Datenverarbeitung
Wirksamkeitsdatum: 16. Juni 2025
Zwischen
Diese Auftragsverarbeitungsvereinbarung („DPA") gilt für jedes Unternehmen, jede Organisation oder jede Einzelperson, die als Verantwortlicher (der „Verantwortliche") auftritt und die 82DASH-Plattform nutzt, die betrieben wird von:
82DASH Ltd
71-75 Shelton Street, Covent Garden, London, United Kingdom, WC2H 9JQ
(als der „Auftragsverarbeiter")
Präambel
Der Auftragsverarbeiter betreibt die 82DASH-Plattform, einen Dienst für von Kunden erstellte Inhalte, der es Content-Content Creators ermöglicht, Inhalte einschließlich personenbezogener Daten zur kommerziellen Nutzung durch Kundenunternehmen hochzuladen. Im Rahmen des Hauptvertrags nutzt der Verantwortliche die 82DASH-Plattform, um solche von Content Creators eingereichten Inhalte für seine eigenen festgelegten Zwecke zu erhalten.
In diesem Zusammenhang bestimmt der Verantwortliche die Zwecke und Mittel der Verarbeitung der in den Inhalten enthaltenen personenbezogenen Daten und handelt daher als Verantwortlicher nach den geltenden Datenschutzgesetzen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten auf der Grundlage der dokumentierten Weisungen des Verantwortlichen zu den in dieser DPA festgelegten Zwecken (Verarbeitung als Auftragsverarbeiter). Der Auftragsverarbeiter verarbeitet personenbezogene Daten zudem als eigenständiger Verantwortlicher zu den in Abschnitt 8.0 festgelegten begrenzten Zwecken (Verarbeitung als Verantwortlicher). Der Umfang jeder dieser Verarbeitungen ist in Anlage 1 dargelegt.
Gemäß Artikel 28 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO") sind die Parteien verpflichtet, eine Auftragsverarbeitungsvereinbarung abzuschließen, um die rechtmäßige Verarbeitung personenbezogener Daten sicherzustellen.
Diese Auftragsverarbeitungsvereinbarung („DPA") bildet einen integralen Bestandteil des Hauptvertrags und regelt die Datenschutzpflichten der Parteien in Bezug auf die Verarbeitung personenbezogener Daten über die 82DASH-Plattform. Der Abschluss dieser DPA unterliegt keiner gesonderten Vergütung, sofern nicht ausdrücklich schriftlich etwas anderes vereinbart wurde. Im Falle von Abweichungen zwischen dieser Auftragsverarbeitungsvereinbarung in anderen Sprachen und der englischen Fassung ist die englische Fassung maßgebend.
1.0 Zustimmung zu den Bedingungen
Durch die elektronische Annahme dieser DPA (z. B. durch Ankreuzen eines Kästchens oder Anklicken von „Ich stimme zu") erkennt der Verantwortliche an, dass er an deren Bedingungen gebunden ist, und stimmt diesen zu. Diese DPA bildet einen integralen Bestandteil des Hauptvertrags zwischen den Parteien und regelt die Verarbeitung personenbezogener Daten nach geltendem Datenschutzrecht, insbesondere der Verordnung (EU) 2016/679 („DSGVO").
2.0 Begriffsbestimmungen
„EU-Datenschutzrecht" bezeichnet die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO") sowie alle anwendbaren Umsetzungs- oder ergänzenden Datenschutzgesetze der EU-Mitgliedstaaten, soweit sie auf die Parteien anwendbar sind.
„Verantwortlicher" bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, wie in Artikel 4(7) DSGVO definiert.
„Auftragsverarbeiter" bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, wie in Artikel 4(8) DSGVO definiert.
„Betroffene Person" bezeichnet eine identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten vom Verantwortlichen oder Auftragsverarbeiter verarbeitet werden, wie in Artikel 4(1) DSGVO definiert.
„Personenbezogene Daten" bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person") beziehen, wie in Artikel 4(1) DSGVO definiert.
„DSGVO" bezeichnet die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.
Begriffe, die in dieser DPA nicht ausdrücklich anderweitig definiert sind, haben die ihnen nach der DSGVO zugewiesene Bedeutung.
Im Falle eines Widerspruchs zwischen den in dieser DPA verwendeten Definitionen und denen der DSGVO sind die Definitionen der DSGVO maßgebend.
3.0 Gegenstand
Der Auftragsverarbeiter stellt eine Plattform zur Bereitstellung von Inhalten und von Kunden erstellten Inhalten (82DASH) bereit, über die von Content Creators hochgeladene personenbezogene Daten an den Verantwortlichen übermittelt werden. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen in Übereinstimmung mit den dokumentierten Weisungen des Verantwortlichen für die in Anlage 1 festgelegten Verarbeitungstätigkeiten. Der Auftragsverarbeiter verarbeitet personenbezogene Daten zudem als eigenständiger Verantwortlicher zu den in Abschnitt 8.0 festgelegten begrenzten Zwecken. Umfang, Art und Zwecke jeder Kategorie der Verarbeitung sind in Anlage 1 zu dieser DPA näher beschrieben.
Diese DPA legt die jeweiligen Pflichten und Rechte der Parteien nach dem EU-Datenschutzrecht in Bezug auf die Verarbeitung personenbezogener Daten fest. Im Falle eines Widerspruchs zwischen dieser DPA und dem Hauptvertrag haben die Bestimmungen dieser DPA in Bezug auf Datenschutzangelegenheiten Vorrang.
Die Bestimmungen dieser DPA gelten für alle Verarbeitungstätigkeiten, die vom Auftragsverarbeiter, seinen Mitarbeitern oder befugten Beauftragten im Rahmen des Hauptvertrags durchgeführt werden, sofern solche Tätigkeiten personenbezogene Daten betreffen, die vom Verantwortlichen stammen oder für ihn erhoben wurden.
Die Laufzeit dieser DPA ist an die Laufzeit des Hauptvertrags gekoppelt, sofern in dieser DPA nichts anderes festgelegt oder durch geltendes Datenschutzrecht gefordert wird (z. B. Aufbewahrungspflichten oder Bestimmungen zur Rückgabe/Löschung von Daten bei Beendigung).
4.0 Weisungsrechte
Der Auftragsverarbeiter erhebt, verarbeitet oder nutzt personenbezogene Daten ausschließlich im Rahmen des Hauptvertrags und in strikter Übereinstimmung mit den dokumentierten Weisungen des Verantwortlichen. Dies umfasst insbesondere jegliche Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation.
Sofern die Verarbeitung nach dem Recht der Europäischen Union oder eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, erforderlich ist, informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtlichen Anforderungen, es sei denn, das betreffende Recht verbietet eine solche Mitteilung aus wichtigen Gründen des öffentlichen Interesses.
Die Weisungen des Verantwortlichen sind zunächst in dieser DPA festgelegt und können vom Verantwortlichen jederzeit in Schrift- oder Textform (z. B. per E-Mail) geändert, ergänzt oder ersetzt werden. Rechtmäßige Weisungen können unter anderem Anweisungen zur Berichtigung, Löschung, Anonymisierung, Einschränkung oder Übermittlung personenbezogener Daten umfassen.
Alle Weisungen sind von beiden Parteien zu dokumentieren. Weisungen, die über den im Hauptvertrag festgelegten Leistungsumfang hinausgehen, sind als Antrag auf eine Leistungsänderung zu behandeln und können eine gesonderte Vereinbarung oder Ergänzung erfordern.
Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für unklar, widersprüchlich oder für einen Verstoß gegen das EU-Datenschutzrecht, so benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich ohne schuldhaftes Zögern. Der Auftragsverarbeiter kann die Ausführung einer solchen Weisung aussetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird. Der Auftragsverarbeiter muss die Ausführung jeder offensichtlich rechtswidrigen Weisung ablehnen.
5.0 Art der verarbeiteten personenbezogenen Daten, Gruppe der betroffenen Personen
Bei der Erfüllung des Hauptvertrags hat der Auftragsverarbeiter ausschließlich Zugang zu den von Content-Content Creators über die 82DASH-Plattform bereitgestellten oder zur Verfügung gestellten personenbezogenen Daten und verarbeitet diese, und zwar ausschließlich zu dem Zweck, dem Verantwortlichen die Nutzung solcher Inhalte in Übereinstimmung mit den vereinbarten Leistungen zu ermöglichen.
Die betroffenen Kategorien personenbezogener Daten und betroffener Personen sind in Anlage 1 zu dieser DPA festgelegt. Diese umfassen typischerweise identifizierende Informationen (z. B. Name, Abbild, Social-Media-Handle, Audio-/Videoinhalte), die von Content Creators freiwillig eingereicht werden, und können in bestimmten Fällen Daten umfassen, die unter besondere Kategorien im Sinne von Artikel 9 DSGVO fallen, sofern sie von der betroffenen Person ausdrücklich bereitgestellt werden.
Der Auftragsverarbeiter verarbeitet keine personenbezogenen Daten, die über die in Anlage 1 aufgeführten Kategorien hinausgehen, es sei denn, der Verantwortliche weist dies ausdrücklich schriftlich an.
6.0 Sicherheitsmaßnahmen des Auftragsverarbeiters
Der Auftragsverarbeiter ist in seiner Rolle als Plattform, die das Hochladen und die Übermittlung von durch Nutzer erstellten Inhalten von Content Creators an Kundenunternehmen (Verantwortliche) ermöglicht, verpflichtet, die geltenden Datenschutzgesetze einschließlich der DSGVO einzuhalten.
Der Auftragsverarbeiter ist dafür verantwortlich, dass seine interne Organisationsstruktur und sein Betrieb so gestaltet und aufrechterhalten werden, dass sie den Anforderungen des EU-Datenschutzrechts entsprechen. In Übereinstimmung mit Artikel 32 DSGVO setzt der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen um, um die von ihm verarbeiteten personenbezogenen Daten zu schützen. Diese umfassen mindestens:
a) Maßnahmen zur Pseudonymisierung und/oder Verschlüsselung personenbezogener Daten, soweit angemessen;
b) Maßnahmen zur Sicherstellung der dauerhaften Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste;
c) Maßnahmen zur Sicherstellung der Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
d) Ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
Die derzeit vom Auftragsverarbeiter umgesetzten technischen und organisatorischen Maßnahmen sind in Anlage 2 zu dieser DPA im Einzelnen beschrieben. Der Auftragsverarbeiter kann diese Maßnahmen von Zeit zu Zeit aktualisieren oder ändern, sofern solche Aktualisierungen nicht zu einem niedrigeren Sicherheitsniveau führen als vertraglich vereinbart.
Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Personen (einschließlich Mitarbeiter, Auftragnehmer oder Beauftragte) in Übereinstimmung mit Artikel 28(3)(b) DSGVO angemessenen Vertraulichkeitspflichten unterliegen. Der Auftragsverarbeiter stellt sicher, dass solche Pflichten vertraglich auferlegt und wirksam durchgesetzt werden. Auf Anfrage werden dem Verantwortlichen geeignete Nachweise über diese Vertraulichkeitsverpflichtungen zur Verfügung gestellt.
7.0 Informationspflichten des Auftragsverarbeiters
Im Falle einer Verletzung des Schutzes personenbezogener Daten, einschließlich aller Sicherheitsvorfälle im Zusammenhang mit den im Auftrag des Verantwortlichen verarbeiteten Inhalten oder personenbezogenen Daten, sei es durch 82DASH, sein Personal oder seine befugten Unterauftragsverarbeiter, benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich ohne schuldhaftes Zögern schriftlich, spätestens jedoch 48 Stunden, nachdem er von einem solchen Vorfall Kenntnis erlangt hat. Dies gilt auch für alle Prüfungen oder Untersuchungen durch eine Aufsichtsbehörde, die in unmittelbarem Zusammenhang mit den im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten stehen. Die Benachrichtigung enthält mindestens:
a) Eine Beschreibung der Art der Verletzung, soweit möglich unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
b) Eine Beschreibung der vom Auftragsverarbeiter ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
Der Auftragsverarbeiter setzt unverzüglich die erforderlichen Maßnahmen um, um die Daten zu sichern und jeglichen möglichen Schaden für die betroffenen Personen zu minimieren.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage oder bei Entdeckung Aktualisierungen oder relevante Informationen zur Verfügung, wenn die Daten des Verantwortlichen von einer Verletzung wie oben beschrieben betroffen sind.
Für den Fall, dass Daten des Verantwortlichen Gegenstand von Zugriff, Beschlagnahme, Einziehung, Insolvenz- oder Vollstreckungsverfahren oder ähnlichen Maßnahmen durch Dritte werden, benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich. In solchen Fällen macht der Auftragsverarbeiter gegenüber allen relevanten Parteien und Behörden deutlich, dass die Kontrolle über solche Daten in Übereinstimmung mit der DSGVO ausschließlich beim Verantwortlichen liegt.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über alle wesentlichen Änderungen, die das Niveau der technischen und organisatorischen Sicherheitsmaßnahmen gemäß § 5(2) erheblich senken könnten.
Der Auftragsverarbeiter und, sofern zutreffend, sein benannter Vertreter führen in Übereinstimmung mit Artikel 30(2) DSGVO ein Verzeichnis aller Kategorien der im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten. Diese Verzeichnisse werden dem Verantwortlichen auf Anfrage zur Verfügung gestellt.
Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessener Weise bei der Erstellung und Führung des eigenen Verzeichnisses von Verarbeitungstätigkeiten des Verantwortlichen gemäß Artikel 30(1) DSGVO, indem er relevante Informationen rechtzeitig und in angemessener Weise bereitstellt.
8.0 Rollen und Verantwortlichkeiten
Rolle als Auftragsverarbeiter:
Der Auftragsverarbeiter handelt im Auftrag des Verantwortlichen und erhebt und verwaltet die von Content Creators eingereichten Daten. In dieser Eigenschaft verarbeitet der Auftragsverarbeiter personenbezogene Daten in Übereinstimmung mit den dokumentierten Weisungen des Verantwortlichen und wie im Hauptvertrag, dieser Auftragsverarbeitungsvereinbarung (DPA) und den geltenden Gesetzen, insbesondere der DSGVO, dargelegt. Der Auftragsverarbeiter verarbeitet die als Auftragsverarbeiter erhaltenen personenbezogenen Daten nicht für eigene Zwecke oder über den Umfang der Weisungen des Verantwortlichen hinaus, mit Ausnahme der in diesem Abschnitt 8.0 festgelegten Zwecke als eigenständiger Verantwortlicher.
Der Auftragsverarbeiter ist dafür verantwortlich, geeignete technische und organisatorische Maßnahmen umzusetzen, um die Sicherheit und Vertraulichkeit der personenbezogenen Daten zu gewährleisten und seine Pflichten aus Artikel 28 der DSGVO zu erfüllen.
Rolle als Verantwortlicher:
Mit der Übermittlung von Inhalten und Daten übernimmt der Verantwortliche die Rolle des Verantwortlichen. In dieser Eigenschaft ist der Verantwortliche für die weitere Nutzung, Verarbeitung und Einhaltung der geltenden Datenschutzgesetze verantwortlich. Insbesondere ist der Verantwortliche verantwortlich für:
Die Sicherstellung, dass die Verarbeitung personenbezogener Daten den Grundsätzen der DSGVO entspricht, einschließlich Fairness, Rechtmäßigkeit, Transparenz und Zweckbindung.
Die Bereitstellung klarer und transparenter Informationen an die betroffenen Personen (Content Creator) über die Zwecke der Datenverarbeitung, die Rechtsgrundlage der Verarbeitung und ihre Rechte nach der DSGVO.
Die Beantwortung aller Anfragen betroffener Personen, die ihre Rechte ausüben (z. B. Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch).
Die Sicherstellung, dass die Rechtsgrundlage für jede weitere Verarbeitung personenbezogener Daten in Übereinstimmung mit den Artikeln 6 und 9 der DSGVO festgelegt und dokumentiert ist.
Die Durchführung aller erforderlichen Datenschutz-Folgenabschätzungen (DPIAs), sofern nach der DSGVO erforderlich.
Die Umsetzung geeigneter Schutzmaßnahmen, einschließlich vertraglicher Vereinbarungen mit dem Auftragsverarbeiter oder anderen Auftragsverarbeitern Dritter, um sicherzustellen, dass die Datenverarbeitung den Anforderungen der DSGVO entspricht.
Der Verantwortliche erkennt an, dass er weiterhin vollumfänglich dafür verantwortlich ist, die Einhaltung der DSGVO sicherzustellen und alle datenschutzrechtlichen Fragen zu klären, die nach der Übermittlung der Daten durch den Auftragsverarbeiter entstehen.
Die eigenständige Rolle des Auftragsverarbeiters als Verantwortlicher:
Neben seiner Tätigkeit als Auftragsverarbeiter im Auftrag des Verantwortlichen handelt der Auftragsverarbeiter als eigenständiger Verantwortlicher zu den folgenden Zwecken:
Kontoverwaltung und Plattformbetrieb (Website, Konten, Sicherheit, Support und Servicekommunikation).
Lizenzverwaltung, Vergütungsabwicklung und Führung von Compliance-Aufzeichnungen.
KI-Inferenz, Klassifizierung, Verschlagwortung und Moderation zur Wahrung der Plattformintegrität und zur Inhaltsverwaltung.
Produktanalyse und Plattformverbesserung auf der Grundlage aggregierter oder anonymisierter Daten.
Sicherheit, Betrugsprävention und Missbrauchserkennung.
Einhaltung der eigenen rechtlichen Verpflichtungen des Auftragsverarbeiters.
Der Auftragsverarbeiter verwendet Content von Content Creators oder damit verbundene personenbezogene Daten nicht, um KI-Modelle zu trainieren, feinzujustieren oder anderweitig zu verbessern, gleich ob diese vom Auftragsverarbeiter oder einem Dritten betrieben werden.
Als eigenständiger Verantwortlicher hält der Auftragsverarbeiter alle geltenden Datenschutzgesetze einschließlich der DSGVO ein und stellt den betroffenen Personen angemessene Hinweise darüber bereit, wie ihre Daten für diese Zwecke verwendet werden. Der Auftragsverarbeiter bearbeitet alle Anfragen betroffener Personen, die sich unmittelbar auf seine eigenen Verarbeitungstätigkeiten beziehen, direkt. Die vollständige Zuordnung der Rollen finden Sie in Abschnitt 1.7 der Datenschutzerklärung.
9.0 Einsatz von Unterauftragsverarbeitern
Der Auftragsverarbeiter erbringt die vereinbarten Leistungen oder die in Anlage 3 aufgeführten spezifischen Teile davon mit Unterstützung der dort genannten Unterauftragsverarbeiter. Dem Auftragsverarbeiter ist es gestattet, im Zusammenhang mit der Erfüllung seiner vertraglichen Pflichten weitere Unterauftragsverarbeiter hinzuzuziehen. Der Verantwortliche wird über die beabsichtigte Hinzuziehung oder den Austausch von Unterauftragsverarbeitern unverzüglich ohne schuldhaftes Zögern per E-Mail an die vom Verantwortlichen angegebene Adresse informiert.
Der Auftragsverarbeiter wählt jeden Unterauftragsverarbeiter mit der gebotenen Sorgfalt aus und stellt dessen Zuverlässigkeit und Fähigkeit zur Einhaltung der geltenden Datenschutzanforderungen sicher. Jeder vom Auftragsverarbeiter hinzugezogene Unterauftragsverarbeiter muss an Datenschutzpflichten gebunden sein, die den in dieser DPA festgelegten im Wesentlichen gleichwertig sind. Der Auftragsverarbeiter stellt sicher, dass die Rechte des Verantwortlichen, insbesondere die Rechte auf Kontrolle und Prüfung, auch unmittelbar gegenüber jedem hinzugezogenen Unterauftragsverarbeiter ausgeübt werden können.
Befindet sich ein Unterauftragsverarbeiter in einem Drittland außerhalb des Europäischen Wirtschaftsraums, so muss der Auftragsverarbeiter sicherstellen, dass ein solcher Unterauftragsverarbeiter angemessene Garantien in Übereinstimmung mit den Artikeln 44 ff. DSGVO bietet. Dies umfasst, soweit erforderlich, den Abschluss von Standardvertragsklauseln und die Umsetzung ergänzender Maßnahmen zur Gewährleistung eines im Wesentlichen gleichwertigen Schutzniveaus. Der Verantwortliche behält das Recht, der Hinzuziehung oder dem Austausch von Unterauftragsverarbeitern in Übereinstimmung mit Artikel 28(2) DSGVO zu widersprechen.
10.0 Internationale Datenübermittlungen
Der Verantwortliche und der Auftragsverarbeiter erkennen an, dass:
Sofern der Auftragsverarbeiter oder Verantwortliche außerhalb des EWR ansässig ist oder personenbezogene Daten außerhalb des EWR verarbeitet, muss jede Übermittlung personenbezogener Daten den Anforderungen der Artikel 44 ff. der DSGVO entsprechen. Der Verantwortliche stellt sicher, dass solche Übermittlungen durch die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914 der Kommission vom 04. Juni 2021), wie in Anlage 4 dargelegt, sowie durch alle ergänzenden Maßnahmen geregelt werden, die zur Einhaltung dieser Klauseln erforderlich sind.
Im Falle eines Widerspruchs zwischen den Bestimmungen dieser DPA und den Standardvertragsklauseln haben die Bestimmungen der Standardvertragsklauseln Vorrang.
Für den Fall, dass eine überarbeitete Fassung der Standardvertragsklauseln veröffentlicht wird, verpflichten sich beide Parteien, die aktualisierten Bedingungen umgehend anzunehmen, um die Einhaltung der DSGVO in Bezug auf internationale Datenübermittlungen in Drittländer zu wahren.
Sofern alternative Übermittlungsmechanismen nach den Artikeln 44 ff. der DSGVO verfügbar werden, können beide Parteien diese zusätzlichen Mechanismen neben den Standardvertragsklauseln umsetzen, um rechtmäßige Datenübermittlungen sicherzustellen.
11.0 Anfragen und Rechte betroffener Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im wirtschaftlich zumutbaren Umfang mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten aus den Artikeln 12-23 und 32-36 der DSGVO, insbesondere in Bezug auf von Nutzern erstellte Inhalte.
Macht eine betroffene Person Rechte geltend, etwa das Recht auf Auskunft über personenbezogene Daten nach Artikel 15, auf Berichtigung nach Artikel 16 oder auf Löschung nach Artikel 17, unmittelbar gegenüber dem Auftragsverarbeiter in Bezug auf ihre von Nutzern erstellten Inhalte, so kontaktiert und benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, damit der Verantwortliche solche Anfragen wie nach der DSGVO erforderlich bearbeiten und beantworten kann.
12.0 Pflichten des Verantwortlichen bei Beendigung
Diese DPA bleibt in Kraft, solange der Verantwortliche die Plattformdienste des Auftragsverarbeiters weiterhin nutzt. Bei Beendigung des Kontos des Verantwortlichen:
Löscht oder gibt der Auftragsverarbeiter die als Auftragsverarbeiter verarbeiteten personenbezogenen Daten innerhalb von 90 Tagen zurück, es sei denn und soweit die Aufbewahrung nach geltendem Recht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, und mit Ausnahme der Mindest-Compliance-Nachweise, die der Auftragsverarbeiter in seiner Eigenschaft als eigenständiger Verantwortlicher aufbewahrt.
Der Auftragsverarbeiter bewahrt personenbezogene Daten in Übereinstimmung mit den in Abschnitt 1.11 der Datenschutzerklärung festgelegten Aufbewahrungsfristen auf. Soweit möglich, werden aufbewahrte Nachweise reduziert, pseudonymisiert oder anonymisiert.
Der Verantwortliche ist dafür verantwortlich, sicherzustellen, dass alle personenbezogenen Daten, die ihm vom Auftragsverarbeiter vor der Beendigung übermittelt wurden, in Übereinstimmung mit den geltenden Datenschutzgesetzen aufbewahrt, verwaltet und entsorgt werden. Dies umfasst die Sicherstellung der Einhaltung aller fortbestehenden Pflichten zur Datenaufbewahrung oder Weiterverarbeitung, wie sie gesetzlich oder durch die eigenen betrieblichen Bedürfnisse des Verantwortlichen gefordert werden.
13.0 Schlussbestimmungen
Diese DPA bleibt für die Laufzeit des Hauptvertrags in Kraft, sofern sie nicht früher in Übereinstimmung mit geltendem Recht oder den hierin enthaltenen Bestimmungen beendet wird. Bei Beendigung löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück, sofern gesetzliche Verpflichtungen nichts anderes erfordern.
Diese DPA stellt die gesamte Vereinbarung zwischen den Parteien in Bezug auf ihren Gegenstand dar und ersetzt alle vorherigen Vereinbarungen oder Absprachen. Alle Änderungen müssen schriftlich erfolgen und von beiden Parteien vereinbart werden (elektronische Kommunikation genügt).
Sollte eine Bestimmung dieser DPA ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird die Gültigkeit der übrigen Bestimmungen davon nicht berührt.
Diese DPA unterliegt dem Recht von England und Wales. Die Gerichte von England und Wales sind ausschließlich zuständig für alle Streitigkeiten, die sich aus oder im Zusammenhang mit dieser DPA ergeben.
Sofern die aus von Nutzern erstellten Inhalten stammenden personenbezogenen Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet, aufgrund von Handlungen Dritter (wie Beschlagnahme, Einziehung, Rechtsansprüche), Insolvenz, Vergleichsverfahren oder anderer Ereignisse gefährdet sind, die ihre Vertraulichkeit oder Verfügbarkeit beeinträchtigen könnten, benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich ohne schuldhaftes Zögern.
Diese DPA wird elektronisch geschlossen. Eine physische Unterschrift ist nicht erforderlich. Durch die Annahme dieser DPA per Kontrollkästchen, Click-Wrap oder einer anderen digitalen Annahmemethode bestätigt der Verantwortliche, dass er sie gelesen und verstanden hat und sich rechtsverbindlich an ihre Bedingungen gebunden erklärt.
Anlagen
Anlage 1 - Beschreibung der Verarbeitungstätigkeiten, Zwecke, verarbeiteten personenbezogenen Daten und besonderen Kategorien personenbezogener Daten
Anlage 2 - Technische und organisatorische Maßnahmen des Auftragsverarbeiters
Anlage 3 - Genehmigte Unterauftragsverarbeiter
Anlage 1 - Beschreibung der Verarbeitungstätigkeiten, Zwecke, verarbeiteten personenbezogenen Daten und besonderen Kategorien personenbezogener Daten
Zweck der Verarbeitung: Der Auftragsverarbeiter (82DASH) ermöglicht das Hochladen, Verwalten und Übermitteln von durch Nutzer erstellten Inhalten von Content Creators an den Verantwortlichen. Die Inhalte können personenbezogene Daten enthalten.
Art der Verarbeitung:
Speicherung, Anzeige und Übermittlung von Inhalten an den Verantwortlichen
KI-Inferenz, Klassifizierung, Verschlagwortung und Moderation
Kategorisierung und Indexierung von Inhalten
Ermöglichung von Download, Überprüfung und Wiedergabe von Inhalten
Lizenzverwaltung, Vergütungsabwicklung und Compliance-Aufzeichnungen
Support- und Infrastrukturdienste
Kategorien personenbezogener Daten:
Name oder Pseudonym (z. B. Benutzername, Anzeigename)
E-Mail
Bild, Abbild und Stimme (Video-/Audioinhalte)
Social-Media-Handles oder Tags
Metadaten (z. B. Titel, Bildunterschriften)
Freiwillige Kontaktinformationen und Textfragen
Leistungsanalysen, die mit dem Content Creator verknüpft sind
Inhalte, die besondere Kategorien offenlegen können (z. B. Gesundheit, ethnische Herkunft), sofern sie in den Inhalten sichtbar oder hörbar sind
Kategorien betroffener Personen:
Content Creator, die Inhalte über die 82DASH-Plattform hochladen
Personen, die in den Inhalten dargestellt werden
Vertreter von Kundenunternehmen (zu Support- oder Kontozwecken, begrenzt und beiläufig)
Werden sensible Daten übermittelt? Ja - Daten besonderer Kategorien können verarbeitet werden, sofern sie in den von Nutzern erstellten Inhalten sichtbar oder hörbar sind (z. B. Gesundheitszustand, ethnische Herkunft, religiöse Symbole). Dies geschieht beiläufig und wird von 82DASH nicht ausdrücklich erhoben, kann jedoch aufgrund der von Nutzern eingereichten Inhalte auftreten.
Kategorien von Empfängern (gegenüber denen die personenbezogenen Daten offengelegt wurden oder werden):
Kundenunternehmen (Verantwortliche), die von Nutzern eingereichte Inhalte über die 82DASH-Plattform erhalten
Unterauftragsverarbeiter, die Infrastruktur-, Analyse- oder Supportdienste bereitstellen (aufgeführt in der DPA oder der Anlage zu Unterauftragsverarbeitern)
Übermittlung in Drittländer (außerhalb der EU): Ja - Gilt, sofern personenbezogene Daten an Unterauftragsverarbeiter oder Infrastrukturanbieter außerhalb der EU/des EWR übermittelt werden (z. B. in den USA ansässige Cloud-Anbieter)
Garantien für Übermittlungen in Drittländer: Von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCCs), Auftragsverarbeitungsvereinbarungen mit Unterauftragsverarbeitern sowie ergänzende technische/organisatorische Maßnahmen, sofern erforderlich
Häufigkeit der Übermittlung: Kontinuierlich - als Teil des regulären Betriebs und der Funktionalität der 82DASH-Plattform, insbesondere für globalen Zugriff, Hosting oder Analyse
Löschfrist: Als Auftragsverarbeiter verarbeitete personenbezogene Daten werden innerhalb von 90 Tagen nach Beendigung gelöscht oder zurückgegeben, außer wenn die Aufbewahrung nach geltendem Recht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Mindest-Compliance-Nachweise, die der Auftragsverarbeiter als eigenständiger Verantwortlicher aufbewahrt, werden in Übereinstimmung mit den in Abschnitt 1.11 der Datenschutzerklärung festgelegten Aufbewahrungsfristen aufbewahrt.
Anlage 2 - Technische und organisatorische Maßnahmen des Auftragsverarbeiters
Zutrittskontrolle zu Räumlichkeiten und Einrichtungen
Elektronische Zutrittskontrollsysteme
Ausweiskarten, Magnetkarten, Chipkarten
Schlüsselausgabe und -verfolgung
Gesicherte Türverriegelungsmechanismen (z. B. elektrische Schlösser)
CCTV oder Videoüberwachung
Alarmsysteme
Zugangskontrolle zu Systemen
Strenge Passwortrichtlinien (d. h. Komplexitätsanforderungen, Ablaufregeln)
Keine Nutzung von Gast- oder anonymen Konten
Zentralisierte Verwaltung von Benutzerkonten und Zugängen
Zugriffskontrolle auf Daten
Technische Maßnahmen zur Verhinderung unbefugten Fernzugriffs
Rollenbasierte Verwaltung von Zugriffsrechten
Granulare Zugriffsberechtigungen auf Grundlage der Arbeitsaufgaben
Automatische Protokollierung von Datenzugriffsereignissen
Weitergabekontrolle
Verpflichtende Nutzung sicherer privater Netzwerke für jegliche Datenübertragung
Beschränkung oder Verbot tragbarer Speichermedien
Ende-zu-Ende-Verschlüsselung (z. B. VPNs) für Daten während der Übertragung
Umfassende Protokollierung und Prüfung aller Datenübertragungen
Eingabekontrolle
Prüfpfade für Dateneingabe, -änderung und -löschung
Möglichkeit, Ziele der Datenübertragung zu überprüfen und nachzuverfolgen
Protokolle der Benutzeraktivitäten auf allen relevanten Systemen
Mit Zeit- und Benutzerstempel versehene Aufzeichnungen der Dateneingabe
Auftragskontrolle
Klar formulierte, verbindliche Weisungen zur Datenverarbeitung in Verträgen
Laufende Überwachung der Compliance des Auftragsverarbeiters
Verfügbarkeitskontrolle
Datenwiederherstellungsverfahren für Systemunterbrechungen
Überwachungssysteme zur Sicherstellung der Verfügbarkeit und Fehlermeldung
Schutzmaßnahmen zur Verhinderung von Datenbeschädigung durch Systemausfälle
USV-Installationen (unterbrechungsfreie Stromversorgung)
Pläne zur Betriebskontinuität und Notfallwiederherstellung
Externe oder cloudbasierte Backup-Speicherung
Regelmäßig aktualisierte Antiviren- und Firewall-Systeme
Trennungskontrolle
Zugriffsbeschränkung nach Zweck und Aufgaben der Mitarbeiter
Getrennte Umgebungen für Entwicklung/Test und Produktion
Logische Trennung zwischen verschiedenen Geschäftssystemen und Datenbeständen
Anlage 3 - Genehmigte Unterauftragsverarbeiter
Eine vollständige und aktuelle Liste unserer Unterauftragsverarbeiter finden Sie in unserer Liste der Unterauftragsverarbeiter.