Auftragsverarbeitungsvertrag (AVV)
Dieser Auftragsverarbeitungsvertrag („AVV“) gemäß Art. 28 DSGVO ist Bestandteil der Allgemeinen Geschäftsbedingungen und regelt die Verarbeitung personenbezogener Daten durch SocialBuddy.ai im Auftrag des Kunden (z. B. Daten, die in hochgeladenen Inhalten, verbundenen Social-Media-Konten oder deren Follower-Interaktionen enthalten sind).
Verantwortlicher im Sinne der DSGVO ist der Kunde (Auftraggeber). Auftragsverarbeiter ist SocialBuddy.ai, betrieben von Alexander Puff (nachfolgend „Auftragnehmer“).
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten zur Erbringung der in den AGB beschriebenen Leistungen (KI-gestützte Erstellung, Planung und Veröffentlichung von Social-Media-Inhalten). Der AVV gilt für die Dauer des Hauptvertrags.
2. Art, Umfang und Zweck der Verarbeitung
- Art der Verarbeitung: Erheben, Speichern, Generieren, Übermitteln (an verbundene Plattformen) und Löschen.
- Zweck: Bereitstellung der Plattformfunktionen.
- Datenkategorien: Konto- und Kontaktdaten, Inhalts- und Mediendaten, OAuth-Tokens verbundener Konten, in Inhalten enthaltene personenbezogene Daten.
- Kategorien betroffener Personen: Nutzer des Kunden, Follower/Empfänger der veröffentlichten Inhalte.
3. Pflichten des Auftragnehmers
- Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden.
- Verpflichtung der zur Verarbeitung befugten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
- Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (Verschlüsselung von OAuth-Tokens mit AES-256-GCM, Zugriffskontrolle, RLS, TLS-Transportverschlüsselung — siehe Anlage TOM).
- Unterstützung des Kunden bei Betroffenenrechten (Art. 12–23) sowie bei Pflichten nach Art. 32–36 DSGVO.
- Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.
- Nachweis der Einhaltung und Ermöglichung von Überprüfungen/Audits (Art. 28 Abs. 3 lit. h DSGVO).
4. Unterauftragsverarbeiter
Der Kunde erteilt seine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragnehmer vorab; der Kunde kann begründet widersprechen.
| Dienstleister | Zweck | Sitz / Transfer-Grundlage |
|---|---|---|
| Supabase Inc. | Datenbank, Auth, Storage | Verarbeitung EU; Sitz USA — DPF/SCC |
| Vercel Inc. | Hosting | USA — SCC |
| Anthropic, PBC | KI-Textgenerierung (Claude) | USA — DPF/SCC |
| Google LLC | KI-Bild-/Videogenerierung (Gemini/Veo) | USA — DPF/SCC |
| OpenAI, L.L.C. | KI-Bildgenerierung (Fallback) | USA — DPF/SCC |
| Resend Inc. | Transaktions-E-Mails | USA — SCC |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung | EU (Irland); Stripe, Inc. USA — DPF/SCC |
| Meta Platforms Ireland Ltd. | Veröffentlichung auf Facebook/Instagram (nur bei Verbindung) | EU/USA — DPF/SCC |
5. Technisch-organisatorische Maßnahmen (TOM)
Die getroffenen Maßnahmen nach Art. 32 DSGVO sind in der Anlage TOM beschrieben (u. a. Verschlüsselung gespeicherter Tokens, Zugriffs- und Mandantentrennung via Row-Level-Security, TLS, regelmäßige Backups, Löschkonzept).
6. Drittlandtransfer
Soweit Daten in Drittländer (insb. USA) übermittelt werden, erfolgt dies auf Grundlage des EU-US Data Privacy Framework (DPF) und/oder der EU-Standardvertragsklauseln (SCC) inkl. ergänzender Maßnahmen.
7. Löschung und Rückgabe
Nach Beendigung des Vertrags löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie nach Wahl des Kunden zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
8. Haftung
Die Haftung richtet sich nach den Regelungen des Hauptvertrags und Art. 82 DSGVO.
9. Schlussbestimmungen
Es gilt österreichisches Recht. Bei Widersprüchen zwischen AVV und AGB gehen die Regelungen dieses AVV in Bezug auf die Auftragsverarbeitung vor.
Stand: Juni 2026