Vereinbarung gemeinsam Verantwortlicher

§ 1. Parteien und Gegenstand

1. Gemeinsam Verantwortliche für die Daten der Autoren sind: VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (nachfolgend: „VERTOM“) sowie der Kunde.

2. Die gemeinsame Verantwortlichkeit umfasst das Auslesen öffentlicher Beiträge in den angegebenen Quellen, deren Bewertung, die Erstellung eines Antwortentwurfs, die Speicherung von Leads und den Versand von Benachrichtigungen.

3. Die gemeinsame Verantwortlichkeit umfasst nicht, was der Kunde nach dessen Erhalt mit dem Lead macht: die Kontaktaufnahme mit dem Autor, die Speicherung von Daten in eigenen Systemen und die weitere Korrespondenz. Insoweit ist der Kunde eigenständiger Verantwortlicher und dafür selbst verantwortlich.

4. Die Vereinbarung gilt für die Dauer des Vertrags über die Nutzung des Service und bis zur Löschung der Daten gemäß § 9.

§ 2. Art, Zweck, Art der Daten und Kategorien von Personen

1. Art der Verarbeitung: automatisierte Erhebung, Erfassung, Ordnung, Speicherung, Inhaltsanalyse, Bereitstellung für den Kunden und Löschung.

2. Zweck: Identifizierung öffentlicher Beiträge, in denen der Autor einen Bedarf an einem Produkt oder einer Dienstleistung des Kunden äußert, um dem Kunden die Kontaktaufnahme zu ermöglichen.

3. Art der Daten: Vor- und Nachname oder Profilname des Autors, Link zum Profil, sofern es öffentlich ist, Inhalt des Beitrags, Veröffentlichungsdatum, Adresse der Quelle, öffentliche Zähler für Reaktionen und Kommentare, Ergebnis der Bewertung des Beitrags einschließlich der vom Service generierten Begründung, Inhalt des Antwortentwurfs sowie der vom Kunden vergebene Status des Leads.

4. Kategorien von Personen: Autoren öffentlicher Beiträge in den vom Kunden angegebenen Quellen, in den Diensten Facebook, Reddit und X.

5. Wir verarbeiten nicht absichtlich Daten besonderer Kategorien. Das Verzeichnis verbotener Quellen bestimmt VERTOM (Nutzungsordnung § 7 Abs. 3), und es gilt unabhängig vom Willen des Kunden. Enthält ein Beitrag dennoch solche Daten, werden sie ausschließlich als Bestandteil des Inhalts des Beitrags verarbeitet, ohne gesonderte Analyse, und unterliegen derselben Löschfrist wie die übrigen Daten.

§ 3. Aufteilung der Pflichten (Art. 26 Abs. 1 DSGVO)

1. VERTOM bestimmt und führt Folgendes aus: die Methode des Auslesens von Beiträgen, den Umfang der gespeicherten Felder, die Aufbewahrungsfrist, das für die Bewertung verwendete Modell, die Entfernung identifizierender Daten aus dem an das Modell übermittelten Inhalt, das Verzeichnis verbotener Quellen sowie technische und organisatorische Maßnahmen (§ 4).

2. Der Kunde bestimmt und führt Folgendes aus: die Liste der Quellen, die Bewertungskriterien, den Zeitplan der Scans, die Benachrichtigungskanäle sowie den Zweck und die Art der Nutzung des Leads nach dessen Erhalt.

3. Die Informationspflicht gegenüber den Autoren (Art. 14 DSGVO) erfüllt VERTOM. Die Information wird unter useleadscanner.com/legal/notice-for-authors veröffentlicht, in jeder Sprache, in der der Service verfügbar ist. Der Kunde gibt einem Autor, der ihn nach der Quelle seiner Daten fragt, diese Adresse an.

4. Kontaktstelle für Autoren im Sinne von Art. 26 Abs. 1 Satz 3 DSGVO ist VERTOM: [email protected]. VERTOM nimmt Anträge der Autoren entgegen und bearbeitet sie (§ 8), auch wenn sie Daten in der Organisation des Kunden betreffen. Ein Kunde, der einen Antrag unmittelbar erhält, leitet ihn unverzüglich an diese Adresse weiter.

5. Unabhängig von der vorstehenden Aufteilung kann der Autor seine ihm zustehenden Rechte gegenüber jedem der gemeinsam Verantwortlichen ausüben (Art. 26 Abs. 3 DSGVO), und jeder von ihnen haftet gegenüber dem Autor nach Maßgabe von Art. 82 DSGVO.

6. Ist VERTOM der Ansicht, dass eine vom Kunden vorgenommene Einstellung gegen Datenschutzvorschriften verstößt, informiert es den Kunden darüber und kann die Scans bis zur Klärung aussetzen.

§ 4. Maßnahmen und Pflichten von VERTOM

1. VERTOM stellt sicher, dass sich die zur Datenverarbeitung befugten Personen zur Geheimhaltung verpflichtet haben und nur Personen Zugriff auf die Daten der Autoren haben, für die dieser erforderlich ist; jedes Auslesen der Daten von Autoren durch einen Betreiber des Service außerhalb des gewöhnlichen Betriebs des Service wird im Auditprotokoll erfasst.

2. Es setzt dem Risiko angemessene technische und organisatorische Maßnahmen um, insbesondere: Verschlüsselung von Verbindungen, Verschlüsselung von Integrationsgeheimnissen im Ruhezustand, Isolierung der Daten jeder Organisation mit nicht vorhersehbaren Kennungen, Zwei-Faktor-Authentifizierung für Betreiberkonten, Begrenzung der Anzahl von Anmeldeversuchen, automatische Löschung der Daten nach Ablauf der Aufbewahrungsfrist, Sicherungskopien im Europäischen Wirtschaftsraum sowie Entfernung identifizierender Daten aus dem an das Sprachmodell übermittelten Inhalt vor dessen Versand.

3. Es bearbeitet Anträge der Autoren zentral (§ 8) und informiert den Kunden darüber, soweit dies möglich ist. Einen an den Kunden gerichteten Antrag bearbeitet VERTOM innerhalb von 7 Tagen nach dessen Weiterleitung.

4. Es stellt dem Kunden die Informationen zur Verfügung, die erforderlich sind, um die Erfüllung der Pflichten aus Art. 26 sowie Art. 32–36 DSGVO nachzuweisen, soweit diese den von VERTOM durchgeführten Teil der Verarbeitung betreffen.

5. Es informiert den Kunden über eine Verletzung des Schutzes personenbezogener Daten, die Daten von Autoren betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Feststellung der Verletzung, unter Angabe der ihm bekannten Umstände, Kategorien und ungefähren Anzahl der Personen sowie der ergriffenen Maßnahmen. Meldungen an die Aufsichtsbehörde in Bezug auf die in § 3 Abs. 1 genannte Verarbeitung nimmt VERTOM vor.

6. Es ermöglicht dem Kunden, die Durchführung dieser Vereinbarung nach Maßgabe von § 6 zu überprüfen.

§ 5. Auftragsverarbeiter und Datenquellen

1. VERTOM nutzt die unter useleadscanner.com/legal/subprocessors aufgeführten Auftragsverarbeiter in dem dort beschriebenen Umfang. Der Kunde erteilt hierfür eine allgemeine Zustimmung.

2. Dieselbe Liste nennt die Datenquellen: Unternehmen, die öffentliche Inhalte der Dienste Reddit und X bereitstellen. Sie handeln nicht in unserem Auftrag — sie bestimmen selbst, auf welche Weise sie diese Inhalte erheben, und treten in Bezug auf die Daten der Autoren als eigenständige Verantwortliche auf. Sie sind keine Auftragsverarbeiter, und wir schließen mit ihnen keine Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO; wir nennen sie, weil die Daten der Autoren von ihnen stammen und der Kunde das Recht hat zu wissen, woher sie stammen.

3. Über die beabsichtigte Hinzufügung oder Änderung eines Auftragsverarbeiters oder einer Datenquelle informiert VERTOM den Kunden mindestens 30 Tage vorher per E-Mail. Der Kunde kann innerhalb dieser Frist unter Angabe begründeter datenschutzbezogener Gründe Widerspruch einlegen. Kommen die Parteien zu keiner Einigung, kann der Kunde den Vertrag über die Nutzung des Service mit Wirkung zum Tag der Einführung der Änderung kündigen, und das Entgelt für den ungenutzten Zeitraum wird anteilig erstattet.

4. VERTOM verpflichtet jeden Auftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die VERTOM obliegen, und haftet gegenüber dem Kunden für die Erfüllung dieser Pflichten durch diesen Auftragsverarbeiter.

§ 6. Überprüfung und Audit

1. Der Kunde kann die Durchführung dieser Vereinbarung überprüfen, indem er Informationen und Unterlagen anfordert, einschließlich der Ergebnisse von Audits und Zertifikate der Auftragsverarbeiter. VERTOM antwortet innerhalb von 14 Tagen.

2. Reichen die Informationen aus Abs. 1 nicht aus, kann der Kunde selbst oder durch einen zur Geheimhaltung verpflichteten Auditor, höchstens einmal jährlich, es sei denn, es ist zu einer Verletzung des Schutzes personenbezogener Daten gekommen, mit einer Vorankündigung von mindestens 14 Tagen, während der Arbeitszeiten und in einer Weise, die den Betrieb des Service nicht stört und die Vertraulichkeit der Daten anderer Kunden nicht verletzt, ein Audit durchführen. Die Kosten des Audits trägt der Kunde, es sei denn, das Audit weist einen wesentlichen Verstoß gegen die Vereinbarung nach.

§ 7. Datenübermittlungen außerhalb des EWR

1. Die Daten der Autoren werden auf Servern im Europäischen Wirtschaftsraum gespeichert.

2. Die Übermittlung von Daten außerhalb des EWR erfolgt ausschließlich an die in der Liste gemäß § 5 Abs. 1 genannten Auftragsverarbeiter auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (einschließlich im Rahmen des EU-U.S. Data Privacy Framework) und, falls ein solcher nicht vorliegt oder für den Fall seiner Aufhebung, auf Grundlage der von der Kommission angenommenen Standardvertragsklauseln, ergänzt durch eine Bewertung der Auswirkungen der Übermittlung.

3. Anbieter des im KI-Modus verwendeten Sprachmodells ist OpenAI Ireland Ltd (EWR) auf Grundlage eines Auftragsverarbeitungsvertrags mit OpenAI. Anfragen an das Modell werden auf Servern von OpenAI in den Vereinigten Staaten verarbeitet; Grundlage dieser Übermittlung sind die in diesen Vertrag einbezogenen Standardvertragsklauseln. Über die API übermittelte Inhalte werden nicht zum Training der Modelle verwendet. Der an das Modell übermittelte Inhalt des Eintrags wird zuvor von Vor- und Nachnamen, E-Mail-Adressen, Telefonnummern und Verweisen auf Profile befreit.

4. Der Anbieter des Zugangs zu öffentlichen Inhalten der Dienste Reddit und X hat seinen Sitz außerhalb des EWR, jedoch ist die Flussrichtung hier umgekehrt wie in Abs. 2 und 3. Wir stellen ihm keine Daten der Autoren zur Verfügung: Wir senden den Namen der Quelle und die Suchphrase und erhalten öffentliche Inhalte zusammen mit den Daten ihrer Autoren. Der Erhalt von Daten aus einer Quelle außerhalb des EWR ist eine Erhebung von Daten und keine Übermittlung im Sinne von Kapitel V DSGVO und unterliegt denselben Grundsätzen wie jede andere in dieser Vereinbarung gemeinsam Verantwortlicher beschriebene Erhebung.

5. Ein Datenfluss geht jedoch nach außen und kann eine Person identifizieren: Wenn die Quelle ein bestimmtes öffentliches Konto im Dienst X ist, verlässt dessen Name den EWR. Der Name ist öffentlich, wir senden ihn ausschließlich, um die öffentlichen Einträge dieses Kontos abzurufen, und verknüpfen ihn nicht mit anderen Daten. Die rechtliche Einordnung dieses einen Datenflusses ist Gegenstand einer rechtlichen Beratung; deren Ergebnis werden wir an dieser Stelle eintragen. Abgesehen davon dürfen personenbezogene Daten auf diesem Weg den EWR nicht verlassen, weshalb § 7 Abs. 2 Buchst. e der Nutzungsbedingungen dem Kunden untersagt, personenbezogene Daten als Suchphrase zu verwenden.

6. Die Bewertung der Rechtmäßigkeit der Quelle im Sinne der EDSA-Stellungnahme 28/2024 für beide dieser Quellen wird derzeit erarbeitet. Bis zu ihrer Erstellung nutzen wir sie unter bewusster Inkaufnahme des in § 5 Abs. 2 und in diesem Absatz beschriebenen Risikos; wir werden dem Kunden diese Bewertung auf Verlangen zur Verfügung stellen, sobald sie vorliegt.

§ 8. Widerspruch des Autors und Ausschlussliste

1. Ein Autor, der der Verarbeitung widerspricht oder die Löschung seiner Daten verlangt, kann sich an VERTOM unter [email protected] — als Kontaktstelle der gemeinsam Verantwortlichen (§ 3 Abs. 4) — oder unmittelbar an den Kunden wenden. VERTOM löscht dann die Daten des Autors aus allen Organisationen, einschließlich der Organisation des Kunden, und speichert einen irreversiblen Hash der Kennung des Autors in der Ausschlussliste, durch die weitere Scans dessen Beiträge überspringen.

2. Der Kunde nimmt zur Kenntnis, dass der Widerspruch des Autors ohne gesonderte Zustimmung des Kunden umgesetzt wird und dass sich aufgrund des lokalen Charakters der Kennung nicht immer feststellen lässt, welche Organisation betroffen war; soweit dies möglich ist, informiert VERTOM den Kunden über die Löschung.

3. Die Ausschlussliste ist eine Sammlung, die VERTOM eigenständig als Verantwortlicher auf Grundlage von Art. 6 Abs. 1 Buchst. c DSGVO (Pflicht zur Wahrnehmung der Rechte betroffener Personen) sowie Art. 6 Abs. 1 Buchst. f DSGVO (berechtigtes Interesse an der wirksamen Umsetzung des Widerspruchs) führt. Die Liste enthält ausschließlich Hashes, aus denen sich die Daten des Autors nicht wiederherstellen lassen, und wird unbefristet geführt, weil ihre Löschung eine erneute Erhebung der Daten einer Person bedeuten würde, die dies nicht wünscht.

§ 9. Beendigung der Verarbeitung

1. Die Daten der Autoren werden nach Ablauf der sich aus dem Plan ergebenden Aufbewahrungsfrist (Nutzungsordnung § 5 Abs. 6) automatisch gelöscht; Beiträge, die nicht als Lead bewertet wurden, werden auf dieselbe Weise und spätestens zusammen mit den Leads gelöscht.

2. Nach Beendigung des Vertrags über die Nutzung des Service löscht VERTOM nach Ablauf einer Karenzzeit von 30 Tagen alle im Zusammenhang mit der Organisation des Kunden verarbeiteten Daten der Autoren einschließlich ihrer Kopien, mit Ausnahme der Ausschlussliste (§ 8) sowie der Daten, deren Aufbewahrung das Recht der Union oder eines Mitgliedstaats verlangt.

3. Vor Beendigung des Vertrags kann der Kunde im Dashboard eine Kopie der Leads in einem offenen Format herunterladen. Ab dem Zeitpunkt des Herunterladens ist der Kunde hinsichtlich dieser Kopie eigenständiger Verantwortlicher und bestimmt deren Aufbewahrungsfrist selbst.

§ 10. Schlussbestimmungen

1. Jeder gemeinsam Verantwortliche haftet gegenüber dem Autor für durch die Verarbeitung verursachte Schäden nach Maßgabe von Art. 82 DSGVO; der Autor kann seinen Anspruch gegen jeden von ihnen geltend machen. Der Ausgleich zwischen den Parteien erfolgt insoweit nach der Aufteilung der Pflichten gemäß § 3. Gegenüber einem Kunden, der kein privilegierter Kunde ist, gilt die Haftungsbeschränkung gemäß § 10 der Nutzungsordnung, soweit dies nicht zwingenden Vorschriften widerspricht.

2. In nicht geregelten Angelegenheiten gelten die Nutzungsordnung und die DSGVO. Änderungen der Vereinbarung erfolgen nach dem Verfahren zur Änderung der Nutzungsordnung.

3. Die Vereinbarung wurde in sieben Sprachen erstellt; bei Abweichungen ist die polnische Fassung verbindlich. Sie gilt ab dem 7. September 2026. Sie ersetzt den Vertrag zur Auftragsverarbeitung personenbezogener Daten vom 2. September 2026, der auf der unzutreffenden Annahme beruhte, dass ausschließlich der Kunde Verantwortlicher für die Daten der Autoren ist.