Vereinbarung zur Auftragsverarbeitung
Anlage zu den Nutzungsbedingungen von Commentary
Stand: 9. September 2026
Warum es diese Vereinbarung gibt
Wenn du Commentary nutzt, verarbeiten wir personenbezogene Daten der Menschen, die unter deinen Beiträgen kommentieren und dir schreiben. Für diese Daten bist du der Verantwortliche, wir sind dein Auftragsverarbeiter. Art. 28 DSGVO verlangt dafür einen Vertrag. Er kommt mit der Annahme der Nutzungsbedingungen zustande.
1. Parteien
Verantwortlicher: du als Nutzer der App, mit dem verbundenen Instagram-Konto.
Auftragsverarbeiter: TS GmbH, Adolf-Kaschny-Straße 19, 51373 Leverkusen, Deutschland, vertreten durch den Geschäftsführer Tim Stammberger.
2. Gegenstand und Dauer
Gegenstand ist die Verarbeitung der in Abschnitt 3 genannten Daten zum Zweck der Erbringung der in den Nutzungsbedingungen beschriebenen Leistung. Die Vereinbarung läuft, solange dein Konto besteht, und endet mit seiner Löschung.
3. Art der Daten und betroffene Personen
Betroffene Personen: Instagram-Nutzer, die deine Beiträge kommentieren oder dir Direktnachrichten geschrieben haben.
Datenarten:
| Datenart | Herkunft |
|---|---|
| Nutzername, Kommentartext, Zeitpunkt, Likes | Kommentare unter deinen Beiträgen |
| Zuordnung von Antworten innerhalb eines Verlaufs | Kommentare |
| Auszüge aus Nachrichtentexten (bis 200 Zeichen, ohne Namen oder Kennungen) | einmalige Auswertung deiner Direktnachrichten bei der Einrichtung |
| Antwortvorschläge und die von dir gesendeten Antworten | von uns erzeugt, von dir freigegeben |
Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Da Kommentare frei formulierter Text sind, können sie im Einzelfall dennoch solche Angaben enthalten. Wir verarbeiten sie in diesem Fall nur, soweit es zur Erbringung der Leistung unvermeidbar ist, und werten sie nicht gesondert aus.
4. Weisungsbindung
Wir verarbeiten die Daten ausschließlich auf deine Weisung und zu den vereinbarten Zwecken. Deine Weisungen erteilst du durch die Nutzung der App: welche Beiträge überwacht werden, welche Kommentare beantwortet, verworfen oder gelöscht werden, entscheidest du.
Halten wir eine Weisung für rechtswidrig, teilen wir dir das mit und dürfen ihre Ausführung aussetzen.
5. Unterauftragsverarbeiter
Du stimmst dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Supabase Inc. | Datenbank | Frankfurt am Main, EU |
| Vercel Inc. | Anwendungsserver | Frankfurt am Main, EU |
| Anthropic PBC | Erzeugen der Antwortvorschläge | USA |
| Meta Platforms Ireland Ltd. | Instagram-Schnittstelle | EU, teils USA |
Mit allen bestehen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen. Für die Übermittlung an Anthropic in die USA gelten die Standardvertragsklauseln der EU-Kommission (Modul 3) nebst ergänzenden Maßnahmen; Anthropic nutzt die Daten nach vertraglicher Zusicherung nicht zum Training eigener Modelle.
Einen Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters kündigen wir 30 Tage vorher in der App an. Du kannst widersprechen; ist die Leistung dann nicht mehr erbringbar, darfst du fristlos kündigen.
6. Technische und organisatorische Maßnahmen
Wir treffen insbesondere folgende Maßnahmen nach Art. 32 DSGVO:
- Trennung der Mandanten: Jeder Zugriff ist an ein Konto gebunden. Jede Datenbankabfrage filtert nach Konto, zusätzlich ist der Zugriffsschutz auf Datenbankebene aktiviert (Row Level Security). Die Trennung wird durch ein automatisiertes Prüfverfahren regelmäßig nachgewiesen.
- Verschlüsselung: Übertragung ausschließlich über TLS. Daten im Ruhezustand sind auf Speicherebene verschlüsselt.
- Zugangsschlüssel: Der Instagram-Zugriffsschlüssel liegt auf dem Server und wird der App nie übermittelt. Der Sitzungsschlüssel des Geräts liegt im Schlüsselbund des Geräts; gespeichert wird bei uns nur sein Hashwert.
- Signaturprüfung: Eingehende Meldungen von Meta und Apple werden kryptografisch geprüft und andernfalls verworfen.
- Zugriffsbeschränkung: Zugriff auf Produktivdaten haben nur die für den Betrieb notwendigen Personen.
- Protokollierung: Hintergrundläufe und Fehler werden protokolliert, um Störungen zu erkennen. Die Protokolle werden nach 90 Tagen gelöscht.
- Datenminimierung: Pro Beitrag werden höchstens 500 Kommentare erfasst; aus Direktnachrichten werden nur Textauszüge ohne Namen gespeichert.
7. Unterstützung bei Betroffenenrechten
Wendet sich eine betroffene Person an uns, verweisen wir sie an dich und informieren dich unverzüglich. Wir unterstützen dich bei Auskunft, Berichtigung und Löschung, insbesondere durch:
- die Löschung einzelner Kommentare aus der App heraus
- die vollständige Löschung deines Kontos samt aller Inhalte
- die Bereitstellung der zu einer Person gespeicherten Daten auf Anfrage
8. Meldung von Verletzungen
Wir melden dir eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, und unterstützen dich bei deinen Meldepflichten nach Art. 33 und 34 DSGVO.
9. Nachweise und Kontrolle
Auf Anfrage weisen wir die Einhaltung der Pflichten aus dieser Vereinbarung nach, insbesondere durch Auskunft über die Maßnahmen aus Abschnitt 6. Du darfst Kontrollen durchführen; sie sind mit angemessener Vorlaufzeit anzukündigen und dürfen den Betrieb nicht unangemessen beeinträchtigen.
10. Löschung nach Ende
Nach Ende der Vereinbarung löschen wir die verarbeiteten Daten, sobald du dein Konto löschst, spätestens sechs Monate nach der letzten Anmeldung. Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden bis zum Ablauf der Frist gesperrt statt gelöscht.
11. Haftung
Es gilt Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsregelungen der Nutzungsbedingungen entsprechend.