Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen Ihnen als Kunde von Postflug (Verantwortlicher, im Folgenden „Kunde“) und Fly & Froth Grafik- & Webdesign, Inhaber Mehmet Genco, Röderweg 19, 61184 Karben (Auftragsverarbeiter, im Folgenden „wir“).

Dieser Vertrag wird mit Abschluss des Vertrags über die Nutzung von Postflug nach unseren AGB Vertragsbestandteil. Er wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO).

1. Gegenstand und Dauer

(1) Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, soweit dies für die Bereitstellung von Postflug nach den AGB nötig ist. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten beider Seiten dabei.

(2) Der Vertrag gilt für die Dauer des Postflug-Vertrags einschließlich der Testphase und darüber hinaus, solange wir noch Daten des Kunden verarbeiten (siehe Nr. 8).

2. Art, Zweck und betroffene Daten

Art und Zweck: Speichern, Erstellen, Bearbeiten (auch mit KI-Funktionen), Planen und Veröffentlichen von Social-Media-Beiträgen; Abrufen und Anzeigen von Kommentaren, Nachrichten, Bewertungen und Statistiken der verbundenen Kanäle; Freigabe per WhatsApp und App; Benachrichtigungen; Link-in-Bio-Seiten und Kurzlinks; im Paket „Betreut“ zusätzlich Planung und Erstellung von Beiträgen durch unser Team.

Arten personenbezogener Daten:

• Inhalte der Kommentare, Nachrichten und Bewertungen sowie Namen, Profilnamen und Profilbilder der Verfasser,
• Fotos und Videos, auf denen Personen zu sehen sind, sowie Beitragstexte, die Personen nennen,
• Namen, E-Mail-Adressen und Telefonnummern von Teammitgliedern und Freigabe-Personen des Kunden, soweit der Kunde sie hinterlegt,
• personenbezogene Angaben in sonstigen Inhalten, die der Kunde hochlädt oder eingibt.

Kategorien betroffener Personen: Kunden, Interessenten und Follower des Kunden; Personen auf Fotos und Videos des Kunden; Mitarbeitende und Ansprechpartner des Kunden.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde gibt solche Daten nicht gezielt in Postflug ein.

3. Weisungen

(1) Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, wir sind gesetzlich zu einer Verarbeitung verpflichtet; dann teilen wir dem Kunden dies vorher mit, soweit das Gesetz es nicht verbietet. Weisungen sind die AGB, dieser Vertrag und die Einstellungen und Aktionen des Kunden in Postflug. Weitere Weisungen erteilt der Kunde in Textform.

(2) Ist eine Weisung nach unserer Auffassung datenschutzwidrig, weisen wir den Kunden unverzüglich darauf hin. Wir dürfen die Ausführung dann aussetzen, bis der Kunde sie bestätigt oder ändert.

(3) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage und die Information der betroffenen Personen.

4. Unsere Pflichten

• Vertraulichkeit: Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
• Sicherheit: Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
• Betroffenenrechte: Wir unterstützen den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 23 DSGVO). Wenden sich Betroffene direkt an uns, leiten wir die Anfrage an den Kunden weiter.
• Unterstützung: Wir unterstützen den Kunden bei seinen Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit es die Verarbeitung durch uns betrifft.
• Datenschutzverletzungen: Verletzungen des Schutzes personenbezogener Daten des Kunden melden wir ihm unverzüglich, nachdem sie uns bekannt geworden sind, mit den Informationen, die wir zu diesem Zeitpunkt haben.
• Zugriff durch unser Team: Wir greifen auf Daten des Kunden nur zu, soweit dies für die Leistung nötig ist, zum Beispiel für Support, zur Fehlerbehebung oder im Paket „Betreut“.

5. Unterauftragsverarbeiter

(1) Der Kunde erteilt uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 1 aufgeführt und gelten als genehmigt.

(2) Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informieren wir den Kunden mindestens vier Wochen vorher in Textform. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, können beide Seiten den Postflug-Vertrag zum Zeitpunkt des Wechsels kündigen.

(3) Wir verpflichten Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO).

(4) Die Betreiber der vom Kunden verbundenen Plattformen (zum Beispiel Meta, Google, TikTok, LinkedIn) sind keine Unterauftragsverarbeiter. Der Kunde nutzt diese Plattformen auf Grundlage eigener Verträge; die Übermittlung an sie erfolgt auf seine Weisung.

6. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Bei Anbietern in den USA ist dies das EU-U.S. Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, und im Übrigen die Standardvertragsklauseln der EU-Kommission. App, Datenbank und Medienspeicher werden in Rechenzentren in Frankfurt am Main betrieben.

7. Nachweise und Kontrollen

(1) Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Dazu zählen insbesondere diese Vereinbarung mit ihren Anlagen und Nachweise unserer Unterauftragsverarbeiter (zum Beispiel Zertifikate oder Prüfberichte).

(2) Darüber hinaus ermöglichen wir Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Anmeldung, während der üblichen Geschäftszeiten und ohne unangemessene Störung des Betriebs. Den eigenen Aufwand für Überprüfungen trägt jede Seite selbst.

8. Löschung und Rückgabe

Nach dem Ende des Postflug-Vertrags kann der Kunde seine Daten noch 30 Tage exportieren oder einen Export per E-Mail an hallo@postflug.de anfordern. Danach löschen wir die Daten des Kunden, sofern nicht nach dem Unionsrecht oder dem deutschen Recht eine Pflicht zur Speicherung besteht. Löschungen in den Datensicherungen der Anbieter erfolgen mit deren regulärem Ablauf.

9. Haftung und Schlussbestimmungen

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen dem Kunden und uns gelten die Haftungsregeln der AGB, soweit gesetzlich zulässig.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Änderungen dieses Vertrags bedürfen der Textform. Für Änderungen gilt § 14 der AGB entsprechend, soweit nicht Nr. 5 Abs. 2 dieses Vertrags anwendbar ist.

Anlage 1: Unterauftragsverarbeiter

Push-Benachrichtigungen werden über die Push-Dienste der Browserhersteller zugestellt, die der jeweilige Nutzer selbst verwendet. Die Inhalte werden dafür verschlüsselt übertragen.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Hosting von App, Datenbank und Medienspeicher in Rechenzentren in Frankfurt am Main bei etablierten Cloud-Anbietern; Zutritts- und physischer Schutz der Rechenzentren durch die Anbieter.
• Zugang zur App nur nach Anmeldung (E-Mail und Passwort, Google-Login, optional Passkey oder Zwei-Faktor-Anmeldung). Passwörter werden nur als Hashwert gespeichert.
• Rollen und Rechte: Zugriff auf Daten nur innerhalb der eigenen Organisation; Rollen für Teammitglieder; Daten verschiedener Kunden sind logisch voneinander getrennt.
• Administrativer Zugriff nur durch den Inhaber bzw. ausdrücklich berechtigte Personen und nur, soweit für Betrieb, Support oder das Paket „Betreut“ nötig. Zugangsschlüssel zu Dienstleistern werden nicht im Quellcode, sondern in geschützten Umgebungsvariablen gespeichert.

Integrität

• Verschlüsselung aller Verbindungen in Transit (TLS/HTTPS), sowohl zwischen Browser und App als auch zu den Unterauftragsverarbeitern.
• Veröffentlichungen nur nach Freigabe bzw. nach vom Kunden selbst aktivierter automatischer Planung.

Verfügbarkeit und Belastbarkeit

• Datensicherungen (Backups) und Wiederherstellungsfunktionen durch die Anbieter der Datenbank und des Hostings.
• Redundante Infrastruktur der Cloud-Anbieter.

Datenschutz durch Technikgestaltung

• Link-in-Bio-Seiten und Kurzlinks zählen nur Aufrufe und Klicks pro Tag, ohne Speicherung von IP-Adressen und ohne Cookies.
• Keine Analyse- oder Tracking-Werkzeuge; in der App nur technisch notwendige Cookies.
• Löschung der Kundendaten 30 Tage nach Vertragsende.

Überprüfung

• Auswahl von Dienstleistern mit Auftragsverarbeitungsvertrag und geeigneten Garantien; regelmäßige Überprüfung der Maßnahmen und der Liste der Unterauftragsverarbeiter.
• Zeitnahes Einspielen von Sicherheitsupdates der verwendeten Software.

Stand: Oktober 2026