Vereinbarung zur Auftragsverarbeitung (AVV)

(1) Der Anbieter verarbeitet im Auftrag des Kunden personenbezogene Daten, die der Kunde oder von ihm eingeladene Personen in RYVIO einbringen oder über verbundene Plattform-Konten bereitstellen. Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, der Anbieter Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

(2) Nicht von dieser Vereinbarung erfasst ist die Verarbeitung, für die der Anbieter selbst Verantwortlicher ist (Nutzerkonto, Abrechnung, Missbrauchsabwehr, Sicherheit; siehe Datenschutzerklärung). Die Plattformbetreiber (Meta, LinkedIn, Pinterest, TikTok, Google) sind für ihre Dienste eigenständig verantwortlich.

(3) Handelt der Kunde als Agentur oder Dienstleister für seine Auftraggeber, ist er Auftragsverarbeiter und der Anbieter sein Unterauftragsverarbeiter. Der Kunde stellt sicher, dass seine Auftraggeber dem Einsatz des Anbieters und der Unterauftragsverarbeiter nach Abschnitt 6 zugestimmt haben.

Diese Vereinbarung gilt auch während einer unentgeltlichen Test- oder Beta-Nutzung der Anwendung; Art. 28 DSGVO kennt keine Entgeltschwelle.

Zweck: Bereitstellung der Anwendung — Verwaltung von Unternehmensprofilen, Beiträgen und Medien, Planung, Freigabe und Veröffentlichung auf verbundenen Plattformen, Reporting, Kundenportal, Posteingang, Wettbewerber-Beobachtung, Benachrichtigungen. Dauer: Laufzeit des Nutzungsvertrags und die Fristen nach AGB § 5.

• Datenkategorien: Beitragstexte, Bilder und Videos (ggf. mit erkennbaren Personen), Benutzernamen und Texte von Kommentaren Dritter (live abgerufen, nicht gespeichert), Namen und Notizen von Freigebern im Kundenportal, Namen und E-Mail-Adressen von Teammitgliedern, Kontoname und Zugriffstoken verbundener Plattform-Konten (verschlüsselt), aggregierte Reichweitenwerte, öffentliche Kennzahlen beobachteter Wettbewerber-Konten
• Betroffene: Beschäftigte und Teammitglieder des Kunden, Kunden und Freigeber des Kunden, abgebildete Personen, Kommentierende und Inhaber beobachteter öffentlicher Konten
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) dürfen nicht eingebracht werden.

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Einstellungen und Aktionen des Kunden in der Anwendung sowie der Nutzungsvertrag gelten als Weisung.

(2) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

Der Anbieter verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Anbieter trifft die in Art. 32 DSGVO geforderten Maßnahmen, insbesondere:

• Transportverschlüsselung (HTTPS/TLS, HSTS); Verschlüsselung der Zugriffstoken verbundener Konten im Ruhezustand (AES-256-GCM); Passwörter nur als bcrypt-Hash; optionale Zwei-Faktor-Anmeldung
• Mandantentrennung: Zugriff nur auf Daten des eigenen Arbeitsbereichs; rollenbasierte Berechtigungen (Inhaber, Freigeber, Redakteur); Aktivitätsprotokoll
• Begrenzung von Anfragen (Rate Limiting), Eingabe- und Größenprüfung, serverseitige Prüfung und Neukodierung von Bild-Uploads, Sicherheits-Header (CSP u. a.)
• Verfügbarkeit: Betrieb bei Hosting- und Datenbank-Anbietern in der Region Frankfurt am Main; Sicherungskopien des Datenbank-Anbieters
• Wiederherstellung und Löschung: Löschfunktionen im Konto, automatische Löschfristen (Abschnitt 10), Export der Daten in maschinenlesbarem Format
• Regelmäßige Überprüfung der Maßnahmen und der Abhängigkeiten auf bekannte Sicherheitslücken

(1) Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter:

• Vercel Inc., Walnut, CA, USA — Hosting, Serverless-Ausführung (Region Frankfurt am Main), Objektspeicher (Vercel Blob; Speicherort kann außerhalb der EU liegen); Übermittlung auf Grundlage der EU-Standardvertragsklauseln (und nach Selbstauskunft EU-US Data Privacy Framework)
• Supabase Inc., USA — PostgreSQL-Datenbank (Region eu-central-1, Frankfurt am Main); Übermittlung für etwaige Drittlandzugriffe auf Grundlage der EU-Standardvertragsklauseln
• Resend, Inc., USA — E-Mail-Versand (Benachrichtigungen, PDF-Berichte); Standardvertragsklauseln und EU-US Data Privacy Framework (Selbstauskunft)
• GitHub, Inc., USA — zeitgesteuerter Aufruf der Veröffentlichungsfunktion; keine Übermittlung von Kundeninhalten
• Externer KI-Dienst: derzeit nicht im Einsatz (AGB § 8a); wird vor einer Aktivierung hier aufgeführt

(2) Änderungen (Hinzufügen oder Ersetzen) kündigt der Anbieter mindestens 30 Tage vorher in Textform an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, kann jede Partei den Vertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Anbieter legt den Unterauftragsverarbeitern dieselben Datenschutzpflichten auf und haftet für deren Einhaltung nach Art. 28 Abs. 4 DSGVO.

Keine Unterauftragsverarbeiter sind die Push-Dienste der Browser- und Gerätehersteller sowie die Betreiber von Plattformen, von denen auf Veranlassung des Kunden öffentlich verfügbare Vorschaudaten (oEmbed) abgerufen werden; diese sind eigenständig verantwortlich.

Übermittlungen in Drittländer erfolgen nur auf Grundlage der Art. 44 ff. DSGVO, derzeit der EU-Standardvertragsklauseln und, soweit der Empfänger zertifiziert ist, des EU-US Data Privacy Framework. Entfällt eine Grundlage, informiert der Anbieter den Kunden unverzüglich.

Der Anbieter leitet Anfragen betroffener Personen, die sich erkennbar auf den Kunden beziehen, unverzüglich, in der Regel binnen fünf Werktagen, an den Kunden weiter und unterstützt ihn mit den Funktionen der Anwendung (Export, Löschung, Berichtigung) bei der Erfüllung der Betroffenenrechte nach Kapitel III DSGVO.

Der Anbieter unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich nach Bekanntwerden, mit den für Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit ihm bekannt.

Nach Vertragsende bzw. nach Ablauf des Übergangszeitraums nach AGB § 5 stellt der Anbieter die Daten zum Export bereit (mindestens 30 Tage) und löscht sie anschließend einschließlich der Sicherungskopien innerhalb von 90 Tagen. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Automatische Löschfristen während der Laufzeit: Aktivitätsprotokoll 12 Monate, gespeicherte Reichweiten- und Wettbewerber-Messwerte 24 Monate.

Der Anbieter stellt dem Kunden auf Anforderung die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind (u. a. Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter, Beschreibung der Maßnahmen, Nachweise der Unterauftragsverarbeiter), und ermöglicht Überprüfungen nach Vorankündigung zu angemessenen Zeiten; die dadurch entstehenden Kosten trägt der Kunde, soweit die Prüfung keine wesentlichen Verstöße ergibt.

(1) Der Kunde stellt sicher, dass für alle von ihm eingebrachten Daten eine Rechtsgrundlage besteht und betroffene Personen, soweit erforderlich, informiert sind (insbesondere Art. 13 und 14 DSGVO bei Wettbewerber-Beobachtung, Kommentaren und Freigebern sowie Einwilligungen abgebildeter Personen).

(2) Der Kunde nutzt den Posteingang und die Wettbewerber-Beobachtung nur im Rahmen der Nutzungsbedingungen der Plattformen und des geltenden Rechts.

(1) Die Vereinbarung gilt für die Dauer der Verarbeitung. (2) Für die Haftung gelten Art. 82 DSGVO und AGB § 10. (3) Änderungen richten sich nach AGB § 12. (4) Die Vereinbarung wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO); der Anbieter speichert Zeitpunkt und Fassung der Bestätigung.

Stand dieser Vereinbarung: 2026-10-19.