Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen Briefkraft (Auftragsverarbeiter) und dem jeweiligen Kunden (Verantwortlicher) im Zusammenhang mit der Nutzung der Briefkraft SaaS-Plattform. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird bei der Registrierung und Nutzung des Dienstes akzeptiert.
Briefkraft erbringt Leistungen im Bereich des KI-gestützten Social-Media-Managements im Auftrag des Verantwortlichen. Zu diesem Zweck verarbeitet Briefkraft personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verarbeitungspflicht besteht.
Gegenstand der Datenverarbeitung ist der Betrieb einer SaaS-Plattform zur automatisierten Erstellung, Planung und Veröffentlichung von Social-Media-Content mithilfe künstlicher Intelligenz.
Im Rahmen des Vertragsverhältnisses werden folgende Datenkategorien verarbeitet:
| Datenkategorie | Beschreibung | Zweck |
|---|---|---|
| Social-Media-Zugangstokens | OAuth-Tokens für verbundene Social-Media-Konten | Automatisiertes Posten im Auftrag des Kunden |
| Inhalte (Captions) | KI-generierte und manuell erstellte Texte, Beschriftungen | Erstellung und Planung von Beiträgen |
| Bilddaten | Hochgeladene Bilder und Mediendateien | Veröffentlichung auf Social-Media-Kanälen |
| Analytics-Daten | Reichweiten, Engagement-Metriken von Social-Media-Plattformen | Auswertung und Berichterstattung |
| Aggregierte Statistiken | Anonymisierte Kennzahlen aus Post-Analysen (Merkmal → relative Reichweite), je aus mindestens 5 Accounts, ohne Texte oder Kennungen | Verbesserung der Empfehlungen für alle Kunden; Widerspruch in den Einstellungen möglich |
| Kontaktdaten der Nutzer | Name, E-Mail-Adresse der Nutzer-Accounts | Betrieb des Kundenkontos, Kommunikation |
| Nutzungs- und Log-Daten | Aktionen innerhalb der Plattform, technische Protokolle | Fehlerbehebung, Sicherheit, Verbesserung des Dienstes |
Betroffene Personen: Nutzer der Briefkraft-Plattform, Administratoren und ggf. Mitarbeiter des Verantwortlichen sowie Follower/Abonnenten der verwalteten Social-Media-Kanäle (mittelbar durch Content).
Briefkraft verpflichtet sich:
Briefkraft hat die folgenden technischen und organisatorischen Maßnahmen umgesetzt:
Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert Briefkraft mindestens 30 Tage vorher per E-Mail. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Fortführung ohne den neuen Unterauftragsverarbeiter nicht zumutbar, können beide Parteien den Vertrag zum Wirksamwerden der Änderung kündigen.
| Unterauftragsverarbeiter | Zweck | Standort / Übermittlungsgrundlage |
|---|---|---|
| Hetzner Online GmbH | Server-Hosting, Datenbank, Backups | Deutschland (EU) |
| Cloudflare, Inc. | CDN, DDoS-Schutz (Durchleitung aller Anfragen) | USA – EU-US Data Privacy Framework / SCC |
| Cloudinary Ltd. | Speicherung und Auslieferung von Bildern, Videos, Audiodateien | Israel/USA – Angemessenheitsbeschluss Israel / SCC |
| Anthropic, PBC | KI-Texterzeugung (Captions, Strategie) und Analyse veröffentlichter Posts (Satz für Satz: Hook-, CTA- und Strukturmerkmale), Brand-Voice-Vorschläge und Regelvorschläge aus Änderungen an Entwürfen | USA – SCC |
| Replicate, Inc. | KI-Bild-/Videoerzeugung, Transkription hochgeladener Audio-/Videodateien und Sprachaufnahmen | USA – SCC |
| Supadata | Transkripte öffentlicher Videos (nur Video-Link) | SCC, soweit außerhalb der EU |
| TONVI TECH SL (Upload-Post) | Nur bei Verbindung von Instagram/Facebook/Threads nach Einzelzustimmung des Verantwortlichen: Speicherung der Zugangsberechtigung, Veröffentlichung freigegebener Beiträge und Stories, Abruf der Statistiken | Spanien (EU), Server in Deutschland |
| Brevo SAS | E-Mail-Versand an Nutzer | Frankreich (EU) |
| Resend, Inc. | Transaktionale E-Mails und Benachrichtigungen | USA – SCC |
| PostHog, Inc. | Produktanalyse (Nutzung von Funktionen) | EU-Server |
Stripe (Zahlungsabwicklung) sowie die Betreiber der verbundenen Plattformen (Meta, LinkedIn, X, TikTok, Google/YouTube, Shopify) sind keine Unterauftragsverarbeiter von Briefkraft, sondern eigenständig Verantwortliche bzw. werden auf Veranlassung des Verantwortlichen angebunden.
Briefkraft verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, Briefkraft ist nach dem Recht der Union oder eines Mitgliedstaats, dem Briefkraft unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall informiert Briefkraft den Verantwortlichen vor der Verarbeitung über diese rechtlichen Anforderungen.
Der Verantwortliche erteilt Weisungen durch:
Bei Beendigung des Vertragsverhältnisses oder auf ausdrücklichen Wunsch des Verantwortlichen werden alle personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Der Verantwortliche kann vor der Löschung einen Datenexport (in einem gängigen Format) anfordern. Anfragen zur Datenlöschung sind zu richten an: [email protected]
Steuerrelevante Unterlagen (insbesondere Zahlungsbelege) werden gemäß den gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO) bis zu 10 Jahre aufbewahrt.
Der Verantwortliche ist berechtigt, die Einhaltung der Datenschutzvorschriften und der vereinbarten technischen und organisatorischen Maßnahmen durch Briefkraft in angemessenem Umfang zu überprüfen. Briefkraft stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zur Verfügung oder ermöglicht Audits.
Anfragen zu Audits und Inspektionen müssen schriftlich mit angemessener Vorankündigung (mindestens 14 Tage) angekündigt werden.
Briefkraft wird den Verantwortlichen über jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Bekanntwerden des Vorfalls, informieren. Die Meldung enthält mindestens:
Dieser Vertrag unterliegt deutschem Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Kassel, Deutschland.
Sollten einzelne Bestimmungen dieses Vertrags unwirksam oder nicht durchsetzbar sein, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen.
Für alle Fragen im Zusammenhang mit diesem AVV, datenschutzrechtliche Anfragen oder die Ausübung von Weisungsrechten wende dich bitte an:
Klejdi Meleqi
Usbeckstr. 18, 34134 Kassel, Deutschland
E-Mail [email protected]