Influra

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: September 2026

1. Parteien und Gegenstand

Dieser Vertrag wird geschlossen zwischen der Nutzerin oder dem Nutzer von Influra — Creator oder Unternehmen — (nachfolgend „Verantwortlicher“) und Influra, Im Völlchen 5, 35510 Butzbach (nachfolgend „Auftragsverarbeiter“). Er ergänzt die Nutzungsbedingungen und gilt für alle personenbezogenen Daten Dritter, die der Verantwortliche in Influra einträgt, importiert oder auslesen lässt.

Nicht erfasst sind die Profildaten, die Creator selbst für Unternehmen sichtbar machen: Diese stellt der Auftragsverarbeiter in eigener Verantwortung auf Grundlage der Einwilligung des Creators bereit (Datenschutzerklärung, Abschnitt 3.10).

Der Vertrag kommt mit der Registrierung zustande; einer gesonderten Unterschrift bedarf es nicht. Auf Wunsch stellen wir ihn als PDF mit Unterschrift bereit (info@influra.de).

2. Art und Zweck der Verarbeitung

Speichern, Anzeigen, Durchsuchen, Klassifizieren und Auswerten von Kooperationsanfragen, Kontaktdaten von Marken, Verträgen, Rechnungen und Nachrichten sowie — bei Unternehmenskonten — Planung, Durchführung und Auswertung von Kampagnen mit Creatorn. Ausschließlich, damit der Verantwortliche seine Kooperationen verwalten kann. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Kategorien betroffener Personen und Daten

  • Ansprechpartner bei Marken und Agenturen: Name, Rolle, E-Mail-Adresse, Telefonnummer, Firmenanschrift, Inhalte der Korrespondenz.
  • Absender von E-Mails im verbundenen Postfach: Adresse, Name, Betreff, Inhalt, Anhänge — soweit sie beim Abruf in Influra übernommen werden.
  • Vertragspartner: Namen und Angaben in hochgeladenen Verträgen und Rechnungen. Bei Unternehmenskonten außerdem die Rechnungen, die Creator über Influra für deren Kampagnen stellen (Anschrift, Steuernummer, Bankverbindung, Positionen, Beträge) samt gemeldeter Zahlungen.
  • Creator (bei Unternehmenskonten): Name und Handle zur Zuordnung, Kampagnen-Status, vereinbarte Honorare, Posting-Termine, Notizen, Ergebnisse von Beiträgen (Aufrufe, Interaktionen, Klicks, Verkäufe, Umsatz, Rabattcodes) und Screenshots von Beitrags-Statistiken, die zur Auswertung hochgeladen werden. Bei Creatorn ohne Influra-Konto zusätzlich die Angaben, die das Unternehmen in sein Creator-Verzeichnis einträgt oder importiert (E-Mail-Adresse, Handles, Reichweite, Nische, Notizen, interne Bewertung und Merkmale), sowie ihre Antworten und Nachrichten über den persönlichen Kampagnen-Link. Gemeldete Beiträge (Link, Datum, Story-Screenshot, Angaben zur Werbekennzeichnung und deren Prüfung) sowie gelieferte Dateien und Links samt Nutzungsrechten. Rabattcodes je Creator mit Klickzahl, Anzahl der Bestellungen und Umsatzsumme aus dem verbundenen Shop (ohne Kundendaten). Für Produktversand die Lieferanschrift und die Sendungsdaten (Versanddienst, Sendungsnummer); die Anschrift wird 90 Tage nach Zustellung oder Abbruch gelöscht.
  • Beschäftigte des Unternehmens: Name und E-Mail-Adresse der Personen, die das Unternehmenskonto nutzen oder als Kontakt hinterlegt sind.

4. Dauer

Die Verarbeitung dauert, solange das Konto besteht. Mit der Löschung des Kontos in den Einstellungen (Creator: Profil › Konto löschen; Unternehmen: Einstellungen › Konto löschen) werden alle Daten unverzüglich und endgültig gelöscht; Sicherungskopien werden spätestens nach 90 Tagen überschrieben.

5. Pflichten des Auftragsverarbeiters

  • Verarbeitung nur auf dokumentierte Weisung — die Weisungen ergeben sich aus der Nutzung der Funktionen.
  • Vertraulichkeit aller mit der Verarbeitung befassten Personen.
  • Technische und organisatorische Maßnahmen nach Abschnitt 7.
  • Unterstützung bei Betroffenenrechten (Auskunft, Löschung, Übertragbarkeit) — Datenexport und Löschung stehen dem Verantwortlichen direkt in der Anwendung zur Verfügung.
  • Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die hinterlegte E-Mail-Adresse.
  • Löschung oder Rückgabe aller Daten nach Ende der Verarbeitung.
  • Bereitstellung aller Informationen, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind; Kontrollen sind nach Ankündigung möglich.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Änderungen werden mindestens 14 Tage vorher per E-Mail angekündigt; der Verantwortliche kann widersprechen und das Konto beenden.

  • Render Services Inc. (USA) — Hosting von Anwendung und Datenbank, Region Frankfurt. EU-Standardvertragsklauseln.
  • Anthropic PBC (USA) bzw. Amazon Web Services (Bedrock, EU-Region) — KI-Auswertung von Screenshots (auch Beitrags-Statistiken aus Kampagnen), Verträgen, Briefings und E-Mail-Klassifikation. Keine Nutzung zum Training. EU-Standardvertragsklauseln.
  • Resend Inc. (USA) — Versand von System-E-Mails (Passwort-Reset, Bestätigung, Erinnerungen, Freigaben, Benachrichtigungen und Wochenübersichten für Unternehmen) und von Kampagnen-Einladungen an Creator ohne Influra-Konto. EU-Standardvertragsklauseln.
  • Google LLC (USA) — nur bei Verbindung eines Gmail-Kontos per OAuth: Abruf und Versand von E-Mails im Auftrag des Verantwortlichen.
  • Stripe Payments Europe Ltd. (Irland) — Abwicklung der Zahlung des kostenpflichtigen Plans (Name des Unternehmens, Rechnungsanschrift, E-Mail für den Beleg, Zahlungsstatus). Kartendaten verarbeitet allein Stripe.
  • Meta Platforms Ireland Ltd. bzw. TikTok Technology Limited (beide Irland) — nur wenn ein Creator sein eigenes Konto verbindet: Abruf seiner Reichweiten- und Beitragszahlen zur Bestätigung der Kennzahlen. Es werden keine Daten dorthin übermittelt.
  • E-Mail-Anbieter des Verantwortlichen (GMX, WEB.DE, IONOS, iCloud u. a.) — nur bei Verbindung per IMAP/SMTP; Vertragspartner ist der Verantwortliche selbst.

7. Technische und organisatorische Maßnahmen

  • Zugangskontrolle: Passwörter nur als scrypt-Hash; Sitzungs-Token serverseitig widerrufbar; Bremse gegen Brute-Force; E-Mail-Bestätigung.
  • Mandantentrennung: Jede Datenabfrage ist an das Konto gebunden; ein Zugriff auf Daten anderer Konten ist technisch ausgeschlossen.
  • Verschlüsselung: Transport über TLS; Postfach-Zugangsdaten und OAuth-Tokens mit AES-256-GCM verschlüsselt; Datenbankverbindung nur mit TLS.
  • Verfügbarkeit: tägliche Datenbank-Sicherung (90 Tage Aufbewahrung).
  • Minimierung: Screenshots werden nach der Auswertung nicht gespeichert; Mail-Anhänge nur auf ausdrückliche Aktion.
  • Löschung: Kontolöschung wirkt sofort auf alle zugehörigen Daten (Kaskade).

8. Weisungen und Ansprechpartner

Weisungen erteilt der Verantwortliche durch Nutzung der Anwendung oder per E-Mail an info@influra.de. Erscheint eine Weisung rechtswidrig, weist der Auftragsverarbeiter darauf hin und darf die Ausführung aussetzen.

9. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den Nutzungsbedingungen. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Hinweis: Dieser Text ist ein Standardvertrag für Kleinanbieter und ersetzt keine Rechtsberatung. Vor dem Einsatz für eine Kapitalgesellschaft oder außerhalb der DACH-Region bitte anwaltlich prüfen lassen.