Auftragsverarbeitungsvertrag (AVV)

01Geltung und Einbeziehung

Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen dir als Kunde (Verantwortlicher) und der von Reyher Media UG (haftungsbeschränkt), Nonnendamm 33-35, 13627 Berlin (Auftragsverarbeiter), wenn und soweit du Umfeld geschäftlich oder beruflich nutzt und dabei personenbezogene Daten Dritter verarbeitest. Er wird mit Abschluss des Nutzungsvertrags automatisch dessen Bestandteil.

Nutzt du Umfeld ausschließlich privat, greift regelmäßig die Haushaltsausnahme des Art. 2 Abs. 2 lit. c DSGVO; dieser AVV läuft dann leer, ohne dass dir daraus Pflichten entstehen. Bei Widersprüchen zwischen diesem AVV und den AGB geht für die Verarbeitung personenbezogener Daten im Auftrag dieser AVV vor.

02Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand der Verarbeitung ist der Betrieb von Umfeld als persönliches Kontaktmanagement: Speicherung und Synchronisation deiner Google-Kontakte, Anreicherung um von dir erfasste Kontexte (Beziehungen, Notizen, Interaktionen, Ereignisse), Anzeige und Durchsuchbarkeit dieser Daten sowie, soweit von dir genutzt, deren Aufbereitung durch KI-Funktionen und die Bereitstellung an von dir autorisierte KI-Clients.

Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Mit dessen Beendigung endet auch dieser AVV; die Löschpflichten aus Ziffer 10 bleiben unberührt.

03Datenkategorien und betroffene Personen

• Datenkategorien: Stammdaten von Kontakten (Namen, E-Mail-Adressen, Telefonnummern, Anschriften, Organisationen, Geburtstage, Fotos), von dir erfasste Kontextdaten (Beziehungen, Kennenlern-Umstände, Notizen, Interaktionen, Lebensereignisse, Aufgaben, Journal), abgeleitete Werte (z. B. Kontakt-Scores).
• Betroffene Personen: die in deinem Adressbuch gespeicherten Kontakte, also insbesondere Geschäftspartner, Kundinnen und Kunden, Kolleginnen und Kollegen sowie sonstige Personen deines beruflichen Netzwerks.

04Weisungen

Wir verarbeiten die Daten ausschließlich auf deine dokumentierte Weisung. Als Weisung gilt die Nutzung der in Umfeld bereitgestellten Funktionen (etwa Synchronisieren, Bearbeiten, Zusammenführen, Löschen, Aktivieren von KI-Funktionen, Autorisieren von KI-Clients). Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

Halten wir eine Weisung für rechtswidrig, informieren wir dich unverzüglich und dürfen ihre Ausführung bis zur Klärung aussetzen. Sind wir ausnahmsweise durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilen wir dir das vor der Verarbeitung mit, sofern das betreffende Recht eine Mitteilung nicht verbietet.

05Vertraulichkeit

Zum Zugriff auf personenbezogene Daten befugte Personen sind zur Vertraulichkeit verpflichtet. Wir sehen uns Inhalte deines Kontos nicht an, außer es ist zur Fehlerbehebung unumgänglich; auch dann beschränkt sich der Zugriff auf das erforderliche Minimum.

06Technische und organisatorische Maßnahmen

Wir treffen die in der Datenschutzerklärung unter „Datensicherheit" beschriebenen Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Transportverschlüsselung (HTTPS/TLS mit HSTS) für sämtliche Verbindungen
• Betrieb der Datenbank in einem internen, nicht aus dem Internet erreichbaren Netzwerk auf Servern in Deutschland
• serverseitige Speicherung der Google-OAuth-Token ohne Weitergabe an Browser oder Dritte
• Zugriff nur nach Authentifizierung; KI-Zugriffe nur nach ausdrücklicher, pro Client widerrufbarer OAuth-Autorisierung
• schlüsselbasierter, beschränkter administrativer Serverzugang
• vollständige Löschkaskade bei Kontolöschung

Wir dürfen diese Maßnahmen fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

07Subunternehmer

Du genehmigst den Einsatz der folgenden Subunternehmer:

• Hetzner Online GmbH, Gunzenhausen (Deutschland): Hosting der Anwendung und der Datenbank.
• OpenAI, L.L.C., San Francisco (USA): nur soweit du KI-Funktionen nutzt, zur Erzeugung von Kontakt-Überblicken und semantischer Suche; die Übermittlung in die USA ist durch EU-Standardvertragsklauseln abgesichert, eine Nutzung der Daten zum Modelltraining findet nach den API-Vertragsbedingungen von OpenAI nicht statt.

Google LLC ist kein Subunternehmer von uns: Die Synchronisation mit Google Contacts erfolgt auf deine Weisung mit dem von dir verbundenen Google-Konto; maßgeblich ist dein Vertragsverhältnis mit Google. Gleiches gilt für KI-Clients, die du selbst autorisierst.

Über beabsichtigte Änderungen der Subunternehmer informieren wir dich mindestens 30 Tage vorher in Textform. Du kannst der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; führt der Widerspruch zu keinem einvernehmlichen Ergebnis, kannst du den Nutzungsvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

08Unterstützungspflichten

Wir unterstützen dich im Rahmen des Zumutbaren bei der Erfüllung der Betroffenenrechte (Art. 12 bis 22 DSGVO), etwa durch die in Umfeld eingebauten Export-, Berichtigungs- und Löschfunktionen, sowie bei deinen Pflichten aus Art. 32 bis 36 DSGVO, soweit uns die dafür erforderlichen Informationen vorliegen. Anfragen betroffener Personen, die uns direkt erreichen, leiten wir unverzüglich an dich weiter.

09Meldung von Datenschutzverletzungen

Verletzungen des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten melden wir dir unverzüglich nach Bekanntwerden mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie uns vorliegen. Die Bewertung und Meldung gegenüber Aufsichtsbehörden und betroffenen Personen obliegt dir als Verantwortlichem; wir unterstützen dich dabei.

10Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löschen wir alle im Auftrag verarbeiteten Daten vollständig, wie in der Datenschutzerklärung unter „Speicherdauer" beschrieben. Vor der Beendigung kannst du deine Daten über die Exportfunktion sichern; dein Google-Adressbuch verbleibt ohnehin in deinem Google-Konto. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11Nachweise und Kontrollen

Wir stellen dir auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung, insbesondere Beschreibungen der technischen und organisatorischen Maßnahmen. Kontrollen vor Ort sind nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, soweit sie den Betrieb nicht unverhältnismäßig stören; sie können durch aussagekräftige Selbstauskünfte oder Prüfberichte ersetzt werden.

12Schlussbestimmungen

Es gilt deutsches Recht. Änderungen dieses AVV bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.