Vereinbarung zur Auftragsverarbeitung

Für Nutzer der App Directly
Stand: 15. September 2026

Warum es diese Vereinbarung gibt

Wenn du Directly nutzt, verarbeiten wir personenbezogene Daten der Menschen, die dir auf Instagram Direktnachrichten schreiben. Für diese Daten bist du der Verantwortliche, wir sind dein Auftragsverarbeiter. Art. 28 DSGVO verlangt dafür einen Vertrag. Er kommt zustande, wenn du bei der Einrichtung der App zustimmst.

1. Parteien

Verantwortlicher: du als Nutzer der App, mit dem verbundenen Instagram-Konto.

Auftragsverarbeiter: TS GmbH, Adolf-Kaschny-Straße 19, 51373 Leverkusen, Deutschland, vertreten durch den Geschäftsführer Tim Stammberger.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung der in Abschnitt 3 genannten Daten zum Zweck, dir deine Direktnachrichten anzuzeigen, Antwortvorschläge zu erstellen und die von dir freigegebenen Antworten zu senden. Die Vereinbarung läuft, solange dein Konto besteht, und endet mit seiner Löschung.

3. Art der Daten und betroffene Personen

Betroffene Personen: Instagram-Nutzer, die dir Direktnachrichten geschrieben haben.

Datenarten:

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Da Nachrichten frei formulierter Text sind, können sie im Einzelfall dennoch solche Angaben enthalten. Wir verarbeiten sie in diesem Fall nur, soweit es zur Anzeige der Unterhaltung unvermeidbar ist, erstellen dazu keinen Vorschlag und werten sie nicht gesondert aus.

4. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf deine Weisung und zu den vereinbarten Zwecken. Deine Weisungen erteilst du durch die Nutzung der App: welche Unterhaltungen du beantwortest, überspringst oder mit welchem Text du antwortest, entscheidest du.

Halten wir eine Weisung für rechtswidrig, teilen wir dir das mit und dürfen ihre Ausführung aussetzen.

5. Unterauftragsverarbeiter

Du stimmst dem Einsatz folgender Unterauftragsverarbeiter zu:

Mit allen bestehen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen. Für die Übermittlung an Anthropic in die USA gelten die Standardvertragsklauseln der EU-Kommission (Modul 3) nebst ergänzenden Maßnahmen; Anthropic nutzt die Daten nach vertraglicher Zusicherung nicht zum Training eigener Modelle.

Einen Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters kündigen wir 30 Tage vorher in der App an. Du kannst widersprechen; ist die Leistung dann nicht mehr erbringbar, darfst du fristlos kündigen.

6. Technische und organisatorische Maßnahmen

Wir treffen insbesondere folgende Maßnahmen nach Art. 32 DSGVO:

• Trennung der Mandanten: Jeder Zugriff ist an ein Konto gebunden. Jede Datenbankabfrage filtert nach Konto, zusätzlich ist der Zugriffsschutz auf Datenbankebene aktiviert (Row Level Security).
• Verschlüsselung: Übertragung ausschließlich über TLS. Daten im Ruhezustand sind auf Speicherebene verschlüsselt.
• Zugangsschlüssel: Der Instagram-Zugriffsschlüssel liegt auf dem Server und wird der App nie übermittelt. Der Sitzungsschlüssel des Geräts liegt im Schlüsselbund des Geräts; gespeichert wird bei uns nur sein Hashwert.
• Signaturprüfung: Eingehende Meldungen von Meta und Apple werden kryptografisch geprüft und andernfalls verworfen.
• Zugriffsbeschränkung: Zugriff auf Produktivdaten haben nur die für den Betrieb notwendigen Personen.
• Protokollierung: Hintergrundläufe und Fehler werden protokolliert, um Störungen zu erkennen. Die Protokolle werden nach 90 Tagen gelöscht.
• Menschliche Freigabe: Keine Antwort wird ohne deine Freigabe gesendet.

7. Unterstützung bei Betroffenenrechten

Wendet sich eine betroffene Person an uns, verweisen wir sie an dich und informieren dich unverzüglich. Wir unterstützen dich bei Auskunft, Berichtigung und Löschung, insbesondere durch:

• die vollständige Löschung deines Kontos samt aller Inhalte
• die Bereitstellung der zu einer Person gespeicherten Daten auf Anfrage
• die Löschung der Daten einer einzelnen Person auf Anfrage

8. Meldung von Verletzungen

Wir melden dir eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, und unterstützen dich bei deinen Meldepflichten nach Art. 33 und 34 DSGVO.

9. Nachweise und Kontrolle

Auf Anfrage weisen wir die Einhaltung der Pflichten aus dieser Vereinbarung nach, insbesondere durch Auskunft über die Maßnahmen aus Abschnitt 6. Du darfst Kontrollen durchführen; sie sind mit angemessener Vorlaufzeit anzukündigen und dürfen den Betrieb nicht unangemessen beeinträchtigen.

10. Löschung nach Ende

Nach Ende der Vereinbarung löschen wir die verarbeiteten Daten, sobald du dein Konto löschst, spätestens sechs Monate nach der letzten Anmeldung. Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden bis zum Ablauf der Frist gesperrt statt gelöscht.

11. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen haften die Parteien nach den gesetzlichen Vorschriften.