RECENSIO LIMITED — eine Gesellschaft mit beschränkter Haftung nach irischem Recht („private company limited by shares“) Handelsregisternummer (CRO): 820098 Eingetragener Sitz: Unit 2, 2 Bridge Street, Athlone, Co. Westmeath, N37 F1W4, Irland Datenschutzkontakt: support@recensio.ai
Dies ist eine Übersetzung der englischen Originalfassung dieses Auftragsverarbeitungsvertrags, die aus Gefälligkeit bereitgestellt wird. Bei Widersprüchen oder Abweichungen zwischen der englischen Fassung und einer Übersetzung ist die englische Fassung maßgeblich.
1. Anwendungsbereich und Zweck dieses Vertrags
Dieser Auftragsverarbeitungsvertrag (der „Vertrag“) ist Bestandteil der Nutzungsbedingungen (die „Bedingungen“) zwischen der RECENSIO LIMITED („Recensio“, „wir“, „uns“) und dem Unternehmen, das sich für den Recensio-Dienst registriert oder ihn nutzt (der „Kunde“, „Sie“). Begriffe, die in diesem Vertrag nicht definiert, aber in den Bedingungen definiert sind, haben die ihnen dort zugewiesene Bedeutung.
Dieser Vertrag gilt für die personenbezogenen Daten, die Recensio bei der Bereitstellung des Dienstes in Ihrem Auftrag und nach Ihren Weisungen verarbeitet — insbesondere den Inhalt der Google-Bewertungen der Unternehmen, die Sie verbinden, die Namen der Personen, die sie verfasst haben, die aus jeder Bewertung abgeleiteten Attribute zur Anpassung der Antwort sowie die entworfenen und veröffentlichten Antworten (zusammen die „Kundendaten“). Die Einzelheiten dieser Verarbeitung sind in Anhang I festgelegt.
Dieser Vertrag gilt nicht für personenbezogene Daten, für die Recensio selbst Verantwortlicher ist (Ihre Konto-, Abonnement- und Abrechnungsdaten sowie Daten über Besucher unserer Website). Diese Verarbeitung ist in unserer Datenschutzerklärung beschrieben.
Dieser Vertrag soll die Anforderungen von Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 (die „DSGVO“) erfüllen. Mit der Annahme der Bedingungen nehmen Sie diesen Vertrag an. Bei Widersprüchen zwischen diesem Vertrag und den Bedingungen hinsichtlich der Verarbeitung von Kundendaten hat dieser Vertrag Vorrang.
2. Begriffsbestimmungen
Die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen in Artikel 4 DSGVO zugewiesen ist.
„Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den Recensio mit der Verarbeitung von Kundendaten im Auftrag von Recensio beauftragt.
„Datenschutzrecht“ bezeichnet die DSGVO, den irischen Data Protection Act 2018 und jedes sonstige auf eine Partei anwendbare Datenschutzrecht.
3. Rollen der Parteien
3.1 Der Kunde als Verantwortlicher, Recensio als Auftragsverarbeiter. Für Kundendaten sind Sie der Verantwortliche und Recensio ist Ihr Auftragsverarbeiter. Sie entscheiden über die Zwecke und Mittel der Verarbeitung — Sie entscheiden, welche Unternehmen verbunden werden, welche Bewertungen verwaltet werden, wie mit Antworten verfahren wird und wann Daten gelöscht werden. Recensio verarbeitet Kundendaten ausschließlich, um Ihnen den Dienst bereitzustellen.
3.2 Agenturkunden. Wenn Sie den Dienst nutzen, um die Google-Unternehmensprofile von Unternehmen zu verwalten, die nicht Ihre eigenen sind (zum Beispiel im Rahmen unseres Agency-Tarifs), handeln Sie gegebenenfalls selbst als Auftragsverarbeiter dieser Unternehmen, die dann die Verantwortlichen sind. In diesem Fall handelt Recensio als Ihr Unterauftragsverarbeiter, und die Pflichten, die dieser Vertrag Recensio auferlegt, gelten für diese Verarbeitung. Sie sichern zu, dass Sie über die Befugnis und die Weisungen jedes dieser Unternehmen verfügen, die erforderlich sind, um Recensio nach diesem Vertrag zu beauftragen, dass Sie mit jedem dieser Unternehmen einen schriftlichen Vertrag geschlossen haben, der Artikel 28 DSGVO genügt, und dass Sie an jedes dieser Unternehmen alle Informationen weitergeben, die Recensio nach diesem Auftragsverarbeitungsvertrag bereitstellt und die es zur Erfüllung seiner eigenen Pflichten benötigt.
3.3 Ihre Verantwortung als Verantwortlicher. Sie sind verantwortlich für die Rechtmäßigkeit der von Ihnen angewiesenen Verarbeitung, einschließlich des Bestehens einer gültigen Rechtsgrundlage für die Verwaltung und Beantwortung der Bewertungen der Unternehmen, die Sie verbinden, für die Übermittlung der nach den Artikeln 13 und 14 DSGVO erforderlichen Informationen an die betroffenen Personen (die für Rezensenten über unsere öffentlich zugängliche Datenschutzerklärung bereitgestellt werden können, wie in Anhang I beschrieben) sowie für die von Ihnen gewählten Automatisierungseinstellungen.
4. Verarbeitung auf dokumentierte Weisung
4.1 Recensio verarbeitet Kundendaten nur auf Ihre dokumentierte Weisung — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland —, sofern Recensio nicht durch das Recht der Union oder der Mitgliedstaaten, dem Recensio unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt Recensio Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
4.2 Ihre dokumentierten Weisungen sind: (a) die Bedingungen und dieser Vertrag; (b) die Konfiguration, die Sie im Dienst festlegen, insbesondere welche Unternehmen Sie verbinden, Ihre im Dienst hinterlegten Unternehmensangaben und Ihre individuellen Anweisungen sowie der Automatisierungsmodus, den Sie auswählen und ausdrücklich bestätigen; (c) Ihre Nutzung der Funktionen des Dienstes, etwa das Freigeben, Bearbeiten oder Ablehnen einer Antwort oder das Löschen eines Unternehmens oder Ihres Kontos; und (d) jede weitere schriftliche Weisung, die Sie erteilen und die mit den Bedingungen vereinbar ist. Recensio kann für die Befolgung von Weisungen, die über den Funktionsumfang des Dienstes hinausgehen, eine angemessene Vergütung verlangen.
4.3 Recensio informiert Sie unverzüglich, wenn eine Weisung nach Auffassung von Recensio gegen das Datenschutzrecht verstößt. Recensio ist nicht verpflichtet, Ihre Weisungen rechtlich zu prüfen.
5. Zweckbindung — eine verbindliche Bedingung des Dienstes
Recensio verarbeitet Kundendaten nicht für eigene Zwecke. Insbesondere wird Recensio nicht:
- Kundendaten kundenübergreifend analysieren, aggregieren oder vergleichen;
- Kundendaten oder aus Ihren freigegebenen Antworten abgeleitete Beispiele verwenden, um ein Modell der künstlichen Intelligenz oder des maschinellen Lernens — ein eigenes oder das eines Dritten — zu trainieren, feinabzustimmen (Fine-Tuning) oder zu verbessern; die Beispiele, die wir speichern, damit die Antworten zu Ihrer Stimme passen, dienen ausschließlich dem Unternehmen, zu dem sie gehören;
- Kundendaten verkaufen, vermieten, lizenzieren oder auf andere Weise einem Dritten zugänglich machen, der nicht als Unterauftragsverarbeiter im Auftrag von Recensio handelt; oder
- Kundendaten für Werbung, Marketing oder einen anderen Zweck als die Bereitstellung, Absicherung und Unterstützung des Dienstes verwenden.
Recensio darf technische und aggregierte Informationen über den Betrieb des Dienstes — etwa Volumina, Fehlerquoten und die Ergebnisse seiner automatisierten Qualitäts- und Sicherheitsprüfungen —, die keine betroffene Person identifizieren, verarbeiten, um den Dienst zu betreiben, abzusichern und zu verbessern. Diese Beschränkung spiegelt auch unsere Pflichten nach der Google API Services User Data Policy wider, einschließlich ihrer Limited-Use-Anforderungen.
6. Vertraulichkeit
Recensio stellt sicher, dass jede Person, die von Recensio zur Verarbeitung von Kundendaten befugt wird, einer vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegt und Kundendaten nur auf Weisung von Recensio verarbeitet. Der Zugriff auf Kundendaten ist auf das beschränkt, was zur Bereitstellung, Absicherung und Unterstützung des Dienstes erforderlich ist.
7. Sicherheit
7.1 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die Rechte und Freiheiten natürlicher Personen trifft Recensio geeignete technische und organisatorische Maßnahmen und erhält sie aufrecht, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie es Artikel 32 DSGVO verlangt. Die derzeit getroffenen Maßnahmen sind in Anhang II beschrieben.
7.2 Recensio kann die Maßnahmen in Anhang II von Zeit zu Zeit aktualisieren, sofern die Aktualisierungen das Gesamtschutzniveau des Dienstes nicht wesentlich verringern.
7.3 Sie sind verantwortlich für die Sicherheit der Zugangsdaten zu Ihrem Konto, für die Personen, denen Sie Zugriff darauf gewähren, und für die Automatisierungseinstellungen, die Sie aktivieren.
8. Unterauftragsverarbeiter
8.1 Allgemeine Genehmigung. Sie erteilen Recensio eine allgemeine Genehmigung, Unterauftragsverarbeiter mit der Verarbeitung von Kundendaten zu beauftragen. Die zum Datum dieses Vertrags beauftragten Unterauftragsverarbeiter sind in unserer Liste der Unterauftragsverarbeiter unter https://recensio.ai/sub-processors aufgeführt, die Bestandteil dieses Vertrags ist (Anhang III), zusammen mit dem Zweck jeder Beauftragung, den Daten, die jeder Unterauftragsverarbeiter erhält, seinem Verarbeitungsort und der zugrunde gelegten Übermittlungsgarantie.
8.2 Mitteilung von Änderungen und Widerspruchsrecht. Recensio aktualisiert die Liste der Unterauftragsverarbeiter, bevor ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird, und ergreift angemessene Maßnahmen, um Sie — unter anderem durch einen Hinweis im Dienst oder per E-Mail an die Adresse Ihres Kontos — mindestens 30 Tage, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung von Kundendaten beginnt, zu informieren. Sie können der Änderung aus vernünftigen und dokumentierten Datenschutzgründen widersprechen, indem Sie innerhalb dieser Frist an support@recensio.ai schreiben. Recensio arbeitet mit Ihnen nach Treu und Glauben daran, dem Widerspruch Rechnung zu tragen. Lässt sich innerhalb einer angemessenen Frist keine Lösung finden, kann jede Partei das betroffene Abonnement kündigen, und Recensio erstattet im Voraus gezahlte Entgelte für den Zeitraum nach der Beendigung des Abonnements. Widersprechen Sie nicht innerhalb der Frist, gilt die Änderung als angenommen.
8.3 Weitergabe der Pflichten. Recensio erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die im Wesentlichen kein geringeres Schutzniveau bieten als die in diesem Auftragsverarbeitungsvertrag festgelegten, insbesondere die Pflicht, hinreichende Garantien dafür zu bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden. Recensio haftet Ihnen gegenüber in vollem Umfang für die Einhaltung der Pflichten des Unterauftragsverarbeiters.
9. Internationale Übermittlungen
9.1 Recensio speichert Kundendaten im Ruhezustand in der Europäischen Union (Frankfurt). Einige Unterauftragsverarbeiter sind außerhalb des Europäischen Wirtschaftsraums niedergelassen oder können von außerhalb des Europäischen Wirtschaftsraums auf Kundendaten zugreifen; dies betrifft insbesondere die Vereinigten Staaten.
9.2 Recensio übermittelt Kundendaten nicht in ein Land außerhalb des Europäischen Wirtschaftsraums und lässt eine solche Übermittlung nicht zu, es sei denn, die Übermittlung ist durch eine geeignete Garantie nach Kapitel V DSGVO abgedeckt: einen Angemessenheitsbeschluss der Europäischen Kommission (einschließlich, für zertifizierte US-Organisationen, des EU-US Data Privacy Framework), die von der Europäischen Kommission erlassenen Standardvertragsklauseln (Beschluss (EU) 2021/914) oder einen anderen gültigen Mechanismus. Die für jeden Unterauftragsverarbeiter zugrunde gelegte Garantie ist in der Liste der Unterauftragsverarbeiter angegeben.
10. Unterstützung des Kunden
10.1 Anträge betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt Recensio Sie nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung Ihrer Pflicht, Anträge betroffener Personen auf Wahrnehmung ihrer in Kapitel III DSGVO genannten Rechte zu beantworten. Erhält Recensio einen solchen Antrag in Bezug auf Kundendaten direkt von einer betroffenen Person, beantwortet Recensio ihn nicht in der Sache, sondern leitet ihn, sofern das betreffende Unternehmen identifiziert werden kann, unverzüglich an Sie weiter und verweist die betroffene Person an Sie. Im Dienst können Sie die Daten der von Ihnen verwalteten Unternehmen einsehen, bearbeiten und löschen; erfordert ein Antrag eine Maßnahme, die der Dienst nicht bietet, unterstützt Recensio Sie auf schriftliche Anfrage.
10.2 Sicherheit, Verletzungen, Folgenabschätzung und vorherige Konsultation. Unter Berücksichtigung der Art der Verarbeitung und der Recensio zur Verfügung stehenden Informationen unterstützt Recensio Sie bei der Einhaltung Ihrer Pflichten nach den Artikeln 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde), unter anderem durch die Bereitstellung der Informationen in Anhang II und in der Liste der Unterauftragsverarbeiter.
10.3 Recensio kann für eine Unterstützung, die über den Leistungsumfang des Dienstes hinausgeht, eine angemessene Vergütung verlangen, es sei denn, der Unterstützungsbedarf beruht auf einem Verstoß von Recensio gegen diesen Vertrag.
11. Verletzung des Schutzes personenbezogener Daten
11.1 Recensio meldet Ihnen eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich und in jedem Fall binnen 72 Stunden, nachdem Recensio von der Verletzung Kenntnis erlangt hat. Die Meldung wird an die E-Mail-Adresse Ihres Kontos gesendet.
11.2 Die Meldung beschreibt, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, nach Möglichkeit mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; die wahrscheinlichen Folgen; die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen; sowie eine Anlaufstelle. Soweit die Informationen zu diesem Zeitpunkt nicht vorliegen, stellt Recensio sie ohne unangemessene weitere Verzögerung schrittweise zur Verfügung.
11.3 Recensio arbeitet mit Ihnen zusammen und ergreift angemessene Maßnahmen, um Sie bei der Untersuchung, Abmilderung und Behebung der Verletzung zu unterstützen. Die Meldung einer Verletzung durch Recensio oder die Reaktion darauf stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar.
12. Löschung und Rückgabe von Kundendaten
12.1 Während der Nutzung des Dienstes. Sie können die Daten jedes von Ihnen verwalteten Unternehmens oder Ihr gesamtes Konto jederzeit im Dienst löschen. Wenn Sie ein Unternehmen löschen, widerruft Recensio bei Google die Google-Berechtigung für dieses Unternehmen und löscht dessen Bewertungen, abgeleitete Attribute, Antworten und gespeicherte Beispiele; wenn Sie Ihr Konto löschen, geschieht dasselbe für jedes Unternehmen des Kontos, zusammen mit Ihren Kontodaten, wie in unserer Datenschutzerklärung beschrieben.
12.2 Bei Beendigung des Dienstes. Bei Beendigung oder Ablauf Ihres Abonnements und in jedem Fall bei Löschung Ihres Kontos löscht Recensio sämtliche Kundendaten, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zu ihrer Speicherung besteht. Vor der Löschung können Sie eine Kopie der Kundendaten der von Ihnen verwalteten Unternehmen in einem gängigen, maschinenlesbaren Format anfordern; Recensio stellt sie innerhalb von 30 Tagen nach der Anforderung bereit.
12.3 Restkopien. Aus der Live-Datenbank gelöschte Kundendaten können in Backups fortbestehen, bis diese ablaufen. Backups sind verschlüsselt, werden in der EU gespeichert und höchstens 7 Tage aufbewahrt. Solche Kopien sind für keine andere Verarbeitung als die Wiederherstellung des Dienstes zugänglich und bleiben bis zu ihrem Ablauf durch die Maßnahmen in Anhang II geschützt.
13. Überprüfungen und Informationen
13.1 Recensio stellt Ihnen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 DSGVO und in diesem Vertrag niedergelegten Pflichten zur Verfügung. Recensio beantwortet angemessene schriftliche Auskunftsersuchen zur Verarbeitung von Kundendaten durch Recensio innerhalb von 30 Tagen und kann sie durch Bereitstellung dieses Vertrags, des Anhangs II, der Liste der Unterauftragsverarbeiter sowie verfügbarer Zertifizierungen oder Prüfberichte ihrer Unterauftragsverarbeiter erfüllen.
13.2 Reichen die nach Abschnitt 13.1 bereitgestellten Informationen bei vernünftiger Betrachtung nicht aus, damit Sie die Einhaltung überprüfen können, können Sie höchstens einmal innerhalb von 12 Monaten (oder häufiger, wenn eine Aufsichtsbehörde dies verlangt oder nach einer Verletzung des Schutzes personenbezogener Daten) selbst eine Überprüfung der Verarbeitung von Kundendaten durch Recensio durchführen oder einen zur Verschwiegenheit verpflichteten unabhängigen Prüfer damit beauftragen. Sie kündigen die Überprüfung mindestens 30 Tage im Voraus schriftlich an, stimmen Umfang, Zeitpunkt und Dauer vorab mit Recensio ab, führen die Überprüfung während der üblichen Geschäftszeiten so durch, dass der Betrieb von Recensio nicht unangemessen gestört wird, und tragen Ihre eigenen Kosten sowie die angemessenen Kosten von Recensio für die Überprüfung. Recensio wirkt an der Überprüfung mit. Die Prüfergebnisse sind vertraulich, es sei denn, ihre Offenlegung gegenüber einer Aufsichtsbehörde ist erforderlich.
14. Haftung
Die Haftung jeder Partei nach diesem Vertrag unterliegt den in den Bedingungen festgelegten Haftungsausschlüssen und -beschränkungen, soweit das Datenschutzrecht einen solchen Ausschluss oder eine solche Beschränkung zulässt. Die Rechte betroffener Personen nach Artikel 82 DSGVO bleiben von diesem Vertrag unberührt.
15. Laufzeit, Beendigung und Fortgeltung
Dieser Vertrag tritt in Kraft, wenn Sie die Bedingungen annehmen, und bleibt in Kraft, solange Recensio Kundendaten in Ihrem Auftrag verarbeitet. Die Abschnitte 5, 6, 12, 13 und 14 gelten nach der Beendigung fort, solange Recensio Kundendaten speichert.
16. Änderungen dieses Vertrags
Recensio kann diesen Vertrag aktualisieren, wenn eine Änderung des Datenschutzrechts, der Leitlinien einer Aufsichtsbehörde oder des Dienstes dies erfordert. Recensio ändert das Datum „Zuletzt aktualisiert“; schränkt die Änderung Ihre Rechte oder die Pflichten von Recensio wesentlich ein, kündigt Recensio sie Ihnen mindestens 30 Tage im Voraus an. Nutzen Sie den Dienst nach Ablauf der Ankündigungsfrist weiter, gilt dies als Annahme des aktualisierten Vertrags; nehmen Sie ihn nicht an, können Sie das betroffene Abonnement kündigen.
17. Anwendbares Recht und Gerichtsstand
Dieser Vertrag unterliegt irischem Recht. Für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag sind ausschließlich die Gerichte Irlands zuständig, unbeschadet der Rechte betroffener Personen und der Aufsichtsbehörden nach der DSGVO.
Anhang I — Einzelheiten der Verarbeitung
Gegenstand. Die Bereitstellung des Recensio-Dienstes: Abruf der Google-Bewertungen der Unternehmen, die der Kunde verbindet, deren Analyse, Entwurf von Antworten im Tonfall des Unternehmens und, je nach den Automatisierungseinstellungen des Kunden, Veröffentlichung freigegebener Antworten im Google-Unternehmensprofil im Namen des Kunden; sowie Benachrichtigung des Kunden über Antworten, die einer Freigabe bedürfen.
Dauer. Solange der Kunde den Dienst für das betreffende Unternehmen nutzt, und bis zur Löschung der Kundendaten gemäß Abschnitt 12.
Art der Verarbeitung. Erhebung (Abruf über die API des Google-Unternehmensprofils mit Autorisierung des Kunden), Speicherung, Analyse durch ein Modell der künstlichen Intelligenz, Texterzeugung, Übermittlung an den Kunden (Dashboard, Benachrichtigungen per WhatsApp und E-Mail), Veröffentlichung bei Google auf Weisung des Kunden sowie Löschung.
Zweck der Verarbeitung. Dem Kunden zu ermöglichen, die Bewertungen seines Unternehmens oder der von ihm verwalteten Unternehmen zu verwalten und zu beantworten. Kein anderer Zweck (Abschnitt 5).
Kategorien betroffener Personen.
- Personen, die eine Google-Bewertung über ein mit dem Dienst verbundenes Unternehmen verfasst haben („Rezensenten“).
- Mitarbeiter des Unternehmens des Kunden, soweit sie in einer Bewertung oder in den eigenen Anweisungen des Kunden erwähnt werden.
Kategorien personenbezogener Daten.
- Zu jeder Bewertung: die Kennung der Bewertung, der Anzeigename des Rezensenten, wie er bei Google erscheint, die Sternebewertung, der Bewertungstext sowie jede über den Dienst entworfene oder veröffentlichte Antwort.
- Aus jeder Bewertung abgeleitete Attribute zur Anpassung der Antwort: das Register bzw. der Ton der Bewertung; ob ein Wettbewerber oder ein Mitarbeiter erwähnt wird; sowie Verhaltensindikatoren wie der mutmaßliche Kundentyp, die Besuchshäufigkeit, die Rückkehrwahrscheinlichkeit und die Gruppenart. Diese Attribute dienen allein der Anpassung der Antwort und haben keine rechtliche oder ähnlich erhebliche Wirkung auf den Rezensenten.
- Aus den freigegebenen Antworten und Korrekturen des Kunden abgeleitete Beispiele, die ausschließlich für das Unternehmen verwendet werden, zu dem sie gehören.
- Die URL des Profilfotos des Rezensenten, der Erstellungs- und Aktualisierungszeitpunkt der Bewertung und eine etwaige bereits vorhandene Antwort werden für den Betrieb des Dienstes gelesen, aber nicht gespeichert.
Besondere Kategorien von Daten. Der Dienst leitet keine besonderen Kategorien von Daten ab. Der vom Rezensenten verfasste Freitext einer Bewertung kann solche Daten beiläufig enthalten, wenn der Rezensent sie preisgibt (zum Beispiel in Bewertungen von Unternehmen im Gesundheitsbereich). In diesem Fall werden sie ausschließlich zum Entwurf der Antwort verarbeitet, in kein strukturiertes Feld übernommen und unterliegen den Maßnahmen in Anhang II. Der Kunde ist dafür verantwortlich, zu beurteilen, ob seine Nutzung des Dienstes für ein solches Unternehmen rechtmäßig ist.
Information der betroffenen Personen. Rezensenten sind keine Kunden von Recensio und können in der Regel nicht direkt kontaktiert werden. Die nach Artikel 14 DSGVO erforderlichen Informationen werden über die öffentlich zugängliche Datenschutzerklärung von Recensio bereitgestellt, gestützt auf Artikel 14 Absatz 5 Buchstabe b DSGVO. Der Kunde bleibt für seine eigenen Transparenzpflichten verantwortlich.
Speicherdauer. Kundendaten werden für die Dauer der Nutzung des Dienstes für das betreffende Unternehmen gespeichert und gemäß Abschnitt 12 gelöscht.
Anhang II — Technische und organisatorische Maßnahmen
Die nachstehenden Maßnahmen sind die zum Datum dieses Vertrags getroffenen. Sie werden im Laufe der Zeit überprüft und können gemäß Abschnitt 7.2 aktualisiert werden.
Hosting und Speicherort der Daten. Anwendungshosting und Rechenleistung, die Datenbank, die Rate-Limiting-Schicht und die Aufnahme der Fehlerüberwachung befinden sich in der Europäischen Union (Frankfurt und Deutschland). Kundendaten im Ruhezustand werden ausschließlich in der Datenbank in der EU gespeichert.
Verschlüsselung. Alle Daten werden bei der Übertragung mittels TLS verschlüsselt. Das Google-Berechtigungsmerkmal (Refresh-Token) wird vor der Speicherung mit AES-256-GCM im Ruhezustand verschlüsselt; der Schlüssel wird in einer eigenen Umgebungsvariablen getrennt von der Datenbank aufbewahrt, und die Verschlüsselung ist versioniert, sodass Schlüssel gewechselt werden können, ohne die Daten erneut offenzulegen. Der Datenbankspeicher wird vom Hosting-Anbieter im Ruhezustand verschlüsselt.
Zugriffskontrolle. Der Zugriff auf Kundendaten in der Datenbank wird durch Sicherheit auf Zeilenebene (Row-Level Security) gesteuert: Jeder Nutzer kann nur auf die Daten der Unternehmen zugreifen, deren Inhaber oder autorisiertes Mitglied er ist. Das gespeicherte Google-Berechtigungsmerkmal ist nur für die Service-Rolle der Anwendung lesbar, niemals für Nutzersitzungen. Der administrative Zugriff auf Produktivsysteme ist auf Mitarbeiter von Recensio beschränkt, durch starke Authentifizierung geschützt und wird ausschließlich für Betrieb und Unterstützung des Dienstes genutzt.
Verwaltung von Zugangsdaten und Geheimnissen. Geheimnisse werden in Umgebungsvariablen der Hosting-Plattform aufbewahrt, niemals im Quellcode. Webhooks von Drittanbietern werden per Signatur geprüft. Geplante Aufgaben werden mit einem eigenen Geheimnis authentifiziert, das in konstanter Zeit verglichen wird.
Datenminimierung bei der Weitergabe an Dritte. Jeder Unterauftragsverarbeiter erhält nur die für seine Funktion erforderlichen Daten, wie in der Liste der Unterauftragsverarbeiter im Einzelnen angegeben. Insbesondere: Der Anbieter künstlicher Intelligenz erhält den Namen des Rezensenten, den Bewertungstext, den Unternehmenskontext und die freigegebenen Beispiele, und der Prompt wird von Recensio weder protokolliert noch gespeichert; der E-Mail-Anbieter erhält niemals Bewertungstexte; der Anbieter der Fehlerüberwachung erhält niemals Bewertungstexte oder Namen von Rezensenten, und Fehlerberichte werden ausschließlich über einen Wrapper gesendet, der steuert, was sie enthalten.
Zweck- und Mandantentrennung. Kundendaten sind logisch nach Unternehmen getrennt. Lernbeispiele sind an das einzelne Unternehmen gebunden, aus dem sie stammen. Es finden keine kundenübergreifenden Analysen, keine Zusammenführung von Daten und kein Modelltraining statt (Abschnitt 5).
Schutzmechanismen der Automatisierung. Die automatische Freigabe von Antworten ist standardmäßig deaktiviert und kann nur durch eine ausdrückliche, protokollierte Bestätigung des Kunden aktiviert werden, die jederzeit mit sofortiger Wirkung widerrufen werden kann. Eine Qualitätsprüfung bewertet jede Antwort vor der automatischen Veröffentlichung; ein Sicherheitsmechanismus erkennt sensible oder kritische Inhalte und hält die betroffene Antwort in jedem Modus zur manuellen Prüfung zurück; eine Antwort wird niemals automatisch veröffentlicht, ohne dass ein gültiges Ergebnis der Qualitätsprüfung für genau den zu veröffentlichenden Text vorliegt.
Missbrauchsschutz und Verfügbarkeit. Registrierung und Anmeldung sind gegen automatisierten Missbrauch geschützt. Anfragen unterliegen Ratenbegrenzungen. Der Dienst wird auf einer Plattform mit redundanter Infrastruktur betrieben. Anwendungsfehler werden zentral überwacht.
Löschung und Trennung. Das Trennen eines Unternehmens oder das Löschen eines Kontos widerruft bei Google die Google-Berechtigung und löscht das gespeicherte Berechtigungsmerkmal; die Löschung eines Unternehmens wird nicht durchgeführt, wenn der Widerruf fehlschlägt, damit kein verwaistes Berechtigungsmerkmal zurückbleibt. Die Löschung eines Kontos entfernt zugehörige Datensätze durch kaskadierende Löschung.
Backups. Backups sind verschlüsselt, werden in der EU gespeichert und höchstens 7 Tage aufbewahrt.
Organisatorische Maßnahmen. Recensio ist eine kleine Organisation; jede Person mit Zugriff auf Kundendaten ist zur Verschwiegenheit verpflichtet und handelt auf Weisung von Recensio. Unterauftragsverarbeiter werden auf Grundlage schriftlicher Auftragsverarbeitungsverträge beauftragt. Die Rechtstexte werden mit dem tatsächlichen Verhalten des Dienstes in Einklang gehalten, und Änderungen an Datenflüssen werden vor ihrer Freigabe auf ihre Auswirkungen auf den Datenschutz geprüft.
Anhang III — Unterauftragsverarbeiter
Die zum Datum dieses Vertrags genehmigten Unterauftragsverarbeiter sind mit dem Zweck jeder Beauftragung, den personenbezogenen Daten, die jeder erhält, seinem Verarbeitungsort und der zugrunde gelegten Übermittlungsgarantie unter https://recensio.ai/sub-processors aufgeführt. Diese Liste ist Bestandteil dieses Vertrags und wird gemäß Abschnitt 8 aktualisiert.
Kontakt
RECENSIO LIMITED Unit 2, 2 Bridge Street, Athlone, Co. Westmeath, N37 F1W4, Irland Handelsregisternummer (CRO): 820098 E-Mail: support@recensio.ai