Vertrag zur Auftragsverarbeitung (AVV)

Begriffe und Rollen

„Kunde“ bezeichnet sowohl Talent-/Influencer-Agenturen und Managements als auch selbständig tätige Creator, soweit diese CreatorOffice im Rahmen ihrer gewerblichen oder selbständigen beruflichen Tätigkeit nutzen. „Anbieter“ ist CreatorOffice, vertreten durch HeereHaase Partners FZCO, IFZA Properties, Dubai Silicon Oasis, Vereinigte Arabische Emirate. „Kontoinhaber“ ist, wer im Konto des Kunden die Inhaberrolle hat: bei Agenturen und Managements die Admins, beim Creator-Konto die Creatorin oder der Creator selbst.

Für die personenbezogenen Daten, die der Kunde in CreatorOffice verarbeitet, ist der Kunde Verantwortlicher im Sinne der DSGVO: die Agentur oder das Management für die Daten, die sie dort verarbeiten, und der selbständige Creator für die Daten in seinem Creator-Konto. Die HeereHaase Partners FZCO verarbeitet diese Daten als Auftragsverarbeiter nach diesem Vertrag. Für die eigenen Daten des Kunden, die der Anbieter für den Vertrag braucht (Konto, Anmeldung, Vertrag, Zahlung, Nutzung, Abrechnung und Supportkommunikation), ist der Anbieter selbst Verantwortlicher; dafür gelten die Datenschutzhinweise.

Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden für die Dauer des Hauptvertrags über CreatorOffice (AGB), einschließlich der Export-Phase nach Vertragsende und der Aufbewahrung, die im Abschnitt Rückgabe, Export und Löschung beschrieben ist.

Art und Zweck der Verarbeitung

Speichern, Anzeigen, Übermitteln und Löschen von Daten zur Verwaltung von Creatorn, Marken, Kooperationen, Verträgen (einschließlich elektronischer Unterschrift), Rechnungen, Zahlungen, Auszahlungen, Inhalten der Content-Ablage, Nachrichten und Terminen. Zweck ist allein die Bereitstellung von CreatorOffice für den Kunden, einschließlich Betrieb, Wartung, Sicherheit, Fehlerbehebung und technischem Support.

Betroffene und Datenarten

Betroffen sind die Account-Nutzer des Kunden (Kontoinhaber und Mitglieder des Teams), Creator und Talents, die der Kunde betreut oder einlädt, Ansprechpersonen von Marken und anderen Kunden des Kunden, Rechnungsempfänger, Vertragspartner und Unterzeichner sowie sonstige Personen, deren Daten der Kunde einträgt, etwa in Nachrichten, Notizen oder Belegen.

Verarbeitet werden Stamm- und Kontaktdaten, bei Creatorn auch Geburtsdatum, Steuer- und Bankdaten und bei Minderjährigen Angaben zu den gesetzlichen Vertretern; Vertragsdaten und Vertragstexte; Rechnungs-, Gutschrift-, Zahlungs- und Buchungsdaten; Daten zu Kooperationen, Terminen und Inhalten (Briefings, Entwürfe, Videos, Bilder, Kommentare); Nachrichten; Nachweise der elektronischen Unterschrift (Name, E-Mail, Zeitpunkt, IP-Adresse, Gerät, Prüfsumme); der Verlauf von Änderungen im Konto; mit Einwilligung des jeweiligen Creators Instagram-Profil und Kennzahlen sowie die Handynummer für WhatsApp-Hinweise.

Felder für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sieht CreatorOffice nicht vor. Freie Textfelder, Nachrichten und Dateien können solche Daten aber enthalten, wenn der Kunde sie einträgt; dafür ist der Kunde verantwortlich.

Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Dieser Vertrag und die Nutzung des Produkts gelten als Weisung. Weisungsberechtigt sind die Kontoinhaber. Weisungen außerhalb des Produkts erteilt der Kunde in Textform an datenschutz@creatoroffice.de. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin.

Zugriff des Anbieters für Betrieb und Support

Der Kunde weist den Anbieter an, auf Daten in seinem Konto zuzugreifen, soweit das im konkreten Fall für Betrieb, Fehlersuche, Wartung, Sicherheit oder technischen Support erforderlich ist. Dabei gilt der Grundsatz der Erforderlichkeit: Zugegriffen wird nur auf die Daten, die der jeweilige Vorgang braucht, und nur durch den Anbieter selbst und von ihm befugte Personen, die zur Vertraulichkeit verpflichtet sind.

Für diese Aufgaben setzt der Anbieter auch das KI-Modell Claude der Anthropic, PBC, San Francisco, USA, ein. Die Anfragen stellt der Anbieter. Datenbankabfragen laufen dabei nur lesend; Änderungen sind nur über benannte Betriebsfunktionen mit denselben Prüfungen wie in der Betreiber-Konsole möglich. Antworten an Kunden legt Claude nur als Entwurf an; versendet wird ein Entwurf erst, wenn der Anbieter ihn geprüft und freigegeben hat. Jeder Zugriff über dieses Werkzeug wird mit Zeitpunkt, Werkzeug, Angaben zum Aufruf (ohne Inhalte) und Ergebnis protokolliert; das Protokoll wird nach 365 Tagen gelöscht.

Technisch ist dieser Zugang nicht auf einzelne Konten begrenzt. Die Beschränkung auf das im Einzelfall Erforderliche stellt der Anbieter organisatorisch sicher; das Protokoll macht jeden Zugriff nachvollziehbar. Der Anbieter nutzt die Daten nicht für eigene Zwecke, und die Daten werden nicht zum Training von KI-Modellen verwendet. Anthropic ist Unterauftragsverarbeiter (siehe Liste unten); die Verarbeitung findet in den USA statt.

Technische und organisatorische Maßnahmen

Der Anbieter trifft insbesondere diese Maßnahmen: Trennung der Kunden auf Datenbankebene (Zeilenrechte, die die Datenbank bei jedem Zugriff prüft); verschlüsselte Übertragung; Rechte je Rolle und Person; zweiter Faktor bei der Anmeldung, für die Teams der Kunden als Pflicht einstellbar; verschlüsselte Ablage der Zugangsschlüssel für Instagram und WhatsApp; Protokolle der Änderungen an Dokumenten, Freigaben und Zahlungsvorgängen; Protokoll der Betreiberzugriffe über das KI-Werkzeug; widerrufbare und befristete Freigabelinks; Prüfsummen für unterschriebene Dokumente. Die Seite Sicherheit beschreibt die Maßnahmen ergänzend.

Der Anbieter sichert die Datenbank und die gespeicherten Belegdateien jede Nacht in einen getrennten Speicher in der EU (Cloudflare R2) und löscht die Sicherungen nach 30 Tagen. Die Sicherungen dienen der Betriebssicherheit des Anbieters; einen Anspruch auf Wiederherstellung einzelner Daten begründen sie nicht. Der Kunde sichert Daten, die er zusätzlich aufbewahren will, über den Export. Der Anbieter passt die Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

Unterauftragsverarbeiter

Diese Liste ist die zentrale Liste für alle Rechtstexte von CreatorOffice; die Datenschutzhinweise verweisen auf sie. Stand der Liste: 07.10.2026. Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu.

Supabase, Inc., USA. Zweck: Datenbank, Anmeldung, Dateispeicher und Serverfunktionen von CreatorOffice. Daten: alle Daten, die der Kunde und seine Account-Nutzer in CreatorOffice speichern. Speicherort: Frankfurt am Main (Region eu-central-1). Grundlage für Übermittlungen in Drittländer: die Datenverarbeitungsbedingungen des Anbieters mit den dort vorgesehenen Garantien nach Art. 46 DSGVO (Standardvertragsklauseln).

Cloudflare, Inc., USA. Zweck: Auslieferung und Schutz von Website und App, Sicherheitsprüfung Turnstile, Speicher für Videos, Bilder und PDF der Content-Ablage und für die nächtliche Datensicherung (EU), Weiterleitung eingehender E-Mails an die Support-Adresse. Daten: technische Verbindungsdaten (IP-Adresse, Browserangaben), Dateien der Content-Ablage, eingehende E-Mails. Speicherort: Content-Ablage in der EU; Auslieferung über das weltweite Netz von Cloudflare. Grundlage für Übermittlungen in Drittländer: die Datenverarbeitungsbedingungen des Anbieters mit den dort vorgesehenen Garantien nach Art. 46 DSGVO (Standardvertragsklauseln).

Resend, Inc., USA. Zweck: Versand der E-Mails aus CreatorOffice (zum Beispiel Rechnungen, Mahnungen, Einladungen, Hinweise). Daten: Name und E-Mail-Adresse der Empfänger, Inhalt und Anhänge der E-Mail, Zustellereignisse. Speicherort: Versand über die EU-Region (Irland); Kontodaten und Protokolle der Zustellung speichert Resend in den USA. Grundlage für Übermittlungen in Drittländer: die Datenverarbeitungsbedingungen des Anbieters mit den dort vorgesehenen Garantien nach Art. 46 DSGVO (Standardvertragsklauseln).

Anthropic, PBC, San Francisco, USA. Zweck: KI-gestützte Unterstützung des Anbieters bei Betrieb, Fehlersuche, Wartung, Sicherheit und technischem Support (KI-Modell Claude, siehe Abschnitt Zugriff des Anbieters). Daten: nur die im Einzelfall abgefragten Daten, je nach Vorgang Stammdaten, Kontaktdaten, Vertrags- und Rechnungsdaten, Texte von Support-Tickets, Fehlerberichte und technische Protokolle. Speicherort: USA. Grundlage für Übermittlungen in Drittländer: die Datenverarbeitungsbedingungen des Anbieters mit den dort vorgesehenen Garantien nach Art. 46 DSGVO (Standardvertragsklauseln).

GitHub, Inc., San Francisco, USA. Zweck: Ausführung der nächtlichen Datensicherung: Die Kopie von Datenbank und Belegdateien entsteht kurzzeitig auf einem Server von GitHub und wird von dort in den Sicherungsspeicher in der EU übertragen; bei GitHub bleibt nichts gespeichert. Daten: alle Daten, die der Kunde und seine Account-Nutzer in CreatorOffice speichern (nur während des Sicherungslaufs). Speicherort: USA (nur während des Sicherungslaufs). Grundlage für Übermittlungen in Drittländer: die Datenverarbeitungsbedingungen des Anbieters mit den dort vorgesehenen Garantien nach Art. 46 DSGVO (Standardvertragsklauseln).

Meta Platforms Ireland Limited, Irland. Zweck: Instagram-Anbindung (nur wenn ein Creator sein Konto verbindet) und WhatsApp-Business-Plattform (nur wenn der Kunde eine eigene Nummer verbindet und der Creator eingewilligt hat). Daten: bei Instagram der Zugangsschlüssel und der Abruf von Profil, Kennzahlen und Beiträgen; bei WhatsApp Handynummer, Vorname und Inhalt des Hinweises. Grundlage für Übermittlungen in Drittländer durch Meta: die Datenverarbeitungsbedingungen von Meta mit den dort vorgesehenen Garantien nach Kapitel V DSGVO.

Weitere Empfänger, die nur die eigenen Daten des Kunden erhalten und für die der Anbieter Verantwortlicher ist, nennen die Datenschutzhinweise: Stripe und PayPal für die Zahlung der Tarife, Google für die Anmeldung mit Google-Konto.

Neue oder ersetzte Unterauftragsverarbeiter kündigt der Anbieter den Kontoinhabern mindestens 30 Tage vor ihrem Einsatz per E-Mail und im Produkt an, mit Name, Sitz, Zweck und Datenkategorien. Der Kunde kann innerhalb dieser 30 Tage widersprechen. Anbieter und Kunde suchen dann eine Lösung; gelingt das nicht, kann der Kunde den Hauptvertrag zu dem Zeitpunkt kündigen, zu dem der neue Unterauftragsverarbeiter eingesetzt wird. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

Drittländer und Standardvertragsklauseln

Der Anbieter hat seinen Sitz in den Vereinigten Arabischen Emiraten und keine Niederlassung in der EU. Für die Vereinigten Arabischen Emirate besteht kein Angemessenheitsbeschluss der EU-Kommission. Die Daten liegen in der EU; der Anbieter greift von den Vereinigten Arabischen Emiraten aus auf sie zu, soweit das nach diesem Vertrag erforderlich ist. Darin liegt eine Übermittlung in ein Drittland.

Dafür sind die Standardvertragsklauseln der EU-Kommission nach dem Durchführungsbeschluss (EU) 2021/914, Modul 2 (Übermittlung von Verantwortlichen an Auftragsverarbeiter), durch Verweis Bestandteil dieses Vertrags; der Kunde ist Datenexporteur, der Anbieter Datenimporteur. Die Angaben für die Anhänge stehen in der Anlage. Bei Widersprüchen gehen die Standardvertragsklauseln diesem Vertrag und den AGB vor.

Übermittlungen an Unterauftragsverarbeiter außerhalb der EU erfolgen nur auf einer Grundlage nach Kapitel V DSGVO. Die Grundlage je Unterauftragsverarbeiter steht in der Liste oben.

Unterliegt die Verarbeitung dem Schweizer Bundesgesetz über den Datenschutz (DSG), gelten die Pflichten dieses Vertrags entsprechend nach dem DSG. Für Übermittlungen in Staaten ohne angemessenen Datenschutz nach Anhang 1 der Datenschutzverordnung gelten die Standardvertragsklauseln mit diesen Anpassungen: Soweit das DSG anwendbar ist, ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständige Aufsichtsbehörde; Verweise auf die DSGVO gelten als Verweise auf das DSG; der Begriff „Mitgliedstaat“ ist so auszulegen, dass betroffene Personen mit gewöhnlichem Aufenthalt in der Schweiz ihre Rechte dort geltend machen können.

Rechte der Betroffenen, Meldepflichten, Kontrollen

Der Anbieter unterstützt den Kunden bei Anfragen Betroffener, meldet Verletzungen des Schutzes personenbezogener Daten und ermöglicht Kontrollen. Verletzungen meldet der Anbieter unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Anfragen Betroffener, die beim Anbieter eingehen, leitet er unverzüglich an den Kunden weiter. Kontrollen erfolgen vorrangig durch aktuelle Nachweise; Kontrollen vor Ort sind nach rechtzeitiger Ankündigung möglich.

Rückgabe, Export und Löschung

Der Kunde kann seine Daten während der Laufzeit und in der Export-Phase nach Vertragsende (mindestens 90 Tage) selbst exportieren. Hat kein Kontoinhaber mehr Zugang, stellt der Anbieter den Export auf Anfrage in Textform bereit. Weisungen zur Berichtigung, Löschung oder Einschränkung einzelner Daten setzt der Anbieter auch nach dem Vertragsende und während einer Sperre um. Unter Einstellungen · Export erstellen die Kontoinhaber einen vollständigen Export als ZIP-Datei (jede Tabelle als CSV und JSON, lesbare Listen, Rechnungs-PDFs, unterschriebene Verträge, Anhänge und Logo) sowie Listen für die Buchhaltung (Rechnungen als CSV oder JSON, je nach Tarif auch als DATEV-Buchungsstapel oder BMD-Buchungen). Creator laden die Daten, die über sie geführt werden, im Creator-Portal unter Konto als ZIP-Datei herunter.

Nach der Export-Phase löscht der Anbieter alle Daten außer den Belegen, die der Kunde aufbewahren muss (Rechnungen, Gutschriften, Stornos, Zahlungs- und Buchungsdaten, unterschriebene Verträge, jeweils mit den dafür nötigen Angaben). Diese verarbeitet er auf Weisung des Kunden nur noch zur Aufbewahrung und zum Abruf durch den Kunden, bis die Aufbewahrungsdauer abgelaufen ist, und löscht sie dann. Die Dauer richtet sich nach dem Sitzland, das im Konto des Kunden hinterlegt ist, und liegt nie unter der gesetzlichen Untergrenze. Im Produkt hinterlegt sind derzeit für Deutschland 8 Jahre für Rechnungen, Gutschriften, Stornos, Zahlungs- und Buchungsdaten und 6 Jahre für unterschriebene Verträge, für Österreich 7 Jahre, für die Schweiz 10 Jahre und für andere Länder 10 Jahre, jeweils ab Ende des Kalenderjahres des letzten Belegs. Zur Einordnung: In Deutschland sind Buchungsbelege und Rechnungen seit 2025 grundsätzlich 8 Jahre aufzubewahren, Handelsbücher und Abschlüsse 10 Jahre und Handelsbriefe 6 Jahre. Welche Fristen für ihn gelten, prüft der Kunde selbst.

Jeder Schritt wird 30 Tage vorher per E-Mail angekündigt. Wünscht der Kunde die vorzeitige Löschung, löscht der Anbieter alles nach Ablauf der Ankündigungsfrist; die Aufbewahrung übernimmt der Kunde dann selbst mit dem Export. Gelöschte Daten liegen noch bis zu 30 Tage in den nächtlichen Datensicherungen vor und werden dann mit der jeweiligen Sicherung gelöscht; einen Anspruch auf Wiederherstellung begründen die Sicherungen nicht.

Änderungen dieses Vertrags

Änderungen dieses Vertrags kündigt der Anbieter den Kontoinhabern per E-Mail und im Produkt an, mit dem Datum, ab dem die neue Fassung gelten soll, einer Zusammenfassung der Änderungen und einer angemessenen Vorlaufzeit von in der Regel mindestens 30 Tagen. Die neue Fassung gilt, wenn ein Kontoinhaber ihr im Produkt zustimmt; welcher Fassung wann zugestimmt wurde, zeigt das Produkt unter Abo & Tarif. Ist eine Änderung für den Kunden erheblich nachteilig, kann er den Hauptvertrag zu dem Zeitpunkt kündigen, ab dem die neue Fassung gelten soll. Für neue Unterauftragsverarbeiter gilt das Verfahren im Abschnitt Unterauftragsverarbeiter.

Anwendbares Recht

Für diesen Vertrag gilt die Rechtswahl der AGB. Zwingendes Datenschutzrecht, insbesondere die DSGVO, bleibt unberührt. Die allgemeine Rechtswahl zugunsten des Rechts der VAE lässt zwingende und abweichende Rechtswahl- und Gerichtsstandsbestimmungen der EU-Standardvertragsklauseln unberührt.

Anlage: Standardvertragsklauseln (Modul 2) mit Anhängen

Die Standardvertragsklauseln der EU-Kommission nach dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021, Modul 2 (Übermittlung von Verantwortlichen an Auftragsverarbeiter), sind in ihrem amtlichen Wortlaut (Amtsblatt der EU L 199 vom 7. Juni 2021, bei EUR-Lex unter CELEX 32021D0914) Bestandteil dieses Vertrags. Sie gelten ab der Zustimmung eines Kontoinhabers zu diesem Vertrag als von beiden Parteien geschlossen. Es gelten diese Wahlen: Klausel 7 (Kopplungsklausel) wird nicht vereinbart. Klausel 9 Buchstabe a: Option 2, allgemeine schriftliche Genehmigung; der Anbieter unterrichtet den Kunden mindestens 30 Tage vorher über beabsichtigte Änderungen der Liste der Unterauftragsverarbeiter. Klausel 11 Buchstabe a: Eine unabhängige Schlichtungsstelle wird nicht vereinbart. Klausel 13: wie in Anhang I Buchstabe C. Klausel 17: Option 2; es gilt das Recht des EU-Mitgliedstaats, in dem der Kunde niedergelassen ist; lässt dieses Recht Rechte Dritter nicht zu oder ist der Kunde nicht in der EU niedergelassen, gilt irisches Recht. Klausel 18 Buchstabe b: zuständig sind die Gerichte des EU-Mitgliedstaats, in dem der Kunde niedergelassen ist; ist er nicht in der EU niedergelassen, die Gerichte Irlands. Bei Widersprüchen gehen die Standardvertragsklauseln diesem Vertrag und den AGB vor.

Anhang I, A. Liste der Parteien

Datenexporteur: der Kunde mit Name, Anschrift, Ansprechperson und Kontakt, wie im Konto unter Einstellungen hinterlegt; Tätigkeit: Nutzung von CreatorOffice für die eigene gewerbliche oder selbständige berufliche Tätigkeit (Talent- und Influencer-Management, selbständige Creator-Tätigkeit); Rolle: Verantwortlicher; Unterschrift und Datum: elektronische Zustimmung eines Kontoinhabers im Produkt, protokolliert mit Fassung und Zeitpunkt.

Datenimporteur: HeereHaase Partners FZCO, handelnd als CreatorOffice, IFZA Properties, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate, Lizenznummer 35900 (Dubai Integrated Economic Zones Authority), vertreten durch ihre Geschäftsführung (Angaben im Impressum); Kontakt datenschutz@creatoroffice.de; Tätigkeit: Bereitstellung, Betrieb, Wartung und Support von CreatorOffice; Rolle: Auftragsverarbeiter; Unterschrift und Datum: Bereitstellung dieses Vertrags im Produkt zum Zeitpunkt der Zustimmung des Kunden.

Anhang I, B. Beschreibung der Übermittlung

Kategorien betroffener Personen: Account-Nutzer des Kunden (Kontoinhaber, Mitglieder des Teams); Creator und Talents, die der Kunde betreut oder einlädt, bei Minderjährigen auch deren gesetzliche Vertreter; Ansprechpersonen von Marken und anderen Geschäftspartnern des Kunden; Rechnungsempfänger, Vertragspartner und Unterzeichner; sonstige Personen, deren Daten der Kunde einträgt.

Kategorien personenbezogener Daten: Stamm- und Kontaktdaten; bei Creatorn Geburtsdatum, Steuer- und Bankdaten; Vertragsdaten und Vertragstexte; Rechnungs-, Gutschrift-, Zahlungs-, Auszahlungs- und Buchungsdaten; Daten zu Kooperationen, Kampagnen, Terminen und Inhalten (Briefings, Entwürfe, Videos, Bilder, Kommentare); Nachrichten; Nachweise der elektronischen Unterschrift (Name, E-Mail, Zeitpunkt, IP-Adresse, Gerät, Prüfsumme); Änderungsverlauf; mit Einwilligung des Creators Instagram-Profil und Kennzahlen und die Handynummer für WhatsApp-Hinweise; technische Protokolle und Fehlerberichte.

Sensible Daten: CreatorOffice sieht keine Felder für Daten nach Art. 9 oder 10 DSGVO vor. Trägt der Kunde solche Daten in freie Felder, Nachrichten oder Dateien ein, gelten dieselben Maßnahmen wie für alle Daten (Anhang II), insbesondere Zugriff nur im Einzelfall, Protokollierung jedes Betreiberzugriffs über das KI-Werkzeug und keine lokale Speicherung länger als für den Vorgang nötig.

Häufigkeit der Übermittlung: fortlaufend für die Dauer des Vertrags, jeweils nur im Einzelfall, wenn der Datenimporteur aus den Vereinigten Arabischen Emiraten für Betrieb, Fehlersuche, Wartung, Sicherheit oder Support auf die in der EU gespeicherten Daten zugreift.

Art der Verarbeitung: Fernzugriff (Lesen, in Einzelfällen Ändern über geprüfte Betriebsfunktionen) auf Daten, die in der EU gespeichert sind (Datenbank in Frankfurt am Main, Dateien in der Cloudflare-R2-Jurisdiktion EU); keine dauerhafte Speicherung in den Vereinigten Arabischen Emiraten.

Zweck der Übermittlung und Weiterverarbeitung: Bereitstellung von CreatorOffice für den Kunden einschließlich Betrieb, Wartung, Sicherheit, Fehlerbehebung und technischem Support (Abschnitt Art und Zweck der Verarbeitung).

Speicherdauer: Der Datenimporteur speichert keine Kopien in den Vereinigten Arabischen Emiraten, außer kurzzeitig für einen konkreten Vorgang; solche Kopien löscht er nach Abschluss des Vorgangs, spätestens nach 30 Tagen. Für die Daten in der EU gelten die Fristen im Abschnitt Rückgabe, Export und Löschung.

Übermittlungen an Unterauftragsverarbeiter: Gegenstand, Art und Dauer wie in Anhang III.

Anhang I, C. Zuständige Aufsichtsbehörde (Klausel 13)

Ist der Kunde in der EU niedergelassen, die Aufsichtsbehörde, die für seine Niederlassung zuständig ist. Ist er nicht in der EU niedergelassen, fällt er aber nach Art. 3 Abs. 2 DSGVO unter die DSGVO und hat einen Vertreter benannt, die Aufsichtsbehörde des Mitgliedstaats, in dem der Vertreter niedergelassen ist; hat er keinen Vertreter benannt, die Aufsichtsbehörde des Mitgliedstaats, in dem sich die betroffenen Personen befinden, deren Daten übermittelt werden. Unterliegt die Übermittlung dem Schweizer DSG, ist zusätzlich der EDÖB zuständig (Abschnitt Drittländer und Standardvertragsklauseln).

Anhang II. Technische und organisatorische Maßnahmen

Speicherort und Verschlüsselung: Datenbank, Anmeldung, Dateispeicher und Serverfunktionen bei Supabase in Frankfurt am Main (Region eu-central-1), Daten im Ruhezustand mit AES-256 verschlüsselt (Angabe des Anbieters); Content-Ablage und nächtliche Sicherungen in Cloudflare R2, Jurisdiktion EU, Objekte und Metadaten mit AES-256 verschlüsselt (Angabe des Anbieters); jede Übertragung über TLS.

Zugangskontrolle: Anmeldung mit persönlichem Konto; zweiter Faktor für Betreiberkonten verpflichtend, für die Teams der Kunden als Pflicht einstellbar; Schlüssel für die Betriebswerkzeuge im Schlüsselbund des Betriebsrechners, nicht im Code.

Zugriffskontrolle und Mandantentrennung: Zeilenrechte in der Datenbank, die bei jedem Zugriff prüfen, zu welchem Kunden ein Datensatz gehört; Rechte je Rolle und Person; Support-Einsicht in ein Kundenkonto nur über einen Freigabevorgang mit Grund, höchstens 72 Stunden, widerrufbar; Fernzugriff des Betreibers nur im Einzelfall und nur auf die Daten, die der Vorgang braucht.

Betriebswerkzeuge und KI: Datenbankabfragen des KI-Werkzeugs nur lesend in einer Transaktion mit Zeitlimit und begrenzter Zeilenzahl; Änderungen nur über benannte Betriebsfunktionen mit denselben Prüfungen wie in der Betreiber-Konsole; Antworten an Kunden nur als Entwurf, Versand erst nach menschlicher Prüfung; keine Verwendung der Daten zum Training von KI-Modellen (Abschnitt Zugriff des Anbieters für Betrieb und Support).

Protokollierung: jeder Zugriff über das KI-Werkzeug und über das Abfragewerkzeug des Betriebs mit Zeitpunkt, Werkzeug, Angaben zum Aufruf ohne Inhalte und Ergebnis, Löschung nach 365 Tagen; Protokolle der Änderungen an Dokumenten, Freigaben und Zahlungsvorgängen; Protokoll der Exporte; Zugriffs- und Anmeldeprotokolle des Hosting-Anbieters 7 Tage.

Verfügbarkeit und Wiederherstellung: nächtliche Sicherung von Datenbank und Belegdateien in einen getrennten Speicher in der EU, Aufbewahrung 30 Tage; Wiederherstellung durch den Betreiber.

Schutz von Zugangsschlüsseln und Dateien: Zugangsschlüssel für Instagram und WhatsApp verschlüsselt im Vault der Datenbank; Dateien der Content-Ablage und Instagram-Bilder nur über signierte, befristete Adressen; Freigabelinks widerrufbar und befristet; Prüfsummen für unterschriebene Dokumente; Schutz der Formulare vor automatisierten Anfragen (Turnstile).

Datenminimierung und Löschung: feste Löschfristen je Datenart (Datenschutzhinweise, Speicherdauer); automatische Entfernung von E-Mail-Adressen, IBANs, Schlüsseln und langen Zahlen aus Fehlerberichten; lokale Kopien beim Betreiber (Exporte, Abfrageergebnisse, Fehlerbilder) nur im Arbeitsordner der jeweiligen Aufgabe, nie im Quellcode-Verzeichnis, Löschung nach Abschluss, spätestens nach 30 Tagen.

Personal: Zugriff nur durch den Anbieter selbst und befugte Personen, die zur Vertraulichkeit verpflichtet sind.

Ersuchen von Behörden: Der Datenimporteur prüft jedes Ersuchen einer Behörde auf Herausgabe auf seine Rechtmäßigkeit, legt nur das Mindestmaß offen, ficht unrechtmäßige Ersuchen an, unterrichtet den Kunden, soweit rechtlich zulässig, unverzüglich (Klausel 15) und dokumentiert jedes Ersuchen.

Unterstützung des Verantwortlichen: Weiterleitung von Anfragen Betroffener unverzüglich; Export aller Daten durch den Kunden selbst; Meldung von Verletzungen des Schutzes personenbezogener Daten spätestens innerhalb von 48 Stunden nach Kenntnis; Nachweise auf Anfrage, Kontrollen vor Ort nach Ankündigung (Abschnitt Rechte der Betroffenen, Meldepflichten, Kontrollen).

Maßnahmen der Unterauftragsverarbeiter: vertragliche Verpflichtung auf ein gleichwertiges Schutzniveau über deren Datenverarbeitungsbedingungen mit Standardvertragsklauseln.

Anhang III. Liste der Unterauftragsverarbeiter

Die Liste im Abschnitt Unterauftragsverarbeiter (mit Name, Sitz, Zweck, Datenkategorien, Speicherort und Grundlage der Übermittlung) ist Anhang III; der Kunde hat der Beauftragung dieser Unterauftragsverarbeiter zugestimmt.

Frühere Fassungen

Fassung vom 25.09.2026 (abgelöst durch die Fassung vom 06.10.2026); Fassung vom 06.10.2026 (abgelöst durch die Fassung vom 07.10.2026: nächtliche Datensicherung, Speicherort Resend); Fassung vom 07.10.2026 (abgelöst durch die Fassung vom 16.10.2026: Ergänzung für das Schweizer Datenschutzgesetz im Abschnitt Drittländer und Standardvertragsklauseln); Fassung vom 16.10.2026 (abgelöst durch die Fassung vom 23.10.2026: Export-Phase statt Nur-Lesen-Phase nach Vertragsende, Belege zum Abruf); Fassung vom 23.10.2026 (abgelöst durch die Fassung vom 24.10.2026: Export auf Anfrage und Weisungen während einer Sperre, vollständige Anlage zu den Standardvertragsklauseln mit Anhang I bis III).