Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung von Daten der Personen, die öffentlich auf Instagram-Beiträge der Verantwortlichen kommentieren: der Kommentartext, die von Instagram vergebene Kennung und der Nutzername, die daraus abgeleiteten Entscheidungen sowie die Protokolle über Zustellung und Klicks. Die Verarbeitung dauert so lange wie der Hauptvertrag und endet mit ihm.

Die Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Ansprache und für die Information der betroffenen Personen.

§ 2 Weisungsbindung (Art. 28 Abs. 3 lit. a)

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen. Die Konfiguration in der Konsole ist diese Weisung. Jede Ausführung verweist unveränderlich auf den Konfigurationsstand, unter dem sie erfolgte, so dass jederzeit nachvollziehbar ist, welche Weisung ihr zugrunde lag. Damit ist der Nachweis stärker als ein Textform-Erfordernis und ersetzt es.

Eine Übermittlung in ein Drittland erfolgt nur, soweit dieser Vertrag oder eine Rechtspflicht sie vorsieht. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

§ 3 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Zugriff auf Daten der Verantwortlichen haben nur Personen, die einer Verschwiegenheit unterliegen: die von der Verantwortlichen selbst eingerichteten Zugänge nach dem Rollenmodell der Konsole, und auf Seiten des Auftragsverarbeiters ausschließlich benannte Personen im Support- oder Störungsfall. Jeder solche Zugriff wird protokolliert und ist im Protokoll der Verantwortlichen sichtbar.

§ 4 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c)

Die Maßnahmen nach Art. 32 DSGVO sind in einem eigenen, wie dieser Vertrag versionierten Anhang beschrieben. Der Anhang benennt Verschlüsselung in Übertragung und Speicherung einschließlich der getrennt verwahrten Schlüssel für Zugangsberechtigungen, das Zugriffskonzept, die Protokollierung, die Pseudonymisierung, das Löschkonzept mit seinen Fristen, die Trennung der Mandanten und die Wiederherstellbarkeit mit gemessenen Werten.

§ 5 Unterauftragsverarbeiter (Art. 28 Abs. 3 lit. d)

Die Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der folgenden Unterauftragsverarbeiter:

• Meta Platforms Ireland Limited, Merrion Road, Dublin 4 — Zustellung der Nachrichten, Empfang der Ereignisse. Ort der Verarbeitung: Irland, Verarbeitung auch in den USA.
• Hetzner Online GmbH, Gunzenhausen und Falkenstein — Server und Datenbank. Ort der Verarbeitung: Deutschland.
• Anthropic PBC — Klassifikation der Kommentare und Formulierung der Antworten. Ort der Verarbeitung: USA.

Ein Wechsel oder eine Hinzunahme wird der Verantwortlichen vier Wochen vorab mitgeteilt. Sie kann innerhalb dieser Frist in Textform widersprechen; im Widerspruchsfall steht ihr ein Sonderkündigungsrecht zu. Ein kundenindividueller Verzicht auf einen Unterauftragsverarbeiter ist nicht möglich — das ist der ehrliche Weg, weil der Wechsel eines Hosters sich nicht für einzelne Mandanten rückgängig machen lässt.

§ 6 Betroffenenrechte (Art. 28 Abs. 3 lit. e)

Wendet sich eine betroffene Person an den Auftragsverarbeiter, bestätigt er den Empfang, teilt mit, dass er Auftragsverarbeiter ist und weitergeleitet hat, und leitet die Anfrage innerhalb von sieben Tagen an die Verantwortliche weiter — zusammen mit dem Auszug der Daten, die zu der Anfrage vorliegen. Die Frist ist bewusst kurz: die Verantwortliche hat nach Art. 12 Abs. 3 DSGVO selbst einen Monat, und eine spätere Zuarbeit verbraucht ihn.

Der Auftragsverarbeiter entscheidet nicht, ob eine Zurückhaltung trägt oder ob eine Anfrage exzessiv ist, und übersendet die Daten nicht selbst an die anfragende Person. Beides sind Entscheidungen der Verantwortlichen; wer sie aus eigenem Antrieb trifft, bestimmt den Zweck der Offenlegung und haftet dafür als Verantwortlicher (Art. 28 Abs. 10 DSGVO).

Zwei Regeln gelten in jedem Verfahren: es wird nicht nach dem Grund der Anfrage gefragt, und als Identitätsnachweis dient ausschließlich die Kontrolle über das Instagram-Konto, aus dem der Kommentar stammt — niemals ein Ausweisdokument. Das gilt auch für die verneinende Antwort: einer fremden Person mitzuteilen, dass zu einem bestimmten Konto nichts vorliegt, ist selbst eine Aussage über dieses Konto.

§ 7 Meldepflichten (Art. 28 Abs. 3 lit. f)

Der Auftragsverarbeiter unterrichtet die Verantwortliche über eine Verletzung des Schutzes personenbezogener Daten innerhalb von 24 Stunden ab Kenntnis. Die Zahl steht hier, weil Art. 33 Abs. 2 DSGVO nur »unverzüglich« kennt und die Verantwortliche selbst 72 Stunden hat — ohne Vorlauf hat sie keine Chance, ihre Frist zu halten.

Er unterstützt sie bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation mit den Angaben, die aus seinem Verarbeitungsbereich stammen.

§ 8 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

Nach Beendigung wählt die Verantwortliche zwischen Rückgabe und Löschung. Die Fristen ergeben sich aus § 18 der Nutzungsbedingungen: dreißig Tage Übergang, einmal verlängerbar, danach mindestens dreißig Tage Abruf, dann Löschung.

Sicherungskopien. Eine Löschung wird in Sicherungskopien erst mit deren Ablauf wirksam. Das ist keine Einschränkung des Löschanspruchs, sondern eine Aussage darüber, wann er technisch erfüllt ist: ein Backup ist ein unveränderlicher Stand, und ein Vertrag, der etwas anderes verspricht, verspricht etwas Unmögliches. Die Aufbewahrungsdauer der Sicherungskopien ist im TOM-Anhang benannt — als gemessener Wert aus einer Wiederherstellungsübung, nicht als Schätzung. Eine Frist, die nie gemessen wurde, ist eine Zusage, die im Ernstfall nicht gehalten wird, und der Ernstfall ist der einzige Moment, in dem jemand nachsieht.

§ 9 Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h)

Der Auftragsverarbeiter erteilt der Verantwortlichen auf Anfrage die Auskünfte, die sie zum Nachweis der Einhaltung dieses Vertrags benötigt, und stellt den TOM-Anhang zur Verfügung. Das in der Konsole einsehbare Protokoll ist der Regelweg und macht diesen Anspruch im Alltag praktikabel.

Eine Überprüfung vor Ort ist nach Ankündigung mit angemessener Frist, unter Verschwiegenheit und gegen Erstattung des Aufwands möglich. Sie ist nicht ausgeschlossen — Art. 28 Abs. 3 lit. h DSGVO lässt das nicht zu.

§ 10 Schlussbestimmungen

Änderungen dieses Vertrags werden in Textform mitgeteilt; die Frist und das Verfahren entsprechen § 19 der Nutzungsbedingungen. Im Übrigen gelten deren Bestimmungen, soweit dieser Vertrag nichts anderes regelt.