Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung des Online-Dienstes SpokenEdit gemäß Art. 28 DSGVO.

(2) Der Auftragnehmer ist:

SpokenEdit
Jörg Harm
Melunder Str. 40
70569 Stuttgart
Deutschland
E-Mail: [E-Mail geschützt]

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages zwischen Auftraggeber und Auftragnehmer. Der AVV endet automatisch mit Beendigung des Nutzungsvertrages.

§ 2 Art und Zweck der Verarbeitung

(1) Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung der SpokenEdit-Plattform für das kollaborative Review von Audio-Dateien. Dies umfasst insbesondere:

• Speicherung und Bereitstellung von Audio-Dateien
• Verwaltung von Workspaces und Projekten
• Verarbeitung von Markern und Kommentaren
• Ermöglichung kollaborativer Reviews im Team
• Versionierung von Audio-Dateien
• Bereitstellung von Review-Links für Gastnutzer
• Export von Marker-Daten

(2) Eine darüber hinausgehende Verarbeitung findet nicht statt. Der Auftragnehmer verwendet die Daten nicht für eigene Zwecke.

§ 3 Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung werden folgende Kategorien personenbezogener Daten verarbeitet:

• Audio-Dateien: Aufnahmen, die Stimmen und Sprachaufnahmen enthalten können
• Bestandsdaten: Namen, E-Mail-Adressen der Team-Mitglieder und Gastnutzer
• Nutzungsdaten: Marker, Kommentare, Zeitstempel, Versionsinformationen
• Protokolldaten: IP-Adressen (werden nach 90 Tagen automatisch anonymisiert), Zugriffszeitpunkte

§ 4 Kategorien betroffener Personen

Die Verarbeitung betrifft folgende Kategorien betroffener Personen:

• Sprecher, Autoren und Künstler (deren Stimmen in den Audio-Dateien enthalten sind)
• Lektoren, Regisseure und Redakteure (die als Team-Mitglieder am Review teilnehmen)
• Sonstige Mitarbeiter und Beauftragte des Auftraggebers
• Gastnutzer (die über Review-Links Zugang erhalten)

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen allein verantwortlich.

(2) Der Auftraggeber erteilt dem Auftragnehmer Weisungen in Bezug auf die Datenverarbeitung. Der Umfang der weisungsgemäßen Verarbeitung ergibt sich aus diesem AVV und den AGB.

(3) Der Auftraggeber hat den Auftragnehmer unverzüglich zu informieren, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 6 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch das Recht der EU oder der Mitgliedstaaten hierzu verpflichtet.

(2) Der Auftragnehmer gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) im Rahmen seiner Möglichkeiten.

(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenpannen, Datenschutz-Folgenabschätzung).

(5) Im Falle einer Verletzung des Schutzes personenbezogener Daten informiert der Auftragnehmer den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

(2) Der Auftragnehmer wird den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informieren. Der Auftraggeber hat die Möglichkeit, Einspruch gegen diese Änderungen zu erheben.

(3) Der Auftragnehmer stellt sicher, dass den Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegt werden, die in diesem AVV festgelegt sind.

§ 8 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft gemäß Art. 32 DSGVO folgende Maßnahmen zum Schutz personenbezogener Daten:

• Verschlüsselung: Alle Daten werden per HTTPS/TLS verschlüsselt übertragen
• Passwort-Sicherheit: Passwörter werden mit bcrypt gehasht und niemals im Klartext gespeichert
• Server-Standort: Alle Daten werden ausschließlich auf Servern in Deutschland gespeichert
• Zugriffskontrolle: Zugang zu Produktivsystemen ist auf den Betreiber beschränkt und durch SSH-Schlüssel gesichert
• IP-Anonymisierung: IP-Adressen im Aktivitätsprotokoll werden nach 90 Tagen automatisch anonymisiert
• Analyse: Self-hosted Matomo auf eigener Infrastruktur, cookiefrei, keine Datenweitergabe an Dritte
• Lokale Schriftarten: Alle Fonts werden lokal geladen, keine externen Anfragen
• Soft-Delete: Gelöschte Daten werden zunächst in den Papierkorb verschoben (7 Tage) und anschließend unwiderruflich gelöscht
• Backups: Regelmäßige Datensicherungen zur Wiederherstellung bei Datenverlust

§ 9 Kontrollrechte

(1) Der Auftraggeber hat das Recht, die Einhaltung der in diesem AVV getroffenen Vereinbarungen und der datenschutzrechtlichen Vorgaben zu überprüfen.

(2) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(3) Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer sind nach vorheriger Abstimmung und unter Berücksichtigung der betrieblichen Abläufe möglich.

§ 10 Datenlöschung

(1) Nach Beendigung des Nutzungsvertrages löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

(2) Gelöschte Projekte, Kapitel und Audio-Dateien werden zunächst in den Papierkorb verschoben und können innerhalb von 7 Tagen auf Anfrage wiederhergestellt werden. Nach Ablauf der 7 Tage werden die Daten automatisch und unwiderruflich gelöscht.

(3) Der Auftragnehmer bestätigt dem Auftraggeber die Löschung auf Anfrage.

§ 11 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(4) Dieser AVV tritt mit Annahme der AGB von SpokenEdit in Kraft und ist Bestandteil des Vertragsverhältnisses.