Anlage 1 zu den AGB · Art. 28 DSGVO · Fassung vom 1. September 2026
(1) Dieser Vertrag konkretisiert die Pflichten aus der Nutzung von distraibute, soweit dabei personenbezogene Daten im Auftrag verarbeitet werden. Er ist Anlage 1 zu den Allgemeinen Geschäftsbedingungen und wird mit deren Zustandekommen wirksam; einer gesonderten Unterzeichnung bedarf es nicht.
(2) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde. Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Nicolas Kaitinnis, Römerstraße 24, 79541 Lörrach.
(3) Bei Widersprüchen gehen die Regelungen dieses Vertrages den AGB vor, soweit es um die Verarbeitung personenbezogener Daten geht — ausgenommen die Fristen für Abruf und Löschung nach § 9a der AGB; dort gilt die für den Kunden günstigere Regelung. Ohne diese Ausnahme schnitte dieser Vertrag die Abruffrist des Anbieterwechsels für praktisch alle Daten auf die Hälfte.
Gegenstand: Bereitstellung einer Software zur Auswertung öffentlicher Quellen, zur Erzeugung von Marketing-Entwürfen und zu deren Veröffentlichung nach Freigabe durch den Kunden.
Dauer: für die Laufzeit des Hauptvertrages; danach gilt § 9.
Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an vom Kunden verbundene Kanäle, Löschen.
Zweck: ausschließlich die Erbringung der vertraglich geschuldeten Leistung. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters — insbesondere zum Training eigener Modelle — findet nicht statt.
Der Auftragsverarbeiter setzt Sprachmodelle nur bei Anbietern und nur auf Zugangsstufen ein, deren Bedingungen eine Nutzung der übermittelten Eingaben zum Training ihrer Modelle ausschließen, und weist dies dem Kunden auf Verlangen nach. Die Unterscheidung nach der Stufe ist nicht theoretisch: Die kostenlose Stufe der Gemini-Schnittstelle nutzt die Eingaben ausdrücklich zur Weiterentwicklung von Modellen und lässt menschliche Sichtung zu (Bedingungen in der am 2. September 2026 abgerufenen Fassung); die kostenpflichtige tut das nicht. Die Software prüft die Stufe vor jedem Aufruf und überspringt einen Anbieter, dessen Stufe die Zusage nicht trägt. Diese Zusage betrifft den Modellanbieter — ohne sie sagte der Absatz darüber nur etwas über den Auftragsverarbeiter selbst und ließe die Frage offen, die praktisch zuerst gestellt wird.
Datenarten: Stammdaten der Nutzerkonten (Name, E-Mail-Adresse, Anmeldeanbieter), Angaben zum Betrieb, vom Kunden eingegebene Projekt- und Zielangaben, erzeugte und freigegebene Inhalte, Zugangsdaten verbundener Kanäle in verschlüsselter Form, Nutzungs- und Protokolldaten, vom Kunden hochgeladene Bild-, Ton- und Videodateien sowie daraus erzeugte Transkripte.
Betroffene Personen: Mitarbeitende und vertretungsberechtigte Personen des Kunden; darüber hinaus alle Personen, deren Daten der Kunde in Freitextfelder eingibt oder deren Kanäle er verbindet.
Der Kunde verpflichtet sich, keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO in die Plattform einzugeben — insbesondere keine Gesundheitsdaten. Er stellt den Auftragsverarbeiter von Ansprüchen frei, die aus einem Verstoß gegen diese Pflicht entstehen. Die Maßnahmen nach § 5 sind für Daten nach Art. 9 DSGVO nicht ausgelegt.
Als bloße Feststellung wäre dieser Satz wirkungslos: bei Bau- und Handwerksbetrieben landet eine Krankmeldung schnell in einem Freitextfeld.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden — einschließlich in Bezug auf die Übermittlung in ein Drittland (Art. 28 Abs. 3 lit. a DSGVO). Als solche gelten dieser Vertrag, die AGB und die Bedienung der Plattform durch den Kunden.
(2) Ist er nach Unionsrecht oder deutschem Recht zu einer weiteren Verarbeitung verpflichtet, teilt er dies dem Kunden vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht verbietet.
(3) Er informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt (Art. 28 Abs. 3 S. 3 DSGVO).
(1) Der Auftragsverarbeiter verpflichtet alle Personen, die er zur Verarbeitung befugt, vor der ersten Tätigkeit zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Als bloße Feststellung wäre der Satz bei der ersten Einstellung überholt, ohne dass ihn jemand ändert.
(2) Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Umgesetzt sind insbesondere:
(3) Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird.
(1) Der Kunde stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu. Die Liste unterscheidet zwischen Anbietern, die heute Daten verarbeiten, und solchen, die die Software ansprechen kann, sobald der Anbieter den zugehörigen Zugang einrichtet. Eine Liste, die nur den heutigen Zustand nennt, wäre am Tag der nächsten Einstellung überholt, ohne dass jemand es merkt.
Heute im Einsatz:
Angelegt, aber derzeit nicht freigeschaltet — die Software spricht sie an, sobald der jeweilige Zugang eingerichtet wird:
Empfänger auf Veranlassung des Kunden: Verbindet der Kunde einen Kanal — etwa LinkedIn, X, Reddit, Bluesky, Meta, Instagram, Threads, TikTok, Medium, dev.to, Pinterest, Substack — so überträgt die Plattform die von ihm freigegebenen Inhalte dorthin. Für diese Übermittlung gelten die Bedingungen des jeweiligen Kanals; sie erfolgt auf Weisung des Kunden im Sinne des § 4.
(2) Die Grundlage der Übermittlung steht bei jedem Anbieter in Absatz 1. Für Anbieter mit Sitz in den Vereinigten Staaten ist sie entweder der Angemessenheitsbeschluss (EU) 2023/1795, soweit der Anbieter im EU-US Data Privacy Framework aktiv gelistet ist, oder — sonst — die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Entfällt eine Zertifizierung oder der Angemessenheitsbeschluss selbst, gelten für den betroffenen Anbieter ohne weiteres die Standardvertragsklauseln; es bedarf dafür keiner Änderung dieses Vertrages. Auch bei europäischem Verarbeitungsort ist ein Zugriff aus einem Drittland nicht ausgeschlossen.
(2b) Deckt eine Zertifizierung Beschäftigtendaten nicht ab — in Absatz 1 als„beschränkt auf Nicht-Beschäftigtendaten“ ausgewiesen —, so gelten für die Übermittlung von Beschäftigtendaten an diesen Anbieter ohne weiteres die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3) nebst Übermittlungsfolgenabschätzung; einer Änderung dieses Vertrages bedarf es dafür nicht. Diese Regelung ist praktisch bedeutsam und nicht vorsorglich: Bei einem Handwerksbetrieb sind Mitarbeitende betroffene Personen (§ 3), und die Datenbank gehört zu den Anbietern mit dieser Beschränkung.
(2a) Die Angaben in Absatz 1 sind am 01.09.2026 gegen die amtliche Teilnehmerliste des Data Privacy Framework gehalten worden und werden maschinell nachgeprüft. Der Kunde kann sie unter dataprivacyframework.gov/list selbst überprüfen; er benötigt sie für sein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. e DSGVO).
(3) Die Freischaltung eines in Absatz 1 bereits genannten Anbieters gilt als angekündigt; einer erneuten Mitteilung bedarf es nicht. Die Hinzuziehung eines dort nicht genanntenUnterauftragsverarbeiters teilt der Auftragsverarbeiter dem Kunden mindestens vier Wochen vorher in Textform mit. Der Kunde kann der Änderung binnen zwei Wochen ab Zugang widersprechen; einer Begründung bedarf es nicht (Art. 28 Abs. 2 DSGVO). Widerspricht er, kann jede Partei den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung außerordentlich kündigen.
(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er legt diese Verträge dem Kunden auf Verlangen in geeigneter Form offen.
(5) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter dem Kunden gegenüber für dessen Erfüllung in vollem Umfang.
(1) Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Die Plattform stellt dafür einen vollständigen Export des Arbeitsbereichs in einem strukturierten, gängigen und maschinenlesbaren Format bereit; damit ist ein Auskunftsverlangen nach Art. 15 DSGVO zu beantworten.
(1a) Ein Export beantwortet die übrigen Rechte betroffener Personen nicht. Auf Weisung des Kunden berichtigt, löscht oder schränkt der Auftragsverarbeiter die Verarbeitung einzelner personenbezogener Daten ein (Art. 16, 17, 18 DSGVO) und bestätigt die Ausführung in Textform. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Kunden weiter und antwortet nicht selbst.
(2) Er unterstützt den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Meldungen nach Art. 33 und bei Datenschutz-Folgenabschätzungen.
(3) Er meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis in Textform, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie ihm vorliegen. Die Frist ist bewusst kürzer als die 72 Stunden des Art. 33 Abs. 1 DSGVO: sie laufen für den Kunden, und was der Auftragsverarbeiter verbraucht, fehlt ihm.
(1) Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die Informationen bereit, die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlich sind.
(2) Der Auftragsverarbeiter ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt aktiv dazu bei, insbesondere durch Auskunft, Einsicht in einschlägige Unterlagen und Benennung eines Ansprechpartners. Überprüfungen sind mit zwei Wochen Vorlauf anzukündigen, auf die üblichen Geschäftszeiten zu legen und auf eine je Kalenderjahr beschränkt; bei einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer Aufsichtsbehörde entfallen Frist und Beschränkung. Der Kunde trägt die eigenen Kosten, der Auftragsverarbeiter seinen Mitwirkungsaufwand. Ein vom Kunden beauftragter Prüfer darf kein Wettbewerber sein und ist zur Verschwiegenheit zu verpflichten.
(3) Soweit die Verarbeitung bei einem Unterauftragsverarbeiter stattfindet, macht der Auftragsverarbeiter die ihm dort zustehenden Kontroll- und Informationsrechte auf Verlangen des Kunden geltend und leitet die erlangten Nachweise weiter. Ohne diesen Durchgriff wäre eine Prüfung beim Auftragsverarbeiter ohne Aussage über den Ort, an dem die Daten tatsächlich liegen.
(4) Die Kontrollrechte der zuständigen Aufsichtsbehörde bleiben unberührt; der Auftragsverarbeiter arbeitet mit ihr auf Anfrage zusammen (Art. 31 DSGVO).
(1) Der Kunde bestimmt, ob die Daten nach Ende des Hauptvertrages zurückgegeben oder gelöscht werden (Art. 28 Abs. 3 lit. g DSGVO). Teilt er nichts mit, gilt § 9a der AGB: Bereitstellung zum Abruf, danach Löschung.
(2) Danach löscht er alle Daten des Arbeitsbereichs aus seiner Datenbank, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Anmeldekennung des Kontos und beim Speicheranbieter abgelegte Dateien werden gesondert gelöscht; hierfür genügt eine Nachricht in Textform, der Auftragsverarbeiter führt sie binnen 30 Tagen aus. Die Löschbestätigung nach Absatz 3 benennt beides getrennt. Rechnungen bewahrt er nach § 14b Abs. 1 UStG acht Jahre auf.
(3) Die Löschung bestätigt er dem Kunden auf Verlangen in Textform.
(1) Für die Haftung gilt § 11 der AGB; Art. 82 DSGVO bleibt unberührt.
(2) Es gilt deutsches Recht. Gerichtsstand ist Lörrach, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
(3) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.