Auftragsverarbeitungsvertrag (AVV)

Parteien

Verantwortlicher (Auftraggeber): der registrierte Nutzer bzw. das von ihm vertretene Unternehmen, das den Dienst nutzt und Inhalte einsendet.

Auftragsverarbeiter (Auftragnehmer): Males GmbH, boovis - Google My Business Agentur, Vilsendorfer Straße 64, 33739 Bielefeld, vertreten durch Ricki Males (nachfolgend „Auftragnehmer").

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Verantwortlichen im Rahmen der Nutzung der Plattform social.boovis.com (Aufbereitung eingesandter Inhalte zu Social-Media-Beiträgen und deren Übergabe zur Veröffentlichung). Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Entgegennahme der per E-Mail eingesandten Inhalte, automatisierte (auch KI-gestützte) Erstellung von Beitragstexten, plattformgerechter Bildzuschnitt, Speicherung der Beiträge und Medien sowie Übergabe an einen Versanddienst zur Veröffentlichung in den vom Verantwortlichen angebundenen sozialen Netzwerken. Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistung.

3. Art der Daten und Kategorien betroffener Personen

Art der Daten: Stammdaten des Verantwortlichen (Name, E-Mail, Firmendaten), die Inhalte der eingesandten Beiträge (Text, Bild, Video) einschließlich darin enthaltener personenbezogener Daten, technische Protokolldaten.

Kategorien betroffener Personen: der Verantwortliche und seine Mitarbeitenden, in den Inhalten genannte oder abgebildete Personen, Empfänger/Adressaten der veröffentlichten Beiträge.

Der Verantwortliche entscheidet allein über die eingesandten Inhalte und damit über Art und Umfang der enthaltenen personenbezogenen Daten.

4. Weisungsgebundenheit

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattform (Einsenden, Freigeben, Konfigurieren) gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

5. Pflichten des Auftragnehmers

• Verpflichtung der mit der Verarbeitung befassten Personen auf Vertraulichkeit.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (Anlage 1).
• Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenrechten (Art. 12 bis 23 DSGVO) im Rahmen des technisch Möglichen.
• Unterstützung bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32 bis 36 DSGVO).
• Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen.
• Keine Übermittlung der Daten an Dritte außer an die in Anlage 2 genannten Unterauftragsverarbeiter oder aufgrund gesetzlicher Verpflichtung.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Verantwortlichen über beabsichtigte Änderungen; der Verantwortliche kann aus wichtigem Grund widersprechen. Mit jedem Unterauftragsverarbeiter bestehen Verträge mit Datenschutzpflichten, die denen dieses AVV entsprechen.

7. Drittlandübermittlung

Soweit Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten (insbesondere in den USA), erfolgt dies auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (z.B. EU-Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework). Details siehe Anlage 2.

8. Kontrollrechte

Der Verantwortliche ist berechtigt, sich von der Einhaltung der vereinbarten Maßnahmen zu überzeugen (z.B. durch Einholung von Auskünften oder Nachweisen). Aufwändigere Prüfungen werden mit angemessener Vorankündigung und ohne Störung des Betriebs durchgeführt.

9. Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragnehmer die verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die eingesandte Roh-E-Mail wird bereits unmittelbar nach der Verarbeitung automatisch gelöscht.

10. Haftung

Für die Haftung gelten die gesetzlichen Regelungen sowie die Haftungsregelungen der AGB. Die Verantwortlichkeit gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung der Übertragung: Zugriff auf die Plattform ausschließlich über TLS/HTTPS.
• Zugangskontrolle: persönliche Konten mit Passwortschutz; Passwörter werden nur als kryptografischer Hash gespeichert; Sitzungen signiert.
• Mandantentrennung: Daten sind je Nutzer logisch getrennt; Posten nur an die eigenen, freigegebenen Kanäle (technisch erzwungen).
• Systemtrennung/Härtung: isolierter Betrieb in eigenem, abgeschottetem Container-Netz; keine unnötigen Dienste; Ressourcenbegrenzung.
• Datensparsamkeit: Roh-E-Mails werden nach Verarbeitung automatisch gelöscht; es werden nur die für die Leistung erforderlichen Inhalte gespeichert.
• Betrieb: Hosting in einem Rechenzentrum in Deutschland; Überwachung/Alarmierung bei Störungen.
• [zu ergänzen/bestätigen: Backup-Konzept, Verschlüsselung der Daten im Ruhezustand, Lösch- und Berechtigungskonzept im Detail].

Anlage 2: Unterauftragsverarbeiter

Hinweis: Die jeweiligen sozialen Netzwerke (z.B. Meta, LinkedIn, Google), an die der Verantwortliche selbst seine Kanäle anbindet, handeln bezogen auf die Veröffentlichung als eigene Verantwortliche bzw. nach ihren eigenen Bedingungen.

Stand: Juni 2026