Vertrag zur Auftragsverarbeitung

1. Parteien

Verantwortlicher ist der Kunde, der Schaufilm nach den AGB nutzt („Auftraggeber“).

Auftragsverarbeiter ist Dursun Sagnak, Schaufilm, Schloßschmidstraße 23, 80639 München, E-Mail info@schaufilm.de („Schaufilm“).

2. Gegenstand und Dauer

Schaufilm erstellt für den Auftraggeber Videos aus Fotos und Angaben, die der Auftraggeber hochlädt. Der Vertrag gilt, solange Schaufilm für den Auftraggeber Daten verarbeitet, also für die Laufzeit des Hauptvertrags und bis zur vollständigen Löschung der Daten.

3. Art und Zweck der Verarbeitung

• Speichern der hochgeladenen Fotos und Angaben.
• Analyse der Fotos und Erzeugung bewegter Szenen, Texte und Stimme mit KI-Diensten.
• Zusammensetzen, Speichern und Bereitstellen der fertigen Videos.
• Löschen nach den Fristen in Abschnitt 9.

Schaufilm verarbeitet die Daten nur für diese Zwecke und nicht für eigene Zwecke. Insbesondere werden sie nicht zum Training von KI-Modellen verwendet.

4. Arten der Daten und Kreise der Betroffenen

• Daten: Bilddaten der Fotos (darin unter Umständen Personen, Kfz-Kennzeichen, persönliche Gegenstände, Hausnummern), Texte und Angaben zum Objekt oder Angebot, Namen und Kontaktdaten, wenn der Auftraggeber sie im Video zeigen lässt.
• Betroffene: Personen, die auf den Fotos erkennbar sind, Eigentümer und Mieter abgebildeter Räume, Beschäftigte und Ansprechpartner des Auftraggebers.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) soll der Auftraggeber nicht hochladen. Metadaten der Fotos einschließlich Standortdaten werden vor dem Hochladen entfernt.

5. Weisungen und Pflichten von Schaufilm

• Schaufilm verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen im Konto. Weitere Weisungen erteilt der Auftraggeber in Textform.
• Hält Schaufilm eine Weisung für rechtswidrig, weist Schaufilm den Auftraggeber unverzüglich darauf hin.
• Personen, die bei Schaufilm Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• Schaufilm meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

6. Technische und organisatorische Maßnahmen

Schaufilm trifft Maßnahmen nach Art. 32 DSGVO. Zusammengefasst:

• Verschlüsselung: Übertragung nur per TLS; Speicherung bei Dienstleistern verschlüsselt.
• Zugriff: Daten sind je Kunde getrennt (Zeilenrechte in der Datenbank), Zugriff auf Dateien nur über zeitlich begrenzte, signierte Links.
• Datenminimierung: Metadaten und Standortdaten der Fotos werden entfernt; Telefonnummern und IP-Adressen werden nur als verschlüsselte Hash-Werte gespeichert.
• Zugänge: Verwaltungszugänge nur mit starker Anmeldung, Schlüssel und Passwörter nicht im Code.
• Löschung: automatische tägliche Löschung nach festen Fristen.
• Belastbarkeit: Schutz vor Angriffen und automatisierten Anfragen, Begrenzung von Anfragen, Sicherungen der Datenbank.

7. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter. Schaufilm verpflichtet sie vertraglich auf ein gleichwertiges Schutzniveau.

• Cloudflare, Inc.: Hosting, Speicherung der Fotos und Videos (R2), Schutz vor Missbrauch (USA; EU-US Data Privacy Framework, sonst EU-Standardvertragsklauseln).
• Supabase, Inc.: Datenbank und Anmeldung, Server in der EU (Frankfurt).
• Hetzner Online GmbH, Deutschland: Zusammensetzen der Videos (Renderer).
• Google Cloud EMEA Limited, Irland (Vertex AI): Standbilder und bewegte Szenen aus den Fotos; Verarbeitung in der EU.
• Features and Labels, Inc. (fal.ai): bewegte Szenen und Bildvergrößerung, nur mit von fal.ai selbst betriebenen Modellen (USA; EU-US Data Privacy Framework, sonst EU-Standardvertragsklauseln).
• Anthropic PBC: Analyse der Fotos, Szenenplanung, Texte und Abgleich des Ergebnisses mit den Fotos (USA; EU-US Data Privacy Framework, sonst EU-Standardvertragsklauseln).
• ElevenLabs Inc.: Sprecherstimme aus dem Sprechtext, ohne Fotos (USA; EU-US Data Privacy Framework, sonst EU-Standardvertragsklauseln).
• Plus Five Five, Inc. (Resend): Versand von E-Mails, etwa der Nachricht, dass ein Video fertig ist (USA; EU-US Data Privacy Framework, sonst EU-Standardvertragsklauseln).

Schaufilm informiert den Auftraggeber mindestens 30 Tage vorher per E-Mail, bevor ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

8. Unterstützung des Auftraggebers

Schaufilm unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 32 bis 36 DSGVO). Wendet sich eine betroffene Person direkt an Schaufilm, leitet Schaufilm die Anfrage an den Auftraggeber weiter.

9. Löschung und Rückgabe

• Originalfotos löscht Schaufilm spätestens 90 Tage nach dem Hochladen.
• Fertige Videos löscht Schaufilm spätestens 30 Tage nach Ende des Hauptvertrags.
• Der Auftraggeber kann seine Videos bis zum Vertragsende herunterladen. Auf Weisung löscht Schaufilm früher.
• Gesetzliche Aufbewahrungspflichten bleiben unberührt.

10. Nachweise und Kontrollen

Schaufilm stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Der Auftraggeber darf Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach rechtzeitiger Anmeldung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Nachweise der Unterauftragsverarbeiter, etwa Zertifizierungen oder Prüfberichte, können Kontrollen vor Ort ersetzen.

11. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht. Im Übrigen gelten die Schlussbestimmungen der AGB.