Vertrag zur Auftragsverarbeitung

Stand: 14. Oktober 2026

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem (im Folgenden „Kunde“) und Spotstar, Inhaber Luca-Matheo Rohrbach, Mainluststraße 17, 60329 Frankfurt am Main, als Auftragsverarbeiter (im Folgenden „Spotstar“). Der Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) und kommt mit ihnen zustande.

§ 1 Gegenstand und Dauer

(1) Spotstar verarbeitet personenbezogene Daten im Auftrag des Kunden, um die Leistungen nach § 3 Abs. 1 Nr. 3 der AGB zu erbringen: Bewertungen aus dem Google-Unternehmensprofil des Kunden abrufen, Antworten entwerfen und veröffentlichen, Bewertungen auswerten sowie Angaben im Profil und Beiträge vorschlagen und nach Freigabe an Google senden.

(2) Der Vertrag gilt, solange der Vertrag nach den AGB besteht und Spotstar danach noch Daten des Kunden verarbeitet.

(3) Nicht unter diesen Vertrag fallen Daten, die Spotstar als eigener Verantwortlicher verarbeitet: die Daten des Kundenkontos und seiner Nutzer, die Abrechnung, die Zählung der Kartenkontakte sowie das Protokoll der Freigaben, das Spotstar als Nachweis gegenüber Google und dem Kunden führt. Dafür gilt die Datenschutzerklärung. [bitte bestätigen: Einordnung des Freigabe-Protokolls als eigene Verantwortlichkeit.]

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

Daten	Betroffene	Verarbeitung
Bewertungen aus dem Google-Profil: Sterne, Text, Datum, vorhandene Antwort. Die Namen der Verfasser speichert Spotstar nicht.	Verfasser der Bewertungen; Personen, die in Bewertungen genannt werden, etwa Mitarbeitende des Kunden	abrufen, speichern, auswerten, an den KI-Dienst übermitteln, um Antworten und Auswertungen zu erstellen
Antworten auf Bewertungen und Entwürfe	wie oben, soweit Antworten sich auf sie beziehen	entwerfen, speichern, nach Einstellung oder Freigabe des Kunden an Google senden
Angaben im Unternehmensprofil: Beschreibung, Telefonnummern, Website, Öffnungszeiten, Sonderöffnungszeiten	Inhaber und Mitarbeitende des Kunden, soweit die Angaben sie betreffen (etwa bei Einzelunternehmen)	abrufen, speichern, Vorschläge erstellen, nach Freigabe an Google senden
Beiträge für das Profil: Text, Titel, Zeitraum, Gutscheincode, Bedingungen, Link	wie oben, soweit die Beiträge Personen betreffen	entwerfen, speichern, nach Freigabe an Google senden

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet Spotstar nicht gezielt. Sie können aber in Bewertungstexten enthalten sein, die Dritte bei Google verfasst haben.

§ 3 Weisungen

(1) Spotstar verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, es sei denn, Spotstar ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall teilt Spotstar dem Kunden die Verpflichtung vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.

(2) Weisungen sind die AGB, dieser Vertrag sowie die Einstellungen und Freigaben des Kunden im Dashboard. Die Freigaben sind im Protokoll im Dashboard dokumentiert. Weitere Weisungen erteilt der Kunde in Textform an info@getspotstar.com.

(3) Hält Spotstar eine Weisung für rechtswidrig, weist Spotstar den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Vertraulichkeit

Spotstar setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten haben nur Personen, die ihn für ihre Aufgabe brauchen.

§ 5 Sicherheit der Verarbeitung

Spotstar trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Spotstar darf sie dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Spotstar informiert den Kunden mindestens 30 Tage vorher in Textform über jeden geplanten neuen oder ersetzten Unterauftragsverarbeiter. Der Kunde kann innerhalb dieser Frist aus berechtigtem Grund in Textform widersprechen. Kann Spotstar den Grund nicht ausräumen, darf der Kunde den Vertrag nach den AGB mit Wirkung zum Zeitpunkt des Wechsels kündigen.

(3) Spotstar verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die gleichen Datenschutzpflichten, wie sie in diesem Vertrag stehen, und haftet gegenüber dem Kunden für dessen Einhaltung.

(4) Google ist kein Unterauftragsverarbeiter von Spotstar. Google betreibt das Unternehmensprofil in eigener Verantwortung; der Kunde hat dazu ein eigenes Verhältnis mit Google. Spotstar übermittelt Daten an Google nur nach den Weisungen des Kunden nach § 3.

§ 7 Rechte der Betroffenen

Spotstar unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anfragen Betroffener nach Art. 12 bis 23 DSGVO zu beantworten. Erhält Spotstar eine solche Anfrage direkt, leitet Spotstar sie unverzüglich an den Kunden weiter. Bewertungen selbst kann nur Google oder ihr Verfasser bei Google löschen; Spotstar löscht auf Weisung die bei Spotstar gespeicherte Kopie.

§ 8 Unterstützung, Meldung von Datenpannen

(1) Spotstar unterstützt den Kunden bei seinen Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Datenpannen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde), soweit die Verarbeitung durch Spotstar betroffen ist.

(2) Spotstar meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem Spotstar davon Kenntnis erlangt hat. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

(1) Nach Ende der Leistungen löscht Spotstar alle Daten nach § 2 oder gibt sie zurück, nach Wahl des Kunden. Wählt der Kunde nicht innerhalb von 30 Tagen nach Vertragsende, löscht Spotstar die Daten.

(2) Trennt der Kunde die Verbindung zu Google im Dashboard oder löscht er sein Konto, löscht Spotstar die Daten nach § 2 sofort. Wer vorher eine Kopie möchte, fordert sie vor dem Trennen in Textform an. Die Rückgabe erfolgt als Datei in einem gängigen maschinenlesbaren Format (JSON oder CSV).

(3) Kopien in Datensicherungen werden nach sieben Tagen überschrieben. Die Sicherungen liegen verschlüsselt beim Hosting-Anbieter (Anlage 2).

(4) Bei Löschung oder Rückgabe bestätigt Spotstar dies dem Kunden auf Verlangen in Textform.

§ 10 Nachweise und Kontrollen

(1) Spotstar stellt dem Kunden alle Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind.

(2) Der Kunde oder ein von ihm beauftragter Prüfer, der zur Verschwiegenheit verpflichtet ist, kann die Einhaltung nach Anmeldung mit einer Frist von mindestens zwei Wochen während der Geschäftszeiten überprüfen, in der Regel einmal im Jahr und darüber hinaus bei konkretem Anlass. Die Kosten einer Prüfung trägt der Kunde, es sei denn, sie deckt einen Verstoß von Spotstar auf.

§ 11 Übermittlung in Drittländer

Daten werden nur in ein Land außerhalb der EU oder des EWR übermittelt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Die Übermittlungen und ihre Grundlagen stehen in Anlage 2.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

(2) Änderungen dieses Vertrags bedürfen der Textform; § 13 der AGB gilt entsprechend.

(3) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 14. Oktober 2026. Spotstar prüft die Maßnahmen mindestens einmal im Jahr.

Vertraulichkeit

• Betrieb über Sliplane GmbH in Rechenzentren der Hetzner Online GmbH in Deutschland (Region Deutschland gewählt). Physische Zutrittskontrolle durch den Rechenzentrumsbetreiber.
• Zugang zu Server, Datenbank und Hosting-Konto nur für den Inhaber von Spotstar, mit Zwei-Faktor-Anmeldung. [bitte bestätigen]
• Trennung der Kunden: Jede Abfrage ist auf den Betrieb des angemeldeten Nutzers beschränkt; die Kennung des Betriebs kommt nie aus Eingaben des Nutzers.
• Passwörter der Nutzer werden nur als Hash (scrypt) gespeichert. Sitzungen und Links aus E-Mails werden in der Datenbank nur als SHA-256-Hash gespeichert.
• Der Zugriffsschlüssel für das Google-Profil wird mit AES-256-GCM verschlüsselt gespeichert. Der Schlüssel dazu liegt nur in der Umgebung des Servers, nicht in der Datenbank.
• Datensparsamkeit: Namen und Profilbilder der Verfasser von Bewertungen werden nicht gespeichert.

Integrität

• Übertragung nur verschlüsselt (HTTPS mit TLS, HSTS).
• Jede Änderung am Google-Profil und jeder Beitrag wird mit Vorschlag, freigebendem Nutzer, Zeitpunkt, Anfrage an Google und Antwort von Google protokolliert. Änderungen an Google gehen nur nach Freigabe raus.
• Eingaben werden auf dem Server geprüft; Schutz vor Missbrauch durch Mengengrenzen bei Anmeldung und Aktionen.

Verfügbarkeit und Belastbarkeit

• Laufende Sicherung der Datenbank über Sliplane mit Wiederherstellung auf jeden Zeitpunkt der letzten sieben Tage, verschlüsselt mit kundenspezifischen Schlüsseln, gespeichert bei Impossible Cloud GmbH in Frankfurt. Die Wiederherstellung wird mindestens einmal im Jahr getestet.
• Datenbank und Anwendung laufen getrennt; neue Versionen werden vor der Veröffentlichung gebaut und geprüft.

Löschung und regelmäßige Überprüfung

• Automatische tägliche Löschung abgelaufener Sitzungen, Links und Registrierungen sowie alter Kartenkontakte und Reports.
• Beim Trennen der Google-Verbindung werden die Daten nach § 2 sofort gelöscht.
• Prüfung dieser Maßnahmen mindestens jährlich und bei wesentlichen Änderungen.

Organisation

• Spotstar ist ein Einzelunternehmen. Weitere Personen erhalten Zugriff erst nach Verpflichtung auf Vertraulichkeit.
• Meldung von Datenpannen an den Kunden innerhalb von 48 Stunden (§ 8).

Anlage 2: Unterauftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung	Grundlage bei Drittland
Sliplane GmbH, c/o ECOSIA, Gerichtstraße 23, Innenhof 4, 13347 Berlin	Betrieb der Anwendung und der Datenbank, Datensicherung	Deutschland. Sliplane setzt dafür ein: Hetzner Online GmbH, Gunzenhausen (Server und Datenbank, Rechenzentren in Deutschland); Impossible Cloud GmbH, Hamburg (verschlüsselte Sicherungen, Standort Frankfurt)	keine Drittlandübermittlung
Anthropic Ireland, Limited, Dublin	KI-Dienst Claude: Entwürfe für Antworten, Beschreibungen und Beiträge, Auswertung der Bewertungen. Keine Nutzung zum Training. Löschung innerhalb von 30 Tagen, bei Verdacht auf Verstöße gegen die Nutzungsrichtlinien bis zu zwei Jahre	USA (Anthropic, PBC); eine Verarbeitung in der EU bietet Anthropic für die direkte Schnittstelle nicht an	EU-US Data Privacy Framework; zusätzlich EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Anthropic [bitte bestätigen: Eintrag von Anthropic auf dataprivacyframework.gov]
Resend, Inc., USA	Versand von E-Mails an die Nutzer des Kunden, etwa Bestätigungen nach Freigaben	Versand über Server in der EU (Irland); Unternehmen mit Sitz in den USA	[bitte bestätigen: EU-US Data Privacy Framework oder Standardvertragsklauseln im AV-Vertrag von Resend]