Anlage 3

Auftragsverarbeitungsvertrag & TOM

Berliner Abendblatt Medienhaus GmbH — ViralSpoon Social Media Service

Stand: Juli 2026

Diese Fassung als PDF herunterladen

Berliner Abendblatt Medienhaus GmbH

Müllerstraße 12, 13353 Berlin

Der vorliegende Auftragsverarbeitungsvertrag (AVV) gilt für die Verarbeitungsmaßnahmen personenbezogener Daten durch die Berliner Abendblatt Medienhaus GmbH (auch als Auftragnehmer bezeichnet), die gegenüber Kunden (nachfolgend Auftraggeber oder Sie) in Erfüllung des Hauptvertrages erbracht werden. Berliner Abendblatt Medienhaus GmbH verarbeitet personenbezogene Daten als Auftragnehmer des Kunden. Berliner Abendblatt Medienhaus GmbH ist berechtigt, die ViralSpoon GmbH als Unterauftragnehmer für Betrieb, Hosting, KI-Funktionen, Social-Media-Management und technische Plattformleistungen einzusetzen.

Präambel

Der Auftragnehmer erbringt für den Auftraggeber Leistungen gemäß dem zwischen ihnen geschlossenen Lizenzvertrag über die Nutzung von ViralSpoon (im Folgenden Hauptvertrag). Teil der Durchführung des Hauptvertrags ist die Verarbeitung von personenbezogenen Daten im Sinne der DSGVO. Zur Erfüllung der DSGVO-Anforderungen schließen die Parteien den nachfolgenden Auftragsverarbeitungsvertrag, der mit Unterzeichnung bzw. Wirksamwerden des Hauptvertrages zustande kommt.

1. Gegenstand / Umfang der Beauftragung

(1) Im Rahmen der Zusammenarbeit der Parteien nach Maßgabe des Hauptvertrages hat der Auftragnehmer Zugriff auf personenbezogene Daten des Auftraggebers (nachfolgend Auftraggeberdaten). Diese Auftraggeberdaten verarbeitet der Auftragnehmer im Auftrag und nach Weisung des Auftraggebers im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO.

(2) Die Verarbeitung der Auftraggeberdaten erfolgt in der in den Anlagen beschriebenen Art sowie in dem dort spezifizierten Umfang und Zweck. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

(3) Ob die Leistungen des Auftragnehmers für die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO geeignet sind, bedarf einer Risikobewertung durch den Auftraggeber.

(4) Dem Auftragnehmer ist eine von den in den Anlagen genannten Verarbeitungen abweichende Verarbeitung von Auftraggeberdaten untersagt — unbeschadet der in Abschnitt 2 geregelten eigenverantwortlichen Verarbeitungen.

(5) Die Verarbeitung der Auftraggeberdaten findet grundsätzlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der EU oder in einem anderen Vertragsstaat des EWR statt. Sollte es eine Verlagerung in ein Drittland geben, bedarf dies der vorherigen Zustimmung des Auftraggebers und erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Der Auftraggeber stimmt bereits mit Abschluss dieses AVV der Verarbeitung personenbezogener Daten durch die in den Anlagen genannten Subunternehmen zu.

(6) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen.

2. Abgrenzung der datenschutzrechtlichen Rollen

(1) Die datenschutzrechtliche Rollenverteilung folgt der tatsächlichen Bestimmung von Zweck und Mitteln der jeweiligen Verarbeitung.

(2) Der Auftragnehmer und der von ihm eingesetzte technische Plattformpartner (ViralSpoon GmbH) verarbeiten personenbezogene Daten als Auftragsverarbeiter im Sinne des Art. 28 DSGVO, soweit die Verarbeitung ausschließlich der Erbringung der gegenüber dem Auftraggeber geschuldeten Leistung dient, insbesondere dem Anlegen und Verwalten des Kundenaccounts, der Speicherung und Verarbeitung der vom Auftraggeber eingegebenen Inhalte sowie der Erstellung, Planung und Veröffentlichung der Beiträge. Für diese Verarbeitung gelten die Regelungen dieses Auftragsverarbeitungsvertrages.

(3) Soweit personenbezogene Daten zu eigenen Zwecken des Auftragnehmers oder des technischen Plattformpartners verarbeitet werden, handeln diese insoweit als eigene Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO und nicht als Auftragsverarbeiter. Dies betrifft insbesondere folgende Zwecke: (a) Gewährleistung von Betrieb, Sicherheit, Stabilität und Verfügbarkeit der Plattform; (b) Erkennung und Abwehr von Missbrauch, Betrug und Sicherheitsvorfällen; (c) Analyse, Wartung, Fehlerbehebung sowie Weiterentwicklung und Verbesserung der Plattform und ihrer Funktionen; (d) Test, Validierung, Fehleranalyse und Verbesserung der Plattformfunktionen, soweit hierfür keine Kundeneingaben, Bilder, Videos, Unternehmensinformationen oder sonstigen Inhaltsdaten zum Training externer KI-Modelle verwendet werden. Eine Nutzung solcher Inhaltsdaten zum Training externer KI-Modelle findet nicht statt. Eine interne Verbesserung der Plattform erfolgt nur anhand aggregierter, anonymisierter oder technisch erforderlicher Nutzungs-, Fehler- und Sicherheitsdaten, soweit rechtlich zulässig.

(4) Bei Verarbeitungen nach Absatz 3 werden angemessene Schutzmaßnahmen ergriffen, insbesondere Pseudonymisierung oder Aggregation, soweit der jeweilige Zweck dies zulässt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Diese Verarbeitungen werden in den Datenschutzhinweisen (Anlage 4) transparent dargestellt.

(5) Die Regelungen dieses Auftragsverarbeitungsvertrages finden auf Verarbeitungen nach Absatz 3 keine Anwendung. Das Weisungsrecht des Auftraggebers bezieht sich ausschließlich auf Verarbeitungen nach Absatz 2.

3. Weisungsbefugnisse des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Auftraggeberdaten im Rahmen der Beauftragung und im Auftrag und nach Weisung des Auftraggebers i.S.v. Art. 28 DSGVO (Auftragsverarbeitung) — unbeschadet der Regelung in Abschnitt 2 dieses AVV, der den Anwendungsbereich der Auftragsverarbeitung abgrenzt. Der Auftraggeber hat das alleinige Recht, Weisungen über Art, Umfang und Methode der Verarbeitungstätigkeiten zu erteilen.

(2) Weisungen werden grundsätzlich schriftlich oder in elektronischer Form erteilt; mündlich erteilte Weisungen sind vom Auftragnehmer in elektronischer Form zu bestätigen.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Auftraggeber darauf hinzuweisen und ist berechtigt, die Durchführung so lange auszusetzen, bis diese bestätigt oder geändert wird.

4. Schutzmaßnahmen des Auftragnehmers

(1) Der Auftragnehmer ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiterzugeben. Unterlagen und Daten sind gegen Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

(2) Der Auftragnehmer verpflichtet alle mit der Verarbeitung betrauten Personen zur Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO.

(3) Der Auftragnehmer verpflichtet sich, alle geeigneten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, insbesondere die in AVV-Anhang B aufgeführten Maßnahmen, zu ergreifen und aufrechtzuerhalten.

(4) Eine Änderung der TOM bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(5) Auf Verlangen des Auftraggebers wird der Auftragnehmer die Einhaltung der technischen und organisatorischen Maßnahmen nachweisen.

(6) Der Auftragnehmer und die bei oder für ihn Beschäftigten sind berechtigt, die Leistungen aus der Hauptverwaltung, Betriebsstätten, Niederlassungen oder aus dem Home- und Mobile-Office zu erbringen, sofern die Schutzmaßnahmen dieses AVV eingehalten werden.

5. Informations- und Unterstützungspflichten des Auftragnehmers

(1) Bei Störungen, Verdacht auf Datenschutzverletzungen oder sicherheitsrelevante Vorfälle wird der Auftragnehmer den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden in Schrift- oder elektronischer Form informieren. Die Meldungen sollen die in Art. 33 Abs. 3 DSGVO genannten Angaben enthalten.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Aufklärungs-, Abhilfe- und Informationsmaßnahmen im Rahmen des Zumutbaren.

(3) Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle erforderlich sind.

6. Sonstige Verpflichtungen des Auftragnehmers

(1) Der Auftragnehmer ist verpflichtet, sofern die Voraussetzungen des Art. 30 DSGVO zutreffen, ein Verzeichnis aller Kategorien von im Auftrag des Auftraggebers durchgeführten Verarbeitungstätigkeiten zu führen und dem Auftraggeber auf Verlangen zur Verfügung zu stellen.

(2) Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Erstellung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu unterstützen.

(3) Der Auftragnehmer bestätigt, dass er — soweit eine gesetzliche Verpflichtung besteht — einen Datenschutzbeauftragten bestellt hat.

(4) Sollten die Auftraggeberdaten beim Auftragnehmer durch Pfändung, Beschlagnahme oder Insolvenzverfahren gefährdet werden, informiert der Auftragnehmer den Auftraggeber unverzüglich, sofern nicht durch Anordnung untersagt.

7. Subunternehmerverhältnisse

(1) Der Auftragnehmer darf die Verarbeitung ganz oder teilweise durch weitere Auftragsverarbeiter (Unterauftragnehmer) erbringen lassen. Er informiert den Auftraggeber rechtzeitig vorab in Textform. Der Auftraggeber kann bei sachlichen Gründen innerhalb von vier Wochen nach Kenntnisnahme widersprechen.

(2) Kein Subunternehmerverhältnis liegt vor bei reinen Nebenleistungen wie Post-, Transport-, Reinigungs- oder Bewachungsleistungen.

(3) Der Auftragnehmer vereinbart mit Unterauftragnehmern die Regelungen dieses AVV inhaltsgleich; insbesondere müssen die TOM ein gleichwertiges Schutzniveau aufweisen.

(4) Der Auftragnehmer hat mit den in AVV-Anhang A genannten Unternehmen Subunternehmerverhältnisse begründet, denen der Auftraggeber mit Abschluss dieses AVV zustimmt. Neue Unterauftragnehmer werden in AVV-Anhang A eingetragen. Bei Widerspruch des Auftraggebers innerhalb von 3 Wochen ist der Auftragnehmer berechtigt, den Hauptvertrag innerhalb von 1 Woche zu kündigen, sollte keine alternative Lösung gefunden werden.

(5) Mit den Unterauftragnehmern hat der Auftragnehmer dem Abschnitt Subunternehmerverhältnisse entsprechende Auftragsverarbeitungsverträge geschlossen. Mit Wirksamwerden dieses AVV genehmigt der Auftraggeber die vorgenannten Unterauftragnehmer.

(6) Bestandteil der Auftragsverarbeitungsverträge mit den Unterauftragnehmern ist insbesondere, dass diese sicherstellen, angemessene und geeignete TOM nach Art. 32 DSGVO getroffen zu haben.

8. Kontrollrechte

(1) Der Auftraggeber ist berechtigt, sich regelmäßig von der Einhaltung der Regelungen dieses Vertrages zu überzeugen, z. B. durch Auskünfte, Vorlage von Zertifizierungen oder persönliche Prüfung zu den üblichen Geschäftszeiten durch einen sachkundigen Dritten, der nicht im Wettbewerb zum Auftragnehmer steht.

(2) Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang durchführen und angemessene Rücksicht auf die Betriebsabläufe nehmen.

(3) Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Erforderliche Verfahrensänderungen werden unverzüglich mitgeteilt.

9. Rechte Betroffener

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten nach Art. 12 bis 22 sowie Art. 32 bis 36 DSGVO und gibt dem Auftraggeber unverzüglich, spätestens innerhalb von 14 Werktagen, die gewünschte Auskunft.

(2) Macht ein Betroffener Rechte gemäß Art. 16 bis 18 DSGVO geltend, ist der Auftragnehmer verpflichtet, auf Weisung des Auftraggebers unverzüglich, spätestens binnen 7 Werktagen, zu berichtigen, zu löschen oder einzuschränken.

(3) Macht ein Betroffener Rechte unmittelbar gegenüber dem Auftragnehmer geltend, leitet dieser das Ersuchen an den Auftraggeber weiter und wartet dessen Weisungen ab.

10. Laufzeit und Kündigung

Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit Beendigung des Hauptvertrags. Sollte der Auftragnehmer vor Ablauf des Hauptvertrages keine Auftraggeberdaten mehr verarbeiten, endet dieser Vertrag ebenfalls automatisch.

11. Löschung und Rückgabe nach Vertragsende

(1) Der Auftragnehmer gibt nach Beendigung des Hauptvertrags alle ihm überlassenen Unterlagen, Daten und Datenträger zurück oder löscht diese auf Wunsch des Auftraggebers vollständig und unwiderruflich, sofern nicht gesetzliche Aufbewahrungsfristen entgegenstehen. Dokumentationen zum Nachweis ordnungsgemäßer Verarbeitung sind 6 Monate aufzubewahren.

(2) Der Auftragnehmer bestätigt die Löschung elektronisch. Der Auftraggeber hat das Recht, die vollständige Rückgabe bzw. Löschung zu kontrollieren.

(3) Der Auftragnehmer ist verpflichtet, auch nach Vertragsende die bekannt gewordenen Daten vertraulich zu behandeln.

12. Haftung

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Eine Haftung des Auftragnehmers gegenüber dem Auftraggeber wegen Verletzung von Pflichten aus diesem Vertrag bleibt unberührt.

(2) Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist.

13. Vertraulichkeit und Datengeheimnis

(1) Der Auftragnehmer verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Auftraggeber obliegen.

(2) Es besteht eine Verschwiegenheitspflicht für Mitarbeiter des Auftragnehmers und durch ihn beauftragte Dritte gemäß Art. 28 Abs. 3 lit. b DSGVO.

(3) Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind und er die beschäftigten Mitarbeiter auf die Einhaltung der Datenschutzvorschriften verpflichtet.

(4) Die Verschwiegenheitspflichten bestehen auch nach Beendigung des Vertragsverhältnisses fort.

(5) Der Auftragnehmer ist verpflichtet, alle im Rahmen der Leistungserbringung erlangten Informationen und Daten geheim zu halten und nicht an Dritte weiterzugeben.

14. Schlussbestimmungen

(1) Die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer i.S.d. § 273 BGB hinsichtlich der zu verarbeitenden Daten ist ausgeschlossen.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der elektronischen Form.

(3) Die Regelungen dieses Vertrags gehen im Zweifel den Regelungen des Hauptvertrags vor. Unwirksame Bestimmungen werden durch wirtschaftlich gleichwertige Regelungen ersetzt.

(4) Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist der Sitz des Auftragnehmers (Berlin).

Festlegungen zum Vertrag

AVV-Anhang A: Unterauftragnehmer (Subprozessoren)

Stand: Juli 2026. Wesentliche Änderungen werden dem Auftraggeber gemäß Abschnitt 7 dieses AVV rechtzeitig mitgeteilt.

AVV-Anhang B: Technische und organisatorische Maßnahmen (TOM)

Hinweis zur Umsetzung der technischen und organisatorischen Maßnahmen

Die nachfolgenden technischen und organisatorischen Maßnahmen werden je nach Verantwortungsbereich durch die Berliner Abendblatt Medienhaus GmbH als Auftragnehmer, durch die ViralSpoon GmbH als eingesetzten technischen Plattform- und Unterauftragnehmer sowie durch die jeweils eingesetzten Subprozessoren umgesetzt.

Soweit Maßnahmen den technischen Betrieb der ViralSpoon-Plattform, Hosting, Datenbanken, KI-Funktionen, Social-Media-Schnittstellen, Logging, Verschlüsselung, Backup, Zugriffskontrollen oder sonstige Plattform- und Infrastrukturleistungen betreffen, werden diese ganz oder teilweise durch die ViralSpoon GmbH und/oder deren Subprozessoren umgesetzt.

Die Berliner Abendblatt Medienhaus GmbH stellt im Rahmen ihrer Verantwortlichkeit als Auftragnehmer sicher, dass die eingesetzten Unterauftragnehmer auf ein angemessenes Schutzniveau verpflichtet werden und die in diesem Anhang beschriebenen Maßnahmen insgesamt ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO gewährleisten.

Verantwortliche für die Datenverarbeitung sind gemäß Art. 32 DSGVO verpflichtet, technische und organisatorische Maßnahmen zu treffen, durch die die Sicherheit der Verarbeitung personenbezogener Daten gewährleistet wird. Diese Übersicht erläutert, welche konkreten Maßnahmen durch den Auftragnehmer im Hinblick auf die Verarbeitung personenbezogener Daten getroffen sind.