Auftragsverarbeitungsvertrag (AVV)

Vereinbarung nach Art. 28 DSGVO zwischen dir als Verantwortlichem und Fade Media GmbH als Auftragsverarbeiter. Version 1.0, Stand 2026-08-07. Die Annahme erfolgt im Dashboard unter Einstellungen → Datenschutz → Auftragsverarbeitung; dort steht anschließend auch die unterzeichnete Fassung mit Datum zum Download bereit.

§ 1 Gegenstand und Rollen

Der Kunde („Verantwortlicher“) nutzt PostOmnia, um eigene und fremde Social-Media-Auftritte zu planen, freizugeben, zu veröffentlichen und auszuwerten. Soweit dabei personenbezogene Daten verarbeitet werden, handelt Fade Media GmbH („Auftragsverarbeiter“) ausschließlich weisungsgebunden im Auftrag des Verantwortlichen.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich – insbesondere dafür, dass er die Inhalte, Kontaktdaten und Social-Media-Zugänge, die er in PostOmnia einbringt, verarbeiten darf. Arbeitet der Verantwortliche selbst im Auftrag seiner eigenen Kunden (typischer Agenturfall), tritt Fade Media GmbH insoweit als Unterauftragsverarbeiter auf.

Für die eigenen Vertrags-, Abrechnungs- und Kontodaten des Kunden ist Fade Media GmbH selbst Verantwortlicher; dafür gilt die Datenschutzerklärung, nicht dieser Vertrag.

§ 2 Art, Zweck und Dauer der Verarbeitung

Art: Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an die vom Verantwortlichen gewählten Social-Media-Plattformen und Löschen.
Zweck: Bereitstellung der vertraglich vereinbarten Funktionen – Redaktionsplanung, Inhaltserstellung (auch KI-gestützt), Kundenfreigabe, Veröffentlichung, Auswertung, Link-in-Bio-Seiten und Teamzusammenarbeit.
Dauer: für die Laufzeit des Hauptvertrags. Nach Vertragsende gilt § 9.

§ 3 Kategorien betroffener Personen und Datenarten

Betroffene Personen: Mitarbeitende und Teammitglieder des Verantwortlichen; dessen Kunden und deren Ansprechpartner (Freigabeportal); Abonnentinnen und Abonnenten der Link-in-Bio-Seiten; Personen, die in eingestellten Inhalten oder Medien erkennbar sind.
Datenarten: Bestands- und Kontaktdaten (Name, E-Mail-Adresse, Rolle), Inhaltsdaten (Beitragstexte, Bilder, Videos, Kommentare, Freigabeentscheidungen), Zugangs- und Verbindungsdaten der angebundenen Social-Media-Konten (verschlüsselt gespeichert), Nutzungs- und Protokolldaten (Zeitstempel, IP-Adresse, Aktionen im Audit-Log), Reichweiten- und Klickkennzahlen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Bringt der Verantwortliche solche Daten dennoch als Inhalt ein, verarbeitet der Auftragsverarbeiter sie wie die übrigen Inhaltsdaten; die Zulässigkeit prüft der Verantwortliche.

§ 4 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag, der Hauptvertrag sowie die Einstellungen und Bedienhandlungen im Dienst selbst. Weitergehende Weisungen erfolgen in Textform an info@postomnia.com.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen. Ist er nach Unionsrecht oder mitgliedstaatlichem Recht zur Verarbeitung verpflichtet, informiert er den Verantwortlichen vorab, sofern das Recht dies nicht verbietet.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die vor der Aufnahme der Tätigkeit mit den einschlägigen Datenschutzvorgaben vertraut gemacht wurden.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 (TOM) beschriebenen Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Anlage 1 ist Bestandteil dieses Vertrags.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 (Subprozessorenliste) genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die den hier vereinbarten mindestens gleichwertig sind.

Änderungen der Liste kündigt der Auftragsverarbeiter mindestens 30 Tage vorab per E-Mail an die im Konto hinterlegte Adresse an. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem, datenschutzbezogenem Grund widersprechen; kommt keine Einigung zustande, darf er den Hauptvertrag zum Wirksamwerden der Änderung außerordentlich kündigen.

§ 8 Drittlandtransfer

Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Soweit einzelne Unterauftragsverarbeiter außerhalb der EU verarbeiten, erfolgt dies nur auf Grundlage eines Mechanismus nach Art. 44 ff. DSGVO – insbesondere eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln nebst Zusatzmaßnahmen. Die jeweils einschlägige Grundlage ist in Anlage 2 je Anbieter ausgewiesen.

§ 9 Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit selbst exportieren (Einstellungen → Datenschutz → Daten exportieren) und Workspaces oder das Konto endgültig löschen. Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die verarbeiteten Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Belege und Rechnungen bleiben nach §§ 147 AO, 257 HGB aufbewahrungspflichtig und werden für die Dauer der Frist gesperrt statt gelöscht. Backups werden im Rahmen des regulären Rotationszyklus (siehe Anlage 1) überschrieben.

§ 10 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Mitteln bei

Anfragen betroffener Personen nach Art. 15–22 DSGVO – überwiegend bereits durch die im Produkt vorhandenen Export- und Löschfunktionen;
der Einhaltung der Pflichten aus Art. 32–36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen;
der Meldung von Verletzungen des Schutzes personenbezogener Daten. Solche Verletzungen meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben.

§ 11 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung – vorrangig durch die Dokumentation nach Anlage 1 und den Sicherheitsüberblick unter /sicherheit.html. Reicht das nicht aus, ermöglicht er Überprüfungen einschließlich Inspektionen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebs. Der Verantwortliche trägt die Kosten einer Vor-Ort-Prüfung, sofern diese keinen Verstoß aufdeckt.

§ 12 Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrags. Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Datenschutzfragen vor.

Version 1.0 · Stand: 2026-08-07 · Anlage 1: TOM · Anlage 2: Subprozessoren