1. Gegenstand, Art und Zweck
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung der Plattformleistungen (Erstellung, Vertonung, Verteilung und Auswertung von Audio-/Video-Inhalten). Dauer, Art und Zweck ergeben sich aus dem Hauptvertrag.
2. Betroffene und Datenkategorien
Betroffene: Nutzer und Hörer des Kunden. Kategorien: Stamm- und Kontaktdaten, Nutzungs- und Zugriffsdaten, vom Kunden bereitgestellte Inhalte.
3. Weisungsbindung und Vertraulichkeit
Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Zur Vertraulichkeit verpflichtete Personen werden eingesetzt.
4. Technische und organisatorische Maßnahmen (Art. 32)
Angemessene TOMs bestehen: Verschlüsselung in Transport und Ruhe, strikte Mandantentrennung, rollenbasierte Zugriffskontrolle, Protokollierung, Backup- und Wiederherstellungsverfahren, EU-Rechenzentren. Die vollständige TOM-Beschreibung ist Anlage 1.
5. Unterauftragsverarbeiter
Der Einsatz von Unterauftragsverarbeitern (u. a. Hosting, Zahlungsabwicklung, Sprachsynthese) erfolgt mit den nach Art. 28 Abs. 4 DSGVO erforderlichen Verträgen. Die aktuelle Liste ist Anlage 2; Änderungen werden mit Widerspruchsmöglichkeit angekündigt.
6. Unterstützung, Löschung, Nachweis
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Betroffenenrechten, Meldepflichten und Datenschutz-Folgenabschätzungen. Nach Vertragsende werden Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben. Der Verantwortliche kann die Einhaltung überprüfen (Nachweise, Audits).