Dieser AVV gilt automatisch als Bestandteil des Hauptvertrages zwischen dem jeweiligen Kunden von Presto Social (nachfolgend „Verantwortlicher“) und Moritz Block, Presto Social, Schlegelstrasse 17, 50935 Köln (nachfolgend „Auftragsverarbeiter“), sobald der Kunde diesen AVV im Rahmen des Bestellprozesses akzeptiert. Gemeinsam werden Verantwortlicher und Auftragsverarbeiter als „Parteien“ bezeichnet.
Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung der Leistungen von Presto Social durch den Verantwortlichen im Rahmen des zwischen den Parteien bestehenden Hauptvertrages (Allgemeine Geschäftsbedingungen von Presto Social, nachfolgend „Hauptvertrag“) ergeben, soweit der Auftragsverarbeiter im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Die Parteien halten fest, dass zum Zeitpunkt des Abschlusses dieses AVV der Leistungsumfang von Presto Social keine Verarbeitung personenbezogener Daten Dritter (z. B. Follower, Kontakte oder Abonnenten des Verantwortlichen) umfasst, soweit lediglich Schreibrechte zur Veröffentlichung freigegebener Inhalte auf den eigenen Social-Media-Kanälen des Verantwortlichen genutzt werden. Dieser AVV wird vorsorglich geschlossen und gilt automatisch für zukünftige Leistungsbestandteile, bei denen eine Verarbeitung personenbezogener Daten im Auftrag erfolgt (z. B. Verarbeitung von Empfänger-/Abonnentenlisten im Rahmen einer Newsletter-Funktion), sobald der Verantwortliche eine solche Funktion nutzt. Die Einzelheiten hierzu ergeben sich aus Anlage 1.
(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Erbringung der Leistungen gemäß Hauptvertrag.
(2) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung, unbeschadet der in § 9 geregelten Pflichten nach Vertragsende.
Die Einzelheiten zu Art und Zweck der Verarbeitung, der Art der verarbeiteten personenbezogenen Daten sowie dem Kreis der betroffenen Personen ergeben sich aus Anlage 1 zu diesem Vertrag. Anlage 1 wird von den Parteien in Textform aktualisiert, sobald der Verantwortliche neue, mit einer Verarbeitung personenbezogener Daten verbundene Funktionen des Auftragsverarbeiters (z. B. Newsletter-Empfängerlisten) in Anspruch nimmt.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu einer anderen Verarbeitung verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Der Auftragsverarbeiter gewährleistet insbesondere,
dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
dass er die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen ergreift (siehe Anlage 2);
dass er die Vorgaben zur Hinzuziehung weiterer Auftragsverarbeiter gemäß § 5 einhält;
dass er den Verantwortlichen im Rahmen der Möglichkeiten mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO) unterstützt;
dass er den Verantwortlichen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (u. a. Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung) unterstützt;
dass er nach Beendigung der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen löscht oder zurückgibt, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (siehe § 9);
dass er dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung stellt und Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen anderen von ihm beauftragten Prüfer ermöglicht und dazu beiträgt (siehe § 7).
(1) Der Verantwortliche erteilt Weisungen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wurde.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Unterauftragsverarbeiter in Textform mit angemessenem Vorlauf, mindestens jedoch 14 Tage vor der geplanten Änderung. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.
(3) Der Auftragsverarbeiter legt dem/den Unterauftragsverarbeiter(n) dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere im Hinblick auf ausreichende Garantien für geeignete technische und organisatorische Maßnahmen. Soweit ein Unterauftragsverarbeiter seinen Sitz außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums hat, stellt der Auftragsverarbeiter sicher, dass eine geeignete Garantie im Sinne der Art. 44 ff. DSGVO besteht (z. B. EU-Standardvertragsklauseln).
(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO, die im Rahmen der Auftragsverarbeitung aufgetreten sind.
(2) Die Meldung enthält, soweit dem Auftragsverarbeiter bekannt, mindestens die in Art. 33 Abs. 3 DSGVO genannten Angaben und unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und ggf. den betroffenen Personen.
(1) Der Verantwortliche hat das Recht, sich vor Beginn und während der Dauer der Verarbeitung von der Einhaltung der vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
(2) Der Auftragsverarbeiter stellt dem Verantwortlichen hierfür auf Anfrage in angemessenem Umfang die erforderlichen Auskünfte zur Verfügung bzw. weist die Einhaltung der vereinbarten Maßnahmen in geeigneter Form nach (z. B. durch Vorlage aktueller Zertifizierungen, Testate oder Selbstauskünfte). Vor-Ort-Kontrollen sind nach vorheriger Ankündigung mit angemessenem Vorlauf (mindestens zwei Wochen) während der üblichen Geschäftszeiten und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden des Auftragsverarbeiters möglich.
Weisungsberechtigt auf Seiten des Verantwortlichen ist: [Name, Funktion, Kontaktdaten einfügen]. Ansprechpartner beim Auftragsverarbeiter ist: Moritz Block, kontakt@prestosocial.de.
Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter sämtliche im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten oder gibt diese nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende, sofern der Verantwortliche nicht zuvor die Rückgabe der Daten verlangt hat.
Es gelten die Haftungsregelungen des Hauptvertrages entsprechend, soweit gesetzlich nicht zwingend etwas anderes bestimmt ist. Die Haftung der Parteien gegenüber betroffenen Personen sowie im Verhältnis zu Aufsichtsbehörden richtet sich nach den zwingenden Vorgaben der DSGVO, insbesondere Art. 82 DSGVO.
(1) Dieser AVV wird auf die Dauer des Hauptvertrages geschlossen; § 1 Abs. 2 bleibt unberührt.
(2) Änderungen und Ergänzungen dieses AVV, einschließlich etwaiger Zusicherungen des Auftragsverarbeiters, bedürfen der Textform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
(3) Bei Widersprüchen zwischen Regelungen dieses AVV und Regelungen des Hauptvertrages gehen die Regelungen dieses AVV in Bezug auf datenschutzrechtliche Fragestellungen vor.
(4) Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, berührt dies die Wirksamkeit des übrigen Vertrages nicht.
Entspricht Gegenstand und Dauer des Hauptvertrages.
Derzeit (Stand Vertragsschluss): Keine Verarbeitung personenbezogener Daten Dritter, da der Auftragsverarbeiter im Rahmen der Anbindung an Social-Media-Kanäle des Verantwortlichen ausschließlich über Schreibrechte zur Veröffentlichung freigegebener Inhalte verfügt.
Sobald der Verantwortliche eine Funktion nutzt, bei der personenbezogene Daten Dritter an den Auftragsverarbeiter übermittelt werden (z. B. Newsletter-Empfänger-/Abonnentenlisten zum Zwecke des Versands individualisierter Newsletter-Inhalte), gilt ergänzend: [wird bei Aktivierung der Funktion ergänzt: Zweck, Verarbeitungsschritte].
[Bei Aktivierung der Newsletter-Empfängerlisten-Funktion ergänzen, voraussichtlich: Name, E-Mail-Adresse, ggf. weitere vom Verantwortlichen bereitgestellte Kontakt- oder Segmentierungsdaten.]
[Bei Aktivierung der Newsletter-Empfängerlisten-Funktion ergänzen, voraussichtlich: Newsletter-Abonnenten bzw. Kunden des Verantwortlichen.]
Bitte vollständig und wahrheitsgemäß mit den tatsächlich umgesetzten Maßnahmen ausfüllen (nicht ankreuzen, was nicht zutrifft). Diese Anlage ist rechtlich verbindlich und kann Grundlage für Audits oder Haftungsfragen sein.
☑ Zutrittskontrolle (z. B. abgeschlossene Räume, Zutrittsprotokolle für Serverstandorte): Presto Social unterhält keinen eigenen Serverstandort; sämtliche Datenhaltung erfolgt in den Rechenzentren der eingesetzten Cloud-Anbieter (Supabase, Vercel), deren physische Zutrittskontrolle in deren eigener Verantwortung liegt. Eigene Endgeräte (Laptops) sind durch Passwort- bzw. biometrischen Login geschützt.
☑ Zugangskontrolle zu IT-Systemen (z. B. Passwortrichtlinien, Zwei-Faktor-Authentifizierung): Zwei-Faktor-Authentifizierung (2FA) ist für alle geschäftskritischen Dienste (Supabase, GitHub, Vercel) aktiviert.
☑ Zugriffskontrolle / Berechtigungskonzept (z. B. rollenbasierte Zugriffsrechte, Prinzip der geringsten Rechte): Ausschließlich Moritz Block hat Zugriff auf die produktiven Systeme (Supabase, Social-Media-Konten der Kunden). Eingesetzte Freelancer erhalten keinen Zugriff auf Supabase oder personenbezogene Kundendaten. Bei dieser Zugriffsstruktur ist ein weitergehendes rollenbasiertes Berechtigungskonzept derzeit nicht erforderlich.
☑ Trennungskontrolle (z. B. logische/physische Trennung von Daten unterschiedlicher Kunden): Die Trennung der Kundendaten erfolgt logisch auf Anwendungsebene über eine customer_id-Spalte in der Datenbank. Eine zusätzliche, datenbankseitig erzwungene Trennung mittels Row Level Security (RLS) ist derzeit nicht aktiv; die korrekte Trennung hängt insoweit von einer fehlerfreien Filterung in der Anwendungslogik ab. Die Aktivierung von RLS wird als zusätzliche Absicherung geprüft.
☑ Weitergabekontrolle (z. B. Verschlüsselung bei Übertragung, TLS/SSL): Sämtliche Datenübertragung erfolgt verschlüsselt über TLS (mindestens TLS 1.2); dies wird durch die eingesetzten Infrastruktur-Anbieter Supabase und Vercel standardmäßig und ohne zusätzliche Konfiguration sichergestellt.
☑ Eingabekontrolle (z. B. Protokollierung von Eingaben, Änderungen, Löschungen): Eingaben, Änderungen und Löschungen an personenbezogenen Daten werden über eine eigene Audit-Tabelle in der Supabase-Datenbank protokolliert (u. a. Zeitstempel, ausführender Nutzer, Art der Änderung).
☑ Backup-Konzept (z. B. Häufigkeit, Speicherort der Backups): Automatisierte tägliche Backups der Datenbank bei Supabase (EU-Region Irland) mit einer Aufbewahrungsdauer von mindestens 7 Tagen; bei kostenpflichtigem Tarif zusätzlich Point-in-Time-Recovery (PITR). Details siehe gesonderter Notfallwiederherstellungsplan, Ziff. 3.
☑ Verschlüsselung ruhender Daten (Encryption at rest): Alle bei Supabase gespeicherten Daten werden standardmäßig mit AES-256 verschlüsselt (Encryption at rest), einschließlich Datenbank-Backups; dies erfordert keine gesonderte Konfiguration und ist durchgehend aktiv.
☑ Notfallwiederherstellungsplan (Disaster Recovery): Es besteht ein gesonderter, schriftlich dokumentierter Notfallwiederherstellungsplan (Stand 15.09.2026), der Zuständigkeiten, Reaktionsschritte bei Datenverlust, Systemausfall und Datenschutzverletzungen (Meldung an den Verantwortlichen binnen 48 Stunden gemäß § 6 dieses AVV) sowie Wiederanlaufzeiten festlegt.
☑ Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen (z. B. Turnus, Verantwortlichkeit): Mindestens einmal jährlich, verantwortlich ist Moritz Block; umfasst insbesondere einen Testlauf der Datenwiederherstellung aus dem Backup in eine isolierte Testumgebung gemäß Notfallwiederherstellungsplan, Ziff. 6.
☑ Vertraulichkeitsverpflichtung der Mitarbeiter/Freelancer: Ausschließlich Moritz Block hat Zugriff auf personenbezogene Kundendaten; eingesetzte Freelancer erhalten keinen Zugriff auf solche Daten, sodass für diese aktuell keine Vertraulichkeitserklärung erforderlich ist. Sollte künftig weiteren Personen Datenzugriff gewährt werden, unterzeichnen diese vorab die hierfür vorbereitete, gesonderte Vertraulichkeitserklärung.
☐ Auftragskontrolle gegenüber eigenen Unterauftragsverarbeitern (Anlage 3): Eine regelmäßige Überprüfung der in Anlage 3 genannten Unterauftragsverarbeiter (z. B. hinsichtlich Zertifizierungen, Sicherheitsmaßnahmen oder Änderungen der Nutzungsbedingungen) findet derzeit nicht statt.
| Unterauftragsverarbeiter | Zweck der Verarbeitung | Ort/Land der Verarbeitung | Garantie bei Drittlandtransfer |
|---|---|---|---|
| OpenAI OpCo, LLC / OpenAI Ireland Ltd. | Generierung von Text- und Bildinhalten | USA / Irland | SCC / AVV |
| Anthropic PBC / Anthropic Ireland, Limited | Generierung von Textinhalten | USA / Irland | SCC / AVV |
| Black Forest Labs Inc. / BFL GmbH („FLUX“) | Generierung von Bildinhalten | USA / Deutschland | SCC; zusätzlich erweiterte Nutzungsrechte des Anbieters an Ein-/Ausgabedaten – siehe Ziff. 7 Datenschutzerklärung |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung | Irland / ggf. USA | SCC / AVV |
| Vercel Inc. | Hosting der Website/Anwendung | USA | SCC / AVV |
| Tally BV (bzw. aktueller Anbieter) | Onboarding-Formular | Belgien | AVV (kein Drittlandtransfer, EU-intern) |
| Supabase Pte. Ltd. | Datenbank-/Speicherinfrastruktur (Hosting der Kundendaten) | Irland (EU-Region); Unternehmenssitz Singapur | AVV (Data Processing Addendum); Speicherung erfolgt in der EU-Region Irland |
| Buffer, Inc. | Planung und Veröffentlichung von Social-Media-Beiträgen | USA | SCC / AVV (Data Processing Addendum) |
Hinweis zu Black Forest Labs („FLUX“): Anders als bei den übrigen in dieser Anlage genannten Unterauftragsverarbeitern räumt sich dieser Anbieter nach seinen aktuellen API-Nutzungsbedingungen ein zeitlich unbegrenztes, unwiderrufliches Recht ein, übermittelte Ein- und Ausgabedaten auch zum Training eigener KI-Modelle zu nutzen. Der Auftragsverarbeiter weist den Verantwortlichen hierauf ausdrücklich hin; die rechtliche Einordnung dieses Anbieters als Auftragsverarbeiter im Sinne von Art. 28 DSGVO im Hinblick auf diese Nutzung ist Gegenstand der noch ausstehenden anwaltlichen Prüfung dieses Vertrages.
Presto Social · Moritz Block · Schlegelstrasse 17 · 50935 Köln · kontakt@prestosocial.de