Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 11. November 2026 · Erstveröffentlichung: 30. Juli 2026

Diese Fassung ist eine informative Übersetzung. Maßgeblich ist allein die französische Fassung.

Dieser Vertrag (nachfolgend „AVV“) wird im Sinne von Artikel 28 der Verordnung (EU) 2016/679 („DSGVO“) zwischen dem Kunden, der als Verantwortlicher handelt, und Siggmund, die als Auftragsverarbeiter handelt (nachfolgend „Siggmund“), geschlossen. Er ist fester Bestandteil der Verkaufsbedingungen und wird vom Kunden bei Abschluss des Abonnements akzeptiert. Bei Widersprüchen geht dieser AVV den übrigen Vertragsdokumenten vor, soweit es um die Verarbeitung personenbezogener Daten geht.

1. Gegenstand und Rollen

Siggmund verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich zur Erbringung des in den Verkaufsbedingungen beschriebenen Dienstes: Messung der Empfehlbarkeit der Marke des Kunden, Erstellung eines Scores und von Empfehlungen. Der Kunde bestimmt die Zwecke und Mittel dieser Verarbeitung; Siggmund handelt nur auf dokumentierte Weisung, die sich aus den Verkaufsbedingungen, diesem AVV und den vom Kunden in seinem Bereich vorgenommenen Einstellungen ergibt.

Siggmund bleibt für eigene Zwecke (Kontoverwaltung, Rechnungsstellung, Sicherheit) Verantwortlicher; dafür gilt die Datenschutzerklärung.

2. Beschreibung der Verarbeitung

• Art und Zweck: Erhebung, Speicherung, automatisierte Analyse und Wiedergabe von Daten zur Online-Präsenz des Kunden.
• Kategorien betroffener Personen: vom Kunden benannte Nutzer; gegebenenfalls identifizierbare natürliche Personen, die in den analysierten öffentlichen Inhalten oder in den Antworten der Sprachmodelle genannt werden.
• Datenkategorien: Kennungen und E-Mail-Adressen der Nutzer; öffentliche Inhalte der Website des Kunden; Kennzahlen aus Search Console und Analytics 4 (Impressionen, Klicks, Positionen, Sitzungen, Traffic-Quellen); technische Kennungen der verbundenen Google-Properties.
• Besondere Datenkategorien: keine. Der Dienst ist nicht dafür ausgelegt, Daten im Sinne von Artikel 9 DSGVO zu verarbeiten, und der Kunde verpflichtet sich, keine zu übermitteln.
• Dauer: die Laufzeit des Abonnements, zuzüglich der in Artikel 8 genannten Aufbewahrungsfristen.

3. Pflichten von Siggmund

Siggmund verpflichtet sich,

• die Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten und ihn unverzüglich zu informieren, wenn eine Weisung nach ihrer Auffassung gegen die DSGVO verstößt;
• die Daten des Kunden nicht zu anderen Zwecken zu verwenden, insbesondere weder zu Werbezwecken noch zum Training allgemeiner KI-Modelle;
• die Vertraulichkeit der Daten zu gewährleisten und jede zum Zugriff befugte Person zur Vertraulichkeit zu verpflichten;
• die in Artikel 5 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen;
• den Kunden im angemessenen Umfang bei Datenschutz-Folgenabschätzungen, bei der Beantwortung von Anfragen betroffener Personen und im Austausch mit einer Aufsichtsbehörde zu unterstützen;
• die erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung zu stellen.

4. Pflichten des Kunden

Der Kunde sichert zu, für die übertragenen Verarbeitungen über eine Rechtsgrundlage zu verfügen, die betroffenen Personen informiert zu haben und die erforderlichen Rechte an den Websites und Google-Konten zu besitzen, die er verbindet. Er hat nur die für den Dienst erforderlichen Daten zu übermitteln.

5. Sicherheit

Siggmund setzt gemäß Artikel 32 DSGVO um: Verschlüsselung der Kommunikation (TLS) und der ruhenden Daten; gesonderte Verschlüsselung der Google-Zugriffstokens; rollenbasierte Zugriffskontrolle, die bei jeder Anfrage serverseitig geprüft wird; Trennung der Daten zwischen Kunden; Protokollierung der Administratorzugriffe; Backups; Beschränkung der Produktionszugriffe auf Personen, die sie benötigen; Überprüfung von Abhängigkeiten und Secrets.

6. Weitere Auftragsverarbeiter

Der Kunde erteilt Siggmund die Genehmigung, die nachstehend aufgeführten weiteren Auftragsverarbeiter einzusetzen. Siggmund erlegt ihnen vertraglich Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und bleibt für deren Erfüllung verantwortlich.

• Google Ireland Limited (Firebase, Cloud Run, Firestore, Cloud SQL) — Hosting, Datenbank und Ausführung der Anwendung. Standort: Europäische Union (europe-west1)
• Google Ireland Limited (Google Analytics 4) — Reichweitenmessung der öffentlichen Website, vorbehaltlich Ihrer Einwilligung. Standort: Irland (Europäische Union), mit Übermittlungen in die Vereinigten Staaten Absicherung der Übermittlung: Angemessenheitsbeschluss EU–USA (Data Privacy Framework), unter dem Google LLC zertifiziert ist; andernfalls Standardvertragsklauseln
• Stripe Payments Europe, Ltd. — Einzug der Abonnementzahlungen. Standort: Irland
• Google (API Gemini) — Analyse durch ein Sprachmodell und durch die Google-Suche gestützte Antworten (Adresse der Website, Tätigkeit und ein Auszug der Startseite). Standort: jedes Land, in dem Google Einrichtungen betreibt, darunter die Vereinigten Staaten (keine garantierte Verarbeitungsregion)

Siggmund informiert den Kunden über jede Hinzufügung oder Ersetzung eines weiteren Auftragsverarbeiters mindestens 30 Tage vor deren Umsetzung per E-Mail an die Kontaktadresse des Kontos. Der Kunde kann innerhalb dieser Frist aus einem berechtigten und angemessenen Grund widersprechen; kommt keine Einigung zustande, kann er sein Abonnement ohne Vertragsstrafe kündigen, wobei ihm der nicht verbrauchte Teil des Abonnements erstattet wird.

7. Übermittlungen außerhalb der Europäischen Union

Die Daten werden in der Europäischen Union gehostet, in europe-west1 (Belgien). Siggmund übermittelt keine personenbezogenen Daten des Kunden an einen Dienstleister zur Inhaltsverarbeitung: Die Sprachmodelle und Messdienste erhalten Messfragen, Adressen öffentlicher Websites und öffentliche Inhalte, keine personenbezogenen Daten. Eine Kopie der Garantien, die für einen außerhalb der Europäischen Union ansässigen Dienstleister gelten, wird auf Anfrage übermittelt.

Die Search-Console- und Analytics-4-Daten des Kunden können an diese Anbieter von Sprachmodellen übermittelt werden, wenn sie zur Erstellung der Analysen und Empfehlungen des Dienstes dienen (zum Beispiel zur Interpretation der bestplatzierten Suchanfragen oder der Traffic-Quellen). Sie werden ausschließlich zu diesem Zweck und nur zu Inferenzzwecken übermittelt: Sie dienen nie dem Training oder Feintuning eines Modells, und Siggmund aktiviert keine von einem Anbieter angebotene Option zur Speicherung oder Weitergabe von Inhalten.

8. Aufbewahrung, Rückgabe und Löschung

Es gelten die folgenden Aufbewahrungsfristen:

• Konto und E-Mail-Adresse: Laufzeit des Abonnements, danach 3 Jahre nach dem letzten Kontakt.
• Telefonnummer (gegebenenfalls): Laufzeit des Abonnements, danach 3 Jahre nach dem letzten Kontakt.
• Erstellte Analysen, Scores und Empfehlungen: Laufzeit des Abonnements, danach 12 Monate.
• Importierte Search-Console- und Analytics-Daten (Snapshots): 13 rollierende Monate sowie Löschung innerhalb von 30 Tagen nach Widerruf des Google-Zugriffs oder nach Kündigung.
• Messungen der Wirkung von Maßnahmen: für die gesamte Laufzeit des Abonnements, gelöscht innerhalb von 30 Tagen nach Kündigung oder Widerruf des Google-Zugriffs.
• Google-Zugriffstokens (verschlüsselt): bis zu Ihrem Widerruf oder 30 Tage nach der Kündigung.
• ChatGPT-Ads-API-Schlüssel (verschlüsselt): bis Sie die Verbindung trennen oder 30 Tage nach der Kündigung.
• ChatGPT-Ads-Anzeigenbilder, die Sie hochladen (gehostet, damit OpenAI sie abrufen kann): höchstens 91 Tage oder bis zur Löschung des Kunden.
• Logo der Agentur (White-Label-Berichte): bis zum Ersatz oder bis die Marke entfernt wird, oder bis die Organisation gelöscht wird.
• In der Anwendung erstellte ChatGPT-Ads-Kampagnen und die E-Mail-Adresse ihres Urhebers: Laufzeit des Abonnements, danach 12 Monate.
• Nicht beanspruchter anonymer Lead (vor der Anmeldung): 7 Tage nach der Übermittlung, tägliche automatische Löschung (SIG-88) — ein beanspruchter Lead (in einen Kunden umgewandelt) unterliegt dieser Frist nie.
• Anfragen über die Startseite (E-Mail-Adresse, Telefon): 3 Jahre nach der letzten Änderung der Anfrage, tägliche automatische Löschung.
• Über das Kontaktformular gesendete Nachrichten: 3 Jahre nach dem letzten Austausch.
• Nutzungsdaten der Website und der Anwendung (PostHog): 1 Jahr, danach automatische Löschung durch PostHog.
• Technische und Sicherheitsprotokolle: 12 Monate.
• Zugriffsprotokolle der Administratoren (Nachvollziehbarkeit nach DSGVO): 3 Jahre.
• Rechnungen und Buchungsbelege: 10 Jahre (gesetzliche Pflicht, Art. L123-22 des französischen Code de commerce).

Nach Beendigung der Leistung löscht Siggmund die im Auftrag des Kunden verarbeiteten Daten nach diesen Fristen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Kunde kann vor der Kündigung die Rückgabe seiner Daten in einem strukturierten, gängigen Format verlangen.

9. Verletzung des Schutzes personenbezogener Daten

Siggmund benachrichtigt den Kunden unverzüglich und spätestens 48 Stunden, nachdem Siggmund davon Kenntnis erlangt hat, über jede Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, und übermittelt ihm die Angaben, die er für seine eigene Meldung nach den Artikeln 33 und 34 DSGVO benötigt, sowie die ergriffenen Abhilfemaßnahmen.

10. Prüfung

Siggmund beantwortet die Sicherheitsfragebögen des Kunden und stellt ihm die einschlägigen Unterlagen zur Verfügung. Der Kunde kann höchstens einmal jährlich und mit einer Frist von 30 Tagen auf eigene Kosten eine verhältnismäßige Prüfung durchführen lassen, unter Bedingungen, die die Vertraulichkeit der übrigen Kunden und die Sicherheit des Dienstes wahren.

11. Kontakt

Alle Anfragen zu diesem Vertrag: privacy@siggmund.com.