Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO)

Fassung 2026-10-07-entwurf

ENTWURF – dieser Text ist noch nicht anwaltlich geprüft und wird vor der Veröffentlichung überarbeitet. Markierte Stellen (BITTE PRÜFEN) sind noch zu ergänzen.

Vertragsparteien

Verantwortlicher („Auftraggeber“): der Sprungplatz bzw. Betreiber, der DropzoneCut nutzt

Auftragsverarbeiter („Auftragnehmer“): Vivakur UG (haftungsbeschränkt), BITTE PRÜFEN (Straße Nr.), BITTE PRÜFEN (PLZ) Langenfeld, Deutschland

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um den Dienst DropzoneCut nach den AGB zu erbringen (Schnitt, Gästeliste, Anmeldung, Freigabe, Auslieferung, Benachrichtigung, Zahlungsstatus).

(2) Der Vertrag gilt für die Dauer des Hauptvertrags.

§ 2 Art der Daten, betroffene Personen

Gäste: Name, E-Mail-Adresse, Handynummer, Paket, Einwilligungen; optional Geburtsdatum, Gewicht, Anschrift; Fotos und Videos des Sprungs (Bild- und Tonaufnahmen); Zahlungs- und Freigabestand; Abrufe der Medienseite.
Personal des Auftraggebers: Name und Kürzel in der Staffliste (Tandemmaster, Out-Kamera), Zuordnung zu Sprüngen; Mitarbeiter-PINs (nur als Hash).
Besondere Kategorien (Art. 9 DSGVO) werden nicht gezielt verarbeitet; der Auftraggeber fragt keine Gesundheitsdaten über DropzoneCut ab.

§ 3 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; als Weisung gelten insbesondere die Einstellungen im Cockpit und in der App (z. B. Aufbewahrungsfristen, Auslieferungswege, Benachrichtigungen). Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er darauf hin.

§ 4 Vertraulichkeit und Sicherheit

(1) Personen, die Daten verarbeiten, sind zur Vertraulichkeit verpflichtet.

(2) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt den folgenden Unterauftragsverarbeitern zu:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Server/Rechenzentrum in Deutschland
BunnyWay d.o.o., Slowenien – Speicherung und Auslieferung der Medien (Speicherregion Europa, sofern nicht anders gewählt)
E-Mail-Versand: BITTE PRÜFEN

(2) Zahlungs- und SMS-Anbieter, die der Auftraggeber selbst einrichtet (eigene Zugangsdaten), sind keine Unterauftragsverarbeiter des Auftragnehmers; der Auftraggeber schließt mit ihnen eigene Verträge.

(3) Neue Unterauftragsverarbeiter kündigt der Auftragnehmer vorher im Cockpit an; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 6 Unterstützung

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 12–22 DSGVO) – unter anderem durch Datenexport, Bearbeiten und Löschen im Cockpit –, bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

§ 7 Löschung und Rückgabe

Medien werden nach der eingestellten Frist (Standard 21 Tage) gelöscht, Gästedaten nach der eingestellten Frist (Standard 90 Tage) anonymisiert. Nach Vertragsende (Konto löschen) löscht der Auftragnehmer nach einer Karenz von 14 Tagen alle Daten des Auftraggebers; vorher kann der Auftraggeber sie exportieren. Gesetzliche Aufbewahrungspflichten des Auftragnehmers (eigene Rechnungen und Buchungsbelege, 10 Jahre) bleiben unberührt.

§ 8 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis nötigen Informationen zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung.

§ 9 Haftung, Schluss

Für die Haftung gilt Art. 82 DSGVO; im Übrigen die AGB. Änderungen werden im Cockpit zur Zustimmung vorgelegt.

Anlage 1 – Technische und organisatorische Maßnahmen (Kurzfassung)

Verschlüsselte Übertragung (TLS) zwischen App, Browser und Cloud; Server in Deutschland.
Trennung der Daten je Betreiber (eigene Speicherzone, Mandantenprüfung in jeder Abfrage).
Medien nur über signierte, zeitlich begrenzte Links; nicht ratbare Zugangs-Tokens; Medienseiten nicht für Suchmaschinen freigegeben.
Fertige Fassungen auf dem iPad verschlüsselt (AES-GCM, Schlüssel im Schlüsselbund des Geräts); Freigaben kryptografisch signiert.
Passwörter nur als Hash (Argon2); Zugangsschlüssel zu Fremddiensten verschlüsselt gespeichert, nie auf dem iPad.
Protokoll wesentlicher Vorgänge (Freigaben, Rücknahmen, Exporte, Löschungen).
Tägliche Datensicherung der Datenbank; automatisches Löschen nach Fristen.
BITTE PRÜFEN: weitere Maßnahmen (Zugriffsrechte der Administratoren, Wiederherstellungstests, Schulung) ergänzen