Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: 14.07.2026

§ 1 Vertragsparteien

Auftraggeber (Verantwortlicher): Der Nutzer von ErzählsWeiter
Auftragnehmer (Auftragsverarbeiter): Robin Emadzadeh, Linienstr. 40, 82041 Oberhaching (ErzählsWeiter)

§ 2 Gegenstand & Dauer

Dieser AVV regelt die Verarbeitung personenbezogener Daten durch ErzählsWeiter im Auftrag des Verantwortlichen. Die Laufzeit entspricht der des Hauptvertrags.

§ 3 Art, Zweck & Umfang der Verarbeitung

Art der Verarbeitung: Erhebung, Speicherung, Übermittlung, Löschung

Kategorien betroffener Personen:

• Empfehlungsgeber des Verantwortlichen
• Interessenten/Leads des Verantwortlichen
• NPS-Umfrageteilnehmer

Kategorien personenbezogener Daten:

• Name, E-Mail-Adresse, Telefonnummer
• Bewertungen und Freitexte (NPS)
• Zeitstempel und Nutzungsverhalten

§ 4 Pflichten des Auftragsverarbeiters

• Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeiten
• Vertraulichkeit der Daten gewährleisten
• Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umsetzen
• Datenschutzverletzungen innerhalb von 72 Stunden melden

§ 5 Unterauftragsverarbeiter

Supabase Inc. – Datenbankhosting
Server: EU (Frankfurt) | Rechtsgrundlage: Standardvertragsklauseln

Netlify, Inc. – Frontend-Hosting
Rechtsgrundlage: Standardvertragsklauseln

Resend Inc. – E-Mail-Versand
Zweck: Transaktions-E-Mails | Rechtsgrundlage: Standardvertragsklauseln

Anthropic, PBC – KI-Textgenerierung
Zweck: Kampagnentexte und Bewertungsvorlagen. Keine personenbezogenen Endkundendaten. | Rechtsgrundlage: Standardvertragsklauseln

Stripe Payments Europe, Ltd. – Zahlungsabwicklung
Zweck: Abonnementzahlungen des Verantwortlichen

§ 6 Technische & organisatorische Maßnahmen

• Verschlüsselung der Datenübertragung (TLS/HTTPS)
• Verschlüsselung der gespeicherten Daten
• Zugriffskontrolle durch Row Level Security in Supabase
• Mandantentrennung: Jeder Nutzer sieht ausschließlich seine eigenen Daten
• Authentifizierung mit sicheren Passwörtern und Session-Management

§ 7 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenanfragen soweit technisch möglich.

§ 8 Löschung & Rückgabe

Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht. Auf Wunsch wird ein Datenexport bereitgestellt.

§ 9 Schlussbestimmungen

Gerichtsstand und anwendbares Recht entsprechen dem Hauptvertrag (München, deutsches Recht).