Vertrag zur Auftragsverarbeitung

Dieser Vertrag zur Auftragsverarbeitung gilt zwischen dem beruflichen Kunden von A-Roll Studio als Verantwortlichem und Moritz Post, c/o RA Matutis, Berliner Straße 57, 14467 Potsdam, Deutschland, als Anbieter von A-Roll Studio.

Er gilt, soweit A-Roll Studio personenbezogene Daten im Auftrag des Kunden verarbeitet. Das betrifft insbesondere personenbezogene Daten in hochgeladenen Audiodateien, Skripten, Transkripten, Prompts, technischen Auftragsdaten und daraus erzeugten Lieferdateien.

Für eigene Zwecke von A-Roll Studio, insbesondere Websitebetrieb, Konto, Zahlung, Rechnung, Missbrauchsschutz, Support und gesetzliche Aufbewahrungspflichten, gilt die Datenschutzerklärung; insoweit handelt A-Roll Studio als Verantwortlicher.

Gegenstand der Verarbeitung ist die technische Erstellung einer Schnittbasis für Moderations-, A-Roll-, Kurs-, Interview-, Podcast- und Sprachaufnahmen des Kunden.

Die Verarbeitung umfasst insbesondere Uploadannahme, lokale Verarbeitung, Audioaufbereitung, Transkription, semantische Schnittentscheidung, Erzeugung von XML-, Audio- und ZIP-Lieferdateien, Ergebnisbereitstellung, Fehleranalyse, Support und Löschung nach den vereinbarten Fristen.

• Der Standardworkflow ist darauf ausgelegt, dass das Originalvideo beim Kunden bleibt.
• Verarbeitet werden die für den Auftrag erforderlichen Audio-, Text-, Transkript-, Prompt-, Metadaten-, Referenz- und Ergebnisdaten.
• Eine Nutzung von Kundenmedien für fremde Werbe-, Verkaufs- oder Trainingszwecke ist nicht Gegenstand dieses AVV.

Die konkreten Datenarten hängen vom jeweiligen Auftrag und vom hochgeladenen Material ab.

• Datenarten können sein: Stimmen, gesprochene Inhalte, Namen, Rollen, Skripte, Transkripte, Prompts, Schnittentscheidungen, Zeitcodes, Dateinamen, technische Mediendaten, Auftrags-IDs, Fehlerlogs und Supportanhänge.
• Betroffene Personen können sein: Beschäftigte, freie Mitarbeitende, Sprecher, Moderatoren, Interviewgäste, Kunden, Projektbeteiligte sowie Personen, die in Aufnahmen genannt oder hörbar werden.
• Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sollen nur hochgeladen werden, wenn der Kunde hierfür eine tragfähige Rechtsgrundlage und Schutzmaßnahmen sicherstellt.

Die Auftragsverarbeitung beginnt mit Upload, Auftragsstart oder sonstiger Bereitstellung der Auftragsdaten und endet, wenn Auftrag, Ergebnisbereitstellung, Support, Fehleranalyse und die vereinbarten Lösch- oder Rückgabefristen abgeschlossen sind.

A-Roll Studio verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht.

Als dokumentierte Weisungen gelten insbesondere die Auswahl des Workflows, der Upload von Dateien, die Auftragsbestätigung im Studio, Supportanfragen, Löschanfragen, Einstellungen im Konto und gesondert in Textform erteilte Weisungen.

• Der Kunde ist dafür verantwortlich, dass seine Weisungen rechtmäßig sind.
• Die nach erneuter Authentifizierung und ausdrücklicher Mehrfachbestätigung ausgelöste endgültige Kontolöschung gilt als dokumentierte Weisung, die noch vorhandenen Auftragsdaten zu löschen und laufende Auftragsverarbeitungen zu beenden, soweit keine gesetzliche Pflicht entgegensteht.
• A-Roll Studio informiert den Kunden, wenn eine Weisung offensichtlich gegen Datenschutzrecht verstößt, soweit dies erkennbar ist.
• Weisungen zu Drittlandübermittlungen gelten nur, soweit sie durch diesen AVV, die Datenschutzerklärung, die eingesetzten Dienstleister oder eine gesonderte Vereinbarung dokumentiert sind.
• Änderungen an Zweck oder Umfang der Verarbeitung bedürfen einer dokumentierten Vereinbarung.

Der Kunde bleibt Verantwortlicher für Inhalt, Rechtmäßigkeit und Zweck der bereitgestellten Auftragsdaten. Er stellt sicher, dass für Upload, Verarbeitung, Weisungen, Ergebnisnutzung und Weitergabe eine Rechtsgrundlage besteht.

Der Kunde erfüllt gegenüber betroffenen Personen die erforderlichen Informationspflichten und berücksichtigt deren Rechte. A-Roll Studio entscheidet nicht über Rechtsgrundlagen, Einwilligungen, Betriebsvereinbarungen, Kundeneinwilligungen oder Berufs- und Geheimhaltungspflichten des Kunden.

• Besondere Kategorien personenbezogener Daten, vertrauliche Berufsgeheimnisse oder besonders schutzbedürftige Inhalte dürfen nur hochgeladen werden, wenn der Kunde die dafür erforderlichen Voraussetzungen geschaffen hat.
• Der Kunde hält Auftrags-IDs, Kontaktdaten und Weisungen so bereit, dass Anfragen, Löschungen oder Einschränkungen eindeutig zugeordnet werden können.

A-Roll Studio stellt sicher, dass Personen, die Zugriff auf Auftragsdaten erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Zugriff auf Auftragsdaten erhalten nur Personen und Prozesse, soweit dies für Betrieb, Verarbeitung, Support, Sicherheit, Fehleranalyse, Missbrauchsabwehr oder gesetzliche Pflichten erforderlich ist.

• Zugriffe werden nach dem Need-to-know-Prinzip begrenzt.
• Auftragsdaten werden nicht zu fremden Werbe-, Verkaufs- oder Trainingszwecken genutzt.
• Interne Prüfungen oder Supportzugriffe erfolgen zweckgebunden und soweit möglich auf die erforderlichen Daten beschränkt.

A-Roll Studio trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO zum Schutz der Auftragsdaten. Die Maßnahmen werden risikobasiert weiterentwickelt und an Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Risiken ausgerichtet.

• Transportverschlüsselung über HTTPS/TLS für Website, Uploads und Downloads.
• Kontobezogene Zugriffsbeschränkung auf Aufträge und Lieferdateien.
• Private Speicherbereiche und serverseitige Service-Rollen für administrative Verarbeitung.
• Beschränkung interner Zugriffe auf Personen und Prozesse, die für Betrieb, Support, Sicherheit oder Fehleranalyse erforderlich sind.
• Trennung von Kundenmedien, Auftragsdaten, Zahlungsdaten und Rechnungsdaten nach Zweck und Systembereich.
• Löschroutinen für Eingabe-, Zwischen- und Ergebnisdateien im Website-System.
• Schutz lokaler Verarbeitungssysteme durch Betriebssystem-, Account- und Zugriffsschutz.
• Protokollierung technischer Ereignisse, soweit sie für Sicherheit, Fehleranalyse und Nachvollziehbarkeit erforderlich ist.

Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz der nachfolgend genannten Unterauftragsverarbeiter und Empfängerkategorien, soweit sie für Betrieb oder konkreten Auftrag erforderlich sind.

A-Roll Studio verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses AVV im Wesentlichen entsprechen, insbesondere auf zweckgebundene Verarbeitung, angemessene Sicherheit, Vertraulichkeit und Unterstützung bei Datenschutzpflichten.

A-Roll Studio bleibt gegenüber dem Kunden für die Erfüllung der Datenschutzpflichten von Unterauftragsverarbeitern verantwortlich, soweit Art. 28 Abs. 4 DSGVO dies vorsieht. Zahlungs- und Rechnungsanbieter wie Stripe und sevDesk werden in der Datenschutzerklärung beschrieben; sie sind nicht Teil der weisungsgebundenen Verarbeitung von Kundenmedien.

• Vercel: Hosting, Auslieferung und technische Website-Infrastruktur.
• Supabase: Authentifizierung, Datenbank, privater Dateispeicher, Auftrags- und Downloadzuordnung.
• Cloudflare Turnstile: Bot-Schutz bei Registrierung und Login-Schutz.
• Resend und angebundene Mailbox-/Supportsysteme: Kontakt-, System- und Supportkommunikation.
• Auphonic: Audioaufbereitung und Verbesserung von Audiodaten.
• ElevenLabs: Transkription von Audiodaten.
• OpenAI und Google Gemini: semantische Schnittentscheidungen und KI-API-Verarbeitung für den Auftrag.
• Änderungen durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern werden dem Kunden vorab über die Website, per E-Mail an die Konto-Adresse oder im Studio mitgeteilt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ohne Widerspruch innerhalb von 14 Tagen gilt die Änderung als genehmigt.
• Bei dringend erforderlichen Änderungen aus Sicherheits-, Verfügbarkeits- oder Rechtsgründen kann die Information nachträglich unverzüglich erfolgen, wenn eine Vorabinformation nicht zumutbar ist.

Soweit Unterauftragsverarbeiter Daten außerhalb der EU oder des EWR verarbeiten, stützt A-Roll Studio die Übermittlung auf geeignete Garantien nach Art. 44 ff. DSGVO, etwa Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln oder vergleichbare Mechanismen.

Der Kunde genehmigt diese Übermittlungen, soweit sie für die beauftragte Verarbeitung und den jeweiligen Dienst erforderlich sind.

A-Roll Studio unterstützt den Kunden in angemessenem Umfang bei Anfragen betroffener Personen, soweit die Anfrage Auftragsdaten betrifft und der Kunde die Informationen nicht selbst bereitstellen kann.

Richtet sich eine betroffene Person unmittelbar an A-Roll Studio und ist erkennbar, dass die Anfrage Kundenmedien betrifft, wird A-Roll Studio die Anfrage nach Möglichkeit an den Kunden verweisen oder weiterleiten.

• Die Unterstützung betrifft insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, soweit diese Rechte bei Auftragsdaten praktisch relevant sind.
• A-Roll Studio kann dafür eine eindeutige Auftrags-ID, Kontozuordnung oder sonstige Angaben verlangen, damit keine Daten unberechtigt offengelegt oder gelöscht werden.

A-Roll Studio unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen in angemessenem Umfang bei dessen Pflichten aus Art. 32 bis 36 DSGVO.

Das betrifft insbesondere Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und eine erforderliche vorherige Konsultation einer Aufsichtsbehörde.

• Die Unterstützung erfolgt durch zweckdienliche Informationen zu Verarbeitung, Dienstleistern, Schutzmaßnahmen, Löschfristen und bekannten Sicherheitsereignissen.
• Weitergehende Unterstützung, die über Standardinformationen und zumutbare Mitwirkung hinausgeht, kann angemessen nach Aufwand berechnet werden, soweit keine zwingende gesetzliche Pflicht entgegensteht.

A-Roll Studio informiert den Kunden unverzüglich, möglichst innerhalb von 48 Stunden nach Bekanntwerden, wenn A-Roll Studio eine Verletzung des Schutzes personenbezogener Auftragsdaten feststellt, die den Kunden betrifft.

Die Information enthält nach dem jeweiligen Erkenntnisstand die Art des Vorfalls, betroffene Datenkategorien, betroffene Personengruppen, mögliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Ergänzende Informationen werden nachgereicht, soweit sie erst später verfügbar sind.

Nach Abschluss der beauftragten Verarbeitung löscht A-Roll Studio Auftragsdaten oder stellt sie dem Kunden zur Verfügung, soweit dies technisch vorgesehen ist und der Kunde dies vor Ablauf der Bereitstellung verlangt. Gesetzliche Aufbewahrungspflichten und eigene Vertrags-, Zahlungs-, Rechnungs-, Sicherheits- und Nachweiszwecke bleiben unberührt.

Eingabe-, Zwischen- und Ergebnisdateien werden im Website-System grundsätzlich nach 72 Stunden gelöscht. Lokale Verarbeitungskopien, technische Zwischenstände, Transkripte, Prompts, Ergebnisdaten und inhaltsbezogene Fehlerprotokolle können für auftragsbezogene Nachbetreuung, Ergebniskontrolle, Fehleranalyse sowie Support- und Mängelfälle höchstens 365 Tage nach Auftragsabschluss gespeichert werden.

Eine wirksame frühere Löschweisung, einschließlich der ausdrücklich bestätigten endgültigen Kontolöschung, beendet die normale 365-Tage-Frist. A-Roll Studio löscht dann nicht mehr erforderliche Auftragsdaten aus Website-Speicher, lokalen Verarbeitungssystemen und zugeordneten Archiven und veranlasst die Löschung bei eingesetzten Unterauftragsverarbeitern, soweit keine gesetzliche Pflicht entgegensteht.

Backups, technische Protokolle und Daten bei Unterauftragsverarbeitern werden nach deren vertraglichen, technischen und gesetzlichen Löschprozessen entfernt oder überschrieben. Bis zum Abschluss werden verbleibende Daten nicht für neue Aufträge, allgemeines Training, Werbung oder andere Kunden genutzt.

• Der Kunde kann vor Ablauf der Bereitstellungsfrist Lieferdateien im Studio herunterladen.
• Bei einer endgültigen Kontolöschung werden laufende Aufträge beendet und Downloads unmittelbar unzugänglich. Der Kunde muss benötigte Lieferdateien vorher herunterladen.
• Die Löschung kann technisch in mehreren wiederholbaren Schritten erfolgen. A-Roll Studio behandelt einen Vorgang erst als abgeschlossen, wenn die vorgesehenen Löschschritte abgeschlossen oder verbleibende Daten ausschließlich einer dokumentierten gesetzlichen Ausnahme zugeordnet sind.
• Eine gesonderte Rückgabe in einem anderen Format erfolgt nur, soweit sie technisch möglich, verhältnismäßig und gesondert vereinbart ist.
• Löschanfragen zu konkreten Aufträgen sollen Auftrags-ID, Konto und betroffene Daten so genau wie möglich nennen.

A-Roll Studio stellt dem Kunden auf Anfrage angemessene Informationen zur Verfügung, die zur Prüfung der Einhaltung dieses AVV und der Pflichten nach Art. 28 DSGVO erforderlich sind.

Audits oder Kontrollen müssen rechtzeitig angekündigt, verhältnismäßig, auf Auftragsdaten bezogen und so durchgeführt werden, dass Sicherheit, Geschäftsgeheimnisse, Rechte anderer Kunden und der laufende Betrieb nicht beeinträchtigt werden.

• Vorrangig werden vorhandene Dokumentationen, Auskünfte, Sicherheitsinformationen, Dienstleisterinformationen oder geeignete Nachweise bereitgestellt.
• Vor-Ort-Prüfungen sind nur erforderlich, wenn schriftliche oder remote bereitgestellte Nachweise nicht ausreichen und ein konkreter datenschutzrechtlicher Anlass besteht.
• Der Kunde trägt eigene Prüfkosten; A-Roll Studio kann angemessene Kosten für außergewöhnlichen Prüfaufwand berechnen, soweit dies gesetzlich zulässig ist.

Nicht Teil der Auftragsverarbeitung sind eigene Verarbeitungen von A-Roll Studio für Websitebetrieb, Konto, Authentifizierung, Sicherheit, Missbrauchsabwehr, Vertrag, Zahlung, Rechnung, Buchhaltung, Supportkommunikation, Rechtsdurchsetzung und gesetzliche Aufbewahrungspflichten.

Für diese eigenen Verarbeitungen gelten die Datenschutzerklärung und die gesetzlichen Pflichten von A-Roll Studio als Verantwortlichem.

Dieser AVV ergänzt die Nutzungsbedingungen und die Datenschutzerklärung von A-Roll Studio. Bei Widersprüchen zur Auftragsverarbeitung geht dieser AVV vor, soweit Art. 28 DSGVO betroffen ist.

Änderungen dieses AVV werden dokumentiert und versioniert. Nutzt der Kunde A-Roll Studio nach einer zumutbar angekündigten Aktualisierung weiter oder bestätigt die aktualisierte Fassung im Studio, gilt die aktualisierte Fassung für künftige Aufträge, soweit keine zwingenden Gründe entgegenstehen.

Sollten einzelne Regelungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. Die Parteien ersetzen die unwirksame Regelung durch eine wirksame Regelung, die dem datenschutzrechtlichen Zweck möglichst nahekommt.