Vereinbarung zur Auftragsverarbeitung

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und der Brombach Technologies GmbH, Rheintalbahnstraße 35, 68199 Mannheim, als Auftragsverarbeiter („wir“) für die Nutzung von MRRocket.

1. Geltung

Diese Vereinbarung ist Bestandteil unserer Allgemeinen Geschäftsbedingungen (mrrocket.dev/terms, „AGB“) und gilt mit ihnen ab der Anmeldung. Einer Unterschrift bedarf es nicht; die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). Begriffe haben die Bedeutung aus der DSGVO und den AGB. Bei Widersprüchen geht diese Vereinbarung in Fragen des Datenschutzes den AGB vor.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde in MRRocket einbringt oder die MRRocket für ihn erhebt, wenn wir die Leistungen nach Abschnitt 3 der AGB erbringen. Die Vereinbarung gilt, solange der Nutzungsvertrag besteht, und darüber hinaus, bis die Daten nach Abschnitt 12 gelöscht sind.

3. Art und Zweck der Verarbeitung

Wir erheben, speichern, ordnen, durchsuchen und werten Daten aus, lassen sie von den KI-Agents mit Sprachmodellen bearbeiten, übermitteln sie im Auftrag des Kunden über die Konten, die er verbunden hat, etwa als E-Mail, Post oder Antwort, und löschen sie.

Zweck ist allein die Bereitstellung von MRRocket für den Kunden: Analytics, Heatmaps, Session-Aufnahmen, Fehler, Tests und Feature-Flags in seinen Produkten, Support, CRM und Outreach, Social Media und Anzeigen, Bewertungen, sein Partnerprogramm und die Arbeit der Agents daran. Für eigene Zwecke nutzen wir die Daten nicht, insbesondere nicht zum Training allgemeiner KI-Modelle.

4. Art der Daten und betroffene Personen

Je nachdem, was der Kunde verbindet und einschaltet:

– Kontakte und Partner des Kunden (Kunden, Interessenten, Geschäftspartner, Affiliates): Name, E-Mail-Adresse, Telefonnummer, Firma und Position, Nachrichten, Termine, Deals und Notizen, die festgehaltene Rechtsgrundlage für E-Mails, Einwilligungen und Abmeldungen; bei Partnern Bewerbungen, Klicks auf Partner-Links sowie Auszahlungs- und Steuerangaben. – Prospects aus der Lead-Suche (Hunter, Apollo) oder vom Kunden eingefügt: Name, geschäftliche E-Mail-Adresse, Position, Firma und Land, Cold Emails und Antworten darauf, Telefonnummern und Gesprächsnotizen; Aufnahmen und Abschriften von Telefonaten nur mit Einwilligung aller Beteiligten. – Besucher und Nutzer der Websites und Apps des Kunden über das MRRocket-SDK: aufgerufene Seiten und Ereignisse mit Herkunft, Gerät und Land, pseudonyme Kennungen (ohne Cookie-Einwilligung ein täglich wechselnder Hashwert), nach identify() die Nutzerkennung des Kunden, Klicks und Scrolltiefe, Fehlermeldungen, Zuordnung zu Tests und Flags, Antworten auf Umfragen, Feedback, Nachrichten im Messenger und Push-Tokens; Konten aus dem Anmeldedienst des Produkts (Kennung und Zeitpunkte, E-Mail-Adresse und Name nur, wenn der Kunde das einschaltet) sowie Zahlungen und Abos aus seinem Zahlungsanbieter. – Session-Aufnahmen, nur mit eigener Einwilligung der Besucher: Aufnahmen der Seite mit maskierten Eingaben, Klicks, Scrollen, aufgerufene Seiten, Fehlermeldungen, Sitzungs- und gegebenenfalls Nutzerkennung. – Support-Anfragen aus E-Mail, Chat und verbundenen Postfächern: Name und E-Mail-Adresse der Absender, Inhalte und Antworten. – Öffentliche Beiträge: Bewertungen aus App Stores, Trustpilot und G2, Kommentare und Erwähnungen in sozialen Netzwerken mit Name, Nutzername und Profilbild der Verfasser.

Betroffen sind damit die Kontakte und Partner des Kunden, Prospects, Besucher und Nutzer seiner Websites und Apps, Absender von Support-Anfragen sowie Verfasser von Bewertungen und Kommentaren. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen; der Kunde bringt sie nicht gezielt ein.

5. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind diese Vereinbarung und die AGB, die Einstellungen des Kunden in MRRocket, etwa Stufen, Regeln, Limits und eingeschaltete Abläufe, und jede Freigabe, die er in MRRocket erteilt. MRRocket protokolliert jede Freigabe und jede Änderung dieser Einstellungen mit Zeitpunkt und Person; der Kunde kann das Protokoll jederzeit exportieren. Weitere Weisungen erteilt der Kunde in Textform, etwa per E-Mail.

Halten wir eine Weisung für einen Verstoß gegen Datenschutzrecht, teilen wir das dem Kunden unverzüglich mit und dürfen sie aussetzen, bis er sie bestätigt oder ändert. Sind wir gesetzlich zu einer Verarbeitung verpflichtet, teilen wir dem Kunden das vorher mit, soweit das Gesetz es nicht verbietet.

6. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich: für eine Rechtsgrundlage, die Einwilligungen und Hinweise in seinen eigenen Produkten (Abschnitt 8 der AGB) und die Rechtsgrundlage, die er für E-Mails an einen Kontakt festhält (Abschnitt 11 der AGB). Er informiert die betroffenen Personen. Stellt er Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, teilt er uns das unverzüglich mit.

7. Vertraulichkeit

Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Sie verarbeiten die Daten nur nach Weisung des Kunden.

Als Betreiber können wir technisch über die Datenbank und den Dateispeicher auf die Daten zugreifen. Das tun wir nur, soweit es für Support auf Anfrage des Kunden oder für Betrieb und Sicherheit von MRRocket nötig ist. In der App sehen auch unsere Administratoren keine fremden Workspaces.

8. Technische und organisatorische Maßnahmen

Wir treffen die Maßnahmen nach Art. 32 DSGVO, insbesondere:

– Trennung: Jeder Kunde hat einen eigenen Workspace. Row-Level-Security in der Datenbank trennt die Workspaces bei jeder Abfrage. – Zugang und Rollen: Anmeldung über Clerk. Rollen Owner, Admin und Viewer (nur lesend) über eine Organisation je Workspace; wer Zugang bekommt, entscheidet der Kunde. Von Schlüsseln für die MCP-Schnittstelle speichern wir nur einen Hashwert. – Verschlüsselung: Gespeicherte Schlüssel und Zugangsdaten verbundener Konten sowie Auszahlungs- und Steuerangaben von Partnern sind mit einem geheimen Schlüssel der App verschlüsselt, der nicht in der Datenbank liegt. Verbindungen zur App laufen über HTTPS. – Speicherorte: Die Datenbank liegt bei Neon in Frankfurt (AWS eu-central-1). Session-Aufnahmen und Screenshots des Agent-Rechners liegen bei Cloudflare in einem Speicher mit EU-Bindung, hochgeladene und erzeugte Dateien bei Cloudflare mit Standort Europa. – Datensparsamkeit und Fristen: In Session-Aufnahmen werden Eingaben maskiert, Passwort-, Karten- und Zahlungsfelder nie aufgenommen; die Agents bekommen nur eine maskierte Ereignisliste ohne Person. Aufnahmen werden nach 30 Tagen gelöscht (pro Produkt bis 90 Tage einstellbar), Analytics-Rohdaten nach 90 Tagen, Screenshots des Agent-Rechners nach 7 Tagen. Das Protokoll der Aufrufe bei Datenanbietern speichert keine E-Mail-Adressen und keine Personenlisten. – Nachvollziehbarkeit: Ein Protokoll hält jede Aktion der Agents, jede Freigabe und jede Änderung der Einstellungen mit Zeitpunkt und Person fest. Es lässt sich exportieren, und jeder Export wird selbst protokolliert. – Freigaben: Aktionen nach außen laufen nur mit Freigabe oder im Rahmen der Einstellungen des Kunden; Cold Emails brauchen immer eine Freigabe. – Wiederherstellung: Die Datenbank lässt sich über den Datenbankanbieter auf einen früheren Zeitpunkt zurücksetzen.

Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

9. Unterauftragsverarbeiter

Der Kunde erlaubt uns, die Unterauftragsverarbeiter einzusetzen, die unter mrrocket.dev/subprocessors stehen. Wir verpflichten sie vertraglich auf ein Schutzniveau, das dieser Vereinbarung entspricht, und haften für sie wie für uns selbst.

Einen neuen Unterauftragsverarbeiter oder den Wechsel eines bestehenden teilen wir dem Kunden mindestens 30 Tage vorher in Textform mit, etwa per E-Mail an den Owner. Der Kunde kann der Änderung bis dahin aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine zumutbare Lösung, kann er den Vertrag zu dem Zeitpunkt kündigen, an dem die Änderung wirksam wird.

Dienste, deren Konten der Kunde selbst verbindet (Abschnitt 6 der AGB), etwa sein E-Mail-Anbieter, CRM, Zahlungsanbieter oder seine Social-Media- und Werbekonten, sind keine Unterauftragsverarbeiter; MRRocket ruft sie im Auftrag des Kunden auf, und es gilt sein Vertrag mit dem Anbieter.

Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb des EWR, geschieht das nur unter den Voraussetzungen der Art. 44 ff. DSGVO, etwa auf Grundlage eines Angemessenheitsbeschlusses wie des EU-US Data Privacy Framework oder von Standardvertragsklauseln.

10. Rechte der betroffenen Personen und Unterstützung

Wir unterstützen den Kunden mit geeigneten Maßnahmen dabei, Anträge betroffener Personen zu beantworten. Vieles kann er in MRRocket selbst: Daten einsehen und berichtigen, einzelne Session-Aufnahmen löschen, Kontakte auf die Sperrliste setzen und alle Daten des Workspaces exportieren. Wird eine Person im Anmeldedienst seines Produkts gelöscht, löscht MRRocket ihre Aufnahmen sofort. Was er nicht selbst kann, etwa alle Daten einer Person auf einmal löschen, erledigen wir auf seine Weisung. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und antworten nicht selbst, außer auf seine Weisung.

Auch bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO) unterstützen wir den Kunden mit den Informationen, die uns vorliegen.

11. Verletzungen des Schutzes personenbezogener Daten

Erfahren wir von einer Verletzung des Schutzes der Daten des Kunden, teilen wir sie ihm unverzüglich mit, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen, und ergreifen die nötigen Maßnahmen, um sie zu beheben und die Folgen zu mindern.

12. Löschung und Rückgabe

Während der Vertragslaufzeit löscht der Kunde Daten in MRRocket selbst. Einen Export aller Daten des Workspaces, jede Tabelle als JSON mit den hochgeladenen Dateien und Wissensdateien und auf Wunsch den Aufnahmen, lädt er jederzeit unter Settings › General; gespeicherte Schlüssel und Zugangsdaten sind darin nicht enthalten.

Nach Vertragsende (Abschnitt 19 der AGB) bleibt der Workspace 30 Tage pausiert. Dann schließen wir ihn; weitere 30 Tage kann der Owner eine Kopie laden oder den Workspace zurückholen. Danach löschen wir alle Daten des Workspaces mit seinen Dateien, Wissensdateien, Aufnahmen und Screenshots und seiner Organisation beim Anmeldedienst. Schließt der Owner den Workspace selbst, gilt dasselbe ab dem Schließen; auf Wunsch löschen wir sofort.

In den Sicherungen des Datenbankanbieters bleiben gelöschte Daten bis zum Ende von dessen Wiederherstellungsfenster. Daten in Konten, die der Kunde bei Drittanbietern selbst verbunden hat, bleiben dort. Auf Anfrage löschen wir auch Daten bei Unterauftragsverarbeitern, die nicht von selbst mitgelöscht werden. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

13. Nachweise und Kontrollen

Wir stellen dem Kunden die Informationen zur Verfügung, die er braucht, um die Einhaltung dieser Vereinbarung nachzuweisen, etwa diese Vereinbarung mit den Maßnahmen aus Abschnitt 8, die Liste der Unterauftragsverarbeiter und den Export des Protokolls. Darüber hinaus kann der Kunde Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach Ankündigung mit angemessener Frist, in der Regel 30 Tage, zu unseren Geschäftszeiten, ohne den Betrieb zu stören und ohne Anlass höchstens einmal im Jahr. Seine Kosten dafür trägt der Kunde.

14. Haftung

Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Im Verhältnis zwischen dem Kunden und uns gilt die Haftungsregelung der AGB (Abschnitt 21).

15. Schlussbestimmungen

Änderungen dieser Vereinbarung gelten wie Änderungen der AGB (Abschnitt 23). Es gilt das Recht der Bundesrepublik Deutschland; Gerichtsstand ist Mannheim, soweit das gesetzlich zulässig ist. Sollte eine Bestimmung unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam. Anlage ist die Liste der Unterauftragsverarbeiter (mrrocket.dev/subprocessors).