Vertrag zur Auftragsverarbeitung (AVV)

Stand: 27.10.2026

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden von Postaro als Verantwortlichem („Kunde“) und der maxiFIT Sebersdorf e.U., Oberlimbach 33, 8271 Bad Waltersdorf, Österreich, als Auftragsverarbeiter („wir“).

Dieser Vertrag ist Bestandteil unserer AGB und wird beim Abschluss elektronisch mit ihnen geschlossen (Art. 28 Abs. 9 DSGVO). Eine unterschriebene Fassung ist nicht nötig. Zum Ablegen: drucken oder als PDF speichern.

1. Gegenstand und Dauer

1.1 Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, um die Leistungen von Postaro nach den AGB zu erbringen: Website des Kunden auslesen, Wissensprofil erstellen, Social-Media-Beiträge, Grafiken und Reels erstellen, prüfen, speichern und über das Buffer-Konto des Kunden einplanen.

1.2 Der Vertrag gilt, solange wir Daten für den Kunden verarbeiten, also für die Dauer des Hauptvertrags und bis zur Löschung nach Punkt 10.

2. Art der Daten und betroffene Personen

Datenarten: Inhalte der Website des Kunden (Texte, Bilder, Logos), Wissensbausteine, Fotos und Videos aus der Bibliothek des Kunden, Beitragstexte, Grafiken, Reels und Sprechtexte, Rückmeldungen und Änderungswünsche zu Beiträgen, Kontaktangaben, die in diesen Inhalten vorkommen (z. B. Namen von Ansprechpartnern), sowie Zugangsdaten für das Buffer-Konto des Kunden (nur verschlüsselt).

Betroffene Personen: Inhaber, Mitarbeiter, Kunden und Geschäftspartner des Kunden sowie Personen, die auf Fotos oder Videos des Kunden zu sehen oder in seinen Inhalten genannt sind; bei Agenturen zusätzlich deren Endkunden und deren Ansprechpartner.

Besondere Kategorien von Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) sind nicht vorgesehen. Der Kunde stellt solche Daten nicht bereit, außer er hat sich vorher mit uns abgestimmt.

3. Weisungen

3.1 Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, die AGB sowie die Einstellungen und Aktionen des Kunden im Portal; weitere Weisungen erteilt der Kunde per E-Mail an support@postaro.at.

3.2 Halten wir eine Weisung für rechtswidrig, informieren wir den Kunden unverzüglich und dürfen die Ausführung bis zur Klärung aussetzen.

3.3 Eine Verarbeitung ohne Weisung erfolgt nur, wenn wir nach Unionsrecht oder österreichischem Recht dazu verpflichtet sind; darüber informieren wir den Kunden vorher, soweit das erlaubt ist.

4. Vertraulichkeit

Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (§ 6 DSG). Zugang hat derzeit nur der technische Betreiber von Postaro.

5. Sicherheit der Verarbeitung

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passen sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

6. Unterauftragsverarbeiter

6.1 Der Kunde stimmt der Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter zu. Wir verpflichten sie vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag.

6.2 Neue oder geänderte Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher per E-Mail an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.

6.3 Nicht als Unterauftragsverarbeiter gelten: Buffer und die Social-Media-Plattformen (der Kunde nutzt sie mit eigenem Konto und eigenem Vertrag; wir übermitteln auf seine Weisung) sowie Dienste, die der Kunde mit eigenem Zugang einbindet.

7. Übermittlung in Drittländer

Daten werden nur in Drittländer übermittelt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch den Angemessenheitsbeschluss zum EU-US Data Privacy Framework oder durch Standardvertragsklauseln der EU-Kommission. Die Daten von Postaro liegen auf einem Server in Deutschland.

8. Unterstützung des Kunden

8.1 Wir unterstützen den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO). Viele Daten kann der Kunde im Portal selbst ändern oder löschen. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage an den Kunden weiter.

8.2 Wir unterstützen den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

8.3 Verletzungen des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich, möglichst innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

9. Nachweise und Kontrollen

Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglichen Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen sind mit angemessener Frist anzukündigen und dürfen den Betrieb nicht unverhältnismäßig stören.

10. Löschung und Rückgabe nach Vertragsende

Nach Ende des Hauptvertrags löschen wir die Daten des Kunden, sofort auf Wunsch, sonst spätestens 90 Tage nach Vertragsende; Sicherungskopien werden innerhalb weiterer 14 Tage überschrieben. Vor der Löschung kann der Kunde per E-Mail eine Kopie seiner Beiträge, Grafiken und Reels anfordern. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11. Haftung, Vorrang

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.

Anlage 1: Technische und organisatorische Maßnahmen

• Server und Zutritt: eigener virtueller Server in einem Rechenzentrum in Frankfurt am Main (Hostinger); physischer Zutrittsschutz durch den Rechenzentrumsbetreiber.
• Zugang zum Server: Anmeldung nur mit kryptografischem Schlüssel (keine Passwörter), Firewall mit nur den nötigen Ports, automatische Sperre bei Angriffsversuchen, automatische Sicherheitsupdates, interne Dienste nicht von außen erreichbar.
• Übertragung: alle Verbindungen verschlüsselt (HTTPS/TLS, HSTS).
• Zugriff im Portal: Passwörter nur als scrypt-Prüfwert; Sperre nach wiederholten Fehlversuchen; signierte, nur per HTTPS übertragene Anmelde-Cookies; Rollen für Agentur-Mitarbeiter (Inhaber, Mitarbeiter, nur lesen).
• Verschlüsselung: Zugangsschlüssel zu Buffer und anderen Diensten verschlüsselt gespeichert (Fernet/AES); Schlüssel nur in der Server-Konfiguration.
• Trennung: alle Daten sind einem Kunden zugeordnet; Abfragen im Portal nur für das angemeldete Konto.
• Öffentliche Dateien: Grafiken und Reels, die Buffer abholen muss, nur unter zufälligen, nicht erratbaren Adressen; Suchmaschinen ausgeschlossen.
• Datensparsamkeit: keine Analyse- oder Tracking-Dienste; das Kostenprotokoll der KI-Aufrufe enthält keine Inhalte; Server-Protokolle ohne IP-Adressen der Besucher.
• Verfügbarkeit: tägliche Sicherung der Datenbank und Dateien (14 Tagesstände auf einem Rechner in Österreich, aktueller Stand verschlüsselt außer Haus), Überwachung mit automatischer Meldung an den Betreiber, täglicher automatischer Selbsttest.
• Organisation: Zugriff auf Server und Daten nur durch den technischen Betreiber; Vertraulichkeitsverpflichtung; Änderungen werden versioniert und vor dem Einspielen gesichert.

Anlage 2: Unterauftragsverarbeiter

Ändert sich diese Liste, gilt Punkt 6.2.