Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) zwischen

dem Kunden, der EVOAR Social nach den AGB nutzt, als Verantwortlichem, und

Mischler Webdesign, Inhaber Marvin Mischler, Am Steingarten 8, 68169 Mannheim, Deutschland, hello@evoar.de, als Auftragsverarbeiter.

Der Vertrag wird mit Abschluss des Nutzungsvertrags Bestandteil des Vertrags (AGB § 12). Kunden können ihn zusätzlich in der App unter Settings → Datenschutz & AVV mit ihren Firmenangaben abschließen und als PDF speichern.

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen (Art. 28 DSGVO) bei der Nutzung von EVOAR Social.

(2) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags (Nutzungsvertrag über EVOAR Social nach den AGB). Er endet mit Abschluss der Löschung nach § 10.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Bereitstellung der Software EVOAR Social zur Planung, Erstellung, Freigabe, Veröffentlichung und Auswertung von Inhalten für soziale Netzwerke, einschließlich KI-gestützter Funktionen.

(2) Art der Verarbeitung: Speichern, Organisieren, Abrufen, Verwenden, Übermitteln (an Unterauftragsverarbeiter und auf Anweisung an soziale Netzwerke) und Löschen.

(3) Arten personenbezogener Daten: Stammdaten von Nutzern (Name, E-Mail, Benutzername), Profildaten von Personen (Position, Werdegang, Expertise, Themen, Standpunkte, Schreibstil, Beispielposts, Profilbild), Inhalte (Entwürfe, Posts, Kommentare, Medien, Wissensquellen, Transkripte), Kennzahlen veröffentlichter Posts, Nutzungs- und Protokolldaten, Daten externer Prüfer (Name, Rückmeldung) sowie Daten aus Link-Tracking (Klickzeitpunkt, Referrer, gemeldete Ereignisse).

(4) Kategorien betroffener Personen: Beschäftigte und Beauftragte des Verantwortlichen, im Kundenkonto angelegte Personen, externe Prüfer, in Inhalten genannte Personen sowie Besucher von Links und Websites des Verantwortlichen.

(5) Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Funktionen der Software durch den Verantwortlichen. Weitere Weisungen erteilt der Verantwortliche in Textform an hello@evoar.de.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen.

§ 7 Verarbeitung außerhalb der EU

Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln. Die betroffenen Unterauftragsverarbeiter und Garantien sind in Anlage 2 genannt. Hosting, Datenbank und Datensicherungen verbleiben in Deutschland.

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO). Anfragen, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

(2) Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen.

§ 9 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die hinterlegte Adresse eines Admins des Kundenkontos. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 10 Löschung und Rückgabe

(1) Während der Laufzeit kann der Verantwortliche Daten in der Software selbst löschen.

(2) Nach Ende des Hauptvertrags kann der Verantwortliche innerhalb von 30 Tagen eine Kopie seiner Inhalte in einem gängigen, maschinenlesbaren Format verlangen. Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Datensicherungen werden mit deren turnusmäßiger Löschung entfernt (derzeit nach spätestens 14 Tagen).

§ 11 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.

(2) Der Verantwortliche kann Kontrollen nach vorheriger Abstimmung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Für Rechenzentren genügen in der Regel die Zertifikate und Prüfberichte des Hosting-Anbieters.

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Fragen des Datenschutzes vor.

(2) Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Hosting: Cloud-Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland; Standort: Rechenzentrum Nürnberg, Deutschland.

Zutrittskontrolle

• Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH (Standort Nürnberg) mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal; Hetzner ist nach ISO/IEC 27001 zertifiziert.
• Kein physischer Zugang des Anbieters zur Hardware erforderlich.

Zugangskontrolle

• Passwörter werden mit Argon2id gehasht gespeichert; Mindestlänge 12 Zeichen.
• Zwei-Faktor-Anmeldung (TOTP) mit Wiederherstellungscodes; Kunden können sie für alle Mitglieder verpflichtend machen.
• Begrenzung von Anmeldeversuchen je Benutzer und IP-Adresse; Hinweis per E-Mail bei Anmeldung von einem neuen Gerät.
• Sitzungen laufen nach 12 Stunden Inaktivität ab (mit „Angemeldet bleiben“ nach 30 Tagen); Sitzungskennungen werden nur als Hash gespeichert; Nutzer sehen und beenden ihre Sitzungen selbst.
• Datenbank und Dateispeicher sind nicht aus dem Internet erreichbar; öffentlich erreichbar ist nur der Webserver über HTTPS.
• Administrativer Serverzugang nur durch den Anbieter; Root-Zugang nur mit SSH-Schlüssel.

Zugriffskontrolle

• Strikte Mandantentrennung: Jede Abfrage ist an das Kundenkonto gebunden.
• Rollenmodell mit Admins und Mitarbeitern; Inhalte eines Personenprofils sieht nur dessen Inhaber, Inhalte des Unternehmenskanals nur Admins.
• Zugangsschlüssel zu LinkedIn werden mit AES-256-GCM verschlüsselt gespeichert; Zugangstokens für Schnittstellen (MCP) nur als Hash.
• Freigabelinks für externe Prüfer sind zufällig, befristet und jederzeit widerrufbar.

Weitergabekontrolle

• Übertragung ausschließlich verschlüsselt (HTTPS/TLS).
• Weitergabe an Unterauftragsverarbeiter nur im beschriebenen Umfang (Anlage 2); an KI-Anbieter werden keine IP-Adressen der Nutzer übermittelt.

Eingabekontrolle

• Protokollierung von KI-Anfragen mit auslösendem Nutzer, Funktion und Modell (Inhalte werden nach 90 Tagen gelöscht).
• Änderungen an Posts sind über Status, Kommentare und Freigaben nachvollziehbar; Benachrichtigungen dokumentieren Freigaben und Veröffentlichungen.

Verfügbarkeitskontrolle

• Tägliche Datensicherung der Datenbank und der Dateien (03:30 Uhr); Datenbanksicherungen werden 14 Tage aufbewahrt.
• Automatische Sicherheitsupdates des Betriebssystems; Anwendung läuft in getrennten Containern.

Trennungskontrolle

• Logische Trennung der Kundendaten über die Kennung des Kundenkontos in allen Tabellen und Dateipfaden.
• Getrennte Umgebungen für Entwicklung und Betrieb; Entwicklung ausschließlich mit Testdaten.

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Aktualisierung der eingesetzten Software und Bibliotheken.
• Überprüfung dieser Maßnahmen bei wesentlichen Änderungen, mindestens jährlich.

Anlage 2 – Unterauftragsverarbeiter

Nur auf ausdrückliche Veranlassung des Verantwortlichen bzw. seiner Nutzer angebunden (Empfänger, keine Unterauftragsverarbeiter): LinkedIn Ireland Unlimited Company (Veröffentlichen, Kommentieren und Abruf von Kennzahlen – nach Verbindung des eigenen LinkedIn-Profils); Google / LinkedIn (Anmeldung) (Anmeldung mit Google oder LinkedIn, wenn im Konto verknüpft); Push-Dienste der Browserhersteller (Google, Mozilla, Apple) (Browser-Benachrichtigungen, wenn aktiviert); Anthropic (Claude, MCP) (Zugriff durch Claude, wenn ein Nutzer die Verbindung selbst einrichtet – im Rahmen seines eigenen Vertrags mit Anthropic).