Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Erbringung des Dienstes gemäß den AGB. Die Laufzeit dieses AVV entspricht der Laufzeit der AGB.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst Hosten, Speichern, Übermitteln, Transkodieren, Sichern, Abrufen, Anzeigen, Organisieren, Suchen, Löschen und sonstiges Bereitstellen personenbezogener Daten, die vom oder im Auftrag des Verantwortlichen in den Dienst hochgeladen oder darin erzeugt werden. Optionale KI-Funktionen (Dokumentarfilm-Modus) umfassen zusätzlich Spracherkennung und Themenanalyse, sofern der Verantwortliche sie aktiviert.

3. Kategorien betroffener Personen

• Mitwirkende des Verantwortlichen (Crew, Editor:innen, Producer).
• Kund:innen des Verantwortlichen und von ihnen zur Nutzung von Review-Links autorisierte Personen.
• Personen, die in den vom Verantwortlichen hochgeladenen Nutzerinhalten abgebildet, aufgenommen oder anderweitig identifizierbar sind (z. B. Interviewpartner:innen, Darsteller:innen).
• Sonstige Personen, deren personenbezogene Daten der Verantwortliche in den Dienst eingibt (z. B. Kontakte, Lieferant:innen).

4. Kategorien personenbezogener Daten

• Identifikationsdaten (Name, Rolle, E-Mail).
• Kontaktdaten und Terminplanungs-Informationen.
• Postanschriften Dritter (Drehorte, Unit-Base-Adressen, Wohn-/Abholadressen von Crew-Mitgliedern, Büroadressen von Kunden und Agenturen, Adressen von Vendoren, Verleihhäusern oder Studios).
• Produktionsmanagement-Daten (Ablaufpläne, Shotlisten, Packlisten, Budgets, Crew-Zuweisungen, Field Notes).
• Audio-, Bild- und Videoaufnahmen sowie zugehörige Metadaten als hochgeladene Nutzerinhalte.
• Transkripte und Analysen, die aus Nutzerinhalten über Opt-in-KI-Funktionen abgeleitet werden.
• Kommentare, Freigaben und Review-Aktionen von Mitwirkenden oder Kund:innen.

Der Verantwortliche stellt sicher, dass über den Dienst keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO oder Daten zu strafrechtlichen Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO verarbeitet werden, es sei denn, der Verantwortliche hat geeignete Schutzmaßnahmen getroffen und den Auftragsverarbeiter schriftlich informiert.

5. Dokumentierte Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die AGB, dieser AVV sowie die Konfigurationsentscheidungen des Verantwortlichen im Dienst bilden die fortbestehende Weisungslage. Zusätzliche Weisungen sind schriftlich (auch per E-Mail an privacy@tkammies.studio) zu erteilen und können zu zusätzlichen Entgelten führen, soweit sie Aufwand über den Standard-Service hinaus erfordern.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

6. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugriffe erfolgen nach Need-to-know-Prinzip und werden protokolliert.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen:

• durch Bereitstellung von Funktionen (z. B. Export, Löschung, Zugriffsprotokolle, Nutzerverwaltung), die den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen aus Kapitel III DSGVO unterstützen;
• bei der Einhaltung der Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), im Rahmen der technischen Möglichkeiten des Dienstes;
• durch Bereitstellung der zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen.

Soweit die Unterstützung über das im Dienst angemessen Enthaltene hinausgeht, kann der Auftragsverarbeiter ein angemessenes, vorab kommuniziertes Entgelt erheben.

8. Subunternehmer (Subprozessoren)

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Heranziehung von Subprozessoren. Die aktuelle Liste der Subprozessoren ist in der Datenschutzerklärung unter tkammies.studio/datenschutz veröffentlicht und Bestandteil dieses AVV.

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Subprozessoren mindestens 30 Tage im Voraus per E-Mail und über das In-App-Benachrichtigungspanel. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können sich die Parteien nicht auf eine Alternativlösung einigen, kann der Verantwortliche den betroffenen Dienst aus wichtigem Grund kostenlos kündigen; verbleibende vorausbezahlte Entgelte werden anteilig erstattet.

Der Auftragsverarbeiter schließt mit jedem Subprozessor schriftliche Verträge ab, die Datenschutzpflichten auferlegen, die nicht weniger schützend sind als die in diesem AVV, und bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten der Subprozessoren vollumfänglich verantwortlich.

9. Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht und unterstützt vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführte Überprüfungen einschließlich Inspektionen.

Zur Begrenzung des beiderseitigen Aufwands gilt:

• Der Auftragsverarbeiter stellt auf angemessene Anfrage unabhängige Drittberichte (z. B. ISO-27001-Berichte von Subprozessoren, SOC-2-Berichte, soweit verfügbar, Sicherheits-Fragebögen) sowie eine aktuelle TOM-Beschreibung zur Verfügung.
• Der Verantwortliche kann pro Kalenderjahr eine Remote-Prüfung mit einer Frist von mindestens 30 Tagen schriftlich verlangen. Weitere Prüfungen sind als Reaktion auf einen dokumentierten Sicherheitsvorfall, eine Aufsichtsanfrage oder eine wesentliche Änderung möglich.
• Vor-Ort-Prüfungen erfordern zusätzliche Vorlaufzeit und Abstimmung und müssen die Vertraulichkeit der Daten anderer Verantwortlicher wahren.
• Der Verantwortliche trägt seine eigenen Prüfungskosten; der Auftragsverarbeiter kann ein angemessenes Entgelt für Prüfungsunterstützung berechnen, die über die Bereitstellung der Standarddokumentation hinausgeht.

10. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die aktuellen Maßnahmen umfassen insbesondere:

• Vertraulichkeit: physische Zugangskontrollen in den Rechenzentren der Hosting-Anbieter (an zertifizierte Subprozessoren delegiert); logische Zugriffskontrollen mit Least-Privilege-Konten und individuellen Zugangsdaten; Mehrfaktor-Authentifizierung für administrative Zugriffe; Least-Privilege bei Service-zu-Service-Kommunikation.
• Integrität: Eingabevalidierung; signierte und zeitlich begrenzte URLs für Datei-Downloads; Schutz vor unbefugter Veränderung durch versionsverwaltete Deployments und Audit-Logs; integritätsgeprüfte Backups.
• Verfügbarkeit und Belastbarkeit: Hosting auf Infrastruktur mit Redundanz über Verfügbarkeitszonen; automatisierte Backups mit regelmäßigen Wiederherstellungstests; Monitoring und Alarmierung zu kritischer Service-Metriken.
• Verschlüsselung: TLS 1.2 oder höher für alle Daten in Übertragung; Verschlüsselung im Ruhezustand für gespeicherte Dateien (Cloudflare R2, Supabase Storage), Datenbankinhalte (Supabase Postgres) und Backups.
• Pseudonymisierung und Datenminimierung: Verwendung interner Identifier (UUIDs) im Service-zu-Service-Kontext, soweit direkte Identifier nicht erforderlich sind; PII-Bereinigung und IP-Kürzung im Fehler-Monitoring (Sentry) aktiviert.
• Wiederherstellbarkeit: dokumentierte Wiederherstellungsverfahren; Soft-Delete-Zeitraum von 30 Tagen für wiederherstellbare Nutzerinhalte.
• Verfahren: regelmäßige Sicherheits-Updates der Abhängigkeiten; dokumentiertes Incident-Response-Verfahren; regelmäßige Überprüfung der TOMs; Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen für Opt-in-Funktionen (z. B. KI-Übermittlungen standardmäßig deaktiviert).
• Auftragskontrolle: schriftliche Verträge und AVV mit allen Subprozessoren; dokumentierte Subprozessor-Liste in der Datenschutzerklärung.

Der Auftragsverarbeiter überprüft und aktualisiert die TOMs mit der Weiterentwicklung des Dienstes und veröffentlicht Änderungen über die Datenschutzerklärung.

11. Internationale Übermittlungen

Soweit der Auftragsverarbeiter oder seine Subprozessoren personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermitteln, ist die Übermittlung abgesichert durch:

• einen Angemessenheitsbeschluss der Europäischen Kommission, insbesondere das EU-US Data Privacy Framework (Beschluss (EU) 2023/1795), sofern der Empfänger zertifiziert ist; oder
• die Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914) mit dem für den Empfänger einschlägigen Modul (Modul 2 Verantwortlicher-zu-Auftragsverarbeiter oder Modul 3 Auftragsverarbeiter-zu-Auftragsverarbeiter, je nach Konstellation); zusätzlich zu
• ergänzenden technischen Maßnahmen (Verschlüsselung in Übertragung und im Ruhezustand, Zugriffskontrollen).

Mit Abschluss dieses AVV vereinbaren die Parteien, dass die SCCs, soweit anwendbar, kraft Verweisung Vertragsbestandteil werden. Kopien sind auf Anfrage erhältlich.

12. Meldung von Datenpannen

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nach Möglichkeit innerhalb von 48 Stunden ab Kenntniserlangung, jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, voraussichtliche Folgen und ergriffene oder vorgeschlagene Maßnahmen zur Bewältigung und Eindämmung. Der Auftragsverarbeiter wirkt in dem für die Erfüllung der Pflichten des Verantwortlichen aus Art. 33–34 DSGVO erforderlichen Umfang mit.

13. Löschung oder Rückgabe nach Beendigung

Nach Beendigung der AGB löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern nicht das Unionsrecht oder das Recht der Mitgliedstaaten die Speicherung vorschreibt. Standardverfahren: ein Soft-Delete-Zeitraum von 30 Tagen zur Wiederherstellung, anschließend endgültige Löschung innerhalb weiterer 60 Tage aus operativen Backups. Die im Dienst bereitgestellten Exportwerkzeuge (CSV-/Excel-Export, Datei-Download) stehen dem Verantwortlichen vor der Beendigung zur Verfügung.

14. Haftung

Die Haftung jeder Partei aus diesem AVV richtet sich nach den Haftungsbeschränkungen der AGB. Ansprüche betroffener Personen aus Art. 82 DSGVO bleiben unberührt.

15. Rangfolge

Im Falle von Widersprüchen zwischen diesem AVV und den AGB hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen geht dieser AVV vor. Zwingende Vorschriften der DSGVO und des anwendbaren nationalen Datenschutzrechts gehen beiden Dokumenten vor.

16. Annahme und Unterzeichnung

Der Verantwortliche nimmt diesen AVV durch Aktivierung in den Konto-Einstellungen an. Nach Aktivierung dienen die Aktivierung, die verwendete E-Mail-Adresse, die Workspace-Kennung und der Zeitstempel als Annahmenachweis. Eine gegengezeichnete PDF-Kopie ist auf Anfrage unter privacy@tkammies.studio erhältlich.