Vertrag zur Auftragsverarbeitung
Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen dem Kunden („Verantwortlicher“) und QLYX Media, Goethestr. 10, 15831 Blankenfelde-Mahlow („Auftragsverarbeiter“). Er wird mit Abschluss des Sendalo-Vertrags vereinbart und gilt für dessen Dauer. Stand: 19.10.2026.
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Sendalo bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich der Löschfristen nach Nr. 10.
2. Art und Zweck der Verarbeitung
Speichern, Anzeigen, Veröffentlichen und Auswerten von Social-Media-Inhalten; Abruf und Beantwortung von Kommentaren und Nachrichten; Bereitstellung eines Kundenportals; Terminbuchung; Beantwortung von WhatsApp-Nachrichten und Anrufen (Zusatzmodul KI-Telefon); Kommentar-Automationen mit Direktnachrichten; Steuerung von Werbeanzeigen; KI-gestützte Erstellung von Texten, Antwortvorschlägen, Alt-Texten und Berichten.
3. Arten von Daten und betroffene Personen
- Daten: Namen, Kontaktdaten, Profilnamen und -bilder, Inhalte von Beiträgen, Kommentaren und Nachrichten, Kennzahlen zu Beiträgen, Buchungsdaten, im Kundenportal ausgetauschte Dateien, Nachrichten und Dokumente, Nachweisdaten elektronischer Unterschriften (Name, Unterschriftsbild, Zeitpunkt, IP-Adresse, Prüfsumme des Dokuments), Nutzungs- und Protokolldaten.
- Betroffene: Beschäftigte und Kunden des Verantwortlichen, Follower und Personen, die mit dessen Profilen interagieren, Personen, die Termine buchen oder den Chatbot nutzen.
Besondere Kategorien von Daten (Art. 9 DSGVO) sollen nicht verarbeitet werden. Der Verantwortliche wirkt darauf hin, dass solche Daten nicht in Sendalo eingegeben werden.
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Funktionen; Einzelweisungen erfolgen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
5. Vertraulichkeit
Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet. Support-Zugriffe auf Daten des Verantwortlichen erfolgen nur nach dessen Freigabe in der Anwendung und werden protokolliert.
6. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
7. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 14 Tage im Voraus in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Einigung nicht möglich, kann er den Hauptvertrag zum Zeitpunkt des Wechsels kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf gleichwertige Pflichten. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
8. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm dies möglich ist. Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich weiter.
9. Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
10. Löschung und Rückgabe
Nach Vertragsende kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter sie, soweit keine Pflicht zur Speicherung besteht; Datensicherungen werden spätestens nach weiteren 30 Tagen überschrieben. Auf Anfrage bestätigt er die Löschung in Textform.
11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit, vorrangig durch aktuelle Dokumentation der Maßnahmen und Nachweise der Unterauftragsverarbeiter. Vor-Ort-Prüfungen sind nach angemessener Ankündigung zu den üblichen Geschäftszeiten möglich; der Verantwortliche trägt die eigenen Kosten.
12. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.
Anlage 1 – Technische und organisatorische Maßnahmen
- Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der STRATO AG in Deutschland mit Zutrittsschutz rund um die Uhr (nach ISO/IEC 27001 zertifizierte Rechenzentren). Keine Server in Büroräumen.
- Zugangskontrolle: Server-Zugang nur per SSH-Schlüssel, Passwort-Anmeldung deaktiviert, Firewall mit nur den nötigen Ports, automatische Sperre nach Fehlversuchen, Zwei-Faktor-Anmeldung für Verwaltungskonten.
- Zugriffskontrolle: Rollen (Admin, Redaktion, Nur lesen, Kundenportal), strikte Trennung der Mandanten in der Anwendung; Kundenportal-Zugänge sehen nur Daten ihres eigenen Kunden; Portal-Dateien liegen außerhalb des öffentlichen Webverzeichnisses und werden nur nach Rechteprüfung ausgeliefert; Support-Zugriff nur mit Freigabe des Kunden und mit Protokoll.
- Weitergabekontrolle: Übertragung ausschließlich per TLS (HTTPS). Zugriffstokens der Plattformen werden mit AES-256-GCM verschlüsselt gespeichert, Passwörter nur als scrypt-Hash.
- Eingabekontrolle: Protokollierung von Anmeldungen, Rechteänderungen, Veröffentlichungen und Support-Zugriffen.
- Verfügbarkeit: Tägliche verschlüsselte Datensicherung, Aufbewahrung 30 Tage, Wiederherstellung wird regelmäßig getestet; Überwachung der Dienste; zeitnahes Einspielen von Sicherheitsupdates.
- Trennungskontrolle: Daten verschiedener Kunden sind logisch getrennt; Entwicklungs- und Testumgebungen nutzen keine Echtdaten.
- Überprüfung: Die Maßnahmen werden mindestens jährlich und nach wesentlichen Änderungen überprüft und dokumentiert.
Anlage 2 – Unterauftragsverarbeiter
| Dienstleister | Leistung | Ort der Verarbeitung |
|---|---|---|
| STRATO AG, Berlin | Hosting von Anwendung und Datenbank, E-Mail-Versand | Deutschland |
| Anthropic Ireland, Limited, Dublin (mit Anthropic PBC, San Francisco) | KI-Funktionen (Texte, Antworten, Alt-Texte, Berichte, Chatbot, KI-Telefon) | Irland/USA – EU-Standardvertragsklauseln (Module 2 und 3) |
| sipgate GmbH, Düsseldorf | Rufnummern, Anrufannahme, Sprache ↔ Text (sipgate AI Flow) für das KI-Telefon (Zusatzmodul) | Deutschland/EU (nach Angaben von sipgate EU-gehostet) |
Die Schnittstellen sozialer Netzwerke und der WhatsApp Business Platform (Meta, TikTok, Google, LinkedIn, Pinterest, X) sind keine Unterauftragsverarbeiter: Der Verantwortliche nutzt diese Dienste auf Grundlage eigener Verträge, Sendalo übermittelt die Inhalte in seinem Auftrag dorthin.