Auftragsverarbeitungsvertrag

1. Rollen

Für die in Ziffer 4 definierten Kundendaten ist die Kundin die Verantwortliche und StarPresence die Auftragsverarbeiterin. StarPresence verarbeitet Kundendaten nur auf dokumentierte Weisung der Kundin und niemals für eigene Zwecke.

Für die Daten des eigenen Kontos der Kundin (Registrierungs- und Kontaktangaben, Rechnungs- und Zahlungsdaten, Nutzungsdaten und Support-Korrespondenz) ist die Marlin Group LLC die verantwortliche Stelle, wie in der Datenschutzerklärung beschrieben. Diese Daten unterliegen nicht diesem AVV.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand der Verarbeitung sind der Import von Bewertungen, Kommentaren und Erwähnungen aus den von der Kundin verbundenen Konten, das Entwerfen von Antworten und Beiträgen mit den in Ziffer 9 genannten KI-Auftragsverarbeitern, die Veröffentlichung dieser Inhalte auf Weisung der Kundin sowie die Statistiken, die StarPresence der Kundin zu diesen Inhalten anzeigt. Zweck ist die Bereitstellung der Plattform für die Kundin, wie in den Allgemeinen Geschäftsbedingungen beschrieben.

Von der Verarbeitung auf Weisung ausgenommen sind: (a) aggregierte oder anonymisierte Statistiken ohne Personenbezug sowie (b) Sicherheits-, Missbrauchsverhinderungs- und Protokolldaten, die zum Betrieb der Plattform erforderlich sind.

3. Dauer

Die Verarbeitung erfolgt für die Dauer der Allgemeinen Geschäftsbedingungen und endet, wenn die Kundin das betreffende Konto trennt, das Abonnement kündigt oder das Konto löscht, vorbehaltlich der Löschungs- und Rückgabebestimmungen in Ziffer 12.

4. Kategorien betroffener Personen und Daten

Betroffene Personen sind die Verfasserinnen und Verfasser von Bewertungen, Kommentaren und Erwähnungen auf den von der Kundin verbundenen Konten (die Kundschaft der Kundin und andere Personen aus der Öffentlichkeit) sowie, für die eigenen Antworten, Beiträge und Profilangaben der Kundin, die Kundin und die für sie handelnden Personen.

Verarbeitet werden («Kundendaten»): der öffentliche Anzeigename oder Nutzername und das Profilbild der Verfasserin oder des Verfassers, der Text der Bewertung, des Kommentars oder der Erwähnung, die Bewertung, das Datum und die Plattformkennungen dieses Inhalts; die eigenen Antworten, Beiträge und Profilangaben der Kundin.

Besondere Kategorien personenbezogener Daten sind nicht Gegenstand dieses AVV; die Kundin sieht davon ab, solche durch Weisung einzubringen.

5. Weisungen der Kundin

Die dokumentierten Weisungen der Kundin sind die Allgemeinen Geschäftsbedingungen, dieser AVV, die Einwilligung, die die Kundin beim Verbinden eines Kontos erteilt, die Einstellungen, die die Kundin in der Plattform vornimmt (insbesondere die Einstellungen zur automatischen Veröffentlichung und die Freigaberegeln je Sternebewertung), sowie die Einzelfreigaben der Kundin. StarPresence verarbeitet Kundendaten nur auf diese Weisungen, auch in Bezug auf Übermittlungen in Drittländer, sofern nicht eine gesetzliche Verpflichtung etwas anderes verlangt; in diesem Fall informiert StarPresence die Kundin vor der Verarbeitung, sofern das Gesetz dies nicht verbietet.

Erscheint StarPresence eine Weisung als Verstoss gegen die DSGVO, das DSG oder anderes Datenschutzrecht, informiert StarPresence die Kundin ohne unangemessene Verzögerung.

6. Pflichten der Kundin

Die Kundin stellt sicher, dass für die von ihr angewiesene Verarbeitung eine gültige Rechtsgrundlage besteht, dass ihre Weisungen rechtmässig sind, dass sie zum Verbinden der von ihr verbundenen Konten berechtigt ist und dass betroffene Personen im erforderlichen Umfang informiert werden. Die Kundin bleibt für die Rechtmässigkeit der von ihr angewiesenen Verarbeitung und für die von ihr freigegebenen oder automatisch veröffentlichten Inhalte verantwortlich.

7. Vertraulichkeit

StarPresence verpflichtet alle zur Verarbeitung von Kundendaten befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

8. Sicherheit der Verarbeitung und Trennung der Kundschaft

StarPresence setzt geeignete technische und organisatorische Massnahmen gemäss Art. 32 DSGVO und dem DSG um, insbesondere: Verschlüsselung bei der Übertragung und im Ruhezustand; Zugriffskontrolle nach dem Need-to-know-Prinzip; Verfügbarkeit, Belastbarkeit, regelmässige Sicherung und Wiederherstellbarkeit; Protokollierung und Überwachung; Trennung der Umgebungen; sichere Entwicklung; und regelmässige Überprüfung der Wirksamkeit dieser Massnahmen.

StarPresence hält die Kundendaten jeder Kundin logisch von den Daten jeder anderen Kundin getrennt. StarPresence führt die Kundendaten der Kundin nicht mit den Daten einer anderen Kundin zusammen, vermischt, teilt oder verknüpft sie nicht mit diesen und verwendet sie nicht, um die Plattform für eine andere Kundin bereitzustellen.

9. Unterauftragsverarbeiter und Delegation der Infrastruktur

9.1 Beauftragung von Unterauftragsverarbeitern. Die Kundin erteilt StarPresence die allgemeine schriftliche Genehmigung, nachgelagerte Unterauftragsverarbeiter mit Hosting, technischer Entwicklung, Wartung und automatisierten Datenverarbeitungsvorgängen im Auftrag der Kundin zu betrauen.

9.2 Zuordnung der Infrastruktur. Die Kundin nimmt zur Kenntnis und genehmigt, dass die Software, ihr Quellcode und die Cloud-Umgebungen, in denen die Plattform, ihre Datenpipelines und ihre Datenbanken betrieben werden, von der Konzernmutter und nachgelagerten Unterauftragsverarbeiterin von StarPresence gehalten, verwaltet und gewartet werden:

• Name der Gesellschaft: Marlin Group LLC
• Rechtsordnung: Sharjah Media City (SHAMS), Sharjah, UAE
• Operative Funktion: Anbieterin der Kerntechnologie-Infrastruktur und Datenbankverwaltung

Über diese Infrastruktur stützt sich die Plattform auf die folgenden weiteren Unterauftragsverarbeiter: Hosting-Anbieter, die die Plattform betreiben und Kundendaten in Rechenzentren in der EU speichern; einen E-Mail-Versanddienst für Benachrichtigungen an die Kundin; sowie OpenAI und Anthropic (Vereinigte Staaten) als KI-Auftragsverarbeiter, die aus Kundendaten Antworten und Beiträge entwerfen.

OpenAI und Anthropic verwenden unsere API-Eingaben und API-Ausgaben nicht, um ihre Sprachmodelle zu trainieren. Sie bewahren diese Eingaben und Ausgaben für eine begrenzte Zeit auf, um den Dienst bereitzustellen und Missbrauch sowie Fehlgebrauch zu überwachen. OpenAI bewahrt API-Eingaben und API-Ausgaben bis zu 30 Tage auf, sofern nicht das Gesetz eine längere Aufbewahrung verlangt oder OpenAI eine längere Aufbewahrung als vernünftigerweise notwendig bezeichnet, um seine Dienste oder Dritte vor Schaden zu schützen. Die Enterprise-Privacy-Seite von OpenAI stellt ausserdem fest, dass diese Eingaben und Ausgaben nach 30 Tagen entfernt werden, sofern das Gesetz keine Aufbewahrung verlangt. Anthropic löscht API-Eingaben und API-Ausgaben automatisch innerhalb von 30 Tagen nach Eingang oder Erzeugung, ausser wenn ein Dienst mit längerer Aufbewahrung unter Kontrolle der Kundin oder des Kunden genutzt wird, die Parteien etwas anderes vereinbart haben, die Aufbewahrung der Durchsetzung der Nutzungsrichtlinie dient (bis zu 2 Jahre für gekennzeichnete Eingaben und Ausgaben, und bis zu 7 Jahre für Klassifizierungswerte zu Vertrauen und Sicherheit) oder das Gesetz es verlangt.

Die Drittplattformen, deren Konten die Kundin verbindet (zum Beispiel Google), handeln nach ihren eigenen Bedingungen als eigenständige Verantwortliche und sind keine Unterauftragsverarbeiter von StarPresence. Die Zahlungsabwicklung betrifft keine Kundendaten; der Zahlungsdienstleister handelt insoweit als eigenständiger Verantwortlicher.

9.3 Vertragliche Absicherung. StarPresence hat mit der Marlin Group LLC einen schriftlichen konzerninternen Auftragsverarbeitungsvertrag geschlossen, der Datenschutzpflichten auferlegt, die nicht weniger streng sind als die StarPresence nach diesem AVV auferlegten Pflichten, und verpflichtet jeden weiteren Unterauftragsverarbeiter auf gleichwertige Pflichten. StarPresence bleibt der Kundin gegenüber für die Leistung ihrer Unterauftragsverarbeiter in vollem Umfang verantwortlich. StarPresence informiert die Kundin über beabsichtigte Hinzufügungen oder Ersetzungen mit angemessener Frist, damit die Kundin Einspruch erheben kann; bei einem berechtigten Einspruch, der nicht ausgeräumt werden kann, kann jede Partei den betroffenen Dienst kündigen. Auf Anfrage stellt StarPresence der Kundin eine aktuelle Liste der Unterauftragsverarbeiter mit Name, Verarbeitungsort und Übermittlungsgrundlage zur Verfügung und aktualisiert sie bei Änderungen.

9.4 Operative Ausführung und Haftung. Die Kundin nimmt zur Kenntnis, dass die operative Ausführung, die Service-Levels und die Datenverwaltung über die in 9.2 beschriebene nachgelagerte Infrastruktur erbracht werden. Kommerzielle Streitigkeiten, Haftungsansprüche und Freistellungen aus einem Datenvorfall richten sich nach den Allgemeinen Geschäftsbedingungen und richten sich, im Verhältnis zwischen den Parteien, ausschliesslich gegen die StarPresence LLC und enden dort. Ziffer 15 gilt.

10. Anfragen betroffener Personen und Unterstützung der Kundin

StarPresence beantwortet Anfragen, die betroffene Personen zu Kundendaten direkt an StarPresence richten (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit), nicht in der Sache. StarPresence leitet jede solche Anfrage ohne unangemessene Verzögerung an die Kundin weiter, handelt nur auf Weisung der Kundin und unterstützt die Kundin mit geeigneten technischen und organisatorischen Massnahmen und in angemessenem Umfang bei der Beantwortung innerhalb der gesetzlichen Fristen. Die Kundin antwortet der betroffenen Person.

StarPresence unterstützt die Kundin ebenso in angemessenem Umfang bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO und den entsprechenden Bestimmungen des DSG (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der StarPresence zur Verfügung stehenden Informationen.

11. Verletzungen des Schutzes personenbezogener Daten

StarPresence meldet der Kundin eine Verletzung des Schutzes von Kundendaten ohne unangemessene Verzögerung, nachdem sie ihr bekannt geworden ist, und stellt die ihr verfügbaren Informationen bereit, die die Kundin für ihre eigenen Meldepflichten benötigt, und ergänzt sie, sobald weitere Informationen vorliegen.

12. Löschung oder Rückgabe

Nach Beendigung der Verarbeitung löscht StarPresence die Kundendaten nach Wahl der Kundin oder gibt sie an die Kundin zurück und löscht vorhandene Kopien innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Löschung oder Rückgabe betreffen die Kundendaten, die StarPresence hält. Sie ziehen Inhalte, die auf Weisung der Kundin bereits auf einer Drittplattform veröffentlicht wurden, nicht zurück, löschen und ändern sie nicht; diese Inhalte bleiben als veröffentlichte Inhalte der Kundin auf der Plattform.

13. Nachweise und Überprüfungen

StarPresence stellt der Kundin die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO und dieses AVV erforderlich sind, und ermöglicht und unterstützt Überprüfungen, einschliesslich Inspektionen, durch die Kundin oder eine von ihr beauftragte und zur Vertraulichkeit verpflichtete Prüferin. Eine Überprüfung findet höchstens einmal jährlich statt, mit einer schriftlichen Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, auf Kosten der Kundin und ohne unzumutbare Störung des Betriebs von StarPresence; soweit möglich, erfüllt StarPresence die Anfrage zunächst durch Dokumentation.

14. Internationale Übermittlungen

StarPresence hat ihren Sitz in den Vereinigten Staaten von Amerika. Kundendaten werden in Rechenzentren in der EU gespeichert. Werden Kundendaten, die der DSGVO oder dem DSG unterliegen, an StarPresence oder an einen Unterauftragsverarbeiter in ein Land ohne Angemessenheitsbeschluss übermittelt (einschliesslich der Vereinigten Staaten und der Vereinigten Arabischen Emirate), stützt sich die Übermittlung, sofern die Empfängerin eine Zertifizierung nach dem anwendbaren Data Privacy Framework hält, auf diese Zertifizierung und andernfalls auf die von der Europäischen Kommission im Durchführungsbeschluss (EU) 2021/914 erlassenen Standardvertragsklauseln (die «SCC»), ergänzt durch eine Transfer-Folgenabschätzung und, soweit erforderlich, durch zusätzliche Garantien.

Für Übermittlungen von der Kundin an StarPresence gelten die SCC in Modul Zwei (Verantwortlicher an Auftragsverarbeiter); für Weiterübermittlungen von StarPresence an ihre Unterauftragsverarbeiter in Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter). Die SCC werden durch Verweis in diesen AVV einbezogen; ihr Anhang I wird durch die Ziffern 1, 2, 4 und 9 dieses AVV und ihr Anhang II durch Ziffer 8 ausgefüllt. Für Übermittlungen, die dem DSG unterliegen, gelten die SCC mit den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Anpassungen, und Verweise auf die DSGVO sind als Verweise auf das DSG zu lesen. Weiterübermittlungen unterliegen denselben Garantien.

15. Haftung

Die Haftungsbeschränkung der Allgemeinen Geschäftsbedingungen gilt für diesen AVV. Die Haftung der Parteien gegenüber betroffenen Personen nach Art. 82 DSGVO und den entsprechenden Bestimmungen des DSG bleibt unberührt.

16. Anwendbares Recht, Vorrang und Sprachfassungen

Dieser AVV untersteht dem Recht und der Streitbeilegungsklausel der Allgemeinen Geschäftsbedingungen. Die zwingenden Bestimmungen der DSGVO und des DSG, die Zuständigkeit der Datenschutzaufsichtsbehörden, die Rechte der betroffenen Personen sowie die Rechtswahl- und Gerichtsstandsklauseln der SCC bleiben vorbehalten und gehen im Konfliktfall vor.

Bei Widersprüchen zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen geht dieser AVV für die Verarbeitung von Kundendaten vor. Dieser AVV liegt in englischer, deutscher, französischer und italienischer Sprache vor; bei Abweichungen zwischen den Sprachfassungen geht die englische Fassung vor.

17. Kontakt

Bei Fragen zu diesem AVV erreichen Sie uns unter:

StarPresence LLC
30 N Gould St Ste N, Sheridan, WY 82801, USA
legal@starpresence.ai