Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der SEOTHON GbR (Philipp Friebel & Maximilian Golda), Baumeister-Uhlig-Straße 17, 09128 Chemnitz (nachfolgend „Auftragsverarbeiter“). Stand: 20. September 2026. Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über die SEOTHON-Content-SEO-Automatisierung gemäß §14 der AGB Vertragsbestandteil.

1. Gegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Verantwortlichen die in den AGB beschriebenen Leistungen (Themenplanung, KI-gestützte Beitragserstellung, Qualitätsprüfung, Übergabe an das CMS des Verantwortlichen, Dashboard mit Auswertungen). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung, Datenarten, Betroffene

Zweck: Erstellung, Prüfung und Bereitstellung von Beiträgen für die Website des Verantwortlichen, Auswertung von Suchdaten der Website, Betrieb des Kundenkontos sowie, soweit die Option „Leserkommentare“ aktiv ist, Abruf und Auswertung der Kommentare unter den Beiträgen.

Art der Verarbeitung: Erhebung durch Zugriff auf das CMS und optional auf die Google Search Console des Verantwortlichen, Speicherung, Analyse, Übermittlung von Website-Inhalten an ein KI-Sprachmodell zur Texterstellung, Übermittlung von Kommentartexten an ein KI-Sprachmodell zur Einordnung und für Antwortvorschläge, Veröffentlichung vom Verantwortlichen freigegebener Antworten im CMS, Löschung.

Datenarten: Inhalte der Website des Verantwortlichen (Texte, Beiträge, Produktbeschreibungen), soweit darin personenbezogene Daten enthalten sind (etwa Namen von Ansprechpartnern, Autorennamen, Kundenstimmen); Zugangsdaten zu CMS und Google-Konten des Verantwortlichen; Suchdaten aus der Google Search Console (Suchanfragen, Klicks, Impressionen, ohne Nutzeridentifikation); Kontaktdaten der Nutzer des Kundenkontos (Name, E-Mail-Adresse) und von Teamzugängen; bei aktiver Option „Leserkommentare“ Texte von Leserkommentaren samt Datum und zugehörigem Beitrag – ohne Name, E-Mail-Adresse und IP-Adresse der Kommentierenden.

Betroffene: Mitarbeiter und Ansprechpartner des Verantwortlichen, Autoren und in Website-Inhalten genannte Personen, Nutzer des Kundenkontos, Personen, die Beiträge auf der Website des Verantwortlichen kommentieren.

3. Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur im Rahmen der Leistungsbeschreibung und auf dokumentierte Weisung des Verantwortlichen. Weisungen erteilt der Verantwortliche über die Einstellungen im Dashboard (insbesondere Projektangaben, Themen, Freigabe von Beiträgen, Anbindungen) oder in Textform an [email protected]. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragsverarbeiters

• Er setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.
• Er trifft die technischen und organisatorischen Maßnahmen nach Abschnitt 7 und überprüft sie regelmäßig.
• Er unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 22 DSGVO), soweit die Daten beim Auftragsverarbeiter liegen, und leitet an ihn gerichtete Anfragen Betroffener unverzüglich an den Verantwortlichen weiter.
• Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
• Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den ihm verfügbaren Informationen.
• Er benennt auf Anfrage die für den Datenschutz verantwortliche Person und stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung.
• Er verarbeitet die Daten nur in Mitgliedstaaten der EU oder des EWR; Ausnahmen ergeben sich aus Abschnitt 8.

5. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich. Er stellt sicher, dass er die Zugänge zu CMS und Google Search Console rechtmäßig erteilen darf, und stellt dem Auftragsverarbeiter keine personenbezogenen Daten bereit, die für die Leistung nicht erforderlich sind (insbesondere keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO).

6. Kontrollrechte

Der Verantwortliche kann sich vor Beginn und während der Verarbeitung von der Einhaltung der technischen und organisatorischen Maßnahmen überzeugen. Dazu stellt der Auftragsverarbeiter auf Anfrage eine Selbstauskunft, die Beschreibung der Maßnahmen und vorhandene Nachweise seiner Unterauftragsverarbeiter bereit. Prüfungen vor Ort erfolgen nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten und ohne Störung des Betriebs; der Aufwand wird angemessen vergütet, soweit die Prüfung nicht durch einen konkreten Anlass veranlasst ist.

7. Technische und organisatorische Maßnahmen

• Zugangskontrolle: Zugriff auf das Dashboard nur mit persönlichem Konto und Passwort (gehasht gespeichert), Sitzungen mit begrenzter Laufzeit, Begrenzung fehlgeschlagener Anmeldeversuche, Sicherheits-E-Mail bei Passwortänderung.
• Zugriffskontrolle: Mandantentrennung im Dashboard (jeder Kunde sieht nur seine Projekte), Rollen- und Rechtekonzept für Teamzugänge, Administratorzugriff nur für die Gesellschafter.
• Verschlüsselung: Übertragung ausschließlich über TLS; Zugangsdaten zu Drittsystemen werden verschlüsselt bzw. mit eingeschränkten Dateirechten außerhalb des Webverzeichnisses gespeichert.
• Trennungskontrolle: getrennte Datenhaltung je Projekt, Test- und Demokonten getrennt von Kundendaten.
• Verfügbarkeit: tägliche Sicherungen der Datenbanken, Überwachung der Dienste, Wiederanlauf nach Störungen.
• Datenminimierung: Übermittlung an das KI-Sprachmodell nur mit den für die Beitragserstellung notwendigen Inhalten; keine Weitergabe von Zugangsdaten an Dritte.
• Protokollierung: Nachvollziehbarkeit administrativer Änderungen und der Beitragsläufe im Dashboard.
• Löschung: Löschung von Konto- und Projektdaten auf Antrag nach Vertragsende; sichere Löschung von Zugangsdaten bei Beendigung einer Anbindung.

8. Unterauftragsverarbeiter

Website, Dashboard und Mailserver betreibt der Auftragsverarbeiter auf eigenen Servern in Deutschland. Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• Cloudflare, Inc. (USA, EU-Standardvertragsklauseln und EU-US Data Privacy Framework): vorgelagerter Schutz und Verschlüsselung der Verbindung.
• Stripe Payments Europe Ltd. (Irland): Zahlungsabwicklung (nur Kontodaten des Verantwortlichen, keine Projektdaten).
• Mailtrap (Railsware Products Studio LLC, USA, EU-Standardvertragsklauseln): Zustellung ausgehender System- und Benachrichtigungs-E-Mails; übermittelt werden Empfängeradresse und Mailinhalt.
• Anthropic, PBC (USA): KI-Sprachmodell zur Erstellung und Prüfung der Beiträge sowie für Betrieb und Wartung des Dienstes; übermittelt werden Website-Inhalte und Projektangaben, soweit für den jeweiligen Beitrag oder Wartungsvorgang erforderlich. Der Auftragsverarbeiter nutzt Anthropic über Nutzungskonten zu Anthropics allgemeinen Nutzungsbedingungen und Datenschutzhinweisen; ein gesonderter Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht mit Anthropic nicht. Der Auftragsverarbeiter hat in allen genutzten Konten die Verwendung übermittelter Inhalte zum Training der Modelle abgewählt und übermittelt nur die für den jeweiligen Vorgang erforderlichen Inhalte, keine Zugangsdaten und keine Kontodaten der Nutzer des Kundenkontos. Die Übermittlung in die USA stützt sich auf die von Anthropic angebotenen Garantien nach Art. 44 ff. DSGVO. Der Verantwortliche stellt keine personenbezogenen Daten bereit, deren Verarbeitung durch ein KI-Sprachmodell er nicht wünscht (siehe Abschnitt 5).
• Google Ireland Ltd.: Abruf der Suchdaten über die Search-Console-Schnittstelle, sofern der Verantwortliche die Anbindung einrichtet.
• DataForSEO, Apify: Keyword- und Recherchedaten; hierbei werden keine personenbezogenen Daten des Verantwortlichen übermittelt, mit Ausnahme der öffentlichen Website-Adresse.

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) mindestens vier Wochen im Voraus per E-Mail. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; kommt keine Einigung zustande, kann jede Seite den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen. Mit den Unterauftragsverarbeitern bestehen Vereinbarungen, die den Anforderungen des Art. 28 DSGVO entsprechen, mit Ausnahme von Anthropic (siehe dort).

9. Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags kann der Verantwortliche seine Kontodaten im Kundenkonto exportieren. Auf Antrag des Verantwortlichen löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen und bestätigt die Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zugänge zu CMS und Google-Konten des Verantwortlichen werden mit Beendigung der jeweiligen Anbindung gelöscht. Leserkommentare werden höchstens zwölf Monate ab ihrer Veröffentlichung gespeichert; beim Entfernen der Option werden sie aus dem Projekt entfernt und nach 30 Tagen endgültig gelöscht.

10. Haftung, Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in datenschutzrechtlichen Fragen vor. Es gilt deutsches Recht. Änderungen dieses Vertrags bedürfen der Textform.