Vertrag zur Auftragsverarbeitung (AVV)

Content Butler GmbH · Fassung: Oktober 2026

nach Art. 28 Abs. 3 DSGVO · Anlage zu den Allgemeinen Geschäftsbedingungen der Content Butler GmbH · Stand: Oktober 2026

zwischen

Ihnen als Kunde von Content Butler – im Folgenden „Sie" (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO)

und

Content Butler GmbH, Tannenweg 22, 55129 Mainz, Amtsgericht Mainz HRB 52834, vertreten durch die Geschäftsführer Hans J. Friedrich und Stephan Heinrich – im Folgenden „wir" (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO)

§ 1 Abschluss und Geltung

(1) Dieser Vertrag ist Bestandteil unserer Allgemeinen Geschäftsbedingungen (AGB). Er kommt zustande, wenn Sie die AGB annehmen – bei der Registrierung, beim Kauf über unsere Bezahlseite oder durch die weitere Nutzung nach einer Änderungsmitteilung nach § 15 AGB. Eine Unterschrift ist nicht nötig; Textform genügt (Art. 28 Abs. 9 DSGVO). Die jeweils geltende Fassung finden Sie unter app.content-butler.ai/avv; auf Wunsch schicken wir sie Ihnen als PDF.

(2) Dieser Vertrag gilt für alle personenbezogenen Daten, die wir bei der Bereitstellung von Content Butler (app.content-butler.ai) in Ihrem Auftrag verarbeiten. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Nicht in Ihrem Auftrag, sondern als eigener Verantwortlicher verarbeiten wir Daten, über deren Zweck wir selbst entscheiden: Benutzerkonten und Anmeldung, Vertrag, Abrechnung und Zahlung, Support, Sicherheits- und Betriebsprotokolle, die Meldung von Kontoinhabern an unser CRM und unsere Werbung an Kunden. Dafür gilt unsere Datenschutzerklärung unter app.content-butler.ai/privacy.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand: Bereitstellung der Software Content Butler als Online-Dienst (Software as a Service) nach den AGB und der Leistungsbeschreibung: Planung, Erstellung, Bearbeitung, Freigabe und Veröffentlichung von Texten und Bildern für Ihre Kanäle; Pflege Ihres Website-Bestands; Auswertungen zu Ihrer Website und zu Suchmaschinen.

(2) Dauer: Dieser Vertrag gilt, solange wir personenbezogene Daten in Ihrem Auftrag verarbeiten, also für die Laufzeit Ihres Vertrags über Content Butler und danach bis zur Löschung nach § 10.

(3) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Verändern, Verwenden, Übermitteln an die von Ihnen verbundenen Kanäle und an die Unterauftragsverarbeiter nach Anlage 2, Sichern und Löschen.

(4) Zweck: ausschließlich die Erbringung der von Ihnen gebuchten Leistungen, einschließlich der dafür nötigen Prüfläufe, Fehlersuche und Sicherungen. Wir verwenden die Daten nicht für eigene Zwecke, nicht für Werbung und nicht zum Training von KI-Modellen, und wir lassen sie von unseren Unterauftragsverarbeitern nicht dafür verwenden.

§ 3 Arten der Daten und Kreise der betroffenen Personen

Datenart Typische Inhalte Betroffene Personen
Markenprofil Angaben zu Tonalität, Strategie, Firma und Branche; Text aus Beispieldokumenten; Logos und Gestaltungsrichtlinien; Referenzbilder (auch Fotos erkennbarer Personen) Ihre Beschäftigten, Ihre Geschäftsführung, abgebildete Personen
Inhalte Keywords, Briefings, erzeugte und bearbeitete Texte und Bilder, Freigaben, Kommentare Ihre Beschäftigten, in Inhalten genannte oder abgebildete Personen
Bestand Ihrer Website importierte Beiträge und Bilder (zum Beispiel mit Autorennamen), Ergebnisse von Prüfläufen, Name und Rechte des verbundenen WordPress-Benutzers Autoren und in Beiträgen genannte oder abgebildete Personen, Ihre Website-Administratoren
Interview-Protokolle Text aus Fragebögen und Gesprächstranskripten (die Datei selbst speichern wir nicht) Gesprächsteilnehmer
Kanal-Verbindungen und -Identitäten Zugangsdaten und Token (verschlüsselt), Namen und Kennungen der Profile und Seiten, in deren Namen veröffentlicht wird Ihre Beschäftigten, insbesondere Corporate Influencer
Search-Console-Daten zusammengefasste Kennzahlen je Seite und Keyword; Suchanfragen nur, soweit sie einem Ihrer Keywords entsprechen in der Regel keine; bei sehr kleinen Websites nicht auszuschließen: Besucher Ihrer Website
Tätigkeit im Workspace was Teammitglieder in Ihrem Workspace anlegen, ändern, freigeben, kommentieren; Schreibprotokoll der Änderungen auf Ihrer Website Ihre Beschäftigten und sonstige von Ihnen eingeladene Personen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für Content Butler nicht vorgesehen. Laden Sie solche Daten dennoch hoch, verarbeiten wir sie nach diesem Vertrag mit; Sie sind dafür verantwortlich, dass das zulässig ist.

§ 4 Ihre Weisungen

(1) Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Ihre Weisungen sind abschließend festgelegt durch diesen Vertrag, die AGB, die Leistungsbeschreibung und das, was Sie oder Ihre Teammitglieder in Content Butler einstellen und auslösen (zum Beispiel einen Kanal verbinden, eine Veröffentlichung planen, einen Import starten). Weitere Weisungen erteilen Sie in Textform an info@content-butler.ai oder über die Supportfunktion.

(2) Übermittlungen an LinkedIn, Meta (Facebook, Instagram), Google (Search Console), Ihre eigene Website oder einen KI-Anbieter, mit dem Sie selbst einen Vertrag haben (eigener Schlüssel, „BYOK"), nehmen wir nur auf Ihre Weisung vor. Diese Empfänger sind keine Unterauftragsverarbeiter von uns; für sie gelten Ihre Vereinbarungen mit ihnen.

(3) Halten wir eine Weisung für rechtswidrig, sagen wir Ihnen das unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Wir dürfen die Ausführung aussetzen, bis Sie die Weisung bestätigt oder geändert haben.

(4) Müssen wir Daten aufgrund einer gesetzlichen Pflicht anders verarbeiten (zum Beispiel auf behördliche Anordnung), teilen wir Ihnen das vorher mit, soweit das Gesetz es nicht verbietet.

§ 5 Unsere Pflichten

(1) Vertraulichkeit: Wer bei uns Zugang zu Ihren Daten hat, ist zur Vertraulichkeit verpflichtet oder unterliegt einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 Satz 2 lit. b, Art. 29 DSGVO). Die Pflicht gilt über das Ende der Tätigkeit hinaus.

(2) Sicherheit: Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

(3) Supportzugriff: Unsere Administratoren sehen Ihre Daten in Content Butler nur, wenn Sie uns darum bitten (zum Beispiel mit einer Supportanfrage) oder wenn eine Störung oder ein Sicherheitsvorfall es erfordert. Jeder solche Zugriff wird mit Anlass, Zeitpunkt und Administrator protokolliert; das Protokoll bewahren wir 24 Monate auf. Greifen wir ohne Ihre Anfrage zu, informieren wir den Kontoinhaber per E-Mail.

(4) Keine Testdaten aus Ihren Daten: Für Entwicklung und Tests verwenden wir keine Kopien Ihrer Daten.

(5) Ansprechpartner: Datenschutzfragen zu diesem Vertrag richten Sie an info@content-butler.ai. Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind (Art. 37 DSGVO, § 38 BDSG).

(6) Verzeichnis: Wir führen ein Verzeichnis der Verarbeitungstätigkeiten, die wir in Ihrem Auftrag durchführen (Art. 30 Abs. 2 DSGVO).

§ 6 Unterauftragsverarbeiter

(1) Sie erlauben uns allgemein, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die zu Vertragsbeginn eingesetzten Unterauftragsverarbeiter stehen in Anlage 2; mit Abschluss dieses Vertrags sind sie genehmigt.

(2) Wollen wir einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, teilen wir Ihnen das mindestens 30 Tage vorher per E-Mail an den Kontoinhaber mit und passen Anlage 2 an. Sie können innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden wir keine Lösung, können Sie den Vertrag über Content Butler zum Zeitpunkt der Änderung kündigen; eine Erstattung bereits gezahlter Entgelte ist damit nicht verbunden. In Notfällen (etwa dem plötzlichen Ausfall eines Dienstleisters) können wir die Frist verkürzen; wir informieren Sie dann unverzüglich.

(3) Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag stehen (Art. 28 Abs. 4 DSGVO). Für seine Pflichterfüllung haften wir Ihnen gegenüber wie für eigenes Handeln.

(4) Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind Nebenleistungen, bei denen Ihre Daten nicht gezielt verarbeitet werden, etwa Telekommunikationsdienste.

§ 7 Übermittlung in Länder außerhalb der EU

Daten verarbeiten wir in der Europäischen Union. Unterauftragsverarbeiter dürfen Daten in Länder außerhalb des Europäischen Wirtschaftsraums nur übermitteln, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind – über einen Angemessenheitsbeschluss (zum Beispiel das EU-US Data Privacy Framework) oder die Standardvertragsklauseln der EU-Kommission. Die Grundlage je Unterauftragsverarbeiter steht in Anlage 2.

§ 8 Unterstützung bei den Rechten betroffener Personen und bei Ihren Pflichten

(1) Vieles können Sie in Content Butler selbst erledigen: Daten berichtigen, Inhalte, Dateien, Verbindungen und Workspaces löschen. Wo das nicht reicht, unterstützen wir Sie mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO), zum Beispiel mit einem Export Ihrer Inhalte in einem gängigen Format.

(2) Wendet sich eine betroffene Person mit einem Anliegen zu Daten, die wir in Ihrem Auftrag verarbeiten, direkt an uns, leiten wir es unverzüglich an Sie weiter und beantworten es nicht selbst, außer Sie weisen uns dazu an.

(3) Wir unterstützen Sie, soweit es unsere Kenntnisse erlauben, bei Ihren Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) Erfahren wir von einer Verletzung des Schutzes Ihrer Daten (Art. 4 Nr. 12 DSGVO), melden wir sie Ihnen unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail an den Kontoinhaber (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit bekannt: was passiert ist, welche Datenarten und ungefähr wie viele Personen und Datensätze betroffen sind, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen und einen Ansprechpartner. Was wir noch nicht wissen, reichen wir nach, sobald wir es wissen.

(3) Wir ergreifen sofort die nötigen Maßnahmen, um die Daten zu sichern und Folgen zu mindern, und unterstützen Sie bei Ihrer Meldung an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen (Art. 33, 34 DSGVO).

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Ende Ihres Vertrags sperren wir den Zugang zu den kostenpflichtigen Funktionen. Ihr Konto, Ihre Workspaces und alle Daten, die wir in Ihrem Auftrag verarbeiten, einschließlich der Dateien, löschen wir nach Ihrer Weisung: Verlangen Sie die Löschung (formlos an info@content-butler.ai), löschen wir innerhalb von 30 Tagen; auf Wunsch geben wir Ihnen Ihre Inhalte vorher in einem gängigen Format heraus. Bis zu Ihrer Weisung bleiben die Daten gespeichert und gesperrt.

(2) Bis zur Löschung stellen wir Ihnen Ihre Inhalte auf Anfrage an info@content-butler.ai in einem gängigen Format bereit (Rückgabe). Sie können uns auch anweisen, früher zu löschen.

(3) In unseren verschlüsselten Datenbank-Sicherungen bleiben gelöschte Daten noch bis zu 90 Tage enthalten; ältere Sicherungen werden automatisch gelöscht. Dropbox bewahrt gelöschte Sicherungsdateien danach noch für die in unserem Tarif vorgesehene Wiederherstellungsfrist auf, weiterhin verschlüsselt. Müssen wir in dieser Zeit eine Sicherung zurückspielen, löschen wir bereits gelöschte Konten erneut.

(4) Daten, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen, löschen wir nach Ablauf der Frist. In Ihrem Auftrag verarbeitete Daten gehören in aller Regel nicht dazu.

(5) Auf Wunsch bestätigen wir Ihnen die Löschung in Textform.

§ 11 Nachweise und Kontrollen

(1) Wir stellen Ihnen auf Anfrage alle Informationen zur Verfügung, die Sie brauchen, um die Einhaltung dieses Vertrags und des Art. 28 DSGVO nachzuweisen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO), insbesondere die aktuelle Beschreibung der Maßnahmen nach Anlage 1 und die Liste der Unterauftragsverarbeiter.

(2) Reicht das nicht aus, können Sie oder ein von Ihnen beauftragter, zur Verschwiegenheit verpflichteter Prüfer bei uns Kontrollen durchführen. Bitte kündigen Sie eine Kontrolle mindestens 30 Tage vorher in Textform an; sie findet zu unseren Geschäftszeiten statt, ohne den Betrieb unangemessen zu stören und ohne Einblick in Daten anderer Kunden. Eine Kontrolle vor Ort ist in der Regel einmal im Jahr möglich; bei konkretem Anlass (etwa nach einer Datenschutzverletzung) auch öfter. Den eigenen Aufwand trägt jede Seite selbst.

(3) Kontrollen der Aufsichtsbehörde dulden und unterstützen wir.

§ 12 Ihre Pflichten

(1) Sie sind dafür verantwortlich, dass Sie die Daten, die Sie in Content Butler einbringen oder verbinden lassen, verarbeiten dürfen, und dass Sie die betroffenen Personen informieren (Art. 13, 14 DSGVO) – insbesondere Ihre Teammitglieder, Beschäftigte, deren Profile Sie verbinden, Teilnehmer von Interviews und Personen auf Fotos. Für Fotos erkennbarer Personen brauchen Sie deren Einwilligung oder eine andere Rechtsgrundlage (Art. 6 DSGVO, §§ 22, 23 KUG).

(2) Bitte informieren Sie uns unverzüglich, wenn Sie bei der Prüfung unserer Arbeit Fehler oder Unregelmäßigkeiten in Bezug auf den Datenschutz feststellen.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen Ihnen und uns gelten die Haftungsregeln der AGB (§ 13 AGB), soweit Art. 82 DSGVO nichts anderes bestimmt.

§ 14 Schlussbestimmungen

(1) Änderungen dieses Vertrags teilen wir Ihnen wie Änderungen der AGB mit (§ 15 AGB). Änderungen der Anlage 2 richten sich nach § 6 Abs. 2.

(2) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. An ihre Stelle tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht und dem Gewollten am nächsten kommt.

(3) Es gilt deutsches Recht. Gerichtsstand ist Mainz, soweit das nach § 16 AGB vereinbart werden kann.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Ort und Betrieb

Zugang und Anmeldung

Zugriff und Berechtigungen

Verschlüsselung und Übertragung

Trennung

Eingabe- und Änderungskontrolle

Verfügbarkeit und Wiederherstellung

Datensparsamkeit und Löschung

Unterauftragsverarbeiter und Organisation

Anlage 2 – Unterauftragsverarbeiter

Stand: Oktober 2026. Änderungen kündigen wir nach § 6 Abs. 2 an.

Unterauftragsverarbeiter Leistung Ort der Verarbeitung Grundlage für Drittland
IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland Server-Hosting (Datenbank, Dateien, Warteschlange); Versand der E-Mails der Anwendung Deutschland (Rechenzentrum Berlin) entfällt
Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland KI-Modell Claude: Texte, Lektorat, Auswertungen, Einordnung von Bildern. Kein Training mit Ihren Daten; Löschung der Ein- und Ausgaben nach 30 Tagen, außer bei Verstößen gegen die Nutzungsrichtlinien USA (durch Anthropic PBC) Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Datenverarbeitungsvertrag von Anthropic
Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland Bilderzeugung mit Gemini (kostenpflichtiger Tarif der Gemini API); kein Training mit Ihren Daten USA möglich (durch Google LLC) EU-US Data Privacy Framework (Art. 45 DSGVO); ergänzend Standardvertragsklauseln
Slack Technologies Limited, Salesforce Tower, 60 R801, North Dock, Dublin 1, Irland Meldungen an unser Betriebsteam: bei Störungen Workspace-Name, Domain der verbundenen Website, Plugin-Namen, Stichwort des betroffenen Beitrags, Fehlermeldung; bei Supportanfragen nur Nummer und Art der Anfrage USA möglich Standardvertragsklauseln; Salesforce, Inc. ist mit Slack Technologies, LLC nach dem EU-US Data Privacy Framework zertifiziert
Dropbox International Unlimited Company, One Park Place, Floor 5, Upper Hatch Street, Dublin 2, D02 FD79, Irland Ablage der verschlüsselten Datenbank-Sicherungen; Dropbox hat keinen Zugang zum Schlüssel USA möglich EU-US Data Privacy Framework (Dropbox, Inc., Art. 45 DSGVO); ergänzend Standardvertragsklauseln

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind:

Impressum · AGB und Lizenzbedingungen · Datenschutzerklärung