Auftragsverarbeitungsvertrag (AVV)

Version: Oktober 2026

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen dem Kunden, der die capty-Plattform nutzt (nachfolgend „Verantwortlicher"), und

Frömmgen/Wintjens GbR
KWL Büro 0.05, Lothringer Str. 38
44805 Bochum, Deutschland
E-Mail: hello@capty.ai
(nachfolgend „Auftragsverarbeiter" oder „capty")

Verantwortlicher und Auftragsverarbeiter werden nachfolgend gemeinsam als „Parteien" bezeichnet.

Dieser AVV ergänzt den zwischen den Parteien bestehenden Hauptvertrag (Nutzungsvertrag / AGB, nachfolgend „Hauptvertrag") und regelt die Verarbeitung personenbezogener Daten durch capty im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

Art. 1 – Gegenstand und Laufzeit

1.1 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch capty im Rahmen der Bereitstellung der SaaS-Plattform capty.ai gemäß den im Hauptvertrag vereinbarten Leistungen.

1.2 Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags.

Art. 2 – Art, Zweck und Umfang der Verarbeitung

2.1 capty verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen und auf Weisung des Verantwortlichen.

2.2 Die Verarbeitung umfasst insbesondere:

• Speicherung und Verarbeitung von durch den Verantwortlichen hochgeladenen Medieninhalten
• KI-gestützte Analyse und Textgenerierung auf Basis hochgeladener Inhalte
• Verwaltung von Nutzerdaten, Zugriffsrechten und Workspace-Einstellungen im Rahmen der Plattform
• Übermittlung von Inhalten an verbundene Social-Media-Plattformen gemäß Weisung des Verantwortlichen

Art. 3 – Kategorien personenbezogener Daten und betroffene Personen

3.1 Kategorien personenbezogener Daten (soweit durch den Verantwortlichen eingebracht):

• Kontaktdaten (Name, E-Mail-Adresse, Unternehmensangaben)
• Medieninhalte, die personenbezogene Daten enthalten können (Bilder, Videos, Texte)
• Nutzungs- und Zugangsdaten (Rollen, Zeitstempel)

3.2 Kategorien betroffener Personen (soweit durch den Verantwortlichen eingebracht):

• Mitarbeiter und Nutzer des Verantwortlichen
• Kunden und Kontakte des Verantwortlichen, die in hochgeladenen Inhalten erscheinen können

Art. 4 – Weisungsbefugnis

4.1 capty verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der in diesem AVV und im Hauptvertrag festgelegten Weisungen.

4.2 Weist capty darauf hin, dass eine Weisung nach seiner Auffassung gegen die DSGVO oder andere datenschutzrechtliche Bestimmungen verstößt, ist capty berechtigt, die Ausführung der Weisung bis zur Klärung auszusetzen.

Art. 5 – Pflichten des Auftragsverarbeiters

capty verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten;
• sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind;
• alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe Anlage 2);
• die in Art. 28 Abs. 2 und 3 DSGVO genannten Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter einzuhalten (siehe Art. 6);
• den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Art. 32–36 DSGVO zu unterstützen;
• nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Verarbeitung zu löschen oder zurückzugeben (Art. 9);
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Artikels bereitzustellen und Überprüfungen zu ermöglichen.

Art. 6 – Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuell eingesetzten Unterauftragsverarbeiter sind in Anlage 1 aufgeführt.

6.2 capty informiert den Verantwortlichen über beabsichtigte Änderungen bei Unterauftragsverarbeitern (Hinzufügen oder Ersetzen) mit einer Vorankündigungsfrist von mindestens 14 Tagen per E-Mail. Der Verantwortliche kann eine beabsichtigte Änderung aus sachlichen Gründen innerhalb dieser Frist schriftlich ablehnen.

6.3 capty stellt sicher, dass Unterauftragsverarbeiter denselben datenschutzrechtlichen Pflichten unterliegen, die in diesem AVV festgelegt sind.

6.4 Weiterkette beim Dienstleister für TikTok und LinkedIn. Mit dem in Anlage 1 genannten Dienstleister BUNDLE SP. Z O.O. (bundle.social) besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Fassung v1.1 vom 21. September 2026), der capty als Auftraggeber ausweist. Der Dienstleister setzt seinerseits eigene Unterauftragsverarbeiter ein; diese sind in Anlage 1a namentlich aufgeführt. Er verpflichtet sich darin, Änderungen an diesem Kreis mit einer Frist von mindestens 14 Tagen anzukündigen; capty reicht solche Ankündigungen nach Ziffer 6.2 an den Verantwortlichen weiter.

Art. 7 – Internationale Datenübermittlungen

7.1 Soweit im Rahmen der Leistungserbringung personenbezogene Daten in Länder außerhalb der EU/des EWR übermittelt werden oder Zugriffe aus solchen Ländern nicht ausgeschlossen werden können, gelten die in Anlage 1 aufgeführten Garantien.

7.2 capty stellt sicher, dass für solche Übermittlungen geeignete Schutzmaßnahmen gemäß Kapitel V DSGVO vorhanden sind (z. B. Standardvertragsklauseln, angemessener Schutzniveaubeschluss).

Art. 8 – Technische und organisatorische Maßnahmen

capty trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen können weiterentwickelt und angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

Art. 9 – Datenlöschung und -rückgabe

9.1 Nach Beendigung des Hauptvertrags löscht capty alle personenbezogenen Daten des Verantwortlichen nach Ablauf der in den AGB festgelegten 30-tägigen Exportfrist, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9.2 Auf schriftliche Anforderung des Verantwortlichen stellt capty einen Datenexport in einem maschinenlesbaren Format bereit, soweit dies technisch möglich ist.

Art. 10 – Unterstützung und Audit

10.1 capty unterstützt den Verantwortlichen im zumutbaren Umfang bei der Beantwortung von Anfragen betroffener Personen sowie bei der Erfüllung der in Art. 32–36 DSGVO genannten Pflichten.

10.2 Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV durch capty zu überprüfen. Prüfungen werden mit angemessener Vorankündigung (mindestens 14 Tage) und während der üblichen Geschäftszeiten durchgeführt. capty kann alternativ Nachweise durch Vorlage von Zertifizierungen, Berichten oder gleichwertigen Dokumenten erbringen.

Art. 11 – Vertraulichkeit und Haftung

11.1 Für die Haftung der Parteien im Rahmen dieses AVV gelten die Regelungen des Hauptvertrags sowie die gesetzlichen Vorschriften der DSGVO (insbesondere Art. 82 DSGVO).

11.2 Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist Bochum, Deutschland.

Anlage 1: Aktuelle Unterauftragsverarbeiter

Unterauftragsverarbeiter	Zweck	Sitz / Übermittlungsgarantie
Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen	Speicherung der von Kunden hochgeladenen Mediendateien (Bilder und Videos) auf einem von capty betriebenen Server. Hetzner stellt ausschließlich die Infrastruktur bereit und nimmt keine inhaltliche Kenntnis. Status: AVV nach Art. 28 DSGVO liegt vor (Fassung 1.2 vom 16.02.2026, geschlossen am 12.10.2026).	Deutschland (Rechenzentrum Nürnberg). Keine Drittlandübermittlung: Nach § 3 des AVV findet die Verarbeitung ausschließlich in der EU bzw. im EWR statt; bei einem Serverstandort in der EU verarbeitet der Anbieter die Serverdaten ausschließlich innerhalb der EU, und auch der Support erfolgt innerhalb der EU. Die in Anlage 3 des Hetzner-AVV genehmigten Subunternehmer betreffen ausschließlich die Standorte Finnland, USA und Singapur und kommen für unseren Standort nicht zum Tragen. Zertifizierungen des Anbieters: ISO 27001, BSI C5 Typ 2 Testat, § 8a BSI-KritisV.
Hostinger International Ltd.	Hosting der Website sowie Infrastruktur für Konto-, Beitrags- und Textdaten. Hochgeladene Mediendateien werden hier nicht gespeichert.	EU (Litauen)
Anthropic Ireland, Limited	KI-gestützte Verarbeitung hochgeladener Inhalte und Textgenerierung; keine Nutzung der Inhalte zum Modelltraining	EU (Irland), Verarbeitung ggf. USA – Standardvertragsklauseln gem. Kap. V DSGVO
Google Ireland Limited	KI-gestützte Analyse hochgeladener Videoinhalte (Gemini API); keine Nutzung der Inhalte zur Produktverbesserung oder zum Modelltraining	EU (Irland), Verarbeitung ggf. Drittland – Standardvertragsklauseln gem. Kap. V DSGVO
Brevo SAS	Versand von Transaktions- und Produkt-E-Mails	EU (Frankreich)
BUNDLE SP. Z O.O. (bundle.social) UL. Hoża 86/410, 00-682 Warschau, Polen · KRS 0001103308	Nur TikTok und LinkedIn: Herstellung der Kontoverbindung (OAuth), Veröffentlichung von Beiträgen und Abruf der zugehörigen Statistiken; Speicherung der Zugangs-Token der verbundenen Konten. Instagram und Facebook laufen über die eigene Meta-Anbindung und nicht über diesen Dienstleister. Beitragsinhalte, Beitragsdaten, Statistiken und hochgeladene Medien werden für Veröffentlichung, Planung, Beitragshistorie, Auswertung, Fehlersuche und Support gespeichert; Protokolle und Backups 7 Tage; nach Vertragsende wird die Organisation nach 30 Tagen zur Löschung freigegeben. Der Anbieter verwendet Kundeninhalte und OAuth-Daten nicht zum Training von KI-Modellen Dritter. Status: AVV nach Art. 28 DSGVO liegt vor (v1.1 vom 21.09.2026).	Polen (EU) als Vertragspartner. Produktivinfrastruktur in Deutschland (Hetzner, Frankfurt); administrativer Zugriff auf Personal in Polen beschränkt. Medien werden über die globale Infrastruktur von Cloudflare ausgeliefert. Weitere Unterauftragsverarbeiter mit Sitz außerhalb des EWR siehe Anlage 1a; Übermittlungen dorthin sind auf Standardvertragsklauseln gestützt.
Social-Media-Plattformen (Meta, LinkedIn, TikTok)	Übermittlung und Veröffentlichung von Inhalten ausschließlich auf Weisung des Verantwortlichen; die Plattformen handeln insoweit als eigenständig Verantwortliche	EU / USA – siehe Datenschutzerklärung
Paddle.com Market Limited	Zahlungsabwicklung und Rechnungsstellung (Merchant of Record, eigenständig Verantwortlicher)	Vereinigtes Königreich – Angemessenheitsbeschluss der EU-Kommission

Anlage 1a: Unterauftragsverarbeiter des Dienstleisters bundle.social

Die Anbindung von TikTok und LinkedIn erfolgt über BUNDLE SP. Z O.O. (bundle.social). Dieser Dienstleister setzt seinerseits die folgenden Unterauftragsverarbeiter ein. Die Angaben stammen aus dem mit capty geschlossenen Auftragsverarbeitungsvertrag (v1.1 vom 21. September 2026) und betreffen ausschließlich Verarbeitungen im Zusammenhang mit TikTok und LinkedIn.

Die Social-Media-Plattformen selbst (Meta, TikTok, LinkedIn und weitere) gelten nach dem Vertrag nicht als Unterauftragsverarbeiter von bundle.social: Sie erhalten Daten auf Weisung des Kunden und verarbeiten sie nach ihren eigenen Bedingungen.

Anlage 2: Technische und organisatorische Maßnahmen (TOM)

capty trifft zum Zeitpunkt der Verarbeitung mindestens folgende Maßnahmen:

• Verschlüsselung bei der Übertragung: Alle Datenübertragungen zwischen Nutzer und Plattform erfolgen über TLS/HTTPS.
• Zugriffskontrolle: Zugang zur Plattform und zu administrativen Systemen ist durch Authentifizierung gesichert. Interne Zugriffsrechte sind auf das erforderliche Minimum beschränkt.
• Mandantentrennung: Kundendaten und Workspaces sind voneinander isoliert und können nicht zwischen Konten geteilt werden.
• Rechenzentrumssicherheit (Mediendateien): Die von Kunden hochgeladenen Mediendateien liegen auf einem von capty betriebenen Server im Rechenzentrum Nürnberg der Hetzner Online GmbH. Hetzner stellt dort die physische und infrastrukturelle Sicherheit: elektronisches Zutrittskontrollsystem mit Protokollierung, flächendeckende Videoüberwachung, Hochsicherheitszaun um den Rechenzentrumspark, unterbrechungsfreie Stromversorgung über redundante USV und Netzersatzanlagen, redundante Kühlung, Brandfrüherkennung mit Leitstellenanbindung, redundante Netzanbindung mit dauerhaft aktiver DDoS-Erkennung sowie ein definiertes Verfahren zur Löschung und erforderlichenfalls physischen Zerstörung von Datenträgern nach Vertragsende. Der Anbieter ist nach ISO 27001 zertifiziert und verfügt über ein BSI C5 Typ 2 Testat. Die technischen und organisatorischen Maßnahmen der Rechenzentren werden jährlich extern geprüft; die Prüfung durch die TÜV Rheinland i-sec GmbH (Bericht Nr. 63017991-01 vom 19. Februar 2026) schließt den Standort Nürnberg ein und stellte keine Abweichungen fest.
• Betriebsverantwortung für den Medienserver: Bei einem dedizierten bzw. Cloud-Server liegt die Verantwortung für Verwaltung, Wartung und Sicherheit der Serverinfrastruktur nach dem Auftragsverarbeitungsvertrag mit Hetzner beim Auftraggeber, also bei capty. Das betrifft insbesondere Sicherheitsupdates, Berechtigungskonzept, Firewall-Konfiguration, Protokollierung sowie Backup und Wiederherstellung. Hetzner nimmt auf diesem Server keine administrativen Zugriffe vor.
• Verfügbarkeit und Backup: Konto-, Beitrags- und Textdaten werden auf der Infrastruktur bei Hostinger betrieben; dort werden vom Hosting-Anbieter täglich Sicherungen erstellt. Eine vertraglich zugesicherte Wiederherstellungszeit besteht nicht; die Wiederherstellung richtet sich nach den Möglichkeiten des Hosting-Anbieters. Für die Mediendateien verantwortet capty das Backup- und Recovery-Konzept selbst. Ältere Versionen hochgeladener Medien werden dazu im Hetzner Object Storage in Deutschland (Region NBG1) bis zu 30 Tage vorgehalten, um versehentliches Löschen oder Überschreiben rückgängig machen zu können. Diese Versionen werden im normalen Plattformbetrieb nicht verwendet und nach Fristablauf automatisch gelöscht; wird eine Version wiederhergestellt, werden weiterhin geltende Löschanfragen erneut angewendet. Der Object Storage liegt am selben Standort und unter demselben Auftragsverarbeitungsvertrag wie der Medienserver; der Anbieter hält die Daten dort innerhalb des Clustersystems redundant.
• Löschung: Nach Beendigung des Vertrags und Ablauf der in den AGB vorgesehenen Exportfrist werden die Daten gelöscht. Bei einer gekündigten Testphase erfolgt die Löschung unmittelbar mit deren Ablauf (Ziffer 6.4 der AGB).
• Protokollierung: Systemprotokolle werden täglich erstellt und rollierend überschrieben.
• Schwachstellenmanagement: Sicherheitsrelevante Updates werden bedarfsorientiert durch den technischen Geschäftsführer (CTO) von capty eingespielt.
• Sicherheitsvorfälle: Verantwortlich für die Bearbeitung von Sicherheitsvorfällen ist der technische Geschäftsführer (CTO) von capty. Vorfälle werden über ein internes Meldeformular erfasst. capty unterrichtet den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, damit dieser seiner Meldepflicht nach Art. 33 Abs. 1 DSGVO innerhalb von 72 Stunden nachkommen kann, und stellt die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen bereit.
• Vertraulichkeit der Mitarbeiter: Personen mit Zugang zu personenbezogenen Daten sind zur Vertraulichkeit verpflichtet.

Diese Maßnahmen werden regelmäßig überprüft und bei Bedarf angepasst. Weitergehende Zertifizierungen (z. B. ISO 27001, SOC 2) sind derzeit nicht vorhanden.