Vereinbarung zur Auftragsverarbeitung

Präambel

Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsverarbeitungsverhältnis eingegangen. Um die sich hieraus ergebenden Rechte und Pflichten gemäß den Vorgaben der europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, DSGVO) und des Bundesdatenschutzgesetzes (BDSG) zu konkretisieren, schließen die Vertragsparteien die nachfolgende Vereinbarung.

§ 1 Anwendungsbereich

(1)Die Vereinbarung findet Anwendung auf die Verarbeitung (Art. 4 Nr. 2 DSGVO) aller personenbezogenen Daten (im Folgenden: Daten), die Gegenstand der Leistungsvereinbarung sind oder im Rahmen von deren Durchführung anfallen und auf Weisung des Verantwortlichen verarbeitet werden. Nicht unter den Anwendungsbereich fallen Daten von Mitarbeitern des Auftragsverarbeiters, soweit sie ausschließlich das Beschäftigungsverhältnis mit dem Auftragsverarbeiter betreffen.

(2)Diese Vereinbarung gilt vorrangig vor anderen Vereinbarungen und Abreden zwischen den Vertragsparteien, es sei denn, zwischen den Parteien wird ausdrücklich etwas anderes vereinbart.

§ 2 Konkretisierung des Auftragsinhalts

(1)Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb der SaaS-Dienste „dfine.io Review" (Medien-Review-Plattform: Upload und Versionierung von Mediendateien, frame-genaue Kommentierung und Annotation, Live-Review-Sessions mit Conferencing, Freigaben und geschützte Weitergabe) und „dfine.io Streaming Classic" (privates Livestreaming, auf Wunsch auf TISAX-geprüfter Infrastruktur, Google Cloud europe-west3 Frankfurt am Main, oder on-premises beim Verantwortlichen). Die Leistungsvereinbarung ergibt sich bei Buchung im Self-Service aus der im Bestellprozess (Checkout) gewählten Leistung nebst den dabei einbezogenen Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters; bei individuell vereinbarten Leistungen aus dem jeweiligen Angebot bzw. Rahmenvertrag. Der konkrete Leistungsumfang, Dauer, Art und Zweck der Verarbeitung bestimmen sich nach dieser Leistungsvereinbarung. Die Dauer der Verarbeitung entspricht der Laufzeit der Leistungsvereinbarung: Sie beginnt mit deren Wirksamwerden und endet mit deren Beendigung; Rückgabe und Löschung der Daten nach Beendigung richten sich nach § 7.

(2)Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung. Bei beiden Diensten: Konto- und Kontaktdaten der Nutzer (Name, E-Mail-Adresse); Authentifizierungsdaten (Zugangs-Tokens, Passwort-Hashes, Session-Kennungen); Nutzungs- und Verbindungsmetadaten (Zeitpunkte, Dauer, Verbindungsstatus, IP-Adressen im Rahmen des Verbindungsaufbaus); abrechnungsbezogene Daten (über den Zahlungsdienstleister). Zusätzlich bei dfine.io Review: vom Verantwortlichen hochgeladene Medieninhalte (Video, Bild, Audio, Dokumente) einschließlich Versionen, die personenbezogene Daten enthalten können; Kommentare und Annotationen einschließlich optionaler KI-gestützter Übersetzungen; Freigabe- und Zugriffsdaten (Link-Richtlinien, Passwort-Hashes, Ablaufdaten, Gast-Interaktionen); Audio-/Video-Streams der Live-Sessions (Echtzeitverarbeitung); Audit- und Nutzungsprotokolle. Besonderheit bei dfine.io Streaming Classic: Video- und Streaminhalte werden serverseitig nicht gespeichert; das Signal wird ausschließlich in Echtzeit durchgeleitet (Aufzeichnung und Cloud-Storage-Upload sind serverseitig deaktiviert).

(3)Kategorien betroffener Personen: Beschäftigte des Verantwortlichen; von ihm eingeladene externe Dienstleister, Reviewer und Zuschauer (auch ohne eigenes Konto); gegebenenfalls Kunden des Verantwortlichen sowie Personen, die in hochgeladenen Medieninhalten abgebildet oder genannt sind.

(4)Im Rahmen der Auftragsverarbeitung werden keine besonderen Kategorien von Daten (Art. 9 DSGVO) planmäßig verarbeitet; soweit hochgeladene Medieninhalte im Einzelfall solche Daten enthalten, bleibt der Verantwortliche für die Rechtmäßigkeit verantwortlich.

(5)Die verarbeiteten personenbezogenen Daten haben einen hohen Schutzbedarf.

§ 3 Verpflichtungen und Weisungsbefugnis

(1)Die Vertragsparteien sind verpflichtet, die ihnen durch datenschutzrechtliche Vorschriften (insbesondere die DSGVO) auferlegten Pflichten einzuhalten. Der Verantwortliche kann jederzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verarbeitung der Daten verlangen.

(2)Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen, insbesondere durch die Gewährleistung geeigneter technischer und organisatorischer Maßnahmen.

(3)Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenenrechts unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.

(4)Der Auftragsverarbeiter darf Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder des Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Weisungen sind zu dokumentieren. Die Weisungen werden zunächst durch die Leistungsvereinbarung definiert und können vom Verantwortlichen danach in dokumentierter Form durch einzelne Weisungen geändert, ergänzt oder ersetzt werden.

(5)Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. Die weisungsberechtigten und empfangsberechtigten Personen sowie die Informationswege sind im Anhang „Weisungsbefugnis" festgelegt.

(6)Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren.

(7)Auskünfte an Dritte oder die betroffene Person darf der Auftragsverarbeiter nur nach vorheriger ausdrücklicher schriftlicher (oder dokumentierter elektronischer) Zustimmung durch den Verantwortlichen erteilen, es sei denn, er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet.

(8)Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben, es sei denn, er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt.

(9)Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten i. S. d. Art. 30 Abs. 1 DSGVO. Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Wunsch Informationen zur Aufnahme in das Verzeichnis zur Verfügung. Der Auftragsverarbeiter führt entsprechend den Vorgaben des Art. 30 Abs. 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung.

(10)Verarbeitungsorte: Für dfine.io Streaming Classic findet die Verarbeitung ausschließlich auf dem Gebiet der Bundesrepublik Deutschland statt (Hetzner, Nürnberg; TISAX-Option: Google Cloud, Frankfurt am Main). Für dfine.io Review werden die Kerndaten (Datenbank, Objektspeicher, Medien-Verarbeitung, Protokolle) ausschließlich in der Europäischen Union gespeichert und verarbeitet (u. a. Frankfurt am Main; Objektspeicher mit EU-Jurisdiktions-Konfiguration); die Auslieferung sowie einzelne Dienste (Authentifizierung, Edge-Netz) erfolgen über global verteilte Infrastruktur der im Anhang „Subunternehmen" genannten Dienstleister. Übermittlungen in Drittländer erfolgen ausschließlich im Einklang mit Kapitel V der DSGVO (EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln).

(11)Der Auftragsverarbeiter gewährleistet, dass ihm unterstellte natürliche Personen, die Zugang zu Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten.

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter

(1)Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und weist dies dem Verantwortlichen auf Wunsch nach.

(2)Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu bei Bedarf entsprechende Informationen zur Verfügung.

(3)Der Auftragsverarbeiter unterliegt derzeit nicht der gesetzlichen Pflicht zur Benennung einer bzw. eines Datenschutzbeauftragten. Ansprechpartner für den Datenschutz ist: Stefan King, dfine.io GmbH, Hufelandstr. 44, 10407 Berlin, E-Mail: mail@dfine.io.

(4)Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde bei dem Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht.

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1)Die Vertragsparteien vereinbaren die im Anhang „Technisch-organisatorische Maßnahmen (TOM)" niedergelegten konkreten Sicherheitsmaßnahmen. Der Anhang wird Gegenstand dieser Vereinbarung.

(2)Ergibt eine Prüfung des Verantwortlichen einen Anpassungsbedarf der vom Auftragsverarbeiter zu ergreifenden Maßnahmen gemäß Art. 32 DSGVO, sind die Anpassungen vom Auftragsverarbeiter umzusetzen.

(3)Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Dem Auftragsverarbeiter ist es gestattet, alternative adäquate Maßnahmen umzusetzen; das im Anhang festgelegte Sicherheitsniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

(4)Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung und ermöglicht und unterstützt Überprüfungen/Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten Prüfer.

(5)Die Überprüfung kann auch auf der Grundlage vorgelegter aktueller Testate oder Berichte unabhängiger Instanzen (z. B. Wirtschaftsprüfer, unabhängige Datenschutzauditoren), durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO oder einer geeigneten Zertifizierung erfolgen.

(6)Die Überprüfung kann auch durch eine Inspektion vor Ort zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs erfolgen.

(7)Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus alle Informationen zur Verfügung, die dieser für eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) benötigt.

(8)Der Auftragsverarbeiter ergreift im Benehmen mit dem Verantwortlichen alle erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für Betroffene, unter Berücksichtigung des Stands der Technik.

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter

Der Auftragsverarbeiter unterrichtet den Verantwortlichen umgehend bei schwerwiegenden Störungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diese Vereinbarung sowie gesetzliche Datenschutzbestimmungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen. Dies gilt insbesondere im Hinblick auf die Meldepflicht nach Art. 33 Abs. 2 DSGVO. Der Auftragsverarbeiter sichert zu, den Verantwortlichen bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen. Meldungen nach Art. 33 oder 34 DSGVO für den Verantwortlichen darf der Auftragsverarbeiter nur nach vorheriger Weisung gemäß § 3 dieser Vereinbarung durchführen.

§ 7 Löschung und Rückgabe von Daten

(1)Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwortlichen.

(2)Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch den Verantwortlichen, spätestens mit Beendigung der Leistungsvereinbarung, hat der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten Daten zurückzugeben oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu löschen, einschließlich Kopien und Reproduktionen. Ein Löschprotokoll ist dem Verantwortlichen auf Anforderung vorzulegen.

(3)Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, kann der Auftragsverarbeiter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

(4)Konkretisierung der Löschmechanik bei dfine.io Streaming Classic: Video- und Streaminhalte entfallen strukturell (keine Persistenz, § 2 Abs. 2). Session-Metadaten werden nach 12 Monaten automatisiert gelöscht (monatlicher Bereinigungslauf). Nutzer-, Projekt- und Zugangsdaten löscht der Verantwortliche per Self-Service (harte Löschung); die vollständige Löschung der Organisation erfolgt auf Anforderung. Betriebs-Backups erfolgen als tägliche automatische Server-Backups auf Infrastruktur-Ebene (Hetzner, Rechenzentrum Deutschland, täglich 02:40 UTC) mit maximal 7 rotierenden Ständen; in der Anwendung gelöschte Daten sind damit spätestens 7 Tage nach Löschung auch aus sämtlichen Backup-Ständen entfernt. Eine darüber hinausgehende Archivierung findet nicht statt.

(5)Konkretisierung der Löschmechanik bei dfine.io Review: Medien, Versionen, Kommentare, Projekte, Freigaben und Konten löscht der Verantwortliche per Self-Service in der Anwendung (harte Löschung einschließlich des Objektspeichers). Das Wiederherstellungsfenster der Datenbank (Point-in-Time-Restore) beträgt 48 Stunden; danach sind gelöschte Daten auch aus der Wiederherstellungs-Historie entfernt. Audit-Protokolle werden 365 Tage vorgehalten und anschließend gelöscht. Eine darüber hinausgehende Archivierung findet nicht statt.

§ 8 Subunternehmen

(1)Der Auftragsverarbeiter erhält die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Subunternehmen, die in der im Anhang „Subunternehmen" vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus ausdrücklich in schriftlicher (oder dokumentierter elektronischer) Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Subunternehmen und räumt dem Verantwortlichen damit ausreichend Zeit ein, vor der Beauftragung des betreffenden Subunternehmens Einwände zu erheben. Ein einzelner Verantwortlicher kann eine Änderung der eingesetzten Subunternehmen nicht verhindern. Widerspricht der Verantwortliche innerhalb dieser Frist aus einem wesentlichen, datenschutzrechtlich begründeten Anlass, steht ihm ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung(en) mit Wirkung zum Zeitpunkt des Wechsels zu; die Beauftragung des Subunternehmens bleibt hiervon unberührt. Nicht als Leistungen von Subunternehmen gelten Dienstleistungen, die der Auftragsverarbeiter bei Dritten als Nebenleistung in Anspruch nimmt (z. B. Telekommunikationsdienstleistungen); der Auftragsverarbeiter trifft auch hierfür angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen.

(2)Wenn Subunternehmen eingeschaltet werden, stellt der Auftragsverarbeiter sicher, dass seine vertraglichen Vereinbarungen mit dem Subunternehmen mindestens dem Datenschutzniveau dieser Vereinbarung entsprechen, insbesondere im Hinblick auf geeignete technische und organisatorische Maßnahmen.

(3)Dem Verantwortlichen sind in der Vereinbarung mit dem Subunternehmen Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung einzuräumen. Der Verantwortliche ist berechtigt, auf schriftliche (oder dokumentierte elektronische) Anforderung Auskunft über die datenschutzrelevanten Verpflichtungen des Subunternehmens zu erhalten.

(4)Kommt das Subunternehmen seinen datenschutzrechtlichen Verpflichtungen nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Subunternehmens.

§ 9 Datenschutzkontrolle

Der Auftragsverarbeiter verpflichtet sich, der/dem Datenschutzbeauftragten des Verantwortlichen zur Erfüllung ihrer bzw. seiner gesetzlich zugewiesenen Aufgaben im Zusammenhang mit diesem Auftrag Zugang zu den üblichen Geschäftszeiten zu gewähren. Er duldet insbesondere Betretungs-, Einsichts- und Fragerechte und weist seine Mitarbeiterinnen und Mitarbeiter an, mit der/dem Datenschutzbeauftragten zu kooperieren. Die nach Gesetz bestehenden Verschwiegenheitspflichten bleiben unberührt.

§ 10 Haftung und Schadenersatz

Auf Artikel 82 DSGVO wird bezüglich der Haftung und des Rechts auf Schadenersatz verwiesen.

§ 11 Schlussbestimmungen

(1)Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(2)Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein, wird davon die Wirksamkeit der übrigen Regelungen nicht berührt. An die Stelle der unwirksamen Regelung tritt diejenige wirksame Regelung, deren Wirkungen der Zielsetzung am nächsten kommt.

Anhang „Weisungsbefugnis" zu § 3

Weisungsberechtigte Personen auf Seiten des Verantwortlichen: werden vom Verantwortlichen mit Vertragsschluss schriftlich benannt.

Zum Empfang der Weisungen berechtigte Person auf Seiten des Auftragsverarbeiters: Stefan King (Geschäftsführer), E-Mail: mail@dfine.io.

Vorgesehener Informationsweg bei datenschutzrechtlich bedenklichen Weisungen: dokumentierte elektronische Information (E-Mail). Weisungen (auch mündliche) sind durch die Vertragsparteien zu dokumentieren.

Anhang „Technisch-organisatorische Maßnahmen (TOM)"

Konkretisierung der Einzelmaßnahmen nach Art. 32 DSGVO für beide Dienste. Stand: 15.07.2026, verifiziert gegen Code, Konfiguration und Live-Infrastruktur des Auftragsverarbeiters.

Nachweise: keine eigene Zertifizierung nach Art. 42 DSGVO; Infrastruktur-Nachweise der Rechenzentrums- und Plattform-Betreiber (ISO 27001, SOC 2, TISAX-Label, EU-U.S. Data Privacy Framework) verfügbar.

Anhang „Subunternehmen" zu § 8

Die zur Erfüllung des Vertrages hinzugezogenen Subunternehmen. Die laufend gepflegte Fassung mit Verlinkung der jeweiligen Auftragsverarbeitungsverträge ist in der Trust-&-Compliance-Übersicht veröffentlicht. Stand: 15.07.2026.

Abschluss

Für Standardkunden wird diese Vereinbarung als Anlage zur Leistungsvereinbarung über die Allgemeinen Geschäftsbedingungen einbezogen; eine gesonderte Unterschrift ist nicht erforderlich. Die von uns bereits unterzeichnete Fassung stellen wir auf Anfrage als PDF bereit, die Sie gegenzeichnen und an uns zurücksenden können. Enterprise- und TISAX-Kunden verhandeln wir in der Regel einen individuellen Vertrag; Anfragen an mail@dfine.io.