Ergänzung zum AVV: Social Media

Stand: 23.10.2026

Diese Ergänzung zum Vertrag zur Auftragsverarbeitung (AVV) wird zwischen dem Kunden, der sie in Hireeo annimmt (nachfolgend „Auftraggeber"), und Simon Wurster, wurster medien Werbeagentur, Kirchstr. 4, 72178 Waldachtal (nachfolgend „Auftragnehmer"), geschlossen. Sie setzt einen wirksam akzeptierten AVV voraus und gilt, wenn und solange der Auftraggeber in Hireeo den Zusatz „Social Media" nutzt. Im Übrigen gilt der AVV unverändert. Widerspricht diese Ergänzung dem AVV, geht für die Verarbeitung im Social Hub diese Ergänzung vor.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer betreibt die Plattform „Social Hub" (hub.wurster-medien.de). Über sie veröffentlicht, ändert und löscht er im Auftrag des Auftraggebers Beiträge zu dessen Stellenanzeigen auf dessen Facebook-Seite und dessen Instagram-Konto. Die Konten verbindet der Auftraggeber selbst: Er startet die Verbindung in Hireeo und meldet sich im Social Hub bei Meta an.

(2) Weisungen erteilt der Auftraggeber, indem er einen Beitrag in Hireeo sendet, ändert oder löscht. Ohne eine solche Handlung veröffentlicht der Social Hub für ihn nichts.

(3) Die Ergänzung endet nicht, bevor der Social Hub die für den Auftraggeber verarbeiteten Daten nach § 5 gelöscht hat.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Zweck ist das Veröffentlichen, Ändern und Löschen der Beiträge nach § 1. Unabhängig davon ruft der Social Hub für jedes verbundene Konto regelmäßig dessen Angaben, die zuletzt veröffentlichten Beiträge und zusammengefasste Statistiken bei Meta ab und speichert sie; Hireeo kann sie dem Auftraggeber anzeigen.

(2) Art der Verarbeitung: Erheben, Speichern, Abfragen, Verwenden, Offenlegen durch Veröffentlichung im Auftrag, Löschen.

(3) Kategorien personenbezogener Daten:

  • Angaben zu den verbundenen Konten: Name, Benutzername, Konto-ID, Profilbild, Anzahl der Follower und der Beiträge
  • die Zugriffsschlüssel, die Meta für den Zugriff ausstellt, und die Kennung bei Meta der Person, die das Konto verbunden hat
  • die über Hireeo gesendeten Beiträge: Text, Hashtags, Bild, Link zur Stellenanzeige, Zeitpunkt der Veröffentlichung, Name der Person, die den Beitrag in Hireeo gesendet hat, sowie Stand und Adresse des veröffentlichten Beitrags
  • die bei Meta abgerufenen veröffentlichten Beiträge der Konten: Text, Bilder und Videos, Hashtags, Erwähnungen und Markierungen, Veröffentlichungszeitpunkt, Anzahl der Likes und Kommentare; dazu zusammengefasste Statistiken (Summen je Konto und Beitrag, keine Angaben zu einzelnen Followern)
  • Name des Betriebs und seine Kennung in Hireeo
  • Protokoll: welche Aktion wann ausgeführt wurde, beim Verbinden mit der IP-Adresse des verwendeten Geräts

(4) Betroffene Personen: Beschäftigte des Auftraggebers, die Konten verbinden oder Beiträge senden; Personen, die auf Bildern und Videos der Beiträge zu sehen sind oder in Beiträgen genannt, erwähnt oder markiert werden.

(5) Bewerberdaten gehen nicht in den Social Hub. Kommentare, Direktnachrichten und Daten einzelner Follower ruft der Social Hub nicht ab, und er erstellt keine Profile von Personen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung.

(6) Bilder und Videos der Beiträge liegen in einem Speicher, der ohne Anmeldung lesbar ist, weil Meta die Dateien zum Veröffentlichen dort selbst abholt. Die Dateien der über Hireeo gesendeten Beiträge liegen dort unter Adressen mit zufälligen, nicht erratbaren Bestandteilen.

§ 3 Empfänger und Unterauftragsverarbeiter

(1) Meta Platforms Ireland Ltd. ist Empfänger auf Weisung des Auftraggebers und kein Unterauftragsverarbeiter. Der Auftraggeber nutzt Facebook und Instagram auf Grundlage seiner eigenen Vereinbarung mit Meta; mit der Veröffentlichung gehen die Inhalte an Meta über.

(2) Der Social Hub ist kein Unterauftragsverarbeiter; ihn betreibt der Auftragnehmer selbst.

(3) Für den Social Hub setzt der Auftragnehmer keine Unterauftragsverarbeiter ein, die nicht in Anlage 1 des AVV genannt sind. Zusätzlich zu den dort genannten Zwecken übernehmen:

  • Hetzner Online GmbH: Betrieb des Servers des Social Hub und Objektspeicher für die Bilder und Videos der Beiträge, beides im Rechenzentrum Falkenstein (Deutschland), sowie Speicher für die Datensicherungen des Social Hub (Storage Box)
  • Ploi B.V.: Verwaltung des Servers des Social Hub, technischer Zugang zu diesem Server

§ 4 Technische und organisatorische Maßnahmen

(1) Die Pflichten des Auftragnehmers aus § 4 des AVV und die organisatorischen Maßnahmen nach Anlage 1 des AVV gelten für den Social Hub unverändert. Der Social Hub läuft auf einem eigenen Server; für ihn gelten statt der technischen Maßnahmen nach Anlage 1 die folgenden:

  • Die Zugriffsschlüssel von Meta liegen verschlüsselt in der Datenbank.
  • Posten und Abruf laufen für jeden Auftraggeber über einen eigenen Zugang. Verbinden, Freigeben und die Meldung des AVV-Stands laufen über einen gemeinsamen Partner-Zugang von Hireeo, der nicht posten und keine Konten lesen kann. Rückmeldungen des Social Hub an Hireeo sind signiert. Alle Verbindungen sind per TLS verschlüsselt.
  • Die Daten verschiedener Kunden des Social Hub sind logisch getrennt. Anmeldung am Social Hub nur mit persönlichem Konto auf Einladung; Passwörter werden nur als Hash gespeichert.
  • Das Verbinden und Trennen von Konten sowie das Anlegen, Veröffentlichen und Löschen von Beiträgen werden mit Zeitpunkt protokolliert.
  • Täglich wird auf einen vom Server getrennten Speicher gesichert; die Übertragung ist verschlüsselt.

(2) Abweichend von § 7 Abs. 4 lit. b des AVV liegen die Datensicherungen des Social Hub nicht insgesamt verschlüsselt vor; verschlüsselt sind darin die Zugriffsschlüssel. Kopien der Datenbank werden nach 14 Tagen gelöscht, gespiegelte Dateien folgen einer Löschung beim nächsten täglichen Lauf. Ältere Stände bleiben in Momentaufnahmen des Sicherungsspeichers bis zu deren Ablauf erhalten und werden nur zur Wiederherstellung nach einem Ausfall verwendet.

§ 5 Löschung

(1) Trennt der Auftraggeber in Hireeo ein einzelnes Konto, löscht der Social Hub dessen Zugriffsschlüssel. Trennt er die ganze Verbindung oder das letzte verbundene Konto, oder wird sein Hireeo-Konto gelöscht, löscht der Social Hub, sobald Hireeo ihm das meldet, alle zum Auftraggeber gespeicherten Daten: die Konten samt Zugriffsschlüsseln, die abgerufenen Beiträge und Statistiken, die Beiträge im Social Hub und alle zugehörigen Dateien.

(2) Endet der Zusatz, trennt ein stündlicher Lauf die ganze Verbindung: Er löscht die noch nicht veröffentlichten Beiträge im Social Hub, danach löscht der Social Hub die Daten wie nach Absatz 1. Ist der Social Hub nicht erreichbar, wiederholt der Lauf das stündlich. Hireeo übermittelt nach dem Ende des Zusatzes keine neuen Beiträge.

(3) Entzieht der Auftraggeber dem Social Hub den Zugriff bei Meta, löscht der Social Hub die Zugriffsschlüssel sofort und die abgerufenen Beiträge, Dateien und Statistiken des Kontos nach 30 Tagen, wenn es bis dahin nicht neu verbunden wird.

(4) Veröffentlichte Beiträge bleiben auf Facebook und Instagram, bis der Auftraggeber sie löscht, aus Hireeo heraus, soweit Meta das anbietet, oder auf der Plattform selbst.

(5) Ausgenommen von der Löschung sind der Nachweis über die Annahme dieser Ergänzung (Fassung und Zeitpunkt), den der Social Hub drei Jahre nach der Löschung aufbewahrt, die Einträge im Protokoll des Social Hub, die ohne Verknüpfung zum gelöschten Kundendatensatz bestehen bleiben und deren IP-Adressen nach sechs Monaten entfernt werden, sowie die Datensicherungen nach § 4 Abs. 2.

(6) Ist der Auftraggeber zugleich Kunde des Auftragnehmers für die Betreuung seiner Auftritte über den Social Hub, entfernt der Social Hub nach Absatz 1 nur den Zugang für Hireeo und dessen noch nicht veröffentlichte Beiträge; im Übrigen gilt der dafür geschlossene Vertrag. Für die in Hireeo gespeicherten Daten gilt § 7 des AVV.

§ 6 Abschluss und Änderungen

(1) Diese Ergänzung wird durch Annahme in Hireeo in Textform geschlossen (§ 9 Abs. 1 des AVV).

(2) Bei inhaltlichen Änderungen veröffentlicht der Auftragnehmer eine neue, datierte Fassung. Abweichend von § 9 Abs. 2 und 3 des AVV gilt für einen Auftraggeber, dessen Konten verbunden sind, die von ihm angenommene Fassung fort, bis er eine neue annimmt. Ein neues Verbinden setzt die Annahme der jeweils aktuellen Fassung voraus.