Auftragsverarbeitungsvertrag (AVV)
Dies ist eine Übersetzung zu deiner Information. Rechtsverbindlich ist die niederländische Fassung.
Dieser Auftragsverarbeitungsvertrag gilt zwischen dem Kunden („Verantwortlicher“) und DMback („Auftragsverarbeiter“) und wird durch die Annahme der Allgemeinen Geschäftsbedingungen bei der Erstellung eines Workspace geschlossen. Er erfüllt die Anforderungen von Artikel 28 der Datenschutz-Grundverordnung (DSGVO).
1. Gegenstand, Dauer und Zweck
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich, um den Dienst zu erbringen: den Empfang von Kommentaren auf den verbundenen Instagram-Konten des Kunden, das Erkennen eingerichteter Keywords, den Versand automatischer privater Nachrichten und öffentlicher Antworten sowie die Anzeige von Statistiken. Der Vertrag gilt, solange der Kunde den Dienst nutzt, zuzüglich des Zeitraums, der zum Löschen der Daten erforderlich ist.
2. Arten von Daten und betroffene Personen
| Betroffene Personen | Instagram-Nutzer, die auf Posts des Kunden reagieren („Follower“). |
|---|---|
| Daten | Instagram-Nutzer-ID (eine Nummer), Kommentar-ID, Medien-ID, der Text des Kommentars (nur zur Erkennung des Keywords), Zeitpunkt, das erkannte Keyword und der Status der verschickten Nachricht. Benutzernamen werden nicht gespeichert. |
| Besondere Kategorien von Daten | Werden nicht bewusst verarbeitet. Der Kunde richtet keine Keywords oder Nachrichten ein, die auf besondere Kategorien personenbezogener Daten abzielen. |
3. Weisungen
Der Auftragsverarbeiter verarbeitet nur auf dokumentierte Weisung des Kunden. Die Einstellungen, die der Kunde im Dashboard vornimmt (Keywords, Nachrichten, Speicherfrist), gelten als Weisung. Der Auftragsverarbeiter weist darauf hin, wenn eine Weisung seiner Auffassung nach gegen die DSGVO verstößt.
4. Vertraulichkeit und Sicherheit
Personen, die im Auftrag des Auftragsverarbeiters Zugriff haben, sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter trifft geeignete Maßnahmen, darunter:
- Speicherung und Verarbeitung innerhalb der EU (Frankfurt);
- verschlüsselte Verbindungen (TLS) und verschlüsselte Speicherung von Zugriffstokens (AES-256-GCM);
- Trennung der Kundendaten pro Workspace, auch in der Datenbank erzwungen (Row Level Security);
- Prüfung der Herkunft jeder Nachricht von Meta (kryptografische Signatur);
- Zugriff auf Produktivsysteme nur für befugte Personen, mit Protokollierung von Support-Zugriffen;
- automatische Löschung von Daten nach der eingestellten Speicherfrist.
5. Unterauftragsverarbeiter
Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz der unten aufgeführten Unterauftragsverarbeiter. Neue Unterauftragsverarbeiter kündigen wir mindestens 30 Tage im Voraus auf der Seite zu Unterauftragsverarbeitern an; der Kunde kann Einspruch erheben und in diesem Fall kostenlos kündigen.
| Partei | Wofür | Standort | Grundlage der Übermittlung |
|---|---|---|---|
| Vercel Inc. | Hosting der Anwendung (Serverfunktionen in Frankfurt, fra1) | EU (Frankfurt); Unternehmen in den USA | EU-US Data Privacy Framework + SCC |
| Supabase Inc. | Datenbank (PostgreSQL) | EU (Frankfurt, eu-central-1) | SCC; Daten bleiben in der EU |
| Meta Platforms Ireland Ltd. | Instagram API: Empfang von Kommentaren, Versand von DMs | EU / USA | Für den Dienst erforderlich; Meta Platform Terms |
| Stripe Payments Europe Ltd. | Zahlungen und Rechnungen (nur Kundendaten, keine Instagram-Daten) | EU (Irland) / USA | EU-US Data Privacy Framework + SCC |
| Resend (Plus Five Five Inc.) | Versand von E-Mails an Kunden (keine Instagram-Daten) | USA / EU | EU-US Data Privacy Framework + SCC |
6. Rechte betroffener Personen
Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen betroffener Personen (Auskunft, Löschung). Löschanfragen, die über Meta eingehen, werden automatisch über alle Workspaces hinweg ausgeführt.
7. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Kunden ohne unangemessene Verzögerung und spätestens innerhalb von 48 Stunden nach Entdeckung einer Verletzung der Sicherheit, die personenbezogene Daten des Kunden betrifft, mit den Informationen, die der Kunde für eine etwaige Meldung an die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) benötigt.
8. Speicherfrist und Vertragsende
Daten werden für die vom Kunden eingestellte Frist gespeichert (standardmäßig 30 Tage, mindestens 8, höchstens 400). Nach Beendigung oder Löschung des Workspace löscht der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht etwas anderes verlangt. Der Kunde kann vorher einen Export herunterladen.
9. Audit
Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung erforderlich sind. Ein Audit vor Ort ist nach angemessener Ankündigung und auf Kosten des Kunden möglich.
10. Haftung
Für die Haftung gilt, was in den Allgemeinen Geschäftsbedingungen vereinbart ist.
Fragen: die Kontaktadresse auf unserer Website.