Vereinbarung zur Auftragsverarbeitung
Anlage 1 zu den NX1-Partner-AGB · Fassung 1.0 · Stand: Juli 2026
§ 1 Parteien und Gegenstand
(1) Auftragsverarbeiter ist die Shio Ventures GmbH, Straßburger Straße 55, 10405 Berlin („NX1"). Verantwortlicher ist der im NX1-Partner-Konto geführte Partner („Partner").
(2) Der Partner erstellt im NX1-Partner-Portal eine Startseite und stellt dafür Inhalte ein. NX1 speichert diese Inhalte und liefert sie an die Nutzerinnen und Nutzer der NX1-Erweiterung und Web-App („Fans") aus. Soweit diese Inhalte personenbezogene Daten enthalten, verarbeitet NX1 sie ausschließlich weisungsgebunden für den Partner. Diese Vereinbarung regelt diese Verarbeitung nach Art. 28 DSGVO.
(3) Nicht Gegenstand dieser Vereinbarung sind Nutzungs-, Installations-, Klick- und Aktionszahlen sowie jede sonstige serverseitige Messung des Betriebs der NX1-Dienste. NX1 erhebt und verarbeitet diese Daten als eigener Verantwortlicher zum Betrieb, zur Fehlersuche und zur Verbesserung des Dienstes. Der Partner erhält daraus ausschließlich aggregierte Kennzahlen ohne Kennungen; ein Weisungsrecht des Partners besteht insoweit nicht. Einzelheiten regelt die Datenschutzerklärung von NX1.
§ 2 Art, Zweck, Dauer, Datenarten, betroffene Personen
(1) Art und Zweck: Speicherung, Bereitstellung und Auslieferung der vom Partner eingestellten Inhalte zum Zweck des Betriebs seiner Startseite; Erzeugung von Seiteninhalten mit KI auf Anforderung des Partners.
(2) Dauer: für die Laufzeit des Partner-Vertragsverhältnisses.
(3) Datenarten: Bilddaten (hochgeladene Hintergründe, Logos, Aktionsbilder), Textinhalte (Kachel- und Widget-Texte, Banner- und Aktionstexte), Angaben zu verbundenen Kanälen sowie über diese Kanäle bezogene, öffentlich zugängliche Beitragsinhalte.
(4) Kategorien betroffener Personen: Personen, die in den vom Partner eingestellten Inhalten abgebildet, genannt oder anderweitig erkennbar sind.
(5) Der Partner stellt sicher, dass er zur Einstellung dieser Inhalte berechtigt ist und die erforderliche Rechtsgrundlage besitzt. Diese Zusicherung bestätigt er im Portal vor der ersten Veröffentlichung.
§ 3 Weisungen (Art. 28 Abs. 3 lit. a)
(1) NX1 verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Partners. Die Bedienung des Portals durch den Partner — Einstellen, Ändern, Veröffentlichen und Löschen von Inhalten — gilt als dokumentierte Weisung. Weitergehende Weisungen erfolgen in Textform an partner@nx1-app.com.
(2) Ist NX1 nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt NX1 dies dem Partner vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.
(3) Hält NX1 eine Weisung für rechtswidrig, teilt NX1 dies mit und darf die Ausführung bis zur Klärung aussetzen.
§ 4 Vertraulichkeit (Art. 28 Abs. 3 lit. b)
NX1 verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.
§ 5 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)
NX1 trifft die in Anlage B beschriebenen Maßnahmen und hält sie während der Vertragsdauer auf dem Stand der Technik. Änderungen dürfen das Schutzniveau nicht unterschreiten.
§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 3 lit. d)
(1) Der Partner erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage C genannten Unterauftragsverarbeiter.
(2) NX1 informiert den Partner über beabsichtigte Änderungen mindestens 30 Tage im Voraus in Textform. Der Partner kann binnen 14 Tagen ab Zugang aus wichtigem, datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, der die Leistungserbringung unmöglich macht, kann jede Partei den Partner-Vertrag zum Wirksamwerden der Änderung kündigen.
(3) NX1 verpflichtet Unterauftragsverarbeiter auf Datenschutzpflichten, die denen dieser Vereinbarung entsprechen.
§ 7 Betroffenenrechte (Art. 28 Abs. 3 lit. e)
NX1 unterstützt den Partner mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten. Wendet sich eine betroffene Person unmittelbar an NX1 und betrifft das Anliegen vom Partner eingestellte Inhalte, leitet NX1 es unverzüglich an den Partner weiter und beantwortet es nicht selbst. Der Partner kann die betreffenden Inhalte jederzeit selbst im Portal ändern oder löschen.
§ 8 Unterstützungspflichten (Art. 28 Abs. 3 lit. f)
NX1 unterstützt den Partner bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen. NX1 meldet dem Partner Verletzungen des Schutzes personenbezogener Daten, die diese Vereinbarung betreffen, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
§ 9 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)
(1) Nach Beendigung des Partner-Vertragsverhältnisses löscht NX1 die verarbeiteten Inhalte einschließlich hochgeladener Bilddateien binnen 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Partner kann statt der Löschung die Rückgabe in einem gängigen Format verlangen; das Verlangen ist vor Ablauf der Frist zu stellen.
(2) Bereits auf Endgeräten von Fans installierte Startseiten sind Momentaufnahmen auf dem jeweiligen Gerät und stehen nicht im Zugriff von NX1; darauf erstreckt sich die Löschpflicht nicht (Ziffer 11 der Partner-AGB).
(3) Von der Löschung nicht erfasst sind die in § 1 Abs. 3 genannten aggregierten Kennzahlen, da sie keinen Personenbezug aufweisen; sie unterliegen der automatischen Löschfrist von 90 Tagen.
§ 10 Nachweise und Überprüfung (Art. 28 Abs. 3 lit. h)
NX1 stellt dem Partner auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung, insbesondere die aktuelle Fassung der Anlagen B und C. Überprüfungen vor Ort erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und höchstens einmal jährlich, soweit kein besonderer Anlass besteht.
§ 11 Drittlandübermittlung
Eine Verarbeitung außerhalb der EU und des EWR findet nur im Rahmen der in Anlage C genannten Unterauftragsverarbeiter statt und wird auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder auf die Standardvertragsklauseln der Europäischen Kommission gestützt.
§ 12 Schlussbestimmungen
(1) Diese Vereinbarung ist Anlage 1 zu den NX1-Partner-AGB und wird mit deren Annahme wirksam. Die Annahme wird elektronisch mit Zeitstempel und Fassungsnummer dokumentiert (Art. 28 Abs. 9 DSGVO).
(2) Bei Widersprüchen zwischen dieser Vereinbarung und den Partner-AGB geht diese Vereinbarung für die Verarbeitung personenbezogener Daten vor.
(3) Es gilt deutsches Recht.
Anlage A — Verarbeitungsübersicht
- Startseiten-Inhalte (Texte, Konfiguration) — Cloudflare-Speicher, für die Vertragslaufzeit
- Hochgeladene Bilder (Hintergründe, Logos) — Cloudflare-Speicher,
ausgeliefert über die NX1-eigene Adresse
/wpi/<id>, für die Vertragslaufzeit, danach Löschung nach § 9 - Aktionen (Takeover-Bild, Titel, Banner-Text, Ziel-Link, Zeitfenster) — Cloudflare-Speicher, bis 30 Tage nach Ablauf der jeweiligen Aktion
- Verbundene Kanäle (Handle, Kanal-Kennung, Verbindungszustand) — für die Vertragslaufzeit
- Kanal-Beiträge (öffentliche Inhalte, zur Auslieferung zwischengespeichert) — Stunden bis 30 Tage
- KI-Erzeugung auf Anforderung (Eingabe des Partners und erzeugte Seite) — Verarbeitung beim Unterauftragnehmer ohne dauerhafte Speicherung, Ergebnis im Cloudflare-Speicher
Anlage B — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Zugangs- und Zugriffskontrolle
- Passwortlose Anmeldung über einen einmaligen sechsstelligen Code per E-Mail, gültig 15 Minuten, höchstens fünf Versuche; zusätzlich Begrenzung von Versand und Prüfung je IP-Adresse.
- Sitzungs-Cookie ausschließlich serverseitig lesbar, nur über verschlüsselte Verbindungen, gegen fremdursprüngliche Aufrufe abgesichert; 128 Bit Zufall; Laufzeit 30 Tage.
- Mandantentrennung serverseitig: Jeder Zugriff auf eine Startseite prüft die Eigentümerschaft; Auswertungen filtern serverseitig auf die eigene veröffentlichte Adresse. Ein Partner kann fremde Inhalte und Zahlen weder lesen noch ändern.
- Administrativer Zugang nur für den Betreiber, abgesichert über Cloudflare Zero Trust.
Übertragungs- und Eingabekontrolle
- Ausschließlich verschlüsselte Übertragung (TLS).
- Hochgeladene Dateien werden anhand der Dateisignatur geprüft, nicht anhand der Endung, und in Größe und Kantenlänge begrenzt. Vektorgrafiken werden auf ausführbare Bestandteile geprüft und andernfalls abgewiesen; die Auslieferung unterbindet eine Neuinterpretation des Dateityps durch den Browser.
- Bild-Adressen werden aus dem Inhalt abgeleitet und sind damit nicht erratbar.
- Bilder werden ausschließlich von NX1-eigenen Adressen ausgeliefert — aus eigenen Uploads oder dem internen Katalog. Eingebundene Bilder von fremden Servern sind ausgeschlossen, weil sie dem fremden Server bei jedem Seitenaufruf Verbindungsdaten der Fans melden würden.
- Alle vom Partner eingestellten Werte durchlaufen serverseitige Prüfungen; die Endgeräte-Software wiederholt sie unabhängig, bevor sie sie darstellt.
Verfügbarkeit und Belastbarkeit
- Betrieb auf einer global replizierten Edge-Infrastruktur (Cloudflare).
- Fehler in Nebenpfaden (Zählung, Messung) können die eigentliche Anfrage nicht unterbrechen.
Datenminimierung und Trennung
- Der Messspeicher enthält keine Installationskennungen, keine IP-Adressen, keine vollständigen Web-Adressen und keine Freitexte, sondern ausschließlich grobe Merkmale.
- Der Messspeicher besitzt keine Schnittstelle zum Lesen einzelner Datensätze, sondern ausschließlich Aggregate.
- Automatische Löschung des Messspeichers nach 90 Tagen.
- Hashes zur Zählung aktiver Installationen werden mit einem täglich wechselnden Zufallswert gebildet, der nach 48 Stunden gelöscht wird; eine Verkettung über Tage hinweg ist danach auch für NX1 ausgeschlossen.
Nachweisbarkeit
- Zustimmung zu Partner-AGB und dieser Vereinbarung mit Fassungsnummer und Zeitstempel im Partner-Konto.
- Änderungen an Inhalten tragen Zeitstempel; die erste Veröffentlichung durchläuft eine redaktionelle Freigabe.
Anlage C — Unterauftragsverarbeiter
- Cloudflare, Inc. (USA, weltweite Edge) — Hosting, Speicher, Auslieferung, Messspeicher. Grundlage: EU-US Data Privacy Framework.
- Anthropic, PBC (USA) — KI-Erzeugung von Seiteninhalten auf Anforderung des Partners. Grundlage: EU-US Data Privacy Framework.
- Resend, Inc. (USA) — Versand von System-E-Mails an den Partner (Anmeldecodes, Benachrichtigungen). Grundlage: Standardvertragsklauseln der Europäischen Kommission.
Nicht als Unterauftragsverarbeiter geführt werden Bildquellen (Unsplash, Pexels, Pixabay) und Kanal-Plattformen (YouTube, TikTok, X, Telegram, Twitch): Sie liefern Inhalte beziehungsweise stellen die eigenen Inhalte des Partners bereit und verarbeiten keine personenbezogenen Daten im Auftrag von NX1.
Stand
Fassung 1.0, Stand Juli 2026. Anlage 1 zu den NX1-Partner-AGB.