Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

Stand 04.11.2026 · Version 1.0

zwischen

dem Kunden – nachstehend „Verantwortlicher" –
dem jeweiligen Kunden laut Agenturvertrag

und

Rosarote Brille, Inhaberin Silke Wolters, Zacharias-Spier-Straße 28, 41189 Mönchengladbach – nachstehend „Auftragsverarbeiterin" –

Hinweis zur Rollenverteilung: Für die Verarbeitung der Daten der Follower/Kontakte des Kunden (Kommentare, Nachrichten, Kontaktdaten) im Portal ist der Kunde der Verantwortliche und die Agentur Auftragsverarbeiterin. Für einzelne Verarbeitungen auf den Plattformen können gemeinsame Verantwortlichkeiten der Plattformbetreiber bestehen.

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Social-Media-Betreuung und des Kundenportals (Hauptvertrag, AGB).

(2) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

(3) Die Dauer entspricht der Laufzeit des Hauptvertrags.

§ 2 Art, Zweck, Datenarten, Betroffene (Anlage 1)

(1) Zweck: Betrieb des Kundenportals, Social-Media-Betreuung, Community-Management (Beantwortung von Kommentaren/Nachrichten im Namen des Kunden), Auswertung und Berichtswesen.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Anzeigen, Verändern, Übermitteln an beauftragte Unterauftragnehmer, Löschen.

(3) Datenarten:

• Kontaktdaten der Follower/Interessenten des Kunden (z. B. Name/Benutzername, Nachrichteninhalte, E-Mail/Telefon, soweit mitgeteilt);
• Kommentare und Direktnachrichten auf den betreuten Kanälen;
• Zugangs-/Nutzungsdaten der Portalnutzer des Kunden (siehe Datenschutzerklärung Portal);
• Metadaten/Statistiken zu Beiträgen.

(4) Kategorien betroffener Personen: Follower, Interessenten und Kontakte des Verantwortlichen; Mitarbeitende/Portalnutzer des Verantwortlichen.

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand; der Verantwortliche stellt sicher, keine solchen Daten einzustellen, es sei denn, es wird gesondert vereinbart.

§ 3 Weisungsrecht

(1) Die Auftragsverarbeiterin verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Drittlandübermittlungen, sofern sie nicht gesetzlich zu einer Verarbeitung verpflichtet ist.

(2) Weisungen erfolgen in Textform (auch über das Portal). Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, informiert sie den Verantwortlichen; sie darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

Die Auftragsverarbeiterin setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO, Anlage 2)

(1) Die Auftragsverarbeiterin trifft geeignete technische und organisatorische Maßnahmen, u. a.:

• Vertraulichkeit: Zugangs-/Zugriffskontrolle, rollenbasierte Berechtigungen, verschlüsselte Übertragung (TLS), verschlüsselte Speicherung sensibler Zugangsdaten;
• Integrität: Protokollierung wesentlicher Zugriffe/Änderungen;
• Verfügbarkeit/Belastbarkeit: Back-ups, Wiederherstellungsverfahren beim Hosting-Dienstleister (Serverstandort Nürnberg);
• Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.

(2) Die konkreten Maßnahmen sind in Anlage 2 zu beschreiben und aktuell zu halten.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz folgender Unterauftragnehmer:

(2) Die Auftragsverarbeiterin verpflichtet jeden Unterauftragnehmer auf gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

(3) Über einen Wechsel oder die Hinzunahme weiterer Unterauftragnehmer informiert die Auftragsverarbeiterin vorab in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb einer angemessenen Frist widersprechen; führt der Widerspruch zur Unmöglichkeit der Leistung, besteht ein außerordentliches Kündigungsrecht.

(4) Drittlandübermittlung: Soweit Unterauftragnehmer Daten außerhalb der EU/des EWR verarbeiten (insb. Stripe, Meta), erfolgt dies nur bei Vorliegen geeigneter Garantien nach Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss/EU-US Data Privacy Framework oder Standardvertragsklauseln).

§ 7 Unterstützungspflichten

Die Auftragsverarbeiterin unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei:

• der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO); eingehende Anträge leitet sie unverzüglich weiter;
• der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

§ 8 Meldung von Datenschutzverletzungen

Die Auftragsverarbeiterin meldet dem Verantwortlichen eine ihr bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, mit den verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

Nach Abschluss der Leistung löscht die Auftragsverarbeiterin die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, es sei denn, eine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Wunsch bestätigt.

§ 10 Nachweise und Kontrollen

Die Auftragsverarbeiterin stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), die mit angemessener Vorankündigung und ohne Störung des Betriebsablaufs durchzuführen sind.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses Vertrags vor.

(2) Es gilt deutsches Recht. Änderungen bedürfen der Textform.

Anlagen: Anlage 1 (Verarbeitungsübersicht), Anlage 2 (TOM).