Auftragsverarbeitungsvertrag
Stand: 9. August 2026
Anlage zu den Allgemeinen Geschäftsbedingungen der Trade Mates OÜ. Vereinbarung nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO).
zwischen dem Auftraggeber — nachfolgend „Verantwortlicher" — und Trade Mates OÜ, Ruunaoja tn 3, 11415 Tallinn, Harju maakond, Estland, Registernummer 17238912 — nachfolgend „Auftragsverarbeiter".
Diese Vereinbarung wird mit dem Hauptvertrag geschlossen. Sie bedarf nach Art. 28 Abs. 9 DSGVO keiner handschriftlichen Unterschrift. Sie steht hier als Service zum Nachlesen; die maßgebliche Fassung ist die dem jeweiligen Vertrag beigefügte.
1. Gegenstand und Dauer
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und Nutzung der Software Scalium.
(2) Die Verarbeitung beginnt mit dem Hauptvertrag und endet mit dessen Beendigung. Ziffer 10 bleibt darüber hinaus wirksam.
2. Art, Umfang und Zweck der Verarbeitung
(1) Zweck: Erstellung eines Wissensdokuments über das Unternehmen des Verantwortlichen, Recherche, Erzeugung von Inhaltsentwürfen und Bildern, Qualitätsprüfung und Übertragung freigegebener Inhalte in das Content-Management-System des Verantwortlichen.
(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Verwenden, Übermitteln an die in Anlage 1 genannten Unterauftragsverarbeiter, Löschen.
(3) Kategorien personenbezogener Daten, soweit der Verantwortliche sie beisteuert oder sie in den ausgewerteten Quellen enthalten sind:
- Kontakt- und Kommunikationsdaten (Name, dienstliche E-Mail-Adresse, Telefonnummer, Funktion)
- Angaben aus dem Onboarding: Zitate von Mitarbeitenden, Qualifikationen, Auszeichnungen, Gründungsgeschichte, namentlich genannte Kunden und Partner, Angaben aus Fallstudien
- Inhalte hochgeladener Dokumente, soweit sie personenbezogene Daten enthalten
- Inhalte der Website des Verantwortlichen
- Zugangsdaten zum Content-Management-System des Verantwortlichen
(4) Kategorien betroffener Personen: Mitarbeitende und Organe des Verantwortlichen, dessen Kunden, Partner und Referenzgeber sowie in den beigesteuerten Inhalten benannte Dritte.
(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass er solche Daten nicht in die Anwendung einstellt.
(6) Ort der Verarbeitung: Europäische Union, mit Ausnahme der in Anlage 1 gekennzeichneten Unterauftragsverarbeiter.
3. Weisungsrecht
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus dieser Vereinbarung, dem Hauptvertrag und der Nutzung der Anwendung durch die Nutzer des Verantwortlichen.
(2) Einzelweisungen sind in Textform an trademates@outlook.de zu richten.
(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.
(4) Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke. Insbesondere werden die Daten nicht zum Training von KI-Modellen des Auftragsverarbeiters oder Dritter verwendet.
4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter
- a) verarbeitet die Daten nur wie in Ziffer 2 beschrieben und nur nach Weisung;
- b) verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit und unterrichtet sie über die einschlägigen Datenschutzpflichten; die Verpflichtung besteht über das Ende der Tätigkeit hinaus;
- c) ergreift die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und überprüft sie regelmäßig;
- d) unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, jeweils im Rahmen des Zumutbaren;
- e) informiert den Verantwortlichen unverzüglich, wenn eine Aufsichtsbehörde beim Auftragsverarbeiter Maßnahmen ergreift, die den Auftrag betreffen;
- f) benennt als Ansprechpartner für den Datenschutz die Trade Mates OÜ, erreichbar unter trademates@outlook.de. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO liegen nicht vor.
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter unterhält die in Anlage 2 beschriebenen Maßnahmen. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.
6. Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt den Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter.
(2) Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter einsetzen. Er teilt dies dem Verantwortlichen mindestens vier Wochen vor Wirksamwerden in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann der Auftragsverarbeiter den betroffenen Leistungsteil einstellen oder der Verantwortliche den Hauptvertrag zum geplanten Wirksamwerden kündigen.
(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht.
(4) Nicht als Unterauftragsverarbeitung gelten Leistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt, etwa Telekommunikation oder Reinigung, sowie die Übermittlung fertiger Inhalte an Systeme des Verantwortlichen selbst.
7. Drittlandübermittlung
(1) Eine Übermittlung in ein Drittland findet nur bei den in Anlage 1 gekennzeichneten Unterauftragsverarbeitern statt.
(2) Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO oder, sofern der Empfänger zertifiziert ist, auf Grundlage des EU-US Data Privacy Framework nach Art. 45 DSGVO. Kopien der Garantien stellt der Auftragsverarbeiter auf Anfrage bereit.
8. Rechte betroffener Personen
(1) Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Lösch- oder sonstigen Begehren an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
(2) Auf Weisung des Verantwortlichen berichtigt, löscht oder schränkt der Auftragsverarbeiter die Verarbeitung von Daten ein.
9. Verletzungen des Schutzes personenbezogener Daten
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.
(2) Die Meldung umfasst, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, den ungefähren Umfang, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.
(3) Meldungen an die Aufsichtsbehörde und an betroffene Personen nach Art. 33 und 34 DSGVO obliegen dem Verantwortlichen.
10. Löschung und Rückgabe
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Daten während der Vertragslaufzeit über die Exportfunktionen der Anwendung bereit.
(2) Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die Daten nach folgenden Fristen:
| Datenbestand | Löschung |
|---|---|
| Zugangsdaten zum Content-Management-System | unverzüglich mit Vertragsende |
| Frühere Fassungen des Wissensdokuments | mit Vertragsende |
| Wissensdokument, erzeugte Inhalte, hochgeladene Unterlagen | 90 Tage nach Vertragsende |
| Nutzerkonten der Nutzer des Verantwortlichen | 30 Tage nach Vertragsende |
(3) Innerhalb der 90-Tage-Frist kann der Verantwortliche eine sofortige Löschung oder eine Herausgabe verlangen.
(4) Von der Löschung ausgenommen sind Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Aufbewahrungspflichten weiter vorhalten muss; diese werden für den Zugriff gesperrt.
(5) Die Löschung wird auf Anfrage in Textform bestätigt.
11. Kontrollrechte
(1) Der Verantwortliche kann sich von der Einhaltung dieser Vereinbarung überzeugen. Der Auftragsverarbeiter erteilt dazu die erforderlichen Auskünfte und legt die Dokumentation der Maßnahmen nach Anlage 2 vor.
(2) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung von mindestens zwei Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Auftragsverarbeiter kann sie von der Unterzeichnung einer Verschwiegenheitserklärung abhängig machen.
(3) Der Nachweis kann auch durch geeignete Zertifizierungen oder Prüfberichte der eingesetzten Unterauftragsverarbeiter erbracht werden.
12. Haftung und Schlussbestimmungen
(1) Art. 82 DSGVO bleibt unberührt. Im Verhältnis der Parteien gilt im Übrigen die Haftungsregelung des Hauptvertrages.
(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag hat diese Vereinbarung Vorrang, soweit es die Verarbeitung personenbezogener Daten betrifft.
(3) Es gilt das im Hauptvertrag vereinbarte Recht. Zwingende Vorschriften der DSGVO bleiben unberührt.
Anlage 1 — Unterauftragsverarbeiter
Stand: 9. August 2026
| Unternehmen | Sitz | Leistung | Verarbeitungsort | Drittland |
|---|---|---|---|---|
| Vercel Inc. | Covina, CA, USA | Betrieb der Anwendung | Frankfurt am Main, Deutschland | ja (Unternehmenssitz) |
| Supabase Pte. Ltd. | Singapur | Datenbank, Authentifizierung, Dateispeicher | Irland | ja (Unternehmenssitz) |
| Elestio Limited | Dublin, Irland | Server für die Ablaufautomatisierung (n8n) | Nürnberg, Deutschland | nein |
| Anthropic Ireland, Limited | Dublin, Irland | Erzeugung und Prüfung von Texten | USA | ja, Standardvertragsklauseln |
| OpenAI Ireland Limited | Dublin, Irland | Erzeugung von Bildern | USA | ja, Standardvertragsklauseln |
| SerpApi, LLC | Austin, TX, USA | Abruf von Suchergebnissen | USA | ja |
| DataForSEO OÜ | Estland | Keyword-Daten | Europäische Union | nein |
| Google Ireland Limited | Dublin, Irland | Verwaltung der Systemanweisungen | USA | ja, Standardvertragsklauseln |
Bei den mit „ja" gekennzeichneten Empfängern gelten die Garantien nach Ziffer 7. „ja (Unternehmenssitz)" bedeutet: Die Verarbeitung selbst findet in der Europäischen Union statt, die Vertragspartei hat ihren Sitz jedoch in einem Drittland und kann von dort zugreifen.
Nicht als Unterauftragsverarbeitung erfasst: die Übertragung freigegebener Inhalte an das Content-Management-System des Verantwortlichen sowie das Demo-Formular der Website, für das die Trade Mates OÜ selbst Verantwortliche ist.
Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Zutritts- und Zugangskontrolle
Der Betrieb erfolgt ausschließlich in Rechenzentren der in Anlage 1 genannten Anbieter; eigene Serverräume werden nicht unterhalten. Der Zugang zur Anwendung setzt eine vorherige Freischaltung der E-Mail-Adresse durch einen Administrator voraus. Eine offene Selbstregistrierung besteht nicht.
Benutzer- und Berechtigungskontrolle
Passwörter werden ausschließlich als kryptografischer Hashwert gespeichert; der Klartext ist dem Auftragsverarbeiter nicht bekannt. Es bestehen getrennte Rollen für Administratoren und Nutzer. Nutzer sehen ausschließlich die ihnen zugewiesenen Mandanten. Der Zugriff wird zusätzlich auf Datenbankebene durch zeilenbasierte Zugriffsregeln (Row Level Security) durchgesetzt. Geschützte Seiten werden vor der Auslieferung serverseitig geprüft.
Verschlüsselung
Der Transport erfolgt durchgehend über TLS. Zugangsdaten zum Content-Management-System des Verantwortlichen werden mit AES-256-CBC und einem eigenen Initialisierungsvektor je Eintrag verschlüsselt gespeichert und ausschließlich zum Zeitpunkt der Veröffentlichung entschlüsselt. Sie werden nicht an die Ablaufautomatisierung weitergegeben.
Weitergabekontrolle
Rückmeldungen der Ablaufautomatisierung an die Anwendung werden über ein gemeinsames Geheimnis im HTTP-Kopf authentisiert. Übermittlungen an Dritte finden ausschließlich an die in Anlage 1 genannten Empfänger statt.
Eingabe- und Nachvollziehbarkeitskontrolle
Erzeugung und Freigabe von Inhalten werden je Nutzer und Zeitpunkt protokolliert. Verbrauch und Kosten werden je Nutzer und Mandant erfasst.
Verfügbarkeits- und Wiederherstellungskontrolle
Datenbank und Dateispeicher werden vom eingesetzten Anbieter gesichert. Dateien werden nicht überschrieben, sondern versioniert neu angelegt.
Trennungskontrolle
Daten verschiedener Mandanten werden logisch getrennt und durch die Zugriffsregeln nach Mandant abgegrenzt.
Zweckbindung und Modelleinsatz
Die eingesetzten KI-Anbieter verwenden übermittelte Inhalte nicht zum Training ihrer Modelle. Für die Anthropic-API gilt dies nach Angaben des Anbieters vertraglich; Prompts und Ausgaben werden dort standardmäßig nicht dauerhaft gespeichert, bei einzelnen Modellklassen gilt eine Aufbewahrung von 30 Tagen. An die Bildmodelle wird ausschließlich ein aus dem Artikelinhalt abgeleiteter Bildprompt übermittelt; Inhalte des Verantwortlichen werden dorthin nicht übertragen.
Verfahren zur Löschung
Die Fristen aus Ziffer 10 werden durch einen dokumentierten Prozess umgesetzt. Verantwortlich ist der Vorstand der Trade Mates OÜ. Der Prozess wird mit jeder Beendigung eines Hauptvertrages angestoßen; die Erledigung der einzelnen Fristen wird festgehalten und dem Verantwortlichen auf Anfrage nach Ziffer 10 Abs. 5 in Textform bestätigt.