Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer der Verarbeitung

(1) Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien im Zusammenhang mit der Nutzung der Plattform Antilopax.

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der in Ziffer 2 der AGB beschriebenen Leistungen. Eine Verarbeitung zu anderen als den dort genannten Zwecken ist nicht zulässig.

(3) Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsverhältnisses. Der AVV endet automatisch mit der Löschung des Nutzerkontos oder der Beendigung des Nutzungsverhältnisses. Außerordentliche Kündigung bleibt hiervon unberührt. Die Pflichten aus §§ 6 Abs. 2 und 10 bestehen auch nach Beendigung des AVV fort.

(4) Der Verantwortliche kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter Kontrollrechte des Verantwortlichen vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DSGVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.

2. Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt zum Zweck der Bereitstellung der KI-gestützten Bild-, Audio- und Videoverarbeitungsdienste der Plattform Antilopax. Dies umfasst insbesondere:

• Entgegennahme und vorübergehende Speicherung von durch den Verantwortlichen hochgeladenen Dateien
• KI-gestützte Verarbeitung und Generierung von Bild-, Audio- und Videoinhalten
• Bereitstellung der verarbeiteten Ergebnisse zum Download

Die Verarbeitung erfolgt auf Grundlage der Weisungen des Verantwortlichen, die dieser durch die Auswahl und Konfiguration des jeweiligen Verarbeitungsvorgangs über die Funktionen der Plattform erteilt (§ 5 Abs. 3).

Nicht Gegenstand der Auftragsverarbeitung ist die automatisierte Prüfung von Eingaben, Dateien und Ergebnissen auf rechtswidrige Inhalte (Inhaltsmoderation). Diese führt der Anbieter im eigenen Interesse und in eigener datenschutzrechtlicher Verantwortung durch; Einzelheiten ergeben sich aus der Datenschutzerklärung.

3. Art der personenbezogenen Daten

Folgende Arten personenbezogener Daten können im Rahmen der Auftragsverarbeitung verarbeitet werden:

• Bild- und Videodaten, die Personen zeigen (z.B. Gesichter, Körper, Verhaltensweisen)
• Audiodaten und Stimmproben (einschließlich biometrischer Daten im Sinne des Art. 9 DSGVO)
• biometrische Daten im Sinne des Art. 4 Nr. 14, Art. 9 DSGVO, soweit Stimm- oder Gesichtsdaten zum Zweck der eindeutigen Identifizierung einer natürlichen Person verarbeitet werden (insbesondere Stimmproben für die KI-Sprachsynthese)
• sonstige besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO), soweit sie in den vom Verantwortlichen bereitgestellten Inhalten enthalten sind (z. B. aus Bild- oder Tonmaterial erkennbare Gesundheitsdaten, religiöse Überzeugungen oder ethnische Herkunft); der Verantwortliche stellt die hierfür erforderliche Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO sicher (§ 5 Abs. 2)
• Metadaten der hochgeladenen Dateien (Dateiname, Dateigröße, Zeitstempel sowie ggf. in den Dateien eingebettete Metadaten wie Standortdaten und Geräteinformationen)
• Textuelle Eingaben (Prompts, Beschreibungen), soweit diese personenbezogene Daten enthalten

4. Kategorien betroffener Personen

Die betroffenen Personen sind Personen, deren personenbezogene Daten in den vom Verantwortlichen hochgeladenen oder eingegebenen Inhalten enthalten sind. Dies können insbesondere sein:

• Mitarbeiter, Kunden oder Geschäftspartner des Verantwortlichen
• Personen, die in Bild-, Video- oder Audiomaterial abgebildet oder aufgenommen sind
• Stimminhaber, deren Stimmproben für die KI-Sprachsynthese verwendet werden

5. Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Der Verantwortliche stellt sicher, dass er über alle erforderlichen Rechtsgrundlagen und Einwilligungen für die Übermittlung personenbezogener Daten an den Auftragsverarbeiter verfügt. Dies gilt insbesondere für die Verarbeitung biometrischer Daten (Stimmproben) gemäß Art. 9 Abs. 2 DSGVO.

(3) Der Verantwortliche erteilt Weisungen zur Datenverarbeitung in der Regel über die Funktionen der Plattform. Darüber hinausgehende Weisungen bedürfen der Textform.

(4) Der Verantwortliche hat den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

(5) Weisungsberechtigt ist der Verantwortliche sowie die von ihm gegenüber dem Auftragsverarbeiter in Textform benannten Personen. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig (§ 6 Abs. 5), ist er berechtigt, deren Ausführung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

6. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern das Recht eine solche Information nicht verbietet.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtungen bestehen auch nach Beendigung dieses AVV und des jeweiligen Beschäftigungsverhältnisses fort.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Anfragen betroffener Personen gemäß Art. 15–22 DSGVO durch geeignete technische und organisatorische Maßnahmen.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32–36 DSGVO genannten Pflichten, insbesondere hinsichtlich der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen und der Datenschutz-Folgenabschätzung.

(5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt.

(6) Der Auftragsverarbeiter gewährleistet, seinen Pflichten nach Art. 32 Abs. 1 lit. d DSGVO nachzukommen, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen.

(7) Der Auftragsverarbeiter berichtigt oder löscht die vertragsgegenständlichen Daten, wenn der Verantwortliche dies anweist und dies vom Weisungsrahmen umfasst ist. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht möglich, übernimmt der Auftragsverarbeiter die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien auf Grund einer Einzelbeauftragung durch den Verantwortlichen oder gibt diese Datenträger an den Verantwortlichen zurück, sofern nicht im Vertrag bereits vereinbart. In besonderen, vom Verantwortlichen zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe. Vergütung und Schutzmaßnahmen hierzu sind gesondert zu vereinbaren, sofern nicht im Vertrag bereits vereinbart.

(8) Daten, Datenträger sowie sämtliche sonstige Materialien sind nach Auftragsende auf Verlangen des Verantwortlichen entweder herauszugeben oder zu löschen. Entstehen zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten, so trägt diese der Verantwortliche.

(9) Im Falle einer Inanspruchnahme des Verantwortlichen durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO, verpflichtet sich der Auftragsverarbeiter, den Verantwortlichen bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.

7. Unterauftragsverarbeitung

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Einschaltung der nachfolgend aufgeführten Unterauftragsverarbeiter gemäß Art. 28 Abs. 2 DSGVO.

(2) Der Auftragsverarbeiter setzt derzeit folgende Unterauftragsverarbeiter ein:

DPF-Zertifizierungen zuletzt im offiziellen Register (dataprivacyframework.gov) verifiziert am 27.07.2026; die Prüfung wird jährlich wiederholt.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann gegen solche Änderungen innerhalb von 14 Tagen nach Benachrichtigung Einspruch erheben. Bei berechtigtem Einspruch steht dem Verantwortlichen ein außerordentliches Kündigungsrecht zu.

(4) Der Auftragsverarbeiter stellt vertraglich sicher, dass jedem Unterauftragsverarbeiter mindestens die gleichen Datenschutzpflichten auferlegt werden wie in diesem AVV.

(5) Die Verarbeitung erfolgt grundsätzlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des EWR. Eine Verarbeitung in Drittländern durch den Auftragsverarbeiter oder durch Unterauftragsverarbeiter erfolgt nur auf dokumentierte Weisung des Verantwortlichen; diese gilt hinsichtlich der in Absatz 2 aufgeführten Verarbeitungsstandorte mit Abschluss dieses AVV als erteilt. Voraussetzung ist stets, dass die Anforderungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere ein Angemessenheitsbeschluss nach Art. 45 DSGVO besteht oder geeignete Garantien nach Art. 46 DSGVO (insbesondere Standardvertragsklauseln der Europäischen Kommission) vereinbart wurden. Der Auftragsverarbeiter dokumentiert die jeweils einschlägige Übermittlungsgrundlage in der Tabelle nach Absatz 2.

8. Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Verantwortlichen treffen, die den Anforderungen der Datenschutz-Grundverordnung (Art. 32 DSGVO) genügen. Der Auftragsverarbeiter hat technische und organisatorische Maßnahmen zu treffen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen.

(2) Dem Verantwortlichen sind diese technischen und organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die Risiken der zu verarbeitenden Daten ein angemessenes Schutzniveau bieten.

(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

(4) Die implementierten Maßnahmen sind in der Anlage „Technische und organisatorische Maßnahmen (TOM)“ zu diesem Vertrag beschrieben.

9. Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, an die vom Verantwortlichen hinterlegte E-Mail-Adresse.

(2) Die Meldung enthält mindestens:

• Eine Beschreibung der Art der Verletzung
• Die betroffenen Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze
• Die wahrscheinlichen Folgen der Verletzung
• Die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung

10. Löschung und Rückgabe von Daten

(1) Nach Beendigung des Auftragsverhältnisses löscht der Auftragsverarbeiter alle personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, unverzüglich, spätestens jedoch innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Hochgeladene und generierte Dateien werden spätestens 7 Tage nach Fertigstellung automatisch gelöscht. Zwischendateien werden innerhalb von 24 Stunden entfernt. Bei Löschung des Nutzerkontos erfolgt die Löschung aller Projektdaten und Dateien unverzüglich.

(3) Transaktionsdaten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere § 147 AO), sind von der Löschung nach Absatz 1 ausgenommen. Der Auftragsverarbeiter schränkt diese Daten nach Beendigung des Auftragsverhältnisses für jede weitere Verarbeitung ein, hält sie ausschließlich zur Erfüllung der Aufbewahrungspflichten vor und löscht sie nach Ablauf der jeweiligen Frist. Direkte Identifikationsmerkmale (insbesondere die Nutzer-ID) werden entfernt oder ersetzt, soweit dies mit den Aufbewahrungspflichten vereinbar ist. Grundlage der Aufbewahrung ist Art. 17 Abs. 3 lit. b i. V. m. Art. 6 Abs. 1 lit. c DSGVO.

(4) Der Auftragsverarbeiter bestätigt dem Verantwortlichen auf Anfrage die vollständige Löschung schriftlich.

11. Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, die Einhaltung der Bestimmungen dieses AVV zu überprüfen.

(2) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchgeführt werden, und trägt zu diesen bei. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein.

(3) Prüfungen erfolgen zunächst durch Vorlage geeigneter Dokumentation (z.B. Beantwortung von Fragebögen, aktuelle Nachweise über die technischen und organisatorischen Maßnahmen, vorhandene Testate oder Zertifizierungen). Verbleiben danach begründete Zweifel an der Einhaltung dieses AVV, sind Vor-Ort-Prüfungen mit einer Vorlaufzeit von mindestens vier Wochen in Textform anzukündigen und auf die üblichen Geschäftszeiten zu beschränken. Betriebsabläufe des Auftragsverarbeiters sind möglichst wenig zu stören. Bei Vorliegen eines besonderen Anlasses – insbesondere nach einer Verletzung des Schutzes personenbezogener Daten im Sinne des § 9 oder auf Anordnung einer Aufsichtsbehörde – kann die Prüfung mit angemessener, auch kürzerer Frist erfolgen. Die Kosten einer Vor-Ort-Prüfung trägt der Verantwortliche.

(4) Jede Partei trägt die ihr durch eine Prüfung entstehenden eigenen Kosten. Für Mitwirkungsleistungen, die über das nach Art. 28 Abs. 3 lit. h DSGVO geschuldete Maß wesentlich hinausgehen oder häufiger als einmal pro Kalenderjahr ohne besonderen Anlass in Anspruch genommen werden, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen; dies gilt nicht bei anlassbezogenen Prüfungen nach Absatz 3 Satz 3.

(5) Der Auftragsverarbeiter darf die Prüfungen von der Unterzeichnung einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Kunden und der eingerichteten technischen und organisatorischen Maßnahmen abhängig machen. Sollte der durch den Verantwortlichen beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragsverarbeiter stehen, hat der Auftragsverarbeiter gegen diesen ein Einspruchsrecht.

12. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO in Verbindung mit den Haftungsbestimmungen der AGB.

13. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

(4) Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen zwischen den Parteien gehen die Bestimmungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor.

(5) Sollten die Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber zu informieren. Der Auftragsverarbeiter wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Verantwortlichen als „Verantwortlicher“ im Sinne der Datenschutz-Grundverordnung liegen.