Vereinbarung über die Auftragsbearbeitung

1. Gegenstand, Rollen und Dauer

StadtHirsch bearbeitet im Auftrag des Kunden Bewertungen seiner ausgewählten Google-Unternehmensstandorte: erkennen, abrufen, Antwortentwürfe erzeugen, an die bestätigte Adresse zustellen und bei gesondert gewähltem Direktmodus Antworten bei Google einreichen. Massgeblich sind die im Konto dokumentierten Standorte, der gewählte Modus, die Stilvorgaben und die Empfängeradresse.

Der Kunde bestimmt Zweck und zulässigen Umfang dieser Kundenkommunikation. Er sorgt für seine Berechtigung zur Nutzung des Unternehmensprofils und für erforderliche Datenschutzinformationen gegenüber betroffenen Personen. StadtHirsch unterstützt ihn dabei mit Angaben zum Dienst und dessen Empfängern. Die Auftragsbearbeitung dauert für die Leistungserbringung und die anschliessende vereinbarte Rückgabe beziehungsweise Löschung an.

Für eigene Zwecke wie Websitebetrieb, Kontoverwaltung, Vertragsabschluss, Abrechnung, Sicherheitsabwehr und freiwillige eigene Kundenreferenzen ist StadtHirsch selbst verantwortlich. Diese Zwecke werden in den Datenschutzhinweisen getrennt beschrieben. Diese Vereinbarung gestattet keine Nutzung von Bewertungstexten für Werbung, Datenhandel oder das Training eigener allgemeiner Modelle.

2. Daten und betroffene Personen

Betroffen sind Rezensentinnen und Rezensenten sowie in Bewertungen erwähnte Personen und die zuständigen Ansprechpersonen des Kunden. Bearbeitet werden insbesondere Google-Konto- und Standortkennungen, Standortname und Geschäftswebsite, Review-Kennung, Zeitpunkte, Sterne, Bewertungstext, ein öffentlich angezeigter Name, Antwortvorgaben, erzeugte Antworten und Verarbeitungs-, Versand- oder Publikationsstatus.

Bewertungen können unerwartet sensible Angaben enthalten. Der Dienst ist nicht zur gezielten Verarbeitung von Gesundheitsdaten, Daten unter Berufsgeheimnis oder anderen besonders schützenswerten Inhalten bestellt. Der Kunde darf solche Daten nicht zusätzlich in Vorgaben eingeben. Eine vollständige automatische Entfernung sensibler Angaben aus fremden Bewertungen ist nicht zugesagt. Wird ein nicht beherrschbares Datenschutzrisiko erkannt, ist die betroffene Verarbeitung anzuhalten und mit dem Kunden zu klären.

3. Weisungen und Vertraulichkeit

StadtHirsch bearbeitet Auftragsdaten nur nach dokumentierten Weisungen des Kunden und den vereinbarten Funktionen. Weisungen können über die vorgesehenen Kontoeinstellungen oder über joe@feedbackjoe.com erteilt werden. Änderungen, die zusätzliche Bearbeitungen oder Empfänger erfordern, werden vor ihrer Ausführung geklärt. Mündliche Weisungen sind zu dokumentieren.

Hält StadtHirsch eine Weisung für datenschutzwidrig, informiert sie den Kunden unverzüglich und setzt die betroffene Ausführung bis zur Klärung aus. Soweit zwingendes Recht eine abweichende Bearbeitung verlangt, informiert sie den Kunden vorab, ausser wenn das Gesetz dies untersagt. Eingesetzte Personen erhalten nur erforderliche Zugriffe und werden auf Vertraulichkeit verpflichtet; diese Pflicht gilt über das Ende ihres Einsatzes hinaus.

4. Schutzmassnahmen

StadtHirsch trifft dem Risiko angemessene technische und organisatorische Massnahmen und überprüft deren Wirksamkeit. Die Einsatzanlage dokumentiert den tatsächlich betriebenen Stand. Sie umfasst insbesondere Zugriffsrechte, sichere Administration, Transportverschlüsselung, geschützte Schlüssel, Kontentrennung, Fristen, Wiederherstellung, Sicherheitsupdates und Vorfallbehandlung. Änderungen dürfen das vereinbarte Schutzniveau nicht wesentlich herabsetzen.

Bereits im App-Design vorgesehen sind HTTPS, verschlüsselte Google-Refresh-Tokens, gehashte Sitzungswerte, notwendige HttpOnly-/Secure-Sitzungscookies, Zugriffskontrollen je Konto, protokollierte Moduszustimmung und begrenzte Fehlerwiederholungen. Die öffentliche Musterdemo verwendet getrennte synthetische Sitzungen und flüchtige Datenhaltung. Diese Beschreibung ist keine Bestätigung, dass ein produktiver Backup-, Lösch- oder Wiederanlaufbetrieb bereits abgenommen wurde.

5. Weitere Auftragsbearbeiter und Länder

Der Kunde genehmigt die vor dem produktiven Start konkret benannten Unterauftragsbearbeiter in der mitgeteilten Einsatzanlage. StadtHirsch verpflichtet diese vertraglich zu einem für den jeweiligen Auftrag angemessenen Datenschutz und bleibt für die Erfüllung der eigenen Pflichten gegenüber dem Kunden verantwortlich. Anbieter, die Daten für eigene gesetzliche oder vertragliche Zwecke bearbeiten, werden in der Rollenübersicht gesondert ausgewiesen.

Eine Hinzuziehung oder Ersetzung eines Unterauftragsbearbeiters wird dem Kunden mindestens 30 Tage vor dem geplanten Einsatz mit Leistung, Datenkategorien, Ländern und Absicherung mitgeteilt. Der Kunde kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Klärung werden seine Daten nicht an den beanstandeten neuen Anbieter übermittelt. Lässt sich keine zumutbare Lösung erreichen, kann der betroffene Leistungsumfang ohne Zusatzkosten beendet werden; nicht erbrachte vorausbezahlte Leistungen werden in diesem besonderen Fall angemessen abgerechnet.

Bei einer Bekanntgabe in einen Staat ohne anerkannt angemessenen Schutz sind vor der Übermittlung geeignete Garantien und nötige ergänzende Massnahmen zu dokumentieren. Eine Aufnahme in diese Vereinbarung ersetzt diesen Nachweis nicht. Änderungen der Länder oder Garantien sind vor der betroffenen Übermittlung mitzuteilen. Anwendbare Schweizer Vorgaben und, soweit einschlägig, die DSGVO sind zu berücksichtigen.

6. Rechtebegehren und Unterstützung

Erhält StadtHirsch ein Begehren zu Auftragsdaten direkt von einer betroffenen Person, informiert sie den Kunden unverzüglich und antwortet inhaltlich nur auf dessen Weisung, soweit keine eigene gesetzliche Pflicht besteht. Sie unterstützt den Kunden bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenherausgabe sowie bei erforderlichen Risiko- und Folgenabschätzungen.

Der Kunde kann während des Auftrags eine Kopie der verfügbaren, ihm zugeordneten Auftragsdaten in einem üblichen Format verlangen. Bereits fristgerecht gelöschte oder nur flüchtig verarbeitete Bewertungstexte können nicht nachträglich rekonstruiert werden. Für gewöhnliche Datenschutzbegehren wird kein gesondertes Entgelt berechnet. Ein aussergewöhnlicher, vom Kunden zusätzlich gewünschter Aufwand wird vorab beziffert und vereinbart; zwingende kostenlose Auskunftsrechte bleiben unberührt.

7. Sicherheitsvorfälle

StadtHirsch informiert den Kunden unverzüglich nach Kenntnis einer Verletzung der Sicherheit seiner Auftragsdaten. Die Mitteilung enthält die bekannten Umstände, betroffenen Daten und Personengruppen, wahrscheinliche Folgen, ergriffene oder geplante Massnahmen sowie einen Kontakt. Noch fehlende Informationen werden ohne vermeidbare Verzögerung ergänzt.

StadtHirsch sichert zweckgebunden notwendige Nachweise, begrenzt die Auswirkungen und unterstützt den Kunden bei dessen Meldungen an Behörden und betroffene Personen. Die jeweilige gesetzliche Meldeverantwortung bleibt bei der hierfür verantwortlichen Partei. Kontakt: joe@feedbackjoe.com.

8. Nachweise und Kontrolle

StadtHirsch stellt dem Kunden die erforderlichen Informationen zum Nachweis dieser Vereinbarung zur Verfügung. Der Kunde oder eine zur Vertraulichkeit verpflichtete unabhängige Prüfstelle kann angemessene Kontrollen verlangen. Zeitpunkt und Umfang werden so abgestimmt, dass Rechte anderer Kunden und die Systemsicherheit geschützt bleiben. Ein begründeter Vorfall oder behördliche Anforderungen können eine kurzfristige Prüfung erfordern. Nachweise können zunächst durch aktuelle Dokumentation und geeignete Prüfberichte erbracht werden; notwendige weitergehende Kontrollen werden dadurch nicht ausgeschlossen.

9. Rückgabe, Löschung und Auftragsende

Auf Weisung des Kunden werden verfügbare Auftragsdaten zurückgegeben oder gelöscht, soweit keine gesetzliche Pflicht entgegensteht. Eine Kündigung des Abos beendet zunächst dessen Verlängerung; ein datenschutzrechtliches Löschbegehren kann jederzeit unabhängig davon gestellt werden. Sind Daten für die noch gewünschte Leistung erforderlich, stimmen die Parteien die Folgen einer vorzeitigen Löschung ab. Der Löschknopf im Konto steht nach dem bestätigten Abo-Ende zur Verfügung und muss gesondert betätigt werden.

Google-Zugänge und kundenspezifische laufende Bearbeitungen werden bei endgültiger Kontolöschung beendet. Ein fehlgeschlagener Widerruf auf Google-Seite wird gesondert behandelt; der Kunde kann den Zugriff zusätzlich in seinem Google-Konto entfernen. Bereits öffentlich bei Google veröffentlichte Antworten und an das Kundenpostfach zugestellte E-Mails werden durch eine lokale Kontolöschung nicht zurückgerufen.

Einzelne Bewertungsereignisse werden nach Ablauf von 29 Tagen im regelmässigen Bereinigungslauf aus der laufenden App-Datenbank entfernt. Der Rohtext und der fertige Entwurf werden dort im produktiven Modus nicht dauerhaft archiviert. Für Providerprotokolle, E-Mail-Kopien und Sicherungen gelten die in der Einsatzanlage festgehaltenen Fristen. Eine kürzere zwingende oder durch Google vorgegebene Frist geht vor. Sicherungen dürfen gelöschte Auftragsdaten nicht dauerhaft zurückbringen; nach einer Wiederherstellung sind Löschstände erneut anzuwenden, bevor die Verarbeitung fortgesetzt wird.

Der Bearbeitungsauftrag endet mit dem endgültigen Ende der vereinbarten Leistung, bei einer ordentlichen Kündigung mit dem Ende der bezahlten Abo-Periode. Ein ungenutztes Konto verlängert den Bearbeitungsauftrag nicht. Verbleibende Auftragsdaten und Zugriffsberechtigungen werden spätestens innerhalb von 30 Tagen nach diesem Ende gelöscht beziehungsweise beendet, soweit keine kürzere Frist gilt. Eine vorher gewünschte Rückgabe ist innerhalb dieser Frist auszuführen. Der Betreiber muss diesen Ablauf auch dann auslösen, wenn der Kunde sein Konto nicht selbst löscht. Das davon getrennte Benutzerkonto und gesetzlich erforderliche Geschäftsnachweise unterliegen den in der Datenschutzerklärung beschriebenen eigenen Zwecken und Fristen.

Die Ausführung der Löschung wird auf Wunsch bestätigt. Dieser Ablauf einschliesslich verbleibender Anbieter- und Backupkopien ist vor der Kundenöffnung einzurichten und nachzuweisen; die heutige Schaltfläche zur Kontolöschung allein erfüllt diese Verpflichtung nicht.

10. Vorrang und ergänzendes Recht

Für die Auftragsbearbeitung gehen die Bestimmungen dieser Vereinbarung widersprechenden allgemeinen Produktbedingungen vor. Im Übrigen gelten die FeedbackJoe-AGB. Soweit die DSGVO auf einen Vorgang anwendbar ist, sind insbesondere die Pflichten aus Art. 28 DSGVO ergänzend einzuhalten. Eine unzulässige Weisung oder fehlende Übermittlungsgrundlage wird nicht durch diese Vereinbarung geheilt.

Anlage 1: Bearbeitungsauftrag

Zweck: Antworten auf Bewertungen der ausgewählten Unternehmensstandorte vorbereiten und im ausdrücklich gewählten Modus zustellen oder einreichen. Art: Abruf, flüchtige Analyse, Entwurfserstellung, Übermittlung, Statusverwaltung, Fehlerbehandlung, Löschung. Häufigkeit: bei neuen oder unterstützten geänderten Bewertungsereignissen während aktiver Überwachung. Daten und Betroffene: gemäss Ziffer 2. Dauer: Vertragsleistung plus begrenzte Rückgabe und Löschung. Weisungen: dokumentierte Kontoeinstellungen und bestätigte Einzelweisungen. Kontakt beider Parteien: die Kontaktangaben im Kundenauftrag und joe@feedbackjoe.com.

Anlage 2: Einsatzliste vor dem produktiven Start

Diese Liste beschreibt die vorgesehene Architektur. Sie ist vor dem ersten echten Kundendatenfluss durch eine vollständige, datierte Einsatzanlage mit Nachweisen zu ersetzen und dem Kunden zugänglich zu machen. Bis dahin findet keine produktive Auftragsbearbeitung statt.