Detesia Deepfake Detection Logo
Kostenlos testen

Auftragsverarbeitungsvertrag


Vertrag über die Verarbeitung personenbezogener Daten im Auftrag eines Verantwortlichen gemäß Art. 28 DS-GVO

zwischen Detesia GmbH, Bahnhofstraße 88, 66386 St. Ingbert, Deutschland

– als Verantwortliche/r – nachfolgend „Auftraggeber" genannt –

und dem jeweiligen Kunden

– als Auftragsverarbeiter/in – nachfolgend „Auftragnehmer" genannt –

– Auftraggeber und Auftragnehmer nachfolgend jeder auch „Partei" und gemeinsam „Parteien" –


Präambel

Der Auftragnehmer erbringt für den Auftraggeber Leistungen im Rahmen der browserbasierten Bereitstellung einer Software zur Deepfake-Erkennung, die dem Auftraggeber als webbasierte Anwendung zur Verfügung gestellt wird und über einen Internetbrowser über die Website des Auftragnehmers aufgerufen werden kann, auf Grundlage des geschlossenen Hauptvertrags (im Folgenden: „Hauptvertrag"). Teil der Durchführung des Hauptvertrags ist die Verarbeitung von personenbezogenen Daten im Sinne der Datenschutzgrundverordnung („DS-GVO"). Zur Erfüllung der Anforderungen der DS-GVO an derartige Konstellationen schließen die Parteien den nachfolgenden Vertrag, dessen Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich vereinbart ist.


§ 1 Gegenstand/Umfang der Beauftragung

(1) Die Zusammenarbeit der Parteien nach Maßgabe des Hauptvertrages bringt es mit sich, dass der Auftragnehmer Zugriff auf personenbezogene Daten des Auftraggebers (nachfolgend „Auftraggeberdaten") erhält und diese ausschließlich im Auftrag und nach Weisung des Auftraggebers im Sinne von Art. 4 Nr. 8 und Art. 28 DS-GVO verarbeitet.

(2) Die Verarbeitung der Auftraggeberdaten durch den Auftragnehmer erfolgt ausschließlich in der in Anlage 1 spezifizierten Art sowie in dem dort spezifizierten Umfang und Zweck. Der Kreis der von der Datenverarbeitung betroffenen Personen ist in Anlage 2 zu diesem Vertrag dargestellt. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

(3) Dem Auftragnehmer ist eine abweichende oder über die Festlegungen in den Anlagen 1 und 2 hinausgehende Verarbeitung von Auftraggeberdaten untersagt. Dies gilt auch für die Verwendung anonymisierter Daten.

(4) Die Verarbeitung der Auftraggeberdaten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 bis 49 DS-GVO erfüllt sind.

(5) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen der Auftragnehmer und seine Beschäftigten oder durch den Auftragnehmer Beauftragte mit personenbezogenen Daten in Berührung kommen, die vom Auftraggeber stammen oder für den Auftraggeber erhoben wurden.


§ 2 Weisungsbefugnisse des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Auftraggeberdaten nur im Rahmen der Beauftragung und ausschließlich im Auftrag und nach Weisung des Auftraggebers iSv Art. 28 DS-GVO (Auftragsverarbeitung), dies gilt insbesondere in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Der Auftraggeber hat insoweit das alleinige Recht, Weisungen über Art, Umfang, und Methode der Verarbeitungstätigkeiten zu erteilen (nachfolgend auch „Weisungsrecht"). Wird der Auftragnehmer durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit.

(2) Weisungen werden vom Auftraggeber grundsätzlich schriftlich erteilt; mündlich erteilte Weisungen sind vom Auftragnehmer schriftlich zu bestätigen. Die weisungs- und empfangsberechtigten Personen ergeben sich aus Anlage 3. Bei einem Wechsel oder einer längerfristigen Verhinderung der in Anlage 3 benannten Personen ist der anderen Partei unverzüglich der Nachfolger bzw. Vertreter in Textform zu benennen. Der Auftragnehmer wird dem Auftraggeber einen Wechsel der Person des Weisungsberechtigten frühzeitig anzeigen. Bis zum Zugang einer solchen Mitteilung beim Auftraggeber gelten die benannten Personen weiter als empfangsberechtigt.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.


§ 3 Schutzmaßnahmen des Auftragnehmers

(1) Der Auftragnehmer ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

(2) Ferner wird der Auftragnehmer alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im folgenden „Mitarbeiter" genannt), in Schriftform zur Vertraulichkeit verpflichten (Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 lit. b DS-GVO) und die Einhaltung dieser Verpflichtung mit der gebotenen Sorgfalt sicherstellen. Auf Verlangen des Auftraggebers wird der Auftragnehmer dem Auftraggeber die Verpflichtung der Mitarbeiter schriftlich oder in elektronischer Form nachweisen.

(3) Der Auftragnehmer wird seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er verpflichtet sich, alle geeigneten technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Auftraggeberdaten gem. Art. 32 DS-GVO, insbesondere die in Anlage 4 zu diesem Vertrag aufgeführten Maßnahmen, zu ergreifen und diese für die Dauer der Verarbeitung der Auftraggeberdaten aufrecht zu erhalten.

(4) Eine Änderung der getroffenen technischen und organisatorischen Maßnahmen bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. Der Auftragnehmer hat den Auftraggeber unverzüglich schriftlich zu informieren, wenn er Grund zu der Annahme hat, dass die Maßnahmen gemäß Anlage 4 nicht mehr ausreichend sind und wird sich mit ihm hinsichtlich weiterer technischer und organisatorischer Maßnahmen abstimmen.

(5) Auf Verlangen des Auftraggebers wird der Auftragnehmer dem Auftraggeber die Einhaltung der in Anlage 4 bestimmten technischen und organisatorischen Maßnahmen durch geeignete Nachweise nachweisen.


§ 4 Informations- und Unterstützungspflichten des Auftragnehmers

(1) Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des Auftragnehmers, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der Auftraggeberdaten durch den Auftragnehmer, bei ihm im Rahmen des Auftrags beschäftigten Personen oder durch Dritte wird der Auftragnehmer den Auftraggeber unverzüglich, spätestens aber innerhalb von 36 Stunden in Schriftform oder elektronischer Form informieren. Dasselbe gilt für Prüfungen des Auftragnehmers durch die Datenschutz-Aufsichtsbehörde. Die Meldungen gemäß § 4 Abs. 1 S. 1 enthalten jeweils zumindest die in Art. 33 Absatz 3 DS-GVO genannten Angaben.

(2) Der Auftragnehmer wird den Auftraggeber im Falle des § 4 Abs. 1 bei der Erfüllung seiner diesbezüglichen Aufklärungs-, Abhilfe- und Informationsmaßnahmen im Rahmen des zumutbaren unterstützen. Der Auftragnehmer wird insbesondere unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen durchführen, den Auftraggeber hierüber informieren und diesen um weitere Weisungen ersuchen.

(3) Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf dessen mündliche oder schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle gemäß § 7 Abs. 1 dieses Vertrages erforderlich sind. Ferner wird der Auftragnehmer dem Auftraggeber auf dessen Wunsch ein umfassendes und aktuelles Datenschutz- und Sicherheitskonzept für die Auftragsverarbeitung sowie über zugriffsberechtigte Personen zur Verfügung stellen.


§ 5 Sonstige Verpflichtungen des Auftragnehmers

(1) Der Auftragnehmer ist verpflichtet ein Verzeichnis zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten der Verarbeitung gem. Art. 30 Abs. 2 DS-GVO zu führen. Das Verzeichnis ist dem Auftraggeber auf Verlangen zur Verfügung zu stellen.

(2) Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Erstellung einer Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DS-GVO zu unterstützen.

(3) Der Auftragnehmer bestätigt, dass er sobald eine gesetzliche Verpflichtung hierzu besteht einen Datenschutzbeauftragten bestellen wird. Die Kontaktdaten des Datenschutzbeauftragten werden dem Auftraggeber unverzüglich nach Bestellung mitgeteilt. Ein Wechsel in der Person des betrieblichen Datenschutzbeauftragten/Ansprechpartners für den Datenschutz ist dem Auftraggeber unverzüglich schriftlich mitzuteilen.

(4) Sollten die Auftraggeberdaten beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der Auftragnehmer wird in diesem Zusammenhang alle zuständigen Stellen unverzüglich darüber informieren, dass die Entscheidungshoheit über die Daten ausschließlich beim Auftraggeber als „Verantwortlichem" im Sinne der DS-GVO liegt.


§ 6 Subunternehmerverhältnisse

(1) Der Auftragnehmer ist im Rahmen seiner vertraglichen Verpflichtungen nicht zur Begründung von Unterauftragsverhältnissen mit Subunternehmern („Subunternehmerverhältnis") befugt. Ausnahmen sind nur nach vorheriger ausdrücklicher schriftlicher Zustimmung des Auftraggebers im Einzelfall zulässig. In diesem Fall hat der Auftragnehmer dafür Sorge zu tragen, dass die in diesem Vertrag vereinbarten Regelungen auch gegenüber den von ihm beauftragten Subunternehmen gelten, wobei dem Auftraggeber gegenüber dem Subunternehmer sämtliche Kontrollrechte gemäß § 7 dieses Vertrages einzuräumen sind. Subunternehmerverhältnisse zu Dritten außerhalb des Europäischen Wirtschaftsraumes sind nicht gestattet.

(2) Ein Subunternehmerverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z.B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Bewachungsdienste, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen. Die Pflicht des Auftragnehmers, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.


§ 7 Kontrollrechte

(1) Der Auftraggeber ist berechtigt, sich regelmäßig von der Einhaltung der Regelungen dieses Vertrages, insbesondere der Umsetzung und Einhaltung der technischen und organisatorischen Maßnahmen gemäß § 3 Abs. 3 dieser Vereinbarung, zu überzeugen. Hierfür kann er z.B. Auskünfte des Auftragnehmers einholen, sich vorhandene Testate von Sachverständigen, Zertifizierungen oder internen Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnahmen des Auftragnehmers zu den üblichen Geschäftszeiten selbst persönlich bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht.

(2) Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang durchführen und angemessene Rücksicht auf die Betriebsabläufe des Auftragnehmers nehmen. Über den Zeitpunkt sowie die Art der Prüfung verständigen sich die Parteien rechtzeitig.

(3) Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten, die der Auftraggeber insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den Auftragnehmer unverzüglich zu informieren. Werden bei der Kontrolle Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilt der Auftraggeber dem Auftragnehmer die notwendigen Verfahrensänderungen unverzüglich mit.


§ 8 Rechte Betroffener

(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12 bis 22 sowie Art. 32 bis 36 DS-GVO. Er wird dem Auftraggeber unverzüglich, spätestens aber innerhalb von 7 Werktagen, die gewünschte Auskunft über Auftraggeberdaten geben, sofern der Auftraggeber nicht selbst über die entsprechenden Informationen verfügt.

(2) Macht der Betroffene seine Rechte gemäß Art. 16 bis 18 DS-GVO geltend, ist der Auftragnehmer dazu verpflichtet, die Auftraggeberdaten auf Weisung des Auftraggebers unverzüglich, spätestens binnen einer Frist von 7 Werktagen zu berichtigen, löschen oder einzuschränken. Der Auftragnehmer wird dem Auftraggeber die Löschung, Berichtigung bzw. Einschränkung der Daten auf Verlangen schriftlich nachweisen.

(3) Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragnehmer geltend, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten und wartet dessen Weisungen ab. Ohne entsprechende Einzelweisung wird der Auftragnehmer nicht mit der betroffenen Person in Kontakt treten.


§ 9 Laufzeit und Kündigung

(1) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Ist der Hauptvertrag ordentlich kündbar, gelten die Regelungen zur ordentlichen Kündigung entsprechend. Im Zweifel gilt eine Kündigung des Hauptvertrags auch als Kündigung dieses Vertrags und eine Kündigung dieses Vertrages als Kündigung des Hauptvertrages.

(2) Der Auftraggeber ist jederzeit zu einer außerordentlichen Kündigung dieses Vertrages aus wichtigem Grund berechtigt. Ein wichtiger Grund liegt vor, wenn der Auftragnehmer seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DS-GVO vorsätzlich oder grob fahrlässig verletzt oder eine Weisung des Auftraggebers nicht ausführen kann oder will. Insbesondere liegt in den in Anlage 5 genannten Fällen ein wichtiger Grund vor. Bei einfachen – also weder vorsätzlichen noch grob fahrlässigen – Verstößen setzt der Auftraggeber dem Auftragnehmer zunächst eine angemessene Frist, innerhalb welcher der Auftragnehmer den Verstoß abstellen kann. Nach fruchtlosem Ablauf dieser Frist steht dem Auftraggeber sodann das Recht zur außerordentlichen Kündigung zu.


§ 10 Löschung und Rückgabe nach Vertragsende

(1) Der Auftragnehmer wird dem Auftraggeber nach Beendigung des Hauptvertrags oder jederzeit auf dessen Verlangen alle ihm überlassenen Unterlagen, Daten und Datenträger zurückgeben oder auf Wunsch des Auftraggebers, sofern nicht eine gesetzliche Aufbewahrungsfrist besteht, vollständig und unwiderruflich löschen. Dies gilt auch für Vervielfältigungen der Auftraggeberdaten beim Auftragnehmer, wie etwa Datensicherungen, nicht aber für Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung der Auftraggeberdaten dienen. Solche Dokumentationen sind vom Auftragnehmer für eine Dauer von 3 Jahren aufzubewahren und auf Verlangen an den Auftraggeber herauszugeben.

(2) Der Auftragnehmer wird dem Auftraggeber die Löschung schriftlich bestätigen. Der Auftraggeber hat das Recht, die vollständige und vertragsgerechte Rückgabe bzw. Löschung der Daten beim Auftragnehmer in geeigneter Weise zu kontrollieren; § 7 Abs. 2 dieses Vertrags gilt hierfür entsprechend.

(3) Der Auftragnehmer ist verpflichtet, auch über das Ende des Hauptvertrags hinaus die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten vertraulich zu behandeln.


§ 11 Haftung

(1) Die Haftung der Parteien richtet sich nach Art. 82 DS-GVO. Eine Haftung des Auftragnehmers gegenüber dem Auftraggeber wegen Verletzung von Pflichten aus diesem Vertrag oder dem Hauptvertrag bleibt hiervon unberührt.

(2) Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einem Betroffenen eingetreten ist, verantwortlich ist. § 11 Abs. 2 S. 1 gilt im Falle einer gegen eine Partei verhängte Geldbuße entsprechend, wobei die Freistellung in dem Umfang erfolgt, in dem die jeweils andere Partei Anteil an der Verantwortung für den durch die Geldbuße sanktionierten Verstoß trägt.


§ 12 Schlussbestimmungen

(1) Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer iSd § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(3) Die Regelungen dieses Vertrags gehen im Zweifel den Regelungen des Hauptvertrags vor. Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen einer Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.

(4) Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist Saarbrücken.


Anlagen


Anlage 1 – Konkretisierung von Art, Umfang und Zweck der Datenverarbeitung

1. Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Nutzung einer browserbasierten Deepfake-Erkennungssoftware im Rahmen eines Software-as-a-Service (SaaS)-Modells. Die Software ermöglicht es dem Kunden, Mediendateien (z. B. Bilder, Audio- und Videodateien) hochzuladen, die automatisiert auf Deepfake-Merkmale analysiert werden. Die Verarbeitung umfasst das Hochladen, Speichern, Analysieren und Bereitstellen der Analyseergebnisse an den Kunden. Eine Weiterverarbeitung zu anderen Zwecken ist ausgeschlossen.


2. Art der verarbeiteten Daten

Verarbeitet werden alle vom Kunden bereitgestellten Mediendateien, die personenbezogene Daten enthalten können, insbesondere Abbildungen, Stimmen, Namen, Metadaten und sonstige Identifikationsmerkmale. Zusätzlich werden technische Nutzungsdaten (z. B. IP-Adressen, Zugriffszeiten, Browserinformationen) verarbeitet, soweit dies für die Erbringung und Sicherheit der Dienstleistung erforderlich ist.


3. Kategorien betroffener Personen

Betroffen sind die natürlichen Personen, die in den Mediendateien abgebildet, genannt oder anderweitig identifizierbar sind, sowie die Nutzer/Kunden, die die Software verwenden.


4. Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zum Zweck der Analyse und Erkennung von Deepfakes in den vom Kunden bereitgestellten Dateien. Die Ergebnisse werden dem Kunden zur Verfügung gestellt. Eine Verarbeitung zu anderen Zwecken, insbesondere zu Werbezwecken oder zur Profilbildung, findet nicht statt.


5. Umfang der Verarbeitung

Die Verarbeitung beschränkt sich auf das Hochladen, Speichern, Analysieren und die Ergebnisübermittlung im Rahmen der SaaS-Lösung. Eine Weitergabe an Dritte oder Nutzung zu eigenen Zwecken des Auftragsverarbeiters ist ausgeschlossen, es sei denn, dies ist zur Vertragserfüllung oder aufgrund gesetzlicher Verpflichtungen erforderlich. Die Daten werden nur für die Dauer des Vertragsverhältnisses verarbeitet und nach dessen Beendigung nach Weisung des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.


6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter verpflichtet sich, alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu zählen insbesondere Verschlüsselung, Zugriffsbeschränkungen, Pseudonymisierung und die Sicherstellung der Vertraulichkeit und Integrität der Systeme und Dienste.


7. Weisungsgebundenheit und Rechte des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Verantwortliche behält die Entscheidungsgewalt über Art, Umfang und Zweck der Verarbeitung und kann jederzeit Weisungen erteilen.


8. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des SaaS-Vertragsverhältnisses. Nach dessen Beendigung werden die personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.


9. Unterstützung und Nachweispflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten hinsichtlich Betroffenenrechte, Transparenz und Nachweis der Einhaltung der datenschutzrechtlichen Vorgaben und stellt die hierfür erforderlichen Informationen zur Verfügung.


10. Unterauftragsverarbeitung

Der Einsatz von Unterauftragsverarbeitern ist nur mit vorheriger Zustimmung des Verantwortlichen zulässig. Über geplante Änderungen ist der Verantwortliche zu informieren; ihm steht ein Einspruchsrecht zu.

Anlage 2 – Beschreibung der Datenarten und der Kategorien betroffener Personen

1. Datenarten


a) Bilddateien
  • Hochgeladene oder übermittelte digitale Bilddateien (z. B. JPEG, PNG, BMP, TIFF), die Abbildungen von natürlichen Personen enthalten können.
  • Enthalten regelmäßig personenbezogene Daten i.S.d. § 46 Nr. 1 BDSG, da einzelne Personen durch ihr Aussehen, Kleidung oder andere Merkmale identifizierbar sind.
  • Enthalten ggf. biometrische Daten, insbesondere Gesichtsbilder, die eine eindeutige Identifizierung ermöglichen oder bestätigen (§ 46 Nr. 12, 14c BDSG).
  • Metadaten der Bilddateien (z. B. Zeitstempel, Geolokalisierung, Geräteinformationen), die Rückschlüsse auf die betroffene Person zulassen können.

b) Videodateien
  • Hochgeladene oder übermittelte digitale Videodateien (z. B. MP4, AVI, MOV, WMV), die Bild- und Tonaufnahmen natürlicher Personen enthalten können.
  • Enthalten personenbezogene Daten, da Personen durch Bild, Stimme, Verhalten, Bewegungsabläufe oder andere Merkmale identifizierbar sind.
  • Enthalten ggf. biometrische Daten (Gesichtsbilder, Stimmprofile) zur eindeutigen Identifizierung (§ 46 Nr. 12, 14c BDSG).
  • Metadaten der Videodateien (z. B. Zeitstempel, Geolokalisierung, Geräteinformationen).

c) Begleitende Nutzungsdaten
  • IP-Adressen, Zeitpunkte des Uploads, Nutzerkennung, Browser- und Geräteinformationen, soweit für die Erbringung der Dienstleistung erforderlich.
  • Diese Daten sind personenbezogen, wenn sie einer natürlichen Person zugeordnet werden können.

d) Besondere Kategorien personenbezogener Daten
  • Bild- und Videodateien können besondere Kategorien personenbezogener Daten i.S.d. § 46 Nr. 14 BDSG enthalten, z. B. Angaben zur ethnischen Herkunft, religiösen Überzeugung, Gesundheitsdaten (sichtbare Behinderungen, medizinische Geräte), biometrische Daten (Gesicht, Stimme).

2. Kategorien betroffener Personen


a) Abgebildete oder aufgezeichnete Personen
  • Natürliche Personen, die auf den hochgeladenen Bildern oder Videos erkennbar oder identifizierbar sind (z. B. durch Gesicht, Stimme, Kleidung, Verhalten, Tätowierungen, sonstige charakteristische Merkmale).

b) Nutzer/Kunden
  • Natürliche Personen, die die Deepfake-Erkennungssoftware nutzen, insbesondere bei personenbezogener Registrierung, Authentifizierung oder Protokollierung der Nutzungsvorgänge (z. B. IP-Adresse, Nutzerkennung).

c) Dritte, die in Metadaten oder Begleitinformationen genannt werden
  • Personen, deren personenbezogene Daten in Metadaten, Dateinamen oder Begleittexten enthalten sind (z. B. Name im Dateinamen, Geolokalisierung, Zeitangaben).
Anlage 3 – Weisungs- und empfangsberechtigte Personen

Im Rahmen des Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO werden nachfolgend die zur Erteilung und Entgegennahme von Weisungen berechtigten Personen beim Anbieter (GmbH) benannt:


1. Geschäftsführung der Detesia GmbH

  • Philipp Dewald, Geschäftsführer, philipp@detesia.com, +49 162 62 76130
  • Peter Stolz, Geschäftsführer, peter@detesia.com, +49 152 23 363793
  • Tim Walita, Geschäftsführer, tim@detesia.com, +49 151 58377686

Die Geschäftsführer sind als gesetzliche Vertreter der GmbH nach § 164 Abs. 1 BGB zur Entgegennahme und Erteilung von Weisungen im Rahmen des Auftragsverarbeitungsvertrags berechtigt.


2. Änderungen

Änderungen der weisungs- und empfangsberechtigten Personen werden dem Vertragspartner unverzüglich in Textform mitgeteilt.

Anlage 4 – Technische und organisatorische Maßnahmen des Auftragnehmers (Art. 32 DS-GVO)

Die nachfolgenden technischen und organisatorischen Maßnahmen dienen dem Schutz der personenbezogenen Daten, die der Auftragnehmer im Rahmen der Auftragsverarbeitung verarbeitet. Sie wurden unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken getroffen, um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DS-GVO sicherzustellen.


1. Zugang und Zugriff

Der Auftragnehmer gewährleistet, dass nur befugte Personen Zugang zu Systemen, Anwendungen und Daten erlangen, die personenbezogene Daten enthalten oder verarbeiten. Hierzu zählen insbesondere:

  • Personalisierte Authentifizierung für alle administrativen und produktiven Zugänge sowie angemessene Passwort- und Sitzungsschutzmechanismen.
  • Nutzung von Zwei-Faktor-Authentifizierung für besonders sensitive Zugänge.
  • Protokollierung von Zugriffsversuchen und regelmäßige Überprüfung von Berechtigungen.

Diese Maßnahmen stellen sicher, dass unbefugte Personen weder Systeme nutzen noch auf personenbezogene Daten zugreifen können.


2. Datenübertragung und -weitergabe

Der Auftragnehmer trifft geeignete Maßnahmen zum Schutz personenbezogener Daten während der Übermittlung und Speicherung. Insbesondere erfolgt die Datenübertragung zwischen Auftraggeber und Software ausschließlich verschlüsselt (z. B. mittels TLS/HTTPS), und gespeicherte Daten werden nach Möglichkeit verschlüsselt abgelegt. Verfahren zur Kontrolle von Datenbewegungen und zur Verhinderung unbefugter Weitergabe sind implementiert.


3. Integrität und Auditierbarkeit

Es werden Verfahren eingesetzt, mit denen nachvollzogen werden kann, ob und von wem personenbezogene Daten eingegeben, verändert oder gelöscht wurden. Hierzu zählen protokollierte Änderungs- und Zugriffseinträge sowie regelmäßige Überprüfungen dieser Protokolle.


4. Verfügbarkeits- und Ausfallmaßnahmen

Der Auftragnehmer betreibt technische Maßnahmen zur Gewährleistung der Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme. Dazu gehören:

  • Sicherstellung redundanter Systeme und Dienste im Hosting-Umfeld.
  • Regelmäßige Backups und Prozesse zur Wiederherstellung nach Zwischenfällen.
  • Monitoring der Systemverfügbarkeit.

Diese Maßnahmen dienen der schnellen Wiederherstellung des Zugangs zu personenbezogenen Daten bei technischen Störungen.


5. Trennung und Mandantentrennung

Personenbezogene Daten unterschiedlicher Auftraggeber oder Zwecke werden logisch und systematisch getrennt verarbeitet. Eine Vermischung unterschiedlicher Datenbestände wird verhindert, insbesondere durch mandantenfähige Systemarchitektur und Datenzugriffsrollen.


6. Pseudonymisierung und Datenminimierung

Soweit angemessen und technisch realisierbar, werden personenbezogene Daten pseudonymisiert bzw. nur in dem Umfang verarbeitet, der zur Erfüllung des Auftragszwecks erforderlich ist. Die Speicherdauer personenbezogener Inhalte ist auf das verarbeitungsnotwendige Minimum begrenzt und wird dokumentiert.


7. Schadensprävention und Sicherheitsbewusstsein

Der Auftragnehmer verpflichtet sich, geeignete organisatorische Maßnahmen umzusetzen, um Datenschutz- und Informationssicherheitsrisiken zu begegnen. Hierzu zählen:

  • Sensibilisierung und Schulung von Personen, die mit personenbezogenen Daten umgehen.
  • Verpflichtung aller mit der Verarbeitung betrauten Personen auf Vertraulichkeit.
  • Dokumentation und regelmäßige Überprüfung der bestehenden Sicherheitsmaßnahmen.

Diese Maßnahmen fördern die Bewusstseinsbildung und reduzieren das Risiko menschlicher Fehler.


8. Überprüfung und Anpassung

Der Auftragnehmer überprüft regelmäßig die Wirksamkeit der technischen und organisatorischen Maßnahmen und passt sie an neue Risiken, Techniken oder rechtliche Anforderungen an, wobei das vertraglich vereinbarte Schutzniveau beibehalten wird.

Anlage 5 – Präzisierung des wichtigen Grundes

Ein wichtiger Grund zur außerordentlichen Kündigung dieses Auftragsverarbeitungsvertrags liegt insbesondere vor, wenn dem kündigenden Teil unter Berücksichtigung aller Umstände des Einzelfalls und unter Abwägung der beiderseitigen Interessen die Fortsetzung des Vertragsverhältnisses bis zur vereinbarten Beendigung oder bis zum Ablauf einer Kündigungsfrist nicht zugemutet werden kann (§ 314 Abs. 1 BGB).

Ein solcher wichtiger Grund liegt insbesondere vor, wenn:

  • eine der Parteien gegen wesentliche vertragliche oder gesetzliche Pflichten, insbesondere gegen datenschutzrechtliche Vorgaben der DSGVO oder dieses Vertrags, schwerwiegend oder wiederholt verstößt und der anderen Partei ein Festhalten am Vertrag nicht zumutbar ist,
  • der Kunde die Deepfake-Erkennungssoftware zu rechtswidrigen Zwecken nutzt oder Dritten die Nutzung zu solchen Zwecken ermöglicht,
  • eine Partei trotz schriftlicher Abmahnung fortgesetzt oder schwerwiegend gegen ihre Pflichten aus diesem Vertrag verstößt,
  • der Auftragsverarbeiter nicht mehr in der Lage ist, die vertraglich geschuldeten Leistungen unter Einhaltung der gesetzlichen Datenschutzanforderungen zu erbringen,
  • eine Aufsichtsbehörde die weitere Verarbeitung personenbezogener Daten im Rahmen dieses Vertrags untersagt,
  • über das Vermögen einer Partei das Insolvenzverfahren eröffnet wird oder die Eröffnung mangels Masse abgelehnt wird.

Vor Ausspruch der außerordentlichen Kündigung ist grundsätzlich eine schriftliche Abmahnung und Fristsetzung zur Abhilfe erforderlich, es sei denn, besondere Umstände rechtfertigen die sofortige Kündigung (§ 314 Abs. 2 BGB).