Vertrag zur Auftragsverarbeitung

Stand: 23. Oktober 2026

Dieser Vertrag zur Auftragsverarbeitung (im Folgenden „AV-Vertrag“) gilt zwischen dem Kunden als Verantwortlichem (im Folgenden „Auftraggeber“) und Internet am Dornbusch, Inhaber Sajjad Hanifa, Eschersheimer Landstraße 297, 60320 Frankfurt am Main, als Auftragsverarbeiter (im Folgenden „Auftragnehmer“). Er ergänzt die Allgemeinen Geschäftsbedingungen für die Nutzung von Blog Automation (im Folgenden „Hauptvertrag“).

So schließen Sie den AV-Vertrag ab

Sie müssen nichts weiter tun: Dieser AV-Vertrag gilt in jedem Plan, auch im Plan Free. Er ist Bestandteil des Hauptvertrags (§ 13 der AGB) und gilt mit der Registrierung als abgeschlossen. Eine Unterschrift auf Papier ist nicht nötig, nach Art. 28 Abs. 9 DSGVO genügt die elektronische Form.

Für Ihre Datenschutzunterlagen können Sie diese Seite speichern oder ausdrucken. Eine Ausfertigung als Dokument erhalten Sie auf Anfrage, in der Anwendung unter Einstellungen, Datenschutz („AV-Vertrag oder Datenexport anfragen“), per E-Mail an info@blog-automation.com oder über das Kontaktformular.

§ 1 Gegenstand und Dauer

1. Gegenstand dieses AV-Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftragnehmer bei der Bereitstellung der Online-Anwendung Blog Automation nach dem Hauptvertrag für den Auftraggeber durchführt.
2. Der AV-Vertrag gilt, solange der Auftragnehmer personenbezogene Daten für den Auftraggeber verarbeitet, mindestens für die Laufzeit des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung

1. Der Auftragnehmer verarbeitet die Daten ausschließlich, um den Dienst nach dem Hauptvertrag zu erbringen, insbesondere um
   • Benutzerkonten, Rollen und Rechte des Teams des Auftraggebers zu verwalten,
   • Themen, Ideen, Notizen, Stilvorgaben und Artikel zu speichern und zu bearbeiten,
   • Texte und Bilder mit Hilfe von KI-Anbietern zu erzeugen und zu überarbeiten,
   • Artikel im Freigabe-Workflow zu prüfen, zu planen und auf den WordPress-Websites des Auftraggebers zu veröffentlichen,
   • E-Mail-Benachrichtigungen zu versenden und Aktionen im Protokoll festzuhalten.
2. Die Verarbeitung umfasst insbesondere das Erheben, Speichern, Ordnen, Verändern, Auslesen, Übermitteln an die in Anlage 2 genannten Unterauftragsverarbeiter und an die WordPress-Websites des Auftraggebers sowie das Löschen der Daten.

§ 3 Art der Daten und betroffene Personen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), zum Beispiel Gesundheitsdaten, und Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) sind für die Verarbeitung nicht vorgesehen. Der Auftraggeber gibt solche Daten nicht in den Dienst ein.

§ 4 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Weisungen sind der Hauptvertrag, dieser AV-Vertrag und die Einstellungen, die der Auftraggeber in der Anwendung vornimmt, zum Beispiel zu Freigaben, Automatisierungen und verbundenen Websites. Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 5 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Sie verarbeiten die Daten ausschließlich nach den Weisungen des Auftraggebers.

§ 6 Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen beschreibt Anlage 1.
2. Der Auftragnehmer darf die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die beim Abschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 2.
2. Der Auftragnehmer informiert den Auftraggeber vorab über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Die Information erfolgt per E-Mail an die Inhaber des Kontos und durch Aktualisierung der Seite Unterauftragsverarbeiter, in der Regel mindestens vier Wochen vor der Änderung. Der Auftraggeber kann der Änderung innerhalb von vier Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber die betroffenen Leistungen oder den Hauptvertrag kündigen.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die dieser AV-Vertrag festlegt, insbesondere auf geeignete technische und organisatorische Maßnahmen.
4. Hinterlegt der Auftraggeber im Plan Pro eigene KI-Schlüssel, verarbeitet der jeweilige KI-Anbieter die Daten auf Grundlage des Vertrags, den der Auftraggeber selbst mit ihm geschlossen hat. Dieser Anbieter ist dann kein Unterauftragsverarbeiter des Auftragnehmers.

§ 8 Übermittlung in Drittländer

1. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
2. Für die KI-Funktionen setzt der Auftragnehmer OpenAI ein. Vertragspartner des Auftragnehmers ist die OpenAI Ireland Ltd., Dublin, Irland; das Data Processing Addendum von OpenAI ist Bestandteil des OpenAI Services Agreement, das der Auftragnehmer für die API-Nutzung abgeschlossen hat. Die Anfragen gehen an die allgemeine API von OpenAI ohne Festlegung einer Datenregion. OpenAI kann die Daten deshalb auch außerhalb des Europäischen Wirtschaftsraums verarbeiten, insbesondere in den USA. Übermittelt OpenAI Ireland Ltd. Daten an verbundene Unternehmen oder Dritte außerhalb des Europäischen Wirtschaftsraums, geschieht dies nach dem Addendum auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder eines Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO).

§ 9 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 23 DSGVO) zu beantworten. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
2. Der Auftragnehmer unterstützt den Auftraggeber außerdem bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit ihm die dafür nötigen Informationen vorliegen.

§ 10 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Auftragnehmer ergreift unverzüglich Maßnahmen, um die Folgen zu begrenzen.

§ 11 Löschung und Rückgabe

1. Auf Anfrage stellt der Auftragnehmer dem Auftraggeber einen Export seiner Daten bereit.
2. Nach Ende der Leistungen löscht der Auftragnehmer die Daten des Auftraggebers 30 Tage nach Vertragsende, sofern nicht eine Pflicht zur Speicherung nach dem Recht der Europäischen Union oder eines Mitgliedstaats besteht. Auf Wunsch bestätigt er die Löschung in Textform.

§ 12 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.
2. Er ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Auftraggeber oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist. Inspektionen sind mit angemessener Frist anzukündigen und finden zu den üblichen Geschäftszeiten statt, ohne den Betrieb unnötig zu stören.

§ 13 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten in den Dienst eingeben und durch KI-Anbieter verarbeiten lassen darf.
2. Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.

§ 14 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem AV-Vertrag und dem Hauptvertrag geht dieser AV-Vertrag in Fragen des Datenschutzes vor.
3. Änderungen und Ergänzungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.
4. Ist eine Bestimmung unwirksam, bleiben die übrigen Bestimmungen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen gelten (Stand 23. Oktober 2026):

• Standort: Anwendung und Datenbank laufen auf vom Auftragnehmer selbst betriebenen Servern in einem Rechenzentrum der STRATO GmbH in Deutschland. Zutritt und physische Sicherheit des Rechenzentrums verantwortet STRATO.
• Transportverschlüsselung: Die Anwendung ist nur über HTTPS (TLS) erreichbar. Verbindungen zu WordPress-Websites, zu KI-Anbietern und zum Mailserver laufen verschlüsselt.
• Passwörter: werden nur als Hash mit dem Verfahren Argon2 gespeichert.
• Verschlüsselte Zugangsdaten: WordPress-Zugangsdaten werden mit AES-256 verschlüsselt gespeichert. Eigene KI-Schlüssel (Plan Pro) werden verschlüsselt gespeichert; in der Oberfläche sind nur die letzten 4 Zeichen sichtbar.
• Anmeldung: Passwort mit mindestens 10 Zeichen, Passkey oder Anmeldecode per E-Mail. Die Option „angemeldet bleiben“ gilt höchstens 30 Tage.
• Kontrolle der Anmeldungen: Die Anwendung zeigt eine Liste der angemeldeten Geräte und den Anmeldeverlauf.
• Trennung der Kundendaten: Die Daten jedes Kunden sind auf Ebene der Datenbank voneinander getrennt (Row Level Security).
• Zugriffskontrolle: sechs Systemrollen (Inhaber, Administrator, Redaktion, Autor, Prüfer, Nur lesen), eigene Rollen mit einer Rechte-Matrix je Bereich und individuelle Rechte je Person.
• Freigabe vor Veröffentlichung: Artikel durchlaufen die Status Entwurf, In Prüfung, Freigegeben, Geplant und Veröffentlicht. Geplant oder automatisch veröffentlicht wird erst nach der Freigabe durch eine berechtigte Person.
• Protokoll: Aktionen im Konto werden in einem Protokoll festgehalten.
• Datensparsamkeit bei der KI: Texte gehen nur für die jeweilige Aktion an den KI-Anbieter, und die Anwendung bittet OpenAI, die Antworten nicht zu speichern (Parameter „store: false“). OpenAI erklärt, dass Daten, die über die API gesendet werden, nicht zum Training der Modelle verwendet werden; Protokolle zur Missbrauchsüberwachung speichert OpenAI standardmäßig bis zu 30 Tage, sofern das Gesetz keine längere Speicherung verlangt.
• WordPress-Verbindung: nur zu Websites mit HTTPS, über ein Anwendungspasswort, das der Auftraggeber in WordPress jederzeit widerrufen kann. Empfohlen ist ein Benutzer mit der Rolle Redakteur statt Administrator.
• Schutz vor Missbrauch: Anfragen an die Anwendung, insbesondere Anmeldeversuche, sind begrenzt (Rate Limits).
• Datensicherung: Vor jeder Aktualisierung der Anwendung wird die Datenbank gesichert; schlägt eine Aktualisierung fehl, wird die vorherige Version wiederhergestellt.
• Löschung: Nach Vertragsende werden die Daten nach § 11 gelöscht. Wird eine Website getrennt, werden ihre Zugangsdaten nicht mehr verwendet.
• Datenexport: auf Anfrage.
• Überprüfung: Der Auftragnehmer prüft die Maßnahmen bei jeder wesentlichen Änderung der Anwendung, mindestens einmal im Jahr, und passt sie an.
• Zwei-Faktor-Anmeldung mit Authenticator-App: Solange sie in der Anwendung als noch nicht verfügbar angezeigt wird, empfiehlt der Auftragnehmer die Anmeldung per Passkey.

Anlage 2: Unterauftragsverarbeiter

Die aktuelle Liste mit Zweck, Sitz und Grundlage finden Sie auf der Seite Unterauftragsverarbeiter. Sie ist Bestandteil dieses AV-Vertrags.

Fragen zum AV-Vertrag

Bei Fragen zum AV-Vertrag oder zum Datenschutz erreichen Sie uns per E-Mail an info@blog-automation.com, telefonisch unter 069 34 87 77 44 oder über das Kontaktformular. Einen Überblick über Hosting und Datenfluss gibt die Seite DSGVO & Sicherheit.