Social-Media-Autoposter

Vertrag zur Auftragsverarbeitung

1. Vertragsparteien und Einordnung

Dieser Vertrag zur Auftragsverarbeitung („AVV“) wird zwischen dem Kunden als Verantwortlichem und

als Auftragsverarbeiter („Anbieter“) gemäß Art. 28 DSGVO geschlossen. Er wird Bestandteil des Hauptvertrags, sobald der Kunde ihn im Einrichtungsassistenten elektronisch annimmt. Soweit der Anbieter eigene Zwecke und Mittel einer Verarbeitung bestimmt, handelt er insoweit als eigener Verantwortlicher.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die technische Bereitstellung des Social-Media-Autoposters. Der Anbieter empfängt vom Kunden übermittelte Medien und Anweisungen, erstellt oder bearbeitet daraus Social-Media-Inhalte, unterstützt den Freigabeprozess und veröffentlicht freigegebene Inhalte über verbundene Konten. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags zuzüglich erforderlicher Rückgabe-, Lösch- und Nachweisfristen.

3. Kategorien von Daten und betroffenen Personen

Datenarten

• Stamm- und Kontaktdaten wie Name, Firma, E-Mail-Adresse und WhatsApp-Nummer,
• Bild-, Text-, Marken- und Metadaten der Social-Media-Inhalte,
• Instagram-, Meta- und Integrationskennungen sowie erforderliche Zugriffs- oder Verbindungstoken,
• Freigaben, Weisungen, Status-, Abrechnungs- und technische Protokolldaten.

Betroffene Personen

Betroffen sein können der Kunde und seine Beschäftigten, Ansprechpartner, abgebildete Personen sowie Nutzer oder Follower, deren Daten in den vom Kunden bereitgestellten Inhalten enthalten sind.

4. Weisungen des Kunden

Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht. Die Nutzung des Dienstes und seine Einstellungen gelten als Weisungen. Weitere Weisungen können in Textform an hallo@adas.team erteilt werden. Hält der Anbieter eine Weisung für datenschutzwidrig, informiert er den Kunden unverzüglich und darf ihre Ausführung bis zur Klärung aussetzen.

5. Pflichten des Anbieters

Der Anbieter verpflichtet zur Verarbeitung befugte Personen auf Vertraulichkeit, unterstützt den Kunden im angemessenen Umfang bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden und stellt die zur Erfüllung von Art. 28 DSGVO erforderlichen Informationen bereit. Personenbezogene Daten werden nicht für Werbung oder eigene Modelltrainingszwecke verwendet.

6. Technische und organisatorische Maßnahmen

Der Anbieter setzt dem Risiko angemessene Maßnahmen ein und überprüft ihre Wirksamkeit regelmäßig. Dazu gehören insbesondere:

• Transportverschlüsselung für externe Verbindungen und geschützte Verwaltung von Zugangsdaten,
• rollen- und aufgabenbezogene Zugriffsrechte, starke Authentisierung und Protokollierung administrativer Zugriffe,
• Trennung von Kunden- und Prozessdaten durch logische Mandantenzuordnung und isolierte Dienste,
• regelmäßige Sicherheitsaktualisierungen, Datensicherung und Wiederherstellungsverfahren,
• Datenminimierung, begrenzte Erfolgsprotokolle und geregelte Löschprozesse,
• Verfahren zur Erkennung, Bewertung, Eindämmung und Dokumentation von Sicherheitsvorfällen.

Der Anbieter darf gleichwertige oder bessere Maßnahmen einsetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter. Ein Dienst wird nur eingebunden, soweit er für die jeweils genutzte Funktion erforderlich ist.

Der Anbieter informiert den Kunden vor einer beabsichtigten Änderung dieser Liste in Textform oder im Dienst. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Können die Parteien keine zumutbare Lösung finden, darf jede Partei den betroffenen Dienstteil kündigen. Der Anbieter verpflichtet Unterauftragsverarbeiter mindestens zu den Datenschutzpflichten dieses AVV.

8. Drittlandübermittlungen

Verarbeitungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO. Der Anbieter stützt sie insbesondere auf einen Angemessenheitsbeschluss oder die von der Europäischen Kommission erlassenen Standardvertragsklauseln und ergänzt diese bei Bedarf durch zusätzliche Schutzmaßnahmen.

9. Datenschutzverletzungen

Der Anbieter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes auftragsverarbeiteter personenbezogener Daten bekannt wurde. Die Mitteilung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Der Anbieter unterstützt den Kunden bei seinen Melde- und Benachrichtigungspflichten.

10. Kontrollen und Nachweise

Der Anbieter stellt geeignete Nachweise zur Verfügung und beantwortet angemessene Datenschutzfragen. Reichen diese nicht aus, kann der Kunde nach angemessener Vorankündigung und unter Wahrung von Vertraulichkeit eine Prüfung selbst oder durch einen unabhängigen, nicht konkurrierenden Prüfer durchführen lassen. Prüfungen sollen den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen; eigene Kosten trägt grundsätzlich jede Partei selbst.

11. Rückgabe und Löschung

Nach Ende des Hauptvertrags löscht oder gibt der Anbieter die im Auftrag verarbeiteten Daten nach Wahl des Kunden zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Produktive Daten werden grundsätzlich innerhalb von 30 Tagen gelöscht; technisch bedingte Sicherungskopien werden im regulären Zyklus spätestens innerhalb von 90 Tagen überschrieben. Bereits auf Instagram veröffentlichte Inhalte liegen im Konto des Kunden und werden durch die Beendigung nicht automatisch entfernt.

12. Rangfolge, Haftung und Schlussbestimmungen

Bei Widersprüchen gehen die Regelungen dieses AVV für die Auftragsverarbeitung dem Hauptvertrag vor. Die Haftungsregelungen des Hauptvertrags gelten, soweit zwingendes Datenschutzrecht nichts anderes bestimmt. Änderungen dieses AVV bedürfen der Textform. Es gilt deutsches Recht; der Gerichtsstand richtet sich nach dem Hauptvertrag.