Auftragsverarbeitungsvertrag (AVV)

Stand: August 2026 · nach Art. 28 DSGVO

Dieser Vertrag regelt, wie Pitoora personenbezogene Daten verarbeitet, die du als Kunde in das Tool einbringst – etwa die Kontaktdaten deiner Newsletter-Empfänger. Für diese Daten bist du der Verantwortliche, wir sind dein Auftragsverarbeiter. Er wird mit Abschluss des Nutzungsvertrages Bestandteil der AGB und gilt für dessen gesamte Laufzeit.

1. Vertragsparteien

Auftragsverarbeiter
CreateBetter.Design
Inhaber: Christian Radmann-Bender
Ohlenhohnstraße 18 (Pavillon)
53819 Neunkirchen-Seelscheid
E-Mail: hallo@pitoora.de

Verantwortlicher
Der Kunde gemäß den bei der Registrierung angegebenen Rechnungsdaten.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Pitoora Marketing-Suite. Die Dauer entspricht der Laufzeit des Nutzungsvertrages; sie endet mit dessen Beendigung und der anschließenden Löschung oder Rückgabe der Daten.

3. Art, Zweck und Umfang der Verarbeitung

Verarbeitet wird ausschließlich, was für den Betrieb des Tools erforderlich ist:

  • Speichern und Verwalten von Kontakten, Inhalten und Betriebsdaten in unserer Datenbank
  • Erzeugen von Inhalten (Posts, Newsletter, Blogbeiträge) über einen KI-Dienst
  • Versenden von Newslettern und System-E-Mails an die von dir hinterlegten Empfänger
  • Veröffentlichen von Inhalten auf den von dir verbundenen Kanälen

Eine Nutzung der Daten zu eigenen Zwecken – insbesondere zum Training von KI-Modellen, zu Werbezwecken oder zur Weitergabe an Dritte – findet nicht statt.

4. Kategorien betroffener Personen und Daten

Betroffene Personen: Newsletter-Empfänger und Kontakte des Kunden, Nutzer:innen des Kundenkontos, Besucher:innen der Websites des Kunden (bei Einsatz des Chatbots).

Datenkategorien: Name, E-Mail-Adresse, Anrede, Einwilligungs- und Bestätigungszeitpunkt (Double-Opt-in), Kommunikationsverlauf sowie inhaltliche Angaben, die der Kunde selbst einträgt.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrages und dürfen nicht in das Tool eingegeben werden.

5. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung der Funktionen des Tools gilt als Weisung. Halten wir eine Weisung für rechtswidrig, weisen wir darauf hin und dürfen die Ausführung aussetzen.

6. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorschriften unterrichtet. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  • Transportverschlüsselung: Alle Verbindungen laufen ausschließlich über TLS.
  • Zugangskontrolle: Anmeldung über Magic-Link; Sitzungen laufen automatisch ab.
  • Zugriffskontrolle: Mandantentrennung auf Datenbankebene – jeder Betrieb sieht ausschließlich die eigenen Daten. Rollen- und Sitzplatzverwaltung je Konto.
  • Serverstandort: Deutschland (siehe Ziffer 8).
  • Nicht-Ausliefern von Datenbeständen: Datenbank- und Konfigurationsdateien sind serverseitig von der Auslieferung ausgeschlossen.
  • Verfügbarkeit: Regelmäßige Sicherungen durch den Hosting-Dienstleister.
  • Datenminimierung: An den KI-Dienst wird nur der für die jeweilige Erzeugung nötige Kontext übermittelt.

8. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

  • ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland – Hosting, Datenbank und Versand der System-E-Mails. Serverstandort Deutschland.
  • OpenAI, L.L.C., San Francisco, USA – Erzeugung von Texten und Bildern. Übermittelt werden Teile des Firmenprofils als Kontext. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln.
  • Brevo (Sendinblue GmbH), Köpenicker Straße 126, 10179 Berlin – Versand von Newslettern an die vom Kunden hinterlegten Empfänger. Serverstandort EU.
  • Pexels GmbH, Berlin, Deutschland – Abruf lizenzfreier Bilder. Personenbezogene Daten des Kunden werden dabei nicht übermittelt.

Über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters informieren wir mindestens vier Wochen vorher per E-Mail. Der Kunde kann innerhalb dieser Frist widersprechen; in diesem Fall darf er den Vertrag zum Wirksamwerden der Änderung kündigen.

9. Unterstützung des Verantwortlichen

Wir unterstützen den Kunden bei der Beantwortung von Betroffenenanfragen (Art. 15–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldepflichten. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir den Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und beantworten sie nicht selbst.

10. Nachweis und Kontrolle

Wir stellen dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses Vertrages erforderlichen Informationen zur Verfügung. Kontrollen erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

11. Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrages löschen wir die verarbeiteten Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Vor Ablauf dieser Frist kann der Kunde seine Daten in einem gängigen Format exportieren. Rechnungs- und Buchhaltungsdaten bewahren wir nach den handels- und steuerrechtlichen Fristen auf; sie sind nicht Gegenstand dieses Vertrages.

12. Schlussbestimmungen

Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Änderungen bedürfen der Textform.

Fragen zu diesem Vertrag: hallo@pitoora.de