Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Anlage A zu den Allgemeinen Geschäftsbedingungen der Attractive Media GmbH für die Geschäftsbereiche Attractive Media, Attractive Accounts und Attractive Academy · Stand: 8. September 2026

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) der Attractive Media GmbH und wird, soweit die jeweilige Anlage einschlägig ist, mit Vertragsschluss automatisch zwischen den Parteien geschlossen. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO).

Parteien:

• Verantwortlicher (nachfolgend „Kunde" oder „Verantwortlicher") — der Kunde des Anbieters gemäß den AGB.
• Auftragsverarbeiter (nachfolgend „Anbieter" oder „Auftragsverarbeiter") — Attractive Media GmbH, Dachauer Straße 44a, 80335 München.

Hauptteil – Gemeinsame Bestimmungen (gelten für alle AVV-relevanten Geschäftsbereiche)

§ 1 Gegenstand, Anwendungsbereich und Dauer

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden, soweit dies im Rahmen der Nutzung eines oder mehrerer der drei Geschäftsbereiche ( Attractive Accounts, Attractive Media, Attractive Academy) erfolgt. Welche konkreten Verarbeitungen in welchem Geschäftsbereich stattfinden, welche Kategorien betroffener Personen und Daten hiervon erfasst sind und welche technischen und organisatorischen Maßnahmen sowie Subunternehmer hierfür jeweils gelten, ergibt sich aus der einschlägigen Anlage (Anlage A für Attractive Accounts, Anlage B für Attractive Media, Anlage C für Attractive Academy), die nach dem § 12 beigefügt sind.

(2) Dieser AVV wird nur insoweit Bestandteil des jeweiligen Hauptvertrags, als der Kunde tatsächlich Leistungen aus einem Geschäftsbereich in Anspruch nimmt, für den nach der einschlägigen Anlage eine Auftragsverarbeitung stattfindet. Bucht ein Kunde mehrere Geschäftsbereiche, gelten die jeweils einschlägigen Anlagen nebeneinander.

(3) Der Kunde ist für die in den Anlagen beschriebenen Verarbeitungen jeweils allein Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; der Anbieter ist insoweit Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Für die Verarbeitung von Website-Besucher-, Registrierungs-, Abrechnungs- und Kontodaten sowie für sonstige Verarbeitungen, in denen der Anbieter eigene Zwecke verfolgt (z. B. eigene Kundenverwaltung, eigene Vertragsanbahnung), ist der Anbieter demgegenüber selbst Verantwortlicher (siehe jeweilige Datenschutzerklärung); insoweit gilt dieser AVV nicht.

(4) Die Dauer dieses AVV entspricht jeweils der Laufzeit des zugrundeliegenden Hauptvertrags im betreffenden Geschäftsbereich. Er endet automatisch mit Beendigung des jeweiligen Hauptvertrags, unbeschadet fortbestehender Löschungs- und Nachweispflichten.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Kunden, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt der Anbieter dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen erfolgen grundsätzlich durch die Konfiguration und Nutzung der jeweiligen Plattform bzw. durch die im jeweiligen Hauptvertrag vereinbarten Briefings und Freigaben sowie ergänzend in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Erfolgt keine unverzügliche Bestätigung in Textform, kann der Anbieter der Ausführung der Weisung so lange verweigern, bis eine Bestätigung in Textform erfolgt. Ansprüche des Kunden gegen den Anbieter aufgrund dieser rechtmäßigen Weigerung bestehen nicht.

(3) Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Anbieter ist berechtigt, die Durchführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Kunden auszusetzen.

§ 3 Vertraulichkeit

(1) Der Anbieter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO, Art. 29, 32 Abs. 4 DSGVO).

(2) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit und dieses AVV fort.

§ 4 Technische und organisatorische Maßnahmen (TOM)

Der Anbieter trifft die in den jeweiligen Anlagen (Anlage A. A2 für Attractive Accounts, Anlage B. B2 für Attractive Media) beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragsdauer aufrecht. Der Anbieter darf die Maßnahmen fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

§ 5 Subunternehmer (Subprozessoren)

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Subprozessoren). Die zum Zeitpunkt des Vertragsschlusses je Geschäftsbereich eingesetzten Subprozessoren sind in Anlage A. A3 (Attractive Accounts) bzw. Anlage B. B3 (Attractive Media) aufgeführt und werden hiermit ausdrücklich vom Kunden genehmigt.

(2) Informations- und Widerspruchsmodell: Beabsichtigt der Anbieter, einen weiteren Subprozessor hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Kunden hierüber in Textform (z. B. per E-Mail) mit einer Frist von mindestens 14 Tagen vor der beabsichtigten Änderung. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzbezogenem Grund in Textform widersprechen.

(3) Widerspricht der Kunde begründet, wird der Anbieter nach billigem Ermessen eine Lösung suchen. Ist eine Beauftragung des betreffenden Subprozessors für die Leistungserbringung erforderlich und kann dem Widerspruch nicht abgeholfen werden, ist jede Partei berechtigt, den betroffenen Leistungsteil bzw. den Hauptvertrag mit angemessener Frist zu kündigen.

(4) Der Anbieter verpflichtet jeden Subprozessor auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinsichtlich hinreichender Garantien für geeignete technische und organisatorische Maßnahmen.

(5) Nicht als Subprozessoren im Sinne dieses AVV gelten Nebenleistungen, die der Anbieter als Nebendienstleistung in Anspruch nimmt (z. B. Telekommunikations-, Wartungs- oder Reinigungsdienste). Der Anbieter ist jedoch verpflichtet, auch hierbei angemessene Vorkehrungen zur Wahrung der Datensicherheit zu treffen.

(6) Zahlungsdienstleister (z. B. Stripe) sind nicht Subprozessoren im Sinne dieses AVV, soweit sie hinsichtlich der Zahlungsdaten als eigene Verantwortliche außerhalb der Auftragsverarbeitung tätig werden.

§ 6 Drittlandtransfer

(1) Eine Verarbeitung von Auftragsdaten in einem Drittland findet nur statt, soweit die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch Standardvertragsklauseln (SCC) und/oder einen Angemessenheitsbeschluss (z. B. EU-U.S. Data Privacy Framework), jeweils ergänzt um erforderliche zusätzliche Maßnahmen.

(2) Die eingesetzten Subprozessoren mit Drittlandbezug und der jeweilige Transfermechanismus ergeben sich aus Anlage A3 bzw. Anlage B3.

§ 7 Unterstützungspflichten des Anbieters

(1) Der Anbieter unterstützt den Kunden im Rahmen des Möglichen und Zumutbaren bei der Erfüllung der Anfragen und Ansprüche betroffener Personen nach Kapitel III DSGVO (Art. 12–23) sowie bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) — Art. 28 Abs. 3 lit. e und f DSGVO.

(2) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst, sofern er hierzu nicht durch den Kunden angewiesen wurde.

(3) Meldung von Datenschutzverletzungen: Der Anbieter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten im Auftragsbereich bekannt geworden ist, und übermittelt die zur Erfüllung der Melde- und Benachrichtigungspflichten des Kunden (Art. 33, 34 DSGVO) erforderlichen Informationen.

(4) Für über den vertraglich geschuldeten Umfang hinausgehende Unterstützungsleistungen kann der Anbieter eine angemessene Vergütung verlangen, sofern die Leistung nicht auf einem vom Anbieter zu vertretenden Umstand beruht.

§ 8 Kontroll- und Nachweisrechte

(1) Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Kunden oder einen von diesem beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann vorrangig durch Vorlage geeigneter Dokumentation, aktueller Testate, Zertifizierungen oder Berichte unabhängiger Stellen erfolgen.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung (in der Regel mindestens zwei Wochen), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und höchstens einmal jährlich durchzuführen (bei konkretem Anlass auch häufiger). Der Anbieter kann den Kontrollzugang von der Unterzeichnung einer angemessenen Vertraulichkeitsvereinbarung abhängig machen.

§ 9 Löschung und Rückgabe

(1) Nach Abschluss der jeweiligen Verarbeitungsleistung, spätestens bei Beendigung des betreffenden Hauptvertrags, löscht der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Kunden zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Kunde teilt seine Wahl (Löschung oder Rückgabe) spätestens bei Vertragsende mit. Ohne abweichende Weisung werden die Auftragsdaten nach Ablauf einer angemessenen Frist, spätestens nach Ablauf von 12 Monaten nach Vertragsende, gelöscht.

(3) Sicherungskopien in verschlüsselten Backups werden nach Ablauf der jeweiligen regulären Backup-Rotation gelöscht. Bis dahin bleiben sie durch die Maßnahmen nach Anlage A2 bzw. B2 geschützt und werden nicht anderweitig verarbeitet.

§ 10 Haftung

Für die Haftung der Parteien gelten die Haftungsregelungen des jeweils einschlägigen Teils der AGB entsprechend (Teil B § 17 für Attractive Media, Teil C § 29 für Attractive Accounts, Teil D § 41 für Attractive Academy). Die zwingenden Haftungsregelungen des Art. 82 DSGVO im Verhältnis zu betroffenen Personen bleiben hiervon unberührt.

§ 11 Attractive Academy

(1) Im Rahmen der Attractive Academy tritt der Anbieter nicht als Auftragsverarbeiter für den Academy-Kunden, mithin dem Kunden, auf. Die im Rahmen der Academy verarbeiteten personenbezogenen Daten (z. B. Name und Kontaktdaten des Teilnehmers, etwaige Aufzeichnungen nach Teil D § 37 der AGB) sind Daten des Kunden selbst bzw. seiner Mitarbeiter, für die der Anbieter eigener Verantwortlicher ist (siehe Datenschutzerklärung); insoweit findet dieser AVV keine Anwendung. Eine weitere ergänzende Erläuterung erfolgt in Anlage C.

(2) Soweit der Academy-Kunde, also der Kunde, während seiner aktiven Teilnahme Attractive-Accounts-Funktionen nutzt (Teil D § 34 Abs. 1 der AGB), gilt für diesen Zeitraum Anlage A dieses AVV entsprechend.

(3) Teilnehmer, also Kunden, reichen im Rahmen der VIP- und der WhatsApp-Betreuung nach Bestätigung der eigenen Geschäftsführung keine Chatverläufe, Kundenlisten oder sonstigen personenbezogenen Daten ihrer eigenen Endkunden ein. Ein eigener AVV-Abschnitt für die Attractive Academy ist daher nicht erforderlich. Der Anbieter hat seine Mitarbeiter intern angewiesen, solche Daten auch dann nicht anzunehmen bzw. zu verarbeiten, wenn ein Teilnehmer, also ein Kunde, sie unaufgefordert übermittelt; in diesem Fall sind die betreffenden Daten unverzüglich zu löschen und der Teilnehmer auf diese Regelung hinzuweisen.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und den AGB gehen im Anwendungsbereich der Auftragsverarbeitung die Regelungen dieses AVV vor.

(2) Änderungen dieses AVV bedürfen der Textform. Im Übrigen gelten die Schlussbestimmungen der AGB (deutsches Recht, Gerichtsstand München, § 42 der AGB) entsprechend.

Anlage A – Attractive Accounts

A1. Gegenstand, Zweck, betroffene Personen und Datenkategorien

(1) Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden, soweit der Kunde

• die Inbox-Funktion der Plattform (z. B. den „Attractive Chat" sowie die darin enthaltenen Automationen) nutzt und dabei personenbezogene Daten Dritter (insbesondere seiner Follower, Kommentierenden und Nachrichtenpartner) verarbeitet und zum Beispiel automatisierte Antworten generiert oder auftragsgemäß Beiträge des Kunden veröffentlicht oder
• die Lead- und Kontaktverwaltung der Plattform nutzt, in der er Interessenten und Kunden erfasst, mit einem Bearbeitungsstand versieht und Wiedervorlagen führt — einschließlich der Übernahme von Terminbuchungen und Formularanfragen aus einer über die Plattform veröffentlichten Seite sowie aus einem vom Kunden angebundenen Terminbuchungsdienst (z. B. Calendly). Die Anbindung eines solchen Dienstes erfolgt ausschließlich auf Veranlassung des Kunden und mit dessen Zugangsdaten; der Terminbuchungsdienst bleibt Auftragsverarbeiter des Kunden und wird nicht Subunternehmer des Anbieters.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Anzeigen, Auslesen, Verwenden, Übermitteln an KI-Anbieter zur Erzeugung von Antwortvorschlägen, Löschen personenbezogener Daten im Rahmen der Inbox- und KI-Antwortfunktion der Plattform und soweit der Kunde Lead- und Kontaktverwaltung der Plattform nutzt zusätzlich: Abrufen von Termin- und Anfragedaten bei einem vom Kunden angebundenen Terminbuchungsdienst, Zuordnen dieser Daten zu einem Kontakt des Kunden sowie Speichern und Anzeigen der vom Kunden selbst erfassten Angaben zu diesem Kontakt.

Stellt der Kunde dem Anbieter zum Beispiel öffentlich einsehbare Daten seiner Kunden (z.B. Adresse der Webseite des Kunden) zur weiteren Bearbeitung von Attractive Accounts durch den Anbieter zur Verfügung erfolgt ein Anzeigen und Auslesen dieser Daten. Eine weitergehende Verarbeitung erfolgt nicht.

(3) Zweck der Verarbeitung: Bereitstellung einer zentralen Kommentar- und Nachrichten-Inbox, in der der Kunde die eingehende Social-Media-Kommunikation seiner angebundenen Konten verwaltet, sowie die Erstellung KI-gestützter Antwortvorschläge zu diesen Nachrichten. Bei Nutzung der Lead- und Kontaktverwaltung außerdem: Verwaltung der Interessenten- und Kundenkontakte des Kunden einschließlich Bearbeitungsstand, Wiedervorlagen und Gesprächsnotizen, damit der Kunde seine eigene Geschäftsanbahnung nachverfolgen kann. Die Verarbeitung findet ausschließlich im Rahmen der Leistungserbringung nach dem Hauptvertrag und nach den Weisungen des Kunden statt.

(4) Kategorien betroffener Personen:

• Follower, Abonnenten und sonstige Nutzer der Social-Media-Konten des Kunden
• Personen, die Kommentare, Direktnachrichten oder sonstige Nachrichten an die Konten des Kunden senden
• sonstige Kontakte, die mit dem Kunden über die angebundenen Kanäle kommunizieren
• bei Nutzung der Lead- und Kontaktverwaltung zusätzlich: Interessenten, Anfragende und Kunden des Kunden, insbesondere Personen, die über eine vom Kunden veröffentlichte Seite einen Termin buchen oder eine Anfrage stellen, sowie Kontakte, die der Kunde selbst erfasst.

(5) Kategorien personenbezogener Daten:

• Nutzernamen/Handles/Profilnamen
• Nachrichteninhalte (Kommentare, Direktnachrichten, Antworten)
• Profilbilder und Profilinformationen, soweit über die Kanäle bereitgestellt
• Reaktionen und Interaktionen (z. B. Likes, Emojis)
• Zeitstempel und plattformseitige Kennungen (z. B. Nachrichten-/Nutzer-IDs)
• bei Nutzung der Lead- und Kontaktverwaltung zusätzlich: Kontakt- und Termindaten (z.B. Name, E-Mail-Adresse, ggfls. Telefonnummer, Angaben zur Firma und Position, Zeitpunkt, Art und Status eines gebuchten Termins sowie die Kennungen dieses Termins beim Terminbuchungsdienst, Antworten auf Buchungsanfragen bzw. -formulare, sowie die vom Kunden selbst erfassten Angaben; eine Auswertung des Anbieters zu eigenen Zwecken erfolgt nicht und es erfolgt auch keine eigene Kontaktaufnahme durch den Anbieter).

(6) Der Kunde stellt sicher, dass er keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO in die Verarbeitung einbringt, es sei denn, dies ist ausdrücklich vereinbart und rechtlich zulässig. Der Kunde hat dies stichprobenartig zu prüfen, insbesondere wenn er im Rahmen des von ihn angebotenen Buchungssystems dahingehend eine Frage an seine Kunden/Interessenten stellt, durch die er personenbezogene Daten einer besonderen Kategerie nach Art. 9 DSGVO erhält. Sobald der Kunde Kenntnis davon erlangt, dass besondere Kategorien nach Art. 9 DSGVO vorliegen könnten, hat er dies dem Anbieter unverzüglich zu melden. Bis zu einer solchen Kenntnis geht der Anbieter davon aus, dass es sich um zulässige Kommunikationsdaten handelt. Der Kunde stellt den Anbieter von möglichen Ansprüchen Dritter in diesem Zusammenhang frei.

A2. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

1.1 Zutrittskontrolle (physisch): Die Server werden in den zertifizierten Rechenzentren des Hosting-Dienstleisters Hetzner Online GmbH in Deutschland betrieben. Physische Zutrittskontrolle, Videoüberwachung und Zutrittsprotokollierung obliegen dem Rechenzentrumsbetreiber gemäß dessen Zertifizierungen (u. a. ISO 27001).

1.2 Zugangskontrolle (Systeme): Zugang zu Systemen nur für autorisierte Personen über individuelle Benutzerkonten mit starken Passwörtern; Server-Administration über SSH mit Schlüsselauthentifizierung; Absicherung administrativer Zugänge; Sperrung von passwortloser Rechteausweitung.

1.3 Zugriffskontrolle (Daten): Rollenbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte (need-to-know). Mandantentrennung der Kundendaten auf Anwendungsebene. Zugriff auf Produktivdaten ausschließlich für Personen, die diesen zur Aufgabenerfüllung benötigen.

1.4 Verschlüsselung: Transportverschlüsselung – alle Verbindungen zur Plattform sowie zwischen Systemkomponenten und zu Subprozessoren erfolgen TLS-verschlüsselt (HTTPS/TLS). Verschlüsselung ruhender Daten (at rest) – die Kundendatenbestände werden beim Datenbank-Subprozessor Airtable serverseitig verschlüsselt gespeichert (AES-256). Datensicherungen werden ausschließlich verschlüsselt abgelegt. Zugangsdaten und API-Schlüssel werden außerhalb des Quellcodes in geschützten Konfigurationsdateien verwahrt.

2. Integrität

2.1 Weitergabekontrolle: Übermittlung personenbezogener Daten an Subprozessoren (insbesondere KI-Anbieter zur Antwortgenerierung) nur verschlüsselt und auf vertraglicher Grundlage (AVV/SCC).

2.2 Eingabekontrolle/Protokollierung: Protokollierung sicherheitsrelevanter Ereignisse (Server-Zugriffsprotokolle mit automatischer Löschung nach Rotationskonzept, Protokollierung administrativer Server-Zugriffe sowie fehlgeschlagener Anmelde- und Versandvorgänge). Schutz der Protokolle vor unbefugtem Zugriff. Änderungen an Kundendaten erfolgen ausschließlich über authentifizierte Benutzerkonten der Plattform.

3. Verfügbarkeit und Belastbarkeit

3.1 Backups: Regelmäßige, automatisierte und verschlüsselte Datensicherungen mittels restic auf einen separaten, verschlüsselten Sicherungsspeicher (Storage Box). Aufbewahrung nach Rotationskonzept; Zugangsschlüssel/Passwörter getrennt und gesichert verwahrt.

3.2 Wiederherstellbarkeit: Fähigkeit zur zeitnahen Wiederherstellung der Verfügbarkeit und des Zugangs zu Daten nach einem physischen oder technischen Zwischenfall.

3.3 Schutzmaßnahmen: Serverseitige Sicherheitsmaßnahmen (u. a. Firewalling, Malware-/Rootkit-Prüfungen, Härtung des Systems, Beschränkung der Ausführung von Uploads).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

4.1 Auftragskontrolle/Subprozessor-Management: Sorgfältige Auswahl der Subprozessoren, vertragliche Verpflichtung nach Art. 28 DSGVO, Führung einer aktuellen Subprozessorenliste (Anlage A. A3) und Steuerung von Änderungen über das Informations-/Widerspruchsmodell nach § 5 dieses AVV.

4.2 Datenschutz-Management: Regelmäßige Überprüfung und Aktualisierung der technischen und organisatorischen Maßnahmen; Umsetzung der Grundsätze „Privacy by Design" und „Privacy by Default" (Art. 25 DSGVO).

4.3 Incident-Response: Definierter Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen an den Kunden (§ 7 Abs. 3 dieses AVV).

A3. Liste der Subprozessoren – Attractive Accounts

Bei der Firma Stripe Payments Europe Ltd. Handelt es sich um einen eigenen, also außerhalb der Auftragsverarbeitung, Verantwortlichen für Zahlungsdaten, der seinen Sitz in der EU hat und keinen Drittlandtransfer vornimmt.

Die Firma easybill GmbH stellt Rechnungen für eigene Vertragsdaten des Anbieters aus und ist somit ebenfalls außerhalb der Auftragsverarbeitung tätig. Sie hat ihren Sitz in Deutschland und nimmt somit ebenfalls keinen Drittlandtransfer vor.

Anlage B – Attractive Media (Agenturleistungen)

B1. Gegenstand, Zweck, betroffene Personen und Datenkategorien

(1) Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten Dritter durch den Anbieter im Auftrag des Kunden, soweit der Anbieter im Rahmen von Kanal- und Community-Management-Leistungen (Teil B § 4 Abs. 1 der AGB) Kommentare, Direktnachrichten und sonstige Interaktionen von Followern und Nutzern der Social-Media-Kanäle des Kunden bearbeitet und beantwortet, sowie soweit im Rahmen von Influencer-/UGC-Management Kontakt- und Versanddaten von Creators verarbeitet werden, die für die Abwicklung von Produkttests bzw. Kooperationen im Auftrag des Kunden benötigt werden.

(2) Art der Verarbeitung: Erheben, Erfassen, Auslesen, Beantworten, Veröffentlichen, Übermitteln an KI-Anbieter zur Unterstützung bei Antworten/Textentwürfen, Speichern (soweit über die eingesetzten Tools erforderlich), Löschen personenbezogener Daten im Rahmen von Kanalbetreuung, Community-Management und Influencer-/UGC-Koordination.

(3) Zweck der Verarbeitung: Betreuung der Social-Media-Kanäle des Kunden (Content-Veröffentlichung, Beantwortung von Kommentaren/Nachrichten, Community-Pflege) sowie Koordination von Influencer-/UGC-Kooperationen im Auftrag des Kunden, jeweils im Rahmen der nach dem Hauptvertrag geschuldeten Agenturleistungen und nach Weisung des Kunden.

(4) Kategorien betroffener Personen: Follower, Abonnenten und sonstige Nutzer der Social-Media-Kanäle des Kunden; Personen, die Kommentare, Direktnachrichten oder sonstige Nachrichten an die Kanäle des Kunden senden; Influencer/Creators im Rahmen von durch den Anbieter koordinierten Kooperationen.

(5) Kategorien personenbezogener Daten: Nutzernamen/Handles/Profilnamen, Nachrichteninhalte (Kommentare, Direktnachrichten, Antworten), Profilbilder und Profilinformationen, Reaktionen und Interaktionen, Zeitstempel und plattformseitige Kennungen; bei Influencern/Creators zusätzlich Name, Anschrift und Kontaktdaten (E-Mail/Telefon), soweit zur Zusendung von Testprodukten oder zur Kooperationsabwicklung erforderlich.

(6) Absatz A1 Nr. 6 (keine Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ohne ausdrückliche Vereinbarung) gilt entsprechend.

(7) Im Bereich Social Ads/Performance Marketing nimmt der Anbieter nach Bestätigung der Geschäftsführung keine Kundenlisten, E-Mail-Adressen oder vergleichbaren personenbezogenen Daten des Kunden zur Erstellung von Custom Audiences oder zu Retargeting-Zwecken entgegen und lädt solche Daten auch nicht in eigene Systeme hoch. Eine Auftragsverarbeitung im Sinne dieser Anlage findet im Bereich Social Ads daher nicht statt.

B2. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

1.1 Zugangskontrolle: Zugriff auf die Social-Media-Konten des Kunden sowie auf die eingesetzten Tools (Planable, replient.ai, Speekly u. a.) erfolgt ausschließlich über individuelle, namentlich zugeordnete Mitarbeiterzugänge mit Zwei-Faktor-Authentifizierung, soweit vom jeweiligen Tool unterstützt. Zugangsdaten und Zugriffsschlüssel werden zentral und verschlüsselt über 1Password verwaltet; die Weitergabe von Zugangsdaten außerhalb dieses Systems ist untersagt.

1.2 Zugriffskontrolle: Der Zugriff auf Kundenkonten und -daten ist auf die mit dem jeweiligen Kunden betrauten Mitarbeiter beschränkt (need-to-know); interne Zusammenarbeit und Freigaben erfolgen über Google Workspace, Asana und Notion mit rollenbasierten Berechtigungen.

1.3 Verschlüsselung: Der Zugriff auf sämtliche eingesetzten Tools erfolgt ausschließlich über TLS-verschlüsselte Verbindungen (HTTPS). Die Speicherung der Zugangsdaten erfolgt verschlüsselt über 1Password.

2. Integrität

2.1 Weitergabekontrolle: Übermittlung personenbezogener Daten an Subprozessoren (insbesondere KI-Anbieter zur Textunterstützung, Community-Management- und Planungstools) nur auf vertraglicher Grundlage (AVV/SCC) und im für die Leistungserbringung erforderlichen Umfang.

2.2 Protokollierung: Die eingesetzten Tools (Planable, replient.ai, Hootsuite u. a.) protokollieren sicherheitsrelevante Ereignisse und Zugriffe nach Maßgabe der jeweiligen Anbieter-Sicherheitsstandards; Änderungen an veröffentlichten Inhalten erfolgen ausschließlich über authentifizierte Mitarbeiterzugänge.

3. Verfügbarkeit und Belastbarkeit

3.1 Der Anbieter verlässt sich hinsichtlich Backups und Wiederherstellbarkeit der in Anlage B3 genannten Drittanbieter-Tools auf deren jeweilige Sicherheitsvorkehrungen; unternehmenseigene Inhalte und Freigaben werden zusätzlich in Google Workspace vorgehalten.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

4.1 Auftragskontrolle/Subprozessor-Management: Sorgfältige Auswahl der eingesetzten Tools, vertragliche Verpflichtung der Anbieter nach Art. 28 DSGVO (soweit als Subprozessor tätig), Führung einer aktuellen Liste (Anlage B3) und Steuerung von Änderungen über das Informations-/Widerspruchsmodell nach § 5 dieses AVV.

4.2 Datenschutz-Management: Regelmäßige Überprüfung der eingesetzten Tools und Zugriffsberechtigungen; Beschränkung neu eingeführter Tools auf solche mit angemessenem Datenschutzniveau.

B3. Liste der Subprozessoren – Attractive Media (Agentur)

Anlage C – Attractive Academy

Ergänzend zu § 11 des Hauptteils dieses AVV finden für die Attractive Academy während der aktiven Nutzung von Attractive-Accounts-Funktionen im Rahmen eines Academy-Pakets die Regelungen der Anlage A entsprechend Anwendung. Nach Bestätigung der Geschäftsführung des Kunden reichen Academy-Teilnehmer, also die Kunden, im Rahmen der Betreuung keine personenbezogenen Daten ihrer eigenen Endkunden ein (§ 11 Abs. 3); eine darüberhinausgehende Auftragsverarbeitung seitens des Anbieters findet nicht statt. Bei der Firma Stripe Payments Europe Ltd. Handelt es sich um einen eigenen, also außerhalb der Auftragsverarbeitung, Verantwortlichen für Zahlungsdaten, der seinen Sitz in der EU hat und keinen Drittlandtransfer vornimmt.