Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

dem Vertragspartner von User Flow, wie er im Benutzerkonto hinterlegt ist
– nachfolgend „Verantwortlicher" –

und

User Flow LT UG (haftungsbeschränkt)
Alt-Möllner-Straße 37–42, Gebäude B
23879 Mölln, Deutschland
Registergericht: Amtsgericht Lübeck, HRB 27853 HL
– nachfolgend „Auftragsverarbeiter" oder „User Flow" –

– gemeinsam die „Parteien" –

§ 1Gegenstand und Zustandekommen

1.1 Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit dem zwischen ihnen bestehenden Nutzungsvertrag über die Plattform User Flow (nachfolgend „Hauptvertrag") und den hierfür geltenden Allgemeinen Geschäftsbedingungen.

1.2 Diese Vereinbarung kommt gleichzeitig mit dem Hauptvertrag zustande. Der Verantwortliche stimmt ihr im Rahmen der Registrierung ausdrücklich zu. Eine gesonderte Anforderung ist nicht erforderlich.

1.3 Sie gilt für sämtliche Verarbeitungen personenbezogener Daten, die User Flow im Auftrag des Verantwortlichen im Rahmen des Hauptvertrags durchführt.

1.4 Soweit User Flow personenbezogene Daten in eigener Verantwortlichkeit verarbeitet – insbesondere Bestands-, Vertrags-, Abrechnungs- und Zugangsdaten des Verantwortlichen sowie technische Protokoll- und Sicherheitsdaten zum Betrieb der Plattform –, gilt diese Vereinbarung nicht. Für diese Verarbeitungen gilt die Datenschutzerklärung von User Flow.

1.5 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in datenschutzrechtlichen Fragen vor.

§ 2Gegenstand, Dauer, Art und Zweck der Verarbeitung

2.1 Gegenstand. Gegenstand der Verarbeitung ist die Bereitstellung der cloudbasierten Softwareplattform User Flow einschließlich der vom Verantwortlichen gebuchten Module.

2.2 Dauer. Die Verarbeitung beginnt mit dem Zustandekommen des Hauptvertrags und endet mit dessen Beendigung sowie der anschließenden Löschung oder Rückgabe nach § 11.

2.3 Art und Zweck. Die Verarbeitung umfasst insbesondere:

• das Erheben, Speichern, Organisieren, Strukturieren, Abrufen, Verwenden, Übermitteln, Synchronisieren, Einschränken und Löschen personenbezogener Daten,
• die Verwaltung von Benutzerkonten, Rollen und Berechtigungen,
• die Verbindung und eingebettete Darstellung von Konten unterstützter Drittplattformen,
• die Bereitstellung von CRM-Funktionen,
• die Darstellung, Synchronisierung und Organisation von Kommunikationsvorgängen,
• die Bereitstellung von Analyse-, Reporting- und Statistikfunktionen,
• die Erfassung und Auswertung aktiver Nutzungszeiten und Bearbeitungsvorgänge,
• die Planung und Organisation von Arbeitseinsätzen,
• die Ermittlung betriebswirtschaftlicher Kennzahlen,
• die Verwaltung, Speicherung und Übertragung digitaler Inhalte,
• die Veröffentlichung von Inhalten auf unterstützten Drittplattformen,
• die Ausführung der vom Verantwortlichen konfigurierten Automatisierungsfunktionen,
• die automatisierte Übersetzung von Kommunikationsinhalten, soweit vom Verantwortlichen aktiviert,
• sowie die zur Bereitstellung, Sicherung und Fehlerbehebung erforderlichen technischen Vorgänge.

Zweck ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken von User Flow findet nicht statt.

2.4 Ort der Verarbeitung. Die Verarbeitung erfolgt in der Bundesrepublik Deutschland. Verarbeitungen durch Unterauftragsverarbeiter außerhalb Deutschlands sowie Übermittlungen in Drittländer sind in Anlage 2 ausgewiesen; § 10 gilt.

§ 3Kategorien betroffener Personen und Datenarten

3.1 Kategorien betroffener Personen

• Nutzer der unterstützten Drittplattformen, mit denen der Verantwortliche kommuniziert oder interagiert (Fans),
• Creator, deren Konten innerhalb der Plattform verwaltet werden,
• vom Verantwortlichen eingeladene Nutzer, insbesondere Chatter,
• sonstige Personen, deren Daten der Verantwortliche in die Plattform einstellt,
• auf hochgeladenen oder übertragenen Medien abgebildete Personen.

3.2 Kategorien personenbezogener Daten

• Stammdaten: Aliasnamen, Nicknames, Benutzernamen, Benutzerkennungen, Plattformkennungen, Creator-Zuordnungen,
• Kontaktdaten eingeladener Nutzer: E-Mail-Adresse, Anzeigename,
• CRM-Daten: Listenzugehörigkeiten, Tags, interne Notizen, Statusinformationen, Kategorisierungen, Erinnerungen, Markierungen, Prioritäten,
• Kommunikationsinhalte: Text- und Bildnachrichten, sonstige Medieninhalte, Nachrichtenverläufe,
• Kommunikationsmetadaten: Zeitpunkte, Statusinformationen, beteiligte Kennungen, bearbeitende Nutzer,
• Abonnement- und Vertragsinformationen betroffener Personen,
• Umsatz- und Transaktionsinformationen betroffener Personen,
• Aktivitäts- und Interaktionsdaten,
• Activity- und Time-Tracking-Daten eingeladener Nutzer,
• Einsatz- und Schichtplanungsdaten,
• Rollen- und Berechtigungsinformationen,
• vom Verantwortlichen hochgeladene oder übertragene Medieninhalte,
• vom Verantwortlichen hinterlegte Vorlagen, Skripte und Auslösekriterien einschließlich hierfür erforderlicher Angaben wie Geburtsdaten,
• technische Verbindungs-, Sitzungs- und Protokolldaten,
• sowie sonstige vom Verantwortlichen eingestellte Informationen.

3.3 Besondere Kategorien personenbezogener Daten. Die Parteien gehen übereinstimmend davon aus, dass Kommunikationsinhalte und hochgeladene Medien besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO enthalten können, insbesondere Angaben über das Sexualleben oder die sexuelle Orientierung.

Der Verantwortliche stellt sicher, dass für deren Verarbeitung neben einer Rechtsgrundlage nach Art. 6 DSGVO auch eine einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegt.

User Flow trifft hinsichtlich dieser Daten die in Anlage 1 beschriebenen Schutzmaßnahmen und verarbeitet sie ausschließlich zur Erbringung der vertraglich geschuldeten Leistungen.

§ 4Rechte und Pflichten des Verantwortlichen

4.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 24 DSGVO).

4.2 Der Verantwortliche ist insbesondere verantwortlich für:

• die Festlegung der Zwecke und wesentlichen Mittel der Verarbeitung,
• das Bestehen einer tragfähigen Rechtsgrundlage, einschließlich einer Ausnahme nach Art. 9 Abs. 2 DSGVO, soweit besondere Kategorien verarbeitet werden,
• die Erfüllung der Informationspflichten nach Art. 13 und Art. 14 DSGVO gegenüber betroffenen Personen,
• die Zulässigkeit der von ihm eingesetzten Auswahlkriterien, Inhalte und Ansprachewege, insbesondere bei Nutzung der Automatisierungsfunktionen,
• die Einhaltung der Vorgaben des Beschäftigtendatenschutzes, insbesondere § 26 BDSG sowie bestehender Mitbestimmungsrechte, soweit er tätigkeitsbezogene Auswertungen über für ihn tätige Personen einsetzt,
• die Vergabe, Überprüfung und den Entzug von Berechtigungen innerhalb seiner Organisation,
• sowie die Prüfung, ob für seine Verarbeitungen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.

4.3 Der Verantwortliche informiert User Flow unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

4.4 Weisungsberechtigt auf Seiten des Verantwortlichen sind die von ihm im Benutzerkonto als administrationsberechtigt eingerichteten Personen.

§ 5Weisungen

5.1 User Flow verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, User Flow ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt User Flow dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Als dokumentierte Weisung gelten:

• diese Vereinbarung und der Hauptvertrag einschließlich der AGB,
• die vom Verantwortlichen innerhalb der Plattform vorgenommenen Einstellungen, Konfigurationen und Berechtigungsvergaben,
• die vom Verantwortlichen aktivierten Module und Funktionen,
• sowie Einzelweisungen in Textform.

5.3 Einzelweisungen sind an info@user-flow.de zu richten. User Flow dokumentiert erteilte Weisungen.

5.4 Ist User Flow der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert User Flow den Verantwortlichen unverzüglich. User Flow ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

5.5 Weisungen, die über den im Hauptvertrag vereinbarten Leistungsumfang hinausgehen oder deren Umsetzung einen erheblichen Mehraufwand verursacht, kann User Flow von einer gesonderten Vergütung abhängig machen.

§ 6Pflichten von User Flow

6.1 User Flow verarbeitet personenbezogene Daten ausschließlich im Rahmen dieser Vereinbarung und der Weisungen des Verantwortlichen.

6.2 User Flow trifft die in § 7 und Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

6.3 User Flow unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO, insbesondere:

• bei der Sicherheit der Verarbeitung,
• bei der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO),
• bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO),
• bei der Durchführung einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO),
• sowie bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).

6.4 User Flow stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

6.5 User Flow führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten im Auftrag gemäß Art. 30 Abs. 2 DSGVO.

6.6 User Flow verarbeitet personenbezogene Daten nicht zu eigenen Zwecken. Insbesondere erfolgt keine Auswertung von Kommunikationsinhalten zur Erstellung von Persönlichkeits-, Verhaltens- oder Marketingprofilen, keine Zusammenführung über mehrere Verantwortliche hinweg und keine Verwendung zum Training von KI-Modellen.

6.7 User Flow benennt als Ansprechpartner für datenschutzrechtliche Angelegenheiten: info@user-flow.de.

Ein Datenschutzbeauftragter ist derzeit nicht benannt; eine Benennungspflicht wird geprüft. User Flow wird den Verantwortlichen über eine Benennung informieren und die Kontaktdaten in seiner Datenschutzerklärung veröffentlichen.

§ 7Vertraulichkeit

7.1 User Flow setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.2 Die Verpflichtung zur Vertraulichkeit erfolgt vor Aufnahme der Tätigkeit in Textform und wirkt über die Beendigung der Tätigkeit hinaus fort.

7.3 User Flow stellt sicher, dass die zur Verarbeitung befugten Personen mit den einschlägigen datenschutzrechtlichen Anforderungen vertraut sind und personenbezogene Daten ausschließlich auf Weisung von User Flow verarbeiten.

§ 8Technische und organisatorische Maßnahmen

8.1 User Flow trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

8.2 Die Maßnahmen unterliegen dem technischen Fortschritt. User Flow ist berechtigt, sie anzupassen oder zu ersetzen, soweit das vereinbarte Schutzniveau nicht unterschritten wird.

8.3 Wesentliche Änderungen dokumentiert User Flow und stellt sie dem Verantwortlichen auf Anfrage zur Verfügung.

§ 9Unterauftragsverarbeiter

9.1 Allgemeine Genehmigung. Der Verantwortliche erteilt User Flow die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 Satz 2 DSGVO.

9.2 Bestehende Unterauftragsverarbeiter. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2. Die jeweils aktuelle Übersicht ist unter https://user-flow.de/subprozessoren.html abrufbar. Der Verantwortliche genehmigt deren Einsatz mit Abschluss dieser Vereinbarung.

9.3 Änderungen. User Flow informiert den Verantwortlichen über die beabsichtigte Hinzuziehung eines neuen oder den Austausch eines bestehenden Unterauftragsverarbeiters mindestens vier Wochen vor Beginn der Verarbeitung in Textform oder über die hierfür vorgesehenen Funktionen innerhalb der Plattform.

9.4 Widerspruchsrecht. Der Verantwortliche kann der Änderung innerhalb von vier Wochen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen.

Im Falle eines Widerspruchs werden sich die Parteien um eine einvernehmliche Lösung bemühen. Kommt eine solche nicht zustande und kann User Flow die betroffene Leistung ohne den Unterauftragsverarbeiter nicht in zumutbarer Weise erbringen, ist jede Partei berechtigt, den Hauptvertrag hinsichtlich der betroffenen Leistung mit einer Frist von einem Monat zu kündigen. Bereits im Voraus gezahlte Entgelte werden anteilig erstattet.

Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt. User Flow weist in der Information nach § 9.3 auf die Frist und diese Rechtsfolge hin.

9.5 Dringende Fälle. Ist die kurzfristige Hinzuziehung eines Unterauftragsverarbeiters zur Abwehr einer unmittelbaren Gefahr für die Verfügbarkeit oder Sicherheit der Plattform erforderlich, kann User Flow diesen vorab einsetzen und den Verantwortlichen unverzüglich nachträglich informieren. Das Widerspruchsrecht nach § 9.4 bleibt unberührt.

9.6 Pflichten gegenüber Unterauftragsverarbeitern. User Flow verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieser Vereinbarung im Wesentlichen entsprechen. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet User Flow gegenüber dem Verantwortlichen für dessen Einhaltung.

9.7 Keine Unterauftragsverarbeitung. Keine Unterauftragsverarbeitung im Sinne dieser Vereinbarung sind Leistungen, die User Flow als Nebenleistung in Anspruch nimmt, etwa Telekommunikationsleistungen, Post- und Transportdienstleistungen, Wartung oder die Entsorgung von Datenträgern. User Flow trifft auch insoweit angemessene Schutzmaßnahmen.

9.8 Unterstützte Drittplattformen. Die Betreiber unterstützter Drittplattformen sind keine Unterauftragsverarbeiter von User Flow. Sie verarbeiten personenbezogene Daten in eigener Verantwortlichkeit. Die Verbindung erfolgt ausschließlich auf Veranlassung des Verantwortlichen; dieser ist für die Rechtmäßigkeit der hiermit verbundenen Übermittlungen verantwortlich.

§ 10Datenübermittlung in Drittländer

10.1 Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

10.2 Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet, stellt User Flow sicher, dass hierfür geeignete Garantien bestehen, insbesondere ein Angemessenheitsbeschluss nach Art. 45 DSGVO oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

10.3 Anlage 2 weist für jeden Unterauftragsverarbeiter den Verarbeitungsort und – bei Drittlandbezug – die jeweilige Garantie aus.

10.4 Übersetzungsfunktion. Der Verantwortliche nimmt zur Kenntnis, dass die Nutzung der Übersetzungsfunktion eine Übermittlung der zu übersetzenden Inhalte in ein Drittland nach sich zieht und dass diese Inhalte personenbezogene Daten einschließlich besonderer Kategorien nach Art. 9 DSGVO enthalten können.

Die Funktion ist optional. Der Verantwortliche entscheidet eigenverantwortlich über ihren Einsatz und kann sie deaktiviert lassen, ohne dass dies die Nutzung der übrigen Funktionen beeinträchtigt.

10.5 Zugriffe aus Drittländern durch den Verantwortlichen. Setzt der Verantwortliche Personen außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ein und greifen diese über die Plattform auf personenbezogene Daten zu, liegt hierin eine Übermittlung in ein Drittland, für die der Verantwortliche einzustehen hat. User Flow stellt insoweit lediglich die technische Infrastruktur bereit.

§ 11Löschung und Rückgabe

11.1 Nach Beendigung der Verarbeitung löscht User Flow die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück.

11.2 Der Verantwortliche kann die Daten innerhalb eines Zeitraums von 30 Kalendertagen nach Wirksamwerden der Vertragsbeendigung über die hierfür vorgesehenen Exportfunktionen abrufen. Auf Verlangen des Verantwortlichen wird dieser Zeitraum um weitere 30 Kalendertage verlängert.

11.3 Nach Ablauf dieser Frist werden die im Auftrag verarbeiteten personenbezogenen Daten gelöscht oder anonymisiert, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Abweichend hiervon werden Daten, deren Archivierung der Verantwortliche durch Fortführung seines Benutzerkontos oder durch gesonderte Weisung veranlasst, nach Maßgabe der Datenschutzerklärung längstens 24 Monate nach Vertragsende gelöscht oder anonymisiert.

11.4 Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf User Flow über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen aufbewahren.

11.5 Backups. Personenbezogene Daten können nach einer Löschung in den produktiven Systemen noch in bestehenden Datensicherungen enthalten sein. Datensicherungen werden nach einer Woche automatisch überschrieben oder gelöscht. Während dieses Zeitraums werden die Daten nicht für die aktive Leistungserbringung verwendet.

11.6 User Flow bestätigt die Löschung auf Verlangen in Textform.

§ 12Unterstützung bei Betroffenenrechten

12.1 Wendet sich eine betroffene Person unmittelbar an User Flow, um Rechte nach Art. 15 bis 22 DSGVO geltend zu machen, leitet User Flow die Anfrage unverzüglich an den Verantwortlichen weiter oder bearbeitet sie in Abstimmung mit diesem.

12.2 User Flow unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenanfragen, insbesondere durch die innerhalb der Plattform bereitgestellten Such-, Export-, Berichtigungs-, Sperr- und Löschfunktionen.

12.3 User Flow entscheidet nicht eigenständig über Betroffenenanfragen, soweit keine gesetzliche Verpflichtung hierzu besteht.

12.4 Entsteht User Flow durch die Unterstützung ein Aufwand, der über die Bereitstellung der regulären Plattformfunktionen hinausgeht, kann User Flow hierfür eine angemessene Vergütung verlangen, soweit der Aufwand nicht auf einem Verschulden von User Flow beruht.

§ 13Verletzungen des Schutzes personenbezogener Daten

13.1 User Flow informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Auftrag verarbeitete Daten betrifft.

13.2 Die Mitteilung enthält, soweit verfügbar:

• eine Beschreibung der Art der Verletzung,
• die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze,
• die wahrscheinlichen Folgen,
• die ergriffenen oder vorgeschlagenen Maßnahmen,
• sowie einen Ansprechpartner für Rückfragen.

13.3 Sind nicht alle Informationen sofort verfügbar, übermittelt User Flow sie ohne unangemessene Verzögerung nach.

13.4 User Flow ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

13.5 Meldungen an Aufsichtsbehörden oder betroffene Personen nimmt User Flow nicht eigenständig für den Verantwortlichen vor, soweit keine gesetzliche Verpflichtung hierzu besteht.

§ 14Nachweise und Kontrollen

14.1 User Flow weist die Einhaltung der Pflichten aus dieser Vereinbarung auf Anfrage in geeigneter Weise nach, insbesondere durch:

• aktuelle Selbstauskünfte und die Dokumentation der technischen und organisatorischen Maßnahmen nach Anlage 1,
• Zertifikate, Testate oder Prüfberichte eingesetzter Unterauftragsverarbeiter,
• oder vergleichbare Nachweise.

14.2 Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche eine weitergehende Überprüfung verlangen. Hierfür gilt:

• Die Überprüfung setzt einen konkreten Anlass voraus.
• Sie ist mit einer Frist von vier Wochen in Textform anzukündigen.
• Sie findet während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs statt.
• Sie ist auf einmal jährlich begrenzt, es sei denn, es liegt ein besonderer Anlass vor, insbesondere eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung der Aufsichtsbehörde.
• Der Verantwortliche kann einen zur Verschwiegenheit verpflichteten Prüfer beauftragen, der nicht in Wettbewerb zu User Flow steht.
• Die Kosten der Überprüfung trägt der Verantwortliche, es sei denn, die Überprüfung ergibt einen von User Flow zu vertretenden Verstoß.

14.3 Aufsichtsbehördliche Kontrollrechte nach Art. 58 DSGVO bleiben unberührt.

14.4 User Flow ist berechtigt, Informationen zurückzuhalten, deren Offenlegung die Sicherheit der Plattform, Geschäftsgeheimnisse oder Rechte Dritter, insbesondere anderer Kunden, beeinträchtigen würde.

§ 15Haftung

15.1 Für die Haftung der Parteien gilt Art. 82 DSGVO.

15.2 Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

15.3 Der Verantwortliche stellt User Flow von Ansprüchen Dritter frei, die darauf beruhen, dass der Verantwortliche seinen Pflichten aus § 4 nicht nachgekommen ist, soweit er dies zu vertreten hat.

§ 16Schlussbestimmungen

16.1 Laufzeit. Diese Vereinbarung gilt für die Dauer des Hauptvertrags. Die Pflichten nach § 7, § 11 und § 15 gelten über das Vertragsende hinaus fort.

16.2 Änderungen. Änderungen dieser Vereinbarung bedürfen der Textform. Für Anpassungen, die aufgrund geänderter gesetzlicher Vorgaben oder aufsichtsbehördlicher Vorgaben erforderlich werden, gilt das Verfahren nach § 22 der AGB entsprechend.

16.3 Anlagen. Die Anlagen 1 und 2 sind Bestandteil dieser Vereinbarung.

16.4 Anwendbares Recht und Gerichtsstand. Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt § 1.7 der AGB.

16.5 Teilunwirksamkeit. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 10/2026

Die nachfolgenden Maßnahmen beschreiben den zum Zeitpunkt des Vertragsschlusses umgesetzten Stand.

1.Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Die Anwendungs-, Datenbank- und Speicherinfrastruktur wird ausschließlich in Rechenzentren in Deutschland betrieben. Der physische Zutrittsschutz wird durch den jeweiligen Rechenzentrumsbetreiber gewährleistet; entsprechende Nachweise liegen vor.
• Arbeitsplätze von User Flow befinden sich in abschließbaren Geschäftsräumen, zu denen ausschließlich berechtigte Personen Zutritt haben.
• Soweit Tätigkeiten außerhalb der Geschäftsräume erbracht werden, erfolgt dies ausschließlich über gesicherte Zugänge und nach dokumentierten Vorgaben; ein Zugriff Dritter auf Endgeräte und Unterlagen ist auszuschließen.
• Eine Speicherung personenbezogener Daten auf lokalen Endgeräten findet nicht planmäßig statt.

1.2 Zugangskontrolle

• Der Zugang zu sämtlichen Systemen erfolgt ausschließlich über persönliche, nicht geteilte Benutzerkonten.
• Für alle administrativen Zugänge von User Flow ist eine Zwei-Faktor-Authentifizierung eingerichtet.
• Für Benutzerkonten der Kunden steht eine Zwei-Faktor-Authentifizierung zur Verfügung.
• Bei der Registrierung werden Mindestanforderungen an die Komplexität von Passwörtern durchgesetzt.
• Passwörter werden ausschließlich in gehashter Form gespeichert; eine Wiederherstellung im Klartext ist nicht möglich.
• Nach einer definierten Zeit ohne Benutzeraktivität erfolgt eine automatische Abmeldung.
• Automatisierte Zugriffe und missbräuchliche Anmeldeversuche werden durch ein Bot-Erkennungsverfahren abgewehrt.
• Beim Ausscheiden einer Person werden sämtliche Zugänge unverzüglich entzogen; der Entzug ist in einem dokumentierten Verfahren geregelt.

1.3 Zugriffskontrolle

• Der Zugriff auf personenbezogene Daten erfolgt ausschließlich über ein rollenbasiertes Berechtigungssystem nach dem Prinzip der minimalen Rechtevergabe.
• Der Verantwortliche vergibt, ändert und entzieht Berechtigungen innerhalb seiner Organisation eigenständig.
• Der Kreis der Personen bei User Flow mit Zugriff auf produktive Kundendaten ist auf die hierfür ausdrücklich berechtigten Personen beschränkt und wird regelmäßig überprüft.
• Administratorzugriffe auf Benutzerkonten erfolgen ausschließlich anlassbezogen und werden protokolliert, einschließlich Zeitpunkt, zugreifender Person und betroffenem Konto.
• Anlasslose Zugriffe auf Benutzerkonten finden nicht statt.

1.4 Trennungskontrolle

• Die Daten verschiedener Verantwortlicher werden logisch getrennt verarbeitet. Ein Zugriff auf Daten eines anderen Verantwortlichen ist technisch ausgeschlossen.
• Entwicklungs- und Testumgebungen sind von der Produktivumgebung getrennt.
• In Entwicklungs- und Testumgebungen werden keine produktiven Kundendaten verwendet.

1.5 Pseudonymisierung und Verschlüsselung

• Sämtliche Datenübertragungen zwischen Endgeräten und den Systemen von User Flow erfolgen transportverschlüsselt (TLS).
• Die Datenbank wird zusätzlich verschlüsselt im Ruhezustand gespeichert.
• Zugangsdaten zu Konten unterstützter Drittplattformen werden ausschließlich verschlüsselt gespeichert und serverseitig verarbeitet.
• Datensicherungen werden verschlüsselt abgelegt.

2.Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Eine Übermittlung personenbezogener Daten erfolgt ausschließlich verschlüsselt.
• Übermittlungen an unterstützte Drittplattformen erfolgen ausschließlich auf Veranlassung und nach Konfiguration des Verantwortlichen.
• Eine Übermittlung an Unterauftragsverarbeiter erfolgt nur im erforderlichen Umfang und auf Grundlage eines Vertrags nach Art. 28 DSGVO.
• Ein Transport physischer Datenträger findet nicht statt.

2.2 Eingabekontrolle

• Sicherheitsrelevante Vorgänge werden protokolliert.
• Innerhalb der Plattform ist nachvollziehbar, welcher Nutzer Datensätze angelegt, bearbeitet oder verwendet hat.
• Administratorzugriffe werden gesondert protokolliert.

3.Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Datensicherungen werden stündlich erstellt, verschlüsselt gespeichert und nach einer Woche automatisch überschrieben oder gelöscht.
• Die Wiederherstellung aus Datensicherungen wurde erprobt.
• Die Infrastruktur ist durch eine Firewall beziehungsweise vergleichbare Schutzmechanismen abgesichert.
• Systeme und Dienste werden überwacht; bei Störungen erfolgt eine automatische Alarmierung.
• Technische Fehler werden über ein Monitoring-System erfasst und ausgewertet.
• Die Rechenzentren verfügen über unterbrechungsfreie Stromversorgung, Brandschutz- und Klimatisierungsmaßnahmen nach den Standards des jeweiligen Betreibers.

4.Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Es besteht ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO.
• Es besteht ein dokumentiertes Löschkonzept.
• Es bestehen dokumentierte Prozesse zur Erkennung, Bewertung und Behandlung von Sicherheitsvorfällen.
• Sämtliche mit der Verarbeitung befassten Personen sind in Textform zur Vertraulichkeit verpflichtet.
• Die technischen und organisatorischen Maßnahmen werden anlassbezogen sowie bei wesentlichen Änderungen der Plattform überprüft und angepasst.
• Der Einsatz neuer Unterauftragsverarbeiter wird vor Verarbeitungsbeginn datenschutzrechtlich geprüft.

5.Auftragskontrolle

• Mit sämtlichen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.
• Die eingesetzten Unterauftragsverarbeiter sind in Anlage 2 ausgewiesen und werden unter https://user-flow.de/subprozessoren.html fortlaufend aktuell gehalten.
• Weisungen des Verantwortlichen werden dokumentiert.

Anlage 2 — Unterauftragsverarbeiter

Stand: 10/2026

Die jeweils aktuelle Fassung ist unter https://user-flow.de/subprozessoren.html abrufbar.

Hinweise

• Zu Nr. 8: Die Übersetzungsfunktion ist optional. Wird sie vom Verantwortlichen nicht aktiviert, findet keine Übermittlung an diesen Unterauftragsverarbeiter statt.
• Nicht als Unterauftragsverarbeiter aufgeführt sind Anbieter, die personenbezogene Daten in eigener Verantwortlichkeit verarbeiten. Hierzu gehören die Betreiber unterstützter Drittplattformen sowie der Messengerdienst Telegram, soweit ein Kunde die Betreuung über diesen Kanal wünscht.
• Der zur Quellcodeverwaltung eingesetzte Dienst verarbeitet keine produktiven Daten des Verantwortlichen und ist daher nicht aufgeführt.

User Flow LT UG (haftungsbeschränkt) · AVV Version 1.00 · Stand 10/2026