Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („DPA“ / „AVV“) wird geschlossen zwischen: Verantwortlicher (Auftraggeber): Der Kunde, der die Allgemeinen Geschäftsbedingungen von CrunchJunkie akzeptiert hat. Auftragsverarbeiter (Auftragnehmer): Tiki-Taka Media GmbH, Curschmannstraße 9, 20251 Hamburg, Deutschland („CrunchJunkie“). Dieser AVV regelt die Verarbeitung personenbezogener Daten durch CrunchJunkie im Auftrag des Kunden im Zusammenhang mit der Marketing-Reporting-Plattform CrunchJunkie („Dienst“) und ist gemäß Art. 28 DSGVO / Art. 28 GDPR integraler Bestandteil der Allgemeinen Geschäftsbedingungen.

CrunchJunkie verarbeitet personenbezogene Daten im Auftrag des Kunden für die Dauer des aktiven Abonnements des Kunden für den Dienst. Mit Beendigung endet die Verarbeitung und die Daten werden gemäß Abschnitt 11 gelöscht.

CrunchJunkie verarbeitet personenbezogene Daten ausschließlich zur Erbringung des Dienstes, wie in den Allgemeinen Geschäftsbedingungen beschrieben: • Abrufen, Speichern und Anzeigen von Werbe- und Analysedaten, die der Kunde aus verbundenen Datenquellen importiert (Google Ads, Meta, LinkedIn, TikTok, Microsoft Ads, Google Analytics 4, Google Business Profile, Google Search Console). • Erstellung von Reports, Dashboards und KI-gestützten Zusammenfassungen für den Kunden und dessen Kunden. • Versand geplanter Report-E-Mails an vom Kunden benannte Empfänger. • Bereitstellung der im Dienst enthaltenen Monitoring-, Alerting- und Kampagnenmanagement-Funktionen. • Durchführung von KI-Sichtbarkeits-Scans: Übermittlung der vom Kunden hinterlegten Prompts, Wettbewerbernamen und Recherche-Anfragen an die in Anlage 2 aufgeführten KI- und Such-Anbieter sowie Erzeugung der daraus resultierenden Kennzahlen, Zitationen und Content-Empfehlungen. • Ausstellung von Zugriffstoken für KI-Assistenten, die Nutzer des Kunden über den MCP-Connector verbinden (Anlage 2, WorkOS). Eine Verarbeitung zu darüber hinausgehenden Zwecken ist ohne ausdrückliche schriftliche Weisung des Kunden nicht gestattet.

Abhängig von der Konfiguration des Kunden können die folgenden Kategorien personenbezogener Daten verarbeitet werden: • Identitäts- und Kontaktdaten: Namen und E-Mail-Adressen der Teammitglieder des Kunden sowie der Ansprechpartner seiner Endkunden. • Werbe-Performance-Daten: Kampagnennamen, Anzeigengruppennamen, Bezeichnungen von Zielgruppensegmenten sowie Performance-Kennzahlen (Impressionen, Klicks, Conversions, Ausgaben), die von verbundenen Plattformen importiert werden. Diese Daten können mittelbar auf personenbezogene Daten verweisen, wenn Kampagnennamen oder Zielgruppenbezeichnungen personenbezogene Identifikatoren enthalten. • Authentifizierungs-Token: OAuth-Access- und Refresh-Token, die von verbundenen Plattformen im Auftrag des Kunden ausgestellt werden. • Empfänger der Report-Zustellung: E-Mail-Adressen der vom Kunden benannten Report-Empfänger. • KI-Sichtbarkeits-Eingaben: vom Kunden hinterlegte Prompts, Wettbewerbernamen und Recherche-Anfragen. Dies sind geschäftliche Eingaben (Fragen zu Marke, Produkt und Kategorie) und dürfen keine personenbezogenen Daten enthalten (Abschnitt 5.6).

• Beschäftigte, Auftragnehmer oder autorisierte Nutzer des Kunden. • Die Endkunden des Kunden (soweit deren Kontaktdaten in die Plattform eingegeben werden). • Personen, deren Daten in den Daten von Werbeplattformen referenziert sein können (mittelbar, über Kampagnen-Metadaten).

Der Kunde ist als Verantwortlicher verantwortlich für: 5.1 Die Sicherstellung, dass für alle personenbezogenen Daten, die dem Dienst bereitgestellt oder über ihn verarbeitet werden, eine Rechtsgrundlage besteht. 5.2 Die Information der betroffenen Personen über die Verarbeitung gemäß Art. 13/14 DSGVO. 5.3 Die Sicherstellung, dass die Anbindung von Datenquellen Dritter (Werbeplattformen) den Nutzungsbedingungen dieser Plattformen und dem anwendbaren Datenschutzrecht entspricht. 5.4 Die Erteilung dokumentierter Weisungen an CrunchJunkie, soweit ein Abweichen vom Standardverhalten des Dienstes erforderlich ist. Alle Weisungen bedürfen der Schriftform (E-Mail genügt). 5.5 Die Meldung von Verletzungen des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde und die betroffenen Personen, wie nach Art. 33/34 DSGVO erforderlich, unter Verwendung der von CrunchJunkie gemäß Abschnitt 7.3 bereitgestellten Informationen. 5.6 Keine personenbezogenen Daten in hinterlegte Prompts, Wettbewerberlisten, Recherche-Anfragen oder andere Freitext-Eingaben aufzunehmen, die der Dienst an die in Anlage 2 aufgeführten KI- und Such-Anbieter übermittelt. Der Dienst ist für Fragen zu Marke, Produkt und Kategorie ausgelegt; mehrere dieser Anbieter erhalten solche Eingaben ohne Übermittlungsmechanismus nach Art. 46 DSGVO (siehe Anlage 2), was nur deshalb zulässig ist, weil die Eingaben keine personenbezogenen Daten enthalten.

CrunchJunkie verpflichtet sich als Auftragsverarbeiter: 6.1 Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten, es sei denn, dies ist nach dem Recht der EU oder eines Mitgliedstaats erforderlich (in diesem Fall wird CrunchJunkie den Kunden vor der Verarbeitung informieren, sofern das Recht dies nicht verbietet). 6.2 Sicherzustellen, dass alle zur Verarbeitung personenbezogener Daten befugten Personen gesetzlich oder vertraglich zur Vertraulichkeit verpflichtet und in den datenschutzrechtlichen Anforderungen geschult sind. 6.3 Die in Abschnitt 8 (Anlage 1) beschriebenen technischen und organisatorischen Maßnahmen umzusetzen und aufrechtzuerhalten. 6.4 Den Kunden — unter Berücksichtigung der Art der Verarbeitung und der CrunchJunkie zur Verfügung stehenden Informationen — bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 15–22 DSGVO) zu unterstützen. CrunchJunkie wird unmittelbar bei CrunchJunkie eingehende Anträge betroffener Personen innerhalb von 5 Arbeitstagen an den Kunden weiterleiten. 6.5 Den Kunden bei der Einhaltung der Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen) zu unterstützen, soweit dies angesichts der Rolle von CrunchJunkie nach vernünftigem Ermessen möglich ist. 6.6 Nach Wahl des Kunden alle personenbezogenen Daten am Ende des Dienstverhältnisses zu löschen oder zurückzugeben und bestehende Kopien zu löschen, sofern nicht das Recht der EU oder eines Mitgliedstaats eine Speicherung vorschreibt (siehe Abschnitt 11). 6.7 Dem Kunden alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, sowie Überprüfungen zu ermöglichen und zu diesen beizutragen, wie in Abschnitt 10 beschrieben.

7.1 Der Kunde erteilt CrunchJunkie eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuelle Liste der genehmigten Unterauftragsverarbeiter ist in Anlage 2 unten aufgeführt. 7.2 CrunchJunkie wird den Kunden über beabsichtigte Änderungen der Liste der Unterauftragsverarbeiter (Hinzufügungen oder Ersetzungen) mit einer Vorankündigungsfrist von mindestens 14 Tagen per E-Mail oder In-App-Benachrichtigung informieren und ihm die Gelegenheit zum Widerspruch geben. Wird innerhalb von 14 Tagen kein Widerspruch erhoben, gilt die Änderung als vom Kunden genehmigt. 7.3 Widerspricht ein Kunde einem neuen Unterauftragsverarbeiter und kann CrunchJunkie den Dienst ohne diesen Unterauftragsverarbeiter nicht erbringen, kann der Kunde das Abonnement kündigen und erhält eine anteilige Rückerstattung für den nicht genutzten Zeitraum. 7.4 CrunchJunkie wird Unterauftragsverarbeitern Datenschutzpflichten auferlegen, die den in diesem AVV festgelegten Pflichten gleichwertig sind, und haftet gegenüber dem Kunden weiterhin für die Einhaltung durch die Unterauftragsverarbeiter.

Die folgenden Maßnahmen werden von CrunchJunkie aufrechterhalten, um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO zu gewährleisten: PSEUDONYMISIERUNG UND VERSCHLÜSSELUNG • Alle Daten werden bei der Übertragung mit TLS 1.2 oder höher verschlüsselt (HSTS erzwungen). • KI-API-Schlüssel sowie OAuth-Access- und Refresh-Token werden vor der Speicherung auf Anwendungsebene mit AES-256-GCM verschlüsselt; die Datenbank wird zusätzlich durch unseren Infrastrukturanbieter im Ruhezustand verschlüsselt. • Passwörter werden mit bcrypt mit einem Kostenfaktor von 12 gehasht; Klartext-Passwörter werden niemals gespeichert. VERTRAULICHKEIT • Mandantentrennung: Alle Datenbankabfragen sind auf Anwendungsebene auf die authentifizierte Team-ID beschränkt. Ein mandantenübergreifender Datenzugriff ist architektonisch ausgeschlossen. • Der Zugriff von Mitarbeitenden auf Produktivdaten ist auf einen minimalen Kreis autorisierter Personen nach dem Need-to-know-Prinzip beschränkt. INTEGRITÄT • Eingabevalidierung und parametrisierte Datenbankabfragen verhindern Injection-Angriffe. • CSRF-Schutz-Token werden bei allen zustandsverändernden Vorgängen erzwungen. VERFÜGBARKEIT UND BELASTBARKEIT • Die Compute-Ressourcen des Dienstes laufen in der Frankfurter Region (EU) von Vercel; statische Assets werden über Vercels global verteiltes Edge-CDN ausgeliefert, das eine hohe Verfügbarkeit bietet. • Die Datenbank (Neon) mit Standort Frankfurt (EU) wird mit kontinuierlicher Replikation und Point-in-Time-Recovery betrieben. ZUGANGSKONTROLLE • Für jeden Zugriff auf die Produktivinfrastruktur ist eine Multi-Faktor-Authentifizierung (MFA) erforderlich. • Zugriffsrechte werden regelmäßig überprüft und bei Personalveränderungen unverzüglich entzogen. • Alle Zugriffsereignisse in der Produktivumgebung werden protokolliert. INCIDENT-MANAGEMENT UND MELDUNG VON VERLETZUNGEN DES SCHUTZES PERSONENBEZOGENER DATEN • Es wird ein dokumentierter Incident-Response-Prozess unterhalten. • Im Falle einer Verletzung des Schutzes personenbezogener Daten wird CrunchJunkie den Kunden innerhalb von 72 Stunden nach Kenntniserlangung benachrichtigen und dabei Folgendes bereitstellen: (i) eine Beschreibung der Art der Verletzung; (ii) die ungefähre Zahl der betroffenen Datensätze und betroffenen Personen; (iii) die wahrscheinlichen Folgen; (iv) die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung. PRÜFUNG UND ÜBERPRÜFUNG • Die Sicherheitsmaßnahmen werden mindestens jährlich überprüft und bei identifizierten Risiken oder Veränderungen der Bedrohungslage aktualisiert. • Aktualisierungen von Abhängigkeiten und Sicherheitspatches werden in einem regelmäßigen Zyklus eingespielt.

Die folgenden Unterauftragsverarbeiter sind derzeit von CrunchJunkie beauftragt: Name: Vercel Inc. Zweck: Plattform-Hosting, CDN, Ausführung serverloser Funktionen (Compute) sowie Datei-/Objektspeicher Standort: Vereinigte Staaten (Datenregion: Frankfurt, Deutschland — fra1, EU) Übermittlungsmechanismus: Standardvertragsklauseln + EU–US Data Privacy Framework DPA: vercel.com/legal/dpa Name: Neon Inc. Zweck: Hosting der PostgreSQL-Datenbank Standort: Vereinigte Staaten (Datenregion: eu-central-1, Frankfurt, Deutschland — EU) Übermittlungsmechanismus: Standardvertragsklauseln DPA: neon.tech/dpa Name: Upstash, Inc. Zweck: Gemeinsame Ratenbegrenzungs-Zähler für API- und Anmelde-Endpunkte (Anfragezähler je IP-Adresse; verfallen automatisch innerhalb von 15 Minuten) Standort: Vereinigte Staaten (Datenregion: eu-central-1, Frankfurt, Deutschland — EU; keine Lese-Replikate) Übermittlungsmechanismus: Standardvertragsklauseln DPA: upstash.com/static/trust/dpa.pdf Aufgenommen: 10. September 2026 Name: WorkOS, Inc. Zweck: OAuth-Autorisierungsserver für den MCP-Connector (stellt die Zugriffstoken aus, mit denen KI-Assistenten CrunchJunkie im Auftrag eines Nutzers aufrufen; erhält Nutzer-ID, E-Mail-Adresse und Namen des verbindenden Nutzers). Nur eingesetzt, wenn ein Nutzer einen MCP-Client verbindet. Standort: Vereinigte Staaten Übermittlungsmechanismus: Standardvertragsklauseln DPA: workos.com/legal/dpa Aufgenommen: 18. September 2026 (im Einsatz seit 3. Juli 2026; verspätet aufgeführt, siehe Hinweis) Name: Stripe, Inc. Zweck: Zahlungsabwicklung und Abonnementverwaltung (nur Abrechnungsdaten) Standort: Vereinigte Staaten Übermittlungsmechanismus: Standardvertragsklauseln + EU–US Data Privacy Framework DPA: stripe.com/legal/dpa Name: Resend Inc. Zweck: Zustellung transaktionaler E-Mails (Passwort-Zurücksetzungen, geplante Report-E-Mails) Standort: Vereinigte Staaten Übermittlungsmechanismus: Standardvertragsklauseln Name: DataForSEO OÜ Zweck: Google- und Bing-Suchergebnisse für den Rank-Tracker, für Workspaces, die ein Rank-Tracker-Budget nutzen. Wird nur beauftragt, wenn Sie ein Budget kaufen; mit Ihrem eigenen DataForSEO-Konto ist DataForSEO Ihr Unterauftragsverarbeiter, nicht der von CrunchJunkie. Standort: Europäische Union (Estland; Rechenzentrum in Deutschland) und Vereinigte Staaten (Cloud-Infrastruktur); Betrieb auch in der Ukraine Übermittlungsmechanismus: Standardvertragsklauseln DPA: dataforseo.com/privacy-policy Name: KI- und Such-Unterauftragsverarbeiter Zweck: Verarbeitung von Scan-Prompts und Report-Daten zur Erzeugung von KI-Sichtbarkeitsmetriken und KI-Funktionen. Werden nur beauftragt, wenn Sie Managed AI oder eine Funktion aktivieren, die den jeweiligen Anbieter nutzt. Wenn Sie Ihren eigenen KI-Schlüssel oder Ihr eigenes DataForSEO-Konto für den Rank-Tracker verwenden, sind Sie der Verantwortliche für diese Verarbeitung und der Anbieter ist Ihr Unterauftragsverarbeiter, nicht der von CrunchJunkie. Anbieter und Standorte: OpenAI, L.L.C. (USA); Anthropic, PBC (USA); Google LLC (USA); Perplexity AI, Inc. (USA); X.AI LLC (USA); DeepSeek (China); Meta Platforms Ireland Limited (Irland; Verarbeitung durch Meta Platforms, Inc., USA); SerpAPI, LLC (USA); Tavily (USA) Übermittlungsmechanismus: Je Anbieter — EU–US Data Privacy Framework + Standardvertragsklauseln für DPF-zertifizierte US-Anbieter (OpenAI, Google); EU–US Data Privacy Framework für Meta AI (Vertragspartner in der EU, DPF-zertifizierte verarbeitende US-Gesellschaft); Standardvertragsklauseln für weitere (Anthropic, Perplexity, xAI); und für Anbieter, die keinen Mechanismus nach Art. 46 veröffentlichen (SerpAPI, Tavily, DeepSeek), wird keiner behauptet — siehe das Unterauftragsverarbeiter-Verzeichnis. SerpAPI und Tavily erhalten ausschließlich nicht-personenbezogene Suchbegriffe; DeepSeek und Meta AI werden nur nach ausdrücklicher Zustimmung eingesetzt

Der Kunde darf höchstens einmal pro Kalenderjahr oder jederzeit nach einer bestätigten Verletzung des Schutzes personenbezogener Daten ein Audit der Einhaltung dieses AVV durch CrunchJunkie durchführen oder in Auftrag geben. Audits müssen: • CrunchJunkie mindestens 14 Tage im Voraus schriftlich angekündigt werden. • Während der üblichen Geschäftszeiten durchgeführt werden. • Durch den Kunden oder einen einvernehmlich bestimmten unabhängigen Dritten durchgeführt werden, der zur Vertraulichkeit verpflichtet ist. • Kostenmäßig vom Kunden getragen werden. CrunchJunkie kann Auditanfragen erfüllen, indem anstelle eines Vor-Ort-Audits ein aktueller unabhängiger Prüfbericht (ISO 27001, SOC 2 oder gleichwertig) zur Verfügung gestellt wird, sofern ein solcher verfügbar ist.

Mit Beendigung des Abonnements des Kunden gilt: 11.1 Das Abonnement ist beendet, wenn es in den Unterlagen des Zahlungsdienstleisters von CrunchJunkie beendet ist (Stripe-Status „canceled“). Ein Abonnement, dessen Zahlung noch eingezogen wird, ist nicht beendet. Ein Abonnement, das der Kunde im Dienst pausiert hat („Abo pausieren & Daten behalten“), ist pausiert, nicht beendet: Die Daten des Workspace bleiben bis zu 12 Monate ab dem Tag der Pause erhalten. Können die Unterlagen von CrunchJunkie nicht zeigen, ob ein Abonnement pausiert oder gekündigt wurde (eine Pause oder Kündigung, die beantragt wurde, bevor Pausen erfasst wurden, auch wenn das Abonnement erst später endete), gilt es ab dem Tag seiner Beendigung als pausiert. CrunchJunkie bewahrt die personenbezogenen Daten des Kunden mindestens 30 Tage nach Beendigung auf, damit der Kunde seine Daten exportieren kann: Der Inhaber des Workspace kann sie jederzeit im Dienst herunterladen (Einstellungen → Deine Daten exportieren), und der Kunde kann auch per E-Mail an hello@crunchjunkie.io einen Datenexport anfordern. 11.2 Sind seit der Beendigung 30 Tage vergangen (bei einem pausierten Workspace: seit der Pause 12 Monate), teilt CrunchJunkie dem Inhaber bzw. den Inhabern des Workspace per E-Mail mit, dass der Workspace gelöscht wird, und nennt das Datum der Löschung: 7 Tage nach dieser E-Mail, bei einem pausierten Workspace 30 Tage danach. An diesem Datum löscht CrunchJunkie alle im Auftrag des Kunden in diesem Workspace verarbeiteten personenbezogenen Daten (seine Kunden, Berichte, Verbindungen und importierten Daten, KI-Sichtbarkeits- und Rank-Tracker-Daten sowie hochgeladene Dateien) zusammen mit jedem Benutzerkonto, das zu keinem anderen Workspace gehört und kein Markenbotschafter-Konto ist, sofern nicht das Recht der EU oder deutsches Recht eine längere Aufbewahrungsfrist vorschreibt (z. B. Abrechnungsunterlagen, die nach § 257 HGB und § 147 AO aufbewahrt werden). Schließt der Kunde vor diesem Datum wieder ein Abonnement ab oder setzt er es fort, wird nichts gelöscht. Kopien in den verschlüsselten Datenbank-Backups von CrunchJunkie werden gelöscht, sobald diese Backups ablaufen, spätestens nach weiteren 30 Tagen. 11.3 Ausnahmen. Ein Workspace mit einem individuell vereinbarten Paket (ein individuelles Angebot, eine Scale- oder Enterprise-Vereinbarung) wird gelöscht, wie es diese Vereinbarung vorsieht. Ein Workspace mit einem individuell vereinbarten Preis, einer, dem CrunchJunkie den Zugang kostenlos gewährt hat, einer mit einem Mitarbeiter von CrunchJunkie unter seinen Mitgliedern, einer ohne E-Mail-Adresse eines Inhabers und jeder andere, den CrunchJunkie zur Prüfung zurückgestellt hat, wird nicht automatisch gelöscht: CrunchJunkie prüft ihn und löscht ihn nach denselben Fristen von Hand. 11.4 Auf Anfrage stellt CrunchJunkie eine schriftliche Bestätigung der Löschung zur Verfügung.

Dieser AVV unterliegt deutschem Recht. Für Streitigkeiten aus diesem AVV sind ausschließlich die Gerichte in Hamburg, Deutschland, zuständig.

Dieser AVV wird in englischer Sprache geschlossen. Eine Übersetzung dient ausschließlich der Vereinfachung. Im Falle von Abweichungen zwischen der englischen Fassung und einer Übersetzung ist die ENGLISCHE Fassung maßgeblich und die allein rechtsverbindliche Fassung.

Im Falle eines Widerspruchs zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen hat dieser AVV in Bezug auf die Verarbeitung personenbezogener Daten Vorrang.