Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Kunden, der Elevion nutzt („Kunde“, der Verantwortliche), und Pelle Krukow, handelnd unter FrostChanger, Ballindamm 3, 20095 Hamburg, Deutschland („Elevion“, „wir“, der Auftragsverarbeiter).

Der AVV ist Teil unserer AGB und gilt automatisch für jeden Workspace des Kunden, sobald der Kunde die AGB akzeptiert. Workspace-Inhaber können ihn zusätzlich in den Einstellungen ausdrücklich annehmen. Wir speichern dann, wer welche Version wann angenommen hat. Widersprechen sich dieser AVV und die AGB in Fragen des Datenschutzes, geht dieser AVV vor.

1. Gegenstand und Dauer

Elevion verarbeitet personenbezogene Daten im Auftrag des Kunden, um den in den AGB beschriebenen Dienst zu erbringen: Antworten auf Kommentare und Nachrichten an den verbundenen Instagram-Accounts des Kunden, das Senden von DMs und Sprachnachrichten, der Posteingang, das Erfassen von Leads sowie die zugehörigen Statistik-, KI- und Integrationsfunktionen. Der AVV gilt, solange wir personenbezogene Daten für den Kunden verarbeiten, also bis die Daten des Kunden nach Vertragsende gelöscht sind (Abschnitt 12).

2. Art und Zweck der Verarbeitung

Erheben, Speichern, Ordnen, Auslesen, Übermitteln, Transkribieren, Übersetzen und Löschen personenbezogener Daten, ausschließlich um dem Kunden den Dienst so bereitzustellen, wie er ihn eingerichtet hat. Wir verarbeiten die Daten nicht für eigene Zwecke, verkaufen sie nicht und nutzen sie nicht zum Training von KI-Modellen.

3. Art der Daten und Kategorien betroffener Personen

Betroffene Personen

• Menschen auf Instagram, die einen verbundenen Account kommentieren, auf eine Story antworten, ihn erwähnen oder ihm eine DM schicken.
• Leads, also Menschen, die dem Kunden über eine Kampagne ihre E-Mail-Adresse oder Telefonnummer geben.
• Teammitglieder des Kunden, soweit ihre Daten Teil des Workspaces sind (zum Beispiel wer eine Nachricht gesendet hat, Notizen und Zuweisungen).

Arten personenbezogener Daten

• Instagram-ID, Nutzername, Profilbild und, wenn eine Kampagne das prüft, ob die Person dem verbundenen Account folgt.
• Kommentartexte, DMs, Story-Antworten und Erwähnungen sowie die gesendeten Antworten.
• Fotos, Videos, Dateien und Sprachnachrichten, die Menschen schicken, und Textabschriften von Sprachnachrichten.
• E-Mail-Adresse oder Telefonnummer von Leads, beim Erfassen einer E-Mail-Adresse zusammen mit dem Einwilligungsnachweis (Zeitpunkt, Wortlaut der gezeigten Frage, Kampagne).
• Zustellstatus von Antworten und DMs, Link-Klicks, Abmeldungen (STOP), die Sprache eines Gesprächs, Gewinnspiel-Teilnahmen, Notizen und Zuweisungen.

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) gedacht. Der Kunde sollte in Kampagnen nicht nach solchen Daten fragen.

4. Weisungen

Wir verarbeiten die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden, es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet uns zu einer anderen Verarbeitung. In diesem Fall teilen wir dem Kunden das vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet. Die Weisungen des Kunden ergeben sich aus den AGB und diesem AVV und werden über die Einstellungen und Kampagnen im Dienst erteilt. Weitere Weisungen kann der Kunde per E-Mail an privacy@elevion.cc erteilen. Halten wir eine Weisung für datenschutzwidrig, teilen wir das dem Kunden unverzüglich mit und können ihre Ausführung aussetzen, bis sie bestätigt oder geändert wird.

5. Vertraulichkeit

Alle, die bei Elevion Zugriff auf personenbezogene Daten des Kunden haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht und greifen auf die Daten nur zu, soweit es nötig ist, um den Dienst zu erbringen, Supportanfragen des Kunden zu bearbeiten oder Fehler zu beheben.

6. Sicherheit der Verarbeitung

Wir treffen die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Kunde erteilt uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die Unterauftragsverarbeiter in Anlage 2 gelten als genehmigt. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die mindestens dasselbe Schutzniveau wie dieser AVV bieten, und bleiben dem Kunden gegenüber für ihre Arbeit verantwortlich.

Bevor wir einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, informieren wir den Kunden mindestens 30 Tage vorher per E-Mail an den Workspace-Inhaber und durch Aktualisierung von Anlage 2. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können wir den Widerspruch nicht ausräumen, kann der Kunde das betroffene Abo zu dem Zeitpunkt kündigen, zu dem die Änderung wirksam wird. Im Voraus gezahlte Entgelte für die Zeit danach erstatten wir.

Keine Unterauftragsverarbeiter im Sinne dieses AVV sind: Meta, das Instagram betreibt und die Daten als eigener Verantwortlicher verarbeitet; Dienste, die der Kunde selbst verbindet, etwa Kit, Mailchimp, Shopify, Webhooks oder Tools über unsere API, die auf Weisung des Kunden handeln; sowie die Push-Dienste der Browser-Hersteller, die nur Ende-zu-Ende verschlüsselte Benachrichtigungen transportieren.

8. Übermittlungen außerhalb der EU

Personenbezogene Daten übermitteln wir in ein Land außerhalb der EU oder des EWR nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind, insbesondere ein Angemessenheitsbeschluss wie der EU-US-Datenschutzrahmen für zertifizierte Empfänger oder die Standardvertragsklauseln der EU-Kommission. Anlage 2 nennt die Grundlage für jeden Unterauftragsverarbeiter.

9. Anfragen betroffener Personen

Die meisten Anfragen kann der Kunde selbst im Dashboard erledigen: In jedem Tarif kann er alles, was Elevion zu einem Kontakt speichert (Nachrichten, Lead-Angaben, Kommentar-Antworten, Link-Klicks, Notizen), exportieren und löschen. Eine Nachricht, die nur aus STOP, STOPP, unsubscribe, abmelden, baja oder darme de baja besteht, markiert die Person als abgemeldet, und Elevion schickt ihr danach nichts Automatisches mehr. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und beantworten sie nicht selbst, sofern der Kunde uns nicht dazu anweist. Darüber hinaus unterstützen wir den Kunden im zumutbaren Rahmen bei seinen Pflichten nach Art. 12 bis 22 DSGVO.

10. Weitere Unterstützung

Unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen unterstützen wir den Kunden bei seinen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde, zum Beispiel durch die Angaben in diesem AVV und die Beantwortung angemessener Fragen.

11. Verletzungen des Schutzes personenbezogener Daten

Wir informieren den Kunden unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die seine Daten betrifft, per E-Mail an den Workspace-Inhaber. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, die in Art. 33 Abs. 3 DSGVO genannten Angaben. Weitere Informationen reichen wir nach, sobald sie vorliegen. Wir ergreifen die nötigen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern.

12. Löschung und Rückgabe nach Vertragsende

Vor Vertragsende kann der Kunde seine Daten herunterladen: den Konto-Export im Dashboard unter Settings, Account und den Export einzelner Kontakte. Löscht der Kunde sein Konto, stoppen seine Kampagnen sofort, und nach einer Frist von 7 Tagen, in der er die Löschung noch abbrechen kann, löschen wir alle personenbezogenen Daten, die wir für ihn verarbeitet haben. Entfernt der Kunde einen Instagram-Account aus dem Workspace, werden die Daten dieses Accounts sofort gelöscht. Gelöschte Daten verschwinden aus unseren verschlüsselten Backups, sobald diese rotieren, spätestens nach 12 Monaten. Das gilt nicht, soweit wir nach dem Recht der Union oder eines Mitgliedstaats zur Speicherung verpflichtet sind.

13. Nachweise und Kontrollen

Wir stellen dem Kunden auf Anfrage per E-Mail alle Informationen zur Verfügung, die nötig sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von Elevion ist, kann Überprüfungen einschließlich Inspektionen durchführen. Sie sind mindestens 30 Tage vorher anzukündigen, finden zu üblichen Geschäftszeiten ohne Störung des Betriebs statt und sind auf einmal im Jahr begrenzt, es sei denn, es gab eine Datenschutzverletzung oder eine Aufsichtsbehörde verlangt sie. Der Kunde trägt seine eigenen Kosten und erstattet uns unseren angemessenen Aufwand für die Prüfung. Wo möglich, beantworten wir die Fragen zuerst schriftlich.

14. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, die er anweist, insbesondere dafür, eine Rechtsgrundlage für die Nachrichten zu haben, die er verschickt, und für die Daten, die er erhebt, die betroffenen Personen in seiner eigenen Datenschutzerklärung zu informieren, automatische Nachrichten zu kennzeichnen, wo das nötig ist, und für die Nutzung der Lead-Daten in Tools, die er verbindet. Werden E-Mail-Adressen in ein Newsletter-Tool übertragen, empfehlen wir das Double-Opt-in dieses Tools.

15. Haftung

Für die Haftung aus diesem AVV gilt die Haftungsregelung unserer AGB. Art. 82 DSGVO bleibt unberührt.

16. Schlussbestimmungen

• Für diesen AVV gilt das Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach den AGB.
• Wir können diesen AVV anpassen, wenn das Gesetz, eine Aufsichtsbehörde oder eine Änderung des Dienstes es erfordert. Wesentliche Änderungen kündigen wir mindestens 30 Tage vorher per E-Mail an. Für Unterauftragsverarbeiter gilt Abschnitt 7.
• Ist eine Bestimmung dieses AVV unwirksam, bleibt der Rest wirksam.
• Diesen AVV gibt es auf Deutsch, auf Englisch und auf Spanisch. Alle Fassungen haben denselben Inhalt.

Anlage 1: Technische und organisatorische Maßnahmen

Verschlüsselung

• Jede Verbindung zum Dienst läuft über HTTPS mit HTTP Strict Transport Security. Auch Cloudflare verbindet sich per TLS mit unserem Server.
• Instagram-Zugriffstoken, die Schlüssel verbundener Integrationen, Webhook-Geheimnisse und die API-Schlüssel der Dienste, die wir nutzen, werden mit AES-256-GCM verschlüsselt gespeichert. Der Schlüssel liegt außerhalb der Datenbank.
• Passwörter werden als Argon2id-Hash gespeichert, API-Schlüssel und Token von Anmeldesitzungen nur als SHA-256-Hash.
• Externe Backups werden verschlüsselt, bevor sie den Server verlassen.

Zugriffskontrolle

• Jede Anfrage wird gegen den Workspace geprüft, zu dem sie gehört. Ein Workspace sieht nur seine eigenen Daten.
• Rollen innerhalb eines Workspaces (Inhaber, Admin, Editor). Nur Inhaber und Admins können zum Beispiel Kontakte löschen oder Instagram-Accounts entfernen.
• Sitzungs-Cookies sind HttpOnly, Secure, SameSite=Lax und an unsere Domain gebunden. Nutzer können ihre Sitzungen sehen und beenden.
• Der interne Admin-Bereich ist auf benannte Administratorkonten beschränkt. Die Serververwaltung erfolgt mit SSH-Schlüsseln.
• Ratenbegrenzung bei der Anmeldung, der Kontolöschung und an anderen sensiblen Stellen.

Integrität und Übertragung

• Benachrichtigungen von Instagram und Zahlungsereignisse von Stripe werden nur mit gültiger Signatur angenommen. Webhooks, die wir an den Kunden senden, sind mit HMAC-SHA256 signiert.
• Eingaben werden auf dem Server geprüft. Webhook-Adressen müssen öffentliche HTTPS-Adressen sein, damit Anfragen nicht in unser eigenes Netz umgeleitet werden können.
• Sicherheits-Header auf allen Seiten, darunter eine Content Security Policy, X-Frame-Options und X-Content-Type-Options.
• Ein Sicherheitsprotokoll hält wichtige Aktionen in Konten fest, etwa das Verbinden oder Entfernen von Instagram-Accounts, API-Schlüssel, Team-Einladungen und Löschanfragen.

Verfügbarkeit und Wiederherstellung

• Hosting in Hetzner-Rechenzentren in Deutschland, hinter dem Angriffsschutz von Cloudflare.
• Nächtliche Datenbank-Backups, auf Vollständigkeit geprüft, 30 Tage auf dem Server. Verschlüsselte externe Kopien bei Hetzner, regelmäßig geprüft, behalten eine tägliche Kopie 14 Tage, eine wöchentliche 8 Wochen und eine monatliche 12 Monate.
• Fehlerüberwachung mit Sentry und Dienste, die sich bei einem Absturz selbst neu starten.

Datenminimierung und Löschung

• An unsere Analyse- und Werbe-Tools gehen keine Daten von Instagram. Unser Server prüft jedes Analyse-Ereignis darauf, bevor es gesendet wird.
• Fehlerberichte enthalten keine Request-Inhalte, Cookies, URL-Parameter und keine Header außer dem User-Agent.
• Automatische Löschung: Rohdaten der Benachrichtigungen von Instagram nach 14 Tagen, Medien aus Gesprächen nach 60 Tagen, erzeugtes Audio von Sprachnachrichten nach 7 Tagen, Betriebsprotokolle nach 12 Monaten.

Anlage 2: Unterauftragsverarbeiter

Stand: Version 2026-10-21.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
  Zweck: Server, Datenbank, Dateispeicher (Sprachnachrichten, Medien aus Gesprächen) und verschlüsselte Backups.
  Ort: Rechenzentren in Deutschland. Grundlage der Übermittlung: Keine, Verarbeitung in der EU.
  Auftragsverarbeitungsvertrag des Anbieters
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA
  Zweck: DNS, Auslieferung und Schutz vor Angriffen. Jede Anfrage an elevion.cc läuft durch das Netzwerk von Cloudflare.
  Ort: Weltweites Netzwerk, Unternehmen in den USA. Grundlage der Übermittlung: EU-US-Datenschutzrahmen und Standardvertragsklauseln.
  Auftragsverarbeitungsvertrag des Anbieters
• Anthropic, PBC, San Francisco, CA, USA
  Zweck: KI-Funktionen, nur wenn ein Workspace sie nutzt: der KI-DM-Assistent, das Entwerfen von Kampagnen, das Übersetzen von Kampagnen-Nachrichten und Erkennen der Sprache von Kommentaren sowie der optionale KI-Spamfilter für Kommentare.
  Ort: USA. Grundlage der Übermittlung: Standardvertragsklauseln.
  Auftragsverarbeitungsvertrag des Anbieters
• ElevenLabs, Inc., USA
  Zweck: Sprachausgabe für Sprachnachrichten sowie Transkription von Sprachnachrichten, die Menschen schicken, und von Aufnahmen, die der Kunde hochlädt.
  Ort: USA. Grundlage der Übermittlung: EU-US-Datenschutzrahmen und Standardvertragsklauseln.
  Auftragsverarbeitungsvertrag des Anbieters
• Resend (Plus Five Five, Inc.), USA
  Zweck: E-Mails an den Kunden und sein Team, etwa Einladungen, Benachrichtigungen und Wochenberichte, die Angaben aus dem Workspace enthalten können.
  Ort: USA. Grundlage der Übermittlung: EU-US-Datenschutzrahmen und Standardvertragsklauseln.
  Auftragsverarbeitungsvertrag des Anbieters
• Functional Software, Inc. (Sentry), San Francisco, CA, USA
  Zweck: Fehlerberichte, die vereinzelt Teile von Kundendaten enthalten können. Request-Inhalte, Cookies, URL-Parameter und Header außer dem User-Agent werden vor dem Senden entfernt.
  Ort: EU-Datenregion in Deutschland, Unternehmen in den USA. Grundlage der Übermittlung: EU-US-Datenschutzrahmen und Standardvertragsklauseln.
  Auftragsverarbeitungsvertrag des Anbieters