Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: 12.07.2026 · ENTWURF — zur Prüfung durch Rechtsanwalt/Kanzlei (österreichisches Recht) — Platzhalter sind gelb markiert.

Präambel

Der Auftragsverarbeiter betreibt eine deutschsprachige Plattform zur KI-gestützten Erzeugung von Videos, Bildern und Audioinhalten (nachfolgend „Plattform"). Der Verantwortliche nutzt die Plattform im Rahmen der zwischen den Parteien geschlossenen Allgemeinen Geschäftsbedingungen bzw. eines gesonderten Rahmen-/Nutzungsvertrags (nachfolgend „Hauptvertrag"), um über einen oder mehrere Arbeitsbereiche (Workspaces/Organisationen) Medien und Daten seiner Endkunden, Models, Mitarbeiter oder sonstiger abgebildeter oder zu hörender Personen hochzuladen und daraus Ergebnisse erzeugen zu lassen.

In dieser Konstellation legt der Verantwortliche die Zwecke und Mittel der Verarbeitung fest und ist damit Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; der Betreiber verarbeitet die betreffenden personenbezogenen Daten ausschließlich in seinem Auftrag und ist damit Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO für die im Rahmen des Hauptvertrags erbrachten Leistungen.

§ 1 Gegenstand, Rollenverteilung und Verhältnis zum Hauptvertrag

1. Gegenstand. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen bei der Erbringung der im Hauptvertrag beschriebenen Leistungen (Bereitstellung der KI-Plattform, Speicherung und Verarbeitung hochgeladener Medien, Erzeugung von Medien-Ergebnissen). Art, Zweck und Dauer der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Annex 1.
2. Rollen. Der Verantwortliche ist alleiniger Verantwortlicher im Sinne der DSGVO. Er ist für die Rechtmäßigkeit der Datenverarbeitung, insbesondere für das Vorliegen einer gültigen Rechtsgrundlage, allein verantwortlich (§ 4). Der Auftragsverarbeiter verarbeitet die Daten nur im Rahmen der Weisungen des Verantwortlichen (§ 3).
3. Abgrenzung eigene Verantwortlichkeit. Soweit der Betreiber personenbezogene Daten des Verantwortlichen bzw. seiner Nutzer für eigene Zwecke verarbeitet — insbesondere Vertrags- und Kontoverwaltung, Rechnungsstellung, Zahlungsabwicklung (u. a. über Stripe) sowie Betrieb und Sicherheit der Plattform —, handelt er insoweit als eigener Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieses AVV, sondern richtet sich nach der Datenschutzerklärung des Betreibers.
4. Vorrang. Dieser AVV geht dem Hauptvertrag hinsichtlich der datenschutzrechtlichen Regelungen zur Auftragsverarbeitung vor. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist. Im Übrigen bleibt der Hauptvertrag unberührt.

§ 2 Dauer

1. Dieser AVV beginnt mit seiner Wirksamkeit (Zustimmung im Rahmen des Hauptvertrags bzw. Unterzeichnung) und läuft für die Dauer des Hauptvertrags. Er endet automatisch mit Beendigung des Hauptvertrags, ohne dass es einer gesonderten Kündigung bedarf.
2. Das Recht zur Kündigung dieses AVV aus wichtigem Grund bleibt unberührt (§ 12).

§ 3 Weisungsgebundenheit

1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Nutzung der Plattform durch den Verantwortlichen und seine Nutzer (Konfiguration der Workspaces, Hochladen von Medien, Auswahl der Funktionen und Engines, Setzen des Datenschutz-Modus „local_only", Auslösen von Aufträgen, Löschungen) gilt als konkretisierende Einzelweisung im Rahmen der im Hauptvertrag und in diesem AVV festgelegten Verarbeitung. Weisungen, die über den Leistungsumfang des Hauptvertrags hinausgehen, bedürfen einer gesonderten Vereinbarung und werden schriftlich, auch elektronisch (z. B. E-Mail; Art. 28 Abs. 9 DSGVO), erteilt und dokumentiert.
3. Hinweispflicht bei rechtswidriger Weisung. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, so informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 letzter Satz DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

§ 4 Pflichten und Zusicherungen des Verantwortlichen

1. Der Verantwortliche ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich. Er sichert zu, dass für sämtliche im Auftrag verarbeiteten Daten eine gültige Rechtsgrundlage nach Art. 6 DSGVO besteht.
2. Besondere Kategorien / Biometrie (Art. 9 DSGVO). Der Verantwortliche erkennt an, dass hochgeladene Fotos und Videos Gesichtsdaten und hochgeladene Stimmproben Stimmdaten enthalten können, die bei der Verarbeitung zur eindeutigen Identifizierung einer natürlichen Person (insbesondere Erstellung von Stimmklonen und Charakter-Bibliotheken) biometrische Daten im Sinne des Art. 9 Abs. 1 DSGVO darstellen. Der Verantwortliche sichert ausdrücklich zu, dass für die Verarbeitung solcher Daten eine wirksame Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegt — insbesondere die ausdrückliche Einwilligung der betroffenen Personen (Art. 9 Abs. 2 lit. a DSGVO) —, und dass er die im Produkt vorgesehene Rechte- und Einwilligungsbestätigung nur auf Grundlage tatsächlich eingeholter Rechte und Einwilligungen setzt.
3. Der Verantwortliche kommt seinen eigenen Informations-, Nachweis- und sonstigen Pflichten gegenüber den betroffenen Personen (Art. 12 ff. DSGVO) selbst nach.
4. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die auf einer von ihm zu vertretenden rechtswidrigen Beauftragung oder auf dem Fehlen einer zugesicherten Rechtsgrundlage bzw. Einwilligung beruhen; die gesetzliche Haftungsverteilung nach Art. 82 DSGVO bleibt unberührt (§ 11).

§ 5 Vertraulichkeit und Verpflichtung der Beschäftigten

1. Der Auftragsverarbeiter verarbeitet die Daten vertraulich. Er stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO; Art. 29, 32 Abs. 4 DSGVO).
2. Die Vertraulichkeitspflicht besteht auch nach Beendigung dieses Vertrags fort.
3. Der Auftragsverarbeiter macht die mit der Verarbeitung befassten Personen mit den für sie geltenden datenschutzrechtlichen Bestimmungen und dem Weisungsrahmen vertraut.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 28 Abs. 3 lit. c DSGVO). Die konkret getroffenen Maßnahmen sind in Annex 2 beschrieben.
2. Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage zur Verfügung gestellt.

§ 7 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

1. Allgemeine Genehmigung. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Annex 3 abschließend aufgeführt und genehmigt.
2. Vorab-Information und Widerspruchsrecht. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, so informiert er den Verantwortlichen darüber vorab schriftlich, auch elektronisch (z. B. E-Mail oder Hinweis im Kundenbereich; Art. 28 Abs. 9 DSGVO), unter Angabe von Name, Leistung, Verarbeitungsort und Garantie, und zwar mit einer Vorlauffrist von [14 Tagen]. Der Verantwortliche kann dieser Änderung innerhalb der Frist widersprechen [Verhandlungspunkt: Eine Beschränkung des Widerspruchs auf einen „wichtigen, datenschutzbezogenen Grund" ist marktüblich, geht aber über Art. 28 Abs. 2 DSGVO hinaus, der keine solche Einschränkung ausdrücklich vorsieht — Formulierung mit dem Verantwortlichen abstimmen].
3. Rechtsfolge Widerspruch. Widerspricht der Verantwortliche, so wird der Auftragsverarbeiter den betreffenden Unterauftragsverarbeiter nicht für die Verarbeitung im Auftrag des Verantwortlichen einsetzen bzw. dem Verantwortlichen eine angemessene Alternative anbieten. Ist eine Fortführung der Leistung für den Verantwortlichen ohne den Unterauftragsverarbeiter nicht bzw. nur mit unverhältnismäßigem Aufwand möglich, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.
4. Weiterreichung gleicher Pflichten. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.
5. Optionale Premium-Engines. Der Einsatz optionaler Premium-Engines (insbesondere fal.ai, USA) erfolgt ausschließlich auftragsbezogen und nur, soweit der Verantwortliche bzw. seine Nutzer dies durch aktive Auswahl auslösen. Der Verantwortliche kann diese Verarbeitung für einen Workspace vollständig technisch unterbinden, indem er den Modus „local_only" aktiviert; in diesem Fall werden keine Daten an externe Premium-Engines übermittelt.

§ 8 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO (Art. 12 bis 23 DSGVO — insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch) nachzukommen.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern er nicht durch den Verantwortlichen hierzu angewiesen wurde.
3. Soweit die Plattform Self-Service-Funktionen (u. a. Export/Herausgabe und Löschung von Medien und Ergebnissen) bereitstellt, kann der Verantwortliche diese eigenständig nutzen; ein darüber hinausgehender, nicht unerheblicher Unterstützungsaufwand kann nach dem Hauptvertrag gesondert vergütet werden.

§ 9 Unterstützung bei Art. 32–36 DSGVO, Meldung von Datenschutzverletzungen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 lit. f DSGVO).
2. Meldung von Verletzungen (Art. 33 Abs. 2 DSGVO). Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitet werden, unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von [24 Stunden] nach Bekanntwerden. Diese kurze Frist stellt sicher, dass der Verantwortliche seine eigene 72-Stunden-Meldefrist gegenüber der Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) sicher einhalten kann. Die Meldung erfolgt an die vom Verantwortlichen benannte Kontaktstelle [Kontakt/E-Mail des Verantwortlichen] und enthält, soweit verfügbar, die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben; noch nicht verfügbare Angaben werden unverzüglich nachgereicht. Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen.
3. Die Beurteilung, ob eine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und/oder eine Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) erforderlich ist, und deren Durchführung obliegen dem Verantwortlichen.

§ 10 Löschung und Rückgabe nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)

1. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an ihn zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.
2. Der Verantwortliche teilt seine Wahl (Löschung oder Rückgabe) spätestens mit Beendigung des Hauptvertrags mit. Trifft er keine Wahl, löscht der Auftragsverarbeiter die Daten. Die Löschung erfolgt einschließlich der gespeicherten Dateien nach Ablauf der plattformseitigen Karenzfrist von [30 Tagen] durch automatischen Purge.
3. Steuer- und handelsrechtlich aufbewahrungspflichtige Belege (insbesondere Rechnungen; § 132 BAO, § 212 UGB) betreffen ausschließlich die eigene Verantwortlichkeit des Betreibers (§ 1 Abs. 3) und werden im Rahmen der Auftragsdaten anonymisiert; auftragsbezogene personenbezogene Endkundendaten unterliegen dieser Ausnahme nicht.
4. Die erfolgte Löschung wird auf Anfrage in geeigneter Form bestätigt.

§ 11 Nachweis- und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.
2. Der Nachweis kann vorrangig durch geeignete Dokumentation, aktuelle Testate, Zertifizierungen oder Auditberichte unabhängiger Stellen erbracht werden. Reichen diese nicht aus, kann der Verantwortliche nach angemessener Vorankündigung (in der Regel [14 Tage]) und während der üblichen Geschäftszeiten eine Vor-Ort-Prüfung durchführen, ohne den Betriebsablauf unverhältnismäßig zu stören und unter Wahrung der Geheimhaltungsinteressen sowie der Rechte anderer Kunden (Mandantentrennung).
3. Prüfungen erfolgen grundsätzlich höchstens einmal jährlich sowie anlassbezogen bei konkretem Anlass (z. B. nach einer Datenschutzverletzung). Ein über die gesetzliche Mitwirkung hinausgehender Prüfaufwand kann nach dem Hauptvertrag gesondert vergütet werden.

§ 12 Drittlandsübermittlung (Art. 44 ff. DSGVO)

1. Die Verarbeitung findet grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt (EU-Verarbeitung als Standard). Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
2. Soweit bei einzelnen Unterauftragsverarbeitern trotz Verarbeitung in einem EU-Rechenzentrum ein Zugriff aus einem Drittland (insbesondere USA) nicht ausgeschlossen werden kann (z. B. wegen eines US-Mutterkonzerns), oder soweit auf ausdrücklichen Wunsch des Verantwortlichen Premium-Engines mit Sitz in einem Drittland eingesetzt werden, stützt sich die Übermittlung auf geeignete Garantien nach Art. 46 DSGVO, insbesondere die Standardvertragsklauseln der Europäischen Kommission (Standard Contractual Clauses, SCC) [SCC-/Zusatzverträge und ggf. Angemessenheitsbeschluss/DPF-Zertifizierung je Anbieter prüfen], gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen.
3. Besondere Kategorien in Drittländer (Art. 9, Post-Schrems-II). Werden dabei besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO — insbesondere biometrische Daten aus hochgeladenen Gesichtern oder erzeugten Stimmklonen — in ein Drittland und namentlich in die USA (etwa an fal.ai) übermittelt, führt der Auftragsverarbeiter vor der Übermittlung eine dokumentierte Transfer-Folgenabschätzung (Transfer Impact Assessment, TIA) durch und ergreift wirksame zusätzliche Schutzmaßnahmen. Hierzu zählen insbesondere Transport- und Speicherverschlüsselung, Datenminimierung auf das für die Auftragserfüllung Erforderliche, Löschung nach Verarbeitung sowie ergänzende vertragliche und organisatorische Garantien [TIA-Dokumentation, konkrete Zusatzmaßnahmen und Verschlüsselungsstandard je Anbieter prüfen und dokumentieren]. Ergibt die Transfer-Folgenabschätzung kein angemessenes Schutzniveau, unterbleibt die Übermittlung; der Verantwortliche kann die Übermittlung besonderer Kategorien in Drittländer zudem jederzeit durch Aktivierung des Modus „local_only" vollständig unterbinden.
4. Die betreffenden Anbieter, ihr Verarbeitungsort und die jeweilige Garantie sind in Annex 3 ausgewiesen.

§ 13 Haftung

1. Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis tragen die Parteien den Schaden entsprechend ihrem jeweiligen Verantwortungsbeitrag (Art. 82 Abs. 5 DSGVO).
2. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags entsprechend, soweit sie mit zwingendem Datenschutzrecht vereinbar sind.
3. Der Verantwortliche haftet dafür, dass die von ihm zugesicherten Rechtsgrundlagen und Einwilligungen (§ 4) tatsächlich vorliegen; im Innenverhältnis stellt er den Auftragsverarbeiter insoweit von berechtigten Ansprüchen Dritter frei, die auf einer Verletzung dieser Zusicherungen beruhen.

§ 14 Laufzeit, Kündigung, Schlussbestimmungen

1. Laufzeit. Laufzeit und Beendigung richten sich nach § 2. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Parteien unberührt; ein wichtiger Grund liegt insbesondere vor, wenn der Auftragsverarbeiter wesentliche Pflichten dieses AVV trotz Mahnung und angemessener Nachfristsetzung nicht erfüllt.
2. Anwendbares Recht. Dieser Vertrag unterliegt österreichischem Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts. Vorrangige zwingende Bestimmungen der DSGVO und des österreichischen Datenschutzgesetzes (DSG) bleiben unberührt.
3. Gerichtsstand. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, [Sitz des Auftragsverarbeiters — z. B. das sachlich zuständige Gericht in Wien].
4. Schriftform. Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform (auch elektronisch im Sinne des Art. 28 Abs. 9 DSGVO). Dies gilt auch für die Abbedingung dieses Formerfordernisses.
5. Salvatorische Klausel. Sollten einzelne Bestimmungen dieses Vertrags unwirksam oder undurchführbar sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.
6. Annexe. Die Annexe 1 bis 3 sind wesentlicher Bestandteil dieses Vertrags.

Annex 1 — Gegenstand und Einzelheiten der Verarbeitung

1. Art und Zweck der Verarbeitung

Bereitstellung einer KI-Plattform zur Erzeugung von Video-, Bild- und Audioinhalten aus vom Verantwortlichen bzw. seinen Nutzern hochgeladenen Medien und Eingaben. Zu den Verarbeitungstätigkeiten zählen: Entgegennahme und Speicherung hochgeladener Medien und Eingaben; automatisierte KI-gestützte Verarbeitung (Bild-/Video-/Audiogenerierung, Stimmklon- und Charaktererstellung, Untertitelung); Speicherung und Bereitstellung erzeugter Ergebnisse; Verwaltung von Charakter-/Voice-Bibliotheken; Ausführung, Warteschlangen- und Fehlerbehandlung von Aufträgen (Job-Metadaten); Löschung auf Veranlassung des Verantwortlichen.

Zweck ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen im Auftrag des Verantwortlichen. Eine Nutzung der Auftragsdaten für eigene Zwecke des Auftragsverarbeiters, insbesondere ein Training von KI-Modellen mit Kundendaten, findet nicht statt.

2. Art der personenbezogenen Daten

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): biometrische Daten (Gesicht/Stimme). Deren Verarbeitung setzt eine wirksame Ausnahme nach Art. 9 Abs. 2 DSGVO voraus, für die der Verantwortliche einsteht (§ 4 Abs. 2).

3. Kategorien betroffener Personen

• Endkunden, Models und Mitarbeiter des Verantwortlichen;
• sonstige in den hochgeladenen oder erzeugten Medien abgebildete oder zu hörende natürliche Personen;
• Nutzer des Verantwortlichen innerhalb des Workspace, soweit deren Eingaben personenbezogene Daten Dritter enthalten.

4. Dauer der Verarbeitung

Für die Laufzeit des Hauptvertrags. Einzelne Daten werden gespeichert, bis der Verantwortliche bzw. seine Nutzer sie löschen; nach Beendigung gilt § 10 (Löschung/Rückgabe, Karenzfrist [30 Tage], automatischer Purge inkl. Dateien).

Annex 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter hat insbesondere folgende Maßnahmen getroffen. Die Darstellung folgt den Schutzzielen des Art. 32 DSGVO.

1. Vertraulichkeit

• Zugangs-/Zugriffskontrolle: Login mit Passwörtern, gespeichert als scrypt-Hash; Zwei-Faktor-Authentifizierung (TOTP) und Passkeys (WebAuthn) verfügbar. API-Schlüssel werden ausschließlich gehasht gespeichert; Session-Token werden ausschließlich gehasht gespeichert.
• Mandantentrennung: logische Trennung der Datenbestände je Workspace/Organisation über org_id; Datenschutz-Lane „local_only" verhindert die Einbindung externer Provider.
• Datensparsamkeit: IP-Adressen werden in der Sitzungsliste nur gehasht vorgehalten; NSFW-/Inhaltsfilter am Input.

2. Integrität

• Transportverschlüsselung: TLS/HTTPS auf allen Verbindungen; Reverse-Proxy (Caddy) mit automatischer TLS-Terminierung.
• Eingabe-/Missbrauchskontrolle: Rate-Limiting und Flood-Schutz; Audit-Logging sicherheitsrelevanter Ereignisse.

3. Verfügbarkeit und Belastbarkeit

• Backups: regelmäßige Sicherung der Datenbestände.
• Betrieb: EU-Verarbeitung als Standard; Trennung von Web-/Datenbank- und GPU-Verarbeitungsschicht.

4. Verfahren zur Prüfung, Bewertung und Löschung

• Löschkonzept: Self-Service-Löschung durch den Verantwortlichen/seine Nutzer; 30-Tage-Karenz; automatischer Purge einschließlich der zugehörigen Dateien. Steuerpflichtige Belege werden anonymisiert (BAO/UGB), soweit sie die eigene Verantwortlichkeit des Betreibers betreffen.
• Kein Modelltraining: Auftragsdaten werden nicht zum Training von KI-Modellen verwendet.
• Auftragskontrolle: Bindung von Unterauftragsverarbeitern durch Verträge nach Art. 28 DSGVO (Annex 3).

[Vor Vertragsschluss ergänzen/prüfen: Backup-Intervall & -Ort, Wiederherstellungstest, Löschfristen der Logs, Rollen-/Berechtigungskonzept, physische Zutrittskontrolle der Rechenzentren (über Unterauftragsverarbeiter), Verschlüsselung ruhender Daten (at-rest).]

Annex 3 — Genehmigte Unterauftragsverarbeiter

Stand bei Vertragsschluss. Anbieter und Standorte sind als Platzhalter markiert und vor Go-Live final zu bestätigen.

Nicht als Unterauftragsverarbeiter der Auftragsdaten geführt: Stripe (Zahlungsabwicklung) betrifft ausschließlich das Verhältnis Betreiber↔Kunde; insoweit ist der Betreiber eigener Verantwortlicher (§ 1 Abs. 3). Stripe erhält keine im Auftrag des Verantwortlichen verarbeiteten Endkundendaten. Ebenso wird der [Transaktions-E-Mail-Dienstleister] nicht als Unterauftragsverarbeiter der Auftragsdaten geführt: Er versendet ausschließlich transaktionale E-Mails der Betreiber-Kommunikation (Konto-/Vertragsverwaltung) und verarbeitet keine im Auftrag des Verantwortlichen verarbeiteten Auftrags-/Endkundendaten; insoweit ist der Betreiber eigener Verantwortlicher (§ 1 Abs. 3) und führt diesen Dienstleister in seiner eigenen Datenschutzerklärung. [Falls dieser Dienstleister künftig doch Auftrags-/Endkundendaten verarbeiten sollte, ist er in die obige Tabelle aufzunehmen.]

ENTWURF. Dieses Dokument ersetzt keine Rechtsberatung und ist vor Verwendung durch eine Rechtsanwältin/einen Rechtsanwalt bzw. eine Kanzlei mit Schwerpunkt Datenschutz-/IT-Recht (österreichisches Recht) zu prüfen und zu finalisieren.