Vertrag zur Auftragsverarbeitung (AVV)
Stand: 1. November 2026
Dieser Vertrag nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden („Verantwortlicher“) und DMowl, Michel Ruchti, Pfisters Reben 13, 3210 Kerzers, Schweiz („Auftragsverarbeiter“) ist Bestandteil der AGB und wird mit deren Annahme geschlossen. Er gilt für alle personenbezogenen Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet.
1. Gegenstand und Dauer
Der Auftragsverarbeiter erbringt den Dienst DMowl (Instagram-Automatisierung, Inbox, CRM, Kampagnen, Gewinnspiele, AI-Agent, API) wie in den AGB beschrieben. Der Vertrag läuft so lange wie der Kundenvertrag.
2. Art und Zweck der Verarbeitung
Empfangen, Speichern, Ordnen, Auswerten und Senden von Nachrichten und Kommentaren über die Instagram-API; Ausführen der Automationen, Kampagnen und des optionalen AI-Agents des Verantwortlichen; Bereitstellen von Exporten, API und vom Verantwortlichen eingerichteten Webhooks.
3. Art der Daten und betroffene Personen
- Betroffene
- Personen, die mit dem Instagram-Konto des Verantwortlichen interagieren (Follower, Kommentierende, Absender von Nachrichten oder Erwähnungen); Teammitglieder des Verantwortlichen.
- Datenarten
- Instagram-ID, Benutzername, Name, Profilinformationen; Follow-Status; Inhalte von Nachrichten, Kommentaren, Story-Antworten und Erwähnungen; in Gesprächen erhobene Daten (z. B. E-Mail-Adresse, Telefonnummer, Antworten); Ordner, Eigenschaften und Notizen; Link-Klicks; Gewinnspiel-Teilnahmen; Bestellnummer, Betrag und Währung zugeordneter Verkäufe.
Der Verantwortliche stellt sicher, dass über DMowl keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) gezielt erhoben werden, sofern keine geeignete Rechtsgrundlage besteht.
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen – erteilt durch diese Bedingungen sowie durch Einstellungen und Aktionen in DMowl –, sofern er nicht nach EU- oder mitgliedstaatlichem Recht dazu verpflichtet ist; in diesem Fall teilt er dies vorher mit, sofern das Recht dies nicht verbietet. Hält er eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen.
5. Vertraulichkeit
Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
6. Sicherheit der Verarbeitung (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, insbesondere:
- Verschlüsselung bei der Übertragung (TLS) und der gespeicherten Instagram-Zugriffstokens (AES-256-GCM); Passwörter als gesalzene scrypt-Hashes; API-Keys als Hash
- Datenbank in der EU-Jurisdiktion von Cloudflare; serverlose Infrastruktur ohne manuell administrierte Server
- rollenbasierter Zugriff in jedem Konto (Owner, Admin, Mitglied, Betrachter); Trennung der Kundendaten nach Konto
- Rate-Limiting und Bot-Schutz bei Login, Registrierung und API
- minimale Zugriffsrechte der Mitarbeitenden auf Produktivsysteme; Zugriff nur soweit für Betrieb oder Support nötig
- automatische Backups durch den Hosting-Anbieter; Löschung der Daten bei Löschung des Kontos
- regelmäßige Überprüfung und Verbesserung dieser Maßnahmen
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die unten genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail; der Verantwortliche kann aus wichtigen datenschutzrechtlichen Gründen widersprechen und, falls keine Lösung gefunden wird, den Vertrag kündigen. Der Auftragsverarbeiter verpflichtet seine Unterauftragsverarbeiter auf dieselben Datenschutzpflichten.
| Dienstleister | Zweck | Sitz | Garantie |
|---|---|---|---|
| Cloudflare, Inc. | Hosting, Datenbank (EU-Jurisdiktion), E-Mail-Versand, Bot-Schutz (Turnstile), Rate-Limiting | USA / global network; database in the EU | EU-U.S. Data Privacy Framework, Standardvertragsklauseln |
| OpenRouter, Inc. | AI-Funktionen (Antworten des AI-Agents, Entwürfe, Umformulieren) – nur wenn aktiviert. Nur an Anbieter ohne Datenspeicherung (Zero Data Retention); kein Training mit den Daten | USA; model hosting by selected providers in the USA/EU | Standardvertragsklauseln |
Meta Platforms Ireland Limited ist kein Unterauftragsverarbeiter: Der Verantwortliche verbindet sein Instagram-Konto selbst, Meta handelt in eigener Verantwortung.
8. Übermittlung in Drittländer
Übermittlungen außerhalb der EU/des EWR erfolgen nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind, insbesondere auf Grundlage des EU-U.S. Data Privacy Framework oder der EU-Standardvertragsklauseln.
9. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Betroffenenanfragen (z. B. durch Export, Bearbeitung und Löschung von Kontakten in DMowl) und bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO. Direkt eingehende Anfragen leitet er unverzüglich an den Verantwortlichen weiter.
10. Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, und stellt die für dessen Meldepflichten nötigen Informationen bereit.
11. Löschung und Rückgabe
Nach Vertragsende löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen, sofern keine Speicherpflicht nach EU- oder mitgliedstaatlichem Recht besteht. Vorher kann der Verantwortliche seine Kontakte exportieren. Backups werden innerhalb von 30 Tagen überschrieben.
12. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt alle Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt dazu bei. Prüfungen sind mit angemessener Frist anzukündigen, während der Geschäftszeiten ohne Störung des Betriebs durchzuführen und in der Regel auf einmal jährlich begrenzt. Aktuelle Zertifizierungen der Unterauftragsverarbeiter können als Nachweis dienen.
13. Schlussbestimmungen
Die Haftung richtet sich nach den AGB. Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen geht dieser Vertrag in Bezug auf den Datenschutz vor.