Vertrag zur Auftragsverarbeitung

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung des Dienstes PitchPlay.

Verantwortlicher ist der Nutzer (Networker), der über PitchPlay personenbezogene Daten seiner Interessenten/Leads verarbeitet (nachfolgend „Verantwortlicher").

Auftragsverarbeiter ist Richard Ruddigkeit, Kreuzstraße 76, 53474 Bad Neuenahr-Ahrweiler (Anbieter von PitchPlay, nachfolgend „Auftragsverarbeiter").

Der AVV kommt mit der Nutzung des Dienstes bzw. der Zustimmung im Registrierungs-/Bestellprozess zustande und gilt ergänzend zu den AGB.

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung von PitchPlay.

(2) Die Dauer entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrags.

(1) Art und Zweck: Speicherung, Verwaltung und Auswertung von Interessenten-/Lead-Daten sowie Versand von Nachrichten (z. B. Erinnerungen) im Rahmen der Funktionen von PitchPlay.

(2) Art der Daten: insbesondere Name, ggf. E-Mail-Adresse, Telefonnummer, Facebook-Profil/-Kennung, Notizen, Aktivitäts-/Kontakthistorie sowie Nutzungs-/Tracking-Daten zum Videoabruf.

(3) Kategorien betroffener Personen: Interessenten/Leads/Kontakte des Verantwortlichen.

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet.

(2) Die Bedienung der Funktionen von PitchPlay durch den Verantwortlichen gilt als dokumentierte Weisung. Ergänzende Weisungen sind in Textform zu erteilen.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

(1) Vertraulichkeit: Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind.

(2) Datensicherheit: Der Auftragsverarbeiter trifft die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2.

(3) Unterstützung: Er unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten sowie bei Datenschutz-Folgenabschätzungen und der Sicherheit der Verarbeitung.

(4) Meldepflichten: Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

(5) Betroffenenanfragen: Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter zu.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung/Austausch); der Verantwortliche kann aus wichtigem Grund widersprechen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau.

Die vom Auftragsverarbeiter getroffenen Maßnahmen nach Art. 32 DSGVO ergeben sich aus Anlage 2. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten oder gibt sie – nach Wahl des Verantwortlichen – zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Rahmen (z. B. durch aussagekräftige Auskünfte/Nachweise).

Für die Haftung gelten die Bestimmungen der DSGVO (insb. Art. 82) sowie die Regelungen der zugrunde liegenden AGB.

(1) Bei Widersprüchen zwischen diesem AVV und anderen Vereinbarungen gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor.

(2) Es gilt deutsches Recht. Änderungen bedürfen der Textform.

Anlagen (Bestandteil dieses Vertrags): Anlage 1 – Unterauftragsverarbeiter; Anlage 2 – Technische und organisatorische Maßnahmen.

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

Supabase (Datenbank, Authentifizierung, Datei-Speicher): Hosting der Anwendungsdaten. Serverstandort: EU (Region Paris, Frankreich, eu-west-3).

Cloudflare (Auslieferung der Anwendung, CDN/Edge-Hosting): Bereitstellung und Absicherung der Weboberfläche.

Resend (E-Mail-Versand): Versand von Transaktions- und Erinnerungs-E-Mails (z. B. Bestätigungs-, Alert- und Erinnerungsmails).

KI-Dienste zur Inhaltserstellung (u. a. Google und OpenAI über das Lovable AI Gateway): Verarbeitung der vom Nutzer eingegebenen Texte/Prompts zur Erzeugung von Texten und Bildern. Es werden keine Lead-Stammdaten zu diesem Zweck übermittelt, sofern der Nutzer sie nicht selbst in Prompts eingibt.

Video-Plattformen (YouTube/Vimeo), sofern vom Verantwortlichen eingebunden: Auslieferung eingebetteter Videos auf den Player-Seiten.

Soweit eine Verarbeitung außerhalb der EU/des EWR erfolgt, wird diese auf geeignete Garantien (insbesondere EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss) gestützt.

Vertraulichkeit – Zutrittskontrolle: Nutzung von Rechenzentren professioneller Anbieter mit Zutrittssicherung; kein Betrieb eigener Server.

Zugangskontrolle: Individuelle Benutzerkonten mit E-Mail und Passwort, verschlüsselte Passwortspeicherung, Session-Verwaltung über den Authentifizierungsdienst, Sperrung von Konten möglich.

Zugriffskontrolle: Rollen- und Rechtekonzept; Datentrennung auf Datenbankebene durch Row-Level-Security, sodass jeder Nutzer ausschließlich auf eigene Daten zugreifen kann; administrative Zugriffe nur für berechtigte Personen.

Trennungskontrolle: Mandantentrennung durch nutzerbezogene Datensatzzuordnung und Zugriffsrichtlinien; getrennte Umgebungen für Entwicklung und Produktion.

Integrität – Weitergabekontrolle: Ausschließlich verschlüsselte Übertragung über TLS/HTTPS; Verschlüsselung der Daten im Ruhezustand durch den Hosting-Anbieter.

Eingabekontrolle: Protokollierung von Aktivitäten und Änderungen (z. B. Aktivitäten- und Tracking-Historie) mit Zeitstempel und Nutzerbezug.

Verfügbarkeit und Belastbarkeit: Regelmäßige automatisierte Backups (u. a. wöchentliche Datensicherung), Redundanz und Monitoring auf Ebene des Hosting-Anbieters, Schutzmaßnahmen gegen Überlastung und Angriffe.

Wiederherstellbarkeit: Wiederherstellung von Daten aus Sicherungen nach Störfällen.

Verfahren zur Überprüfung und Bewertung: Regelmäßige Überprüfung der Sicherheitsmaßnahmen, zeitnahes Einspielen von Updates, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).

Auftragskontrolle: Abschluss von Auftragsverarbeitungsverträgen mit allen Unterauftragsverarbeitern und Verpflichtung eingesetzter Personen auf Vertraulichkeit.

Incident-Response: Definierter Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen an den Verantwortlichen bzw. die Aufsichtsbehörde.