Vereinbarung zur Auftragsverarbeitung (AVV)
Wozu dieser Text? Wer mit MXO Live Studio streamt, verarbeitet Daten seiner Zuschauerinnen und Zuschauer – Namen in Ranglisten, Chatnachrichten, Punktestände. Dafür sind Sie Verantwortlicher im Sinne der DSGVO. Der Anbieter stellt nur die Anwendung bereit und verarbeitet diese Daten in Ihrem Auftrag. Genau dafür verlangt Art. 28 Abs. 3 DSGVO einen Vertrag – diesen hier. Er wird mit dem Abonnement geschlossen; Sie müssen nichts unterschreiben oder einsenden.
§ 1 Parteien und Gegenstand
(1) Verantwortlicher ist die Kundin oder der Kunde, die oder der ein Abonnement für MXO Live Studio abgeschlossen hat (nachfolgend „Auftraggeber“).
(2) Auftragsverarbeiter ist der im Impressum genannte Anbieter (nachfolgend „Auftragnehmer“).
(3) Gegenstand ist die Verarbeitung personenbezogener Daten Dritter – im Wesentlichen von Zuschauerinnen und Zuschauern –, die dadurch entsteht, dass der Auftraggeber die vom Auftragnehmer betriebene Anwendung nutzt.
(4) Diese Vereinbarung gilt nicht für Daten des Auftraggebers selbst (E-Mail-Adresse, Abo-Status, Zahlungen, Zugriffsprotokolle). Dafür ist der Auftragnehmer eigener Verantwortlicher; es gilt die Datenschutzerklärung.
(5) Die Vereinbarung endet mit dem Abonnement; § 10 gilt darüber hinaus.
§ 2 Art, Umfang und Zweck der Verarbeitung
(1) Zweck: ausschließlich die Bereitstellung und der Betrieb der abonnierten Anwendung für den Auftraggeber.
(2) Art der Verarbeitung: Erheben, Speichern, Anzeigen, Auswerten innerhalb der Anwendung, Anzeigen in Overlays, Löschen.
(3) Kategorien betroffener Personen: Zuschauerinnen und Zuschauer der Streams des Auftraggebers sowie Mitglieder der von ihm verbundenen Kanäle.
(4) Kategorien personenbezogener Daten:
- Anzeigenamen und Benutzerkennungen der Plattformen TikTok und Twitch,
- Chatnachrichten und deren Zeitpunkt,
- Ereignisse wie Geschenke, Follows, Likes, Shares, Abos und Bits,
- daraus gebildete Punktestände, Ranglisten, Warteschlangen und Statistiken,
- Profilbilder, soweit die Plattform sie öffentlich ausliefert.
(5) Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Auftraggeber sorgt dafür, dass solche Daten nicht gezielt in die Anwendung eingegeben werden.
(6) Ort der Verarbeitung ist ein Rechenzentrum in Frankfurt am Main, Deutschland. Verarbeitungen außerhalb der EU finden nur über die in § 6 genannten Unterauftragsverarbeiter statt.
§ 3 Weisungsbindung
(1) Der Auftragnehmer verarbeitet die Daten ausschließlich nach Weisung des Auftraggebers. Als Weisung gilt zunächst die Nutzung der Anwendung mit ihren Einstellungen: Was der Auftraggeber dort einschaltet, ist die Weisung, es zu tun. Darüber hinausgehende Weisungen erfolgen in Textform.
(2) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werden die Daten nicht ausgewertet, nicht mit Daten anderer Auftraggeber zusammengeführt, nicht verkauft, nicht für Werbung genutzt und nicht zum Training von KI-Modellen verwendet.
(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das mit und darf die Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).
(4) Ist der Auftragnehmer durch Unionsrecht oder mitgliedstaatliches Recht zu einer Verarbeitung verpflichtet, informiert er den Auftraggeber vorher, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
§ 4 Vertraulichkeit
(1) Alle Personen, die auftragsgemäß Zugang zu den Daten haben können, sind zur Vertraulichkeit verpflichtet; die Verpflichtung wirkt über das Ende ihrer Tätigkeit hinaus.
(2) Ehrlich benannt: Der Auftragnehmer ist derzeit ein Ein-Personen-Betrieb. Zugang zu den Servern hat ausschließlich die im Impressum genannte Person. Kommen weitere Personen hinzu, werden sie vor dem ersten Zugang schriftlich verpflichtet.
(3) Ein Zugriff auf die Inhalte einer Kundeninstanz erfolgt nur, soweit das für Betrieb, Fehlersuche oder Sicherheit erforderlich ist – und auf Anfrage des Auftraggebers oder nach vorheriger Information.
§ 5 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO. Konkret:
- Trennung der Auftraggeber: Jede Kundin und jeder Kunde erhält eine eigene Instanz mit eigenem Systembenutzer und eigenem Datenbestand. Die Instanzen können einander technisch nicht erreichen.
- Zugangskontrolle: Der Zugang erfolgt über persönliche Adressen, die einen geheimen Bestandteil enthalten; sie werden auf Anfrage erneuert. Der Server ist von außen nur über verschlüsselte Verbindungen erreichbar.
- Verschlüsselung der Übertragung: HTTPS mit Zertifikaten, die automatisch erneuert werden. Unverschlüsselte Zugriffe werden umgeleitet.
- Begrenzung ausgehender Verbindungen: Eine Instanz kann nur die für den Betrieb notwendigen Ziele erreichen; Zugriffe auf andere Instanzen oder auf das interne Netz sind unterbunden.
- Verfügbarkeit: tägliche Sicherungen, automatischer Neustart bei Störungen und eine Überwachung, die anhaltende Fehler meldet. Die Wiederherstellung wird erprobt.
- Protokollierung: Zugriffe auf eine Instanz werden protokolliert und nach spätestens 14 Tagen gelöscht.
- Trennbarkeit beim Löschen: Da jede Instanz einen eigenen Datenbestand hat, lässt sich der Bestand eines Auftraggebers vollständig und ohne Rest entfernen.
Die Maßnahmen dürfen an den Stand der Technik angepasst werden; das Schutzniveau darf dabei nicht sinken.
§ 6 Unterauftragsverarbeiter
(1) Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Hostinger International Ltd, Larnaca, Zypern | Serverbetrieb der Instanzen | Frankfurt am Main, Deutschland |
| EulerStream | Signaturdienst, ohne den keine Verbindung zu TikTok LIVE zustande kommt. Übermittelt wird der TikTok-Name des Kanals – keine Zuschauerdaten. | USA, Standardvertragsklauseln |
| Google beziehungsweise ElevenLabs | Nur bei eingeschalteter Vorlesefunktion: Erzeugen der Stimme. Übermittelt wird der vorzulesende Text, der Anzeigenamen und Chatnachrichten enthalten kann. | USA, Standardvertragsklauseln |
(2) Weitere Unterauftragsverarbeiter werden dem Auftraggeber mindestens vier Wochen vorher in Textform mitgeteilt. Der Auftraggeber kann innerhalb dieser Frist widersprechen. Widerspricht er, kann er das Abonnement zum Zeitpunkt der Umstellung ohne Einhaltung einer Frist kündigen; bereits gezahlte Beträge für die Zeit danach werden erstattet.
(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht.
§ 7 Unterstützung bei Betroffenenrechten
(1) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
(2) Der Auftragnehmer unterstützt den Auftraggeber bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit – soweit möglich durch die Funktionen der Anwendung selbst, im Übrigen auf Weisung. Diese Unterstützung ist im Abonnement enthalten.
§ 8 Meldung von Datenschutzverletzungen
(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden.
(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und die ergriffenen Maßnahmen.
(3) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Auftraggeber; der Auftragnehmer unterstützt ihn dabei.
§ 9 Nachweise und Kontrollen
(1) Der Auftragnehmer weist die Einhaltung dieser Vereinbarung auf Anfrage in Textform nach.
(2) Der Auftraggeber darf sich vom Schutzniveau überzeugen. Kontrollen vor Ort sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebs möglich. Ergänzend genügt eine schriftliche Auskunft.
(3) Nachweise, die der Auftragnehmer von seinen Unterauftragsverarbeitern erhält, werden auf Anfrage weitergereicht.
§ 10 Löschung und Rückgabe
(1) Der Auftraggeber kann seinen Datenbestand jederzeit selbst aus der Anwendung ausleiten.
(2) Nach dem Ende des Abonnements bleiben die Daten 30 Tage abrufbar, damit eine Ausleitung noch möglich ist. Danach werden sie aus der Instanz gelöscht, spätestens nach weiteren 30 Tagen auch aus den Sicherungen.
(3) Verlangt der Auftraggeber die sofortige Löschung, wird sie unverzüglich ausgeführt; die 30 Tage entfallen dann.
(4) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Sie betreffen Rechnungsdaten des Auftraggebers, nicht die Zuschauerdaten.
§ 11 Haftung und Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.
(2) Widersprechen sich diese Vereinbarung und die AGB, geht in Fragen der Auftragsverarbeitung diese Vereinbarung vor.
(3) Änderungen erfolgen in Textform. Wird eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam; an die Stelle der unwirksamen Bestimmung tritt das Gesetz.
(4) Es gilt deutsches Recht. Die Vertragssprache ist Deutsch; die englische Fassung dient der Verständlichkeit.