Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung des Software-Dienstes VOQX nach den AGB. Dieser AVV gilt, solange das Abo des Kunden läuft, und danach, bis wir die personenbezogenen Daten des Kunden wie im Abschnitt „Löschung und Rückgabe“ beschrieben gelöscht haben.

2. Art und Zweck der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, um den Software-Dienst bereitzustellen: Überwachung öffentlich sichtbarer Bewertungen, Suchergebnisse und Erwähnungen zu den Firmen des Kunden auf den Plattformen, die der Kunde auswählt; Prüfung negativer Bewertungen gegen die veröffentlichten Regeln der Plattformen; Antwortvorschläge, Übersetzungen und Zusammenfassungen; Berichte und E-Mail-Benachrichtigungen; Verwaltung des Kontos und der Zugänge für Kollegen; Software-Support.

Der Software-Support ist nur lesend: Um technische Fehler zu finden und zu beheben, können wir das Dashboard des Kunden ansehen, ohne etwas zu ändern; jeder Zugriff wird protokolliert. Wir reichen keine Meldungen ein, kontaktieren keine Plattformen und veröffentlichen nichts im Namen des Kunden.

Verarbeitungsvorgänge: Erheben, Speichern, Ordnen, Auswerten (auch automatisiert durch KI-Dienste), Anzeigen, Versenden per E-Mail und Löschen.

3. Arten personenbezogener Daten

Konto- und Kontaktdaten der Nutzer und Kollegen des Kunden: Name, E-Mail-Adresse, Sprache, Rolle und Zugriffsrechte, Passwort (nur als Hash gespeichert) und Anmeldedaten.

Öffentlich sichtbare Bewertungen und Antworten zu den Firmen des Kunden, einschließlich Name oder Spitzname der bewertenden Person, Text, Sterne und Datum, so wie die Plattform sie zeigt.

Öffentlich sichtbare Suchergebnisse, Erwähnungen und Beiträge in sozialen Netzwerken über den Kunden: Titel, Kurztext und Link, nicht das Profil der Verfasser.

Nutzungsdaten: Einstellungen, Bearbeitungsstand von Bewertungen und Meldungen im Dashboard sowie technische Protokolle.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sollen nicht verarbeitet werden. Sie können aber in öffentlichen Bewertungen Dritter vorkommen; wir verarbeiten sie nur als Teil des Bewertungstexts.

4. Kategorien betroffener Personen

Nutzer des Kontos des Kunden (Inhaber und Kollegen) sowie Verfasser öffentlicher Bewertungen, Antworten, Beiträge und anderer öffentlicher Inhalte über die Firmen des Kunden, einschließlich der darin genannten Personen.

5. Weisungen

Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Die AGB, dieser AVV sowie die Einstellungen und Handlungen des Kunden im Dashboard sind die Weisungen des Kunden. Weitere Weisungen erfolgen schriftlich (E-Mail genügt) und müssen im Rahmen des Standarddienstes technisch umsetzbar sein.

Für andere Zwecke verarbeiten wir die Daten nur, wenn geltendes Recht uns dazu verpflichtet; dann informieren wir den Kunden vorher, sofern dieses Recht das nicht verbietet. Ist eine Weisung nach unserer Auffassung datenschutzwidrig, informieren wir den Kunden unverzüglich.

6. Vertraulichkeit

Alle Personen, die bei uns Zugriff auf die personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Der Zugriff ist auf das beschränkt, was für Betrieb und Support des Dienstes nötig ist.

7. Sicherheit der Verarbeitung

Wir treffen die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Wir dürfen sie dem technischen Fortschritt anpassen, solange das dort beschriebene Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Anlage 2 beschreibt die bei Annahme dieses AVV eingesetzten Unterauftragsverarbeiter. Die vollständige Liste mit Firmennamen, Zweck und Ort steht im Konto; wir senden sie außerdem jedem, der unter hello@voqx.ai danach fragt.

Wir informieren den Kunden mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, per E-Mail oder im Konto. Innerhalb dieser Frist kann der Kunde aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können wir den Widerspruch nicht ausräumen, kann der Kunde das betroffene Paket kündigen, bevor die Änderung wirksam wird.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die das gleiche Schutzniveau wie dieser AVV bieten, und bleiben gegenüber dem Kunden für deren Einhaltung verantwortlich.

9. Übermittlung in Drittländer

Die Daten des Kunden werden auf Servern in der EU (Frankfurt, Deutschland) gespeichert. Wir als Auftragsverarbeiter sitzen in Türkiye und greifen aus der Ferne auf die Daten zu, um den Dienst zu betreiben und zu unterstützen. Einige Unterauftragsverarbeiter sitzen in Ländern außerhalb der EU/des EWR, etwa in den USA, oder greifen von dort auf Daten zu.

Werden personenbezogene Daten in ein Land ohne Angemessenheitsbeschluss übermittelt, stützt sich die Übermittlung auf geeignete Garantien nach Art. 46 DSGVO. Für Übermittlungen vom Kunden an uns gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission, Modul 2: Verantwortlicher an Auftragsverarbeiter), die durch Verweis Teil dieses AVV sind. Für Weiterübermittlungen an Unterauftragsverarbeiter stützen wir uns auf die Standardvertragsklauseln oder auf einen Angemessenheitsbeschluss, etwa den EU-US-Datenschutzrahmen (Data Privacy Framework) für zertifizierte Anbieter.

10. Unterstützung des Kunden

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO). Der Kunde kann seine Daten im Dashboard ansehen und exportieren; für Berichtigungen, Löschungen und alles Weitere schreiben Sie an hello@voqx.ai.

Wendet sich eine betroffene Person wegen Daten, die wir für den Kunden verarbeiten, direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und verweisen die Person an den Kunden.

Soweit uns die Informationen vorliegen, unterstützen wir den Kunden außerdem bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 32–36 DSGVO).

11. Verletzungen des Schutzes personenbezogener Daten

Wir melden dem Kunden eine Verletzung des Schutzes seiner personenbezogenen Daten unverzüglich, nachdem sie uns bekannt geworden ist, per E-Mail an die Adresse des Kontos. Soweit bekannt, beschreibt die Meldung die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Was wir noch nicht wissen, reichen wir nach, sobald es vorliegt.

12. Löschung und Rückgabe

Bis zum Ende des bezahlten Zeitraums kann der Kunde seine Daten im Dashboard exportieren. Wir löschen die personenbezogenen Daten des Kunden innerhalb von 30 Tagen, nachdem der Kunde uns bittet, das Konto zu schließen, sofern uns das Gesetz nicht verpflichtet, bestimmte Daten länger aufzubewahren (zum Beispiel Rechnungen). Sicherungskopien werden im regulären Sicherungszyklus überschrieben.

13. Nachweise und Kontrollen

Wir stellen die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind, insbesondere diesen AVV, die Maßnahmen in Anlage 1 und die Liste der Unterauftragsverarbeiter.

Der Kunde kann die Einhaltung kontrollieren, vorrangig durch schriftliche Auskunft. Vor-Ort-Kontrollen sind mit mindestens 30 Tagen Vorlauf möglich, während der üblichen Geschäftszeiten, ohne Störung des Betriebs und auf Kosten des Kunden, höchstens einmal im Jahr, außer eine Datenschutzverletzung oder eine Aufsichtsbehörde macht eine weitere Kontrolle nötig. Für Unterauftragsverarbeiter werden deren eigene Zertifizierungen und Prüfberichte herangezogen.

14. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der von ihm veranlassten Verarbeitung verantwortlich, einschließlich der Wahl der Firmen, Plattformen und Suchbegriffe, und für die Information seiner eigenen Nutzer und Kollegen. Der Kunde darf den Dienst nicht nutzen, um anonyme Bewerter zu identifizieren, oder für andere Zwecke als das Beobachten von und Reagieren auf Aussagen über seine Firmen.

15. Haftung und Ende dieses AVV

Die Haftung nach diesem AVV richtet sich nach den AGB, sofern zwingendes Recht nichts anderes vorsieht. Dieser AVV endet automatisch, wenn wir alle für den Kunden verarbeiteten personenbezogenen Daten gelöscht haben.

16. Kontakt

Fragen zu diesem AVV und zum Datenschutz: hello@voqx.ai. Auftragsverarbeiter: Evo Miles İletişim Hizmetleri – Mazhar Özgür, Kumbaba Mah. Yediveren Sk. No: 1/1, 34980 Şile / İstanbul, Türkiye.

Anlage 1 – Technische und organisatorische Maßnahmen

Hosting: Die Daten des Kunden liegen in einer verwalteten Datenbank in der EU (Frankfurt, Deutschland); die Anwendung läuft in derselben Region.

Verschlüsselung: Alle Verbindungen laufen über HTTPS (TLS). Der Datenbank-Anbieter verschlüsselt die gespeicherten Daten.

Trennung und Zugriffskontrolle: Die Daten jedes Kunden sind in der Datenbank durch Zeilen-Sicherheit (Row Level Security) getrennt. Nutzer sehen nur die Daten ihres eigenen Kontos; Kollegen nur die Firmen und Bereiche, die der Inhaber freigegeben hat. Rechte werden vor jeder Änderung auf dem Server geprüft.

Anmeldung: Passwörter werden nur als gesalzene Hashes gespeichert. Wiederholte Anmelde-, Registrierungs- und Passwortversuche werden begrenzt; Anmeldung, Registrierung und der kostenlose Check können durch eine Bot-Prüfung geschützt sein. Zum Schutz vor Missbrauch werden Verbindungen nur als gesalzene Hashes gespeichert, nie als IP-Adresse.

Zugriff des Betreibers: Nur der Betreiber hat Verwaltungszugriff. Der Support-Zugriff auf das Dashboard eines Kunden ist nur lesend und zeitlich begrenzt; jeder Zugriff wird protokolliert (wer, welches Konto, wann, bis wann).

Verfügbarkeit: Der Datenbank-Anbieter erstellt regelmäßig Sicherungskopien. Geplante Abläufe werden überwacht, und der Betreiber wird bei Fehlern alarmiert.

Datensparsamkeit: Wir erheben nur öffentlich sichtbare Inhalte. Ergebnisse des kostenlosen Checks werden nach 90 Tagen gelöscht, Einträge zum Missbrauchsschutz nach einem Tag. Kartendaten erhalten wir nie; Zahlungen wickelt Dodo Payments als Merchant of Record ab.

Anlage 2 – Unterauftragsverarbeiter

Kategorien und Datenorte: Hosting und Datenbank (EU, Frankfurt, Deutschland); Betrieb der Anwendung (EU, Frankfurt, Deutschland, mit weltweitem Auslieferungsnetz); Abruf öffentlich verfügbarer Bewertungen und Suchergebnisse (spezialisierter Datenanbieter); KI-Auswertung öffentlicher Bewertungstexte, Antwortvorschläge und Übersetzungen (KI-Anbieter in den USA); E-Mail-Versand (E-Mail-Anbieter); Bot-Schutz für Anmeldung, Registrierung und den kostenlosen Check (Anbieter mit weltweitem Netz).

Keine Unterauftragsverarbeiter: Dodo Payments verarbeitet Zahlungsdaten als eigener Verantwortlicher (Merchant of Record). Die KI-Assistenten ChatGPT und Perplexity erhalten nur eine feste Frage mit Firmenname, Website und Land, keine personenbezogenen Daten aus dem Konto.

Die vollständige Liste mit Firmennamen, Zweck und Ort sehen angemeldete Kunden mit Paket unter Konto → Auftragsverarbeitung (AVV). Sie können sie auch unter hello@voqx.ai anfordern.