Vertrag zur Auftragsverarbeitung (AVV)

Stand: Oktober 2026

Dieser Vertrag gilt für Geschäftskunden, die mit postd personenbezogene Daten Dritter verarbeiten, zum Beispiel Agenturen, die Inhalte ihrer Kunden in postd planen und veröffentlichen. Er wird wirksam, sobald du ihn bei uns anforderst und wir ihn bestätigen. Schreib dafür an hello@postd.ai mit dem Betreff „AVV“ und nenne Firma, Anschrift und das Konto, für das er gelten soll. Du bekommst den Vertrag mit beiden Angaben als PDF zurück.

1. Parteien

Verantwortlicher ist der Geschäftskunde, der postd nutzt (im Folgenden „Kunde“).

Auftragsverarbeiter ist Stefan Kern, Kleinsachsenheimer Str. 36, 74343 Sachsenheim, Deutschland, Betreiber von postd (im Folgenden „postd“).

2. Gegenstand und Dauer

postd stellt dem Kunden eine Software zum Gestalten, Planen, Abstimmen und Veröffentlichen von Social-Media-Inhalten bereit (Hauptvertrag sind die AGB und der gewählte Tarif). Dabei verarbeitet postd personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag gilt für die Dauer des Hauptvertrags.

3. Art und Zweck der Verarbeitung, Arten von Daten, Betroffene

Zweck: Speichern, Bearbeiten, Anzeigen, Teilen und Veröffentlichen der Inhalte, die der Kunde in postd anlegt, sowie die Zusammenarbeit im Team des Kunden.

Arten von Daten: Kontodaten der Teammitglieder (Name, E-Mail-Adresse, Rolle), Inhalte (Texte, Bilder, Videos, Kommentare, Notizen auf Moodboards, Termine), Daten aus verbundenen Social-Media-Konten (Beiträge, Kennzahlen, Kommentare und Direktnachrichten), technische Protokolldaten.

Betroffene: Beschäftigte und Beauftragte des Kunden, Kunden des Kunden und deren Ansprechpartner, Personen, die in Inhalten abgebildet oder genannt sind, Personen, die mit den verbundenen Konten interagieren.

4. Weisungen

postd verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten dieser Vertrag, der Hauptvertrag und die Einstellungen, die der Kunde in postd selbst vornimmt. Weitere Weisungen erteilt der Kunde in Textform. Hält postd eine Weisung für rechtswidrig, sagt postd das dem Kunden unverzüglich.

5. Pflichten von postd

  • postd setzt die technischen und organisatorischen Maßnahmen aus Anlage 1 um und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
  • Alle Personen, die Zugriff auf die Daten haben, sind schriftlich zur Vertraulichkeit verpflichtet.
  • postd unterstützt den Kunden bei Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) und bei Datenschutz-Folgenabschätzungen, soweit es um die Verarbeitung in postd geht.
  • postd meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem postd davon erfahren hat, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
  • Wendet sich eine Aufsichtsbehörde an postd, informiert postd den Kunden, soweit das rechtlich erlaubt ist.

6. Unterauftragsverarbeiter

Der Kunde stimmt den Unterauftragsverarbeitern in Anlage 2 zu. postd verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht. Neue oder ersetzte Unterauftragsverarbeiter kündigt postd mindestens 30 Tage vorher per E-Mail an. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, darf der Kunde den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

7. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, also bei einem Angemessenheitsbeschluss, dem EU-US Data Privacy Framework oder den Standardvertragsklauseln der EU-Kommission. Welche Grundlage für welchen Dienst gilt, steht in Anlage 2.

8. Kontrollen und Nachweise

postd stellt dem Kunden auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, vorrangig durch schriftliche Auskunft und Unterlagen. Prüfungen vor Ort sind nach Ankündigung von mindestens 30 Tagen, zu üblichen Geschäftszeiten und ohne Störung des Betriebs möglich. Kosten einer Prüfung trägt der Kunde, außer die Prüfung deckt einen erheblichen Verstoß von postd auf.

9. Löschung und Rückgabe

Der Kunde kann seine Inhalte während der Laufzeit jederzeit exportieren und löschen. Nach Ende des Hauptvertrags löscht postd die Cloud-Projekte des Kunden nach sieben Tagen, wie in den AGB beschrieben, und kündigt das 48 Stunden vorher per E-Mail an. Das Konto selbst kann der Kunde jederzeit löschen oder bei uns löschen lassen. Gesetzliche Pflichten zur Aufbewahrung bleiben unberührt. Aus den Sicherungen verschwinden sie spätestens mit deren Ablauf nach sieben Tagen. Rechnungsdaten bewahrt postd nach den steuerrechtlichen Fristen auf.

10. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

11. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

  • Vertraulichkeit: Rechenzentren der Unterauftragsverarbeiter mit Zutrittskontrolle; Zugriff auf Systeme nur für den Betreiber und zur Vertraulichkeit verpflichtete Entwickler; Administratorkonten mit Zwei-Faktor-Anmeldung; Zeilenschutz (Row Level Security) in der Datenbank, sodass jedes Konto nur seine eigenen und die mit ihm geteilten Daten erreicht; serverseitige Schlüssel nur in der geschützten Umgebung des Hosters.
  • Integrität: Übertragung ausschließlich verschlüsselt (TLS); Inhalte tragen den Zeitpunkt ihrer letzten Änderung; Änderungen an der Datenbankstruktur laufen über geprüfte Migrationen.
  • Verfügbarkeit und Belastbarkeit: verschlüsselte Speicherung beim Hoster; tägliche Sicherung der Datenbank mit sieben Tagen Aufbewahrung; Begrenzung rechenintensiver Funktionen je Konto; Schutz öffentlicher Formulare gegen automatisierte Anfragen.
  • Wiederherstellung: Wiederherstellung aus der Sicherung über den Hoster.
  • Verfahren zur Überprüfung: Prüfung des Codes auf versehentlich enthaltene Schlüssel vor Veröffentlichungen; regelmäßige Prüfung der Sicherheitshinweise des Datenbank-Hosters; Überprüfung dieser Maßnahmen mindestens einmal im Jahr.
  • Datenschutz durch Technik: Konten können selbst gelöscht werden; Inhalte können exportiert werden; nicht mehr benötigte Daten werden nach den Fristen der Datenschutzerklärung automatisch gelöscht.

Anlage 2: Unterauftragsverarbeiter

Die aktuelle Liste mit Zweck, Ort und Grundlage der Übermittlung steht auf der Seite Sicherheit und Datenschutz. Sie ist Bestandteil dieses Vertrags in der Fassung, die bei Abschluss gilt.