Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
Stand: 6. Oktober 2026

zwischen der Agentur, die Cloutflow nutzt („Auftraggeber“, Verantwortlicher), und der NAMISOLUTIONS LLC, 30 N Gould St Ste N, Sheridan, WY 82801, USA, vertreten durch Michael Reyzis („Auftragnehmer“, Auftragsverarbeiter). Der Vertrag kommt mit der Zustimmung bei der Anmeldung oder in der App zustande und ist Bestandteil der AGB.

1. Gegenstand und Dauer

Der Auftragnehmer betreibt für den Auftraggeber die Software Cloutflow nach den AGB. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Der Vertrag gilt, solange der Auftraggeber Cloutflow nutzt, und darüber hinaus, bis die Daten nach Ziffer 12 gelöscht sind.

2. Art und Zweck der Verarbeitung

Erheben über die Schnittstellen von Maloum, Speichern, Ordnen, Anzeigen, Auswerten, Übermitteln an Maloum auf Veranlassung des Teams des Auftraggebers, Zuteilen von Chats an Inboxen, Sichern und Löschen. Zweck ist, dem Team des Auftraggebers die Bearbeitung der Chats seiner Creator auf Maloum zu ermöglichen, einschließlich Skripten, Planung, Auswertungen und Rechteverwaltung.

3. Art der Daten

• Daten von Fans: Benutzername, Spitzname, Maloum-Kennung, Nachrichten, die über Cloutflow gesendet wurden (mit Wortlaut), Käufe, Trinkgelder, Umsätze, Zeitpunkte.
• Daten von Creatorn: Name, Maloum-Kennung, Zugang zum Maloum-Konto (verschlüsselt).
• Daten des Teams: Name, E-Mail-Adresse, Rolle, Rechte, Freigaben, Leistungszahlen, Zeitpunkt der letzten Nutzung, Name des Absenders gesendeter Nachrichten.

Chats auf Maloum können Angaben zum Sexualleben und damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten. Der Auftraggeber stellt sicher, dass er für deren Verarbeitung eine Rechtsgrundlage hat.

4. Betroffene Personen

Fans und andere Nutzer von Maloum, die mit Creatorn des Auftraggebers schreiben, die Creator selbst sowie die Mitarbeiter und Beauftragten des Auftraggebers.

5. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei einer Übermittlung in ein Drittland, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. Dann teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Gesetz das nicht verbietet. Weisungen sind dieser Vertrag, die AGB und die Bedienung von Cloutflow durch den Auftraggeber und sein Team. Weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit.

6. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

8. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Darüber hinaus erteilt er eine allgemeine Genehmigung für weitere Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vor jeder Änderung in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Auftraggeber den Vertrag kündigen. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag.

Maloum ist kein Unterauftragsverarbeiter. Die Übermittlung an Maloum erfolgt, weil der Auftraggeber dort die Konten seiner Creator führt.

9. Ort der Verarbeitung und Drittländer

Die Daten werden auf Servern in Deutschland gespeichert, E-Mails werden über einen Dienstleister in Frankreich versendet. Der Auftragnehmer hat seinen Sitz in den USA. Soweit die Verarbeitung durch den Auftragnehmer als Übermittlung in ein Drittland gilt, vereinbaren die Parteien die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914, Modul 2 (Verantwortlicher an Auftragsverarbeiter). Sie werden mit diesem Vertrag einbezogen. Dabei gilt Option 2 in Klausel 9 mit der Frist aus Ziffer 8, Klausel 11 ohne die Option, Klausel 17 mit dem Recht der Bundesrepublik Deutschland und Klausel 18 mit den Gerichten in Deutschland. Die Angaben für die Anhänge der Klauseln ergeben sich aus diesem Vertrag und seinen Anlagen.

10. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO), etwa durch Auskunft, Export und Löschung von Daten. Er unterstützt ihn außerdem bei den Pflichten aus Art. 32 bis 36 DSGVO, also bei Sicherheit, Meldungen von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter.

11. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden, nachdem er sie bemerkt hat. Die Meldung geht an die E-Mail-Adresse eines Admins der Agentur. Sie enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

12. Löschung und Rückgabe

Nach Ende der Nutzung löscht der Auftragnehmer alle Daten des Auftraggebers innerhalb von 30 Tagen, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht. Vorher stellt er sie dem Auftraggeber auf Anfrage in einem gängigen maschinenlesbaren Format zur Verfügung. Sicherungskopien werden nach Ablauf ihrer Frist gelöscht, spätestens nach 14 Tagen. Während der Nutzung gelten die Fristen aus der Datenschutzerklärung, zum Beispiel 100 Tage für den Wortlaut gesendeter Nachrichten.

13. Nachweise und Überprüfungen

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Er ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen werden mindestens 14 Tage vorher angekündigt, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Die Kosten trägt der Auftraggeber. Für das Rechenzentrum genügen die Prüfberichte des Hostinganbieters.

14. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die AGB. In Fragen des Datenschutzes geht dieser Vertrag den AGB vor. Erklärungen können in Textform abgegeben werden. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Technische und organisatorische Maßnahmen

• Rechenzentrum: Hetzner Online GmbH, Rechenzentrum Nürnberg. Zutritt, Strom, Klima und Brandschutz regelt Hetzner. Die Maßnahmen von Hetzner werden nach dessen Angaben jährlich durch einen externen Prüfer kontrolliert.
• Zugang zum Server: Die Verwaltung erfolgt nur durch den Auftragnehmer. Die Anmeldung als Administrator ist nur mit SSH-Schlüssel möglich. Die Anwendung läuft unter einem eigenen Benutzer und ist nur über HTTPS erreichbar. Ihr Dienst selbst lauscht nur auf der Maschine.
• Zugang zur Anwendung: Anmeldung mit E-Mail und Passwort. Passwörter werden nur als scrypt-Prüfsumme gespeichert, Sitzungen nur als Prüfsumme. Wiederholte Fehlversuche werden gebremst. Neue Konten müssen ihre E-Mail-Adresse bestätigen, bevor sie Mitglieder einladen.
• Zugriffskontrolle: Rollen und einzelne Rechte je Mitglied, Freigaben je Model. Jede Agentur ist ein eigener Mandant mit eigenem Datenordner. Welche Agentur angefragt wird, ergibt sich allein aus der Anmeldung.
• Verschlüsselung: Alle Verbindungen laufen über TLS (HTTPS mit HSTS). Maloum-Zugänge werden mit AES-256-GCM verschlüsselt gespeichert, der Schlüssel liegt getrennt davon. E-Mails werden nur über verschlüsselte Verbindungen versendet.
• Protokollierung: Anmeldungen und wichtige Änderungen, etwa an Rechten, Inboxen und Verschiebungen, werden protokolliert. Zugangsdaten werden aus den Protokollen herausgefiltert. Protokolle werden höchstens 30 Tage aufbewahrt.
• Verfügbarkeit: Tägliche Sicherungen mit 14 Tagen Aufbewahrung. Dateien werden atomar geschrieben, damit ein Absturz keine halben Stände hinterlässt. Der Dienst startet nach einem Fehler selbst neu.
• Datenminimierung: Fans werden über ihre Maloum-Kennung und ihren Benutzernamen geführt. Es gibt keine Analyse-, Werbe- oder Tracking-Werkzeuge.
• Prüfung: Jede neue Fassung durchläuft vor der Auslieferung automatische Prüfungen. Mac-Pakete werden bei Apple beglaubigt.

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting des Servers im Rechenzentrum Nürnberg. Betroffen sind alle in Ziffer 3 genannten Daten.
• Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich: Versand von E-Mails zur Bestätigung, für Einladungen und zum Zurücksetzen von Passwörtern. Betroffen sind Name und E-Mail-Adresse von Teammitgliedern.