Vertrag zur Auftragsverarbeitung (Vorlage)

Stand: 4. November 2026

Diese Vorlage regelt, wie Stark Social personenbezogene Daten im Auftrag seiner Kunden verarbeitet. Sie wird zusammen mit dem Angebot ausgefüllt und unterschrieben.

Parteien

Auftraggeber (Verantwortlicher)

Name / Firma: ______________________________

Anschrift: ______________________________

Ansprechperson und E-Mail: ______________________________

Auftragnehmer (Auftragsverarbeiter)

Daniel Lassak, Stark mit Daniel, Montfortstr. 6, 88515 Langenenslingen, mail@starkmitdaniel.de

§ 1 Gegenstand und Dauer

Der Auftragnehmer betreibt für den Auftraggeber eine eigene Instanz des Social-Media-Cockpits Stark Social nach dem Hauptvertrag (Angebot und Nutzungsbedingungen). Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

§ 2 Art und Zweck der Verarbeitung

• Verbinden der Social-Media-Konten des Auftraggebers (derzeit Facebook, Instagram, TikTok),
• regelmäßiges Abrufen und Speichern von Kennzahlen und eigenen Beiträgen dieser Konten,
• Anzeige im Cockpit, Erstellen von Berichten und deren Versand per E-Mail,
• optional: Erstellen einer KI-Einschätzung zu Berichten, wenn der Auftraggeber sie einschaltet,
• Hosting, Datensicherung, Wartung und Support.

§ 3 Art der Daten und betroffene Personen

Art der Daten:

• Zugangsdaten zu den Plattformen (Tokens, verschlüsselt gespeichert) und das Passwort der Instanz,
• Profildaten der verbundenen Konten (z. B. Konto-IDs, Name, Benutzername, Profilbild, Profillink, Profilbeschreibung, Verifizierung),
• Kennzahlen (z. B. Follower, Likes, Reichweite, Aufrufe, Interaktionen, Anzahl der Videos),
• eigene Beiträge des Auftraggebers (Text, Link, Typ, Datum) und deren Kennzahlen,
• Berichte und Einschätzungen sowie Angaben zur Marke (z. B. Name, Farben, Logos, Stilvorgaben),
• E-Mail-Adressen der Empfänger von Berichten.

Betroffene Personen:

• Inhaber und Beschäftigte des Auftraggebers, die das Cockpit nutzen oder deren Konten verbunden sind,
• Personen, die in Beiträgen des Auftraggebers genannt oder abgebildet sind,
• Empfänger der Berichte.

Daten einzelner Follower oder Kommentare werden nicht erhoben, nur zusammengefasste Zahlen der Plattformen.

§ 4 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; dann teilt er dies dem Auftraggeber vorher mit, soweit das Gesetz es nicht verbietet. Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen, die der Auftraggeber im Cockpit vornimmt; weitere Weisungen erteilt er in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 5 Pflichten des Auftragnehmers

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht gesetzlich zur Verschwiegenheit verpflichtet sind.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 1).
• Er unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen und bei den Pflichten nach Art. 32 bis 36 DSGVO.
• Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt werden, mit den Angaben, die der Auftraggeber für eine Meldung nach Art. 33 DSGVO braucht.
• Er verarbeitet die Daten nur in Deutschland, außer bei den in Anlage 2 genannten Diensten.

§ 6 Technische und organisatorische Maßnahmen

Die Maßnahmen in Anlage 1 sind verbindlich. Der Auftragnehmer darf sie an den Stand der Technik anpassen, wenn das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber stimmt den in Anlage 2 genannten Unterauftragsverarbeitern zu. Der Auftragnehmer informiert ihn mindestens 30 Tage vorher in Textform, bevor er einen Unterauftragsverarbeiter hinzunimmt oder ersetzt. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Einigung nicht möglich, können beide Parteien den Hauptvertrag kündigen. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

Plattformen wie TikTok und Meta sind keine Unterauftragsverarbeiter: Der Auftragnehmer ruft dort im Auftrag des Auftraggebers dessen Daten ab.

§ 8 Rechte betroffener Personen

Wendet sich eine betroffene Person an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, außer auf Weisung. Er unterstützt den Auftraggeber mit geeigneten Maßnahmen, etwa beim Auskunftsersuchen oder beim Löschen.

§ 9 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten möglich, soweit schriftliche Nachweise nicht ausreichen.

§ 10 Löschung und Rückgabe

Nach Ende des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber auf Wunsch die Berichte als Export zur Verfügung und löscht danach die Instanz mit allen Daten innerhalb von 30 Tagen. Datenbanksicherungen werden 14 Tage aufbewahrt und danach überschrieben. Eine längere Speicherung erfolgt nur, wenn das Gesetz sie verlangt. Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

§ 11 Haftung und Schlussbestimmungen

• Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regeln des Hauptvertrags.
• Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.
• Änderungen und Ergänzungen bedürfen der Textform.
• Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam.
• Es gilt das Recht der Bundesrepublik Deutschland.

Unterschriften

Auftraggeber

Ort, Datum: ______________________________

Unterschrift: ______________________________

Auftragnehmer

Ort, Datum: ______________________________

Unterschrift: ______________________________

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• eigene Instanz je Kunde: getrennter Container, getrennte Datenbank, eigenes Login,
• Login mit Passwort und vorübergehender Sperre nach mehreren Fehlversuchen,
• Plattform-Tokens verschlüsselt gespeichert (AES-256-GCM),
• Verwaltung des Servers nur per SSH-Schlüssel, kein Passwort-Login, kein direkter Root-Login,
• Rechenzentrum der Hetzner Online GmbH mit Zutrittskontrolle.

Integrität

• Übertragung ausschließlich verschlüsselt per TLS (Let’s Encrypt),
• signierte Sitzungs-Cookies und Schutz der Plattform-Anmeldung gegen Fälschung (CSRF),
• Protokollierung der Abrufe im Job-Protokoll der Instanz.

Verfügbarkeit und Belastbarkeit

• tägliche Datenbanksicherung, 14 Tage aufbewahrt,
• Firewall, die nur die Ports 22, 80 und 443 öffnet,
• Fail2Ban gegen wiederholte Angriffsversuche,
• automatische Sicherheitsupdates des Betriebssystems.

Überprüfung

• regelmäßige Prüfung der Maßnahmen und Anpassung an den Stand der Technik,
• Server-Standort in Deutschland (Nürnberg, Deutschland).

Anlage 2: Unterauftragsverarbeiter

Diese Vorlage gibt es auch auf Englisch; im Zweifel gilt die deutsche Fassung.