Dieser Auftragsverarbeitungsvertrag (AVV) ist Anlage zu den Allgemeinen Geschäftsbedingungen und wird mit dem Vertragsschluss mitgeschlossen. Er regelt die Verarbeitung personenbezogener Daten, die der Nutzer (Verantwortlicher) durch den Anbieter (Auftragsverarbeiter) im Rahmen der Nutzung von Gagenbuch verarbeiten lässt — insbesondere die in hochgeladenen Dispositionen, Abrechnungen und Rechnungen enthaltenen Daten Dritter.
1. Gegenstand, Dauer und Verhältnis zu den AGB
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Nutzer. Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist die Speakz Media GmbH, Kantstraße 127, 10625 Berlin (nachfolgend „Anbieter“). Der Anbieter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Nutzers.
Gegenstand des Auftrags ist die Bereitstellung der Software Gagenbuch nach Maßgabe der AGB. Die Verarbeitung personenbezogener Daten ist keine eigenständige Hauptleistung, sondern notwendige Folge dieser Bereitstellung.
Die Laufzeit dieses AVV entspricht der Laufzeit des Vertrages nach den AGB. Er beginnt mit dem Vertragsschluss und endet, wenn das Vertragsverhältnis endet — unabhängig davon aber nicht vor der vollständigen Erfüllung der Pflichten aus Abschnitt 9 (Löschung und Rückgabe).
Bei Widersprüchen zwischen diesem AVV und den AGB gehen die Regelungen dieses AVV vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.
Von diesem AVV nicht erfasst sind Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist — etwa die Verarbeitung der Bestands- und Abrechnungsdaten des Nutzers zur Begründung und Abwicklung des eigenen Vertragsverhältnisses. Hierfür gilt die Datenschutzerklärung des Anbieters.
2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen
Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen: das Speichern, Einlesen, Auswerten, Abgleichen und Exportieren der Daten, die der Nutzer hochlädt oder erfasst.
Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Auslesen, Abfragen, Verwenden, Abgleichen, Verknüpfen, Übermitteln an Unterauftragsverarbeiter (Abschnitt 6), Einschränken und Löschen.
Datenarten, die typischerweise verarbeitet werden:
- Stamm- und Kontaktdaten (z. B. Namen, Anschriften und E-Mail-Adressen von Auftraggebern, Studios und Rechnungsempfängern).
- Abrechnungs- und Vertragsdaten (z. B. Gagen, Honorare, Beträge, Produktionen, Rollen, Termine, Rechnungs- und Gutschriftsnummern).
- Namen von Kolleginnen und Kollegen sowie von Studio-Mitarbeitenden, soweit sie in hochgeladenen Dispositionen enthalten sind.
- Zahlungs- und Kontodaten aus vom Nutzer hochgeladenen Kontoauszügen oder Bank-Exporten (z. B. Geldeingänge, Verwendungszwecke, IBAN).
Kategorien betroffener Personen:
- Auftraggeber des Nutzers sowie deren Mitarbeitende (insbesondere Studios).
- Kolleginnen und Kollegen des Nutzers, die in Dispositionen oder Abrechnungen genannt werden.
- Rechnungsempfänger und sonstige Geschäftspartner des Nutzers.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Der Nutzer soll keine Dokumente hochladen, die solche Daten enthalten.
3. Weisungsgebundenheit
Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Nutzers, einschließlich der Übermittlung in Drittländer (Abschnitt 11). Etwas anderes gilt nur, wenn der Anbieter nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Nutzer die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Die Nutzung der Software durch den Nutzer — insbesondere das Hochladen, Bearbeiten, Exportieren und Löschen von Daten über die bereitgestellten Funktionen — gilt als Weisung. Darüber hinausgehende Einzelweisungen sind in Textform an hello@speakzmedia.de zu richten und werden vom Anbieter dokumentiert. Der Anbieter setzt Einzelweisungen um, soweit sie technisch und organisatorisch möglich sind; entsteht dadurch ein über den vertraglichen Leistungsumfang hinausgehender Aufwand, kann der Anbieter dessen angemessene Vergütung verlangen.
Ist der Anbieter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen verstößt, informiert er den Nutzer unverzüglich. Der Anbieter ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Nutzer sie bestätigt oder ändert.
4. Vertraulichkeit
Der Anbieter setzt zur Verarbeitung der Daten nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.
Die zur Verarbeitung berechtigten Personen werden mit den einschlägigen Vorgaben des Datenschutzes und mit der Weisungsgebundenheit der Verarbeitung vertraut gemacht.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Anbieter trifft die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen sind Anlage zu diesem AVV und Gegenstand der vertraglichen Pflichten des Anbieters:
- Verschlüsselung in der Übertragung: Sämtliche Verbindungen zur Anwendung und zwischen den eingesetzten Diensten erfolgen ausschließlich über transportverschlüsselte Verbindungen (TLS).
- Verschlüsselung im Ruhezustand: Die gespeicherten Daten — Datenbank und Dateispeicher — werden beim Hoster verschlüsselt abgelegt (Verschlüsselung at Rest).
- Mandantenbezogene Zugriffskontrolle: Die Daten der Nutzerinnen und Nutzer sind auf Datenbankebene durch Row-Level-Security voneinander getrennt. Jede Abfrage ist an die Kennung des angemeldeten Kontos gebunden; ein Zugriff auf Daten anderer Konten ist dadurch technisch ausgeschlossen.
- Zugangs- und Zugriffskontrolle: Der Zugang zur Anwendung setzt eine Authentifizierung mit bestätigter E-Mail-Adresse voraus. Administrative Zugriffe auf die Produktivsysteme sind auf den zur Erbringung der Leistung erforderlichen Personenkreis beschränkt.
- Verfügbarkeit und Wiederherstellbarkeit: Die Datenbestände werden durch den Hoster regelmäßig gesichert; die Sicherungen ermöglichen die Wiederherstellung nach einem physischen oder technischen Zwischenfall.
Der Anbieter darf die Maßnahmen fortentwickeln und anpassen, solange das vereinbarte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen dokumentiert der Anbieter und teilt sie dem Nutzer auf Anfrage mit.
6. Unterauftragsverarbeiter
Der Nutzer erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Zum Zeitpunkt des Vertragsschlusses sind dies:
- Supabase Inc. — Datenbank, Authentifizierung, Dateispeicher, serverseitige Funktionen. Serverstandort EU (Frankfurt am Main).
- Vercel Inc. — Hosting und Auslieferung der Web-Anwendung.
- Google Ireland Ltd. / Google LLC — Auswertung hochgeladener Dokumente über die Gemini-API.
- Stripe Payments Europe Ltd. / Stripe Inc. — Zahlungsabwicklung und Rechnungsstellung.
Der Anbieter hat mit jedem Unterauftragsverarbeiter einen Vertrag geschlossen, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, die in diesem AVV vereinbart sind (Art. 28 Abs. 4 DSGVO). Der Anbieter wählt die Unterauftragsverarbeiter sorgfältig aus und prüft vor der Beauftragung, ob sie hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Nutzer für dessen Verhalten.
Beabsichtigt der Anbieter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, kündigt er dies mindestens vier Wochen vor dem Wirksamwerden in Textform an. Der Nutzer kann der Änderung innerhalb von vier Wochen nach Zugang der Ankündigung aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht der Nutzer, ist der Anbieter berechtigt, die betroffene Leistung ohne den beanstandeten Unterauftragsverarbeiter zu erbringen; ist ihm das nicht mit zumutbarem Aufwand möglich, kann jede Partei den Vertrag zum Zeitpunkt des geplanten Wirksamwerdens der Änderung kündigen. Bereits im Voraus gezahlte Entgelte werden für die nicht genutzte Restlaufzeit anteilig erstattet.
Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Anbieter bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf die Daten des Nutzers erhalten.
7. Unterstützung bei Betroffenenrechten
Der Anbieter unterstützt den Nutzer mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO nachzukommen (Art. 28 Abs. 3 lit. e DSGVO) — insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.
Der Nutzer kann die betroffenen Daten weit überwiegend selbst über die Funktionen der Anwendung einsehen, berichtigen, exportieren und löschen. Soweit das ausreicht, ist die Unterstützungspflicht des Anbieters damit erfüllt.
Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser das Anliegen unverzüglich an den Nutzer weiter und beantwortet es nicht selbst. Der Anbieter unterstützt den Nutzer ferner bei den Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
8. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Anbieter meldet dem Nutzer jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden in Textform (Art. 33 Abs. 2 DSGVO). Die Meldung geht an die im Konto hinterlegte E-Mail-Adresse des Nutzers.
Die Meldung enthält, soweit dem Anbieter bekannt: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen. Sind nicht alle Angaben sofort verfügbar, meldet der Anbieter zunächst das Bekannte und reicht die übrigen Informationen ohne unangemessene weitere Verzögerung nach.
Die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und die Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) obliegen dem Nutzer als Verantwortlichem. Der Anbieter unterstützt ihn dabei im Rahmen des Zumutbaren.
9. Löschung und Rückgabe nach Beendigung
Der Nutzer kann seine Daten während der gesamten Vertragslaufzeit über die bereitgestellten Exportfunktionen selbst herausgeben lassen; deren Umfang ist tarifabhängig. Der Nutzer sollte die Daten vor Beendigung des Vertrages exportieren.
Nach Beendigung des Vertragsverhältnisses löscht der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten nach Ablauf einer angemessenen Frist, sofern der Nutzer nicht zuvor die Rückgabe verlangt hat. Bestehende Sicherungskopien werden im Rahmen der regulären Sicherungszyklen des Hosters überschrieben.
Eine Löschung unterbleibt nur, soweit den Anbieter selbst nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung trifft (Art. 28 Abs. 3 lit. g DSGVO). Daten, die einer solchen eigenen Speicherpflicht des Anbieters unterliegen, werden für die Dauer der Aufbewahrungsfrist in der Verarbeitung eingeschränkt (gesperrt) statt gelöscht und anschließend gelöscht.
Gesetzliche Aufbewahrungspflichten, die den Nutzer als Verantwortlichen treffen — etwa nach § 147 Abgabenordnung und § 257 Handelsgesetzbuch für seine eigenen Belege —, sind keine Speicherpflichten des Anbieters und hindern die Löschung nach diesem Abschnitt nicht. Der Nutzer hat die betroffenen Unterlagen daher vor Beendigung des Vertrages zu exportieren und in eigener Verantwortung aufzubewahren. Für die Rechnungsdaten des Anbieters über das Entgelt — für die der Anbieter selbst Verantwortlicher ist und die dieser AVV nach Abschnitt 1 nicht erfasst — gilt § 11 der AGB und die Datenschutzerklärung.
10. Nachweise und Kontrollen
Der Anbieter stellt dem Nutzer auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Nutzer oder einen von diesem beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).
Der Nachweis erfolgt vorrangig durch Auskunft in Textform, insbesondere über die technischen und organisatorischen Maßnahmen nach Abschnitt 5 und über die eingesetzten Unterauftragsverarbeiter. Soweit Unterauftragsverarbeiter aktuelle Zertifikate oder Prüfberichte anerkannter Stellen vorlegen, kann der Anbieter diese zum Nachweis heranziehen; eigene Zertifizierungen oder Auditberichte hält der Anbieter derzeit nicht vor.
Reicht die Auskunft im Einzelfall nicht aus, ist eine Überprüfung vor Ort nach rechtzeitiger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Prüfer darf kein Wettbewerber des Anbieters sein und ist zur Verschwiegenheit zu verpflichten. Für den Aufwand einer Überprüfung vor Ort kann der Anbieter eine angemessene Vergütung verlangen, es sei denn, die Überprüfung ist durch einen vom Anbieter zu vertretenden Umstand veranlasst.
11. Verarbeitung in Drittländern
Die Verarbeitung findet grundsätzlich in der Europäischen Union statt; die Datenbank, die Authentifizierung und der Dateispeicher liegen beim Hoster in Frankfurt am Main.
Soweit im Rahmen der in Abschnitt 6 genannten Unterauftragsverarbeitungen eine Verarbeitung außerhalb der EU beziehungsweise des EWR — insbesondere in den Vereinigten Staaten — stattfindet, erfolgt sie ausschließlich auf Grundlage geeigneter Garantien nach Art. 46 DSGVO, namentlich der EU-Standardvertragsklauseln (SCC) in ihrer jeweils geltenden Fassung, ergänzt um die erforderlichen zusätzlichen Maßnahmen. Der Nutzer erteilt hierzu seine Genehmigung.
Der Anbieter stellt dem Nutzer auf Anfrage Informationen zu den vereinbarten Garantien zur Verfügung. Weitere Übermittlungen in Drittländer nimmt der Anbieter ohne Weisung des Nutzers nicht vor.