Auftragsverarbeitungs­vertrag (AVV) nach Art. 28 DS-GVO

Stand: 24.09.2026

zwischen

MJOO GmbH
Großer Burstah 50–52
20457 Hamburg
Deutschland
Telefon: +49 40 228 650 390
E-Mail: info@mjoo.de

– nachfolgend „Auftragsverarbeiter“ genannt –

und

dem jeweiligen Kunden der Plattform „greet.video“

– nachfolgend „Verantwortlicher“ genannt –

– gemeinsam auch „Parteien“ genannt –

1. Gegenstand und Anwendungsbereich

Der Auftragsverarbeiter verarbeitet im Rahmen der Plattform „greet.video“ personenbezogene Daten im Auftrag des Verantwortlichen.

Gegenstand dieser Vereinbarung ist die technische und organisatorische Durchführung von Grußvideo-Kampagnen für den Verantwortlichen.

Hierzu können insbesondere gehören:

• Übernahme bzw. Import von Empfängerdaten,
• Zuordnung von Empfängern zu einer Kampagne,
• Erstellung und Personalisierung von Grußvideos,
• Erstellung personalisierter Kampagnen-Landingpages,
• Speicherung und Bereitstellung von Grußvideos,
• Versand der Kampagnen-E-Mails,
• technische Erfassung kampagnenbezogener Kommunikations- und Interaktionsdaten,
• Bereitstellung des Kampagnen-Reportings,
• Verarbeitung kampagnenbezogener Inhalte einschließlich gegebenenfalls KI-gestützt verarbeiteter Texte sowie
• technische Sicherung, Fehleranalyse und Administration der Plattform.

Diese Vereinbarung gilt ausschließlich für Verarbeitungsvorgänge, bei denen die MJOO GmbH personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Nicht Gegenstand dieser Vereinbarung sind Verarbeitungen, für deren Zwecke und Mittel die MJOO GmbH selbst verantwortlich ist. Dies betrifft insbesondere Kundenkontoverwaltung, eigene Vertrags- und Abrechnungsprozesse, Zahlungsabwicklung, eigene Unternehmens- und Marketingkommunikation, eigene Supportprozesse sowie Analyse- und Marketingmaßnahmen auf eigenen Unternehmens-, Produkt- und Marketingseiten.

Für diese eigenen Verarbeitungsvorgänge gelten die Datenschutzhinweise der MJOO GmbH.

2. Dauer der Verarbeitung

Die Verarbeitung beginnt mit der Übermittlung oder Erhebung der für die jeweilige Kampagne erforderlichen Daten und erfolgt für die Dauer der vereinbarten kampagnenbezogenen Leistungen.

Soweit keine abweichende dokumentierte Weisung oder sonstige zulässige Vereinbarung besteht, gelten insbesondere folgende reguläre Speicherfristen:

• Grußvideos werden grundsätzlich bis 30 Tage nach dem jeweiligen Versanddatum gespeichert.
• Kampagnenbezogene Zugriffs-, Interaktions- und Feedbackdaten werden grundsätzlich bis 60 Tage nach Versand des jeweiligen Grußvideos gespeichert.
• Technische Server- und Sicherheitsprotokolle werden grundsätzlich nach spätestens einem Monat gelöscht, soweit kein konkreter Sicherheitsvorfall oder anderer rechtlicher Grund eine längere Speicherung erforderlich macht.

Die Pflichten zur Löschung oder Rückgabe nach Abschluss der Auftragsverarbeitung gemäß Abschnitt 11 bleiben unberührt.

3. Art und Zweck der Verarbeitung

Die personenbezogenen Daten werden ausschließlich zu den vom Verantwortlichen bestimmten Zwecken und im Rahmen der vertraglich vereinbarten Leistungen verarbeitet.

Die Verarbeitung kann insbesondere folgende Vorgänge umfassen:

• Erheben bzw. Entgegennehmen,
• Erfassen,
• Ordnen und Zuordnen,
• Speichern,
• Anpassen und Personalisieren,
• Auslesen und Abrufen,
• Übermitteln und Versenden,
• Bereitstellen,
• Auswerten im Rahmen des beauftragten Kampagnen-Reportings,
• Einschränken,
• Löschen und
• Vernichten.

Eine Verarbeitung der Kampagnendaten zu eigenen Werbe-, Retargeting- oder Profilbildungszwecken des Auftragsverarbeiters findet nicht statt.

Insbesondere werden auf den individuellen Grußvideo- bzw. Kampagnen-Landingpages der Empfänger keine eigenen optionalen Analyse-, Retargeting- oder Marketing-Technologien wie Google Analytics, Meta Pixel oder OpenAI Conversion Tools eingesetzt.

Technisch erforderliche Verarbeitungen sowie das im Auftrag des Verantwortlichen durchgeführte Kampagnen-Reporting bleiben hiervon unberührt.

4. Kategorien personenbezogener Daten

4.1 Stammdaten der Kampagnenempfänger

• Vorname,
• Nachname,
• Anrede bzw. Geschlecht, soweit bereitgestellt,
• E-Mail-Adresse sowie
• Kampagnen- bzw. Empfängerzuordnung.

4.2 Kommunikations- und Kampagnendaten

• Versandstatus,
• Zustellstatus,
• Öffnung der Kampagnen-E-Mail,
• Aufruf des Grußvideos bzw. der Kampagnen-Landingpage,
• Klick- und Interaktionsdaten sowie
• vom Empfänger abgegebenes Feedback.

4.3 Technische Daten

• IP-Adressen, soweit technisch erforderlich,
• Zeitstempel,
• Browser- und Geräteinformationen, soweit technisch erforderlich,
• Server- und Systemprotokolle sowie
• technische Identifikatoren.

4.4 Kampagneninhalte und KI-gestützte Verarbeitung

Bei bestimmten Grußvideo-Vorlagen kann der Verantwortliche einen eigenen kampagnenbezogenen Text eingeben, der mithilfe einer KI-gestützten Funktion verarbeitet und beispielsweise durch einen Charakter innerhalb des Videos gesprochen wird.

Dieser Text ist innerhalb einer Kampagne grundsätzlich identisch und wird nicht anhand der Daten einzelner Kampagnenempfänger personalisiert.

Wird der KI-generierte Kampagneninhalt eingesetzt, wird er grundsätzlich in sämtlichen Grußvideos der betreffenden Kampagne verwendet. Eine Verwendung nur für einzelne oder ausgewählte Empfänger derselben Kampagne ist nicht vorgesehen.

Personenbezogene Daten aus der Empfängerliste, insbesondere Namen und E-Mail-Adressen der Empfänger, werden vom Auftragsverarbeiter nicht automatisiert aus der Empfängerliste zur Erstellung dieses KI-generierten Kampagneninhalts verwendet oder hierfür an den KI-Dienst übermittelt.

Da es sich bei dem eingegebenen Kampagnentext um ein Freitextfeld handelt, kann dieser Text jedoch personenbezogene Daten enthalten, wenn der Verantwortliche solche Informationen selbst eingibt.

Solche personenbezogenen Informationen gelten ebenfalls als Daten des Verantwortlichen im Sinne dieser Vereinbarung.

4.5 Besondere Kategorien personenbezogener Daten

Die Plattform ist grundsätzlich nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DS-GVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DS-GVO vorgesehen.

Der Verantwortliche darf solche Daten nur verarbeiten lassen, wenn dies vorab ausdrücklich mit dem Auftragsverarbeiter vereinbart wurde und die hierfür erforderlichen rechtlichen und technischen Voraussetzungen erfüllt sind.

5. Kategorien betroffener Personen

Betroffene Personen sind insbesondere:

• Kunden und Geschäftspartner des Verantwortlichen,
• Mitarbeiter des Verantwortlichen, soweit sie Empfänger einer Kampagne sind,
• sonstige vom Verantwortlichen bestimmte Empfänger von Grußvideo-Kampagnen sowie
• gegebenenfalls natürliche Personen, deren personenbezogene Daten der Verantwortliche selbst in einen Kampagnentext eingibt.

Die vorstehend beschriebenen personenbezogenen Daten werden nachfolgend gemeinsam als „Daten des Verantwortlichen“ bezeichnet.

6. Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten des Verantwortlichen ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich hinsichtlich einer Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation.

Als dokumentierte Weisungen gelten insbesondere die Bestimmungen des Hauptvertrages, diese Vereinbarung, die vom Verantwortlichen innerhalb der Plattform vorgenommenen Einstellungen sowie sonstige in Textform erteilte Weisungen.

Ist der Auftragsverarbeiter aufgrund des Rechts der Europäischen Union oder eines Mitgliedstaates zu einer darüber hinausgehenden Verarbeitung verpflichtet, informiert er den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung, soweit das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DS-GVO oder andere anwendbare Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich.

Der Auftragsverarbeiter ist berechtigt, die Durchführung einer solchen Weisung auszusetzen, bis der Verantwortliche diese bestätigt, ändert oder zurücknimmt, soweit dies zur Vermeidung einer rechtswidrigen Verarbeitung erforderlich ist.

7. Pflichten des Auftragsverarbeiters

7.1 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sämtliche Personen, die zur Verarbeitung von Daten des Verantwortlichen befugt sind, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Zugriffsberechtigungen werden nur insoweit vergeben, wie sie für die jeweilige Tätigkeit erforderlich sind.

7.2 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DS-GVO.

Die vereinbarten technischen und organisatorischen Maßnahmen ergeben sich aus Anlage 1.

Der Auftragsverarbeiter darf diese Maßnahmen während der Vertragslaufzeit weiterentwickeln und an technische oder organisatorische Veränderungen anpassen, sofern das vereinbarte Schutzniveau hierdurch nicht unterschritten wird.

7.3 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen angemessen bei der Einhaltung seiner Pflichten insbesondere nach Art. 32 bis 36 DS-GVO.

Dies umfasst insbesondere Unterstützung bei:

• der Gewährleistung der Sicherheit der Verarbeitung,
• der Bewertung von Datenschutzverletzungen,
• erforderlichen Meldungen an Aufsichtsbehörden,
• erforderlichen Benachrichtigungen betroffener Personen,
• Datenschutz-Folgenabschätzungen sowie
• gegebenenfalls erforderlichen vorherigen Konsultationen einer Aufsichtsbehörde.

7.4 Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit Daten des Verantwortlichen betroffen sind.

Die Mitteilung enthält, soweit zu diesem Zeitpunkt verfügbar:

• eine Beschreibung der Art der Datenschutzverletzung,
• die betroffenen Kategorien personenbezogener Daten,
• die Kategorien und ungefähre Zahl betroffener Personen, soweit bekannt,
• die ungefähre Zahl betroffener Datensätze, soweit bekannt,
• die wahrscheinlichen Folgen der Datenschutzverletzung,
• die bereits ergriffenen oder vorgeschlagenen Abhilfemaßnahmen sowie
• eine Kontaktmöglichkeit für weitere Informationen.

Können nicht alle Informationen gleichzeitig bereitgestellt werden, können sie ohne unangemessene weitere Verzögerung schrittweise ergänzt werden.

7.5 Dokumentation und Aufsichtsbehörden

Der Auftragsverarbeiter führt, soweit gesetzlich erforderlich, ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO.

Der Auftragsverarbeiter arbeitet im Rahmen seiner gesetzlichen Verpflichtungen mit den zuständigen Datenschutz-Aufsichtsbehörden zusammen.

8. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der Daten des Verantwortlichen sowie für die Rechtmäßigkeit der an den Auftragsverarbeiter erteilten Weisungen verantwortlich.

Der Verantwortliche stellt insbesondere sicher, dass:

• eine geeignete datenschutzrechtliche Rechtsgrundlage für die Verarbeitung besteht,
• die betroffenen Personen ordnungsgemäß informiert werden,
• erforderliche Einwilligungen wirksam eingeholt und gegebenenfalls nachgewiesen werden können,
• die wettbewerbsrechtlichen Anforderungen an elektronische Kommunikation eingehalten werden,
• nur für die jeweilige Kampagne erforderliche personenbezogene Daten bereitgestellt werden und
• für personenbezogene Daten in frei eingegebenen Kampagnentexten eine ausreichende Rechtsgrundlage besteht.

Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler, Unregelmäßigkeiten oder mögliche Datenschutzverletzungen im Zusammenhang mit der Auftragsverarbeitung feststellt.

9. Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nachzukommen.

Dies betrifft insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit, soweit diese im jeweiligen Fall einschlägig sind.

Wendet sich eine betroffene Person unmittelbar mit einem Antrag zu Daten des Verantwortlichen an den Auftragsverarbeiter, wird dieser den Antrag grundsätzlich unverzüglich an den Verantwortlichen weiterleiten und ihn nicht ohne dessen Weisung inhaltlich beantworten, soweit keine gesetzliche Verpflichtung zu einer eigenen Antwort besteht.

10. Unterauftragsverarbeiter

10.1 Allgemeine Genehmigung

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Einschaltung weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 DS-GVO.

Die bei Abschluss dieser Vereinbarung eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

10.2 Änderungen

Der Auftragsverarbeiter informiert den Verantwortlichen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters.

Die Information kann insbesondere per E-Mail oder über eine dauerhaft zugängliche Unterauftragsverarbeiter-Übersicht erfolgen.

Der Verantwortliche kann einer beabsichtigten Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigen datenschutzrechtlichen Gründen widersprechen.

Im Falle eines begründeten Widerspruchs werden die Parteien versuchen, eine datenschutzrechtlich und wirtschaftlich zumutbare Lösung zu finden.

Ist eine solche Lösung nicht möglich und kann der Auftragsverarbeiter die betreffende Leistung ohne den vorgesehenen Unterauftragsverarbeiter nicht zumutbar erbringen, ist jede Partei berechtigt, die von der Änderung betroffene Leistung außerordentlich zu beenden.

10.3 Verpflichtung der Unterauftragsverarbeiter

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die im Wesentlichen denselben Schutz der Daten des Verantwortlichen gewährleisten wie diese Vereinbarung.

Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen nach Maßgabe der gesetzlichen Bestimmungen für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

11. Löschung und Rückgabe von Daten

Nach Abschluss der Erbringung der mit der Verarbeitung zusammenhängenden Leistungen löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten des Verantwortlichen zurück und löscht vorhandene Kopien, soweit nicht eine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

Soweit der Verantwortliche bis zum Abschluss der Leistung keine abweichende Weisung erteilt, gilt die Löschung nach Maßgabe der vereinbarten Standard-Löschfristen als Wahl des Verantwortlichen.

Daten in Sicherungskopien werden im Rahmen der regulären Backup- und Überschreibzyklen gelöscht. Bis zur endgültigen Löschung werden sie nicht für operative Zwecke weiterverarbeitet, soweit dies technisch und organisatorisch sichergestellt werden kann.

Der Auftragsverarbeiter bestätigt dem Verantwortlichen die erfolgte Löschung auf angemessene Anfrage.

12. Drittlandübermittlungen

Die primäre Verarbeitung und Speicherung der Daten des Verantwortlichen erfolgt, soweit für die jeweilige Leistung vorgesehen, innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.

Soweit Daten des Verantwortlichen durch einen genehmigten Unterauftragsverarbeiter in einem Drittland verarbeitet werden oder aus einem Drittland auf diese Daten zugegriffen werden kann, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.

Hierfür können insbesondere ein Angemessenheitsbeschluss nach Art. 45 DS-GVO oder geeignete Garantien nach Art. 46 DS-GVO einschließlich der Standardvertragsklauseln der Europäischen Kommission verwendet werden.

Soweit der Auftragsverarbeiter selbst als Auftragsverarbeiter des Verantwortlichen Daten an einen weiteren Auftragsverarbeiter in einem Drittland übermittelt, muss der verwendete Transfermechanismus die tatsächliche Rollenverteilung der beteiligten Parteien abbilden.

Eine Drittlandübermittlung darf nicht durchgeführt werden, solange die hierfür erforderlichen datenschutzrechtlichen Voraussetzungen nicht vorliegen.

Ausnahmen nach Art. 49 DS-GVO werden nur herangezogen, soweit deren gesetzliche Voraussetzungen im konkreten Einzelfall erfüllt sind.

13. Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DS-GVO nachzuweisen.

Der Nachweis kann insbesondere durch geeignete Unterlagen, Auskünfte, Sicherheitsdokumentationen, Zertifizierungen, Prüfberichte oder vergleichbare Nachweise erbracht werden.

Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer zu überprüfen.

Soweit kein dringender Anlass besteht, sind Vor-Ort-Prüfungen mit angemessener Vorankündigung während der üblichen Geschäftszeiten durchzuführen und so zu gestalten, dass der Geschäftsbetrieb des Auftragsverarbeiters und die Rechte anderer Kunden nicht unangemessen beeinträchtigt werden.

Soweit geeignete aktuelle Nachweise bereits vorliegen, sollen diese vorrangig zur Prüfung herangezogen werden, bevor eine Vor-Ort-Prüfung verlangt wird.

Angemessene und nachgewiesene Zusatzaufwendungen des Auftragsverarbeiters für eine anlassfreie Vor-Ort-Prüfung können dem Verantwortlichen in Rechnung gestellt werden.

Dies gilt nicht für gewöhnliche erforderliche Auskünfte und Nachweise und nicht, wenn die Prüfung eine wesentliche Verletzung dieser Vereinbarung durch den Auftragsverarbeiter ergibt.

Gesetzliche Prüfungs- und Untersuchungsbefugnisse der zuständigen Aufsichtsbehörden bleiben unberührt.

14. Haftung

Für die Haftung der Parteien gelten Art. 82 DS-GVO sowie die sonstigen zwingenden gesetzlichen Bestimmungen.

Im Innenverhältnis der Parteien gelten ergänzend die wirksam vereinbarten Haftungsregelungen der AGB bzw. des Hauptvertrages, soweit diese zwingenden datenschutzrechtlichen Haftungsregelungen nicht entgegenstehen.

15. Rangfolge und Änderungen

Soweit Regelungen dieser Vereinbarung und des Hauptvertrages oder der AGB hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag voneinander abweichen, gehen die Regelungen dieser Auftragsverarbeitungsvereinbarung vor.

Änderungen und Ergänzungen dieser Vereinbarung einschließlich ihrer Anlagen bedürfen einer dokumentierbaren Form. Eine elektronische Form ist ausreichend, soweit gesetzlich zulässig.

16. Inkrafttreten und Vertragsende

Diese Vereinbarung tritt mit ihrer elektronischen Annahme durch den Verantwortlichen im Rahmen der Registrierung oder Bestellung oder mit ihrer Unterzeichnung durch die Parteien in Kraft.

Bei elektronischer Annahme dokumentiert der Auftragsverarbeiter die Annahme einschließlich der maßgeblichen Vertragsversion und des Zeitpunkts der Annahme.

Die Vereinbarung gilt für die Dauer der Verarbeitung personenbezogener Daten des Verantwortlichen durch den Auftragsverarbeiter.

Pflichten, die ihrem Sinn und Zweck nach über das Ende der Verarbeitung hinaus fortgelten, insbesondere Vertraulichkeits-, Lösch- und Nachweispflichten, bleiben hiervon unberührt.

17. Schlussbestimmungen

Ergänzend gelten der Hauptvertrag und die AGB der Plattform greet.video.

Es gilt das Recht der Bundesrepublik Deutschland.

Soweit gesetzlich zulässig, ist Gerichtsstand Hamburg.

Sollte eine Bestimmung dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Soweit eine Regelung unwirksam oder nicht Vertragsbestandteil ist, gelten die gesetzlichen Vorschriften.

Anlage 1 – Technische und organisatorische Maßnahmen (TOMs)

Die nachfolgenden Maßnahmen dienen der Gewährleistung eines dem Risiko angemessenen Schutzniveaus gemäß Art. 32 DS-GVO.

Die Maßnahmen werden entsprechend technischer und organisatorischer Entwicklungen überprüft und können weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

1. Physische Zutrittskontrolle

Produktive Server- und Cloud-Infrastruktur wird in hierfür vorgesehenen Rechenzentrums- bzw. Cloud-Umgebungen der eingesetzten Hosting- und Infrastrukturprovider betrieben.

Die physische Sicherung dieser Rechenzentren erfolgt durch die jeweiligen Infrastrukturprovider entsprechend deren Sicherheitskonzepten.

Ein unmittelbarer physischer Zugriff von Mitarbeitern der MJOO GmbH auf die produktive Rechenzentrumsinfrastruktur ist grundsätzlich nicht erforderlich.

2. Zugangskontrolle

• individuelle Benutzerkonten,
• Passwortschutz und Vorgaben für sichere Zugangsdaten,
• Beschränkung administrativer Zugänge auf hierzu berechtigte Personen sowie
• technische Schutzmaßnahmen wie Firewalls und vergleichbare Zugriffsbeschränkungen.

3. Zugriffskontrolle und Berechtigungen

• rollen- und aufgabenbezogene Berechtigungen,
• Beschränkung privilegierter Zugriffe,
• Vergabe von Zugriffsrechten nach dem Erforderlichkeitsprinzip,
• Entzug nicht mehr erforderlicher Berechtigungen sowie
• Protokollierung sicherheits- und administrationsrelevanter Vorgänge, soweit technisch vorgesehen.

4. Übertragungs- und Weitergabekontrolle

• verschlüsselte Datenübertragung über aktuelle TLS-Verbindungen,
• gesicherte administrative Verbindungen, soweit erforderlich,
• Beschränkung von Datenübermittlungen auf erforderliche Empfänger und Dienstleister,
• Datenminimierung und Pseudonymisierung, soweit für den jeweiligen Verarbeitungsvorgang geeignet, sowie
• dokumentierte Auswahl und Kontrolle von Unterauftragsverarbeitern.

5. Eingabe-, Änderungs- und Nachvollziehbarkeitskontrolle

• Zuordnung von Plattformzugriffen zu individuellen Kunden- bzw. Benutzerkonten,
• Protokollierung technisch und sicherheitsrelevanter Systemvorgänge, soweit für Betrieb und Sicherheit erforderlich, sowie
• Kontrolle administrativer Änderungen durch Berechtigungskonzepte.

6. Auftragskontrolle

• Verarbeitung von Kundendaten nur im Rahmen dokumentierter Weisungen,
• vertragliche Einbindung von Unterauftragsverarbeitern,
• Verpflichtung berechtigter Mitarbeiter auf Vertraulichkeit,
• datenschutzbezogene Sensibilisierung der mit personenbezogenen Daten befassten Personen sowie
• regelmäßige Überprüfung relevanter Dienstleister.

7. Verfügbarkeitskontrolle und Wiederherstellbarkeit

• Backup-Verfahren für relevante Produktivdaten,
• verschlüsselte Datenbank-Backups,
• Redundanz- und Verfügbarkeitsmaßnahmen der eingesetzten Infrastrukturprovider,
• Maßnahmen zur Erkennung und Behandlung technischer Störungen sowie
• Notfall- und Wiederherstellungsverfahren.

8. Trennungsgebot

• logische Trennung von Kundendaten innerhalb der Plattform,
• rollen- und mandantenbezogene Zugriffsbeschränkungen,
• Trennung von Entwicklungs- und Produktivumgebungen, soweit technisch umgesetzt und erforderlich, sowie
• zweckbezogene Verarbeitung und Datenminimierung.

9. Lösch- und Speicherkonzept

• festgelegte Standard-Löschfristen für Grußvideos und Kampagnenreporting,
• Löschung nicht mehr erforderlicher Daten nach Maßgabe der vereinbarten Prozesse,
• begrenzte Speicherung technischer Protokolldaten sowie
• Löschung von Backup-Daten im Rahmen regulärer Backup- und Überschreibzyklen.

10. Datenschutz- und Sicherheitsorganisation

• Benennung eines externen Datenschutzbeauftragten,
• festgelegte Ansprechpartner für Datenschutz- und Sicherheitsvorfälle,
• Verfahren zum Umgang mit Datenschutzverletzungen,
• regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen sowie
• Berücksichtigung von Datenschutz und Datensicherheit bei Änderungen der Plattform.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Die folgenden Dienstleister können im Rahmen der Verarbeitung von Daten des Verantwortlichen als weitere Auftragsverarbeiter eingesetzt werden.

1. n@work GmbH

Zweck: Hosting, Serverbetrieb und technische Infrastruktur der Plattform
Verarbeitungsort: Deutschland / Europäische Union
Datenschutz:https://www.work.de/datenschutz/

2. Amazon Web Services EMEA SARL

Anschrift: 38 Avenue John F. Kennedy, L-1855 Luxemburg
Zweck: Speicherung von Video-Assets und verschlüsselten Datenbank-Backups, insbesondere über Amazon S3
Von MJOO konfigurierte Datenregion: Frankfurt / Deutschland
Datenschutz:https://aws.amazon.com/de/privacy/

3. Brevo GmbH

Unternehmen: Brevo GmbH, handelnd unter der Marke „Brevo“
Umsatzsteuer-Identifikationsnummer: DE276534027
Vertretungsberechtigter: Armand Thiberge
Postanschrift: Köpenicker Str. 126, 10179 Berlin, Deutschland
Zweck: Versand von Kampagnen-E-Mails und Transaktionsnachrichten an die vom Verantwortlichen bestimmten Empfänger
E-Mail:contact@brevo.com
Telefon: +49 (0)30 / 311 995 10
Website:https://www.brevo.com/de/
Datenschutz:https://www.brevo.com/de/legal/privacypolicy/

4. fal – Features & Labels, Inc.

Unternehmen: fal – Features & Labels, Inc.
Anschrift: 2261 Market St., Suite 10467, San Francisco, CA 94114, USA
Zweck: KI-gestützte Verarbeitung des vom Verantwortlichen eingegebenen kampagnenbezogenen Textes zur Erstellung eines kampagnenweit einheitlichen Video- bzw. Charakter-Inhalts
Eingesetztes Modell: google/gemini-omni-flash über fal.ai
Verarbeitete Daten: vom Verantwortlichen eingegebener Kampagnentext sowie technisch erforderliche Request- und Verarbeitungsdaten; keine automatisierte Übermittlung von Namen, E-Mail-Adressen oder sonstigen Daten aus der Empfängerliste zur KI-Generierung
Sitz: USA
Website:https://fal.ai/
Datenschutz:https://fal.ai/legal/privacy-policy
Data Processing Addendum:https://fal.ai/legal/data-processing-addendum
Unterauftragsverarbeiter von fal.ai:https://trust.fal.ai/subprocessors

Der für die KI-Funktion übermittelte Kampagnentext ist innerhalb einer Kampagne grundsätzlich identisch. Wird der daraus erzeugte KI-Inhalt verwendet, kommt er grundsätzlich in sämtlichen Grußvideos der betreffenden Kampagne zum Einsatz.

Eine individuelle KI-Generierung anhand der personenbezogenen Daten einzelner Kampagnenempfänger findet nicht statt.

Da der Kampagnentext durch den Verantwortlichen frei eingegeben werden kann, kann dieser Text personenbezogene Daten enthalten. Der Verantwortliche hat sicherzustellen, dass für diese personenbezogenen Inhalte eine geeignete Rechtsgrundlage besteht.

fal.ai kann zur Bereitstellung von Drittanbieter-Modellen weitere Unterauftragsverarbeiter oder API-Partner einsetzen. Soweit hierbei Daten des Verantwortlichen an einen weiteren Empfänger übermittelt werden, sind die Anforderungen dieser Vereinbarung und der Art. 28 und 44 ff. DS-GVO einzuhalten.

Abgrenzung weiterer Dienstleister

Dienstleister, die ausschließlich im Rahmen eigener Verarbeitungstätigkeiten der MJOO GmbH eingesetzt werden und keine Daten des Verantwortlichen im Sinne dieser Vereinbarung verarbeiten, sind keine Unterauftragsverarbeiter nach dieser Vereinbarung.

Dies betrifft nach der derzeitigen Ausgestaltung insbesondere Zahlungsabwicklung, eigene Produkt- und Marketing-Landingpages, Consent-Management sowie eigene Analyse-, Conversion- und Marketingtechnologien der MJOO GmbH.