Vertrag zur Auftragsverarbeitung (AVV)

Fassung 2026-11, gültig ab 10. November 2026. Anlage 1 zu den Allgemeinen Geschäftsbedingungen.

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die Pirates World GmbH, Kapellenweg 6, 81371 München („Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher") bei der Nutzung von Kraaw nach Art. 28 DSGVO. Er wird mit der Zustimmung zu den AGB geschlossen. Auf Wunsch zeichnen wir ihn zusätzlich gegen; schreib dazu an info@kraaw.com.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der Software Kraaw zur Messung der Sichtbarkeit von Marken in Antworten von KI-Diensten. Der Vertrag gilt für die Laufzeit des Kundenvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Kunden verarbeitet.

2. Art und Zweck der Verarbeitung

Speichern und Auswerten der Inhalte, die der Kunde in Kraaw anlegt, Abruf von Antworten bei KI-Diensten, Erstellen von Auswertungen, Berichten und Benachrichtigungen, Anbindung von Analyse-Konten des Kunden.

3. Art der Daten und betroffene Personen

• Namen und E-Mail-Adressen der Nutzer, die der Kunde einlädt, ihre Rollen und Anmeldezeitpunkte
• Inhalte, die der Kunde eingibt: Marken, Website-Adressen, Suchfragen, Wettbewerber, Fakten, Notizen, Entwürfe
• Zusammengefasste Kennzahlen aus angebundenen Analyse-Konten (Google Search Console, Google Analytics 4, Matomo)
• Protokoll sicherheitsrelevanter Änderungen im Konto

Betroffen sind Beschäftigte des Kunden und seiner Dienstleister sowie Personen, die der Kunde in seinen Inhalten nennt. Nach den AGB (§ 11 Abs. 3) gibt der Kunde in Suchfragen keine personenbezogenen Daten Dritter ein, soweit dafür keine Rechtsgrundlage besteht.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Nutzung der Funktionen von Kraaw durch den Kunden gilt als Weisung. Weitere Weisungen erteilt der Kunde in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Kunden unverzüglich mit.

5. Vertraulichkeit

Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

6. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage A beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der Unterauftragsverarbeiter zu, die in der Liste der Unterauftragsverarbeiter stehen. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an die Administratoren an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, darf der Kunde den Vertrag zum Wirksamwerden der Änderung kündigen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.

8. Übermittlung in Drittländer

Einige Unterauftragsverarbeiter sitzen in den USA oder verarbeiten dort. Die Übermittlung erfolgt auf Grundlage eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework), wo der Anbieter zertifiziert ist, sonst auf Grundlage der Standardvertragsklauseln der EU-Kommission. Die Grundlage je Anbieter steht in der Liste der Unterauftragsverarbeiter.

9. Unterstützung des Kunden

• Rechte betroffener Personen: Administratoren können Daten in der Anwendung jederzeit exportieren und löschen. Darüber hinaus hilft der Auftragsverarbeiter auf Anfrage.
• Datenpannen: Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nachdem er davon erfahren hat, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
• Datenschutz-Folgenabschätzung und Konsultation: Der Auftragsverarbeiter stellt die Informationen bereit, die der Kunde dafür braucht.

10. Löschung und Rückgabe

Nach Vertragsende kann der Kunde seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter die Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Kopien in Sicherungen werden mit deren regulärem Ablauf überschrieben, spätestens nach 30 Tagen. Administratoren können die Organisation auch vorher selbst löschen.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Kontrollen vor Ort sind nach Absprache mit angemessener Vorankündigung während der Geschäftszeiten möglich. Die Kosten trägt jede Seite selbst.

12. Eigene Zwecke des Auftragsverarbeiters

Der Auftragsverarbeiter nutzt Daten des Kunden nicht für eigene Zwecke. Ausgenommen sind anonymisierte, zusammengefasste technische Nutzungsdaten, soweit sie für Betrieb und Verbesserung von Kraaw erforderlich sind und keinen Rückschluss auf den Kunden, seine Marken oder Personen zulassen (AGB § 13 Abs. 5). Inhalte des Kunden werden nicht zum Training eigener KI-Modelle verwendet.

13. Haftung und Schlussbestimmungen

Für die Haftung gelten § 18 der AGB und Art. 82 DSGVO. Im Übrigen gelten die Schlussbestimmungen der AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.

Anlage A: Technische und organisatorische Maßnahmen