Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Anlage A zu den Allgemeinen Geschäftsbedingungen der „Attractive Accounts" · Stand: Juli 2026

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") ist integraler Bestandteil der AGB und wird mit Vertragsschluss über die Plattform automatisch zwischen den Parteien geschlossen. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO).

Parteien:

• Verantwortlicher (nachfolgend „Kunde" oder „Verantwortlicher") — der Kunde des Anbieters gemäß den AGB.
• Auftragsverarbeiter (nachfolgend „Anbieter" oder „Auftragsverarbeiter") — Attractive Media GmbH, Dachauer Straße 44a, 80335 München.

§ 1 Gegenstand, Anwendungsbereich und Dauer

1. Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden, soweit der Kunde die Inbox-Funktion der Plattform (z. B. den „Attractive Chat" sowie die darin enthaltenen Automationen) nutzt und dabei personenbezogene Daten Dritter (insbesondere seiner Follower, Kommentierenden und Nachrichtenpartner) verarbeitet und zum Beispiel automatisierte Antworten generiert oder auftragsgemäß Beiträge des Kunden veröffentlicht.

2. Der Kunde ist für diese Verarbeitung allein Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; der Anbieter ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Für die Verarbeitung von Website-Besucher-, Registrierungs-, Abrechnungs- und Kontodaten ist der Anbieter demgegenüber selbst Verantwortlicher (siehe Datenschutzerklärung); insoweit gilt dieser AVV nicht.

3. Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags (unter Einbeziehung der AGB). Er endet automatisch mit Beendigung des Hauptvertrags, unbeschadet fortbestehender Löschungs- und Nachweispflichten.

§ 2 Art und Zweck der Verarbeitung

1. Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Anzeigen, Auslesen, Verwenden, Übermitteln an KI-Anbieter zur Erzeugung von Antwortvorschlägen, Löschen personenbezogener Daten im Rahmen der Inbox- und KI-Antwortfunktion der Plattform.

2. Zweck der Verarbeitung: Bereitstellung einer zentralen Kommentar- und Nachrichten-Inbox, in der der Kunde die eingehende Social-Media-Kommunikation seiner angebundenen Konten verwaltet, sowie die Erstellung KI-gestützter Antwortvorschläge zu diesen Nachrichten.

3. Die Verarbeitung findet ausschließlich im Rahmen der Leistungserbringung nach dem Hauptvertrag und nach den Weisungen des Kunden statt.

§ 3 Kategorien betroffener Personen und Datenkategorien

1. Kategorien betroffener Personen:

• Follower, Abonnenten und sonstige Nutzer der Social-Media-Konten des Kunden;
• Personen, die Kommentare, Direktnachrichten oder sonstige Nachrichten an die Konten des Kunden senden;
• sonstige Kontakte, die mit dem Kunden über die angebundenen Kanäle kommunizieren.

2. Kategorien personenbezogener Daten (Kommunikationsdaten der Endkunden):

• Nutzernamen / Handles / Profilnamen;
• Nachrichteninhalte (Kommentare, Direktnachrichten, Antworten);
• Profilbilder und Profilinformationen, soweit über die Kanäle bereitgestellt;
• Reaktionen und Interaktionen (z. B. Likes, Emojis);
• Zeitstempel und plattformseitige Kennungen (z. B. Nachrichten-/Nutzer-IDs).

3. Der Kunde stellt sicher, dass er keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO in die Verarbeitung einbringt, es sei denn, dies ist ausdrücklich vereinbart und rechtlich zulässig. Der Kunde hat dies stichprobenartig zu prüfen. Sobald der Kunde Kenntnis davon erlangt hat, dass besondere Kategorien nach Art. 9 DSGVO vorliegen könnten, hat er dies dem Betreiber der Plattform sowie dem Anbieter unverzüglich zu melden. Bis zu einer solchen Kenntnis geht der Anbieter davon aus, dass es sich um zulässige Kommunikationsdaten handelt.

§ 4 Weisungsrecht des Verantwortlichen

1. Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Kunden, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt der Anbieter dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2. Weisungen erfolgen grundsätzlich durch die Konfiguration und Nutzung der Plattform sowie ergänzend in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Erfolgt keine unverzügliche Bestätigung in Textform, kann der Anbieter der Ausführung der Weisung so lange widersprechen, bis eine Bestätigung in Textform erfolgt.

3. Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Anbieter ist berechtigt, die Durchführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Kunden auszusetzen.

§ 5 Vertraulichkeit

1. Der Anbieter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO, Art. 29, 32 Abs. 4 DSGVO).

2. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit und dieses AVV fort.

§ 6 Technische und organisatorische Maßnahmen (TOM)

Der Anbieter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragsdauer aufrecht. Der Anbieter darf die Maßnahmen fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

§ 7 Subunternehmer (Subprozessoren)

1. Der Kunde erteilt dem Anbieter die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Subprozessoren). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subprozessoren sind in Anlage 2 aufgeführt und werden hiermit ausdrücklich vom Kunden genehmigt.

2. Informations- und Widerspruchsmodell: Beabsichtigt der Anbieter, einen weiteren Subprozessor hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Kunden hierüber in Textform (z. B. per E-Mail) mit einer Frist von mindestens 14 Tagen vor der beabsichtigten Änderung. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzbezogenem Grund in Textform widersprechen.

3. Widerspricht der Kunde begründet, wird der Anbieter nach billigem Ermessen eine Lösung suchen. Ist eine Beauftragung des betreffenden Subprozessors für die Leistungserbringung erforderlich und kann dem Widerspruch nicht abgeholfen werden, ist jede Partei berechtigt, den betroffenen Leistungsteil bzw. den Hauptvertrag mit angemessener Frist zu kündigen.

4. Der Anbieter verpflichtet jeden Subprozessor auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinsichtlich hinreichender Garantien für geeignete technische und organisatorische Maßnahmen.

5. Nicht als Subprozessoren im Sinne dieses AVV gelten Nebenleistungen, die der Anbieter als Nebendienstleistung in Anspruch nimmt (z. B. Telekommunikations-, Wartungs- oder Reinigungsdienste). Der Anbieter ist jedoch verpflichtet, auch hierbei angemessene Vorkehrungen zur Wahrung der Datensicherheit zu treffen.

6. Stripe ist nicht Subprozessor im Sinne dieses AVV, da Stripe hinsichtlich der Zahlungsdaten als eigener Verantwortlicher außerhalb der Auftragsverarbeitung tätig wird.

§ 8 Drittlandtransfer

1. Eine Verarbeitung von Auftragsdaten in einem Drittland findet nur statt, soweit die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch Standardvertragsklauseln (SCC) und/oder einen Angemessenheitsbeschluss (z. B. EU-U.S. Data Privacy Framework), jeweils ergänzt um erforderliche zusätzliche Maßnahmen.

2. Die eingesetzten Subprozessoren mit Drittlandbezug und der jeweilige Transfermechanismus ergeben sich aus Anlage 2.

§ 9 Unterstützungspflichten des Anbieters

1. Der Anbieter unterstützt den Kunden im Rahmen des Möglichen und Zumutbaren bei der Erfüllung der Anfragen und Ansprüche betroffener Personen nach Kapitel III DSGVO (Art. 12–23) sowie bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) — Art. 28 Abs. 3 lit. e und f DSGVO.

2. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst, sofern er hierzu nicht durch den Kunden angewiesen wurde.

3. Meldung von Datenschutzverletzungen: Der Anbieter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten im Auftragsbereich bekannt geworden ist, und übermittelt die zur Erfüllung der Melde- und Benachrichtigungspflichten des Kunden (Art. 33, 34 DSGVO) erforderlichen Informationen.

4. Für über den vertraglich geschuldeten Umfang hinausgehende Unterstützungsleistungen kann der Anbieter eine angemessene Vergütung verlangen, sofern die Leistung nicht auf einem vom Anbieter zu vertretenden Umstand beruht.

§ 10 Kontroll- und Nachweisrechte

1. Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Kunden oder einen von diesem beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).

2. Der Nachweis kann vorrangig durch Vorlage geeigneter Dokumentation, aktueller Testate, Zertifizierungen oder Berichte unabhängiger Stellen erfolgen.

3. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung (in der Regel mindestens zwei Wochen), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und höchstens einmal jährlich durchzuführen (bei konkretem Anlass auch häufiger). Der Anbieter kann den Kontrollzugang von der Unterzeichnung einer angemessenen Vertraulichkeitsvereinbarung abhängig machen.

§ 11 Löschung und Rückgabe

1. Nach Abschluss der Verarbeitungsleistung, spätestens bei Beendigung des Hauptvertrags, löscht der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Kunden zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

2. Der Kunde teilt seine Wahl (Löschung oder Rückgabe) spätestens bei Vertragsende mit. Ohne abweichende Weisung werden die Auftragsdaten nach Ablauf einer angemessenen Frist gelöscht.

3. Sicherungskopien in verschlüsselten Backups werden nach Ablauf der regulären Backup-Rotation gelöscht. Bis dahin bleiben sie durch die Maßnahmen nach Anlage 1 geschützt und werden nicht anderweitig verarbeitet.

§ 12 Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags (§ 12 der AGB) entsprechend. Die zwingenden Haftungsregelungen des Art. 82 DSGVO im Verhältnis zu betroffenen Personen bleiben hiervon unberührt.

§ 13 Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem AVV und den AGB gehen im Anwendungsbereich der Auftragsverarbeitung die Regelungen dieses AVV vor.

2. Änderungen dieses AVV bedürfen der Textform. Im Übrigen gelten die Schlussbestimmungen der AGB (deutsches Recht, Gerichtsstand München) entsprechend.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

1.1 Zutrittskontrolle (physisch): Die Server werden in den zertifizierten Rechenzentren des Hosting-Dienstleisters Hetzner Online GmbH in Deutschland betrieben. Physische Zutrittskontrolle, Videoüberwachung und Zutrittsprotokollierung obliegen dem Rechenzentrumsbetreiber gemäß dessen Zertifizierungen (u. a. ISO 27001).

1.2 Zugangskontrolle (Systeme): Zugang zu Systemen nur für autorisierte Personen über individuelle Benutzerkonten mit starken Passwörtern; Server-Administration über SSH mit Schlüsselauthentifizierung; Absicherung administrativer Zugänge; Sperrung von passwortloser Rechteausweitung.

1.3 Zugriffskontrolle (Daten): Rollenbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte (need-to-know). Mandantentrennung der Kundendaten auf Anwendungsebene. Zugriff auf Produktivdaten ausschließlich für Personen, die diesen zur Aufgabenerfüllung benötigen.

1.4 Verschlüsselung: Transportverschlüsselung — alle Verbindungen zur Plattform sowie zwischen Systemkomponenten und zu Subprozessoren erfolgen TLS-verschlüsselt (HTTPS/TLS). Verschlüsselung ruhender Daten (at rest) — die Kundendatenbestände werden beim Datenbank-Subprozessor Airtable serverseitig verschlüsselt gespeichert (AES-256). Datensicherungen werden ausschließlich verschlüsselt abgelegt. Zugangsdaten und API-Schlüssel werden außerhalb des Quellcodes in geschützten Konfigurationsdateien verwahrt.

2. Integrität

2.1 Weitergabekontrolle: Übermittlung personenbezogener Daten an Subprozessoren (insbesondere KI-Anbieter zur Antwortgenerierung) nur verschlüsselt und auf vertraglicher Grundlage (AVV/SCC).

2.2 Eingabekontrolle / Protokollierung: Protokollierung sicherheitsrelevanter Ereignisse (Server-Zugriffsprotokolle mit automatischer Löschung nach Rotationskonzept, Protokollierung administrativer Server-Zugriffe sowie fehlgeschlagener Anmelde- und Versandvorgänge). Schutz der Protokolle vor unbefugtem Zugriff. Änderungen an Kundendaten erfolgen ausschließlich über authentifizierte Benutzerkonten der Plattform.

3. Verfügbarkeit und Belastbarkeit

3.1 Backups: Regelmäßige, automatisierte und verschlüsselte Datensicherungen mittels restic auf einen separaten, verschlüsselten Sicherungsspeicher (Storage Box). Aufbewahrung nach Rotationskonzept; Zugangsschlüssel/Passwörter getrennt und gesichert verwahrt.

3.2 Wiederherstellbarkeit: Fähigkeit zur zeitnahen Wiederherstellung der Verfügbarkeit und des Zugangs zu Daten nach einem physischen oder technischen Zwischenfall.

3.3 Schutzmaßnahmen: Serverseitige Sicherheitsmaßnahmen (u. a. Firewalling, Malware-/Rootkit-Prüfungen, Härtung des Systems, Beschränkung der Ausführung von Uploads).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

4.1 Auftragskontrolle / Subprozessor-Management: Sorgfältige Auswahl der Subprozessoren, vertragliche Verpflichtung nach Art. 28 DSGVO, Führung einer aktuellen Subprozessorenliste (Anlage 2) und Steuerung von Änderungen über das Informations-/Widerspruchsmodell nach § 7 dieses AVV.

4.2 Datenschutz-Management: Regelmäßige Überprüfung und Aktualisierung der technischen und organisatorischen Maßnahmen; Umsetzung der Grundsätze „Privacy by Design" und „Privacy by Default" (Art. 25 DSGVO).

4.3 Incident-Response: Definierter Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen an den Kunden (§ 9 Nr. 3).

Anlage 2 — Liste der Subprozessoren

Stand: Juli 2026