AVV.

Nach Art. 28 DSGVO. Gilt für alle Leistungen, bei denen Evooke Studio personenbezogene Daten im Auftrag seiner Kunden verarbeitet.

• Auftragsverarbeiter: Evooke Studio, Inhaber Maximillian Rybka (Anschrift siehe Impressum), contact@evooke.de
• Verantwortlicher: Der Kunde laut angenommenem Angebot („Kunde“)
• Grundlage: § 22 der AGB von Evooke Studio, wird mit Annahme des Angebots Vertragsbestandteil
• Fassung: Version 1.0, Stand September 2026

Aufbau: Vertragsbedingungen §§ 1–10, Anlage 1 Verarbeitungen, Anlage 2 technische und organisatorische Maßnahmen, Anlage 3 Unterauftragsverarbeiter. Eine Unterschrift ist nicht erforderlich. Eine unterzeichnete Fassung schicken wir Ihnen auf Wunsch gern per E-Mail zu.

Vertragsbedingungen

§ 1 Gegenstand, Geltung und Dauer

(1) Dieser Vertrag regelt die Rechte und Pflichten der Parteien, soweit Evooke Studio im Rahmen der vereinbarten Leistungen personenbezogene Daten im Auftrag des Kunden verarbeitet. Der Kunde ist Verantwortlicher, Evooke Studio ist Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Hauptvertrag ist das angenommene Angebot einschließlich der AGB von Evooke Studio und eines gegebenenfalls gesondert geschlossenen Vertrags.

(2) Dieser Vertrag wird mit Annahme des Angebots Bestandteil des Hauptvertrags, sofern die beauftragte Leistung eine der in Anlage 1 genannten Verarbeitungen umfasst. Die Annahme kann elektronisch erfolgen. Auf Wunsch des Kunden wird dieser Vertrag zusätzlich unterzeichnet.

(3) Die Laufzeit richtet sich nach dem Hauptvertrag. Pflichten, die ihrer Natur nach fortwirken, insbesondere Vertraulichkeit sowie Löschung und Rückgabe, gelten über das Vertragsende hinaus.

(4) In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1 und dem jeweiligen Angebot.

(2) Die Verarbeitung findet grundsätzlich in der EU bzw. im EWR statt. Eine Verarbeitung in Drittländern erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework) oder Standardvertragsklauseln.

(3) Nicht erfasst sind Verarbeitungen, für die Evooke Studio selbst verantwortlich ist, insbesondere die eigene Vertragsabwicklung, Buchhaltung und Kommunikation mit dem Kunden sowie Aufnahmen, für die Personen ihre Einwilligung gegenüber Evooke Studio erteilen.

(4) Betreiber von Plattformen, die der Kunde selbst nutzt (z. B. Meta, TikTok, Google), sind keine Unterauftragsverarbeiter von Evooke Studio. Das Verhältnis zu diesen Betreibern regelt der Kunde selbst.

§ 3 Weisungen

(1) Evooke Studio verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, eine gesetzliche Pflicht verlangt etwas anderes. In diesem Fall informiert Evooke Studio den Kunden vorab, soweit dies gesetzlich zulässig ist.

(2) Die Weisungen ergeben sich aus dem Hauptvertrag und diesem Vertrag. Einzelweisungen erteilt der Kunde in Textform.

(3) Hält Evooke Studio eine Weisung für datenschutzwidrig, weist Evooke Studio den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(4) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Zusatzleistung behandelt.

§ 4 Pflichten von Evooke Studio

(1) Evooke Studio verarbeitet die Daten nur für die vereinbarten Zwecke und nicht für eigene Zwecke. Kopien werden nur angefertigt, soweit dies für die Leistung, die Datensicherung oder gesetzliche Pflichten erforderlich ist.

(2) Personen, die bei Evooke Studio mit Daten des Kunden in Berührung kommen, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

(3) Evooke Studio trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2. Die Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

(4) Evooke Studio unterstützt den Kunden in angemessenem Umfang bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 22 DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Wenden sich betroffene Personen direkt an Evooke Studio, leitet Evooke Studio die Anfrage unverzüglich an den Kunden weiter.

(5) Evooke Studio informiert den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, die Daten des Kunden betreffen, und stellt die für eine Meldung erforderlichen Informationen bereit.

(6) Evooke Studio ist nicht zur Benennung eines Datenschutzbeauftragten verpflichtet. Ansprechpartner für den Datenschutz ist Maximillian Rybka, erreichbar unter contact@evooke.de.

(7) Unterstützungsleistungen, die über das übliche Maß hinausgehen und nicht auf einem Verstoß von Evooke Studio beruhen, können nach Aufwand berechnet werden.

§ 5 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Bestehen einer Rechtsgrundlage, die Information der betroffenen Personen, etwa in seiner Datenschutzerklärung, und die Wahrung ihrer Rechte.

(2) Der Kunde informiert Evooke Studio unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 genannt und gelten als genehmigt.

(2) Evooke Studio informiert den Kunden vorab in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb von 14 Tagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Einigen sich die Parteien nicht, können beide die betroffene Leistung mit einer Frist von 30 Tagen kündigen.

(3) Evooke Studio verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.

(4) Freie Mitarbeiter, die Zugriff auf Daten des Kunden erhalten, gelten als Unterauftragsverarbeiter. Abs. 2 und 3 gelten entsprechend.

§ 7 Nachweise und Kontrollen

(1) Evooke Studio weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage durch geeignete Unterlagen oder eine schriftliche Selbstauskunft nach.

(2) Reicht dies nicht aus, kann der Kunde nach Anmeldung mit in der Regel 4 Wochen Vorlauf Kontrollen während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, ohne den Betriebsablauf unverhältnismäßig zu stören. Die Kosten trägt der Kunde, sofern kein Verstoß von Evooke Studio festgestellt wird.

§ 8 Löschung und Rückgabe

(1) Nach Ende der jeweiligen Leistung löscht Evooke Studio die im Auftrag verarbeiteten Daten oder gibt sie auf Wunsch des Kunden zurück, spätestens innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch bestätigt Evooke Studio die Löschung in Textform.

(2) Für Produktionsdateien gelten die Speicherfristen nach § 46 der AGB.

(3) Wird ein Website-Design nach Vertragsende archiviert (§ 28 Abs. 4 AGB), werden Formulareingaben und Zugriffsdaten gelöscht. Personenbezogene Inhalte der Website, etwa Namen oder Fotos von Mitarbeitenden, bleiben nur so lange Teil des Archivs, bis der Kunde ihre Löschung verlangt.

(4) Datensicherungen werden im regulären Zyklus überschrieben.

§ 9 Haftung

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt § 21 der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags.

(3) Sind einzelne Bestimmungen unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(4) Anwendbares Recht und Gerichtsstand richten sich nach dem Hauptvertrag.

Anlage 1 · Verarbeitungen im Auftrag

Gilt jeweils nur, soweit die Leistung beauftragt ist.

01 Website und Hosting

Website-Flatrate, Hosting, Content-Editor

• Zweck: Erstellung, Betrieb, Pflege und Änderung der Website in Framer; Verarbeitung von Formulareingaben und technischen Zugriffsdaten.
• Daten: Inhalte mit Personenbezug (z. B. Namen, Fotos), Formulardaten (Name, Kontaktdaten, Nachricht), technische Daten (IP-Adresse, Zugriffs- und Statistikdaten).
• Betroffene: Mitarbeitende und Kunden des Kunden, Besucher der Website.

02 Rechtstexte-Service

Impressum, Datenschutzerklärung, Cookie-Banner

• Zweck: Erstellung und laufende Aktualisierung der Rechtstexte anhand der Angaben des Kunden.
• Daten: Name, Anschrift und Kontaktdaten von Inhabern und Vertretungsberechtigten, Registerangaben.
• Betroffene: Inhaber, Geschäftsführung, Vertretungsberechtigte.

03 Account- und Community-Management

Social-Media-Pakete, Account-Management

• Zweck: Veröffentlichung von Inhalten, Beantwortung von Kommentaren und Nachrichten, Auswertung und Reporting in den Konten des Kunden.
• Daten: Profilnamen und öffentliche Profildaten, Kommentare, Direktnachrichten, Interaktions- und Statistikdaten.
• Betroffene: Follower, Interessenten und Kunden des Kunden.

04 Ads-Management

Add-on, im Scale-Paket enthalten

• Zweck: Planung, Schaltung und Auswertung von Kampagnen in den Werbekonten des Kunden.
• Daten: Zielgruppen- und Kampagnendaten, vom Kunden bereitgestellte Kundenlisten, Daten aus Lead-Formularen.
• Betroffene: Kunden, Interessenten und Nutzer der Plattformen.

05 Einrichtung und Pflege von Tools

Z. B. Newsletter, Buchung, Zahlungsanbieter

• Zweck: Einrichtung, Konfiguration und Pflege von Werkzeugen in Konten des Kunden.
• Daten: Kontakt-, Buchungs- und Abonnentendaten.
• Betroffene: Kunden, Interessenten, Abonnenten des Kunden.

06 Material und Inhalte

Produktionen und Social Media

• Zweck: Speicherung, Bearbeitung und Übermittlung von Material, das der Kunde bereitstellt, sowie von fertigen Inhalten mit Personenbezug.
• Daten: Bild- und Tonaufnahmen, Namen und Kontaktdaten.
• Betroffene: Mitarbeitende und Kunden des Kunden, Darsteller.

Anlage 2 · Technische und organisatorische Maßnahmen

Zutritt und Zugang

• Arbeitsplatz im abgeschlossenen häuslichen Arbeitszimmer; Geräte werden unterwegs nicht unbeaufsichtigt gelassen.
• Geräte mit Passwort bzw. biometrischer Sperre und automatischer Bildschirmsperre; verschlüsselte Datenträger.
• Individuelle, starke Passwörter über einen Passwort-Manager; Zwei-Faktor-Authentifizierung bei allen Diensten mit Kundendaten, soweit angeboten.

Zugriff und Trennung

• Zugriff auf Konten des Kunden vorrangig über Rollen- und Business-Funktionen statt geteilter Passwörter.
• Rechte beschränkt auf das für die Leistung Nötige; Entzug mit Vertragsende.
• Getrennte Ordner und Projekte je Kunde.

Weitergabe und Eingabe

• Übertragung ausschließlich verschlüsselt (TLS/HTTPS).
• Freigabelinks nicht öffentlich auffindbar, bei Bedarf befristet oder ohne Download.
• Änderungen an Websites über den Versionsverlauf in Framer nachvollziehbar.

Verfügbarkeit

• Datensicherung über Cloud-Speicher mit Versionierung.
• Betriebssysteme und Software aktuell, Updates zeitnah; integrierter Schadsoftware-Schutz.

Organisation und Überprüfung

• Hilfspersonen und freie Mitarbeiter werden vor Zugriff auf Kundendaten zur Vertraulichkeit verpflichtet.
• Dienstleister nur mit Auftragsverarbeitungsvertrag und angemessenem Schutzniveau.
• Sichere Löschung nicht mehr benötigter Daten; Überprüfung der Maßnahmen mindestens jährlich.

Anlage 3 · Unterauftragsverarbeiter

Anbieter	Leistung	Sitz und Garantien
Framer B.V.	Website-Erstellung und Hosting	Niederlande (EU); Drittlandübermittlungen nach Angaben des Anbieters abgesichert
Dropbox International Unlimited Company	Cloud-Speicher, Auslieferung von Dateien	Irland (EU); Drittlandübermittlungen nach Angaben des Anbieters abgesichert
IONOS SE	Domain, Bezug von Google Workspace	Deutschland (EU)
Google Cloud EMEA Limited	E-Mail, Kalender, Dokumente (Google Workspace)	Irland (EU); Drittlandübermittlungen nach Angaben des Anbieters abgesichert
Metricool Software S.L.	Planung und Veröffentlichung, nur bei Einsatz	Spanien (EU)
KI-Werkzeuge, z. B. Higgsfield, ElevenLabs	Nur für beauftragte KI-Leistungen	Teils USA; Einsatz mit Daten des Kunden nur nach vorheriger Information im Einzelfall
Freie Mitarbeiter	Unterstützung einzelner Leistungen	Nur nach vorheriger Information nach § 6 Abs. 2

Stand September 2026. Die aktuelle Liste finden Sie jeweils auf dieser Seite.