Vertrag zur Auftragsverarbeitung

Wenn Sie mit Video Automation Konten verbinden, Beiträge planen und Videos hochladen, verarbeiten wir personenbezogene Daten in Ihrem Auftrag. Dieser Vertrag regelt nach Art. 28 DSGVO, wie wir damit umgehen.

Stand: 7. November 2026

Dieser Vertrag zur Auftragsverarbeitung (im Folgenden „AV-Vertrag“) gilt zwischen dem Kunden als Verantwortlichem (im Folgenden „Auftraggeber“) und Internet am Dornbusch, Inhaber Sajjad Hanifa, Eschersheimer Landstraße 297, 60320 Frankfurt am Main, als Auftragsverarbeiter (im Folgenden „Auftragnehmer“). Er ergänzt die Allgemeinen Geschäftsbedingungen für die Nutzung von Video Automation (im Folgenden „Hauptvertrag“).

Abschluss

Dieser AV-Vertrag gilt in jedem Plan, auch im Testzeitraum, und ist nach § 13 der AGB Bestandteil des Hauptvertrags. Er kommt mit der Registrierung zustande; eine gesonderte Unterschrift ist nicht nötig. Nach Art. 28 Abs. 9 DSGVO genügt die elektronische Form.

Für Ihre Datenschutzunterlagen können Sie diese Seite speichern oder ausdrucken. Eine Ausfertigung als Dokument erhalten Sie auf Anfrage per E-Mail an info@my-video-automation.com. Ändern wir den AV-Vertrag, erhält er ein neues Stand-Datum, und wir informieren Sie vorab per E-Mail.

§ 1 Gegenstand und Dauer

1. Gegenstand dieses AV-Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftragnehmer bei der Bereitstellung der Online-Anwendung Video Automation einschließlich ihrer Programmierschnittstellen und Verbindungsseiten nach dem Hauptvertrag für den Auftraggeber durchführt.
2. Der AV-Vertrag gilt, solange der Auftragnehmer personenbezogene Daten für den Auftraggeber verarbeitet, mindestens für die Laufzeit des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung

1. Der Auftragnehmer verarbeitet die Daten ausschließlich, um den Dienst nach dem Hauptvertrag zu erbringen, insbesondere um
   • Benutzer, Rollen und Rechte des Teams des Auftraggebers zu verwalten,
   • Social-Media-Konten des Auftraggebers und seiner Endkunden über die offiziellen Schnittstellen der Plattformen zu verbinden, ihre Zugangstoken verschlüsselt zu speichern und zu erneuern,
   • Verbindungslinks bereitzustellen, über die Endkunden des Auftraggebers ihre Konten verbinden,
   • Videos, Bilder, Vorschaubilder und Texte entgegenzunehmen, zu speichern und auf Weisung des Auftraggebers sofort oder zu einem geplanten Zeitpunkt auf den gewählten Plattformen zu veröffentlichen,
   • Status, Ergebnisse und Fehlermeldungen der Veröffentlichungen anzuzeigen und über Webhooks an die vom Auftraggeber angegebenen Adressen zu melden,
   • E-Mail-Benachrichtigungen an die Benutzer des Auftraggebers zu versenden und Aktionen im Protokoll festzuhalten.
2. Die Verarbeitung umfasst insbesondere das Erheben, Speichern, Ordnen, Verändern, Auslesen, Übermitteln an die in Anlage 2 genannten Unterauftragsverarbeiter und an die vom Auftraggeber gewählten Plattformen sowie das Löschen der Daten.
3. Bereitstellung von Medien per Adresse: Einige Plattformen (insbesondere Instagram, Facebook und Threads) holen Videos von einer Adresse ab. Der Auftragnehmer stellt die Dateien dafür unter nicht erratbaren, signierten Adressen auf dem Server der Anwendung bereit. Die Adressen werden nur an die jeweilige Plattform übermittelt und sind nur bis zur Löschung der Datei erreichbar.

§ 3 Art der Daten und betroffene Personen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) sind für die Verarbeitung nicht vorgesehen. Enthalten Inhalte des Auftraggebers solche Daten, ist der Auftraggeber für die Zulässigkeit verantwortlich.

§ 4 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Weisungen sind der Hauptvertrag, dieser AV-Vertrag und die Einstellungen und Aufrufe, die der Auftraggeber in der Anwendung oder über die API vornimmt, zum Beispiel die Wahl der Plattformen und Konten, geplante Zeitpunkte und Webhooks. Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 5 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Sie verarbeiten die Daten ausschließlich nach den Weisungen des Auftraggebers.

§ 6 Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen beschreibt Anlage 1.
2. Der Auftragnehmer darf die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die beim Abschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 2.
2. Der Auftragnehmer informiert den Auftraggeber vorab über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, per E-Mail an den Inhaber des Arbeitsbereichs und durch Aktualisierung von Anlage 2, in der Regel mindestens vier Wochen vor der Änderung. Der Auftraggeber kann der Änderung innerhalb von vier Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber die betroffenen Leistungen oder den Hauptvertrag kündigen.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die dieser AV-Vertrag festlegt, insbesondere auf geeignete technische und organisatorische Maßnahmen.
4. Die Plattformen, auf denen der Auftraggeber veröffentlicht (YouTube/Google, TikTok, Meta mit Instagram, Facebook und Threads, LinkedIn, Pinterest, X und Bluesky), sind keine Unterauftragsverarbeiter des Auftragnehmers. Der Auftragnehmer übermittelt Inhalte und Angaben zu Beiträgen auf Weisung des Auftraggebers an die Plattform, die der Auftraggeber selbst auswählt. Die Plattform verarbeitet die Daten ab dem Empfang als eigener Verantwortlicher nach ihren Bedingungen, denen der Auftraggeber bzw. der Inhaber des verbundenen Kontos zugestimmt hat.
5. Stripe Payments Europe, Limited verarbeitet die Zahlungsdaten des Auftraggebers für den Hauptvertrag als eigener Verantwortlicher und ist kein Unterauftragsverarbeiter für die nach diesem AV-Vertrag verarbeiteten Daten.

§ 8 Übermittlung in Drittländer

1. Der Auftragnehmer und die Unterauftragsverarbeiter nach Anlage 2 verarbeiten die Daten ausschließlich in Deutschland.
2. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums durch den Auftragnehmer findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Auftraggeber vorher informiert wurde.
3. Übermittlungen an Plattformen mit Sitz oder Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgen auf Weisung des Auftraggebers, der die Plattform auswählt (§ 7 Abs. 4). Für die Zulässigkeit dieser Übermittlung ist der Auftraggeber verantwortlich.

§ 9 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 23 DSGVO) zu beantworten. Dazu stellt die Anwendung einen Datenexport als JSON-Datei, das Trennen einzelner Konten und das Löschen des Arbeitsbereichs bereit. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
2. Fordert der Inhaber eines verbundenen Kontos die Löschung seiner Daten direkt über eine Plattform an (zum Beispiel über die Datenlösch-Schnittstelle von Meta oder die Mitteilung von TikTok über einen Widerruf), entfernt der Auftragnehmer das betroffene Konto mit seinen Tokens automatisch. Der Auftraggeber erteilt hiermit die Weisung, solche Anfragen auf diese Weise zu erledigen. Der Auftraggeber sieht die Trennung in der Anwendung.
3. Der Auftragnehmer unterstützt den Auftraggeber außerdem bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit ihm die dafür nötigen Informationen vorliegen.

§ 10 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Auftragnehmer ergreift unverzüglich Maßnahmen, um die Folgen zu begrenzen, zum Beispiel das Widerrufen betroffener Tokens.

§ 11 Löschung und Rückgabe

1. Der Auftraggeber kann seine Daten jederzeit in der Anwendung als JSON-Datei exportieren.
2. Hochgeladene Medien löscht der Auftragnehmer automatisch nach der Aufbewahrungsdauer des Plans (Test 3 Tage, Starter 7 Tage, Pro 14 Tage, Business 30 Tage, Agency 90 Tage).
3. Trennt der Auftraggeber ein Konto, löscht der Auftragnehmer dessen Tokens sofort und widerruft sie bei der Plattform, soweit diese das anbietet. Löscht der Auftraggeber seinen Arbeitsbereich, löscht der Auftragnehmer alle Daten des Auftraggebers sofort.
4. Im Übrigen löscht der Auftragnehmer die Daten des Auftraggebers 30 Tage nach Vertragsende, sofern nicht eine Pflicht zur Speicherung nach dem Recht der Europäischen Union oder eines Mitgliedstaats besteht. Auf Wunsch bestätigt er die Löschung in Textform.
5. Inhalte, die bereits auf einer Plattform veröffentlicht sind, löscht der Auftragnehmer dort nicht; das obliegt dem Auftraggeber bzw. dem Inhaber des Kontos.

§ 12 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.
2. Er ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Auftraggeber oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist. Inspektionen sind mit angemessener Frist anzukündigen und finden zu den üblichen Geschäftszeiten statt, ohne den Betrieb unnötig zu stören.

§ 13 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Inhalte hochladen und veröffentlichen darf und dass seine Endkunden, die Konten über Verbindungslinks verbinden, über die Verarbeitung informiert sind.
2. Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.

§ 14 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem AV-Vertrag und dem Hauptvertrag geht dieser AV-Vertrag in Fragen des Datenschutzes vor.
3. Änderungen und Ergänzungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.
4. Ist eine Bestimmung unwirksam, bleiben die übrigen Bestimmungen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen gelten (Stand 7. November 2026):

• Standort: Anwendung, Datenbank (PostgreSQL) und Medien liegen auf vom Auftragnehmer selbst betriebenen Servern in einem Rechenzentrum der STRATO GmbH in Berlin. Zutritt und physische Sicherheit des Rechenzentrums verantwortet STRATO.
• Transportverschlüsselung: Anwendung, API und Verbindungsseiten sind nur über HTTPS (TLS) erreichbar. Verbindungen zu den Plattformen und zum Mailserver laufen verschlüsselt.
• Verschlüsselte Zugangsdaten: Zugangs- und Aktualisierungstoken der Plattformen und Bluesky-App-Passwörter werden mit AES-256-GCM verschlüsselt gespeichert. Der Schlüssel liegt getrennt von der Datenbank.
• Minimale Berechtigungen: Bei den Plattformen fordert der Dienst nur die Berechtigungen an, die zum Veröffentlichen und zur Anzeige des verbundenen Kontos nötig sind.
• Passwörter: werden nur als Hash mit dem Verfahren Argon2id gespeichert.
• Anmeldung: Passwort, Anmeldecode per E-Mail oder Passkey; optional zweiter Faktor über eine Authenticator-App.
• Trennung der Kundendaten: Die Daten jedes Arbeitsbereichs sind auf Ebene der Datenbank voneinander getrennt (Row Level Security).
• Zugriffskontrolle: Rollen (Inhaber, Administrator, Redaktion, Nur lesen) und eigene Rollen mit Rechten je Bereich. API-Schlüssel gelten je Arbeitsbereich und können einzeln gesperrt werden.
• Protokoll: Aktionen im Arbeitsbereich werden in einem Protokoll festgehalten.
• Medien: Dateien sind nur unter nicht erratbaren, signierten Adressen erreichbar und werden nach der Aufbewahrungsdauer des Plans automatisch gelöscht.
• Webhooks: Benachrichtigungen werden mit HMAC-SHA256 signiert, damit der Empfänger ihre Herkunft prüfen kann.
• Datenlöschung über die Plattformen: Signierte Löschanfragen von Meta und Widerrufsmitteilungen von TikTok werden geprüft und automatisch umgesetzt.
• Schutz vor Missbrauch: Anfragen an Anwendung und API sind begrenzt (Rate Limits), insbesondere Anmeldeversuche.
• Keine Drittanbieter-Skripte: Website und Anwendung laden keine Analyse-, Tracking- oder Werbedienste.
• Datenexport und Löschung: Export als JSON-Datei und sofortige Löschung des Arbeitsbereichs in der Anwendung.
• Überprüfung: Der Auftragnehmer prüft die Maßnahmen bei jeder wesentlichen Änderung der Anwendung, mindestens einmal im Jahr, und passt sie an.

Anlage 2: Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter sind die Plattformen, auf denen der Auftraggeber veröffentlicht (§ 7 Abs. 4), und Stripe für die Zahlungsabwicklung (§ 7 Abs. 5).

Fragen zum AV-Vertrag

Bei Fragen zum AV-Vertrag oder zum Datenschutz erreichen Sie uns per E-Mail an info@my-video-automation.com oder telefonisch unter 069 34 87 77 44. Weitere Informationen finden Sie in der Datenschutzerklärung.