitere Stufen der Kette. Dazu gehören insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Scalableloops gegenüber dem Kunden für dessen Pflichterfüllung (Art. 28 Abs. 4 Satz 2 DSGVO).
6. Scalableloops hält Name, Anschrift und Leistung aller Stufen der Kette bereit, soweit die Unterauftragsverarbeiter sie veröffentlichen, und übermittelt sie dem Kunden auf Anfrage.
7. Keine Unterauftragsverarbeiter sind Dienstleister, die der Kunde selbst auswählt und mit denen er selbst einen Vertrag hat, zum Beispiel soziale Netzwerke, Bewertungsplattformen oder Cloud-Speicher, die der Kunde mit Momentsuite verbindet (Anlage B, Teil 3). Scalableloops überträgt dorthin Daten nur auf Weisung des Kunden.

§ 8 Übermittlung in Drittländer und Ersuchen von Behörden

1. Anwendungs-Backend und Medienspeicher liegen in der Europäischen Union. Einzelne Unterauftragsverarbeiter verarbeiten Daten außerhalb des EWR oder können Zugriff von dort haben. Anlage B nennt den Verarbeitungsort, soweit der Empfänger ihn benennt. Wo dort „weitere Länder“ oder „weltweit“ steht, sind die Länder Scalableloops nicht abschließend bekannt.
2. Der Kunde weist Scalableloops an, Kundendaten in dem in Anlage B beschriebenen Umfang an die dort genannten Empfänger in Drittländern zu übermitteln. Scalableloops übermittelt Kundendaten in ein Drittland nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Anlage B nennt je Empfänger die Grundlage: den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger auf der Teilnehmerliste steht, oder die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914) mit dem im Vertrag mit dem Empfänger vereinbarten Modul.
3. Bei Standardvertragsklauseln erstellt Scalableloops eine dokumentierte Bewertung nach deren Klausel 14 (Transfer Impact Assessment) und stellt dem Kunden auf Anfrage eine Kopie der Klauseln und eine Zusammenfassung der Bewertung zur Verfügung.
4. Scalableloops vereinbart mit US-Unterauftragsverarbeitern, die sich auf das Data Privacy Framework stützen, zusätzlich Standardvertragsklauseln, damit die Übermittlung abgesichert bleibt, falls der Angemessenheitsbeschluss entfällt.
5. Fällt eine Grundlage weg, informiert Scalableloops den Kunden unverzüglich und stellt die Übermittlung ein oder sichert sie anders ab. § 7 Abs. 3 gilt entsprechend.
6. Verlangt eine Behörde oder ein Gericht die Herausgabe von Kundendaten, informiert Scalableloops den Kunden unverzüglich, soweit das rechtlich zulässig ist, prüft die Rechtmäßigkeit des Ersuchens, legt nur die mindestens erforderlichen Daten offen und schöpft zumutbare Rechtsbehelfe gegen unrechtmäßige Ersuchen aus. Scalableloops verpflichtet Unterauftragsverarbeiter entsprechend; bei Standardvertragsklauseln gilt deren Klausel 15.

§ 9 KI-Funktionen

1. Für KI-Funktionen übermittelt Scalableloops die dafür erforderlichen Eingaben, zum Beispiel Prompts, Markenkontext, Website-Inhalte, Bilder und Videos, an die in Anlage B genannten KI-Anbieter. Der Kunde entscheidet, ob er eine Funktion nutzt. Welcher KI-Anbieter aus Anlage B sie ausführt, legt Scalableloops fest. Die in Anlage V genannten Funktionen laufen ohne weiteren Klick; Anlage V nennt, welche davon voreingestellt an sind und wie sie sich abschalten lassen.
2. Scalableloops verwendet Kundendaten weder selbst noch durch Dritte zum Training, Fine-Tuning oder zur Verbesserung von KI-Modellen. Scalableloops setzt nur KI-Anbieter ein, die dies vertraglich auch für ihre eigenen Unterauftragsverarbeiter zugesagt haben, und nur Modelle oder Routen, für die diese Zusage gilt. Anlage B nennt je Anbieter die Einstellungen und die Speicherfristen.
3. Ändert ein KI-Anbieter seine Bedingungen zu Speicherung oder Training zum Nachteil des Kunden, informiert Scalableloops den Kunden unverzüglich, nachdem es davon erfahren hat; § 7 Abs. 3 gilt entsprechend.
4. Neue KI-Funktionen, die ohne weiteren Klick laufen, teilt Scalableloops vorab in Textform mit; § 7 Abs. 3 gilt entsprechend.

§ 10 Unterstützung des Kunden (Art. 28 Abs. 3 lit. e und f DSGVO)

1. Betroffenenrechte. Scalableloops unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Der Kunde kann Daten in Momentsuite selbst einsehen, berichtigen und löschen, soweit die Anwendung dies vorsieht; Grenzen nennen die Anlagen A und C, den Export beschreibt Anlage C. Im Übrigen führt Scalableloops Löschungen auf Anforderung in Textform aus und gibt sie an Unterauftragsverarbeiter weiter. Wendet sich eine betroffene Person direkt an Scalableloops, leitet Scalableloops die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, außer auf Weisung des Kunden.
2. Verletzungen des Schutzes personenbezogener Daten. Scalableloops meldet dem Kunden eine Verletzung, die Kundendaten betrifft, unverzüglich, spätestens 48 Stunden, nachdem Scalableloops von ihr Kenntnis erlangt hat. Kenntnis hat Scalableloops, sobald die Geschäftsführung oder eine mit Betrieb oder Sicherheit des Dienstes betraute Person sie hat oder die Meldung eines Unterauftragsverarbeiters eingeht. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktperson. Fehlende Angaben reicht Scalableloops nach, sobald sie vorliegen. Scalableloops ergreift unverzüglich Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern. Den Ablauf beschreibt Anlage D.
3. Folgenabschätzung und Konsultation. Scalableloops unterstützt den Kunden unter Berücksichtigung der vorliegenden Informationen bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO), insbesondere durch Beschreibung der Verarbeitung, der Unterauftragsverarbeiter und der Sicherheitsmaßnahmen.
4. Sicherheit. Scalableloops unterstützt den Kunden bei der Einhaltung seiner Pflichten aus Art. 32 DSGVO durch die Maßnahmen nach § 6 und Auskünfte darüber.
5. Unterstützung nach Absatz 1 und Absatz 2 ist unentgeltlich. Unterstützung nach Absatz 3 und 4 ist unentgeltlich, soweit sie mit diesem Vertrag und vorhandenen Unterlagen erledigt ist. Darüber hinaus wird sie nach vorheriger Aufwandsschätzung in Textform und Zustimmung des Kunden vergütet. Beruht der Aufwand auf einem Pflichtverstoß von Scalableloops, ist er unentgeltlich.

§ 11 Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)

1. Nach Ende der Leistungserbringung löscht Scalableloops nach Wahl des Kunden alle Kundendaten oder gibt sie ihm zurück und löscht danach die vorhandenen Kopien, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht.
2. Wahl und Rückgabe. Der Kunde trifft seine Wahl bis spätestens 30 Tage nach Ende des Hauptvertrags in Textform. Bis dahin kann er seine Daten über die Exportfunktion abrufen (Anlage C). Daten, die der Export nicht enthält, insbesondere Mediendateien und Dokumente, stellt Scalableloops auf Anforderung in einem gängigen Format bereit. Verlangt der Kunde die Löschung, löscht Scalableloops die Daten binnen 14 Tagen in den eigenen Systemen und veranlasst die Löschung bei den Unterauftragsverarbeitern.
3. Löschung ohne Wahl. Trifft der Kunde keine Wahl, löscht Scalableloops die Daten spätestens 60 Tage nach Ende des Hauptvertrags in den eigenen Systemen und veranlasst die Löschung bei den Unterauftragsverarbeitern.
4. Restkopien. Kopien in Sicherungen werden im Rahmen der regulären Rotation überschrieben, spätestens 60 Tage nach der Löschung. Kopien bei KI-Anbietern und im Zwischenspeicher des Netzes laufen nach den in Anlage B und C genannten Fristen ab, spätestens nach 90 Tagen. Bis dahin sind Restkopien gegen Zugriff geschützt, werden nicht anderweitig verwendet und unterliegen § 7 Abs. 5.
5. Scalableloops bestätigt dem Kunden die Löschung auf Anfrage in Textform.
6. Daten, die Scalableloops aufgrund gesetzlicher Aufbewahrungspflichten speichern muss, werden gesperrt und nach Ablauf der Pflicht gelöscht.

§ 12 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

1. Scalableloops stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere Anlage A, Anlage B, Nachweise der Unterauftragsverarbeiter und, sobald vorhanden, Zertifikate oder Prüfberichte. Prüfungen bei Unterauftragsverarbeitern richten sich nach den Verträgen mit ihnen; Scalableloops nimmt die dort vorgesehenen Prüfrechte auf Verlangen des Kunden wahr und teilt ihm das Ergebnis mit. Scalableloops verfügt derzeit über keine eigene Zertifizierung.
2. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung dieses Vertrags überprüfen, einschließlich Inspektionen. Scalableloops wirkt daran mit. Scalableloops kann einen Prüfer nur aus wichtigem Grund ablehnen, insbesondere wenn er für einen Wettbewerber von Scalableloops tätig ist.
3. Prüfungen vor Ort sind mit einer Frist von mindestens 30 Tagen anzukündigen, sofern nicht ein konkreter Anlass, etwa eine Verletzung nach § 10 Abs. 2 oder eine Anordnung der Aufsichtsbehörde, eine kürzere Frist erfordert. Sie finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Daten anderer Kunden sind von der Prüfung ausgenommen. Informationen, deren Offenlegung die Sicherheit des Dienstes gefährden würde, darf auf Verlangen des Kunden ein unabhängiger, zur Verschwiegenheit verpflichteter Prüfer einsehen.
4. Jede Partei trägt ihre eigenen Kosten. Für mehr als eine anlasslose Prüfung pro Kalenderjahr kann Scalableloops den nachgewiesenen Aufwand berechnen. Anlassbezogene und behördlich angeordnete Prüfungen sind für den Kunden kostenfrei. Ergibt eine Prüfung einen wesentlichen Verstoß von Scalableloops, trägt Scalableloops auch die angemessenen, nachgewiesenen Kosten des Kunden für diese Prüfung.
5. Scalableloops informiert den Kunden unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie die Verarbeitung für den Kunden betreffen.

§ 13 Pflichten des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen, erforderliche Einwilligungen, etwa von Personen auf Fotos oder Gästen, deren Bewertungen er beantwortet, und die Entscheidung über eine Datenschutz-Folgenabschätzung.
2. Der Kunde informiert Scalableloops unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 14 Haftung

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.
2. Im Verhältnis der Parteien haftet jede Partei unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz und aus einer Garantie. Bei einfacher Fahrlässigkeit haftet sie nur für die Verletzung einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung die andere Partei regelmäßig vertrauen darf, begrenzt auf den vertragstypischen, vorhersehbaren Schaden. Ansprüche betroffener Personen nach Art. 82 DSGVO und der Ausgleich nach Art. 82 Abs. 5 DSGVO bleiben unberührt.
3. Für Unterauftragsverarbeiter haftet Scalableloops wie für eigenes Handeln.

§ 15 Schlussbestimmungen

1. Dieser Vertrag wird schriftlich abgefasst, auch in elektronischem Format (Art. 28 Abs. 9 DSGVO), etwa durch elektronische Signatur, durch Austausch unterzeichneter Fassungen oder, sobald Scalableloops das anbietet, durch Annahme in der Anwendung. Bei Annahme in der Anwendung protokolliert Scalableloops Fassung, Zeitpunkt und annehmende Person.
2. Änderungen dieses Vertrags bedürfen der Textform. Änderungen der Anlage A erfolgen nach § 6 Abs. 2, Änderungen der Anlage B nach § 7. Die Anlagen V, A, B und C sind Vertragsbestandteil, Anlage D dient der Information.
3. Scalableloops kann diesen Vertrag ändern, soweit Gesetz, Rechtsprechung oder Vorgaben einer Aufsichtsbehörde das erfordern oder die Änderung das Schutzniveau für den Kunden nicht verringert. Scalableloops teilt die geänderte Fassung mindestens 30 Tage vor ihrem Inkrafttreten in Textform mit und weist auf das Widerspruchsrecht und die Folgen eines unterlassenen Widerspruchs hin. Widerspricht der Kunde nicht innerhalb dieser Frist in Textform, gilt die geänderte Fassung. Widerspricht er, gilt die bisherige Fassung weiter; § 7 Abs. 3 Satz 5 und 6 gilt entsprechend.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.
5. Es gilt deutsches Recht. Sind beide Parteien Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliche Sondervermögen, ist Gerichtsstand der Sitz von Scalableloops.
6. Dieser Vertrag enthält keine Verpflichtung als mitwirkende Person nach § 203 Abs. 3 und 4 StGB. Kunden, die Berufsgeheimnisträger sind (zum Beispiel Arztpraxen, Kliniken oder Kanzleien), schließen dafür eine Zusatzvereinbarung, bevor sie geschützte Geheimnisse in Momentsuite verarbeiten.

Dieser Vertrag wird elektronisch abgeschlossen, durch Zustimmung in Momentsuite. Eine Unterschrift ist nicht erforderlich.

Anlage V: Beschreibung der Verarbeitung

Art und Zweck

Bereitstellung der SaaS-Anwendung Momentsuite für Marketing: Hosting, Speicherung, Organisation, Anzeige, Übertragung, Synchronisierung, Umwandlung, KI-gestützte Erzeugung und Analyse, Veröffentlichung auf verbundenen Plattformen, Export und Löschung von Kundendaten sowie Support auf Anfrage des Kunden und Behebung von Störungen.

Kategorien personenbezogener Daten

• Nutzerdaten der Mitarbeitenden des Kunden: Name, E-Mail-Adresse, Rolle, Organisationszugehörigkeit, Anmeldekennungen,
• Inhalte: Beiträge, Bildunterschriften, Kampagnen, Kalender, Strategien, Menüs, Landing Pages, Dokumente,
• Medien: Fotos und Videos, auch mit erkennbaren Personen, Vorschaubilder, Metadaten, Dateinamen,
• Daten verbundener Konten: Konto-Kennungen, Zugriffstokens (verschlüsselt gespeichert), Veröffentlichungsdaten,
• Nachrichten und Bewertungen: Nachrichtentexte, Bewertungstexte und -sterne, Namen und Profildaten der Verfasser, Antwortentwürfe,
• Website- und Markendaten: Inhalte der Website des Kunden, Markenmaterial,
• KI-Daten: Eingaben, Kontext, Ergebnisse,
• Formulareingaben von Besuchern der Landing Pages des Kunden, Leads aus Werbeformularen.

Kategorien betroffener Personen

Mitarbeitende und Beauftragte des Kunden, Gäste und Kunden des Kunden, insbesondere Verfasser von Bewertungen und Nachrichten, Personen auf Fotos und Videos, Nutzer sozialer Netzwerke, die mit den Konten des Kunden interagieren, Besucher und Formularabsender der Landing Pages des Kunden.

KI-Funktionen, die ohne weiteren Klick laufen

Ansprechpartner

• Kunde: siehe Abschnitt Parteien.
• Scalableloops: Geschäftsführung, [email protected].

Anlage A: Technische und organisatorische Maßnahmen

Stand 01.11.2026. Die Anlage beschreibt den tatsächlichen Stand, nicht das Ziel.

Speicherort

• Anwendungs-Backend und Datenbank: Convex, Region Europa (Irland).
• Medienspeicher: Cloudflare R2 mit EU-Jurisdiktion. Die Auslieferung über das Cloudflare-Netz erfolgt weltweit.
• Eigene Rechenzentren betreibt Scalableloops nicht. Die Zutrittskontrolle liegt bei den Betreibern der Rechenzentren.

Zugriffskontrolle

• Anmeldung über Clerk. Rollen auf Workspace-Ebene (Owner, Admin, Editor, Viewer) und Unternehmens-Ebene (Company Owner, Company Admin, Company Viewer), serverseitig geprüft.
• Daten sind je Workspace getrennt. Das Löschen eines Workspace erfasst die workspacebezogenen Tabellen über ein zentrales Register.
• Interne Rollen: Super Admin, Admin, Support, Finance, Viewer.
• Support-Anmeldung im Kundenkonto: höchstens 30 Minuten, Begründung Pflicht, Beginn, Ende und Abbruch protokolliert, schreibende Aktionen grundsätzlich gesperrt.

Verschlüsselung

• Übertragung per HTTPS/TLS.
• Zugriffstokens verbundener Konten: anwendungsseitig mit AES-256-GCM verschlüsselt, Schlüssel mit Rotationsmöglichkeit.
• Verschlüsselung im Ruhezustand durch die Speicheranbieter nach deren Angaben.

Speicherung von Dateien

Protokollierung

• Änderungen durch interne Nutzer werden mit Akteur, Aktion, Ziel und Grund protokolliert. Support-Anmeldungen werden protokolliert.
• Im Workspace werden Kanal-, Token- und Kommentar-Ereignisse protokolliert.
• Die Aufbewahrung dieser Protokolle nennt Anlage C.

KI, Fehlerdiagnose und Analyse

• KI-Anbieter erhalten die für die jeweilige Funktion nötigen Eingaben. Scalableloops wählt die Anbieter zentral aus.
• Gemini läuft über Vertex AI am EU-Endpunkt. Die Anwendung lehnt jeden Standort außerhalb der EU ab. Im Google-Cloud-Projekt dürfen Ressourcen nur in der EU angelegt werden, der Zwischenspeicher für Eingaben ist abgeschaltet, und die Dienstkonten dürfen nur Modelle aufrufen. Staging und Produktion haben getrennte Dienstkonten.
• Anfragen an OpenRouter gehen an den EU-Endpunkt und tragen je Anfrage die Vorgaben „keine Datensammlung“ und „keine Datenspeicherung“.
• Fehlerberichte (Sentry) werden vor dem Versand bereinigt; einzelne technische Meldungen aus dem Backend können Meldungstexte unbereinigt enthalten.
• Produktanalyse (PostHog) läuft nur nach Einwilligung des Nutzers, ohne automatische Klickerfassung und ohne Sitzungsaufzeichnung.

Verfügbarkeit

Die Verfügbarkeit hängt von den in Anlage B genannten Anbietern ab. Sicherungen laufen im Zyklus des jeweiligen Anbieters; § 11 Abs. 4 begrenzt ihre Dauer nach einer Löschung. Feste Wiederherstellungszeiten sind nicht zugesagt.

Grenzen des aktuellen Stands

• Einzelne Lesezugriffe interner Nutzer auf Kundeninhalte werden nicht durchgängig protokolliert.
• Medien, Dokumente und Datenexporte im öffentlich ausgelieferten Speicher sind nicht durch eine Anmeldung geschützt. Nach dem Löschen können Medien über eine bekannte Adresse noch abrufbar sein, bis der Zwischenspeicher des Netzes abgelaufen ist.
• Das Löschen eines einzelnen Standorts entfernt dessen Daten in der Anwendung nicht vollständig. Die vollständige Löschung führt Scalableloops auf Anforderung in Textform aus.
• Eine Zwei-Faktor-Pflicht für Kundennutzer lässt sich derzeit nicht zentral erzwingen.
• Scalableloops verfügt über keine eigene Zertifizierung nach ISO 27001, SOC 2 oder BSI C5.

Anlage B: Unterauftragsverarbeiter und Empfänger

Stand der Prüfung 01.11.2026. Abkürzungen: DPF = EU-US Data Privacy Framework (Eintrag in der offiziellen Teilnehmerliste gelesen), SCC = Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 im Vertrag mit dem Empfänger. Weitere Stufen der Kette führt der jeweilige Empfänger in seiner eigenen Liste; Scalableloops stellt sie nach § 7 Abs. 6 auf Anfrage bereit.

Teil 1: Unterauftragsverarbeiter nach § 7

KI-Anbieter

Hinweis zu Modul 2: Scalableloops handelt für den Kunden als Auftragsverarbeiter. Für diese Konstellation sind die Klauseln des Moduls 3 vorgesehen; die Anbieter Convex, OpenRouter und fal bieten in ihrem Standardvertrag derzeit Modul 2 an, Scalableloops ist dort Datenexporteur. Scalableloops gibt Weisungen, Meldungen und Prüfergebnisse zwischen dem Kunden und diesen Anbietern weiter.

Teil 2: Dienstleister für eigene Verarbeitungen von Scalableloops (§ 3)

Teil 3: Vom Kunden gewählte Dienste (§ 7 Abs. 7)

Meta (Facebook, Instagram, Threads), Google (Business Profile, YouTube, Ads, Drive), LinkedIn, TikTok, Microsoft (OneDrive, SharePoint). Daten gehen dorthin, wenn der Kunde das Konto verbindet und die Funktion nutzt. Es gelten die Verträge zwischen dem Kunden und dem jeweiligen Anbieter.

Anlage C: Aufbewahrung, Export und Löschung

Aufbewahrung

Die Fristen gelten während der Laufzeit. Nach Vertragsende geht § 11 vor, ausgenommen Protokolle, die Scalableloops als eigener Verantwortlicher nach § 3 führt.

Export

Der Export ist eine JSON-Datei und enthält Beiträge, Medien-Metadaten mit Links, Kanäle ohne Zugangsdaten, Nachrichten, Bewertungen, Strategien, Menüs und Landing Pages. Er wird über die Unternehmens-Ebene angefordert. Nicht enthalten sind die Mediendateien selbst, Dokumente, Werbedaten, KI-Protokolle und Mitgliederlisten; diese stellt Scalableloops nach § 11 Abs. 2 bereit. Zugriffstokens und andere Geheimnisse werden nie exportiert.

Löschung

• Workspace: Der Owner löscht in der Anwendung sofort und unwiderruflich, sobald kein aktives Abonnement mehr läuft. Für Restkopien gilt § 11 Abs. 4.
• Einzelner Standort: siehe Anlage A, Grenzen des aktuellen Stands.
• Getrennte Kanäle: Gespeicherte Tokens werden gelöscht, die Berechtigung wird beim Anbieter widerrufen, soweit er das anbietet und keine andere Verbindung sie nutzt.

Anlage D: Ablauf bei Sicherheitsvorfällen

1. Erkennen und Melden an die Geschäftsführung, Einstufung nach Schweregrad.
2. Eindämmen, etwa durch Austausch von Zugangsdaten, Abschalten von Integrationen und Sperren von Zugriffen.
3. Beweise sichern: Protokolle, Zeitstempel, Hinweise der Anbieter.
4. Betroffene Daten bewerten und die im Abschnitt Parteien benannte Ansprechperson des Kunden nach § 10 Abs. 2 informieren.
5. Ursache beheben, wiederherstellen, überwachen, Vorfall dokumentieren.

Meldungen an Scalableloops gehen an [email protected].