Allgemeine Geschäftsbedingungen

1. Gegenstand und Umfang

1.1 Replefy verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich, um den in den Bedingungen beschriebenen Dienst zu erbringen: Import der Google-Bewertungen des Kunden, Erstellung von Antwort- und Beitragsentwürfen mit KI und — sofern der Kunde sein Google-Unternehmensprofil verbindet — Veröffentlichung von Antworten nach den Weisungen des Kunden (einzeln freigegeben oder automatisch innerhalb der vom Kunden gesetzten Grenzen).

1.2 Einzelheiten zu den Datenkategorien und den betroffenen Personen enthält Anlage 1.

1.3 Dieser AVV gilt nicht für Daten, für die Replefy selbst Verantwortlicher ist (die eigenen Kontodaten des Kunden, Abrechnung, der öffentliche Visibility Report). Diese sind in unserer Datenschutzerklärung beschrieben.

2. Weisungen

2.1 Replefy verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Bedingungen, dieser AVV sowie die Nutzung und die Einstellungen des Dienstes durch den Kunden (zum Beispiel die Auswahl der zu beantwortenden Bewertung, das Bearbeiten oder Freigeben eines Entwurfs oder das Einschalten automatischer Antworten) stellen diese Weisungen dar.

2.2 Replefy informiert den Kunden unverzüglich, wenn es der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

2.3 Replefy verarbeitet Daten außerhalb dieser Weisungen nur, soweit es nach dem Recht der EU oder eines Mitgliedstaats dazu verpflichtet ist, und informiert den Kunden vorher, sofern das Gesetz dies nicht verbietet.

3. Vertraulichkeit

Replefy wird derzeit von einer Person betrieben, die zur Vertraulichkeit verpflichtet ist. Jede Person, die Replefy künftig zur Verarbeitung der Daten befugt, wird vor dem Zugriff zur Vertraulichkeit verpflichtet.

4. Sicherheit

Replefy setzt die technischen und organisatorischen Maßnahmen aus Anlage 2 um und hält sie auf dem aktuellen Stand. Replefy darf eine Maßnahme durch eine gleichwertige oder bessere ersetzen; das Schutzniveau insgesamt darf nicht sinken.

5. Unterauftragsverarbeiter

5.1 Der Kunde erteilt Replefy eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die derzeit eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

5.2 Replefy informiert den Kunden mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Wird keine Lösung gefunden, kann der Kunde den Dienst kündigen; Replefy berechnet für den verbleibenden Zeitraum nichts.

5.3 Replefy erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens so schützend sind wie dieser AVV, und bleibt dem Kunden gegenüber für diese verantwortlich.

5.4 Übermittlungen in Länder außerhalb der EU/des EWR erfolgen nur nach Art. 44 ff. DSGVO — auf Grundlage eines Angemessenheitsbeschlusses (z. B. Vereinigtes Königreich; das EU-US Data Privacy Framework für zertifizierte Anbieter) oder der EU-Standardvertragsklauseln.

6. Unterstützung

6.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt Replefy den Kunden bei der Beantwortung von Anfragen betroffener Personen (zum Beispiel wenn ein Bewertender Auskunft oder Löschung verlangt). Wendet sich eine betroffene Person wegen Daten des Kunden direkt an Replefy, leitet Replefy die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde bittet darum.

6.2 Replefy unterstützt den Kunden bei seinen Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit die Replefy vorliegenden Informationen dies erlauben.

7. Verletzungen des Schutzes personenbezogener Daten

Replefy informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Kunden betrifft — per E-Mail an die Kontoadresse, mit den zu diesem Zeitpunkt verfügbaren Informationen (Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen), und ergänzt sie, sobald mehr bekannt ist.

8. Löschung und Rückgabe

8.1 Der Kunde kann einen Export seiner Daten unter support@replefy.com anfordern und sein Konto jederzeit löschen (Settings → Account → Delete account). Mit der Löschung des Kontos werden alle Daten des Kunden sofort aus der Produktivdatenbank entfernt.

8.2 Kopien in den verschlüsselten Backups von Replefy werden automatisch innerhalb von 7 Tagen gelöscht, Protokolle automatisierter Verarbeitungsläufe innerhalb von 14 Tagen (siehe Anlage 2).

8.3 Nach Ende des Dienstes löscht Replefy alle verbleibenden personenbezogenen Daten, die im Auftrag des Kunden verarbeitet wurden, innerhalb derselben Fristen, sofern nicht das Recht der EU oder eines Mitgliedstaats eine Speicherung vorschreibt.

9. Informationen und Kontrollen

9.1 Replefy stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, vorrangig in schriftlicher Form (dieser AVV, seine Anlagen, Antworten auf Fragen des Kunden).

9.2 Reicht dies nicht aus, kann der Kunde eine Kontrolle selbst durchführen oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchführen lassen — mit einer Ankündigungsfrist von mindestens 30 Tagen, zu den üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und auf eigene Kosten. Die Rechte der Aufsichtsbehörden bleiben unberührt.

10. Laufzeit, Haftung, Recht

10.1 Dieser AVV gilt, solange Replefy personenbezogene Daten im Auftrag des Kunden verarbeitet.

10.2 Die Haftung richtet sich nach den Allgemeinen Geschäftsbedingungen. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO wird dadurch nicht beschränkt.

10.3 Dieser AVV unterliegt spanischem Recht; es gilt die Gerichtsstandsregelung der Bedingungen.

Anlage 1 — Einzelheiten der Verarbeitung

• Art und Zweck

  Import der Google-Bewertungen des Betriebs des Kunden; Anzeige in der App; Erstellung von Antwort- und Beitragsentwürfen mit KI; Veröffentlichung von Antworten auf Google (nur bei verbundenem Google-Unternehmensprofil: vom Kunden freigegebene Antworten oder, wenn der Kunde automatische Antworten eingeschaltet hat, Antworten innerhalb der vom Kunden gesetzten Grenzen); Zählung der Scans von Bewertungskarten.

• Betroffene Personen

  Personen, die den Betrieb des Kunden auf Google bewertet haben; in diesen Bewertungen genannte Personen (z. B. Mitarbeiter); Personen, die in Beispielantworten, Regeln oder Beitragstexten des Kunden genannt sind.

• Datenkategorien

  Anzeigename des Bewertenden, Sternebewertung, Bewertungstext und -datum, bestehende Antworten des Kunden auf Google, KI-Entwürfe und veröffentlichte Antworten, Beispielantworten und Regeln (AI Voice), Beitragstexte; bei Bewertungskarten nur Scan-Zeitpunkt und Gerätetyp (keine IP-Adresse, keine Identität).

• Besondere Kategorien (Art. 9 DSGVO)

  Nicht vorgesehen. Bewertungstexte werden von Dritten verfasst und könnten solche Daten zufällig enthalten; Replefy wertet sie dafür weder aus noch nutzt es sie dafür.

• Dauer

  Für die Laufzeit des Dienstes; Löschung wie in Abschnitt 8.

• Ort

  Datenbank: Supabase, London (Vereinigtes Königreich). Automatisierung und Backups: Hetzner, Deutschland. KI-Entwürfe: siehe Anlage 3.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung

• Alle Verbindungen zur App, zur API und zwischen unseren Systemen nutzen TLS (HTTPS).
• Die Datenbank wird von unserem Datenbankanbieter im Ruhezustand verschlüsselt.
• Google-OAuth-Refresh-Tokens werden vor dem Speichern zusätzlich mit einem eigenen Schlüssel verschlüsselt.
• Backups werden vor dem Schreiben auf die Festplatte verschlüsselt (AES-256); den Schlüssel hat nur der Betreiber.

Zugriffskontrolle und Trennung

• Die Daten jedes Kunden sind in der Datenbank durch Row-Level-Security getrennt: Ein Konto kann nur die Daten des eigenen Betriebs lesen und schreiben.
• Administrativer Zugriff auf Datenbank, Server und Anbieterkonten ist auf den Betreiber beschränkt.
• Aufrufe zwischen unseren Serverfunktionen und dem Automatisierungsserver sind mit einem gemeinsamen Geheimnis authentifiziert.
• Serverzugriff (SSH) ist nur mit kryptografischen Schlüsseln möglich; das Administratorkonto hat kein nutzbares Passwort.

Verfügbarkeit und Belastbarkeit

• Nächtliches verschlüsseltes Datenbank-Backup auf einen Server in Deutschland, 7 Tage aufbewahrt, nach jedem Lauf geprüft; Fehler lösen eine E-Mail-Warnung aus.
• Verfügbarkeitsüberwachung der Website und der Automatisierungs-Webhooks alle 5 Minuten mit E-Mail-Warnungen.

Datenminimierung und Löschung

• Die Kontolöschung entfernt alle Kundendaten sofort; Backups verfallen nach 7 Tagen.
• Protokolle automatisierter Verarbeitungsläufe werden nach 14 Tagen gelöscht.
• Es werden keine Webserver-Zugriffsprotokolle geführt; Fehlerprotokolle enthalten keine IP-Adressen.
• KI-Anbieter werden über ihre APIs genutzt, deren Bedingungen ein Training mit den Daten nicht erlauben.

Organisation

• Änderungen am System werden in einer Versionsverwaltung nachverfolgt; Datenbankänderungen sind als Migrationen versioniert.
• Datenschutzvorfälle werden wie in Abschnitt 7 dieses AVV behandelt.

Anlage 3 — Unterauftragsverarbeiter

• Supabase (Supabase Pte. Ltd., Singapur; Supabase, Inc., USA)

  Datenbank, Authentifizierung, Dateispeicher, Serverfunktionen

  Datenspeicherung in London, Vereinigtes Königreich — Angemessenheitsbeschluss; Betriebs- und Supportzugriffe aus den USA und Singapur — Standardvertragsklauseln

• Hetzner Online GmbH

  Server für Website, Automatisierungs-Workflows, Backups

  Deutschland (EU)

• OpenAI Ireland Ltd. (mit OpenAI OpCo, LLC, USA)

  Entwürfe für Antworten und Beiträge

  Irland (EU); Weiterübermittlung in die USA — Standardvertragsklauseln

• Anthropic Ireland, Limited (mit Anthropic, PBC, USA)

  Entwürfe für Antworten und Beiträge (alternativer Anbieter)

  Irland (EU); Weiterübermittlung in die USA — Standardvertragsklauseln

• Google (Google Ireland Ltd. / Google LLC)

  Places API, Business Profile API (Lesen von Bewertungen, Veröffentlichen von Antworten)

  EU / USA — Data Privacy Framework / Standardvertragsklauseln

• Resend (Plus Five Five, Inc.)

  Versand von Service-E-Mails

  Versandregion Irland (EU); Unternehmen in den USA — Data Privacy Framework / Standardvertragsklauseln