Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch handsfree-content.de im Auftrag des Kunden (Verantwortlicher) gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO).

1. Vertragsparteien

Auftragsverarbeiter

Martin Koch
handsfree-content.de
Johannes-Schriefers-Weg 4
47877 Willich
Deutschland
E-Mail: hello@handsfree-content.de

Verantwortlicher

Der Verantwortliche ist der Kunde, der den Dienst handsfree-content.de im Rahmen eines Abonnements nutzt.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand der Auftragsverarbeitung ist die Bereitstellung des SaaS-Dienstes handsfree-content.de. Dieser Dienst ermöglicht die KI-gestützte Erstellung von Social-Media-Inhalten (Captions, Hooks, Hashtags, Ideen, Beiträge) auf Basis der vom Verantwortlichen bereitgestellten Marken- und Profildaten.

Art der Verarbeitung

• Speicherung von Eingabedaten (Markenprofile, Bios, Content-Beispiele)
• Übermittlung von Eingabedaten an KI-Dienste zur Inferenz
• Speicherung und Auslieferung generierter Inhalte
• Zahlungsverarbeitung über Stripe

Zweck der Verarbeitung

Ausschließlich zur Erbringung des vertraglich vereinbarten Dienstes (Generierung von Social-Media-Content). Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Art der personenbezogenen Daten

Im Rahmen der Leistungserbringung werden folgende Kategorien personenbezogener Daten verarbeitet:

• Stammdaten: Name, E-Mail-Adresse des Nutzers
• Inhaltsdaten: Markenname, Social-Media-Bio, Content-Beispiele, Zielgruppen-Informationen
• Nutzungsdaten: IP-Adresse, Session-Daten, Zeitstempel
• Zahlungsdaten: Transaktions-IDs (keine vollständigen Zahlungsdaten — diese werden direkt durch Stripe verarbeitet)

4. Kategorien betroffener Personen

• Kunden (Abonnenten) des Dienstes
• Ggf. von Kunden genannte Dritte (z. B. im Rahmen von Marken- oder Zielgruppenbeschreibungen)

5. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses. Nach Beendigung des Vertrags werden personenbezogene Daten spätestens innerhalb von 30 Tagen gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich zu folgenden Maßnahmen:

Weisungsgebundenheit (Art. 28 Abs. 3 lit. a DSGVO)

Personenbezogene Daten werden ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeitet. Sämtliche Unterauftragsverarbeiter haben ihren Sitz in der EU — eine Drittlandübermittlung findet nicht statt.

Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Alle mit der Verarbeitung befassten Personen haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Es werden angemessene technische und organisatorische Schutzmaßnahmen umgesetzt, insbesondere:

• Verschlüsselte Datenübertragung (TLS/HTTPS)
• Zugriffskontrolle und Authentifizierung
• Regelmäßige Sicherheitsupdates
• Serverstandort ausschließlich in der EU (Hetzner, Deutschland)

Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO)

Der Einsatz von Unterauftragsverarbeitern erfolgt nur mit vorheriger allgemeiner oder gesonderter schriftlicher Genehmigung des Verantwortlichen. Durch die Nutzung des Dienstes erklärt der Verantwortliche seine Zustimmung zu den nachfolgend genannten Unterauftragsverarbeitern.

Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenanfragen (Auskunft, Löschung, Berichtigung, Einschränkung, Datenübertragbarkeit).

Löschung oder Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

Nach Abschluss der Verarbeitung werden personenbezogene Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht.

Nachweispflicht (Art. 28 Abs. 3 lit. h DSGVO)

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Audits.

7. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein. Alle Anbieter haben ihren Sitz innerhalb der EU — eine Drittlandübermittlung findet nicht statt.

Dienstleister	Sitz	Zweck	Datenschutzgrundlage
Hetzner Online GmbH	Gunzenhausen, Deutschland (EU)	Server-Hosting (Backend)	Art. 28 DSGVO (AVV) — EU-Anbieter, kein Drittlandtransfer
Mistral AI SAS	Paris, Frankreich (EU)	KI-Textgenerierung	Art. 28 DSGVO (AVV) — EU-Anbieter, kein Drittlandtransfer
Black Forest Labs GmbH	Freiburg im Breisgau, Deutschland (EU)	KI-Bildgenerierung (FLUX)	Art. 28 DSGVO (AVV) — EU-Anbieter, kein Drittlandtransfer
Stripe Technology Europe Ltd.	Dublin, Irland (EU)	Zahlungsabwicklung	Art. 28 DSGVO (AVV) — EU-Anbieter, kein Drittlandtransfer

Änderungen bei Unterauftragsverarbeitern werden dem Verantwortlichen rechtzeitig mitgeteilt. Der Verantwortliche kann gegen Änderungen Einwände erheben.

8. Pflichten des Verantwortlichen

• Der Verantwortliche stellt sicher, dass die Verarbeitung der Daten auf einer Rechtsgrundlage gemäß Art. 6 DSGVO beruht.
• Der Verantwortliche erteilt Weisungen ausschließlich in schriftlicher Form (einschließlich elektronischer Übermittlung).
• Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn ihm Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse auffallen.

9. Datenpannen (Art. 33, 34 DSGVO)

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Datenschutzverletzungen, die ihm bekannt werden. Die Meldung an die zuständige Aufsichtsbehörde und betroffene Personen liegt in der Verantwortung des Verantwortlichen.

10. Kontakt und Anfragen

Bei Fragen zur Datenverarbeitung oder zum AVV wenden Sie sich an:

Martin Koch
Johannes-Schriefers-Weg 4
47877 Willich
Deutschland
E-Mail: hello@handsfree-content.de

Stand: Juni 2026