Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO.

Dieser AVV ist wesentlicher Bestandteil der Allgemeinen Geschäftsbedingungen von JustSendIt und gilt automatisch, sobald der Kunde personenbezogene Daten über JustSendIt verarbeitet. Einer Unterzeichnung bedarf es nicht; der AVV wird mit Annahme der Allgemeinen Geschäftsbedingungen wirksam. Ein gegengezeichnetes Exemplar stellen wir auf Anfrage unter simon@justsendit.ai zur Verfügung.

1. Vertragsparteien

Auftragsverarbeiter: Simon Tautz, Einzelunternehmen, handelnd unter der Geschäftsbezeichnung JustSendIt, Albert-Roßhaupter-Straße 70, 81369 München, Deutschland („Auftragsverarbeiter", „wir")

Verantwortlicher: der im JustSendIt-Konto ausgewiesene Kunde („Verantwortlicher", „Sie")

2. Gegenstand und Rollenverteilung

Sie nutzen JustSendIt, um Nachrichten über Nachrichtenkonten zu lesen und zu versenden, die Ihnen gehören. Dabei durchlaufen personenbezogene Daten Ihrer Kontakte, Empfänger und Korrespondenzpartner unsere Systeme.

• Sie sind Verantwortlicher. Sie entscheiden über Zwecke und Mittel der Verarbeitung. Sie sind für das Vorliegen einer Rechtsgrundlage verantwortlich, auch bei der Ansprache von Personen, die Sie zuvor nicht kontaktiert haben.
• Wir sind Auftragsverarbeiter. Wir verarbeiten diese Daten ausschließlich zur Erbringung der Leistung und ausschließlich auf Ihre Weisung.

Dieser AVV erfasst nicht die Daten, für die wir selbst Verantwortlicher sind — Ihre eigenen Konto-, Abrechnungs- und Nutzungsdaten. Für diese gilt unsere Datenschutzerklärung.

3. Laufzeit

Dieser AVV gilt für die Dauer Ihres JustSendIt-Kontos sowie für jeden Zeitraum danach, in dem wir noch personenbezogene Daten in Ihrem Auftrag vorhalten.

4. Art und Zweck der Verarbeitung

Weiterleitung von Nachrichten und Nachrichten-Metadaten im Arbeitsspeicher und ohne dauerhafte Speicherung der Inhalte zwischen den verbundenen Konten des Verantwortlichen und den Nutzern oder autorisierten KI-Agenten des Verantwortlichen. Im Einzelnen: Abruf von Nachrichten, Chats, Ordnern und Konto-Metadaten sowie Versand von Nachrichten auf Weisung des Verantwortlichen.

5. Arten personenbezogener Daten

Je nach Nutzung der Leistung:

• Kontaktkennungen: Namen, E-Mail-Adressen, Messaging-Handles, Profilkennungen
• Nachrichteninhalte: Betreffzeilen, Nachrichtentexte, Anhänge, Zeitstempel, Thread- und Ordner-Metadaten
• Sämtliche personenbezogenen Daten, die der Verantwortliche oder seine Kontakte in Nachrichteninhalte aufnehmen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sollen nicht verarbeitet werden. Soweit sie in Nachrichteninhalten auftreten, durchlaufen sie die Weiterleitung, ohne gespeichert zu werden.

6. Kategorien betroffener Personen

Empfänger, Absender und Kontakte des Verantwortlichen; Beschäftigte, Nutzer und Mitwirkende des Verantwortlichen.

7. Weisungen des Verantwortlichen

Ihre dokumentierten Weisungen ergeben sich aus diesem AVV, den Allgemeinen Geschäftsbedingungen, der von Ihnen in der Anwendung vorgenommenen Konfiguration sowie den API- und MCP-Aufrufen, die von Ihnen oder von durch Sie autorisierten KI-Agenten ausgelöst werden.

Die Autorisierung eines KI-Agenten ist eine Weisung. Handlungen, die ein Agent im Rahmen der von Ihnen erteilten Berechtigungen vornimmt, gelten als Ihre Weisungen, unabhängig davon, ob Sie jede einzelne Handlung geprüft haben. Steuern Sie dies über die Berechtigungsumfänge in der Anwendung.

Wir informieren Sie, wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 3 DSGVO); wir sind berechtigt, die Ausführung dieser Weisung auszusetzen, bis sie bestätigt oder geändert wird.

8. Pflichten des Auftragsverarbeiters

Wir verpflichten uns:

1. Personenbezogene Daten ausschließlich auf Ihre dokumentierte Weisung zu verarbeiten, auch in Bezug auf Übermittlungen in Drittländer, sofern nicht das Recht der Union oder der Mitgliedstaaten etwas anderes verlangt — in diesem Fall teilen wir Ihnen die Rechtsvorschriften vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO). Derzeit ist dies allein der Einzelunternehmer.
3. Die in Anlage 2 aufgeführten technischen und organisatorischen Maßnahmen umzusetzen (Art. 32 DSGVO).
4. Unterauftragsverarbeiter nur unter den Voraussetzungen der Ziffer 9 einzusetzen.
5. Sie durch geeignete technische und organisatorische Maßnahmen nach Möglichkeit bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung ihrer Betroffenenrechte nach Kapitel III DSGVO zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO). Da wir Nachrichteninhalte nicht speichern, beschränkt sich unsere tatsächliche Möglichkeit, Daten einer betroffenen Person aufzufinden, auf Konto- und Verbindungsdatensätze.
6. Sie bei der Einhaltung Ihrer Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen — Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation (Art. 28 Abs. 3 lit. f DSGVO).
7. Nach Ihrer Wahl alle personenbezogenen Daten nach Abschluss der Erbringung der Leistung zu löschen oder zurückzugeben und vorhandene Kopien zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).
8. Ihnen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen und Überprüfungen zu ermöglichen und dazu beizutragen (Art. 28 Abs. 3 lit. h DSGVO); siehe Ziffer 11.
9. Ihnen eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, unverzüglich, jedenfalls aber innerhalb von 48 Stunden nach Kenntniserlangung mit den uns zu diesem Zeitpunkt vorliegenden Informationen zu melden (Art. 33 Abs. 2 DSGVO).

9. Unterauftragsverarbeiter

Sie erteilen die allgemeine schriftliche Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO. Zum Zeitpunkt dieses AVV werden die folgenden Unterauftragsverarbeiter eingesetzt:

Warum die Werbeplattformen oben nicht aufgeführt sind

Die Empfängertabelle in der Datenschutzerklärung ist bewusst weiter als diese Anlage; der Unterschied ist kein Versehen. Diese Anlage führt ausschließlich Auftragsverarbeiter auf, die nach Art. 28 DSGVO auf unsere Weisung tätig werden. Drei Werbeempfänger sind keine Auftragsverarbeiter:

• Google Ads ist eigenständig Verantwortlicher. Google ordnet seine Ads-Programme als Controller Services den Google Ads Controller-Controller Data Protection Terms zu, während Google Analytics und der Google Tag Manager als Processor Services den Google Ads Data Processing Terms unterliegen. Nur die beiden Letzteren stehen oben.
• Meta Platforms Ireland Limited ist mit uns gemeinsam Verantwortliche nach Art. 26 DSGVO für die Erhebung und Übermittlung von Ereignisdaten durch das Meta Pixel und die Conversions API, auf Grundlage des in die Meta Business Tools Terms einbezogenen Controller Addendum. Die anschließende Verarbeitung durch Meta zu eigenen Zwecken liegt allein bei Meta und findet außerhalb jedes Auftragsverarbeitungsverhältnisses statt.
• OpenAI, L.L.C. erhält über die Werbe-Conversions-API Ereignisdaten zu Anzeigen, die wir innerhalb von ChatGPT ausliefern. Über die Zwecke der anschließenden eigenen Verarbeitung entscheidet OpenAI selbst; das Unternehmen wird daher nicht auf unsere Weisung nach Art. 28 DSGVO tätig.

Keine dieser Beauftragungen betrifft personenbezogene Daten, die Sie uns als Verantwortlicher im Rahmen dieses AVV überlassen: sie betreffen jeweils Besucher unserer eigenen Website, für die wir selbst Verantwortlicher sind.

Wir informieren Sie über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus per E-Mail oder per Hinweis in der Anwendung. Sie können innerhalb dieser Frist aus sachlichen datenschutzrechtlichen Gründen widersprechen. Können wir Ihren Widerspruch nicht ausräumen, können Sie die betroffene Leistung ohne Nachteil kündigen und erhalten eine anteilige Erstattung vorausbezahlter Entgelte.

Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV mindestens gleichwertig sind, und haften Ihnen gegenüber uneingeschränkt für dessen Leistungserfüllung (Art. 28 Abs. 4 DSGVO).

10. Übermittlungen in Drittländer

Soweit personenbezogene Daten außerhalb der EU/des EWR übermittelt werden, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), ergänzt um die technischen Maßnahmen der Anlage 2. Ist ein Empfänger nach dem EU-US Data Privacy Framework zertifiziert, gilt stattdessen dieser Angemessenheitsbeschluss. Kopien der einschlägigen Klauseln stellen wir auf Anfrage zur Verfügung.

11. Kontrollrechte

Sie können die Einhaltung dieses AVV durch uns überprüfen. Zunächst stellen wir Ihnen schriftliche Auskünfte, unsere Dokumentation der technischen und organisatorischen Maßnahmen sowie vorhandene Nachweise Dritter zur Verfügung.

Reicht dies nicht aus, können Sie eine Kontrolle vor Ort oder aus der Ferne durchführen oder einen unabhängigen Prüfer beauftragen, der nicht unser Wettbewerber ist, vorbehaltlich folgender Voraussetzungen: Ankündigung in Textform mit einer Frist von 30 Tagen, höchstens einmal pro Kalenderjahr (ausgenommen nach einer Verletzung des Schutzes personenbezogener Daten oder auf dokumentierte Weisung einer Aufsichtsbehörde), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Vertraulichkeit. Ihre eigenen Kosten tragen Sie selbst; für einen Aufwand, der einen Arbeitstag übersteigt, können wir eine angemessene Vergütung berechnen.

12. Löschung und Rückgabe

Bei Vertragsbeendigung können Sie Ihre Konto- und Konfigurationsdaten über die Anwendung exportieren. Nachrichteninhalte bedürfen keiner Löschung, da sie zu keinem Zeitpunkt gespeichert werden. Konto-, Verbindungs- und Protokolldatensätze werden innerhalb von 30 Tagen nach Schließung des Kontos gelöscht oder anonymisiert, es sei denn, es besteht eine gesetzliche Aufbewahrungspflicht — in diesem Fall wird die Verarbeitung der Daten bis zum Ablauf der Frist eingeschränkt.

13. Haftung

Die Haftung nach diesem AVV richtet sich nach Art. 82 DSGVO und nach Ziffer 11 der Allgemeinen Geschäftsbedingungen. Haftungsbeschränkungen in den Allgemeinen Geschäftsbedingungen begrenzen nicht die Haftung einer Partei gegenüber betroffenen Personen oder gegenüber Aufsichtsbehörden.

14. Rangfolge

Im Fall von Widersprüchen geht dieser AVV den Allgemeinen Geschäftsbedingungen in datenschutzrechtlichen Fragen vor. Die Standardvertragsklauseln gehen diesem AVV vor.

Anlage 1 — Einzelheiten der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Pseudonymisierung und Verschlüsselung

• TLS für sämtliche Daten während der Übertragung
• Verschlüsselung der Datenbank im Ruhezustand durch die Hosting-Plattform
• Kennungen verbundener Konten werden als geschlüsselte Hashwerte (HMAC) statt als Postfachadressen im Klartext gespeichert
• OAuth-Zugangsdaten der Postfächer werden vom Auftragsverarbeiter zu keinem Zeitpunkt vorgehalten; sie verbleiben beim Unterauftragsverarbeiter Unipile

2. Vertraulichkeit

Zutrittskontrolle

• Betrieb der Infrastruktur in zertifizierten Rechenzentren der Anbieter; keine selbstbetriebene physische Infrastruktur

Zugangskontrolle

• Authentifizierung über einen verwalteten Identitätsanbieter; gehashte Zugangsdaten; Dienstschlüssel nach dem Prinzip der geringstmöglichen Rechte; Geheimnisse werden außerhalb der Versionsverwaltung vorgehalten

Zugriffskontrolle

• Row-Level Security und Mandantentrennung auf Datenbankebene; zusätzliche Mandantenprüfung bei jedem Zugriff auf ein Upstream-Konto; mandantenbezogene Berechtigungsumfänge für KI-Agenten

Trennungskontrolle

• Logische Trennung der Mandantendaten; Trennung der Produktiv- von den Entwicklungsumgebungen

3. Integrität

Weitergabekontrolle

• Idempotenz- und Sperrdatensätze bei Vorgängen des Nachrichtenversands
• Verschlüsselte Übertragung sämtlicher Daten (siehe Ziffer 1 dieser Anlage)

Eingabekontrolle

• Ausschließlich fortschreibende (append-only) Protokollierung privilegierter und folgenreicher Handlungen
• Code-Review und automatisierte Prüfung vor jedem Deployment

4. Verfügbarkeit und Belastbarkeit

• Verwaltete Datenbank mit automatisierten Sicherungen durch den Hosting-Anbieter
• Redundanz und Überwachung auf Anbieterebene

-

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Automatisierte Testsuite und ein Release-Gate, das datierte Nachweisartefakte vor der Bereitstellung in der Produktivumgebung voraussetzt
• Regelmäßige, mindestens jährliche Überprüfung dieser Maßnahmen

6. Auftragskontrolle

• Verarbeitung ausschließlich über dokumentierte API- und MCP-Schnittstellen
• Ausdrückliche Berechtigungserteilung, bevor ein KI-Client tätig werden kann
• Der Widerruf erteilter Berechtigungen wird unmittelbar wirksam

Unterzeichnung

Dieser AVV wird elektronisch zusammen mit den Allgemeinen Geschäftsbedingungen angenommen. Kunden, die ein unterzeichnetes Exemplar benötigen, wenden sich bitte an simon@justsendit.ai.

Auftragsverarbeiter: Simon Tautz, JustSendIt · München, Deutschland Verantwortlicher: gemäß Kontoregistrierung