Auftragsverarbeitungsvertrag

Diese Zusammenfassung dient nur der Übersicht und ist nicht Teil der Vereinbarung. - Sie, die Agentur oder der Creator, entscheiden, Anlora auf Ihren Creator-Accounts einzusetzen. Sie sind dafür verantwortlich, die Daten Ihrer Fans verarbeiten zu dürfen und sie entsprechend zu informieren. - Anlora verarbeitet diese Daten nur, um den Dienst für Sie zu erbringen, nach Ihren Weisungen, und hält sie sicher. - Fan-Chats auf einer Erwachsenenplattform können etwas über das Sexualleben einer Person verraten. Sie bestätigen, dafür eine Rechtsgrundlage zu haben. - Anlora informiert Sie unverzüglich über eine Datenpanne, hilft Ihnen bei Anfragen von Fans und löscht die Daten, wenn Sie gehen. - Dieser Vertrag ist Teil der Nutzungsbedingungen. Wer die Nutzungsbedingungen akzeptiert, akzeptiert ihn. Es gibt nichts Gesondertes zu unterschreiben.

1.1 Dieser Auftragsverarbeitungsvertrag („Vertrag“) ist Teil der Anlora-Nutzungsbedingungen („Bedingungen“) zwischen Anlora, betrieben von Oliver Stanglovic, Slowakei („Anlora“) und der Organisation, die die Bedingungen akzeptiert („Kunde“). Er gilt immer dann, wenn Anlora bei der Erbringung des Dienstes personenbezogene Daten im Auftrag des Kunden verarbeitet. 1.2 In den Bedingungen definierte Begriffe haben hier dieselbe Bedeutung. „DSGVO“ bezeichnet die Verordnung (EU) 2016/679. „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“ und „Verarbeitung“ haben die Bedeutung nach der DSGVO. „Fan-Daten“ sind personenbezogene Daten von Fans, Abonnenten und anderen Endnutzern eines verbundenen Creator-Accounts, die Anlora über den Dienst für den Kunden verarbeitet. „Unterauftragsverarbeiter“ ist ein weiterer Auftragsverarbeiter, den Anlora mit der Verarbeitung von Fan-Daten beauftragt. 1.3 Widersprechen sich dieser Vertrag und die übrigen Bedingungen in Bezug auf die Verarbeitung personenbezogener Daten, hat dieser Vertrag Vorrang; Abschnitt 14 der Bedingungen (Compliance- und Offenlegungspflichten des Kunden) gilt jedoch uneingeschränkt weiter.

2.1 Für Fan-Daten ist der Kunde Verantwortlicher und Anlora Auftragsverarbeiter. Handelt der Kunde für einen Creator als Auftragsverarbeiter, bestätigt der Kunde, von diesem Creator zur Beauftragung von Anlora berechtigt zu sein, und Anlora handelt als Unterauftragsverarbeiter. In beiden Fällen ist der Kunde die einzige Stelle, die Anlora Weisungen erteilt. 2.2 Für die eigenen Konto-, Abrechnungs- und Nutzungsdaten des Kunden ist Anlora eigenständiger Verantwortlicher. Diese Verarbeitung beschreibt die Datenschutzerklärung; sie fällt nicht unter diesen Vertrag. 2.3 Anlora entscheidet über Zweck und Mittel der Verarbeitung von Fan-Daten nicht über das hinaus, was zur Ausführung der Weisungen des Kunden nötig ist. 2.4 Gilt für Fan-Daten ein Datenschutzgesetz eines US-Bundesstaates, etwa der California Consumer Privacy Act, handelt Anlora nach diesem Gesetz als Dienstleister bzw. Auftragsverarbeiter des Kunden. Anlora verkauft oder teilt Fan-Daten nicht und bewahrt, nutzt oder offenbart sie nicht außerhalb seiner unmittelbaren Geschäftsbeziehung mit dem Kunden oder für andere als die in Abschnitt 3 genannten Geschäftszwecke.

3.1 Der Kunde weist Anlora an, Fan-Daten zur Erbringung des Dienstes zu verarbeiten. Die Bedingungen, dieser Vertrag sowie die Konfiguration und Nutzung des Dienstes durch den Kunden sind die vollständigen dokumentierten Weisungen des Kunden. Sie umfassen für jeden Creator-Account, den der Kunde verbindet: (a) Zugriff auf den Creator-Account und Empfang seiner Nachrichten, Abonnenten- und Transaktionsereignisse; (b) Weitergabe von Fan-Nachrichten, Fan-Kennungen und zugehörigen Account-Daten an die KI-Nachrichtenfunktion; (c) Erstellen und Senden von Antworten und Content-Angeboten im Namen des Creators; (d) Aufbau und Speicherung eines Gesprächsverlaufs, von Zusammenfassungen dieses Verlaufs und eines Fan-Profils für jeden Fan. Das Profil enthält Fakten, die der Fan mitgeteilt hat, seine geäußerten und abgeleiteten Vorlieben und Interessen (darunter auch sexuelle Vorlieben), Merkmale seiner Art zu kommunizieren und seine Kaufhistorie. Es wird nur verwendet, um Antworten für diesen Fan auf diesem Creator-Account passend zu machen; (e) Anzeige von Auswertungen über die eigenen Creator-Accounts des Kunden; (f) Support-, Fehlersuch- und Sicherheitsarbeiten nach Abschnitt 27 der Bedingungen (Support-Zugriff); (g) Prüfung von Gesprächen aus den Creator-Accounts des Kunden, um die Qualität der vom Dienst erzeugten Antworten zu beurteilen und zu verbessern. Die Prüfung erfolgt durch das Personal von Anlora und seines Anbieters für KI-Konversationen sowie durch die von ihnen genutzten KI-Werkzeuge. 3.2 Anlora informiert den Kunden, wenn eine Weisung nach Auffassung von Anlora gegen Datenschutzrecht verstößt. Anlora kann die betroffene Verarbeitung aussetzen, bis der Kunde die Weisung bestätigt oder ändert. 3.3 Außer wie in Abschnitt 3.1 beschrieben verarbeitet Anlora Fan-Daten nicht für eigene Zwecke und verkauft sie nicht. Anlora und sein Anbieter für KI-Konversationen trainieren oder verfeinern kein KI-Modell mit Fan-Daten, exportieren sie nicht als Datensatz und verwenden die Nachrichten eines Fans nicht, um einem anderen Fan zu antworten. Anonymisierte Statistiken, die nur aus Metadaten des Dienstes erstellt werden, wie in Abschnitt 10 der Bedingungen beschrieben, sind keine Fan-Daten.

4.1 Der Kunde ist für die Rechtmäßigkeit der von ihm angewiesenen Verarbeitung verantwortlich. Insbesondere bestätigt der Kunde, dass er vor dem Verbinden eines Creator-Accounts und solange dieser verbunden bleibt: (a) eine Rechtsgrundlage nach Art. 6 DSGVO für die Verarbeitung von Fan-Daten über den Dienst hat; (b) da Fan-Gespräche Informationen über das Sexualleben oder die sexuelle Orientierung einer Person offenbaren können, für diese Verarbeitung eine gültige Bedingung nach Art. 9 Abs. 2 DSGVO hat, einschließlich der ausdrücklichen Einwilligung des Fans, wo keine andere Bedingung greift; (c) den Fans die nach Art. 13 und 14 DSGVO erforderlichen Informationen gegeben hat, einschließlich dessen, dass Nachrichten von einem KI-System verfasst sein können, dass ein Profil des Fans zur Personalisierung der Antworten geführt wird und dass Dienstleister ihre Daten für den Kunden verarbeiten; (d) jede gesetzlich erforderliche Datenschutz-Folgenabschätzung für diese Verarbeitung durchgeführt hat; (e) die in Abschnitt 14(c) der Bedingungen beschriebene Berechtigung des Creators hat. 4.2 Der Kunde ist Ansprechpartner für Fans und Aufsichtsbehörden in Bezug auf Fan-Daten und dafür verantwortlich, Anträge von Fans auf Ausübung ihrer Rechte zu beantworten. 4.3 Dieser Abschnitt schränkt keine Pflicht ein, die das Gesetz Anlora unmittelbar auferlegt.

5.1 Vertraulichkeit. Anlora stellt sicher, dass alle Personen, die es zur Verarbeitung von Fan-Daten befugt, zur Vertraulichkeit verpflichtet sind und nur auf Fan-Daten zugreifen, soweit dies für die Zwecke in Abschnitt 3 nötig ist. 5.2 Sicherheit. Anlora unterhält die technischen und organisatorischen Maßnahmen in Anhang 2 und darf sie anpassen, sofern das Schutzniveau insgesamt nicht sinkt. 5.3 Anfragen von Fans. Wendet sich ein Fan direkt an Anlora, leitet Anlora die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, sofern das Gesetz es nicht verlangt. Auf schriftliche Anforderung des Kunden löscht, berichtigt oder exportiert Anlora die im Dienst gespeicherten Fan-Daten eines bestimmten Fans innerhalb von 30 Tagen und weist seine Unterauftragsverarbeiter an, dasselbe zu tun. Für Unterstützung, die über die Standardfunktionen des Dienstes hinausgeht, kann Anlora seine angemessenen Kosten berechnen. 5.4 Verletzung des Schutzes personenbezogener Daten. Anlora benachrichtigt den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Fan-Daten betrifft. Die Meldung beschreibt, was über die Art der Verletzung, die betroffenen Daten und Accounts, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen bekannt ist. Anlora hält den Kunden auf dem Laufenden und hilft ihm, seine eigenen Meldepflichten zu erfüllen. Eine Meldung nach diesem Abschnitt ist kein Schuldeingeständnis. 5.5 Unterstützung. Unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen unterstützt Anlora den Kunden bei Datenschutz-Folgenabschätzungen, der vorherigen Konsultation einer Aufsichtsbehörde und den Sicherheitspflichten nach Art. 32 bis 36 DSGVO, indem es die allgemein verfügbaren Informationen über den Dienst bereitstellt. Weitergehende Unterstützung erfolgt nach Vereinbarung und auf Kosten des Kunden.

6.1 Der Kunde erteilt Anlora eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuellen Unterauftragsverarbeiter sind in Abschnitt 6 der Datenschutzerklärung aufgeführt, der einzigen Liste für diesen Vertrag. 6.2 Anlora kündigt das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters mindestens 7 Tage im Voraus per E-Mail oder im Dashboard an. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen schriftlich widersprechen. Können die Parteien den Widerspruch nicht ausräumen, kann der Kunde als einzigen Rechtsbehelf die Nutzung des betroffenen Teils des Dienstes einstellen oder die Bedingungen ohne Kündigungsfrist beenden. 6.3 Anlora verpflichtet jeden Unterauftragsverarbeiter schriftlich zu Datenschutzpflichten, die nicht weniger schützen als die dieses Vertrags, und bleibt gegenüber dem Kunden für deren Erfüllung durch jeden Unterauftragsverarbeiter verantwortlich.

Anlora speichert Fan-Daten in der Europäischen Union. Verarbeitet ein Unterauftragsverarbeiter Fan-Daten außerhalb des Europäischen Wirtschaftsraums, stellt Anlora sicher, dass die Übermittlung durch einen Angemessenheitsbeschluss oder durch die Standardvertragsklauseln der Europäischen Kommission abgedeckt ist, mit allen zusätzlichen Garantien, die das Gesetz verlangt.

8.1 Der Kunde kann jederzeit einen Creator-Account entfernen oder sein Konto schließen. Vor dem Schließen kann der Kunde von Anlora einen Export seiner Fan-Daten in einem gängigen maschinenlesbaren Format verlangen. 8.2 Nach dem Schließen des Kontos löscht Anlora die Fan-Daten 30 Tage später aus dem Dienst und weist seine Unterauftragsverarbeiter an, ihre Kopien zu löschen. Backups laufen wie in Abschnitt 7 der Datenschutzerklärung beschrieben ab. Anlora bewahrt nur auf, was es gesetzlich aufbewahren muss, etwa Abrechnungsunterlagen. 8.3 Solange das Konto offen ist, werden Fan-Daten für die in Abschnitt 7 der Datenschutzerklärung genannten Zeiträume gespeichert.

9.1 Auf schriftliche Anfrage, höchstens einmal in 12 Monaten, stellt Anlora dem Kunden die Informationen bereit, die vernünftigerweise nötig sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen, durch schriftliche Antworten oder verfügbare Berichte Dritter. 9.2 Reichen diese Informationen nicht aus, verlangt eine Aufsichtsbehörde es oder nach einer Verletzung des Schutzes personenbezogener Daten, die den Kunden betrifft, kann der Kunde selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer eine Prüfung durchführen. Liegt Anlora ein aktueller Prüfbericht vor, stützt sich der Kunde zunächst auf eine Zusammenfassung davon. Eine Prüfung erfolgt mit mindestens sechs Wochen Vorankündigung, während der Geschäftszeiten, ohne Zugriff auf Daten anderer Kunden und auf Kosten des Kunden.

10.1 Die Abschnitte 11 (Freistellung) und 13 (Haftungsbeschränkung) der Bedingungen gelten für diesen Vertrag. 10.2 Nichts in diesem Vertrag oder in den Bedingungen schränkt die Rechte betroffener Personen oder die Befugnisse von Aufsichtsbehörden nach der DSGVO oder die Haftung einer Partei ihnen gegenüber ein.

11.1 Dieser Vertrag gilt, solange Anlora Fan-Daten für den Kunden verarbeitet; die Abschnitte 8 und 10 gelten darüber hinaus fort. 11.2 Anlora kann diesen Vertrag anpassen, wenn sich das Recht oder der Dienst ändert, mit einer Ankündigungsfrist von 14 Tagen. Eine Anpassung senkt den Schutz der Fan-Daten nicht. 11.3 Dieser Vertrag unterliegt dem Recht, das für die Bedingungen gilt, soweit Standardvertragsklauseln nichts anderes verlangen. 11.4 Kontakt in Datenschutzfragen: privacy@meetanlora.com oder hello@meetanlora.com.

Gegenstand: Betrieb des Dienstes für die verbundenen Creator-Accounts des Kunden. Dauer: solange das Konto offen ist, danach wie in Abschnitt 8 beschrieben. Art und Zweck: Empfangen, Weiterleiten, Speichern, Auswerten und Erzeugen von Nachrichten; Führen eines Gesprächsverlaufs und Fan-Profils zur Personalisierung der Antworten; Prüfung von Gesprächen zur Verbesserung der Antwortqualität; Auswertungen; Support und Sicherheit. Betroffene Personen: Fans, Abonnenten und andere Endnutzer, die mit einem verbundenen Creator-Account interagieren. Datenarten: Plattform-Nutzerkennung, Benutzername, Anzeigename und Profilbild; Nachrichtentext und Medien, die an den Creator oder von ihm gesendet werden; Abo-, Kauf- und Trinkgeldhistorie; Gesprächszusammenfassungen und das in Abschnitt 3.1(d) beschriebene Fan-Profil. Besondere Kategorien: Informationen, die das Sexualleben oder die sexuelle Orientierung eines Fans offenbaren, wenn der Fan sie mitteilt oder sie sich aus dem Gespräch ableiten lassen. Speicherdauer: wie in Abschnitt 7 der Datenschutzerklärung und Abschnitt 8 dieses Vertrags beschrieben.

- Verschlüsselung in der Übertragung (TLS 1.2 oder höher) für alle Verbindungen - Verschlüsselung auf Feldebene bei der Speicherung von Plattform-Zugangsdaten und Sitzungstoken - Trennung der Daten jedes Kunden nach Team, mit rollenbasierter Zugriffskontrolle innerhalb des Teams - Zugriff des Personals beschränkt auf die Personen, die ihn brauchen, unter Vertraulichkeitspflicht - Server in der Europäischen Union, in Containern, hinter einer Firewall, einer Web Application Firewall und DDoS-Schutz - Automatische verschlüsselte Backups mit separatem Schlüssel - Automatische Rotation von Protokollen und Löschung von Daten