Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag ("AVV") wird geschlossen zwischen:

• Auftraggeber: Der Kunde, der die AnimaContent Platform nutzt (nachfolgend "Verantwortlicher")
• Auftragnehmer: AnimaContent, Inhaber Ervin Keljic(nachfolgend "Auftragsverarbeiter")

Dieser AVV ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und gilt für alle Datenverarbeitungen, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der AnimaContent Platform durchführt.

§ 1 Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand

Der Auftragsverarbeiter stellt dem Verantwortlichen die AnimaContent Platform als Software-as-a-Service (SaaS) zur Verfügung. Dies umfasst:

• Website-Hosting und Content-Management-System (CMS)
• Newsletter- und E-Mail-Marketing-Dienste (AWS SES)
• KI-gestützte Content-Erstellung und -Optimierung (Google Gemini)
• Web-Analytics (Matomo)
• Formular-Verarbeitung und Kontaktmanagement
• Domain-Verwaltung und DNS-Konfiguration
• Datenspeicherung und -sicherung (Supabase PostgreSQL)

1.2 Dauer

Dieser AVV gilt für die gesamte Dauer der Nutzung der AnimaContent Platform. Er endet automatisch mit Beendigung des Hauptvertrags (AGB/Nutzungsvertrag).

§ 2 Art und Zweck der Verarbeitung

2.1 Newsletter-Dienst

2.2 KI-Dienste

2.3 Web-Analytics

2.4 Formular-Verarbeitung

2.5 Hosting und Datenspeicherung

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

1. Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, es sei denn, er ist nach EU-Recht oder nationalem Recht dazu verpflichtet.
2. Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.
3. Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe § 5).
4. Weitere Auftragsverarbeiter nur mit vorheriger Genehmigung einzusetzen und diesen dieselben Datenschutzpflichten aufzuerlegen (siehe § 6).
5. Den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen.
6. Den Verantwortlichen bei Datenschutz-Folgenabschätzungen zu unterstützen.
7. Nach Beendigung der Verarbeitung alle personenbezogenen Daten zu löschen oder zurückzugeben (nach Wahl des Verantwortlichen).
8. Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen.

§ 4 Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

1. Rechtmäßigkeit der Datenverarbeitung: Sicherzustellen, dass eine gültige Rechtsgrundlage für alle Datenverarbeitungen vorliegt (z.B. Einwilligung der Newsletter-Abonnenten).
2. Double Opt-In: Für Newsletter-Anmeldungen ausschließlich das von der Plattform bereitgestellte Double-Opt-In-Verfahren zu nutzen. Der Import von E-Mail-Adressen ohne nachweisbare Einwilligung ist untersagt.
3. Datenschutzerklärung: Eine vollständige Datenschutzerklärung auf seiner Website bereitzustellen, die alle genutzten Dienste der Plattform korrekt beschreibt.
4. Impressum: Ein vollständiges Impressum nach § 5 TMG bereitzustellen.
5. Betroffenenrechte: Anfragen von Betroffenen eigenständig zu bearbeiten und den Auftragsverarbeiter nur bei technischer Unterstützung einzubeziehen.
6. Keine rechtswidrigen Inhalte: Keine Spam-Mails, keine irreführenden Inhalte, keine Verletzung von Urheberrechten.

§ 5 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter hat folgende Maßnahmen implementiert:

5.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verschlüsselung aller Daten bei Übertragung (TLS 1.3)
• Verschlüsselung aller Daten bei Speicherung (AES-256)
• Zugriffskontrolle durch rollenbasierte Berechtigungen (RBAC)
• Row Level Security (RLS) auf Datenbankebene zur Tenant-Isolation
• Passwort-Hashing mit bcrypt (Cost Factor 10)

5.2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Eingabekontrolle durch Audit-Logging aller Änderungen
• Weitergabekontrolle durch verschlüsselte API-Kommunikation
• Automatische Backups mit Point-in-Time-Recovery

5.3 Verfügbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Hosting auf Vercel Edge Network (99.99% SLA)
• Datenbank mit automatischem Failover (Supabase)
• Tägliche Backups mit 30 Tagen Aufbewahrung

5.4 Belastbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Auto-Scaling bei erhöhtem Traffic
• DDoS-Schutz durch Vercel/Cloudflare
• Rate Limiting auf API-Ebene

5.5 Datentrennung

• Strikte Tenant-Isolation durch RLS-Policies
• Separate Matomo-Sites pro Tenant
• Separate Newsletter-Absender-Domains pro Tenant (Subdomain-Isolation)

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter:

Der Auftragsverarbeiter wird den Verantwortlichen über Änderungen bei Unterauftragsverarbeitern per E-Mail informieren. Der Verantwortliche hat 14 Tage Zeit, Einspruch zu erheben. Ohne Einspruch gilt die Änderung als genehmigt.

§ 7 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, über jede Verletzung des Schutzes personenbezogener Daten informieren. Die Meldung enthält:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Zahl der betroffenen Personen
• Wahrscheinliche Folgen der Verletzung
• Ergriffene oder vorgeschlagene Maßnahmen

§ 8 Löschung und Rückgabe von Daten

Nach Beendigung des Vertragsverhältnisses wird der Auftragsverarbeiter:

1. Auf Wunsch des Verantwortlichen alle Daten in einem gängigen Format (JSON, CSV) exportieren und zur Verfügung stellen.
2. Nach Ablauf einer Frist von 30 Tagen nach Vertragsende alle personenbezogenen Daten löschen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
3. Die Löschung auf Verlangen schriftlich bestätigen.

Ausnahme: Rechnungsdaten werden gemäß § 147 AO für 10 Jahre aufbewahrt.

§ 9 Kontroll- und Auditrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses AVV zu überprüfen:

• Self-Service Audit: Zugang zu Audit-Logs, VVT-Export und Compliance-Dashboard im Admin-Bereich
• Dokumentation: Bereitstellung aktueller TOMs und Zertifizierungen auf Anfrage
• Vor-Ort-Prüfung: Nach vorheriger Ankündigung (min. 14 Tage) und auf eigene Kosten des Verantwortlichen

§ 10 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform.
2. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
3. Es gilt deutsches Recht. Gerichtsstand ist Berlin.
4. Dieser AVV tritt mit Akzeptanz der AGB bzw. bei Aktivierung von Newsletter-Diensten automatisch in Kraft.