Auftragsverarbeitungsvertrag

Dieser AVV ist Bestandteil der Selfpost-Nutzungsbedingungen zwischen dem Kunden als Verantwortlichem und Tim Hausl-Kramper, handelnd unter THK-Media, als Auftragsverarbeiter. Er gilt, wenn Selfpost personenbezogene Daten im Auftrag verarbeitet, insbesondere in Agentur- und Team-Workspaces.

Ist der Kunde selbst Auftragsverarbeiter, handelt THK-Media als Unterauftragsverarbeiter; Weisungen umfassen dann auch rechtmäßige Weisungen des vorgelagerten Verantwortlichen.

Die Verarbeitung umfasst Hosting, Organisation, technische Anpassung, Planung, Übermittlung, Veröffentlichung, Abruf von Status und Analysedaten, Support, Sicherung und Löschung von Social-Media-Inhalten und Workspace-Daten. Sie dauert während der Leistung und einer rechtlich erforderlichen Rückgabe- oder Löschphase.

Zweck ist die Bereitstellung des vom Kunden konfigurierten Selfpost-Workflows und der verbundenen Publishing-Funktionen.

Betroffene können Beschäftigte, Auftragnehmer, Eingeladene, Kunden, Betreiber verbundener Konten, in Inhalten dargestellte oder erwähnte Personen, Kommentierende und in Plattformanalysen dargestellte Zielgruppen sein.

Daten können Identitäts- und Kontaktdaten, Konten, Rollen, Plattformkennungen, OAuth-Zugangsdaten, Bild, Audio, Video, Texte, Nachrichten, Zeitpläne, Zielgruppen- und Kennzeichnungseinstellungen, Publishing-Status, Analysedaten, Support und technische Diagnosen umfassen. Besondere Kategorien oder strafrechtliche Daten dürfen nur nach ausdrücklicher Vereinbarung und rechtmäßiger Weisung übermittelt werden.

THK-Media verarbeitet Daten nur auf dokumentierte Weisung, insbesondere aufgrund Bedingungen, Workspace-Konfiguration, API- und Oberflächenaktionen sowie Supportanfragen, außer Unions- oder Mitgliedstaatenrecht verpflichtet dazu. Soweit erlaubt, wird der Kunde vor der verpflichtenden Verarbeitung informiert.

Erscheint eine Weisung datenschutzrechtswidrig, informiert THK-Media den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Berechtigte Personen sind zur Vertraulichkeit verpflichtet und erhalten nur erforderlichen Zugriff. THK-Media hält unter Berücksichtigung von Risiko, Kosten und Stand der Technik angemessene Maßnahmen nach Art. 32 DSGVO aufrecht.

Dazu zählen Mandanten- und Rollenautorisierung, authentifiziert verschlüsselte Provider-Tokens, gehashte Sitzungs- und Aktionstokens, privater Objektspeicher mit kurzlebigen signierten URLs, TLS, Validierung, Rate-Limits, signierte Webhooks, getrennte Secrets, Log-Redaktion, Audit-Trails, idempotentes Publishing sowie vom Hoster bereitgestellte Backup- und Wiederherstellungskontrollen.

Der Kunde erteilt allgemeine Genehmigung für die auf der Seite Auftragsverarbeiter genannten Anbieter. THK-Media bleibt im Umfang des Art. 28 Abs. 4 DSGVO für deren Pflichten verantwortlich.

Neue Unterauftragsverarbeiter werden angemessen vorher per E-Mail oder dauerhaftem Kontohinweis angekündigt. Der Kunde kann binnen 14 Tagen aus begründeten Datenschutzgründen widersprechen. Ohne praktikable Lösung kann die betroffene Leistung beendet und ein unverbrauchter vorausbezahlter Zeitraum erstattet werden.

THK-Media übermittelt Kundendaten außerhalb des EWR nur mit einem Mechanismus nach Kapitel V DSGVO. Fehlt ein Angemessenheitsbeschluss, werden die Standardvertragsklauseln der Europäischen Kommission und erforderliche ergänzende Maßnahmen eingesetzt.

Die Weisung zur Veröffentlichung auf einer verbundenen Plattform umfasst die Übermittlung der ausgewählten Inhalte an diese Plattform. Der Kunde bleibt für die Rechtmäßigkeit seiner Nutzung und Weisungen verantwortlich.

Unter Berücksichtigung der Art der Verarbeitung unterstützt THK-Media angemessen bei Rechten nach Kapitel III DSGVO. Direkt eingehende Anträge zu kundengesteuerten Daten werden an den Kunden weitergeleitet, sofern keine direkte Antwort gesetzlich erlaubt oder geboten ist.

THK-Media unterstützt außerdem angemessen bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation nach Art. 32 bis 36, soweit Informationen verfügbar sind.

THK-Media informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung kundengesteuerter personenbezogener Daten. Verfügbare Informationen umfassen Art, wahrscheinliche Folgen, bekannte Kategorien und ungefähre Zahlen, ergriffene oder geplante Maßnahmen und eine Kontaktstelle.

Die Information ist kein Schuldanerkenntnis. Meldungen an Behörden und Betroffene verantwortet der Kunde, sofern nichts anderes schriftlich vereinbart ist.

Während der Laufzeit ermöglichen verfügbare Funktionen die Löschung relevanter Inhalte. Exportstatus: Angemeldete Nutzer können in den Kontoeinstellungen einen maschinenlesbaren JSON-Export ihres Kontos, ihrer Workspaces, Beiträge, Medienmetadaten und Analysedaten herunterladen; Anfragen für andere Formate werden über den Datenschutzkontakt bearbeitet. Nach Wahl des Kunden und Vertragsende löscht oder gibt THK-Media Daten zurück und löscht Kopien, sofern keine gesetzliche Aufbewahrung gilt. Backup-Status: Datenbank-Backups werden automatisch rotiert; der Deployment-Prozess bewahrt die letzten 14 Datenbank-Dumps vor Migrationen auf, ältere Kopien werden überschrieben.

Bereits an eine Social-Media-Plattform veröffentlichte Daten müssen dort entfernt werden und liegen nach Übermittlung außerhalb des Selfpost-Speichers.

THK-Media stellt erforderliche Informationen zum Nachweis nach Art. 28 bereit und ermöglicht angemessene Prüfungen durch den Kunden oder einen unabhängigen, vertraulich verpflichteten Prüfer. Prüfungen benötigen angemessene Vorankündigung, müssen Störungen minimieren und vorrangig vorhandene Dokumentation und Berichte nutzen.

Der Kunde trägt Kosten, außer eine wesentliche Pflichtverletzung von THK-Media wird festgestellt. Prüfungen dürfen weder Daten anderer Kunden noch Sicherheit oder Systeme von Anbietern außerhalb der Kontrolle von THK-Media gefährden.

Der Kunde verantwortet rechtmäßige Weisungen, Transparenz, Rechtsgrundlagen, Datenrichtigkeit, Rollen und Betroffenenanträge. Er nutzt verfügbare Kontrollen und übermittelt keine unnötigen Daten.

Bei Verarbeitungskonflikten geht dieser AVV den Nutzungsbedingungen vor. Im Übrigen gelten die Bedingungen einschließlich rechtmäßiger Haftungsregeln. Österreichisches Recht und die dortige Gerichtsstandsregel gelten, ohne zwingende Rechte Betroffener oder Behörden einzuschränken.