Anhänge zum Auftragsverarbeitungsvertrag
Verarbeitet Nulegal personenbezogene Daten im Auftrag eines Kunden, schließen die Parteien einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Diese Seite veröffentlicht dessen Anhänge, damit vor der Anfrage erkennbar ist, was darin steht.
Der Vertragstext selbst sind die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915 der Europäischen Kommission. Er wird nicht verändert: nach Klausel 2 der Standardvertragsklauseln dürfen nur die Anhänge ergänzt oder aktualisiert werden. Deshalb steht hier auch nur, was in den Anhängen steht.
Eine unterzeichnungsfähige Fassung mit den Angaben zum Verantwortlichen in Anhang I gibt es unter support@getsupersocial.me.
Anhang I — Parteien und Beschreibung der Verarbeitung
A. Parteien
| Verantwortlicher | Auftragsverarbeiter | |
|---|---|---|
| Firma | (Kunde) | Nulegal GmbH |
| Anschrift | (Kunde) | Babelsberger Straße 16, 14473 Potsdam, Deutschland |
| Kontakt | (Kunde) | support@getsupersocial.me |
| Vertreten durch | (Kunde) | Bork Morfaw, Geschäftsführer |
| Datenschutzbeauftragter | (Kunde, falls benannt) | nicht benannt; die gesetzlichen Voraussetzungen liegen nicht vor |
Amtsgericht Potsdam, HRB 42127 P.
B. Beschreibung der Verarbeitung
Gegenstand. Der Auftragsverarbeiter stellt eine Software bereit, die die vom Verantwortlichen verbundenen Nachrichtenkonten (WhatsApp, LinkedIn, Instagram, Telegram, E-Mail) anbindet, die Nachrichten dieser Konten abruft und speichert, sie durchsuchbar bereitstellt und den Versand von Nachrichten über eine Schnittstelle nach dem Model Context Protocol ermöglicht.
Zum Gegenstand gehört außerdem der Zugriff auf die Kalender der verbundenen Konten (Google, Outlook): Lesen, Anlegen, Ändern und Löschen von Terminen einschließlich der Angaben zu den eingeladenen Teilnehmern. Das ist gesondert genannt, weil dabei personenbezogene Daten von Personen verarbeitet werden, die dem Verantwortlichen nie eine Nachricht geschrieben haben.
Die Software kann darüber hinaus auf Anforderung öffentlich zugängliche Profilangaben aus beruflichen Netzwerken zu einer beliebigen Person abrufen, auch wenn zu dieser Person kein Nachrichtenverlauf besteht.
Art der Verarbeitung. Erheben, Erfassen, Organisieren, Speichern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Löschen.
Zweck. Ausschließlich die Erbringung der vertraglich vereinbarten Leistung nach den AGB. Eine Nutzung der Daten zum Training von KI-Modellen findet nicht statt.
Dauer. Für die Laufzeit des Hauptvertrags. Nach Vertragsende werden die Daten auf Anforderung, spätestens jedoch innerhalb von 90 Tagen, gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Der Verantwortliche kann die Löschung jederzeit selbst in der Anwendung auslösen; sie wirkt dann sofort.
C. Kategorien betroffener Personen
- Beschäftigte und sonstige Nutzer des Verantwortlichen, die ein Konto in SuperSocial haben.
- Kommunikationspartner des Verantwortlichen, also alle Personen, die mit einem verbundenen Konto Nachrichten austauschen. Diese Personen sind selbst keine Nutzer der Software und haben in der Regel keine Kenntnis von der Verarbeitung. Der Verantwortliche ist für die Informationspflichten nach Art. 13 und Art. 14 DSGVO ihnen gegenüber zuständig.
D. Kategorien personenbezogener Daten
| Kategorie | Einzelheiten |
|---|---|
| Kontodaten | E-Mail-Adresse, Name, Zeitzone, Zeitpunkt der Registrierung, angenommene Fassung der AGB |
| Verbindungsdaten | verbundener Dienst, Anzeigename des Kontos (Telefonnummer oder Profilname), Kennung der Verbindung beim Unterauftragsverarbeiter, Verbindungsstatus, Zeitpunkt der letzten Synchronisation |
| Nachrichteninhalte | vollständiger Text und Betreff aller synchronisierten Nachrichten, Anhänge |
| Kommunikationsmetadaten | Absender, Empfänger, Zeitstempel, Lesestatus, Konversationszuordnung |
| Kontaktdaten Dritter | Namen, Telefonnummern, E-Mail-Adressen, Profilbilder und Profil-URLs der Kommunikationspartner; bei beruflichen Netzwerken zusätzlich öffentlich sichtbare Angaben wie Position, Kurzbeschreibung und Ort |
| Kalenderdaten | Titel, Beschreibung, Ort, Zeitraum und Wiederholung von Terminen; E-Mail-Adressen, Namen und Zusagestatus der eingeladenen Teilnehmer |
| Nutzungsdaten | Anzahl und Zeitpunkt der Zugriffe über die Schnittstelle, Bezeichnung der verbundenen KI-Anwendung |
| Vertrags- und Abrechnungsdaten | Abonnementstatus, Kundenkennung beim Zahlungsdienstleister, Rechnungsdaten |
| Protokolldaten | IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browserkennung |
Besondere Kategorien nach Art. 9 DSGVO werden nicht gezielt verarbeitet. Der Verantwortliche beachtet jedoch, dass Nachrichteninhalte ihrer Natur nach beliebige Angaben enthalten können, einschließlich Gesundheitsdaten oder anderer besonderer Kategorien, und dass die Software solche Inhalte nicht erkennt oder aussondert.
E. Häufigkeit
Fortlaufend, automatisiert im Abstand von etwa fünf Minuten je verbundenem Konto sowie ereignisgesteuert über Webhooks.
Anhang II — Technische und organisatorische Maßnahmen
Die Maßnahmen nach Art. 32 DSGVO stehen in der gesonderten Anlage Technische und organisatorische Maßnahmen, Version 1.2. Sie ist Bestandteil des Vertrags.
Die Versionsnummer ist im Vertrag anzugeben. Die Maßnahmen ändern sich mit dem System, und ein unterzeichneter Vertrag muss erkennen lassen, welchen Stand er einbezogen hat.
Anhang III — Kontaktstelle
Nulegal GmbHsupport@getsupersocial.me
Anhang IV — Unterauftragsverarbeiter
Der Verantwortliche genehmigt die Inanspruchnahme der folgenden Unterauftragsverarbeiter. Die jeweils aktuelle Fassung dieser Liste steht unter app.getsupersocial.me/legal/subprocessors. Nulegal informiert vor der Hinzunahme oder dem Austausch eines Unterauftragsverarbeiters in Textform.
1. Google Cloud EMEA Limited
- Anschrift
- 70 Sir John Rogerson's Quay, Dublin 2, Irland
- Gegenstand
- Hosting der Anwendung, der Datenbank und der Sicherungskopien
- Drittlandbezug
- Nein. Verarbeitung in der Region europe-west3 (Frankfurt am Main). Ein Support-Zugriff aus Drittländern ist nach den Vertragsbedingungen von Google möglich und dort auf Standardvertragsklauseln gestützt.
- Bemerkungen
- Cloud Data Processing Addendum liegt vor. ISO 27001, SOC 2.
2. Unipile
- Anschrift
- 168 rue de la Rotonde, 42153 Riorges, Frankreich
- Gegenstand
- Anbindung der verbundenen Nachrichtenkonten, Abruf und Versand der Nachrichten
- Drittlandbezug
- Ja, mittelbar. Unipile hostet nach eigenen Angaben in Frankreich (Scaleway) und nutzt für die eigene Abrechnung einen Dienstleister in den USA (Stripe). Für die Anbindung der Plattformen werden Proxy-Anbieter eingesetzt; nach schriftlicher Auskunft von Unipile vom 06.08.2026 ist der Verkehr zwischen Unipile und der Plattform Ende-zu-Ende verschlüsselt, so dass die Proxy-Anbieter keine Nachrichteninhalte verarbeiten, sondern nur Verbindungsmetadaten. Schutzmaßnahme für die Abrechnung: Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
- Bemerkungen
- Auftragsverarbeitungsvertrag liegt vor. SOC 2 Type II.
3. Stripe Payments Europe, Limited
- Anschrift
- 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland
- Gegenstand
- Zahlungsabwicklung, Abonnementverwaltung, Rechnungsstellung
- Drittlandbezug
- Ja. Übermittlung an die Stripe, Inc. (USA) auf Grundlage von Standardvertragsklauseln.
- Bemerkungen
- DPA liegt vor. Stripe ist hinsichtlich der Zahlungsdaten teilweise eigener Verantwortlicher.
4. Brevo GmbH
- Anschrift
- Köpenicker Straße 126, 10179 Berlin, Deutschland
- Gegenstand
- Versand von Transaktions-E-Mails (Anmeldelinks, Störungshinweise)
- Drittlandbezug
- Nein (EU/EWR)
- Bemerkungen
- DPA liegt vor.
Kein Unterauftragsverarbeiter: der Anbieter der verbundenen KI-Anwendung
Verbindet der Verantwortliche eine KI-Anwendung (etwa Claude oder ChatGPT), werden die über die Schnittstelle abgerufenen Daten an deren Anbieter übermittelt. Diese Übermittlung erfolgt auf Weisung und Veranlassung des Verantwortlichen. Nulegal wählt den Anbieter nicht aus, hat keinen Vertrag mit ihm und kann dessen Verarbeitung weder steuern noch beenden.
Der Verantwortliche ist dafür zuständig, für diese Übermittlung eine eigene Rechtsgrundlage zu schaffen und, soweit erforderlich, einen eigenen Auftragsverarbeitungsvertrag mit dem Anbieter zu schließen.
Verzeichnis von Verarbeitungstätigkeiten
Das Verzeichnis nach Art. 30 DSGVO wird geführt und der Aufsichtsbehörde auf Anforderung vorgelegt. Es wird nicht veröffentlicht, weil das Gesetz das nicht vorsieht und es interne Angaben enthält, die keinen Bezug zum Vertrag mit einem einzelnen Kunden haben. Kunden, die es im Rahmen einer eigenen Prüfung benötigen, erhalten es auf Anfrage.