Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen Briefkraft (Auftragsverarbeiter) und dem jeweiligen Kunden (Verantwortlicher) im Zusammenhang mit der Nutzung der Briefkraft SaaS-Plattform. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird bei der Registrierung und Nutzung des Dienstes akzeptiert.
Briefkraft erbringt Leistungen im Bereich des KI-gestützten Social-Media-Managements im Auftrag des Verantwortlichen. Zu diesem Zweck verarbeitet Briefkraft personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verarbeitungspflicht besteht.
Gegenstand der Datenverarbeitung ist der Betrieb einer SaaS-Plattform zur automatisierten Erstellung, Planung und Veröffentlichung von Social-Media-Content mithilfe künstlicher Intelligenz.
Im Rahmen des Vertragsverhältnisses werden folgende Datenkategorien verarbeitet:
| Datenkategorie | Beschreibung | Zweck |
|---|---|---|
| Social-Media-Zugangstokens | OAuth-Tokens für verbundene Social-Media-Konten | Automatisiertes Posten im Auftrag des Kunden |
| Inhalte (Captions) | KI-generierte und manuell erstellte Texte, Beschriftungen | Erstellung und Planung von Beiträgen |
| Bilddaten | Hochgeladene Bilder und Mediendateien | Veröffentlichung auf Social-Media-Kanälen |
| Analytics-Daten | Reichweiten, Engagement-Metriken von Social-Media-Plattformen | Auswertung und Berichterstattung |
| Kontaktdaten der Nutzer | Name, E-Mail-Adresse der Nutzer-Accounts | Betrieb des Kundenkontos, Kommunikation |
| Nutzungs- und Log-Daten | Aktionen innerhalb der Plattform, technische Protokolle | Fehlerbehebung, Sicherheit, Verbesserung des Dienstes |
Betroffene Personen: Nutzer der Briefkraft-Plattform, Administratoren und ggf. Mitarbeiter des Verantwortlichen sowie Follower/Abonnenten der verwalteten Social-Media-Kanäle (mittelbar durch Content).
Briefkraft verpflichtet sich:
Briefkraft hat die folgenden technischen und organisatorischen Maßnahmen umgesetzt:
Briefkraft setzt die folgenden Kategorien von Unterauftragsverarbeitern ein. Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung für den Einsatz der nachstehend aufgeführten Unterauftragsverarbeiter. Briefkraft wird den Verantwortlichen über geplante Änderungen informieren und ihm die Möglichkeit geben, Einwände zu erheben.
| Kategorie | Zweck | Standort / Übermittlungsgrundlage |
|---|---|---|
| Zahlungsabwicklungsdienstleister | Verarbeitung von Zahlungen und Abonnements | EU/USA – Standardvertragsklauseln (SCCs) gem. Art. 46 DSGVO |
| E-Mail-Versanddienstleister | Transaktionale E-Mails (Bestätigungen, Benachrichtigungen) | EU – DSGVO-konform |
| Medienspeicherdienstleister | Speicherung von Bildern und Mediendateien | EU/USA – Standardvertragsklauseln (SCCs) gem. Art. 46 DSGVO |
| Anbieter für KI-Textgenerierung (Anthropic) | Generierung von Captions, Content-Strategie und Textvorschlägen mittels Künstlicher Intelligenz | USA – Standardvertragsklauseln (SCCs) gem. Art. 46 DSGVO |
| Anbieter für KI-Bild- und Videogenerierung (Replicate) | Generierung von KI-Bildern und -Videos auf Basis anonymisierter Prompts. Es werden keine personenbezogenen Daten übermittelt. | USA – keine Übermittlung personenbezogener Daten; AVV-Erfordernis nach Art. 28 DSGVO nicht anwendbar |
| Serverinfrastruktur | Hosting der Plattform und Datenbankinfrastruktur | Deutschland (EU) – DSGVO-konform |
Alle Unterauftragsverarbeiter sind vertraglich zur Einhaltung der DSGVO-Anforderungen verpflichtet. Für Übermittlungen in Drittländer (insbesondere die USA) bestehen Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission, soweit personenbezogene Daten übermittelt werden. Erhält ein Unterauftragsverarbeiter keine personenbezogenen Daten (z. B. nur anonymisierte KI-Prompts), entfällt das Erfordernis einer Übermittlungsgrundlage nach Art. 46 DSGVO.
Briefkraft verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, Briefkraft ist nach dem Recht der Union oder eines Mitgliedstaats, dem Briefkraft unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall informiert Briefkraft den Verantwortlichen vor der Verarbeitung über diese rechtlichen Anforderungen.
Der Verantwortliche erteilt Weisungen durch:
Bei Beendigung des Vertragsverhältnisses oder auf ausdrücklichen Wunsch des Verantwortlichen werden alle personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Der Verantwortliche kann vor der Löschung einen Datenexport (in einem gängigen Format) anfordern. Anfragen zur Datenlöschung sind zu richten an: [email protected]
Steuerrelevante Unterlagen (insbesondere Zahlungsbelege) werden gemäß den gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO) bis zu 10 Jahre aufbewahrt.
Der Verantwortliche ist berechtigt, die Einhaltung der Datenschutzvorschriften und der vereinbarten technischen und organisatorischen Maßnahmen durch Briefkraft in angemessenem Umfang zu überprüfen. Briefkraft stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zur Verfügung oder ermöglicht Audits.
Anfragen zu Audits und Inspektionen müssen schriftlich mit angemessener Vorankündigung (mindestens 14 Tage) angekündigt werden.
Briefkraft wird den Verantwortlichen über jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Bekanntwerden des Vorfalls, informieren. Die Meldung enthält mindestens:
Dieser Vertrag unterliegt deutschem Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Kassel, Deutschland.
Sollten einzelne Bestimmungen dieses Vertrags unwirksam oder nicht durchsetzbar sein, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen.
Für alle Fragen im Zusammenhang mit diesem AVV, datenschutzrechtliche Anfragen oder die Ausübung von Weisungsrechten wende dich bitte an:
Briefkraft
Kassel, Hessen, Deutschland
E-Mail [email protected]