Vertrag zur Auftragsverarbeitung

Nach Artikel 28 DSGVO, für die Nutzung von Siro Pilot. Stand: 20. September 2026

Auftraggeber („Verantwortlicher“) ist der Kunde, der Siro Pilot nutzt.
Auftragnehmer ist Holger Möller, Zollhaus-Marketing, Hannoversche Straße 151, 34266 Niestetal.

Dieser Vertrag wird Bestandteil des Abos, sobald der Kunde ihn in Textform anfordert und beide Seiten ihn angenommen haben. Er ergänzt die Allgemeinen Geschäftsbedingungen.

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich, um die in den AGB beschriebene Software bereitzustellen: das Speichern und Auswerten der vom Kunden hinterlegten Wissensquellen, das Erzeugen von Texten und Bildern, das Veröffentlichen in den vom Kunden angebundenen Zielsystemen und den Betrieb der Benutzerkonten.

Die Verarbeitung dauert so lange wie das Abo. Sie endet mit dessen Beendigung, gefolgt von der in Ziffer 9 geregelten Löschung.

2. Art der Daten und betroffene Personen

Verarbeitet werden insbesondere:

Zugangs- und Kontodaten der Nutzer des Kunden: Name, E-Mail-Adresse, verschlüsseltes Passwort, Zeitpunkte der Nutzung.
Inhalte, die der Kunde einbringt: Dokumente, Webseiten und Texte als Wissensquellen, Bilder und Videos. Ob sie personenbezogene Daten enthalten, bestimmt allein der Kunde durch seine Auswahl.
Zugangsdaten zu Zielsystemen: Anwendungspasswort der WordPress-Installation, Zugangstoken und Personenkennung des LinkedIn-Kontos.
Nutzungszahlen aus Google Analytics, sofern der Kunde diese Anbindung selbst einrichtet; diese werden nur in zusammengefasster Form abgerufen.

Betroffene Personen sind die Mitarbeiter und Ansprechpartner des Kunden sowie Personen, die in den vom Kunden eingebrachten Inhalten vorkommen.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten dieser Vertrag, die AGB und die Einstellungen, die der Kunde in der Anwendung selbst vornimmt.

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung aussetzen.

4. Vertraulichkeit

Zugriff auf die Daten hat allein der Auftragnehmer persönlich. Werden künftig weitere Personen eingesetzt, verpflichtet er sie zuvor schriftlich auf die Vertraulichkeit und unterweist sie im Datenschutz.

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die folgenden Maßnahmen nach Artikel 32 DSGVO:

Standort: Anwendung, Datenbank und die vom Auftragnehmer bereitgestellten Blogs laufen auf einem Webspace der IONOS SE in Deutschland.
Übertragung: Alle Zugriffe laufen ausschließlich über HTTPS.
Zugangskontrolle: Die Anwendung ist nur nach Anmeldung nutzbar. Passwörter werden als Hash gespeichert, nie im Klartext.
Verschlüsselte Ablage: Fremde Zugangsdaten, insbesondere das WordPress-Anwendungspasswort und die LinkedIn-Token, liegen verschlüsselt in der Datenbank.
Trennung der Mandanten: Jeder Zugriff auf Daten einer Website läuft über eine zentrale Rechteprüfung, die die Zugehörigkeit des Kontos prüft. Eine eigene Prüfreihe stellt sicher, dass keine Programmstelle daran vorbeikommt.
Protokollierung: Vorgänge wie Erzeugung und Veröffentlichung werden mit Zeitpunkt und Ergebnis protokolliert.
Sicherung: Die Sicherung des Webspace erfolgt durch den Hoster IONOS im Rahmen seines Leistungsumfangs. Eine darüber hinausgehende eigene Sicherung mit zugesagtem Rhythmus besteht nicht.
Datenminimierung: Die Anwendung erhebt keine Daten der Websitebesucher des Kunden. Die vom Auftragnehmer bereitgestellten Blogs binden keine fremden Dienste ein und setzen keine Cookies.

Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

6. Unterauftragnehmer

Der Kunde stimmt dem Einsatz der folgenden Unterauftragnehmer zu:

IONOS SE, Montabaur: Betrieb von Server, Datenbank und Blogs sowie Versand der Systemnachrichten. Verarbeitung in Deutschland.
Google (Gemini-Schnittstelle): Erzeugung von Texten und Bildern. Dabei werden die Inhalte übermittelt, aus denen der Artikel entsteht. Eine Verarbeitung außerhalb der Europäischen Union ist möglich; sie stützt sich auf die Standardvertragsklauseln der Europäischen Kommission.
Hetzner Online GmbH, Gunzenhausen: Betrieb des Automatisierungsdienstes, der Beiträge an LinkedIn übergibt. Verarbeitung in Deutschland. Betroffen sind nur Kunden, die LinkedIn nutzen.

Der Auftragnehmer informiert den Kunden mindestens vier Wochen vorher in Textform über den Wechsel oder die Aufnahme eines Unterauftragnehmers. Der Kunde kann widersprechen; in diesem Fall darf er das Abo zum geplanten Zeitpunkt der Änderung kündigen.

Nicht Unterauftragnehmer in diesem Sinne sind die Systeme, in die der Kunde selbst veröffentlicht, also seine WordPress-Installation und sein LinkedIn-Konto. Für sie ist der Kunde verantwortlich. Ebenfalls nicht erfasst ist die Zahlungsabwicklung über Stripe: Dort ist der Auftragnehmer eigener Verantwortlicher gegenüber dem Kunden. Bildsuchen bei Pixabay und Pexels übertragen nur den Suchbegriff und keine personenbezogenen Daten des Kunden.

7. Unterstützung des Kunden

Der Auftragnehmer unterstützt den Kunden im Rahmen des Zumutbaren bei Anfragen betroffener Personen, bei der Meldung von Datenschutzverletzungen und bei einer Datenschutz-Folgenabschätzung. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Kunden weiter.

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Kunden unverzüglich, sobald sie ihm bekannt werden, mit allen ihm vorliegenden Angaben.

8. Nachweise und Kontrolle

Der Auftragnehmer weist die Einhaltung dieser Pflichten auf Anfrage in Textform nach. Der Kunde kann sich nach Ankündigung mit angemessener Frist und zu den üblichen Geschäftszeiten von der Einhaltung überzeugen; dabei ist auf Betriebsabläufe und die Geheimhaltung gegenüber anderen Kunden Rücksicht zu nehmen.

9. Löschung nach Vertragsende

Nach dem Ende des Abos bleiben die Daten 30 Tage erhalten, damit der Kunde sie sichern oder das Abo fortsetzen kann. Danach löscht der Auftragnehmer die Daten einschließlich der vom Auftragnehmer bereitgestellten Blogs. Gesetzliche Aufbewahrungspflichten, insbesondere für Rechnungen, bleiben unberührt; die davon erfassten Daten werden bis zum Ablauf der Frist gesperrt und nicht weiter verarbeitet.

10. Haftung und Schlussbestimmungen

Für die Haftung gelten Artikel 82 DSGVO und die Regelungen der AGB. Es gilt deutsches Recht. Änderungen bedürfen der Textform. Widersprechen sich AGB und dieser Vertrag, geht dieser Vertrag in Fragen der Auftragsverarbeitung vor.

Diesen Vertrag stellt der Auftragnehmer auf Anfrage unterschriftsfertig bereit: info@zollhaus-marketing.de