under Art. 28 General Data Protection Regulation (GDPR) between
the customer who uses EVOAR Social under the Terms and Conditions, as the controller, and
Mischler Webdesign, owner Marvin Mischler, Am Steingarten 8, 68169 Mannheim, Germany, hello@evoar.de, as the processor.
This agreement becomes part of the contract upon conclusion of the usage agreement (Terms and Conditions § 12). Customers can also conclude it in the app under Settings → Datenschutz & AVV using their company details and save it as a PDF.
§ 1 Gegenstand und Dauer
(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen (Art. 28 DSGVO) bei der Nutzung von EVOAR Social.
(2) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags (Nutzungsvertrag über EVOAR Social nach den AGB). Er endet mit Abschluss der Löschung nach § 10.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Zweck: Bereitstellung der Software EVOAR Social zur Planung, Erstellung, Freigabe, Veröffentlichung und Auswertung von Inhalten für soziale Netzwerke, einschließlich KI-gestützter Funktionen.
(2) Art der Verarbeitung: Speichern, Organisieren, Abrufen, Verwenden, Übermitteln (an Unterauftragsverarbeiter und auf Anweisung an soziale Netzwerke) und Löschen.
(3) Arten personenbezogener Daten: Stammdaten von Nutzern (Name, E-Mail, Benutzername), Profildaten von Personen (Position, Werdegang, Expertise, Themen, Standpunkte, Schreibstil, Beispielposts, Profilbild), Inhalte (Entwürfe, Posts, Kommentare, Medien, Wissensquellen, Transkripte), Kennzahlen veröffentlichter Posts, Nutzungs- und Protokolldaten, Daten externer Prüfer (Name, Rückmeldung) sowie Daten aus Link-Tracking (Klickzeitpunkt, Referrer, gemeldete Ereignisse).
(4) Kategorien betroffener Personen: Beschäftigte und Beauftragte des Verantwortlichen, im Kundenkonto angelegte Personen, externe Prüfer, in Inhalten genannte Personen sowie Besucher von Links und Websites des Verantwortlichen.
(5) Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen.
§ 3 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet.
(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Funktionen der Software durch den Verantwortlichen. Weitere Weisungen erteilt der Verantwortliche in Textform an hello@evoar.de.
(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
§ 5 Sicherheit der Verarbeitung
(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden.
§ 6 Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen.
§ 7 Verarbeitung außerhalb der EU
Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln. Die betroffenen Unterauftragsverarbeiter und Garantien sind in Anlage 2 genannt. Hosting, Datenbank und Datensicherungen verbleiben in Deutschland.
§ 8 Unterstützung des Verantwortlichen
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO). Anfragen, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.
(2) Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen.
§ 9 Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die hinterlegte Adresse eines Admins des Kundenkontos. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.
§ 10 Löschung und Rückgabe
(1) Während der Laufzeit kann der Verantwortliche Daten in der Software selbst löschen.
(2) Nach Ende des Hauptvertrags kann der Verantwortliche innerhalb von 30 Tagen eine Kopie seiner Inhalte in einem gängigen, maschinenlesbaren Format verlangen. Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Datensicherungen werden mit deren turnusmäßiger Löschung entfernt (derzeit nach spätestens 14 Tagen).
§ 11 Nachweise und Kontrollen
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.
(2) Der Verantwortliche kann Kontrollen nach vorheriger Abstimmung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Für Rechenzentren genügen in der Regel die Zertifikate und Prüfberichte des Hosting-Anbieters.
§ 12 Haftung
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
§ 13 Schlussbestimmungen
(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Fragen des Datenschutzes vor.
(2) Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland.
Annex 1 – Technical and organizational measures (Art. 32 GDPR)
Hosting: Cloud servers of Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany; location: Nuremberg data center, Germany.
Physical access control
- Operated exclusively in data centers of Hetzner Online GmbH (Nuremberg location) with access control, video surveillance and security personnel; Hetzner is ISO/IEC 27001 certified.
- No physical access to the hardware by the provider is required.
System access control
- Passwords are stored hashed with Argon2id; minimum length 12 characters.
- Two-factor login (TOTP) with recovery codes; customers can make it mandatory for all members.
- Login attempts are limited per user and IP address; email notification when logging in from a new device.
- Sessions expire after 12 hours of inactivity (after 30 days with "Stay signed in"); session identifiers are stored only as hashes; users can see and end their own sessions.
- The database and file storage cannot be reached from the internet; only the web server is publicly accessible, via HTTPS.
- Administrative server access only by the provider; root access only with an SSH key.
Data access control
- Strict tenant separation: every query is bound to the customer account.
- Role model with admins and employees; the content of a personal profile is visible only to its owner, content of the company channel only to admins.
- Access keys for LinkedIn are stored encrypted with AES-256-GCM; access tokens for interfaces (MCP) only as hashes.
- Approval links for external reviewers are random, time-limited and can be revoked at any time.
Transfer control
- Data is transmitted exclusively in encrypted form (HTTPS/TLS).
- Data is only passed on to sub-processors to the extent described (Annex 2); no user IP addresses are transmitted to AI providers.
Input control
- AI requests are logged with the triggering user, function and model (content is deleted after 90 days).
- Changes to posts can be traced via status, comments and approvals; notifications document approvals and publications.
Availability control
- Daily backup of the database and files (03:30); database backups are retained for 14 days.
- Automatic operating system security updates; the application runs in separate containers.
Separation control
- Logical separation of customer data via the customer account ID in all tables and file paths.
- Separate environments for development and production; development uses test data only.
Procedure for regular review
- Regular updates of the software and libraries in use.
- Review of these measures in the event of significant changes, and at least once a year.
Annex 2 – Sub-processors
| Company | Service | Location / Safeguard |
|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Deutschland | Hosting of application, database, files and backups Data: All data stored in EVOAR Social | Deutschland (Rechenzentrum Nürnberg) |
| OpenRouter, Inc. 169 Madison Avenue, New York, NY 10016, USA | Forwarding of AI requests to the model providers Data: Inputs and context of the respective AI function (e.g. company profile, personal profile, drafts, knowledge sources) | USA EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| Anthropic PBC San Francisco, Kalifornien, USA | Language models for texts and analyses (via OpenRouter) Data: same as OpenRouter | USA über OpenRouter, EU-Standardvertragsklauseln |
| Google LLC 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA | Transcription of audio and video files (via OpenRouter) (only for audio/video import) Data: Audio track of uploaded files, list of names for spelling | USA über OpenRouter, EU-Standardvertragsklauseln |
| Perplexity AI, Inc. San Francisco, Kalifornien, USA | Research for the Trend Radar (via OpenRouter) (only when using the Trend Radar) Data: Search terms, name and position of the person, industry | USA über OpenRouter, EU-Standardvertragsklauseln |
| Google Ireland Limited Gordon House, Barrow Street, Dublin 4, Irland | Sending of emails (Google Workspace) Data: Email address, name, content of notifications | EU, Übermittlung in die USA möglich EU-US Data Privacy Framework (Art. 45 DSGVO) |
| Stripe Payments Europe, Limited 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland | Payment processing and invoices Data: Billing data of the customer account (no customer content) | EU, Übermittlung in die USA möglich EU-US Data Privacy Framework (Art. 45 DSGVO) |
Connected only at the express initiative of the controller or its users (recipients, not sub-processors): LinkedIn Ireland Unlimited Company (publishing, commenting and retrieving metrics – after connecting your own LinkedIn profile); Google / LinkedIn (login) (login with Google or LinkedIn, if linked in the account); push services of browser vendors (Google, Mozilla, Apple) (browser notifications, if enabled); Anthropic (Claude, MCP) (access by Claude when a user sets up the connection themselves – under their own agreement with Anthropic).