Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO, zwischen dem Kunden (Verantwortlicher) und dem Anbieter (Auftragsverarbeiter). Dieser AVV ist Bestandteil des Nutzungsvertrags über Ikrames (AGB) und gilt für alle Verarbeitungen personenbezogener Daten, die der Anbieter im Auftrag des Kunden durchführt.

§ 1 Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden zur Bereitstellung der Ikrames-Dienste (Erstellung, Planung, Veröffentlichung und Auswertung von Social-Media-Inhalten). Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art und Zweck der Verarbeitung

Datenarten: Konto- und Profildaten von Team-Mitgliedern des Kunden (Name, E-Mail), Inhalte und Medien, die der Kunde einbringt oder erzeugen lässt, verbundene Social-Media-Konten (Zugriffs-Token, Konto-Kennungen), Performance- und Interaktionsdaten veröffentlichter Inhalte (inkl. Kommentare Dritter samt deren öffentlichen Profilangaben), Abrechnungs- und Nutzungsdaten.

Kategorien betroffener Personen: Mitarbeiter und Beauftragte des Kunden, Personen, die mit veröffentlichten Inhalten des Kunden interagieren (z. B. Kommentierende), ggf. in Inhalten dargestellte Personen.

Zweck: ausschließlich die Erbringung der vertraglich vereinbarten Dienste. Die Verarbeitung aggregierter, de-identifizierter Daten zu eigenen Zwecken des Anbieters ist kein Teil dieses Auftrags (§ 6).

§ 3 Weisungsrecht

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden; die Nutzung der Ikrames-Funktionen durch den Kunden gilt als Weisung. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Pflichten des Anbieters

Der Anbieter (a) verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit, (b) trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 1), (c) unterstützt den Kunden bei der Beantwortung von Betroffenenanfragen und bei den Pflichten aus Art. 32–36 DSGVO, (d) löscht oder gibt personenbezogene Daten nach Vertragsende zurück (§ 9) und (e) stellt dem Kunden die zum Nachweis erforderlichen Informationen zur Verfügung (§ 10).

§ 5 Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Anbieter informiert den Kunden über beabsichtigte Änderungen (Aufnahme oder Ersetzung) vorab in Textform; der Kunde kann aus wichtigem, datenschutzrechtlichem Grund widersprechen. Mit jedem Unterauftragsverarbeiter bestehen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen.

§ 6 Aggregierte Daten zu eigenen Zwecken

Soweit der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet, gelten die Regelungen dieses AVV. Hiervon getrennt ist der Anbieter berechtigt, Nutzungs- und Performance-Daten in aggregierter, de-identifizierter Form zur Verbesserung und Weiterentwicklung seiner Dienste zu verarbeiten; insoweit handelt der Anbieter als eigenständiger Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Der Anbieter stellt durch technische Maßnahmen (Aggregations-Mindestschwellen, Verzicht auf einzelkundenbezogene Datensätze in der Auswertungsschicht) sicher, dass aus den Aggregaten keine Rückschlüsse auf den Kunden, dessen Marken oder einzelne Personen möglich sind.

§ 7 Betroffenenrechte

Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er das Anliegen unverzüglich an den Kunden weiter. Der Anbieter unterstützt den Kunden mit geeigneten Mitteln (Auskunfts-, Export- und Löschfunktionen der Plattform) bei der Erfüllung von Betroffenenrechten.

§ 8 Meldepflichten

Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die den Auftrag betreffen, unverzüglich nach Bekanntwerden mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit verfügbar.

§ 9 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Zuvor kann der Kunde seine Inhalte über die Exportfunktionen der Plattform sichern. Bereits gebildete Aggregate im Sinne des § 6 bleiben unberührt, da sie keinen Personenbezug mehr aufweisen.

§ 10 Nachweise und Kontrollen

Der Anbieter weist die Einhaltung dieses AVV durch geeignete Dokumentation nach (u. a. Beschreibung der Maßnahmen nach Anlage 1, Zertifikate und AVVs der Unterauftragsverarbeiter). Weitergehende Kontrollen erfolgen nach Terminabsprache und auf Kosten des Kunden.

§ 11 Schlussbestimmungen

Im Übrigen gelten die AGB. Bei Widersprüchen zu datenschutzrechtlichen Regelungen geht dieser AVV vor. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Technische und organisatorische Maßnahmen (TOMs)

• Verschlüsselte Übertragung (TLS) für alle Verbindungen.
• Zugriffskontrolle: rollenbasierte Rechte je Workspace, Datenbank-seitige Zeilenisolation (Row Level Security), getrennte Service-Zugänge für Systemprozesse.
• Authentifizierung über einen spezialisierten Identity-Anbieter, Zugriffs-Token verbundener Social-Konten werden nicht im Klartext an Endgeräte ausgeliefert.
• Protokollierung sicherheitsrelevanter Ereignisse; Backups durch die eingesetzten Infrastruktur-Anbieter.
• Serverstandorte: Datenbank und Datei-Speicher liegen in der Europäischen Union (Irland); Anwendung und Render-Dienst werden ebenfalls in der Europäischen Union (Amsterdam, Niederlande) betrieben, der Hosting-Dienstleister (Railway) nutzt dafür Infrastruktur der Google Cloud Platform. Die Verarbeitung der Daten des Kunden findet damit in der EU statt. Daneben verarbeitet der Hosting-Dienstleister Account- und Nutzungsdaten des Anbieter-Kontos (Konto-, Abrechnungs- und Nutzungsinformationen des Anbieters, nicht die Inhalte des Kunden) als eigenständiger Verantwortlicher auch in den USA; Grundlage dieser Übermittlung sind die EU-Standardvertragsklauseln. Einzelheiten im Abschnitt „Hosting“ der Datenschutzerklärung.

Anlage 2 — Unterauftragsverarbeiter

Es werden dieselben Dienstleister eingesetzt, die die Datenschutzerklärung im Abschnitt „Übersicht der Empfänger und Auftragsverarbeiter“ nennt — diese Liste wird aus derselben Quelle erzeugt und kann deshalb nicht davon abweichen:

• Railway — Hosting der Anwendung und des Render-Services (App-Daten in Transit, Server-Logs). Betrieb seit dem 17. August 2026 in der EU (Amsterdam, Niederlande) auf Infrastruktur der Google Cloud Platform. Daneben verarbeitet Railway Account- und Nutzungsdaten unseres eigenen Kontos als eigenständiger Verantwortlicher in den USA (Grundlage: EU-Standardvertragsklauseln, Modul 2, aus dem am 16. August 2026 geschlossenen Auftragsverarbeitungsvertrag). Anbieter: Railway Corporation, San Francisco, USA
• Supabase — Datenbank und Datei-Speicher (alle Nutzerdaten). Projekt-Region eu-west-1 (Irland, EU)
• Clerk — Identität und Authentifizierung (E-Mail, Name, Sessions)
• Stripe — Zahlungen und Rechnungen
• Bundle.social — Social-Media-Publishing, OAuth-Tokens der verbundenen Kanäle. Anbieter: BUNDLE sp. z o.o., ul. Hoża 86/410, 00-682 Warschau, Polen; Verarbeitung im Europäischen Wirtschaftsraum
• ElevenLabs — Voice-Clones (Stimm-Samples)
• Anthropic — LLM-Verarbeitung von Content-Texten
• OpenAI — Whisper-Transkription reiner Sprachaufnahmen, Embeddings
• fal.ai — Bild- und Video-Generierung (Prompts, teils Brand-Bilder) sowie Transkription von Video-Tonspuren
• Cloudflare — DNS/Proxy für ikrames.com
• PostHog — Produkt- und Reichweiten-Analyse (Seitenaufrufe, Nutzungsereignisse) und Session-Replays. EU-Hosting in Frankfurt (Deutschland). Anonyme Reichweitenmessung ohne Zugriff auf Ihr Endgerät auf Grundlage berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO); identifizierte Analyse und Session-Replays ausschließlich mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Anbieter: PostHog, Inc., 2261 Market St. #4008, San Francisco, CA 94114, USA. Die Daten werden in der EU gehostet; soweit PostHog sie darüber hinaus in den USA verarbeitet, gelten die EU-Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag von PostHog
• Resend — Versand von System- und Transaktions-E-Mails (Empfänger-Adresse, Betreff, Inhalt der Nachricht). Anbieter: Plus Five Five, Inc. (auftretend als „Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA; Grundlage: EU-Standardvertragsklauseln. Betrifft die Eingangsbestätigung zu Kündigung/Widerruf, die Kaufbestätigung digitaler Produkte sowie die Auslieferung von Freebies und die zugehörige Bestätigungs- und Willkommensmail
• Inngest — Job-Orchestrierung (Event-Payloads mit Nutzer- und Content-IDs sowie Job-Parametern). Anbieter: Inngest Inc., Vereinigte Staaten; die Verarbeitung findet in den USA statt. Als Grundlage der Übermittlung kommen die EU-Standardvertragsklauseln in Betracht; der Auftragsverarbeitungsvertrag, der sie verbindlich macht, ist angefragt und liegt uns noch nicht vor
• Evomi — Proxy für Quell-Downloads im Render-Service — sowohl beim Abruf über yt-dlp als auch beim direkten Datei-Download. Der Proxy sieht bei verschlüsselten Zielen (HTTPS) ausschließlich den Ziel-Host, den Zeitpunkt und die übertragene Datenmenge, nicht den übertragenen Inhalt; bei unverschlüsselten Zielen (HTTP) auch den Inhalt. Anbieter: TeraShift GmbH, Schweiz; Grundlage der Übermittlung ist der Angemessenheitsbeschluss der Europäischen Kommission für die Schweiz (Beschluss 2000/518/EG, Art. 45 DSGVO) — Standardvertragsklauseln sind dafür nicht erforderlich