Auftragsverarbeitungsvertrag

Version: 1.1 · Stand: November 2026

Mit CitrusTools verarbeitet der Nutzer nicht nur eigene Daten, sondern auch personenbezogene Daten Dritter – zum Beispiel von Zuschauer:innen im Twitch-Chat, Mitgliedern seines Discord-Servers oder Personen, die seine Beiträge kommentieren. Für diese Daten ist der Nutzer datenschutzrechtlich Verantwortlicher; der Anbieter verarbeitet sie in seinem Auftrag. Für eine solche Auftragsverarbeitung schreibt Art. 28 der Datenschutz-Grundverordnung (DSGVO) einen Vertrag vor. Dieser Auftragsverarbeitungsvertrag (AVV) erfüllt diese Pflicht.

Dieser Vertrag wird geschlossen zwischen dem Nutzer der Plattform CitrusTools

(nachfolgend „Nutzer" oder „Verantwortlicher")

und

CitrusTools - Pascal Weber
c/o Online-Impressum.de #5806
Europaring 90, 53757 Sankt Augustin
E-Mail: info@citrustools.de
(nachfolgend „Anbieter" oder „Auftragsverarbeiter")

1. Gegenstand und Dauer

1.1 Gegenstand: Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Nutzers im Rahmen der Nutzung der unter citrustools.de angebotenen Dienste gemäß den Allgemeinen Geschäftsbedingungen (AGB).

1.2 Dauer: Die Laufzeit dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Mit Beendigung des Nutzungsvertrags endet auch dieser Vertrag, ohne dass es einer gesonderten Kündigung bedarf. Regelungen, die über das Vertragsende hinaus wirken (insbesondere Ziffer 9), bleiben unberührt.

1.3 Vertragsschluss: Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB, Ziffer 10) und wird mit dem Nutzungsvertrag geschlossen. Er ist jederzeit unter citrustools.de/avv/ abrufbar und kann gespeichert oder ausgedruckt werden. Das elektronische Format genügt gemäß Art. 28 Abs. 9 DSGVO dem Schriftformerfordernis.

2. Art, Zweck, Datenkategorien und Betroffene

Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten, die Kategorien betroffener Personen sowie die jeweilige Speicherdauer ergeben sich aus Anlage 1.

3. Weisungen

3.1 Weisungsgebundenheit: Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Nutzers, sofern er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Anbieter dem Nutzer diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Form der Weisungen: Als Weisung gilt die Konfiguration und Nutzung der Tools durch den Nutzer in seinem Konto. Darüber hinausgehende Weisungen erteilt der Nutzer in Textform an info@citrustools.de.

3.3 Hinweispflicht: Ist der Anbieter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Nutzer unverzüglich darauf hin. Der Anbieter ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis sie vom Nutzer bestätigt oder geändert wird.

4. Verbundene Plattformen

Twitch, Discord, Meta/Instagram, Bluesky sowie Mastodon- und Pixelfed-Instanzen sind keine Unterauftragsverarbeiter des Anbieters. Diese Plattformen werden vom Nutzer selbst mit seinem Konto verbunden. Übermittlungen personenbezogener Daten an diese Plattformen (und Abrufe von diesen Plattformen) erfolgen auf Weisung des Nutzers im Rahmen seiner eigenen Vertragsverhältnisse mit den jeweiligen Plattformbetreibern.

5. Pflichten des Anbieters

5.1 Vertraulichkeit: Der Anbieter gewährleistet, dass sich alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5.2 Technische und organisatorische Maßnahmen: Der Anbieter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Die getroffenen technischen und organisatorischen Maßnahmen (TOM) sind in Anlage 2 beschrieben. Der Anbieter darf diese Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

5.3 Unterstützung bei Betroffenenrechten: Der Anbieter unterstützt den Nutzer mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO). Hierzu stehen dem Nutzer in seinem Konto Funktionen zum Export und zur Löschung von Daten zur Verfügung. Darüber hinausgehende Anfragen richtet der Nutzer an info@citrustools.de. Wendet sich eine betroffene Person direkt an den Anbieter, leitet dieser die Anfrage unverzüglich an den Nutzer weiter.

5.4 Unterstützung bei Art. 32–36 DSGVO: Der Anbieter unterstützt den Nutzer unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

5.5 Meldung von Datenschutzverletzungen: Der Anbieter meldet dem Nutzer Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch 48 Stunden nach Kenntnisnahme. Die Meldung enthält, soweit bekannt, die in Art. 33 Abs. 3 DSGVO genannten Angaben.

5.6 Ort der Verarbeitung: Die Verarbeitung der Daten erfolgt ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland und Finnland und damit innerhalb der Europäischen Union. Eine Übermittlung in Drittländer findet durch den Anbieter nicht statt; Ziffer 4 bleibt unberührt.

6. Unterauftragsverarbeiter

6.1 Genehmigte Unterauftragsverarbeiter: Der Nutzer genehmigt die Beauftragung der in Anlage 3 aufgeführten Unterauftragsverarbeiter. Der Anbieter verpflichtet diese vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind.

6.2 Änderungen: Der Anbieter informiert den Nutzer mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail oder im Konto.

6.3 Widerspruchsrecht: Der Nutzer kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine einvernehmliche Lösung zustande, steht dem Nutzer ein Sonderkündigungsrecht für den Nutzungsvertrag zu.

7. Kontrollrechte des Nutzers

7.1 Auskünfte und Unterlagen: Der Anbieter stellt dem Nutzer auf Anfrage alle erforderlichen Informationen und Unterlagen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten zur Verfügung.

7.2 Vor-Ort-Prüfungen: Der Nutzer ist berechtigt, Überprüfungen – einschließlich Inspektionen – selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchzuführen. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung von mindestens 14 Tagen anzumelden, finden während der üblichen Geschäftszeiten statt und sind so durchzuführen, dass der Betrieb des Anbieters nicht gestört wird.

8. Pflichten des Nutzers

• Rechtmäßigkeit: Der Nutzer ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, verantwortlich.
• Information der Betroffenen: Der Nutzer informiert die betroffenen Personen gemäß Art. 13 und 14 DSGVO über die Verarbeitung, z. B. durch einen Datenschutzhinweis in seinem Kanal oder auf seinem Discord-Server.
• Fehlermeldung: Stellt der Nutzer Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Anbieter unverzüglich.

9. Löschung und Rückgabe nach Vertragsende

Mit der Löschung des Kontos werden die im Auftrag verarbeiteten personenbezogenen Daten gelöscht. Vor der Löschung kann der Nutzer seine Daten über die Exportfunktion im Konto herunterladen. Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden nach Ablauf der jeweiligen Frist gelöscht.

10. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.

11. Schlussbestimmungen

11.1 Vorrang: In Fragen des Datenschutzes gehen die Regelungen dieses Vertrags den AGB vor.

11.2 Änderungen: Änderungen dieses Vertrags werden dem Nutzer nach den Regeln für Änderungen der AGB (Ziffer 11 der AGB) mitgeteilt.

11.3 Anwendbares Recht: Es gilt das Recht der Bundesrepublik Deutschland.

11.4 Salvatorische Klausel: Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Anlage 1 – Art, Zweck, Datenkategorien und Betroffene

Zweck der Verarbeitung ist die Bereitstellung der vom Nutzer aktivierten Tools der Plattform CitrusTools. Die Verarbeitung umfasst insbesondere das Erheben, Speichern, Auswerten, Anzeigen und Löschen der nachfolgend genannten Daten.

Welche Bereiche tatsächlich genutzt werden, entscheidet der Nutzer durch Aktivierung der jeweiligen Tools.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Vertraulichkeit

• Hosting ausschließlich in ISO-27001-zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland und Finnland (EU)
• Verschlüsselte Übertragung (TLS) für alle Verbindungen
• Feldverschlüsselung (Fernet/AES) für Zugangsdaten verbundener Plattformen (z. B. Tokens, App-Passwörter)
• Anmeldung ausschließlich über Twitch-OAuth, keine eigenen Passwörter; Zweiter Faktor für das Moderationsteam
• Rollen- und Berechtigungskonzept; Delegation nur mit ausdrücklich erteilten Berechtigungen (Scopes) und Audit-Protokoll
• Mandantentrennung: Daten jedes Nutzers sind seinem Konto zugeordnet und nur darüber abrufbar

Integrität

• Begrenzung von Anfragen (Rate Limiting) zum Schutz vor Missbrauch
• Selbst betriebene Dienste ohne Drittanbieter (Datenbank, Cache, Webanalyse)

Verfügbarkeit

• Regelmäßige Datenbank-Backups, verschlüsselt (age) auf einem getrennten Hetzner-Speicher (Storage Box)

Verfahren zur regelmäßigen Überprüfung und Löschung

• Automatische Löschroutinen (z. B. Chatnachrichten 90 Tage, Social-Kommentare 90 Tage, Server-Logs 30 Tage, IP-Adressen im Delegations-Protokoll 30 Tage)
• Regelmäßige Sicherheitsupdates

Anlage 3 – Unterauftragsverarbeiter