Auftrags­verarbeitungs­vertrag

§ 1 Gegenstand und Geltung

Dieser Auftragsverarbeitungsvertrag (AVV) regelt nach Art. 28 DSGVO die Verarbeitung personenbezogener Daten, die uns Kundinnen und Kunden, die Unternehmerinnen oder Unternehmer sind, im Rahmen eines Studioauftrags übergeben. Typische Fälle sind Podcast-Produktionen mit Gästen, Sprachaufnahmen mit externen Sprecherinnen und Sprechern, Interviews, Hörbuch- oder E-Learning-Projekte sowie Bandaufnahmen, die ein Label oder eine Agentur für Dritte beauftragt.

Der AVV ergänzt den Hauptvertrag nach unseren Allgemeinen Geschäftsbedingungen. Bei Widersprüchen gehen in Fragen des Datenschutzes die Regelungen dieses AVV vor. Für Daten, die wir für eigene Zwecke verarbeiten, etwa Ihre Rechnungsdaten, bleiben wir selbst Verantwortliche; dazu informiert die Datenschutzerklärung.

§ 2 Vertragsparteien und Rollen

Verantwortliche oder Verantwortlicher ist die Kundin oder der Kunde, die oder der den Auftrag erteilt und über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiterin ist die Klangnest Tonstudio GmbH, Burggasse 95, 1070 Wien, FN 548213 w, Handelsgericht Wien, vertreten durch den Geschäftsführer Lukas Steinbauer. Beide Parteien benennen eine Ansprechperson für Datenschutzfragen; auf unserer Seite ist das die Geschäftsführung, erreichbar unter [email protected].

§ 3 Dauer

Der AVV gilt ab Unterzeichnung für die Dauer des Hauptvertrags und darüber hinaus so lange, wie wir Daten aus dem Auftrag speichern, längstens bis zum Ende der Archivfrist von 12 Monaten nach Abschluss des Auftrags (siehe Artikel 11). Eine ordentliche Kündigung ist während laufender Aufträge ausgeschlossen; die Kündigung aus wichtigem Grund bleibt beiden Parteien unbenommen.

§ 4 Art und Zweck der Verarbeitung

Wir verarbeiten die überlassenen Daten ausschließlich zur Erbringung der beauftragten Studioleistungen: Aufnahme, Schnitt, Mix, Mastering, Erstellung von Alternativversionen, Einbindung von Remote-Gästen über eine Audio-Verbindung, Lieferung der Dateien über Download-Links sowie Archivierung für Nachlieferungen. Die Verarbeitung erfolgt in unseren Räumen in Wien und auf Systemen unserer Sub-Auftragsverarbeiter in Österreich; eine Übermittlung in Drittländer findet nur über FormSubmit nach Artikel 8 statt.

§ 5 Kategorien von Daten und betroffenen Personen

Je nach Auftrag kommen folgende Daten und Personengruppen in Betracht:

Besondere Kategorien personenbezogener Daten können in Gesprächsinhalten vorkommen, etwa Angaben zu Gesundheit oder Weltanschauung. Sie sind als Verantwortliche oder Verantwortlicher dafür zuständig, dass eine Rechtsgrundlage und die nötigen Einwilligungen der Mitwirkenden vorliegen.

§ 6 Pflichten der Auftragsverarbeiterin

Wir verpflichten uns,

• Daten nur auf dokumentierte Weisung zu verarbeiten und Sie unverzüglich zu informieren, wenn wir eine Weisung für rechtswidrig halten;
• alle mit der Verarbeitung befassten Personen, derzeit die drei Mitarbeitenden des Studios, zur Vertraulichkeit zu verpflichten;
• die technischen und organisatorischen Maßnahmen nach Artikel 9 einzuhalten und laufend zu überprüfen;
• Sub-Auftragsverarbeiter nur nach den Regeln in Artikel 8 einzusetzen;
• Sie bei Anfragen betroffener Personen und bei Ihren Pflichten zu Datensicherheit, Meldungen und Folgenabschätzungen zu unterstützen;
• Daten nach Abschluss des Auftrags nach Artikel 11 zu löschen oder zurückzugeben;
• Ihnen alle Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung zu stellen.

§ 7 Weisungen

Weisungen erteilen Sie schriftlich, E-Mail genügt; mündliche Weisungen während einer Session bestätigen wir im Anschluss per E-Mail. Der Hauptvertrag und dieser AVV gelten als erste Weisung. Weisungen, die den vereinbarten Leistungsumfang überschreiten, etwa eine längere Aufbewahrung oder zusätzliche Empfänger, vereinbaren wir gesondert; ein dadurch entstehender Mehraufwand kann verrechnet werden.

§ 8 Sub-Auftragsverarbeiter

Sie stimmen dem Einsatz folgender Sub-Auftragsverarbeiter zu:

• World4You Internet Services GmbH, Hafenstraße 35, 4020 Linz, Österreich: Hosting der Website und Betrieb unserer E-Mail-Postfächer, über die Dateien, Termine und Korrekturwünsche ausgetauscht werden.
• FormSubmit (formsubmit.co), USA: Übermittlung von Nachrichten aus dem Kontaktformular an unser Postfach. Die Übermittlung in die USA ist durch Standardvertragsklauseln abgesichert. Personenbezogene Daten Ihrer Mitwirkenden gelangen nur dann zu FormSubmit, wenn Sie sie selbst über das Formular eingeben.

Beabsichtigen wir, einen weiteren Sub-Auftragsverarbeiter einzusetzen oder zu ersetzen, informieren wir Sie vorab per E-Mail. Sie können aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; finden wir keine einvernehmliche Lösung, können beide Parteien den betroffenen Auftrag kündigen. Mit jedem Sub-Auftragsverarbeiter bestehen vertragliche Pflichten, die denen dieses AVV entsprechen.

§ 9 Technische und organisatorische Maßnahmen

Wir treffen insbesondere folgende Maßnahmen:

• Zutritt: Studio und Regie sind versperrt; Zutritt nur für das Team und begleitete Gäste.
• Zugang und Zugriff: Arbeitsplätze und Speicher sind passwortgeschützt; Zugriff auf Projektdaten nur für die am Auftrag beteiligten Personen.
• Übertragung: Website und E-Mail über TLS; Lieferung über nicht öffentlich auffindbare Download-Links, auf Wunsch mit Passwort und Ablaufdatum.
• Verfügbarkeit: Regelmäßige Sicherungen der Projektdaten auf getrennten Datenträgern; Wiederherstellung wird getestet.
• Trennung: Jeder Auftrag wird in einem eigenen Projektordner geführt; Daten verschiedener Kundinnen und Kunden werden nicht vermischt.
• Löschung: Dokumentierte Löschung nach Ablauf der Archivfrist oder auf Weisung.

Wir passen diese Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

§ 10 Unterstützung und Meldungen

Wenden sich betroffene Personen mit Anfragen zu Auskunft, Berichtigung, Löschung oder Widerspruch an uns, leiten wir die Anfrage unverzüglich an Sie weiter und unterstützen Sie bei der Beantwortung. Wir beantworten solche Anfragen nicht selbst, es sei denn, Sie weisen uns dazu an.

Eine Verletzung des Schutzes personenbezogener Daten, etwa den Verlust eines Datenträgers oder einen unberechtigten Zugriff auf Projektdaten, melden wir Ihnen unverzüglich nach Bekanntwerden mit allen Angaben, die Sie für Ihre Meldepflichten gegenüber der Datenschutzbehörde und den betroffenen Personen benötigen.

§ 11 Löschung und Rückgabe

Nach Abschluss des Auftrags bewahren wir Rohaufnahmen, Projektdaten und Master 12 Monate auf, damit Nachlieferungen und Korrekturen möglich bleiben. Danach löschen wir alle überlassenen und erzeugten personenbezogenen Daten einschließlich Sicherungskopien und bestätigen die Löschung auf Wunsch schriftlich. Auf Ihre Weisung löschen wir die Daten auch früher oder geben sie in einem gängigen Format zurück. Von der Löschung ausgenommen sind Unterlagen, die wir aufgrund gesetzlicher Aufbewahrungspflichten behalten müssen, etwa Rechnungen für 7 Jahre.

§ 12 Nachweise und Prüfungen

Wir stellen Ihnen auf Anfrage alle Informationen zur Verfügung, die Sie zum Nachweis der Einhaltung Ihrer Pflichten benötigen, etwa eine Beschreibung unserer Maßnahmen oder die Liste der Sub-Auftragsverarbeiter. Sie können die Einhaltung dieses AVV nach rechtzeitiger Ankündigung, in der Regel 14 Tage vorher, während unserer Öffnungszeiten vor Ort prüfen oder prüfen lassen, ohne den Studiobetrieb unangemessen zu stören. Prüfungen, die über eine Prüfung pro Jahr hinausgehen oder nicht durch einen konkreten Anlass veranlasst sind, können wir nach Aufwand verrechnen.

§ 13 Haftung

Für Schäden aus einer Verletzung dieses AVV haften die Parteien nach den Regeln der DSGVO und des Hauptvertrags. Wir haften gegenüber Ihnen nur, soweit wir unsere Pflichten als Auftragsverarbeiterin nicht erfüllt oder gegen Ihre rechtmäßigen Weisungen gehandelt haben. Sie halten uns schad- und klaglos, wenn Ansprüche darauf beruhen, dass für die überlassenen Daten keine ausreichende Rechtsgrundlage oder Einwilligung vorlag. Die Haftungsbeschränkungen in Artikel 10 der AGB gelten auch für diesen AVV, soweit das Datenschutzrecht nichts anderes vorschreibt.

§ 14 Abschluss und Form

Diesen AVV schließen wir auf Anfrage ab. Schreiben Sie uns an [email protected] oder nutzen Sie die Kontaktseite; Sie erhalten innerhalb von einem Werktag ein Exemplar mit Ihren Unternehmensdaten, dem Auftragsbezug und den vereinbarten Löschfristen. Nach Ihrer Unterzeichnung senden wir Ihnen eine von uns gegengezeichnete Ausfertigung als PDF zurück. Änderungen bedürfen der Schriftform; E-Mail genügt. Es gilt österreichisches Recht; Gerichtsstand ist Wien.