Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung von YJAR Social OS (social.yjar.org), dem Social-Media-Management-System der YJAR GmbH.

(2) Rollen: Für die Verarbeitung der Inhalte seiner Kanäle, seiner Nutzer, der Kommentare, Nachrichten und Bewerbungen ist der Verantwortliche Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO; der Auftragsverarbeiter verarbeitet diese Daten in seinem Auftrag. Für die Vertragsabwicklung mit dem Verantwortlichen (Kontoverwaltung, Abrechnung, Rechnungsdaten, Missbrauchsabwehr, Sicherheit des Systems) ist der Auftragsverarbeiter eigener Verantwortlicher; hierfür gilt die Datenschutzerklärung von YJAR. Die Verantwortlichkeit der Plattformbetreiber für ihre eigenen Verarbeitungen bleibt unberührt.

(3) Dauer: Der Vertrag beginnt mit der Registrierung (Beginn der Testphase) und endet, sobald alle personenbezogenen Daten des Verantwortlichen nach § 9 gelöscht sind. Er gilt fort, solange der Auftragsverarbeiter noch personenbezogene Daten des Verantwortlichen verarbeitet.

(1) Art der Verarbeitung: Erheben, Speichern, Verändern, Übermitteln (an die vom Verantwortlichen angebundenen Social-Media-Plattformen und Werbekonten), Sperren und Löschen personenbezogener Daten im Rahmen der in Anhang 1 beschriebenen Leistungen.

(2) Zweck: Planung, Freigabe und Veröffentlichung von Social-Media-Inhalten; Betrieb eines gemeinsamen Postfachs für eingehende Kommentare und Nachrichten der angebundenen Kanäle; Verwaltung und Auswertung von Werbeanzeigen; Erstellung von Kundenberichten; Textvorschläge einer KI; optional Recruiting-Funktionen (Stellenanzeigen-Leads), sofern vom Verantwortlichen genutzt.

(3) Dauer: Für die Dauer der Vertragslaufzeit nach § 1 Abs. 3. Nach Beendigung gilt § 9.

Betroffene Personen: (a) Mitarbeitende und Beauftragte des Verantwortlichen mit Zugang zum System (Nutzerkonten); (b) Gast-Freigeber, also Empfänger von Freigabe-Links; (c) Follower, Kommentierende und Nachrichtenschreibende auf den angebundenen Kanälen des Verantwortlichen (Drittpersonen ohne eigenes Vertragsverhältnis zu YJAR); (d) Rezensentinnen und Rezensenten auf angebundenen Google-Unternehmensprofilen; (e) Nutzer von WhatsApp-Business-Konten des Verantwortlichen; (f) Bewerberinnen und Bewerber, sofern der Verantwortliche das Recruiting-Modul nutzt.

Datenarten: (a) Konto- und Authentifizierungsdaten der Nutzer (Name, E-Mail-Adresse, Rolle); (b) von den Nutzern erstellte Inhalte (Beitragstexte, Bilder, Videos, Kommentare, interne Freigabe-Kommentare); (c) Nachrichten- und Kommentarinhalte von Drittpersonen aus den angebundenen Kanälen einschließlich öffentlicher Profildaten (Name, Profilbild, Nutzername), soweit von der Plattform bereitgestellt; (d) Kontaktdaten und Nachrichten aus WhatsApp Business (Telefonnummer, Nachrichtentext); (e) Bewertungsinhalte und öffentliche Profildaten von Rezensenten; (f) Reichweiten- und Interaktionsdaten der angebundenen Kanäle; (g) E-Mail-Adressen von Gast-Freigebern (nur zum Versand des Freigabe-Links); (h) Zugriffstoken der angebundenen Kanäle und Werbekonten (verschlüsselt gespeichert, Anhang 2); (i) Konfigurationsdaten von Werbeanzeigen (Zielgruppenparameter wie Ort, Alter, Radius, Interessen; es werden keine Kundenlisten oder Custom Audiences an Werbeanbieter übermittelt); (j) Bewerberdaten (Name, Kontaktdaten, Bewerbungstext), sofern das Recruiting-Modul genutzt wird; (k) Server-Zugriffsprotokolle (IP-Adresse, Zeitstempel) zu Sicherheitszwecken.

Besondere Kategorien (Art. 9 DSGVO): Das System ist nicht dafür ausgelegt, besondere Kategorien personenbezogener Daten zu verarbeiten. Kommentare, Nachrichten oder Bewerbungen können sie dennoch enthalten (z. B. Gesundheitsangaben). Der Verantwortliche ist für die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO (bei Bewerbungen ggf. § 26 Abs. 3 BDSG) verantwortlich; solche Daten behandelt der Auftragsverarbeiter wie alle übrigen Daten dieses Vertrags. Das Recruiting-Modul ist nicht für die gezielte Erhebung besonderer Kategorien bestimmt. Daten von Kindern unter 16 Jahren werden nicht gezielt verarbeitet.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die im Rahmen der Nutzung des Systems durch den Verantwortlichen bzw. seine autorisierten Nutzer vorgenommenen Konfigurationen und Eingaben (Erstellung, Bearbeitung, Freigabe und Veröffentlichung von Inhalten; Verbindung von Kanälen; Einrichtung von Werbekampagnen) gelten als Weisung im Sinne dieses Vertrags.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

(4) Weisungen, die über die Nutzung des Systems hinausgehen, erteilt der Verantwortliche in Textform (E-Mail genügt). Weisungsberechtigt sind die im Konto hinterlegten Inhaber (Rolle Owner) und Administratoren. Weisungsempfänger beim Auftragsverarbeiter ist info@yjar.de.

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit der Personen fort.

Die vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen sind in Anhang 2 beschrieben und Bestandteil dieses Vertrags. Der Auftragsverarbeiter darf diese Maßnahmen ändern, solange das ursprüngliche Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anforderung mit.

(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zur Beauftragung der in Anhang 3 Teil A aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform (E-Mail an die Inhaber-Adresse oder Hinweis im Konto). Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Wird der Einspruch nicht ausgeräumt, können beide Parteien den Vertrag mit einer Frist von 30 Tagen zum Ende des laufenden Abrechnungszeitraums kündigen; bereits bezahlte Entgelte für die Zeit nach Vertragsende werden anteilig erstattet.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten (Art. 28 Abs. 4 Satz 2 DSGVO).

(4) Nicht als Unterauftragsverhältnis gelten Nebenleistungen wie Telekommunikation, Post oder Wartung ohne Datenzugriff. Die in Anhang 3 Teil B genannten Plattformbetreiber sind keine Unterauftragsverarbeiter.

(1) Der Auftragsverarbeiter verarbeitet Daten des Verantwortlichen ausschließlich in der Europäischen Union (Anhang 3 Teil A). Eine Verarbeitung in einem Drittland durch den Auftragsverarbeiter selbst oder durch seine Unterauftragsverarbeiter findet nicht statt.

(2) Die Übermittlung an Plattformen nach Anhang 3 Teil B erfolgt auf Weisung des Verantwortlichen (§ 4 Abs. 2). Der Verantwortliche stellt sicher, dass für Übermittlungen an Plattformen mit Sitz oder Datenverarbeitung außerhalb des Europäischen Wirtschaftsraums eine Grundlage nach Art. 44 ff. DSGVO besteht. Soweit die Plattformen dafür Zertifizierungen (EU-US Data Privacy Framework) oder Standardvertragsklauseln anbieten, sind diese nach dem Stand der Plattformbedingungen maßgeblich; der Auftragsverarbeiter informiert den Verantwortlichen auf Anforderung über den ihm bekannten Stand. Eine Bewertung der Übermittlung an die Plattformen (Transfer Impact Assessment) führt der Verantwortliche selbst durch; der Auftragsverarbeiter stellt seine Beschreibung der übermittelten Daten (§ 3, Anhang 1) hierfür zur Verfügung.

(3) TikTok: Bei Nutzung dieses Kanals weist der Verantwortliche YJAR an, Beiträge an TikTok zu übermitteln. Der Verantwortliche nimmt zur Kenntnis, dass TikTok zum ByteDance-Konzern gehört und Datenzugriffe aus Drittländern nach den Datenschutzangaben von TikTok nicht ausgeschlossen sind. Die Nutzung des Kanals erfolgt in seiner Verantwortung und kann jederzeit durch Trennen der Verbindung beendet werden.

(1) Nach Beendigung der Verarbeitung (Vertragsende, Kündigung, Ablauf der Testphase mit anschließender Löschung, Kontolöschung) gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück oder löscht sie und löscht vorhandene Kopien, sofern nicht eine Pflicht zur Speicherung nach dem Recht der Union oder der Mitgliedstaaten besteht.

(2) Rückgabe: Der Verantwortliche kann bis zum Löschzeitpunkt jederzeit einen Export verlangen. Berichte und Auswertungen kann er im System als PDF und CSV selbst exportieren; die übrigen Inhalte (Beiträge, Kommentare, Medien) stellt der Auftragsverarbeiter innerhalb von 14 Tagen nach Anforderung in einem gängigen Format kostenfrei bereit. Kanal-Zugangstoken werden nicht herausgegeben, sondern gelöscht; Plattformzugriffe widerruft der Verantwortliche bei der jeweiligen Plattform.

(3) Löschfristen: Ohne abweichende Weisung gelten die Fristen der Nutzungsbedingungen (§ 2 Abs. 1b, § 3 Abs. 5 und 6): Nach Ende der Testphase ohne Buchung oder nach Vertragsende werden die Daten 90 Tage später gelöscht, die Löschung wird mindestens 14 Tage vorher angekündigt. Weist der Verantwortliche ausdrücklich Sofortlöschung an (Textform, z. B. E-Mail an info@yjar.de), löscht der Auftragsverarbeiter innerhalb von 7 Tagen; ein Widerruf ist danach nicht mehr möglich.

(4) Kontolöschung: Verlangt der Verantwortliche die Löschung seines Kontos, wird ein laufendes Abo zum Ende des bezahlten Abrechnungszeitraums gekündigt; sobald nicht mehr bezahlt wird (ohne bezahltes Abo sofort), wird das Konto deaktiviert, und 14 Tage später löscht der Auftragsverarbeiter alle Daten endgültig. Bis zur endgültigen Löschung kann der Verantwortliche den Löschwunsch widerrufen. Die Löschung umfasst Beiträge, Medien, Kanalverbindungen samt Zugangstoken, Postfach, Berichte, Nutzer und Sitzungen. Nicht gelöscht werden Rechnungs- und Zahlungsdaten, die der Auftragsverarbeiter als eigener Verantwortlicher aufbewahren muss (§ 147 AO, § 257 HGB), sowie ein Löschnachweis ohne Personenbezug.

(5) Sicherungskopien werden nach Anhang 2 Nr. 6 spätestens 60 Tage nach der Löschung im Produktivsystem überschrieben und sind bis dahin gesperrt; wird eine Sicherung eingespielt, führt der Auftragsverarbeiter die Löschung unverzüglich erneut durch.

(6) Der Auftragsverarbeiter bestätigt die Löschung auf Anforderung in Textform.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte nach Kapitel III DSGVO (insbesondere Art. 15 bis 21) sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, Vorabkonsultation). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich, spätestens innerhalb von fünf Werktagen, an den Verantwortlichen weiter und beantwortet sie nicht selbst. Für Unterstützungsleistungen, die über den gewöhnlichen Umfang hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung nach Aufwand verlangen; der Verantwortliche wird vorab informiert.

(2) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die Daten des Verantwortlichen betrifft, unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung, an die im Konto hinterlegte Inhaber-E-Mail-Adresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Personen- und Datenkategorien und ungefähre Zahl, Ansprechpartner beim Auftragsverarbeiter, wahrscheinliche Folgen und ergriffene bzw. vorgeschlagene Maßnahmen. Nicht sofort verfügbare Angaben werden unverzüglich nachgereicht (Art. 33 Abs. 4 DSGVO). Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn dabei nach Absatz 1.

(3) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchgeführt werden. Inspektionen werden mindestens 30 Tage vorher angekündigt, finden während der üblichen Geschäftszeiten ohne Störung des Betriebs und höchstens einmal jährlich statt, außer bei konkretem Verdacht oder nach einer Verletzung. Vorrangig erfolgt der Nachweis durch schriftliche Auskünfte, die aktuelle Beschreibung der Maßnahmen (Anhang 2) und Nachweise des Hosters. Zugang zu Daten anderer Mandanten und zu Geschäftsgeheimnissen ist ausgeschlossen. Der Aufwand des Auftragsverarbeiters wird angemessen vergütet.

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Im Innenverhältnis haftet der Auftragsverarbeiter nur, soweit er seine ihm speziell auferlegten Pflichten aus der DSGVO oder diesem Vertrag nicht erfüllt oder unter Nichtbeachtung rechtmäßiger Weisungen des Verantwortlichen gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO). Für die Rechtmäßigkeit der Weisung und der Verarbeitung im Übrigen ist der Verantwortliche verantwortlich.

(2) Hat eine Partei an eine betroffene Person Schadensersatz geleistet, der auch von der anderen Partei zu verantworten ist, kann sie von dieser Ausgleich nach dem Maß der jeweiligen Verantwortung verlangen (Art. 82 Abs. 5 DSGVO).

(3) Für Schäden des Verantwortlichen aus diesem Vertrag gelten die Haftungsregelungen der Nutzungsbedingungen (§ 9) bzw. des Dienstleistungsvertrags entsprechend. Sie beschränken nicht die Haftung nach Absatz 1 gegenüber betroffenen Personen und nicht die Haftung für Vorsatz, grobe Fahrlässigkeit, Verletzung von Leben, Körper und Gesundheit oder nach dem Produkthaftungsgesetz.

(1) Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen bzw. dem Dienstleistungsvertrag geht dieser Vertrag in allen datenschutzrechtlichen Fragen vor.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Der Auftragsverarbeiter darf Anpassungen, die aufgrund von Gesetzes-, Rechtsprechungs- oder Behördenänderungen zwingend erforderlich sind, mit einer Frist von 30 Tagen in Textform ankündigen; widerspricht der Verantwortliche in dieser Frist, steht beiden Parteien ein Sonderkündigungsrecht zum Ende des laufenden Abrechnungszeitraums zu, und bis dahin gilt die bisherige Fassung, soweit rechtlich zulässig.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Haßfurt.

(4) Sind einzelne Bestimmungen unwirksam, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Die konkret vom Verantwortlichen gebuchten Module (Kanäle, Werbeanzeigen, Recruiting, Kundenportal-Freigabe) ergeben sich aus dem gebuchten Tarif und den tatsächlich verbundenen Kanälen im System. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und legt es Aufsichtsbehörden auf Anfrage vor. Ansprechpartner für Datenschutz beim Auftragsverarbeiter: info@yjar.de.

1. Hosting: Eigener Server bei Hetzner Online GmbH, Rechenzentrum in Deutschland. Mediendateien liegen auf einer Hetzner Storage Box in der EU. Keine Verarbeitung außerhalb der EU durch den Auftragsverarbeiter selbst.

2. Verschlüsselung: Zugriffstoken der angebundenen Kanäle werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert und nie im Klartext protokolliert. Verbindungen zum System laufen ausschließlich über TLS/HTTPS.

3. Mandantentrennung und Rollen: Jeder Kunde ist ein eigener, serverseitig isolierter Mandant; Rollen (Owner, Admin, Editor, Kunden-Freigeber / Client Approver, Viewer) werden bei jeder schreibenden Aktion serverseitig geprüft, nicht nur in der Oberfläche.

4. Protokollierung: Sicherheitsrelevante Aktionen (Freigaben, Kanalverbindungen, Rollenänderungen, Kontolöschungen) werden in einem Audit-Protokoll mit Zeitstempel und handelnder Person erfasst.

5. KI-Verarbeitung: Texterstellungs-Unterstützung läuft über ein von YJAR selbst betriebenes Sprachmodell auf der eigenen Infrastruktur in Deutschland (nur intern erreichbar). Eingaben und Ergebnisse werden nicht an externe KI-Anbieter übermittelt und nicht zum Training eines Modells verwendet. Ergebnisse sind Entwürfe; die Veröffentlichung setzt die Freigabe durch einen Nutzer des Verantwortlichen voraus. Eine Änderung dieses Betriebsmodells wird als Änderung eines Unterauftragsverarbeiters nach § 7 behandelt.

6. Datensicherung: Die Datenbank wird täglich automatisiert gesichert, lokal 7 Tage, zusätzlich extern gespiegelt für 60 Tage; ein automatisierter Wiederherstellungstest läuft wöchentlich. Mediendateien liegen auf der Storage Box; gelöschte Dateien können dort und in Sicherungen bis zu 60 Tage nachwirken.

7. Zugriffsbeschränkung: Zugriff auf Produktionssysteme ist auf befugtes YJAR-Personal beschränkt; Anmeldung am Server ausschließlich per Schlüssel (kein Passwort-Login), Firewall auf Netzwerkebene und Server.

8. Löschkonzept: Bei Kontolöschung werden Beiträge, Medien (einschließlich der Dateien im Objektspeicher), Kanalverbindungen samt Zugangstoken, Postfach, Berichte, Nutzer, Sitzungen und Protokolle des Mandanten automatisch gelöscht; zurück bleibt nur eine anonyme Hülle ohne Personenbezug als Löschnachweis. Für Mandanten, die nicht als Selbstregistrierung angelegt wurden, erfolgt die Löschung auf Weisung durch YJAR innerhalb von 7 Tagen. Sicherungskopien laufen nach Nr. 6 aus.

9. Anmeldung und Sitzungen: Anmeldung per einmaligem, 30 Minuten gültigem E-Mail-Link (nur ein Prüfwert wird gespeichert); Sitzungen sind 8 Stunden gleitend, höchstens 7 Tage gültig und werden bei Abmeldung oder Entzug der Zugriffsrechte sofort widerrufen.

10. Schutz vor Missbrauch: Begrenzung der Anfragehäufigkeit an Anmelde- und Schnittstellen auf dem Webserver; Zugriffsprotokolle des Webservers werden nach 14 Tagen gelöscht.

11. Verfügbarkeit: Laufende automatische Überwachung der Dienste, Zertifikate, Sicherungen und Ressourcen sowie dokumentierter Notfallplan zum Neuaufbau.

Teil A — Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 4 DSGVO: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting des Servers (Rechenzentrum Deutschland) und Hetzner Storage Box (Medienspeicher und Sicherungen, Standort EU); Amazon Web Services EMEA SARL (Luxemburg) — Amazon SES, ausschließlich im Rechenzentrum Frankfurt (eu-central-1), nur als Ausweichweg für den E-Mail-Versand von YJAR Send (Anmeldelinks, Hinweise), wenn der Direktversand nicht zugestellt werden kann; verarbeitet dabei Empfängeradresse und Nachrichteninhalt. Mit den Unterauftragsverarbeitern werden Verträge nach Art. 28 Abs. 4 DSGVO geschlossen (§ 7 Abs. 3).

Teil B — Plattformen und Empfänger auf Weisung des Verantwortlichen (keine Unterauftragsverarbeiter): Meta Platforms Ireland Ltd. (Facebook, Instagram, Threads, WhatsApp Business, Werbekonten); Google Ireland Ltd. (Google-Unternehmensprofil, YouTube); LinkedIn Ireland Unlimited Company; TikTok Technology Limited (Irland) / TikTok Information Technologies UK Limited; Bluesky Social PBC (USA); vom Verantwortlichen angebundene eigene Websites (z. B. WordPress) und Feeds. Diese Anbieter werden ausschließlich tätig, wenn der Verantwortliche das jeweilige Konto verbindet und den Veröffentlichungs- oder Abrufvorgang veranlasst. Sie verarbeiten die Daten in eigener Verantwortung oder in gesonderter Rechtsbeziehung mit dem Verantwortlichen nach ihren Nutzungs- und Datenschutzbedingungen. Der Auftragsverarbeiter übermittelt Daten dorthin nur auf Weisung des Verantwortlichen (§ 4 Abs. 2) und schließt insoweit keine Verträge in seinem Namen. § 8 Abs. 2 und 3 gelten.

Teil C — Eigene Verantwortlichkeit des Auftragsverarbeiters (nicht Gegenstand dieses Vertrags): Stripe Payments Europe, Ltd. (Irland) wickelt die Zahlungen des Verantwortlichen an YJAR ab und verarbeitet Zahlungsdaten für die Abrechnung in eigener Verantwortung. E-Mails des Systems (Anmeldelinks, Hinweise) versendet YJAR über seinen eigenen Dienst YJAR Send; dessen Ausweichweg (Amazon SES) ist in Teil A aufgeführt.