Vertrag über die Auftragsverarbeitung

ENTWURF vom 10.11.2026. Nicht anwaltlich geprüft. Gilt erst nach Freigabe durch den Inhaber.

nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden des Dienstes FanPilot als Verantwortlichem (im Folgenden „Auftraggeber")

und FanPilot, -, support@fanpilothq.de, als Auftragsverarbeiter (im Folgenden „Auftragnehmer").

Datenschutzkontakt des Auftragnehmers: support@fanpilothq.de

1. Gegenstand und Dauer

1.1 Der Auftragnehmer erbringt für den Auftraggeber den Dienst nach den Allgemeinen Geschäftsbedingungen (AGB). Dabei verarbeitet er personenbezogene Daten der Fans des Auftraggebers in dessen Auftrag. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien der betroffenen Personen beschreibt Anlage 1.

1.2 Dieser Vertrag gilt, solange der Auftragnehmer Daten im Auftrag verarbeitet. Er endet nicht vor der vollständigen Löschung nach Ziffer 15.

1.3 Für Konto-, Vertrags- und Abrechnungsdaten des Auftraggebers selbst ist der Auftragnehmer eigener Verantwortlicher. Dafür gilt dieser Vertrag nicht.

1.4 Fanvue ist weder Auftraggeber noch Unterauftragsverarbeiter dieses Vertrags. Fanvue ist Quelle und Übertragungsweg der Daten und für seine Plattform eigener Verantwortlicher.

2. Weisungen

2.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer. Das gilt nicht, wenn ihn das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

2.2 Weisungen sind:
a) dieser Vertrag und die AGB,
b) die Einstellungen, die der Auftraggeber im Dashboard vornimmt, insbesondere Persona, Betriebsart, Automatiken, gewählter Plan, KI-Anbieter und Modell,
c) Einzelweisungen in Textform an support@fanpilothq.de oder über die Support-Funktion im Dashboard.

2.3 Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

2.4 Der Auftragnehmer weist den Auftraggeber bereits hier darauf hin: Chat-Inhalte können Daten zum Sexualleben und Gesundheitsdaten enthalten (Art. 9 DSGVO). Für ihre Verarbeitung kommt in aller Regel nur die ausdrückliche Einwilligung der Fans als Rechtsgrundlage in Betracht.

3. Pflichten des Auftraggebers

3.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er sorgt insbesondere für
a) eine Rechtsgrundlage für die Verarbeitung der Daten seiner Fans, für besondere Kategorien nach Art. 9 Abs. 2 DSGVO,
b) die Information seiner Fans nach Art. 13 und 14 DSGVO, einschließlich der eingesetzten Unterauftragsverarbeiter und, im Plan „Eigener Schlüssel", seines KI-Anbieters,
c) eine Datenschutz-Folgenabschätzung, soweit erforderlich,
d) die Beantwortung von Anfragen seiner Fans zu ihren Rechten.

3.2 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

4. Vertraulichkeit

4.1 Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

4.2 Zugriff auf Auftragsdaten haben nur Personen, die ihn für Betrieb, Fehlerbehebung oder Support des Dienstes brauchen.

5. Technische und organisatorische Maßnahmen

5.1 Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die Anlage 2 beschreibt.

5.2 Er darf die Maßnahmen an den Stand der Technik anpassen, wenn das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

6.2 Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform oder im Dashboard über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann binnen 14 Tagen nach der Information aus wichtigem datenschutzrechtlichen Grund widersprechen. Einigen sich die Parteien nicht, kann der Auftraggeber den Vertrag zum Zeitpunkt der Änderung kündigen.

6.3 Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag enthält, soweit das für die jeweilige Leistung möglich ist. Er haftet für deren Einhaltung nach Art. 28 Abs. 4 DSGVO.

6.4 Die Liste in Anlage 3 ist zusätzlich als öffentliche Seite mit Änderungsdatum abrufbar.

7. Plan „Eigener Schlüssel"

7.1 „BYOK-Anbieter" ist der KI-Anbieter, den der Auftraggeber im Plan „Eigener Schlüssel" selbst auswählt und unter einem eigenen Vertrag nutzt. Der Auftraggeber hinterlegt dafür seinen eigenen Zugangsschlüssel.

7.2 Der BYOK-Anbieter ist kein Unterauftragsverarbeiter des Auftragnehmers. Der Auftragnehmer beauftragt und bezahlt ihn nicht und erteilt ihm keine Weisungen. Der Auftraggeber beauftragt ihn selbst.

7.3 Mit der Auswahl im Dashboard weist der Auftraggeber den Auftragnehmer an, die für die Erzeugung nötigen Daten an den BYOK-Anbieter zu übermitteln. Das umfasst Chat-Verlauf, Persona, Fan-Notizen, Prüfanfragen und, bei Modellen mit Bildverarbeitung, Vorschaubilder von Fotos, die Fans senden.

7.4 Der Auftragnehmer übermittelt Daten nur an die Adresse, die der Auftraggeber eingetragen hat. Das gilt auch für Ausweichmodell, Nebenaufgaben und Bildbeschreibung. Andere Empfänger beauftragt der Auftragnehmer in diesem Plan für die KI-Erzeugung nicht.

7.5 Der Auftraggeber prüft die Eignung des BYOK-Anbieters, schließt mit ihm einen eigenen Vertrag über die Auftragsverarbeitung, soweit erforderlich, und sorgt für eine Garantie für Übermittlungen in Drittländer. Er nennt den BYOK-Anbieter in der Information seiner Fans.

7.6 Der Auftragnehmer zeigt vor der Aktivierung an, an welchen Anbieter die Daten gehen und wo dieser seinen Sitz hat, soweit ihm das bekannt ist. Liegt der Sitz in einem Drittland ohne Angemessenheitsbeschluss, weist er ausdrücklich darauf hin. Das betrifft derzeit insbesondere Anbieter mit Sitz in der Volksrepublik China.

7.7 Für die Verarbeitung beim BYOK-Anbieter haftet der Auftragnehmer nicht. Seine Pflichten aus diesem Vertrag für die Daten in seinem eigenen System bleiben unberührt.

8. Übermittlungen in Drittländer

8.1 Der Auftragnehmer verarbeitet die Daten in seinem eigenen System in der Europäischen Union.

8.2 Übermittlungen an Unterauftragsverarbeiter in Drittländer erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere über einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Anlage 3 nennt die Garantie je Unterauftragsverarbeiter.

8.3 Sitzt der Auftraggeber außerhalb der EU und des EWR in einem Land ohne Angemessenheitsbeschluss, gelten für die Bereitstellung der Daten an ihn die Standardvertragsklauseln der EU-Kommission, Modul 4 (Auftragsverarbeiter an Verantwortlichen).

9. Unterstützung bei Rechten der Betroffenen

9.1 Der Auftragnehmer unterstützt den Auftraggeber mit technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen der Fans nach Kapitel III DSGVO, insbesondere bei Auskunft, Berichtigung, Löschung und Widerspruch.

9.2 Der Auftraggeber kann die Daten eines einzelnen Fans im Dashboard oder per Weisung löschen lassen. Der Auftragnehmer führt eine Löschung per Weisung binnen sieben Tagen aus.

9.3 Wendet sich ein Fan direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.

10. Unterstützung bei Sicherheit und Folgenabschätzung

10.1 Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der ihm vorliegenden Informationen.

10.2 Für die Datenschutz-Folgenabschätzung stellt der Auftragnehmer eine Beschreibung des Dienstes, der Datenflüsse, der Maßnahmen nach Anlage 2 und der Unterauftragsverarbeiter nach Anlage 3 zur Verfügung.

11. Meldung von Datenschutzverletzungen

11.1 Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes von Auftragsdaten unverzüglich nach Kenntnis, möglichst innerhalb von 48 Stunden.

11.2 Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen und eine Kontaktstelle. Fehlende Angaben reicht er nach, sobald sie vorliegen.

11.3 Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Fans obliegen dem Auftraggeber. Der Auftragnehmer unterstützt ihn dabei.

11.4 Der Auftragnehmer ist als App-Anbieter gegenüber Fanvue verpflichtet, Datenschutzverletzungen mit Daten von Fanvue-Nutzern an Fanvue zu melden. Der Auftraggeber stimmt dieser Meldung zu.

12. Fehleranalyse und Support

12.1 Der Auftragnehmer wertet Auftragsdaten über den laufenden Betrieb hinaus nur aus, um Störungen, Fehlfunktionen oder fehlerhafte Nachrichten im Konto des Auftraggebers zu finden und zu beheben. Er tut das nur auf dokumentierte Weisung des Auftraggebers für den einzelnen Fall, zum Beispiel eine Support-Anfrage in Textform.

12.2 Zur Fehleranalyse gehört auch, eine Korrektur vor ihrer Freigabe an den betroffenen Vorgängen des Auftraggebers zu prüfen, auch durch erneutes Erzeugen einzelner Antworten. Dabei wird nichts an Fans gesendet.

12.3 Die Auswertung erfolgt ausschließlich
a) für den Auftraggeber, der die Weisung erteilt hat,
b) mit den Unterauftragsverarbeitern nach Anlage 3 oder, im Plan „Eigener Schlüssel", mit dem BYOK-Anbieter des Auftraggebers,
c) in der Umgebung des Auftragnehmers in der EU, durch zur Vertraulichkeit verpflichtete Personen, auf verschlüsselten Datenträgern.

12.4 Kopien von Auftragsdaten, die für die Auswertung entstehen, löscht der Auftragnehmer mit Abschluss des Falls, spätestens nach 30 Tagen. Befunde dokumentiert er ohne Namen oder Handles der Fans.

12.5 Ausgeschlossen ist,
a) Auftragsdaten in Testkataloge, Vergleichsfälle oder Prüfsammlungen aufzunehmen, die für andere Kunden oder für die allgemeine Entwicklung des Dienstes genutzt werden,
b) Auftragsdaten an Werkzeuge oder Dienste außerhalb von Anlage 3 zu geben, auch nicht an KI-Werkzeuge zur Auswertung,
c) Auftragsdaten für Zwecke anderer Kunden zu verwenden.

12.6 Auf Verlangen teilt der Auftragnehmer mit, welche Auswertungen nach dieser Ziffer stattgefunden haben.

13. Keine Nutzung für eigene Zwecke

13.1 Der Auftragnehmer verwendet Auftragsdaten nicht für eigene Zwecke.

13.2 Er verwendet sie insbesondere nicht zum Training, Fine-Tuning oder zur sonstigen Entwicklung von KI-Modellen. Er schließt bei Unterauftragsverarbeitern, soweit möglich, die Nutzung zum Training vertraglich oder durch Einstellung aus.

14. Nachweise und Kontrollen

14.1 Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.

14.2 Der Auftraggeber kann die Einhaltung nach vorheriger Ankündigung mit angemessener Frist selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren. Kontrollen finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Der Auftragnehmer kann den Nachweis auch durch aktuelle Berichte oder Zertifikate erbringen.

14.3 Jede Partei trägt ihre eigenen Kosten der Kontrolle.

15. Speicherdauer und Löschung bei Vertragsende

15.1 Während der Laufzeit löscht der Auftragnehmer Auftragsdaten nach den Fristen in Anlage 1, Teil E.

15.2 Bei Vertragsende löscht der Auftragnehmer die Fanvue-Zugangsschlüssel des Auftraggebers sofort. Auf Anfrage stellt der Auftragnehmer dem Auftraggeber seine Daten bis 30 Tage nach Vertragsende als Datei bereit. Danach löscht der Auftragnehmer alle Auftragsdaten, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien laufen mit ihrer Frist nach Anlage 1, Teil E aus.

15.3 Auf Anforderung bestätigt der Auftragnehmer die Löschung in Textform.

16. Haftung

16.1 Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO.

16.2 Im Verhältnis der Parteien gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

17. Schlussbestimmungen

17.1 Dieser Vertrag wird elektronisch geschlossen, indem der Auftraggeber ihn bei der Registrierung annimmt. Der Auftragnehmer speichert Datum und Version der Annahme.

17.2 In Fragen des Datenschutzes geht dieser Vertrag den AGB vor.

17.3 Änderungen dieses Vertrags teilt der Auftragnehmer mindestens sechs Wochen vorher mit. Für Änderungen der Anlage 3 gilt Ziffer 6.

17.4 Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

17.5 Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragnehmers, soweit gesetzlich zulässig.

Anlage 1: Gegenstand, Art und Zweck der Verarbeitung

A. Gegenstand

Der Auftragnehmer betreibt einen KI-Chat-Assistenten, der für Fanvue-Konten des Auftraggebers Nachrichten an Fans entwirft und im Auto-Betrieb sendet. Dazu liest er Chats und Fan-Daten über die Fanvue-Schnittstelle, gibt sie an ein KI-Modell weiter und speichert ausgewählte Daten für den Betrieb.

B. Art und Zweck

C. Arten personenbezogener Daten

D. Betroffene Personen

Fans des Auftraggebers auf Fanvue: Abonnenten, Follower, frühere Abonnenten, Käufer und andere Nutzer, die mit dem Konto des Auftraggebers schreiben.

E. Speicherdauer

Anlage 2: Technische und organisatorische Maßnahmen

Anlage 3: Unterauftragsverarbeiter

Stand: 10.11.2026.

A. Für alle Pläne

B. Nur im Plan „Managed"

C. Geplant, noch nicht im Einsatz

D. Keine Unterauftragsverarbeiter

• Fanvue (Shift Holdings Ltd): Plattform und Datenquelle, eigener Verantwortlicher.
• KI-Anbieter im Plan „Eigener Schlüssel": vom Auftraggeber selbst beauftragt, siehe Ziffer 7. Unter den Voreinstellungen sind derzeit OpenRouter und DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd., Volksrepublik China, Direkt-Schnittstelle).
• GitHub: Quellcode und Container-Abbilder. Keine Auftragsdaten.