Auftragsverarbeitungsvertrag

Vereinbarung nach Art. 28 DSGVO · Fassung vom 27. Juli 2026 · Version 1.0

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung von Share Motion. Er wird mit dem Abschluss des Hauptvertrags (AGB) Bestandteil des Vertragsverhältnisses und gilt für die gesamte Vertragsdauer.

[[ZU PRÜFEN: Prüfen, ob Unternehmenskunden zusätzlich eine unterschriebene PDF-Fassung erhalten sollen (viele Einkaufsabteilungen verlangen das) — dann Signaturprozess ergänzen]]

1. Parteien

• Verantwortlicher („Auftraggeber“) ist der Kunde, der ein Konto bei Share Motion führt.
• Auftragsverarbeiter ist Laurenz Fussenegger, Einzelunternehmer, Dekan-Hausteiner-Weg 6, 6780 Schruns, Österreich.

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich und bleibt Herr der Daten. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich nach dokumentierter Weisung des Auftraggebers.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Erbringung der in den AGB beschriebenen Leistung: Analyse der Marke des Auftraggebers, Erstellung von Content-Strategie und Content-Plan, Generierung von Bildern, Videos und Avataren mittels KI-Modellen sowie die Veröffentlichung freigegebener Beiträge über die Schnittstellen der vom Auftraggeber verbundenen Plattformen — Instagram, TikTok, YouTube, Facebook, Threads, X, LinkedIn, Pinterest und Bluesky — und der Abruf der zugehörigen Reichweitendaten.

Die Verarbeitung erfolgt automatisiert im Wege der elektronischen Datenverarbeitung. Die Dauer der Verarbeitung entspricht der Dauer des Hauptvertrags.

3. Art der Daten und Kategorien betroffener Personen

Datenarten: Kontaktdaten (Name, E-Mail), Anmeldedaten, Vertrags- und Abrechnungsdaten, Marken- und Unternehmensdaten, vom Auftraggeber beigestellte Bild-, Video-, Ton- und Textdateien, generierte Inhalte, Zugangstokens und Profildaten der verbundenen Social-Media-Konten, Reichweiten- und Interaktionsdaten veröffentlichter Beiträge, Protokolldaten. Gibt der Auftraggeber im Markenscan einen Testzugang zu einer eigenen Anwendung an, kommen dessen Zugangsdaten sowie die daraus abgerufenen Seiteninhalte und Bildschirmfotos hinzu; die Zugangsdaten werden ausschließlich für die Dauer des jeweiligen Abrufs im Arbeitsspeicher verwendet und weder gespeichert noch protokolliert noch an einen Unterauftragsverarbeiter weitergegeben — der Anmeldevorgang läuft in der Serverfunktion des Auftragsverarbeiters selbst.

Betroffene Personen: Mitarbeiterinnen und Mitarbeiter sowie Vertretungsbefugte des Auftraggebers als Nutzer des Dienstes, Personen, die auf beigestelltem Material abgebildet oder zu hören sind, Inhaber der verbundenen Social-Media-Konten sowie Personen, die mit den veröffentlichten Beiträgen interagieren, soweit die Plattform entsprechende Daten bereitstellt.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Auftraggeber stellt beigestelltes Material so bereit, dass es keine besonderen Kategorien personenbezogener Daten enthält.

Zugangsbeschränkte Bereiche. Übergibt der Auftraggeber Zugangsdaten zu einer eigenen Anwendung, sichert er zu, dass er zu deren Weitergabe berechtigt ist, dass der automatisierte Zugriff keine Nutzungsbedingungen Dritter verletzt und dass der betreffende Zugang ein Demonstrationszugang ohne echte personenbezogene Daten Dritter ist. Enthalten die dort abgerufenen Inhalte dennoch personenbezogene Daten, verarbeitet der Auftragsverarbeiter sie ausschließlich im Rahmen dieses Vertrags und auf Weisung des Auftraggebers.

4. Weisungsrecht

• Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Funktionen des Dienstes durch den Auftraggeber gilt als Weisung; darüber hinausgehende Weisungen erfolgen in Textform.
• Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.
• Ist der Auftragsverarbeiter unionsrechtlich oder nach mitgliedstaatlichem Recht zur Verarbeitung verpflichtet, informiert er den Auftraggeber vorab, sofern das Recht dies nicht verbietet.

5. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle zur Verarbeitung befugten Personen auf Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende des Auftrags hinaus fort. Derzeit hat ausschließlich der Auftragsverarbeiter selbst Zugriff auf Produktionsdaten.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung — Transportverschlüsselung (TLS) für jede Übertragung; Verschlüsselung der Datenbank und der Dateiablage im Ruhezustand durch den Infrastrukturanbieter.
• Zugriffskontrolle — Authentifizierung je Konto, zeilenbasierte Berechtigungen in der Datenbank, sodass ein Konto ausschließlich eigene Datensätze lesen und schreiben kann; getrennte Schlüssel für Client- und Serverzugriff.
• Zugangskontrolle — administrativer Zugang nur für den Auftragsverarbeiter, mit Zwei-Faktor-Authentifizierung bei allen eingesetzten Anbietern.
• Trennungskontrolle — logische Mandantentrennung je Arbeitsbereich; getrennte Umgebungen für Test und Produktion.
• Eingabekontrolle — Protokollierung sicherheitsrelevanter Vorgänge (Anmeldung, Zahlungsereignisse, Verbindungsaufbau zu Plattformen).
• Verfügbarkeit — automatische Sicherungen durch den Datenbankanbieter [[ZU PRÜFEN: Backup-Intervall und Aufbewahrungsdauer des Supabase-Plans hier konkret eintragen (z. B. tägliches Backup, 7 Tage Vorhaltezeit)]].
• Belastbarkeit — Ratenbegrenzung sicherheits- und kostenrelevanter Endpunkte; Abrechnung schlägt bei fehlender Konfiguration bewusst fehl statt unkontrolliert zu laufen.
• Datenminimierung — an KI-Modellanbieter werden nur die zur Ausführung des jeweiligen Auftrags nötigen Inhalte übermittelt; Anmelde-, Zahlungs- und Plattformzugangsdaten nie.
• Überprüfung — die Maßnahmen werden anlassbezogen und mindestens jährlich überprüft und an den Stand der Technik angepasst.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung der nachstehenden Unterauftragsverarbeiter. Mit jedem von ihnen bestehen Verpflichtungen, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen.

Die Social-Media-Plattformen selbst — Meta Platforms Ireland Ltd., TikTok Technology Ltd., Google Ireland Ltd., X Internet Unlimited Company, LinkedIn Ireland Unlimited Company, Pinterest Europe Ltd. und Bluesky Social, PBC — sind keine Unterauftragsverarbeiter: Sie entscheiden über die Verarbeitung der auf ihren Plattformen veröffentlichten Inhalte eigenverantwortlich. Die Übermittlung an sie erfolgt auf Weisung des Auftraggebers, der die Konten verbunden und die Beiträge freigegeben hat.

Änderungen. Der Auftragsverarbeiter informiert den Auftraggeber mindestens 30 Tage vor der Aufnahme eines neuen oder dem Wechsel eines bestehenden Unterauftragsverarbeiters per E-Mail an die im Konto hinterlegte Adresse. Der Auftraggeber kann aus einem sachlichen, datenschutzbezogenen Grund binnen 14 Tagen widersprechen. Im Widerspruchsfall kann der Auftragsverarbeiter den Hauptvertrag zum Ende der laufenden Abrechnungsperiode beenden, wenn die Leistung ohne den betreffenden Anbieter nicht erbracht werden kann.

8. Drittlandtransfer

Ein Teil der Unterauftragsverarbeiter hat seinen Sitz in den Vereinigten Staaten. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, ansonsten auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914) samt einer Beurteilung der Übermittlung und ergänzender technischer Maßnahmen (Art. 46 DSGVO). Der zentrale Datenbestand wird in der EU gespeichert.

9. Unterstützung des Auftraggebers

• Betroffenenrechte. Der Auftragsverarbeiter unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Auftraggeber weiter und beantwortet ihn nicht selbst.
• Sicherheit und Folgenabschätzung. Der Auftragsverarbeiter unterstützt bei der Einhaltung der Art. 32–36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde, im Rahmen der ihm vorliegenden Informationen.
• Verletzung des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung unverzüglich, spätestens binnen 24 Stunden nach Kenntniserlangung, unter Angabe der bekannten Umstände, der betroffenen Datenkategorien und der ergriffenen Gegenmaßnahmen, damit der Auftraggeber seine Frist nach Art. 33 DSGVO einhalten kann.

10. Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Auftraggeber auf Anforderung alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Er ermöglicht Überprüfungen einschließlich Inspektionen. Kontrollen erfolgen nach angemessener Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten, höchstens einmal jährlich ohne besonderen Anlass und ohne Störung des Betriebsablaufs. Vorrangig können Nachweise durch aktuelle Zertifikate oder Prüfberichte der eingesetzten Infrastrukturanbieter erbracht werden. Der Auftragsverarbeiter darf den Aufwand einer über den Regelfall hinausgehenden Kontrolle angemessen in Rechnung stellen.

11. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern nicht eine Rechtspflicht zur weiteren Speicherung besteht. Die Löschung erfolgt innerhalb von [[ZU PRÜFEN: Frist mit der Datenschutzerklärung abgleichen, Vorschlag: 30 Tage]] 30 Tagen nach Vertragsende; Zugangstokens werden sofort gelöscht. Sicherungskopien werden im Rahmen ihres regulären Rotationszyklus überschrieben. Rechnungs- und Buchhaltungsdaten bleiben nach § 132 BAO aufbewahrt und dürfen nur zu diesem Zweck verarbeitet werden.

12. Haftung und Schlussbestimmungen

• Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags.
• Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor.
• Es gilt österreichisches Recht. Änderungen und Ergänzungen bedürfen der Textform.
• Die Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit der übrigen nicht.
• Maßgeblich ist die deutsche Fassung dieses AVV.