Vereinbarung zur Auftragsverarbeitung

Anlage zu den Nutzungsbedingungen von DM Deck  ·  Stand 9. September 2026

Warum es diese Vereinbarung gibt

Wenn du DM Deck nutzt, verarbeiten wir personenbezogene Daten der Menschen, die unter deinen Beiträgen kommentieren und dir schreiben. Für diese Daten bist du der Verantwortliche, wir sind dein Auftragsverarbeiter. Art. 28 DSGVO verlangt dafür einen Vertrag. Er kommt mit der Annahme der Nutzungsbedingungen zustande.

1Parteien

Verantwortlicher: du als Nutzer der App, mit dem verbundenen Instagram-Konto.

Auftragsverarbeiter: TS GmbH, Adolf-Kaschny-Straße 19, 51373 Leverkusen, Deutschland, vertreten durch den Geschäftsführer Tim Stammberger.

2Gegenstand und Dauer

Gegenstand ist die Verarbeitung der in Abschnitt 3 genannten Daten zum Zweck der Erbringung der in den Nutzungsbedingungen beschriebenen Leistung. Die Vereinbarung läuft, solange dein Konto besteht, und endet mit seiner Löschung.

3Art der Daten und betroffene Personen

Betroffene Personen: Instagram-Nutzer, die deine Beiträge kommentieren oder dir Direktnachrichten geschrieben haben.

Datenarten:

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Da Kommentare frei formulierter Text sind, können sie im Einzelfall dennoch solche Angaben enthalten. Wir verarbeiten sie in diesem Fall nur, soweit es zur Erbringung der Leistung unvermeidbar ist, und werten sie nicht gesondert aus.

4Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf deine Weisung und zu den vereinbarten Zwecken. Deine Weisungen erteilst du durch die Nutzung der App: welche Beiträge überwacht werden, welche Kommentare beantwortet, verworfen oder gelöscht werden, entscheidest du.

Halten wir eine Weisung für rechtswidrig, teilen wir dir das mit und dürfen ihre Ausführung aussetzen.

5Unterauftragsverarbeiter

Du stimmst dem Einsatz folgender Unterauftragsverarbeiter zu:

Mit allen bestehen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen. Für die Übermittlung an Anthropic in die USA gelten die Standardvertragsklauseln der EU-Kommission (Modul 3) nebst ergänzenden Maßnahmen; Anthropic nutzt die Daten nach vertraglicher Zusicherung nicht zum Training eigener Modelle.

Einen Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters kündigen wir 30 Tage vorher in der App an. Du kannst widersprechen; ist die Leistung dann nicht mehr erbringbar, darfst du fristlos kündigen.

6Technische und organisatorische Maßnahmen

Wir treffen insbesondere folgende Maßnahmen nach Art. 32 DSGVO:

• Trennung der Mandanten: Jeder Zugriff ist an ein Konto gebunden. Jede Datenbankabfrage filtert nach Konto, zusätzlich ist der Zugriffsschutz auf Datenbankebene aktiviert (Row Level Security). Die Trennung wird durch ein automatisiertes Prüfverfahren regelmäßig nachgewiesen.
• Verschlüsselung: Übertragung ausschließlich über TLS. Daten im Ruhezustand sind auf Speicherebene verschlüsselt.
• Zugangsschlüssel: Der Instagram-Zugriffsschlüssel liegt auf dem Server und wird der App nie übermittelt. Der Sitzungsschlüssel des Geräts liegt im Schlüsselbund des Geräts; gespeichert wird bei uns nur sein Hashwert.
• Signaturprüfung: Eingehende Meldungen von Meta und Apple werden kryptografisch geprüft und andernfalls verworfen.
• Zugriffsbeschränkung: Zugriff auf Produktivdaten haben nur die für den Betrieb notwendigen Personen.
• Protokollierung: Hintergrundläufe und Fehler werden protokolliert, um Störungen zu erkennen. Die Protokolle werden nach 90 Tagen gelöscht.
• Datenminimierung: Pro Beitrag werden höchstens 500 Kommentare erfasst; aus Direktnachrichten werden nur Textauszüge ohne Namen gespeichert.

7Unterstützung bei Betroffenenrechten

Wendet sich eine betroffene Person an uns, verweisen wir sie an dich und informieren dich unverzüglich. Wir unterstützen dich bei Auskunft, Berichtigung und Löschung, insbesondere durch:

• die Löschung einzelner Kommentare aus der App heraus
• die vollständige Löschung deines Kontos samt aller Inhalte
• die Bereitstellung der zu einer Person gespeicherten Daten auf Anfrage

8Meldung von Verletzungen

Wir melden dir eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, und unterstützen dich bei deinen Meldepflichten nach Art. 33 und 34 DSGVO.

9Nachweise und Kontrolle

Auf Anfrage weisen wir die Einhaltung der Pflichten aus dieser Vereinbarung nach, insbesondere durch Auskunft über die Maßnahmen aus Abschnitt 6. Du darfst Kontrollen durchführen; sie sind mit angemessener Vorlaufzeit anzukündigen und dürfen den Betrieb nicht unangemessen beeinträchtigen.

10Löschung nach Ende

Nach Ende der Vereinbarung löschen wir die verarbeiteten Daten, sobald du dein Konto löschst, spätestens sechs Monate nach der letzten Anmeldung. Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden bis zum Ablauf der Frist gesperrt statt gelöscht.

11Haftung

Es gilt Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsregelungen der Nutzungsbedingungen entsprechend.