Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag ("AVV") wird zwischen Ihnen als Verantwortlichem ("Auftraggeber") und der Kukuda Labs GmbH ("Kukuda", "Auftragnehmer") geschlossen und ist integraler Bestandteil der AGB. Dieser AVV regelt die Verarbeitung personenbezogener Daten durch Kukuda im Auftrag des Auftraggebers im Zusammenhang mit den KI-Sichtbarkeitsdienstleistungen von Kukuda.

1. Gegenstand und Laufzeit

Kukuda verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die in den AGB beschriebenen Leistungen zu erbringen, einschließlich KI-Sichtbarkeits- Tracking, Schema-Generierung und Analysen. Dieser AVV gilt für die Dauer des Dienstabonnements und endet automatisch mit Ablauf oder Kündigung des zugrundeliegenden Vertrages.

2. Art und Zweck der Verarbeitung

Verarbeitungsaktivitäten umfassen: Speicherung und Abruf von Unternehmensprofiledata, Durchführung geplanter KI-Engine-Sweeps, Generierung strukturierter Daten (JSON-LD, llms.txt), Synchronisierung mit der Google-Business-Profile-API und Erstellung von Analyseberichten. Die Verarbeitung erfolgt ausschließlich innerhalb der EU/des EWR.

3. Kategorien von Daten und betroffenen Personen

Der Auftraggeber kann personenbezogene Daten folgender Kategorien in die Kukuda-Plattform einbringen:

• Geschäftliche Kontaktdaten (Namen, E-Mail-Adressen von Mitarbeitern oder Endkunden)
• Unternehmens- und Standortdaten
• Website-Inhalte und strukturierte Daten
• Google-Business-Profile-Daten (sofern der Auftraggeber den Zugriff autorisiert hat)

Betroffene Personen können Mitarbeiter, Kunden und Website-Besucher des Auftraggebers sein.

4. Pflichten des Auftragsverarbeiters

Kukuda verpflichtet sich:

• Personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten, sofern keine Verpflichtung nach EU- oder Mitgliedstaatenrecht besteht.
• Sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Schweigepflicht unterliegen.
• Geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO umzusetzen.
• Den Auftraggeber bei der Erfüllung von Betroffenenrechtsanfragen (Art. 15–22 DSGVO) innerhalb der gesetzlich vorgeschriebenen Fristen zu unterstützen.
• Den Auftraggeber bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen) zu unterstützen.
• Nach Vertragsende nach Wahl des Auftraggebers alle personenbezogenen Daten zu löschen oder zurückzugeben und vorhandene Kopien zu löschen, sofern keine EU- oder Mitgliedstaatenrechtspflicht zur Speicherung besteht.
• Alle Informationen bereitzustellen, die zur Nachweise der Einhaltung der Pflichten gemäß Art. 28 DSGVO erforderlich sind.

5. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung zur Beauftragung der folgenden Unterauftragsverarbeiter. Kukuda informiert den Auftraggeber über beabsichtigte Änderungen (Hinzufügung oder Austausch von Unterauftragsverarbeitern) und gibt ihm die Möglichkeit, innerhalb von 14 Tagen Widerspruch einzulegen.

6. Technische und Organisatorische Maßnahmen (Art. 32 DSGVO)

Kukuda implementiert folgende Sicherheitsmaßnahmen:

• Verschlüsselung bei der Übertragung: TLS 1.3 für alle Datenübertragungen.
• Verschlüsselung im Ruhezustand: AES-256 für alle gespeicherten Daten.
• Zugriffskontrollen: rollenbasierter Zugriff nach dem Prinzip der geringsten Privilegien; MFA für administrativen Zugriff erforderlich.
• Audit-Logging: alle administrativen Aktionen werden mit Zeitstempel protokolliert.
• Schwachstellenmanagement: regelmäßige Sicherheitsbewertungen und Dependency-Updates.
• Physische Sicherheit: Verarbeitung ausschließlich in EU-Rechenzentren mit zertifizierten physischen Zugangskontrollen (Supabase Frankfurt).

7. Kontrollrechte

Der Auftraggeber kann die Einhaltung dieses AVV durch Kukuda bis zu einmal pro Kalenderjahr, mit mindestens 30 Tagen schriftlicher Vorankündigung, während normaler Geschäftszeiten und auf Kosten des Auftraggebers prüfen. Kukuda kann Prüfungsanfragen durch Vorlage relevanter Drittanbieter-Zertifizierungen, SOC-2- Berichte oder gleichwertiger Nachweise anstelle einer Vor-Ort-Prüfung erfüllen.

8. Meldung von Datenschutzverletzungen

Kukuda informiert den Auftraggeber unverzüglich — und in jedem Fall innerhalb von 72 Stunden nach Bekanntwerden — über eine Verletzung des Schutzes personenbezogener Daten, die die Daten des Auftraggebers betrifft. Die Meldung enthält, soweit verfügbar: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen zur Behebung.

9. Internationale Übermittlungen

Alle Verarbeitungen erfolgen innerhalb der EU/des EWR. Sollte ein Unterauftragsverarbeiter eine Übermittlung personenbezogener Daten außerhalb der EU/des EWR erfordern, stellt Kukuda sicher, dass geeignete Garantien gemäß Kapitel V DSGVO vorhanden sind (z. B. EU-Standardvertragsklauseln).

10. Anwendbares Recht

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Die Gerichte in Berlin sind für alle Streitigkeiten aus diesem AVV ausschließlich zuständig.

Kontakt

Fragen zu diesem AVV: privacy@kukuda.ai