Auftragsverarbeitungsvertrag (AVV/DPA)

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien aus dem Hauptvertrag über AboveStream. Er gilt für alle Verarbeitungen, bei denen der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet, und erfüllt die Anforderungen des Art. 28 Abs. 3 und 4 DSGVO.

§ 1 Parteien und Rollen

Verantwortlicher: der Kunde, der über Zwecke und Mittel der Verarbeitung der von ihm bereitgestellten oder über sein Videoportal erhobenen personenbezogenen Daten entscheidet.

Auftragsverarbeiter:
intercolo GmbH
Carl-Goerdeler-Str. 114
60320 Frankfurt am Main
Deutschland

Soweit der Anbieter eigene Zwecke verfolgt, insbesondere bei Vertragsverwaltung, Abrechnung, Missbrauchsabwehr oder Erfüllung gesetzlicher Pflichten, handelt er insoweit als eigener Verantwortlicher.

§ 2 Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Bereitstellung der vereinbarten Video- und Audio-Hosting-Dienste. Dazu gehören insbesondere Upload, Speicherung, Transcoding, Verwaltung, Zugriffsschutz, Auslieferung, Portal- und Benutzerfunktionen, technische Protokollierung sowie vom Kunden aktivierte Nutzungsanalysen.

Die Verarbeitung beginnt mit der Nutzung des Dienstes und dauert grundsätzlich so lange wie der Hauptvertrag. Gesetzliche Aufbewahrungspflichten und die in § 10 geregelte Rückgabe oder Löschung bleiben unberührt.

§ 3 Art und Zweck der Verarbeitung

Verarbeitung	Zweck
Erheben und Erfassen	Entgegennahme von Uploads, Portalregistrierungen und Eingaben des Kunden
Speichern und Organisieren	Verwaltung von Medien, Metadaten, Benutzern, Berechtigungen und Portalinhalten
Anpassen und Verändern	Transcoding, Vorschaubilder, Untertitel, Kapitel und technische Medienaufbereitung
Auslesen und Übermitteln	Autorisierte Wiedergabe, Downloads, Einbettungen und API-Ausgaben
Protokollieren und Auswerten	Sicherheit, Fehleranalyse, Abrechnung von Ressourcen und kundenseitige Nutzungsstatistik
Löschen	Umsetzung von Kundenaktionen, Vertragsende und Aufbewahrungsregeln

§ 4 Datenarten und betroffene Personen

Kategorien personenbezogener Daten

• Stamm- und Kontaktdaten, insbesondere Name und E-Mail-Adresse
• Account-, Rollen-, Berechtigungs- und Authentifizierungsdaten
• Video-, Audio- und Bildinhalte, soweit darin Personen oder personenbezogene Informationen enthalten sind
• Medien- und Inhaltsmetadaten, beispielsweise Titel, Beschreibungen, Tags, Untertitel und Kommentare
• Portal- und Mitgliederdaten sowie vom Kunden verwaltete Zugriffszuordnungen
• Nutzungs-, Wiedergabe-, Geräte- und Verbindungsdaten, einschließlich IP-Adressen oder daraus gebildeter Hashwerte
• Protokoll-, Support- und Kommunikationsdaten

Kategorien betroffener Personen

• Beschäftigte, Teammitglieder und sonstige Nutzer des Kunden
• Mitglieder, Kunden, Interessenten und Zuschauer des Kunden
• Personen, die in hochgeladenen Medien oder zugehörigen Metadaten vorkommen
• Kommunikations- und Supportkontakte

Umfang und Inhalt der konkreten Daten bestimmt der Kunde durch Nutzung und Konfiguration des Dienstes. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen nur verarbeitet werden, wenn der Kunde hierfür eine ausreichende Rechtsgrundlage und angemessene Schutzmaßnahmen sicherstellt.

§ 5 Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verarbeitungspflicht besteht. Hauptvertrag, dieser AVV, Einstellungen im Dienst und in Textform übermittelte Anweisungen gelten als dokumentierte Weisungen.

Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Umsetzung bis zur Klärung aussetzen.

§ 6 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

1. nur befugten und zur Vertraulichkeit verpflichteten Personen Zugriff zu gewähren,
2. geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO aufrechtzuerhalten,
3. den Verantwortlichen bei Betroffenenanfragen und den Pflichten aus Art. 32 bis 36 DSGVO angemessen zu unterstützen,
4. Datenschutzverletzungen unverzüglich nach Bekanntwerden zu melden,
5. die gesetzlich erforderlichen Verzeichnisse und Nachweise zu führen,
6. nach Abschluss der Leistungen Daten nach Maßgabe von § 10 zurückzugeben oder zu löschen und
7. die Einhaltung dieses AVV nach Maßgabe von § 11 nachweisbar zu machen.

§ 7 Technische und organisatorische Maßnahmen

Zum Schutz der Auftragsdaten werden insbesondere folgende Maßnahmen eingesetzt:

Vertraulichkeit und Zugriffsschutz

• rollen- und mandantenbezogene Berechtigungen nach dem Prinzip der erforderlichen Rechte
• personengebundene Zugänge und geschützte Authentifizierungsdaten
• logische Mandantentrennung anhand des jeweiligen Workspace; keine Behauptung physisch separater Kundendatenbanken
• private Objektspeicherung und zeitlich begrenzte beziehungsweise signierte Medienzugriffe

Übertragung und Integrität

• verschlüsselte Übertragung über TLS
• serverseitige Autorisierungs- und Mandantenprüfungen
• Protokollierung sicherheits- und verwaltungsrelevanter Vorgänge
• kontrollierte Verarbeitungsschritte für Upload, Transcoding und Löschung

Verfügbarkeit und Wiederherstellbarkeit

• technisches Monitoring und Fehlerprotokollierung
• Retry-, Dead-Letter- und Konsistenzverfahren für die Medienverarbeitung
• Redundanz- und Wiederherstellungsverfahren, soweit sie für den gebuchten Dienst ausdrücklich vorgesehen sind
• regelmäßige Sicherheits- und Softwareaktualisierungen

Der Objektspeicher ersetzt keine kundenseitige Datensicherung. Eine automatische Sicherung von Kundeninhalten ist nur geschuldet, wenn sie im gebuchten Dienst oder individuell ausdrücklich vereinbart wurde.

Die Maßnahmen werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung überprüft und weiterentwickelt. Wesentliche Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

§ 8 Weitere Auftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die nachfolgend aufgeführten weiteren Auftragsverarbeiter. Der Auftragsverarbeiter verpflichtet diese, soweit anwendbar, zu einem gleichwertigen Datenschutzniveau. Eigenständig Verantwortliche, etwa Zahlungsdienstleister für ihre eigene Zahlungsabwicklung, sind keine Unterauftragsverarbeiter im Sinne dieses AVV.

Unternehmen	Leistung	Standort und Zugriff
Aixit GmbH	Colocation und physische Rechenzentrumsinfrastruktur	Frankfurt am Main, Deutschland; Kein planmaessiger Zugriff auf Dateninhalte

Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters wird der Verantwortliche grundsätzlich mindestens 30 Tage vorher informiert. Er kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können die Parteien keine angemessene Lösung finden, kann der betroffene Dienst nach den Regelungen des Hauptvertrags beendet werden.

§ 9 Unterstützung und Betroffenenrechte

Anfragen betroffener Personen, die erkennbar Auftragsdaten des Verantwortlichen betreffen, leitet der Auftragsverarbeiter an den Verantwortlichen weiter. Er berichtigt, löscht, sperrt oder übermittelt Auftragsdaten nicht eigenständig, außer auf Weisung des Verantwortlichen oder aufgrund einer gesetzlichen Pflicht.

§ 10 Rückgabe und Löschung

Nach Abschluss der Verarbeitungsleistungen löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Auftragsdaten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Bereits während der Vertragslaufzeit kann der Verantwortliche die im Dienst bereitgestellten Lösch- und Exportfunktionen nutzen.

Soweit im vereinbarten Dienst Sicherungen, Replikate oder Snapshots angelegt wurden und Daten darin enthalten sind, werden sie bis zur turnusmäßigen Überschreibung gesperrt und nicht erneut produktiv verarbeitet, sofern nicht eine Wiederherstellung technisch erforderlich ist.

§ 11 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zur Prüfung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht angemessene Kontrollen. Vorrangig können aktuelle Dokumentationen, Prüfberichte und technische Nachweise verwendet werden. Weitergehende Prüfungen werden rechtzeitig abgestimmt und so durchgeführt, dass Sicherheit, Vertraulichkeit und der laufende Betrieb nicht unangemessen beeinträchtigt werden.

§ 12 Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten unverzüglich. Die Meldung enthält, soweit zu diesem Zeitpunkt verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder geplante Abhilfemaßnahmen sowie eine Kontaktstelle für Rückfragen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

§ 13 Haftung und Rangfolge

Für die Haftung gelten Art. 82 DSGVO und die Regelungen des Hauptvertrags. Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieses AVV für die Auftragsverarbeitung vor. Im Übrigen bleibt der Hauptvertrag unberührt.

§ 14 Schlussbestimmungen

Änderungen dieses AVV bedürfen mindestens der Textform. Dies gilt auch für elektronisch dokumentierte Vereinbarungen. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.