Auftragsverarbeitungsvertrag

Zwischen der Kundenagentur und Anbieter des Dienstes ausstehend, Anbieter von Tintaki (Artikel 28 der Verordnung (EU) 2016/679, Datenschutz-Grundverordnung – DSGVO, und Artikel 33 des spanischen Organgesetzes 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte, LOPDGDD).

Parteien

Einerseits „die Agentur“: das Unternehmen, das sich bei Tintaki registriert und diesen Vertrag annimmt, mit den in seinem Konto hinterlegten Daten.

Andererseits „der Auftragsverarbeiter“: Anbieter des Dienstes ausstehend, mit Steuernummer (NIF) Steuernummer (NIF) ausstehend und Anschrift Anschrift ausstehend, Anbieter des Dienstes Tintaki.

1. Gegenstand

1.1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag der Agentur bei der Erbringung des in den Nutzungsbedingungen beschriebenen Dienstes Tintaki vornimmt.

1.2. Er erfasst nicht die Daten, die der Auftragsverarbeiter als Verantwortlicher verarbeitet (die Daten der Nutzer der Agentur zur Verwaltung ihres Kontos und die Rechnungsdaten); für diese gilt die Datenschutzerklärung.

2. Rolle der Parteien

2.1. Die Agentur handelt als Verantwortlicher oder, wenn sie die Daten im Auftrag ihrer eigenen Kunden (der Marken) verarbeitet, als Auftragsverarbeiter dieser Kunden.

2.2. Im zweiten Fall handelt der Auftragsverarbeiter als Unterauftragsverarbeiter der Agentur, und:

• die Agentur sichert zu, dass ihr Vertrag mit jeder Marke ihr gestattet, Tintaki und die Unterauftragsverarbeiter aus Anhang II einzusetzen;
• die Weisungen der Agentur gelten auch als im Namen der Marke erteilt;
• die Agentur gibt die Informationen, die ihr der Auftragsverarbeiter über diese Verarbeitung zur Verfügung stellt, an die Marke weiter.

3. Beschreibung der Verarbeitung

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

a) Weisungen befolgen. Die Daten nur auf dokumentierte Weisung der Agentur zu verarbeiten. Dieser Vertrag, die Nutzungsbedingungen und die Einstellungen, die die Agentur in Tintaki vornimmt (was, wo und wann veröffentlicht wird, an wen der Link gesendet wird), sind diese Weisungen. Hält er eine Weisung für rechtswidrig, informiert er die Agentur unverzüglich.

b) Die Daten nicht für andere Zwecke verwenden. Insbesondere sie nicht für eigene Zwecke, für Werbung oder zum Training von Modellen der künstlichen Intelligenz zu verwenden.

c) Vertraulichkeit. Sicherzustellen, dass sich die zur Verarbeitung der Daten befugten Personen schriftlich zur Verschwiegenheit verpflichtet haben, auch über das Ende ihrer Tätigkeit für den Auftragsverarbeiter hinaus.

d) Sicherheit. Die Maßnahmen aus Anhang I anzuwenden, die dem Risiko gemäß Art. 32 DSGVO angemessen sind.

e) Unterauftragsverarbeiter. Klausel 5 einzuhalten.

f) Unterstützung bei Betroffenenrechten. Macht eine betroffene Person ihre Rechte gegenüber dem Auftragsverarbeiter geltend, leitet er dies innerhalb von höchstens 5 Werktagen an die Agentur weiter und unterstützt sie bei der Beantwortung. Tintaki stellt Werkzeuge bereit, mit denen die Agentur die Daten selbst abfragen, exportieren und löschen kann.

g) Unterstützung bei den Pflichten der Agentur. Im Rahmen seiner Zuständigkeit bei Datenschutz-Folgenabschätzungen, vorherigen Konsultationen der Aufsichtsbehörde und der Meldung von Datenschutzverletzungen mitzuwirken.

h) Datenschutzverletzungen. Der Agentur jede Verletzung, die ihre Daten betrifft, unverzüglich und in jedem Fall innerhalb von höchstens 48 Stunden nach Kenntnisnahme zu melden, mit den verfügbaren Informationen: was geschehen ist, ungefähre Zahl der betroffenen Daten und Personen, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Er ergänzt die Informationen, sobald sie ihm vorliegen.

i) Verzeichnis. Ein Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter zu führen (Art. 30 Abs. 2 DSGVO).

j) Nachweis der Einhaltung. Der Agentur die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und Prüfungen gemäß Klausel 7 zu ermöglichen.

5. Unterauftragsverarbeiter

5.1. Die Agentur erteilt eine allgemeine Genehmigung, dass der Auftragsverarbeiter die Unterauftragsverarbeiter aus Anhang II einsetzt.

5.2. Vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter die Agentur per E-Mail und im Dashboard mindestens 30 Tage im Voraus (oder mit der kürzeren Frist, die aus Sicherheitsgründen oder wegen der Einstellung eines Anbieters unerlässlich ist) und gibt an, wer es ist, was er tun wird und wo.

5.3. Die Agentur kann aus berechtigten, datenschutzbezogenen Gründen schriftlich und innerhalb dieser Frist Einspruch erheben. Findet sich keine Alternative, kann die Agentur den Vertrag ohne Vertragsstrafe und unter Erstattung des bereits gezahlten anteiligen Betrags für den nicht genutzten Zeitraum kündigen.

5.4. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die ihm dieser Vertrag auferlegt, und bleibt gegenüber der Agentur für das Handeln jedes Unterauftragsverarbeiters verantwortlich.

5.5. Meta ist kein Unterauftragsverarbeiter. Wenn die Agentur die Veröffentlichung veranlasst, sendet der Auftragsverarbeiter die Inhalte an Meta Platforms Ireland Limited, das sie als eigenständiger Verantwortlicher nach seinen eigenen Bedingungen verarbeitet, die die Marke beim Verbinden ihres Kontos akzeptiert hat. Dasselbe gilt für Stripe hinsichtlich der Zahlungsdaten.

5.6. Metricool ebenfalls nicht. Verbindet die Agentur ihr eigenes Metricool-Konto, sendet ihm der Auftragsverarbeiter die Beiträge, deren Planung die Agentur veranlasst. Metricool verarbeitet sie gemäß seinem Vertrag mit der Agentur, nicht im Auftrag des Auftragsverarbeiters.

6. Internationale Übermittlungen

6.1. Der Auftragsverarbeiter übermittelt keine Daten außerhalb des Europäischen Wirtschaftsraums, außer an die in Anhang II entsprechend gekennzeichneten Unterauftragsverarbeiter, und nur mit einer der folgenden Garantien:

• Angemessenheitsbeschluss der Europäischen Kommission, einschließlich des Beschlusses zum EU-US-Datenschutzrahmen (Data Privacy Framework) für zertifizierte Stellen;
• Standardvertragsklauseln der Kommission (Beschluss 2021/914), mit einer Folgenabschätzung für die Übermittlung und zusätzlichen Maßnahmen, soweit erforderlich.

6.2. Bei den KI-Funktionen minimiert der Auftragsverarbeiter die übermittelten personenbezogenen Daten: Er nimmt keine Kontaktdaten der Personen der Marken und keine Freigabeprotokolle in die Anfragen auf.

7. Prüfungen

7.1. Die Agentur kann einmal jährlich oder jederzeit nach einer Datenschutzverletzung Informationen über die Einhaltung dieses Vertrags anfordern. Der Auftragsverarbeiter antwortet innerhalb von 30 Tagen, in der Regel mit Unterlagen, Zertifizierungen oder Berichten von sich selbst und seinen Unterauftragsverarbeitern.

7.2. Reicht dies nicht aus, kann die Agentur eine Prüfung durchführen oder in Auftrag geben, mit einer Ankündigung von 30 Tagen, während der Geschäftszeiten, ohne Zugriff auf Daten anderer Kunden und durch einen zur Vertraulichkeit verpflichteten Prüfer. Jede Partei trägt ihre eigenen Kosten, es sei denn, die Prüfung deckt einen schwerwiegenden Verstoß des Auftragsverarbeiters auf.

8. Pflichten der Agentur

Die Agentur verpflichtet sich:

• über eine Rechtsgrundlage für die Daten zu verfügen, die sie in Tintaki eingibt, und die betroffenen Personen informiert zu haben (zum Beispiel diejenigen, an die sie den Freigabelink senden wird);
• über die Genehmigung jeder Marke zu verfügen, deren Konten zu verbinden und darin zu veröffentlichen;
• über die Erlaubnis der Personen zu verfügen, die in den von ihr hochgeladenen Bildern erscheinen;
• keine sensiblen Daten und keine Daten Minderjähriger einzugeben, außer wie in Klausel 3 vorgesehen;
• rechtmäßige Weisungen zu erteilen.

9. Haftung

Jede Partei haftet für ihre Verstöße gemäß Art. 82 DSGVO. Verarbeitet der Auftragsverarbeiter Daten außerhalb der Weisungen, gilt er für diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Es gelten die Haftungsbeschränkungen der Nutzungsbedingungen, sofern das Gesetz dies zulässt.

10. Laufzeit

Dieser Vertrag läuft so lange wie das Dienstleistungsverhältnis zwischen der Agentur und Tintaki.

11. Ende der Auftragsverarbeitung: Rückgabe und Löschung

11.1. Bei Beendigung des Dienstes hat die Agentur 30 Tage Zeit, ihre Inhalte und Daten aus dem Dashboard zu exportieren.

11.2. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die im Auftrag der Agentur verarbeiteten personenbezogenen Daten, auch aus den Datensicherungen spätestens innerhalb weiterer 30 Tage, und bestätigt dies auf Verlangen der Agentur schriftlich.

11.3. Die Zugriffstokens für Instagram, Facebook und Metricool werden sofort gelöscht, wenn der Dienst endet oder das Konto getrennt wird.

11.4. Der Auftragsverarbeiter bewahrt gesperrte Daten nur auf, wenn ein Gesetz dies vorschreibt, und nur so lange, wie es dies vorschreibt.

12. Recht und Gerichtsstand

Spanisches Recht. Gerichte von Stadt ausstehend, sofern das Gesetz nichts anderes vorschreibt.

Anhang I. Sicherheitsmaßnahmen

Organisatorisch

• Zugriff auf die Daten nur für Personal, das ihn benötigt, mit unterzeichneter Verschwiegenheitsverpflichtung.
• Passwortrichtlinie und verpflichtende Zwei-Faktor-Authentifizierung für den Administrationszugang.
• Schriftliches Verfahren zum Umgang mit Datenschutzverletzungen.
• Jährliche Überprüfung dieser Maßnahmen und der Unterauftragsverarbeiter.

Technisch

• Server in Deutschland (EU), bei Hetzner Online GmbH.
• Verschlüsselung bei der Übertragung mit TLS 1.2 oder höher.
• Meta- und Metricool-Tokens verschlüsselt in der Datenbank, mit einem außerhalb der Datenbank gespeicherten Schlüssel; niemals in Protokollen oder im Browser.
• Passwörter mit robustem Hash-Algorithmus (zum Beispiel Argon2 oder bcrypt).
• Trennung der Daten jeder Agentur in der Datenbank selbst (Sicherheit auf Zeilenebene).
• An Meta und Metricool gesendete Bilder über signierte Links, die nicht dauerhaft öffentlich sind.
• Verschlüsselte, tägliche Datensicherungen mit einer Aufbewahrung von 30 Tagen und regelmäßigen Wiederherstellungstests.
• Protokolle von Zugriffen und administrativen Handlungen, 12 Monate aufbewahrt.
• Sicherheitsupdates innerhalb angemessener Frist; Firewall und Zugang per SSH-Schlüssel.

Anhang II. Genehmigte Unterauftragsverarbeiter

Stand der Liste: 28. Oktober 2026.

Keine Unterauftragsverarbeiter (siehe Klauseln 5.5 und 5.6):