Auftragsverarbeitungsvertrag (AVV)

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung der im Nutzungsvertrag beschriebenen Leistungen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

Art und Zweck: Bereitstellung und Betrieb der Plattform Bytrax sowie der gebuchten Apps.

Art der Daten: insbesondere Stammdaten (z. B. E-Mail-Adressen), Inhaltsdaten sowie Nutzungs- und Kommunikationsdaten, die der Kunde in die Plattform einstellt.

Kategorien betroffener Personen: Nutzerinnen und Nutzer des Kunden, von ihm erfasste Personen (z. B. Mitglieder, Kontakte) sowie — bei Nutzung der Wettbewerbs-Beobachtung — Personen, deren Angaben auf öffentlich zugänglichen Webseiten der vom Kunden benannten Wettbewerber erscheinen (Personenbezüge werden vor der Speicherung maskiert).

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf Übermittlungen in Drittländer —, sofern ihn nicht eine Rechtsvorschrift zur Verarbeitung verpflichtet. Er informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

Er gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.

Er ergreift die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Ziffer 4).

Er unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten sowie seinen Pflichten nach Art. 32 bis 36 DSGVO.

Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen um, insbesondere: Verschlüsselung der Datenübertragung (TLS), rollenbasierte Zugriffskontrolle, mandantengetrennte Datenhaltung je Kunde, Pseudonymisierung/Anonymisierung bei KI-Funktionen, regelmäßige Aktualisierung der eingesetzten Systeme sowie ein Fehler-Monitoring ohne personenbezogene Inhaltsdaten. Eine detaillierte Übersicht der Maßnahmen (TOM) stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage bereit.

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

Supabase — Datenbank, Authentifizierung und Datei-Speicher (Hosting in der EU, Frankfurt, auf europäischer Cloud-Infrastruktur der Schwarz Gruppe).

Vercel — Hosting, Auslieferung der Anwendung und cookielose Web-Statistik (Serverstandort Frankfurt).

Amazon Web Services (AWS Bedrock) — KI-Textmodelle; Verarbeitung ausschließlich in EU-Regionen mit pseudonymisierten Kontaktdaten.

Google (Gemini-API) — KI-Bilderzeugung; Verarbeitung in den USA mit by design anonymisierten, personenfreien Eingaben. Grundlage: EU-Standardvertragsklauseln und Auftragsverarbeitungsbedingungen von Google (cloud.google.com/terms/data-processing-addendum, cloud.google.com/terms/sccs).

Resend — Versand von System-E-Mails.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).

Über beabsichtigte Änderungen informiert der Auftragsverarbeiter rechtzeitig; der Verantwortliche kann begründet widersprechen. Soweit Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten, werden geeignete Garantien (insbesondere EU-Standardvertragsklauseln, Art. 46 Abs. 2 lit. c DSGVO) geschlossen.

Zur Transparenz: Für Dienste, die ausschließlich eigenen Zwecken des Anbieters dienen (Produkt-/Reichweitenanalyse mit PostHog und Vercel, Fehler-Monitoring mit Sentry, Zahlungsabwicklung mit Stripe), handelt der Anbieter insoweit als eigenständiger Verantwortlicher; Einzelheiten enthält die Datenschutzerklärung.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen.

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen in angemessenem Rahmen.