Vertrag zur Auftragsverarbeitung / Data Processing Agreement

1. Verantwortlicher ist der Kunde des Dienstes „klangzeile“ („Kunde“). Auftragsverarbeiter ist David Lukac, Semmelweisstr. 4b, 86156 Augsburg („Anbieter“).
2. Gegenstand ist die Verarbeitung personenbezogener Daten, die in den vom Kunden an die API übermittelten Inhalten enthalten sind, zur Erbringung des in den AGB beschriebenen Dienstes. Art und Zweck der Verarbeitung, Datenarten und betroffene Personen sind in Anlage 1 beschrieben.
3. Dieser Vertrag wird mit der Registrierung des Kunden in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO) und gilt für die Dauer des Nutzungsvertrags.

1. Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Die Weisung besteht in diesem Vertrag, den AGB und den einzelnen API-Anfragen des Kunden; jede Anfrage ist die Weisung, den übermittelten Inhalt gemäß der API-Referenz zu verarbeiten und das Ergebnis an den Kunden zurückzugeben.
2. Weitergehende Weisungen erteilt der Kunde in Textform an die in § 1 genannte Adresse. Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt; er darf die Ausführung bis zur Bestätigung aussetzen.
3. Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nicht statt. Insbesondere werden Inhalte nicht zum Trainieren von Modellen, zu Analysezwecken oder zur Produktverbesserung verwendet.

1. Vertraulichkeit. Der Anbieter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Auf Inhalte des Kunden greift bei ordnungsgemäßem Betrieb keine Person zu; sie werden ausschließlich automatisiert verarbeitet.
2. Sicherheit. Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, wie in Anlage 2 beschrieben. Er darf die Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
3. Unterstützung. Der Anbieter unterstützt den Kunden mit den ihm zur Verfügung stehenden Informationen bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) und bei der Beantwortung von Anträgen betroffener Personen. Da Inhalte nicht gespeichert werden, kann der Anbieter Auskunfts-, Berichtigungs- oder Löschanträge zu Inhalten nicht ausführen; er teilt dies dem Kunden auf Anfrage mit.
4. Verletzungen. Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, ohne unangemessene Verzögerung nach Kenntnis an die im Konto hinterlegte E-Mail-Adresse, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
5. Löschung. Übermittelte Inhalte und Ergebnisse werden nur während der Bearbeitung der jeweiligen Anfrage im Arbeitsspeicher gehalten und mit deren Abschluss verworfen. Kontodaten und Abrechnungsmetadaten werden nach Ende des Nutzungsvertrags innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Eine Rückgabe von Inhalten ist mangels Speicherung nicht möglich und nicht erforderlich.
6. Nachweise und Kontrollen. Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung (insbesondere diese Vereinbarung, Anlage 2 und Nachweise des Rechenzentrumsbetreibers). Überprüfungen vor Ort sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, sofern die Auskünfte nicht ausreichen; sie dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Kunde trägt seine eigenen Kosten.
7. Ort der Verarbeitung. Die Verarbeitung findet in Rechenzentren in Deutschland (Hetzner Online GmbH) statt; Transkription, Sprecherzuordnung, Zusammenfassung und Übersetzung durch Mistral AI SAS in der EU (Anlage 3). Eine Übermittlung in Drittländer erfolgt nicht. Ausnahme: der E-Mail-Eingang (Anlage 3, Cloudflare) – hier ist eine Verarbeitung außerhalb der EU auf Grundlage der EU-Standardvertragsklauseln möglich; wer das vermeiden will, nutzt die API.

1. Der Kunde genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Mit ihnen bestehen Verträge nach Art. 28 Abs. 4 DSGVO, die ihnen dieselben Datenschutzpflichten auferlegen wie diesem Anbieter.
2. Der Anbieter informiert den Kunden mindestens vier Wochen vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Kunde den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Zahlungsdienstleister (Stripe) verarbeitet Kontakt- und Zahlungsdaten des Kunden in eigener Verantwortung und erhält keine API-Inhalte; er ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags.

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen und die Beurteilung, ob die übermittelten Inhalte für den Dienst geeignet sind.
2. Der Kunde übermittelt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), soweit dies nicht für den Zweck erforderlich ist; er trifft in diesem Fall die ihm obliegenden zusätzlichen Schutzmaßnahmen.
3. Der Kunde hält seine im Konto hinterlegte E-Mail-Adresse aktuell, damit Meldungen nach § 3 Nr. 4 ihn erreichen.

1. Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis der Parteien gilt § 11 der AGB.
2. Im Fall eines Widerspruchs zwischen diesem Vertrag und den AGB geht dieser Vertrag in datenschutzrechtlichen Fragen vor.
3. Es gilt deutsches Recht; Gerichtsstand ist Augsburg (§ 13 AGB).

Keine weiteren Unterauftragsverarbeiter. Stripe Payments Europe Ltd. (Dublin, Irland) verarbeitet Zahlungsdaten als eigener Verantwortlicher und erhält keine API-Inhalte.