Auftragsverarbeitungsvertrag (AVV) — Creator ↔ StackManagement

zwischen

dem Creator — Vertragspartner der StackManagement UG (haftungsbeschränkt)
gemäß Hauptvertrag (AGB nebst Leistungsbeschreibung), nachfolgend
„Verantwortlicher" —

und

der StackManagement UG (haftungsbeschränkt), Bergstraße 4,
84107 Weihmichl, nachfolgend „Auftragsverarbeiter" —

gemeinsam die „Parteien".

Stand: 05.08.2026

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter erbringt für den Verantwortlichen die im
   Hauptvertrag beschriebenen Plattform-Leistungen. Dabei verarbeitet er
   personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag
   konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach
   Art. 28 DSGVO.
2. Gegenstand der Auftragsverarbeitung sind ausschließlich die in
   Anlage 1 beschriebenen Verarbeitungen (Geschäftskorrespondenz und
   Postfach einschließlich KI-Sortierung, digitalisierte Briefpost,
   Kontaktbuch, Kooperations- und Angebotsdaten, Buchhaltung einschließlich
   Belegen und Archiv, Hosting und Veröffentlichung der öffentlichen Seiten
   und Rechtstexte des Verantwortlichen). Nicht Gegenstand dieses Vertrags
   sind Verarbeitungen, für die der Auftragsverarbeiter selbst
   Verantwortlicher ist (insbesondere Konto, Abrechnung, Identitätsprüfung,
   Sicherheit; siehe Datenschutzerklärung der Plattform).
3. Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Eine gesonderte
   Kündigung dieses Vertrags ist ausgeschlossen; er endet mit dem
   Hauptvertrag. §§ 10 und 4 gelten über das Vertragsende hinaus, soweit
   dort bestimmt.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die
   Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Die Verarbeitung findet ausschließlich in Mitgliedstaaten der
   Europäischen Union oder des EWR statt. Eine Übermittlung in Drittländer
   erfolgt im Rahmen dieses Vertrags nicht.
3. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung
   (Art. 6, ggf. Art. 9 DSGVO) sowie für die Wahrung der Rechte der
   betroffenen Personen verantwortlich. Ihm obliegt insbesondere die
   Beurteilung, ob und auf welcher Grundlage er besondere Kategorien
   personenbezogener Daten (z. B. in E-Mail-Inhalten) verarbeitet.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich
   auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3
   lit. a DSGVO), sofern er nicht durch Unions- oder Mitgliedstaatenrecht
   zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem
   Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern
   das Recht dies nicht verbietet.
2. Dokumentierte Weisungen sind:
   a) die Nutzung der Plattform-Funktionen durch den Verantwortlichen (jede
   Aktion in der Anwendung (z. B. Senden, Archivieren, Löschen,
   Festschreiben, Veröffentlichen) gilt als Einzelweisung),
   b) die in Anlage 1 niedergelegten Standing-Weisungen, insbesondere:
   die automatische KI-Sortierung des Posteingangs, die Archivierung
   festgeschriebener Buchhaltungsdaten für 10 Jahre (GoBD/§ 147 AO,
   Aufbewahrungspflichtiger ist der Verantwortliche), das
   Archivieren-statt-Löschen von Geschäftspost sowie die Übertragung der
   Rechtstexte an Pastely bei aktivierter Integration,
   c) individuelle Weisungen in Textform an
   auftragsverarbeitung@stack.management.
3. Weisungen, die vom vertraglich vereinbarten Funktionsumfang abweichen,
   kann der Auftragsverarbeiter ablehnen oder von einer gesonderten
   Vergütungsvereinbarung abhängig machen.
4. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig,
   informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2
   DSGVO) und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Fernmeldegeheimnis und Zugriffsbeschränkung

1. Für das Postfach und die Briefpost gilt das Fernmeldegeheimnis
   (§ 3 TDDDG). Diese Pflichten treffen den
   Auftragsverarbeiter unmittelbar und unabhängig von diesem Vertrag.
2. Der Auftragsverarbeiter gewährleistet durch technische Gestaltung, dass
   Nachrichteninhalte ausschließlich den beiden dafür bestimmten
   Systemprozessen (Postfach-Synchronisierung, KI-Sortierung) zugänglich
   sind. Es besteht keine Support- oder Administrations-Funktion mit
   Zugriff auf Nachrichteninhalte; jeder inhaltsbezogene Systemzugriff wird
   revisionssicher protokolliert (Aufbewahrung 12 Monate).
3. Ein menschlicher Zugriff auf Inhalte digitalisierter Briefpost erfolgt
   nur im für das Scannen erforderlichen Umfang durch besonders
   verpflichtetes Personal und wird je Vorgang protokolliert.

§ 5 Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Der Auftragsverarbeiter setzt nur Personen ein, die
   zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b, Art. 29
   DSGVO) und, soweit sie mit Postfach- oder Briefdaten in Berührung
   kommen können, auf das Fernmeldegeheimnis verpflichtet sind.
2. Technische und organisatorische Maßnahmen: Der Auftragsverarbeiter
   trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO
   und entwickelt sie dem Stand der Technik entsprechend fort;
   Schutzniveau-Absenkungen sind unzulässig.
3. Verzeichnis: Der Auftragsverarbeiter führt ein Verzeichnis der
   Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
4. Der Auftragsverarbeiter benennt dem Verantwortlichen einen
   Datenschutz-Kontakt: auftragsverarbeitung@stack.management.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28
   Abs. 2 DSGVO) zum Einsatz der in Anlage 3 aufgeführten
   Unterauftragsverarbeiter.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte
   Änderungen (Hinzuziehung oder Ersetzung) mindestens 30 Tage vor
   Wirksamwerden in Textform (E-Mail oder In-App-Mitteilung). Der
   Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund
   widersprechen; können sich die Parteien nicht einigen, dürfen beide den
   Hauptvertrag zum Wirksamwerden der Änderung außerordentlich kündigen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter durch
   Vertrag auf mindestens das Schutzniveau dieses Vertrags (Art. 28 Abs. 4
   DSGVO) und bleibt für deren Leistungen verantwortlich.
4. Unterauftragsverarbeiter mit Sitz oder Verarbeitung außerhalb der EU/des
   EWR werden im Rahmen dieses Vertrags nicht eingesetzt.

§ 7 Unterstützung des Verantwortlichen

1. Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO): Der
   Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten
   Mitteln. Die Plattform stellt hierfür Selbstbedienungs-Funktionen bereit
   (u. a. Postfach-Export MBOX/EML, Datenexport, Lösch-/Archivfunktionen);
   soweit diese ausreichen, gilt die Unterstützungspflicht als erfüllt.
   Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen,
   leitet er unverzüglich an den Verantwortlichen weiter und beantwortet
   sie nicht selbst inhaltlich.
2. Art. 32–36 DSGVO (Art. 28 Abs. 3 lit. f): Der Auftragsverarbeiter
   unterstützt bei der Sicherheit der Verarbeitung, bei
   Datenschutz-Folgenabschätzungen und Konsultationen, soweit sich diese
   auf die Auftragsverarbeitung beziehen, unter Berücksichtigung der ihm
   zur Verfügung stehenden Informationen.

§ 8 Meldung von Verletzungen

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des
   Schutzes personenbezogener Daten, die die Auftragsdaten betrifft,
   unverzüglich (Art. 33 Abs. 2 DSGVO), spätestens innerhalb von
   48 nach Kenntnis, mit den Angaben nach
   Art. 33 Abs. 3 DSGVO, soweit verfügbar (Nachlieferung zulässig).
2. Die Meldung an Aufsichtsbehörden und betroffene Personen (Art. 33/34
   DSGVO) obliegt dem Verantwortlichen; bei Verletzungen des
   Fernmeldegeheimnisses bleiben eigene gesetzliche Pflichten des
   Auftragsverarbeiters unberührt.

§ 9 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis
   der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur
   Verfügung (Art. 28 Abs. 3 lit. h DSGVO), vorrangig durch: aktuelle
   Anlage-2-Dokumentation, Prüfberichte, Zertifizierungen oder
   Selbstauskünfte.
2. Weitergehende Kontrollen (einschließlich Inspektionen) sind nach
   Terminabstimmung während üblicher Geschäftszeiten zulässig, höchstens
   einmal jährlich, sofern kein konkreter Anlass besteht. Kontrollen dürfen
   weder Nachrichteninhalte noch Daten anderer Kunden zugänglich machen;
   § 4 bleibt unberührt. Kosten anlassloser Kontrollen trägt der
   Verantwortliche.

§ 10 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

1. Während der Laufzeit löscht oder archiviert der Auftragsverarbeiter
   Auftragsdaten gemäß den Weisungen nach § 3 (Plattform-Funktionen).
2. Bei Vertragsende stellt der Auftragsverarbeiter dem Verantwortlichen
   die Auftragsdaten über die Export-Funktionen für 30 Tage zur Verfügung.
   Nach Ablauf der Frist löscht
   er alle Auftragsdaten einschließlich Sicherungskopien, soweit keine
   gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters
   entgegensteht oder dies einen technisch unverhältnismäßig hohen Aufwand darstellt;
   solche Daten werden gesperrt und nur noch hierfür verarbeitet.
3. Die handels- und steuerrechtliche Archivierung seiner Geschäftsunterlagen
   (einschließlich Geschäftspost und Buchhaltung) nach Vertragsende obliegt
   dem Verantwortlichen; der Export nach Abs. 2 dient diesem Zweck.
4. Die Löschung wird auf Verlangen schriftlich bestätigt.

§ 11 Haftung

Die Parteien haften im Außenverhältnis nach Art. 82 DSGVO. Im
Innenverhältnis stellen sich die Parteien von Ansprüchen frei, soweit die
jeweils andere Partei den Schaden zu vertreten hat.

§ 12 Schlussbestimmungen

1. Bei Widersprüchen zu den AGB gehen die Regelungen dieses Vertrags in
   datenschutzrechtlichen Fragen vor.
2. Änderungen bedürfen der Textform. Es gilt deutsches Recht.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im
   Übrigen wirksam.

---

Anlage 1: Gegenstand der Verarbeitung

Standing-Weisungen sind je Verarbeitung vermerkt; alle Verarbeitungen
erfolgen ausschließlich innerhalb der EU/des EWR.

Verarbeitung	Zweck	Datenarten	Betroffene Personen	Standing-Weisungen / Besonderheiten
Postfach (…@creator.stack.management)	Betrieb des geschäftlichen E-Mail-Postfachs: Empfang, Anzeige, Versand, Suche, Anhänge	Nachrichteninhalte und Anhänge, Verkehrsdaten (Absender/Empfänger, Betreff, Zeitpunkte); Inhalte können unvorhersehbar auch besondere Kategorien (Art. 9 DSGVO) enthalten	Korrespondenzpartner des Verantwortlichen; der Verantwortliche selbst	Fernmeldegeheimnis (§ 4); Löschen archiviert Geschäftspost zunächst; KI-Sortierung s. u.
KI-Sortierung des Posteingangs	Spam-/Belästigungsfilter, Kategorisierung	Absender, Betreff, Textanfang (begrenzt); nie Anhänge	wie Postfach	Standing-Weisung; Verarbeitung nur auf eigener Infrastruktur, Eingaben flüchtig, kein Training; vom Verantwortlichen konfigurierbar
Digitalisierte Briefpost	Annahme, Öffnung, Scan und Bereitstellung von Briefen an die Service-Adresse	Briefinhalte (Scan), Absenderdaten, Metadaten	Absender von Briefpost; der Verantwortliche	Öffnen/Scannen nur nach gesonderter Einwilligung des Verantwortlichen (Onboarding); menschlicher Zugriff nur zum Scannen, protokolliert; Abrechnung zählt nur Stückzahl
Kontaktbuch	Adressbuch des Verantwortlichen	Name/Firma, E-Mail-Adressen, Anschrift, Notizen, Herkunftsmarker	Geschäftskontakte des Verantwortlichen	Vorschläge aus Mail nutzen nur Verkehrsdaten, nie Inhalte
Kooperationen & Angebotsseiten	Verwaltung von Kooperationen; Zustellung und Abwicklung öffentlicher Angebote	Brand-Kontaktdaten (Firma, Ansprechpartner, E-Mail), Konditionen, Nachweise; Annahme-Nachweis (Zeitpunkt, IP, Browser-Kennung)	Ansprechpartner von Brands	Annahme-Nachweis wird 3 Jahre als Beweis des Vertragsschlusses gehalten [OFFEN: Frist]
Buchhaltung & Belege	Rechnungsstellung des Verantwortlichen, Buchführung (EÜR/UStVA), Beleg-Archiv	Rechnungs- und Beleg-Daten von Geschäftspartnern (Name, Anschrift, Steuer-IDs, Beträge), Buchungssätze, Bankverbindung des Verantwortlichen, freiwillige Steuer-Schätzwerte	Rechnungsempfänger, Lieferanten; der Verantwortliche	Standing-Weisung: revisionssichere Aufbewahrung festgeschriebener Daten für 10 Jahre (§ 147 AO/GoBD — Pflicht des Verantwortlichen); KI-Beleg-Erkennung auf eigener Infrastruktur
Öffentliche Seiten & Rechtstexte	Hosting der Portfolio-Seite; Veröffentlichung von Impressum und Datenschutzerklärung des Verantwortlichen; Übertragung an Pastely bei aktivierter Integration	Veröffentlichte Profil-/Portfolio-Inhalte, Impressums-/Rechtstext-Daten (Name, ladungsfähige Anschrift, Kontakt, USt-IdNr.)	der Verantwortliche; von ihm veröffentlichte Personen	Veröffentlichung nur nach aktiver Freischaltung; Pastely-Übertragung als Standing-Weisung bei aktivierter Integration (Unterauftragsverarbeiter, Anlage 3)

Nicht Auftragsverarbeitung (eigene Verantwortlichkeit des
Auftragsverarbeiters, siehe Datenschutzerklärung): Konto/Anmeldung,
Abrechnung des Abos, Identitätsprüfung, Sicherheits-/Zugriffsprotokolle,
Kontingent-Zählung, Creator-Discovery, Benachrichtigungen, Support.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Transportverschlüsselung für alle Verbindungen;
  Verschlüsselung ruhender sensibler Daten (nach Stand der Technik, dokumenten- bzw.
  vorgangsbezogene Schlüssel: Brief-Scans, Belege, Beratungs- und
  KYC-Daten, Postfach-Zugangsdaten).
• Zugriffskontrolle: rollenbasierte Rechte nach dem
  Minimal-Prinzip; Administrations-Zugang nur über zentrales SSO mit
  Mehrfaktor-Authentifizierung; keine Admin-Funktion mit Zugriff auf
  Nachrichten- oder Beratungs-Inhalte (technisch ausgeschlossen);
  Datenbank-Rollen für Menschen ohne Zugriff auf Postfach-Tabellen.
• Protokollierung: revisionssichere Audit-Protokolle für
  Verwaltungshandlungen und jeden Aufruf sensibler Dokumente;
  Zugriffs-Protokoll für Nachrichteninhalte (12 Monate).
• Trennung: mandantenbezogene Datentrennung auf Datenbankebene;
  Ereignis-Kanäle strikt nutzerbezogen.
• KI-Verarbeitung: ausschließlich selbst betriebene Modelle; Eingaben
  flüchtig, keine Inhalts-Protokollierung, kein Training mit Auftragsdaten.
• Datensparsamkeit: keine Speicherung von Suchbegriffen; inhaltsfreie
  Benachrichtigungen; minimierte Push-Inhalte.
• Personal: Vertraulichkeits- und Fernmeldegeheimnis-Verpflichtung sowie interne Schulungen.
• Verfügbarkeit & Wiederherstellung: Mehrstufiges Backup-Konzept.
• Standort: Verarbeitung in der EU.

Anlage 3: Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Sitz / Verarbeitungsort
Pastely (StackForge UG (haftungsbeschränkt), 84107 Weihmichl)	Link-in-Bio-Seite, Veröffentlichung der Rechtstexte (nur bei aktivierter Integration)	EU; AVV liegt vor
StackForge UG (haftungsbeschränkt), 84107 Weihmichl	Server-Infrastruktur	EU; AVV liegt vor
StackForge UG (haftungsbeschränkt), 84107 Weihmichl	verschlüsselte Datei-Ablage	EU; AVV liegt vor
StackForge UG (haftungsbeschränkt), 84107 Weihmichl	KI-Verarbeitung (Sortierung, Beleg-Erkennung)	EU; AVV liegt vor
StackForge UG (haftungsbeschränkt), 84107 Weihmichl	E-Mail-Infrastruktur	EU; AVV liegt vor

Konzerninterne Hilfsdienste ohne Zugriff auf Auftragsdaten (z. B.
Quellcode-Verwaltung) sind keine Unterauftragsverarbeiter.