Auftragsverarbeitung

1. Rollen — wer wofür verantwortlich ist

Diese Bedingungen sind fester Anhang der Nutzungsbedingungen und gelten für jeden Kunden, der Tecrübe nutzt – unabhängig davon, ob sie gesondert unterzeichnet wurden.

Parteien: der Kunde, der den Dienst nutzt („Sie“), und Hero Invest Ltd („Tecrübe“), 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom · Registrierungsland: Vereinigtes Königreich (England und Wales) · Firmennummer: 14955675. Die juristische Person, die die Pflichten des Auftragsverarbeiters übernimmt, ist Hero Invest Ltd; „Tecrübe“ bezeichnet in diesen Bedingungen dieses Unternehmen.

KUNDENDATEN (die Daten Ihrer eigenen Kunden: Kontaktlisten, eingehende Nachrichten, Conversion-Datensätze): Hier sind Sie der Verantwortliche und Tecrübe ist Auftragsverarbeiter. Sie entscheiden, was Sie erheben, auf welcher Rechtsgrundlage Sie es verarbeiten und wem Sie was mitteilen; Tecrübe verarbeitet ausschließlich nach Ihren Weisungen.

KONTODATEN (Namen, E-Mail-Adressen, Sitzungsprotokolle und Rechnungsdaten von Ihnen und Ihrem Team): Hier ist Tecrübe der Verantwortliche, und es gilt die Datenschutzrichtlinie. Die Unterscheidung ist wichtig: ein Produkt, zwei rechtliche Rollen – und Ihre Rechte hängen davon ab, um welche Daten es geht.

Tecrübe verwendet Kundendaten niemals für eigene Zwecke – weder für Produktentwicklung noch für Modelltraining noch für Marketing. Es gibt keine Ausnahme; gäbe es eine, stünde sie hier.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Erbringung des Tecrübe-Dienstes. Dauer: für die Laufzeit Ihres Abonnements zuzüglich der Rückgabe-/Löschfrist nach Abschnitt 10.

Verarbeitungstätigkeiten: Speicherung, Organisation, Abfrage, Übermittlung (an die von Ihnen verbundenen Plattformen), Löschung sowie Texterstellung mit KI-Modellen.

Datenkategorien: Kontaktdaten (Name, E-Mail, Telefon), Nachrichteninhalte, Verhaltens- und Conversion-Daten sowie die von Ihnen hochgeladenen Listen und Inhalte.

Kategorien betroffener Personen: Ihre Kunden, Interessenten, Personen, die Ihnen Nachrichten senden, und Mitglieder Ihres Teams.

Besondere Kategorien personenbezogener Daten: Der Dienst ist nicht für deren Verarbeitung ausgelegt. Laden Sie solche Daten hoch, obliegen Ihnen die zusätzlichen Schutzmaßnahmen und die Pflicht zur Einholung einer ausdrücklichen Einwilligung.

3. Verarbeitung auf Weisung

Tecrübe verarbeitet Kundendaten ausschließlich auf Ihre dokumentierte Weisung. Ihre Nutzung des Dienstes – das Starten einer Kampagne, das Hochladen einer Liste, das Aktivieren einer Automatisierung – stellt eine solche Weisung dar.

Sind wir der Auffassung, dass eine Weisung gegen geltendes Recht verstößt, informieren wir Sie und können ihre Ausführung einstellen.

Verpflichtet uns das Recht zu einer Verarbeitung (Gerichtsbeschluss, behördliche Anordnung) und ist eine Mitteilung nicht untersagt, informieren wir Sie vor der Verarbeitung.

4. Vertraulichkeit und Sicherheit

Alle Personen mit Zugriff auf Kundendaten sind zur Vertraulichkeit verpflichtet, und der Zugriff ist auf den engsten Umfang beschränkt, den die Aufgabe erfordert.

Umgesetzte technische Maßnahmen: Verschlüsselung bei der Übertragung und im Ruhezustand, Mandantentrennung auf Datenbankebene durch Row-Level-Security, Passwort-Hashing mit argon2id, mit einem separaten Schlüssel verschlüsselte Anbietergeheimnisse, rollenbasierter Zugriff sowie ein Prüfprotokolleintrag für jede privilegierte Aktion.

Organisatorische Maßnahmen: Zugriffe von Mitarbeitenden werden protokolliert; eine Support-Ansicht eines Mandanten wird sowohl der betrachtenden Person als auch dem Mandanten durch ein sichtbares Banner angezeigt; regelmäßige Backups mit Wiederherstellungsübungen.

Diese Maßnahmen können sich im Laufe der Zeit ändern; eine Änderung darf das Sicherheitsniveau nicht senken.

5. Unterauftragsverarbeiter

Tecrübe setzt zur Erbringung des Dienstes Unterauftragsverarbeiter ein. Die aktuelle Liste – wer sie sind, zu welchem Zweck und in welchem Land sie verarbeiten – ist namentlich in Abschnitt 9 der Datenschutzrichtlinie veröffentlicht.

Neue Unterauftragsverarbeiter werden per Hinweis im Produkt angekündigt. Erheben Sie aus berechtigten Gründen Einspruch, prüfen wir diesen; lässt er sich nicht ausräumen, können Sie ohne Vertragsstrafe kündigen und erhalten eine Erstattung für den nicht genutzten Zeitraum.

Jeder Unterauftragsverarbeiter ist durch einen Vertrag mit Pflichten gebunden, die diesen Bedingungen gleichwertig sind. Tecrübe haftet für Handlungen eines Unterauftragsverarbeiters wie für eigene.

An KI-Anbieter übermittelte Daten sind auf das beschränkt, was die angeforderte Aufgabe erfordert: Markenprofil, Kampagnenkontext und – wenn ein Antwortentwurf angefordert wird – der Text der betreffenden Nachricht. Namen, Telefonnummern und E-Mail-Adressen von Kunden – auch solche im Nachrichtentext – werden vor dem Versand maskiert (z. B. „Kunde #ab12cd“, „+90 5 * **12“). Diese Anbieter (OpenAI und, sofern genutzt, Anthropic) haben ihren Sitz in den USA; die Übermittlung erfolgt unter den Garantien nach Abschnitt 6.

6. Internationale Datenübermittlungen

Einige Unterauftragsverarbeiter befinden sich außerhalb des Vereinigten Königreichs, des Europäischen Wirtschaftsraums und der Türkei (insbesondere KI-Anbieter und Werbeplattformen). Übermittlungen erfolgen nach der UK GDPR, Kapitel V DSGVO und Artikel 9 KVKK und stützen sich, soweit anwendbar, auf Standardvertragsklauseln (mit dem UK International Data Transfer Addendum), einen Angemessenheitsbeschluss oder eine ausdrückliche Einwilligung.

In welchem Land welcher Unterauftragsverarbeiter verarbeitet, ist in der Liste der Datenschutzrichtlinie bei jedem Eintrag angegeben.

7. Anfragen betroffener Personen und Unterstützung für Sie

Wendet sich eine betroffene Person direkt an Tecrübe, antworten wir nicht in Ihrem Namen, sondern verweisen sie an Sie – denn Sie sind für diese Daten der Verantwortliche.

Die Werkzeuge, die Sie zur Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und Übertragbarkeitsanfragen benötigen, sind im Produkt vorhanden: Unter Einstellungen › Sicherheit › „Meine Daten herunterladen“ lässt sich eine maschinenlesbare Kopie als ZIP herunterladen (höchstens 3-mal innerhalb von 24 Stunden), und Löschanfragen werden innerhalb von 30 Tagen abgeschlossen. Reichen die Werkzeuge nicht aus, leisten wir angemessene technische Unterstützung.

Müssen Sie eine Datenschutz-Folgenabschätzung (Artikel 35) durchführen, stellen wir die bei uns vorhandenen Informationen in angemessenem Umfang bereit.

8. Meldung von Datenschutzverletzungen

Wir melden Ihnen eine Sicherheitsverletzung, die Kundendaten betrifft, unverzüglich und spätestens innerhalb von 24 Stunden, nachdem wir davon Kenntnis erlangt haben. Diese Frist ist bewusst kurz gehalten, damit Sie Ihre eigene 72-Stunden-Meldepflicht erfüllen können.

Die Meldung enthält: die Art der Verletzung, die betroffenen Datenkategorien und die ungefähre Zahl der betroffenen Datensätze, die wahrscheinlichen Folgen, die ergriffenen und geplanten Maßnahmen sowie eine Anlaufstelle.

Ist bei der ersten Meldung noch nicht alles bekannt, werden die fehlenden Informationen unverzüglich nachgereicht; Abwarten ersetzt keine Meldung.

9. Audits

Auf Anfrage stellen wir die Informationen bereit, die zum Nachweis der Einhaltung dieser Bedingungen erforderlich sind.

Einmal jährlich können Sie nach angemessener Vorankündigung und während der Geschäftszeiten durch einen zur Vertraulichkeit verpflichteten Prüfer ein Audit durchführen lassen. Ein Audit darf keinen Zugriff auf Daten anderer Kunden umfassen und wird so durchgeführt, dass der Dienst nicht beeinträchtigt wird.

10. Rückgabe und Löschung bei Vertragsende

Endet Ihr Abonnement, bleiben die Kundendaten dreißig Tage lang exportierbar; in dieser Zeit können Sie sie über das Panel herunterladen.

Nach Ablauf der dreißig Tage werden die Daten gelöscht. Die Löschung ist unumkehrbar und wird sieben Tage im Voraus per E-Mail angekündigt.

Kopien in Backups laufen mit dem Backup-Zyklus aus (höchstens neunzig Tage); in dieser Zeit bleiben sie verschlüsselt und unzugänglich.

Aufzeichnungen, die wir gesetzlich aufbewahren müssen (Rechnungen, das Prüfprotokoll), werden für die gesetzliche Frist aufbewahrt und ausschließlich zu diesem Zweck verarbeitet.