Auftragsverarbeitungsvertrag

Gegenstand ist die Verarbeitung personenbezogener Daten durch Kovixon im Auftrag des Kunden bei der Bereitstellung der Software Kovixon: Empfang von Kommentaren und Direktnachrichten über die Schnittstelle von Instagram, automatische und manuelle Antworten, Speicherung von Kontakten und Unterhaltungen sowie deren Anzeige und Export.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln an Instagram auf Veranlassung des Kunden, Löschen.

Zweck ist ausschließlich die Erbringung der vertraglichen Leistungen für den Kunden. Kovixon verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung, das Training von KI-Modellen oder die Zusammenführung mit Daten anderer Kunden.

Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Ziffer 10 (Löschung) gilt über das Vertragsende hinaus.

Betroffene Personen: Personen, die mit dem verbundenen Instagram-Konto des Kunden interagieren, etwa durch Kommentare, Direktnachrichten oder das Antippen von Buttons.

Datenkategorien:

• von Instagram vergebene Kennung und Benutzername, gegebenenfalls Anzeigename
• Inhalte von Kommentaren und Direktnachrichten einschließlich Zeitpunkten
• Interaktionsdaten, etwa angetippte Buttons, ob die Person dem Konto folgt, Zeitpunkt der ersten und letzten Interaktion
• vom Kunden vergebene Merkmale (Tags) und in Automatisierungen abgefragte Angaben, etwa eine E-Mail-Adresse
• Widerspruchsstatus (z. B. nach dem Wort „STOP“)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Der Kunde fragt solche Daten nicht gezielt über Kovixon ab. Kovixon kann nicht ausschließen, dass betroffene Personen von sich aus solche Angaben in Nachrichten machen; diese werden wie alle übrigen Nachrichteninhalte gespeichert und mit ihnen gelöscht.

Kovixon verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Nutzungsvertrag und aus den Einstellungen, die der Kunde in der Software vornimmt (etwa Automatisierungen, Texte, Löschungen). Weitere Weisungen erteilt der Kunde in Textform an info@kovixon.de.

Die Übermittlung von Nachrichten an Instagram erfolgt auf Weisung des Kunden über dessen eigenes Instagram-Konto. Meta Platforms Ireland Ltd. ist dabei kein Unterauftragsverarbeiter von Kovixon; für die Verarbeitung bei Instagram gelten die Bedingungen zwischen dem Kunden und Meta.

Ist Kovixon der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist Kovixon den Kunden unverzüglich darauf hin und kann die Ausführung bis zur Bestätigung oder Änderung aussetzen. Ist Kovixon gesetzlich zu einer Verarbeitung verpflichtet, teilt Kovixon dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für eine tragfähige Rechtsgrundlage und die Informationen nach Art. 13 und 14 DSGVO. Er informiert Kovixon unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

Kovixon gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit hat ausschließlich der Inhaber administrativen Zugang zu Servern und Datenbank.

Kovixon trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Kovixon darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

Der Kunde erteilt Kovixon die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Bei Vertragsschluss sind die in Anlage 2 genannten Dienstleister eingesetzt; sie gelten als genehmigt.

Kovixon informiert den Kunden mindestens vier Wochen vor dem Hinzuziehen oder Ersetzen eines weiteren Auftragsverarbeiters per E-Mail. Der Kunde kann der Änderung innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen.

Kovixon verpflichtet weitere Auftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag und haftet für deren Einhaltung. Eine Verarbeitung außerhalb der EU oder des EWR durch Kovixon oder seine Auftragsverarbeiter findet derzeit nicht statt; sie erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Kovixon unterstützt den Kunden mit technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen. In der Software stehen dafür insbesondere zur Verfügung: der Export aller Daten des Workspace, das Löschen von Kontaktdaten und des gesamten Kontos sowie die sofortige Beendigung automatischer Nachrichten, wenn eine Person „STOP“ schreibt.

Wendet sich eine betroffene Person direkt an Kovixon, leitet Kovixon die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist dies an.

Kovixon meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen. Fehlende Angaben werden nachgereicht. Kovixon ergreift unverzüglich Maßnahmen zur Eindämmung und dokumentiert den Vorfall.

Kovixon unterstützt den Kunden im angemessenen Umfang bei Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO).

Der Kunde kann seine Daten jederzeit selbst exportieren. Nach Ende des Vertrags hält Kovixon die Daten mindestens 30 Tage zum Export bereit und löscht sie anschließend, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Löscht der Kunde sein Konto selbst, erfolgt die Löschung sofort.

In Datensicherungen verbleiben Daten technisch bedingt bis zu ihrer turnusmäßigen Überschreibung, längstens 30 Tage. Kovixon bestätigt die Löschung auf Anfrage in Textform.

Kovixon stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1 und die Nachweise des Hosting-Dienstleisters.

Darüber hinaus kann der Kunde Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, in der Regel höchstens einmal im Jahr, nach Ankündigung mit angemessener Frist und zu den üblichen Geschäftszeiten. Kovixon betreibt keine eigenen Rechenzentren; Überprüfungen der Rechenzentren erfolgen anhand der Nachweise des Hosting-Dienstleisters.

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht. Vertragssprache ist Deutsch.

Stand 12.10.2026. Aufgeführt sind ausschließlich umgesetzte Maßnahmen.

Mit der Hetzner Online GmbH besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Weitere Dienstleister, die Daten der betroffenen Personen erhalten, setzt Kovixon nicht ein. Die KI-Antwortfunktion ist derzeit nicht verfügbar; vor ihrer Einführung würde ein dafür eingesetzter Dienstleister nach Ziffer 7 angekündigt.