Vertrag zur Auftragsverarbeitung

Dieser Vertrag gilt für alle Unternehmen, die bei uns ein Video bestellen und uns dafür Material mit personenbezogenen Daten übergeben. Sie können ihn vor der Bestellung lesen und als PDF herunterladen. Mit der Bestellung kommt er zustande; Ihre Annahme speichern wir mit Textversion und Zeitpunkt.

Vertragspartner

• Das bestellende Unternehmen laut Bestellung – „Verantwortlicher“
• Motion ToGo UG (haftungsbeschränkt), Drebkauer Straße 5d, 03226 Vetschau/Spreewald – „Auftragsverarbeiter“

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten, die im Material, im Briefing und in den Ausgaben des Verantwortlichen enthalten sind, zur Produktion von Marketingvideos nach dem Hauptvertrag (Bestellung und AGB).
2. Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen nach § 9 speichert.

§ 2 Art, Zweck, Daten und Betroffene

1. Art und Zweck: Speichern, Sichten, Analysieren, Schneiden und Bearbeiten des Materials; Erstellen von Skript, Sprecherstimme, Untertiteln und Video; Bereitstellen auf der Auftragsseite.
2. Arten von Daten: Bild- und Videoaufnahmen von Personen, Stimm- und Tonaufnahmen, Namen, Funktionen und Kontaktdaten in Material und Briefing, Logos und Firmenangaben.
3. Betroffene Personen: Beschäftigte, Kunden und Geschäftspartner des Verantwortlichen sowie weitere Personen, die im Material zu sehen oder zu hören sind.
4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, etwa Gesundheitsdaten) sind nicht Gegenstand dieses Vertrags. Der Verantwortliche übergibt solche Daten nur nach vorheriger Absprache in Textform.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet; dann teilt er dies vorher mit, soweit das Gesetz es erlaubt.
2. Weisungen sind die Bestellung, das Briefing, das abgesendete Material und die Korrekturrunden. Weitere Weisungen erteilt der Verantwortliche in Textform, über das Nachrichtenfeld der Auftragsseite oder per E-Mail. Weisungsberechtigt ist die Person, die bestellt hat, sowie Personen, die sie in Textform benennt.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter.
2. Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 14 Tage vorher per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, können beide den betroffenen Auftrag kündigen; bereits erbrachte Leistungen bleiben zu vergüten.
3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

§ 7 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO) – zum Beispiel beim Löschen oder Unkenntlichmachen einer Person in Material und Ausgaben. Anfragen, die direkt bei ihm eingehen, leitet er unverzüglich weiter.

§ 8 Unterstützung und Datenpannen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO).
2. Eine Verletzung des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens 48 Stunden nachdem er davon Kenntnis erlangt hat, mit allen Angaben, die ihm zu diesem Zeitpunkt vorliegen. Weitere Angaben reicht er nach, sobald sie vorliegen.

§ 9 Löschung und Rückgabe

1. Rohmaterial löscht der Auftragsverarbeiter 30 Tage nach Lieferung (einmal um 30 Tage verlängerbar), Ausgaben 24 Monate nach Lieferung. Lokale Kopien auf den Produktionsrechnern löscht er 3 Tage nach Lieferung, Arbeitsdaten der KI-Werkzeuge nach 7 Tagen.
2. Der Verantwortliche kann vorher die Löschung oder die Herausgabe verlangen (Art. 28 Abs. 3 lit. g DSGVO). Gesetzliche Aufbewahrungspflichten bleiben unberührt.
3. Die Nutzung eines Videos als Referenz ist keine Auftragsverarbeitung; sie richtet sich nach Teil A § 16 der AGB. Personen im Video zeigen wir dabei nur mit deren gesonderter Einwilligung.

§ 10 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen bereit, die zum Nachweis seiner Pflichten nötig sind, und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).
2. Überprüfungen erfolgen vorrangig durch Auskünfte und Unterlagen. Vor-Ort-Kontrollen sind nach Ankündigung mit einer Frist von 14 Tagen zu den üblichen Geschäftszeiten möglich, ohne besonderen Anlass höchstens einmal im Jahr. Der Verantwortliche trägt seine eigenen Kosten.

§ 11 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur durch die in Anlage 1 genannten Unterauftragsverarbeiter und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind – auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, im Übrigen auf Grundlage der Standardvertragsklauseln der EU-Kommission.

§ 12 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. In Fragen des Datenschutzes hat dieser Vertrag Vorrang vor dem Hauptvertrag.
3. Änderungen und Ergänzungen bedürfen der Textform.
4. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen wirksam. Es gilt deutsches Recht.

Anlage 1 – Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Sitz
Hetzner Online GmbH	Server, Datenbank und Speicher für Material und Ausgaben, Rechenzentrum Falkenstein	Deutschland
Anthropic (Anthropic PBC bzw. Anthropic Ireland, Limited)	KI-gestützte Analyse des Materials und Erstellung des Skripts mit dem Sprachmodell Claude	USA / Irland
Eleven Labs Inc. (ElevenLabs)	Synthetische Sprecherstimme aus dem Skripttext	USA
Resend, Inc.	Versand von E-Mails, etwa Anmelde- und Lese-Links und Mails zum Auftragsstand (Versand aus der EU)	USA

Zahlungen wickelt Stripe ab. Stripe erhält dabei keine Inhalte aus dem Material und ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags.

Anlage 2 – Technische und organisatorische Maßnahmen

• Server und Netz: Hosting in Deutschland, Firewall mit nur den nötigen Ports, Zugang zum Server nur per Schlüssel, automatische Sicherheitsupdates, verschlüsselte Verbindungen (TLS) für jede Übertragung, interne Dienste nur im internen Netz.
• Datensicherung: tägliche verschlüsselte Datensicherungen, Aufbewahrung 30 Tage, regelmäßig getestete Wiederherstellung.
• Speicher: privater Speicher ohne öffentlichen Zugriff, nur signierte, zeitlich begrenzte Links, Zugriff nur über die Anwendung, Prüfung jeder hochgeladenen Datei auf Schadsoftware, keine ausführbaren Dateien.
• Zugang: Auftragsseite nur über persönlichen Anmeldelink, nicht erratbare Auftragsnummern, Begrenzung von Anmeldeversuchen; Verwaltungsbereich nur mit zweitem Faktor (Einmalcode oder Passkey), Protokollierung aller Verwaltungsaktionen.
• Zugangsdaten: Schlüssel für Dienste verschlüsselt gespeichert, auf den Produktionsrechnern nur im Schlüsselbund des Systems, nie im Klartext in Dateien.
• Produktionsrechner: Festplattenverschlüsselung, Auftragsordner nie in einem Cloud-Speicher, Bildschirmsperre, nur ausgehende Verbindungen der Produktionssoftware, Freigabe von Zugängen je Rechner.
• KI-Werkzeuge: Inhalte des Kunden werden als Daten behandelt, nie als Anweisungen; Arbeitsdaten werden nach 7 Tagen gelöscht; keine Nutzung des Materials zum Training eigener Modelle.
• Organisation: Vertraulichkeitsverpflichtung, Löschkonzept (§ 9), Prozess für Datenpannen (§ 8), Verzeichnis der Verarbeitungstätigkeiten.