Entwurf vom 26. Oktober 2026 vor der rechtlichen Prüfung. Verbindlich ist die vor dem Start des Dienstes veröffentlichte Fassung.

Auftragsverarbeitungsvertrag

Vertrag nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und der Grade System sp. z o.o. (Auftragsverarbeiter). Der Kunde akzeptiert ihn bei der Registrierung zusammen mit den Nutzungsbedingungen.

Fassung vom 26. Okt. 2026

1. Parteien und Gegenstand

Verantwortlicher ist der Kunde, der den Vertrag über die Nutzung von fanero studio geschlossen hat. Auftragsverarbeiter ist die Grade System sp. z o.o., ul. Alfonsa Flisykowskiego 1/58, 80-180 Gdańsk, Polen, KRS 0000926334, NIP 5833438266 (im Folgenden „Auftragsverarbeiter“).

Der Kunde beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Umfang und zu dem Zweck, die zur Erbringung von fanero studio gemäß den Nutzungsbedingungen erforderlich sind. Der Vertrag gilt für die Dauer der Nutzung von fanero studio und bis zur anschließenden Löschung der Daten.

2. Umfang der Verarbeitung

Element	Beschreibung
Kategorien betroffener Personen	Personen, die die Profile des Kunden kommentieren, ihnen Nachrichten senden, sie bewerten oder markieren; Follower in aggregierten Daten; Mitglieder des Teams des Kunden und externe Personen, mit denen der Kunde Berichte teilt
Datenarten	Name und Kennung des Plattformkontos, Profilbild, Inhalt von Kommentaren, Nachrichten und Bewertungen, Datum und Ort der Veröffentlichung, von der KI erkannte Stimmung der Inhalte, Notizen und Labels des Teams, E-Mail-Adressen von Berichtsempfängern
Art und Zweck	Abruf von den Plattformen, Speicherung, Anzeige, Ordnen, statistische Auswertung, Erstellung von Antwortvorschlägen durch KI, Versand von Antworten und Veröffentlichungen auf Weisung des Kunden, Erstellung von Berichten
Besondere Kategorien personenbezogener Daten	fanero studio ist nicht für deren Verarbeitung bestimmt; sie können nur in Inhalten vorkommen, die Personen selbst auf den Profilen des Kunden veröffentlichen

3. Pflichten des Auftragsverarbeiters

verarbeitet Daten nur auf dokumentierte Weisung des Kunden; Weisungen sind der Vertrag, die Einstellungen und die in fanero studio ausgeführten Aktionen,
informiert den Kunden, wenn eine Weisung seiner Ansicht nach gegen Datenschutzrecht verstößt,
gewährt Zugang zu den Daten nur befugten, zur Vertraulichkeit verpflichteten Personen,
trifft die in Abschnitt 5 beschriebenen Maßnahmen nach Art. 32 DSGVO,
unterstützt den Kunden bei der Erfüllung der Rechte betroffener Personen, insbesondere durch die Export-, Lösch- und Anonymisierungsfunktionen in fanero studio,
unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen,
meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach ihrer Entdeckung, mit den Angaben nach Art. 33 Abs. 3 DSGVO,
stellt die Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereit und ermöglicht Prüfungen nach Abschnitt 7.

4. Unterauftragsverarbeitung

Der Kunde erteilt eine allgemeine Genehmigung zur Beauftragung der Unterauftragsverarbeiter aus der Liste unter fanerostudio.pl/podprocesorzy. Der Auftragsverarbeiter erlegt ihnen dieselben Datenschutzpflichten auf wie in diesem Vertrag und haftet für deren Handeln wie für eigenes.

Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter die Inhaber der Arbeitsbereiche mindestens 14 Tage vorher per E-Mail. In dieser Zeit kann der Kunde begründet widersprechen; einigen sich die Parteien nicht, kann der Kunde den Vertrag mit Wirkung vor der Änderung kündigen.

Plattformen (Meta, Google, TikTok, LinkedIn) sind keine Unterauftragsverarbeiter: Der Kunde verbindet seine Profile selbst mit ihnen, und Daten gelangen auf seine Weisung und nach den Bedingungen dieser Plattformen zu ihnen.

5. Technische und organisatorische Maßnahmen

Verschlüsselung der Verbindungen (TLS) und der Zugriffstoken der Plattformen (AES-256-GCM),
Trennung der Kundendaten durch RLS-Richtlinien in der PostgreSQL-Datenbank, geprüft durch automatisierte Tests,
vom Kunden vergebene Rollen und Berechtigungen im Arbeitsbereich, Aktivitätsprotokoll,
Passwörter als argon2id-Hash, Zwei-Faktor-Authentifizierung, Ablauf von Sitzungen,
Server in Polen, tägliche verschlüsselte Sicherungskopien in einem anderen Rechenzentrum in der EU, monatlicher Wiederherstellungstest,
Zugang der Mitarbeiter des Auftragsverarbeiters nur mit 2FA und von freigegebenen IP-Adressen; Zugriff auf den Arbeitsbereich eines Kunden nur mit dessen Zustimmung in der Anwendung, zeitlich begrenzt und protokolliert,
regelmäßige Softwareaktualisierungen und ein jährlicher Penetrationstest.

6. Ende der Verarbeitung

Nach Ende der Nutzung von fanero studio bewahrt der Auftragsverarbeiter die Daten 90 Tage auf, damit der Kunde sie herunterladen oder den Dienst fortsetzen kann, und löscht sie dann, sofern keine gesetzliche Aufbewahrungspflicht besteht. Löscht der Kunde einen Arbeitsbereich, werden die Daten nach 7 Tagen gelöscht. Aus Sicherungskopien verschwinden sie spätestens nach 30 Tagen.

7. Prüfungen

Der Kunde kann einmal jährlich sowie nach einer Verletzung des Schutzes personenbezogener Daten eine Prüfung durchführen und kündigt sie mindestens 30 Tage vorher an. Die Prüfung erfolgt vorrangig durch die Beantwortung von Fragen und die Bereitstellung von Unterlagen, einschließlich des Berichts über den Penetrationstest. Eine Vor-Ort-Prüfung findet während der Geschäftszeiten statt, ohne Zugriff auf Daten anderer Kunden und auf Kosten des Kunden.

8. Schlussbestimmungen

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und Abschnitt 12 der Nutzungsbedingungen, soweit gesetzlich zulässig. Im Übrigen gelten die Nutzungsbedingungen und die DSGVO. Bei Widersprüchen zu den Nutzungsbedingungen in Datenschutzfragen hat dieser Vertrag Vorrang.

Ein Kunde, der einen unterzeichneten Vertrag in Textform oder mit eigenen Bestimmungen benötigt, kann ihn unter pomoc@fanerostudio.pl anfordern.