Auftragsverarbeitungsvertrag

Dieser Vertrag über die Auftragsverarbeitung (AVV) nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) wird geschlossen zwischen dem Kunden als Verantwortlichem (im Folgenden „Kunde“) und Melo Designer GmbH, Zum Wallgraben 50b, 49696 Molbergen, Deutschland, als Auftragsverarbeiter (im Folgenden „Looky“ oder „wir“). Er ergänzt den Vertrag über die Nutzung von Looky nach unseren Allgemeinen Geschäftsbedingungen (Hauptvertrag) und ist dessen Bestandteil. Der Kunde akzeptiert ihn zusammen mit den AGB im Bestellschritt der Looky-App oder, bei einem Vertragsschluss durch ein gesondertes Angebot (§ 2 Abs. 6 der AGB), mit der Annahme dieses Angebots. Bestellt der Kunde im Bestellschritt, speichern wir die akzeptierte Fassung mit der Bestellung. Dieser AVV hat die Fassung 2026-11-06.

§ 1 Gegenstand und Dauer

1. Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch Looky im Auftrag des Kunden bei der Bereitstellung von Looky nach dem Hauptvertrag: Speichern und Auswerten des Markenwissens des Kunden, Erstellen von Entwürfen mit KI-Modellen, Freigeben, Planen und Veröffentlichen von Inhalten auf verbundenen Kanälen, Lesen und Beantworten von Bewertungen und Kommentaren, Pflege von Verzeichniseinträgen und Analyse der Sichtbarkeit von Website und Marke des Kunden.
2. Dieser AVV gilt, solange Looky personenbezogene Daten im Auftrag des Kunden verarbeitet. Er endet mit dem Hauptvertrag; § 10 gilt fort, bis die Daten gelöscht oder zurückgegeben sind.
3. Soweit Looky personenbezogene Daten für eigene Zwecke verarbeitet (zum Beispiel Konto-, Abrechnungs- und Zahlungsdaten des Kunden, Missbrauchsschutz und Sicherheit des Dienstes), ist Looky selbst Verantwortlicher. Diese Verarbeitung beschreibt die Datenschutzerklärung; dieser AVV gilt dafür nicht.

§ 2 Art und Zweck der Verarbeitung, Daten und betroffene Personen

1. Art der Verarbeitung: Erheben, Speichern, Ordnen, Auswerten, Übermitteln an KI-Anbieter und an vom Kunden verbundene Kanäle, Veröffentlichen auf Weisung des Kunden und Löschen.
2. Zweck: Bereitstellung der Funktionen von Looky, die der Kunde nach dem Hauptvertrag nutzt.
3. Arten personenbezogener Daten, je nachdem, was der Kunde und seine Nutzer eingeben, hochladen oder verbinden:
   • Namen, E-Mail-Adressen, Rollen und Aktivitäten der Nutzer und Teammitglieder des Kunden sowie der vom Kunden eingeladenen externen Freigebenden
   • Inhalte der Wissensbasis, Dokumente, Website-Seiten, Sprachaufnahmen und deren Transkripte, Notizen und Kommentare, soweit sie personenbezogene Daten enthalten
   • Entwürfe und veröffentlichte Beiträge, Artikel und Skripte, einschließlich Namen und Aussagen darin genannter Personen
   • Bewertungen, Kommentare und Nachrichten auf verbundenen Kanälen mit Namen, Profilangaben und Inhalten der Verfasser sowie die Antworten
   • Kontaktdaten in Verzeichniseinträgen und in Kontaktlisten des Kunden
   • Nutzungs- und Leistungsstatistiken verbundener Konten (zum Beispiel Search Console, Analytics, Social-Media-Statistiken), soweit sie sich auf Personen beziehen
4. Kategorien betroffener Personen: Beschäftigte, Teammitglieder und sonstige Nutzer des Kunden; Kunden des Kunden (bei Agenturen auch deren Beschäftigte); Kunden, Interessenten und Geschäftspartner des Kunden; Verfasser von Bewertungen und Kommentaren; in Inhalten des Kunden genannte Personen; vom Kunden eingeladene externe Freigebende.
5. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für die Nutzung von Looky nicht erforderlich. Der Kunde gibt sie nur ein, soweit das erforderlich und zulässig ist, und ist dafür verantwortlich.

§ 3 Weisungen

1. Looky verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden, sofern Looky nicht durch das Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist; in einem solchen Fall teilt Looky dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
2. Die Weisungen ergeben sich aus dem Hauptvertrag und diesem AVV und werden vom Kunden über die Einstellungen und Funktionen von Looky erteilt (zum Beispiel Freigabeeinstellungen, verbundene Kanäle, Löschen von Inhalten). Weitere Weisungen erteilt der Kunde in Textform.
3. Looky informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Looky gegen Datenschutzvorschriften verstößt. Looky darf die Umsetzung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Looky gewährt Zugang zu den personenbezogenen Daten nur Personen, die ihn für die Erbringung der Leistung benötigen und die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht besteht nach Ende ihrer Tätigkeit fort.

§ 5 Sicherheit der Verarbeitung

1. Looky trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Looky darf sie durch gleichwertige Maßnahmen ersetzen, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverarbeiter

1. Der Kunde erteilt Looky die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Abschluss dieses AVV eingesetzten Unterauftragsverarbeiter stehen in Anlage 2, Teil A; der Kunde ist mit ihrem Einsatz einverstanden.
2. Looky informiert den Kunden mindestens 4 Wochen vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters per E-Mail und aktualisiert Anlage 2. Der Kunde kann der Änderung innerhalb dieser 4 Wochen aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Einigen sich die Parteien nicht, können beide Parteien den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Looky schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie dieser AVV, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Looky bleibt dem Kunden gegenüber für die Unterauftragsverarbeiter verantwortlich.
4. Looky übermittelt personenbezogene Daten nur dann in ein Drittland außerhalb der EU und des EWR, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind, zum Beispiel auf Grundlage eines Angemessenheitsbeschlusses, einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger, oder von EU-Standardvertragsklauseln. Anlage 2 nennt die Grundlage für jeden Unterauftragsverarbeiter.
5. Die Plattformen, Google-Dienste und Verzeichnisse, die der Kunde mit Looky verbindet, und die Zahlungsdienstleister für die Looky-Entgelte sind keine Unterauftragsverarbeiter (Anlage 2, Teil B). Daten gelangen auf Weisung des Kunden und auf Grundlage seines eigenen Vertrags mit ihnen an verbundene Plattformen.

§ 7 Rechte betroffener Personen

1. Looky unterstützt den Kunden angesichts der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Die meisten Anträge kann der Kunde direkt in Looky bearbeiten, zum Beispiel durch Ansehen, Berichtigen, Exportieren oder Löschen von Inhalten.
2. Wendet sich eine betroffene Person wegen Daten, die Looky im Auftrag des Kunden verarbeitet, direkt an Looky, leitet Looky das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht ohne Weisung des Kunden selbst.

§ 8 Weitere Unterstützung und Meldung von Verletzungen

1. Looky unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation).
2. Looky meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, nachdem sie Looky bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

§ 9 Rechte und Pflichten des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage und die Information der betroffenen Personen.
2. Der Kunde informiert Looky unverzüglich, wenn er Fehler oder Unregelmäßigkeiten in den Verarbeitungsergebnissen feststellt.

§ 10 Löschung und Rückgabe bei Vertragsende

1. Nach Ende des Hauptvertrags kann der Kunde seine Inhalte noch 30 Tage mit den Exportfunktionen der App exportieren (Lesezugriff). Looky erinnert den Kunden vor der Löschung per E-Mail.
2. Nach Ablauf dieser 30 Tage löscht Looky die im Auftrag des Kunden verarbeiteten personenbezogenen Daten einschließlich gespeicherter Dateien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Speicherpflicht besteht (zum Beispiel Aufbewahrungspflichten für Rechnungen). Soweit Sicherungskopien der Daten bestehen, werden die Kopien darin im regulären Sicherungszyklus gelöscht.
3. Während der Laufzeit kann der Kunde Inhalte und Workspaces in Looky jederzeit löschen; Looky löscht dann die betroffenen Daten. Auf Anfrage in Textform bestätigt Looky die Löschung.

§ 11 Nachweise und Kontrollen

1. Looky stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung, insbesondere eine Beschreibung der Maßnahmen nach Anlage 1 und die aktuelle Liste der Unterauftragsverarbeiter.
2. Der Kunde darf Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, soweit die Informationen nach Absatz 1 nicht ausreichen. Überprüfungen werden mindestens 4 Wochen vorher in Textform angekündigt, finden während der üblichen Geschäftszeiten ohne unverhältnismäßige Störung des Betriebs statt und wahren die Vertraulichkeit der Daten anderer Kunden. Jede Partei trägt ihre eigenen Kosten.

§ 12 Haftung und Schlussbestimmungen

1. Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen geht dieser AVV dem Hauptvertrag in Fragen des Datenschutzes vor.
3. Änderungen und Ergänzungen dieses AVV bedürfen der Textform; § 19 der AGB gilt entsprechend. Die elektronische Annahme im Bestellschritt oder die Annahme eines gesonderten Angebots in Textform nach § 2 Abs. 6 der AGB erfüllt die Schriftform nach Art. 28 Abs. 9 DSGVO.
4. Es gilt das Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach dem Hauptvertrag.
5. Dieser AVV wird in deutscher Sprache geschlossen. Eine englische Übersetzung dient nur der Information; maßgeblich ist die deutsche Fassung.

Anlage 1 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Maßnahmen beschreiben, wie Looky mit Stand 2026-11-05 gebaut ist und betrieben wird.

Vertraulichkeit

• Zutrittskontrolle: Looky läuft auf Servern des Hosting-Anbieters STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Deutschland). Den physischen Zutritt zu den Rechenzentren kontrolliert der Hosting-Anbieter. Looky betreibt keine eigenen Server in eigenen Räumen.
• Zugangskontrolle: Nutzer melden sich mit einem persönlichen Konto an; Passwörter werden nur als gesalzene Hashes gespeichert, nie im Klartext. Im Produktivbetrieb sind Anmelde- und Registrierungsversuche begrenzt, neue Konten müssen ihre E-Mail-Adresse bestätigen, und die Registrierung ist durch eine Botprüfung geschützt. Sitzungen nutzen sichere, HTTP-only Cookies. Mitarbeitende von Looky nutzen eine getrennte Admin-Anwendung mit verpflichtender Zwei-Faktor-Authentifizierung (TOTP), kurzen Sitzungen und automatischer Abmeldung bei Inaktivität.
• Zugriffskontrolle: rollenbasierte Berechtigungen je Organisation und Workspace (Organisationsrollen Owner, Admin, Billing und Member; Workspace-Rollen Editor, Reviewer und Kunden-Reviewer). Jede API-Anfrage wird vor dem Lesen oder Ändern von Daten gegen Mitgliedschaft und Rolle des Nutzers geprüft. Zugriffe von Mitarbeitenden sind durch Mitarbeiterberechtigungen begrenzt und werden in einem Audit-Log protokolliert.
• Trennungskontrolle: Die Daten jeder Organisation und jedes Workspace sind logisch durch Kennungen getrennt, an die jede Abfrage gebunden ist. Automatisierte Tests laufen auf getrennten Testdatenbanken.
• Verschlüsselung und Pseudonymisierung: Zugriffstoken verbundener Konten werden verschlüsselt gespeichert (AES-256-GCM mit versionierten Schlüsseln). IP-Adressen werden mit einem geheimen Salt gehasht, wo sie für Ratenbegrenzung und Missbrauchsschutz genutzt werden. Von den Bankdaten eines SEPA-Mandats speichert Looky nur den Kontoinhaber und die letzten vier Stellen der IBAN; die vollständige IBAN wird an den Zahlungsdienstleister übermittelt.

Integrität

• Weitergabekontrolle: Alle Verbindungen zwischen Browsern, Apps, der Looky-API und den von Looky genutzten externen Diensten sind per TLS (HTTPS) verschlüsselt; die API sendet Sicherheits-Header einschließlich HSTS.
• Eingabekontrolle: Freigaben, Veröffentlichungen und Änderungen an Inhalten werden mit Nutzer und Zeitpunkt in einem Audit-Log protokolliert; Abrechnungsereignisse und Aktionen von Mitarbeitenden werden ebenfalls protokolliert. Die Anwendung schreibt technische Logs für Betrieb und Fehleranalyse.

Verfügbarkeit und Belastbarkeit

• Hintergrundarbeiten (Generierung, Veröffentlichung, Synchronisierung) laufen in Warteschlangen mit automatischen Wiederholungen, sodass ein vorübergehender Fehler eines externen Dienstes keine Daten verliert.
• Fehlgeschlagene Veröffentlichungen und Aufträge werden dem Kunden angezeigt oder lösen eine Warnung an den Betrieb aus.
• Die API startet im Produktivbetrieb nicht ohne die erforderlichen Geheimnisse (Sitzungsgeheimnis, Verschlüsselungsschlüssel, Hash-Salt) und nicht ohne Botschutz.

Verfahren zur regelmäßigen Überprüfung

• Änderungen an Looky werden vor der Freigabe mit automatisierten Tests (Unit- und End-to-End-Tests) geprüft.
• Die Löschung von Organisationen nach Vertragsende und von einzelnen Inhalten läuft als automatisierter Auftrag, einschließlich der gespeicherten Dateien, mit Wiederholungen und einer Warnung, wenn Dateien nicht gelöscht werden können.
• Unterauftragsverarbeiter werden nach ihren Datenschutzgarantien ausgewählt und durch Verträge nach Art. 28 DSGVO gebunden (§ 6).

Anlage 2 Unterauftragsverarbeiter und weitere Empfänger

Teil A: Unterauftragsverarbeiter

KI-Anbieter verarbeiten die an sie übermittelten Daten nur, um Looky ihre Leistung zu erbringen. Looky nutzt ihre geschäftlichen Schnittstellen (APIs) und übermittelt nur die Inhalte, die für die jeweilige Aufgabe nötig sind.

Teil B: Empfänger, die keine Unterauftragsverarbeiter sind