Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

(1) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1 zu diesem Vertrag.

(2) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags (Nutzung des Dienstes elSobo). Die Pflichten zur Löschung bzw. Rückgabe gemäß § 4 Abs. 6 gelten fort, bis sie erfüllt sind.

§ 2 Ort der Verarbeitung und Drittlandtransfer

(1) Die Verarbeitung personenbezogener Daten findet vorrangig innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) statt.

(2) Eine Verarbeitung in einem Drittland erfolgt nur, soweit dies in Anlage 1 ausgewiesen ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere: Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); EU-US Data Privacy Framework (EU-US DPF); oder ausdrückliche Einwilligung der betroffenen Person (Art. 49 Abs. 1 lit. a DSGVO).

(3) Der Auftragsverarbeiter gewährleistet, dass bei jedem Drittlandtransfer geeignete Garantien und durchsetzbare Rechte für betroffene Personen bestehen. Änderungen der Rechtsgrundlage oder des Ziellands werden dem Verantwortlichen gemäß § 5 Abs. 2 mitgeteilt.

§ 3 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder das Recht des jeweiligen Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung des Dienstes gemäß seiner dokumentierten Funktionalität und Leistungsbeschreibung durch den Verantwortlichen gilt als dokumentierte Weisung. Darüber hinausgehende Weisungen erfolgen in Textform (z. B. per E-Mail).

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt, präzisiert oder geändert wird.

§ 4 Pflichten des Auftragsverarbeiters

• (1) Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO): Verpflichtung aller befugten Personen zur Vertraulichkeit, fortwirkend auch nach Beendigung der Tätigkeit.
• (2) Technische und organisatorische Maßnahmen (Art. 32 DSGVO) gemäß Anlage 2, gehalten auf einem dem Stand der Technik und dem Risiko angemessenen Schutzniveau. Über wesentliche Änderungen wird der Verantwortliche informiert.
• (3) Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO): Unterstützung des Verantwortlichen bei Anträgen nach Art. 12–23 DSGVO; unverzügliche Weiterleitung direkt eingehender Anträge.
• (4) Unterstützung bei weiteren Pflichten (Art. 28 Abs. 3 lit. f DSGVO): Unterstützung bei Art. 32–36 DSGVO (Sicherheit, Breach-Meldung, Benachrichtigung Betroffener, DSFA, vorherige Konsultation).
• (5) Meldung von Datenschutzverletzungen (Art. 33 DSGVO): unverzüglich und möglichst binnen 24 Stunden nach Bekanntwerden in Textform, einschließlich Art der Verletzung, Kontaktstelle, wahrscheinlicher Folgen und ergriffener Maßnahmen; fehlende Informationen werden nachgereicht.
• (6) Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO): nach Wahl des Verantwortlichen Löschung oder Rückgabe aller Daten nach Vertragsende, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Der Dienst bietet hierfür Export- und Löschfunktionen in maschinenlesbarem Format (z. B. JSON, CSV).
• (7) Nachweis und Dokumentation (Art. 28 Abs. 3 lit. h DSGVO): Bereitstellung der zum Nachweis erforderlichen Informationen und Ermöglichung von Überprüfungen einschließlich Inspektionen.

§ 5 Sub-Auftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 S. 2 DSGVO) zur Hinzuziehung der in Anlage 1 aufgeführten Sub-Auftragsverarbeiter.

(2) Der Auftragsverarbeiter unterrichtet den Verantwortlichen über jede beabsichtigte Änderung mindestens 30 Kalendertage im Voraus in Textform. Der Verantwortliche kann aus einem wichtigen, objektiv nachvollziehbaren datenschutzrechtlichen Grund innerhalb von 14 Kalendertagen nach Zugang der Mitteilung in Textform widersprechen. Bei fristgerechtem Widerspruch unterbleibt die Änderung oder es wird eine zumutbare Alternative angeboten; ist keine Einigung möglich, kann jede Partei außerordentlich kündigen. Ohne fristgerechten Widerspruch gilt die Änderung als genehmigt.

(3) Jeder Sub-Auftragsverarbeiter wird vertraglich auf dieselben Datenschutzpflichten verpflichtet (Art. 28 Abs. 4 DSGVO). Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen voll verantwortlich.

(4) Eine aktuelle Liste aller Sub-Auftragsverarbeiter wird in Anlage 1 geführt und kann unter elsobo.de/avv eingesehen werden.

§ 6 Kontroll- und Einsichtsrechte

(1) Der Auftragsverarbeiter ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten Prüfer und trägt zu diesen bei.

(2) Der Nachweis kann insbesondere durch geeignete aktuelle Testate/Berichte unabhängiger Stellen, durch Zertifizierungen (z. B. ISO 27001, BSI-Grundschutz) oder durch Beantwortung eines schriftlichen Fragenkatalogs erfolgen.

(3) Vor-Ort-Kontrollen sind nur zulässig, wenn die Nachweismittel nach Absatz 2 nicht ausreichen oder ein konkreter Anlass besteht. Sie erfolgen mit angemessener Vorankündigung (mindestens 14 Kalendertage), während der üblichen Geschäftszeiten und höchstens einmal pro Kalenderjahr, soweit kein konkreter Anlass eine häufigere Prüfung erfordert.

§ 7 Haftung

(1) Die Haftung richtet sich nach Art. 82 DSGVO sowie den Haftungsregelungen des Hauptvertrags (AGB). (2) Soweit eine Partei gegenüber betroffenen Personen haftet, obwohl die andere Partei (mit-)verantwortlich ist, besteht insoweit ein Freistellungsanspruch im Innenverhältnis. (3) Im Innenverhältnis trägt jede Partei die Haftung in dem Umfang, in dem sie durch ihr Verschulden zur Pflichtverletzung beigetragen hat.

§ 8 Schlussbestimmungen

(1) Änderungen bedürfen der Textform; ausgenommen sind Änderungen der Anlage 1 und Anlage 2 nach dem in § 5 Abs. 2 bzw. § 4 Abs. 2 geregelten Verfahren. (2) Die Unwirksamkeit einzelner Bestimmungen lässt die übrigen unberührt. (3) Es gilt deutsches Recht; Gerichtsstand ist — soweit zulässig — Berlin. (4) Der AVV tritt mit Annahme durch den Verantwortlichen in Kraft (ausdrückliche Zustimmung in Textform oder konkludent durch fortgesetzte Nutzung des Dienstes nach Zugang dieses AVV).

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand: Betrieb der Social-Media-Management-Software „elSobo“, einschließlich technischer Bereitstellung, Speicherung, KI-gestützter Inhaltserstellung und Verknüpfung mit Drittplattformen. Dauer: Laufzeit des Hauptvertrags zzgl. gesetzlicher Aufbewahrungsfristen (z. B. Rechnungen: 10 Jahre gemäß § 147 AO; Störungsprotokolle: bis zu 90 Tage).

Art/Zweck: Speicherung, Organisation, Veränderung, Auslesen und Abfrage; Übermittlung von Inhalten an verbundene Social-Media-Plattformen im Auftrag des Verantwortlichen; KI-gestützte Erstellung von Texten, Bildern und Videos; Planung, Automatisierung und Veröffentlichung; Verwaltung verbundener Kanäle und Authentifizierung über OAuth; Analyse- und Reportingfunktionen; Unified Inbox für Direktnachrichten und Kommentare.

Datenkategorien: Bestands-/Kontaktdaten der Nutzer (Name, E-Mail, Passwort-Hash, Nutzungs-/Abrechnungsdaten); Profil- und Account-Daten verbundener Kanäle (Account-IDs, OAuth-Token verschlüsselt, Profilangaben); Inhaltsdaten (Texte, Bilder, Videos, Links, Hashtags, Kommentare, ggf. Direktnachrichten); Metadaten; Protokolldaten (gekürzte IP-Adressen, Zeitstempel, Fehlermeldungen). Betroffene: Mitarbeitende/Nutzer des Verantwortlichen; mit den Kanälen interagierende Personen; in Inhalten abgebildete/genannte Personen.

Genehmigte Sub-Auftragsverarbeiter (Stand: 4. Juni 2026; Aktualisierung bei Änderungen unter elsobo.de/avv):

Hinweise: Mit Freepik und getLate.dev steht der AVV-Abschluss aus; die Verarbeitungen finden ausschließlich in der EU statt. Telegram wird nur bei aktiver Einrichtung durch den Nutzer genutzt; der Drittlandtransfer in die VAE erfolgt auf Basis ausdrücklicher, jederzeit widerrufbarer Einwilligung (Art. 49 Abs. 1 lit. a DSGVO).

Anlage 2 — Technische und organisatorische Maßnahmen

Es gelten die im Dokument „Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO – elSobo“ beschriebenen Maßnahmen in der jeweils aktuellen Fassung. Sie sind Bestandteil dieses AVV und können unter elsobo.de/tom abgerufen werden. Zusammenfassung der wichtigsten Maßnahmen:

• Zutrittskontrolle: Rechenzentrumszugang nur für autorisiertes Personal (Hetzner, Supabase: physische Zutrittskontrollen, Videoüberwachung, Protokolle).
• Zugangskontrolle: Passwort + MFA für Admin-Zugänge, OAuth 2.0 für Kanäle, verschlüsselte Token-Speicherung (AES-256), rollenbasierte Zugriffskontrolle.
• Zugriffskontrolle: differenzierte Rechteverwaltung (Admin, Redakteur, Viewer), Logging sicherheitsrelevanter Ereignisse, Löschung/Pseudonymisierung von Protokollen nach max. 90 Tagen.
• Trennungskontrolle: mandantenfähige Architektur (Row Level Security in PostgreSQL), logische Trennung der Kundendaten.
• Pseudonymisierung/Verschlüsselung: TLS 1.3 im Transit, AES-256 im Ruhezustand, gekürzte/pseudonymisierte IPs in Logs, verschlüsselte OAuth-Token.
• Verfügbarkeit/Belastbarkeit: tägliche Backups (30 Tage Aufbewahrung), Hochverfügbarkeit (Load Balancing, Failover), Monitoring und Alerting.
• Überprüfung/Evaluierung: regelmäßige Sicherheitsaudits und Penetrationstests (mind. jährlich), Update-/Patch-Management, Aktualisierung der TOM bei wesentlichen Änderungen.
• Datenschutz-Management: benannte Ansprechperson für Datenschutzfragen (Kontakt: hallo@elsobo.de), Schulung der Mitarbeitenden, Vertraulichkeitsverpflichtung (Art. 28 Abs. 3 lit. b DSGVO), Incident-Response-Prozess (Art. 33 DSGVO).
• Datenminimierung/Speicherbegrenzung: Speicherung nur erforderlicher Daten, automatische Löschung abgelaufener OAuth-Token und Session-Daten, Export- und Löschfunktionen.

Änderungsprotokoll

• Version 1.1 (4. Juni 2026): Überarbeitung und Präzisierung gemäß DSGVO-Best-Practice; Drittlandtransfer-Grundlagen detailliert; Meldefrist Datenschutzverletzungen konkretisiert (24 h); Widerspruchsfrist Sub-Auftragsverarbeiter auf 14 Tage; Anlage 1 erweitert; Anlage 2 (TOM) als Kurzzusammenfassung integriert; § 7 Haftung um Freistellungsregelung ergänzt; § 8 Abs. 4 (Inkrafttreten) hinzugefügt.
• Version 1.0 (2. Juni 2026): Erstfassung.

Kontakt Datenschutz: LITO&CARAS GmbH & Co. KG, Schumannstraße 17, 10117 Berlin, E-Mail: hallo@elsobo.de