Auftragsverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO („AVV“), Fassung vom 01.11.2026, zwischen dem Kunden von HeyFlo Studio („Verantwortlicher“) und Florian Frank, handelnd unter „HEY FLO! – Medienproduktion & Entwicklung“, Adalbert-Stifter-Ring 46, 94405 Landau a. d. Isar („Auftragsverarbeiter“).

Dieser AVV ist Bestandteil jedes Vertrags über HeyFlo Studio nach den Nutzungsbedingungen („Hauptvertrag“) und gilt mit dessen Abschluss. Auf Wunsch stellt der Auftragsverarbeiter ihn zusätzlich als unterschriebenes Dokument bereit.

§ 1 Gegenstand, Dauer, Art und Zweck

(1) Gegenstand ist die Bereitstellung von HeyFlo Studio, einem Online-Dienst zum Erstellen von Untertiteln und Takt-Schnitten für Kurzvideos. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten, die der Verantwortliche und seine Nutzer in den Dienst einbringen.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Löschfristen nach § 9.

(3) Art der Verarbeitung: Speichern, Übertragen, Transkribieren, Übersetzen, Analysieren von Tonspuren auf Taktschläge, Vorschau und Rendern, Löschen. Zweck ist ausschließlich die Erbringung des Dienstes.

(4) Arten der Daten:

• Bild- und Tonaufnahmen von Personen in Videos, gesprochener Text, Transkripte und Untertitel,
• Projekt-, Ordner- und Dateinamen, Wörterbücher (Eigennamen), Stilvorlagen,
• Kontodaten der Nutzer: Name, E-Mail-Adresse, Profilbild, Google-Kontokennung, Team-Zugehörigkeit,
• Nutzungs- und Protokolldaten (Zeitpunkte, Vorgänge, IP-Adressen in Server-Protokollen).

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags; der Verantwortliche bringt sie nur ein, wenn er dafür eine Rechtsgrundlage hat und den Auftragsverarbeiter vorher informiert.

(5) Kategorien betroffener Personen: Nutzer des Verantwortlichen (z. B. Inhaber, Beschäftigte), Personen, die in den Videos zu sehen oder zu hören sind, sowie in Inhalten genannte Personen.

(6) Die Verarbeitung findet in der EU statt (Server in Irland, Dateien in Frankfurt am Main, Render-PC in Deutschland). Übermittlungen in Drittländer erfolgen nur nach § 6 und Anlage 2.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind abschließend im Hauptvertrag, in diesem AVV und in der Nutzung der Funktionen des Dienstes durch den Verantwortlichen festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform an contact@hey-flo.de.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

(3) Eine Verarbeitung zu anderen Zwecken, insbesondere zur Auswertung von Inhalten, zum Training von KI-Modellen oder zur Weitergabe an Dritte, findet nicht statt. Ausgenommen sind gesetzliche Pflichten nach Art. 28 Abs. 3 lit. a DSGVO; über diese informiert der Auftragsverarbeiter vorher, soweit zulässig.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter erbringt den Dienst derzeit selbst und ohne Beschäftigte. Setzt er künftig Personen ein, die Zugang zu den Daten haben, verpflichtet er sie vorher zur Vertraulichkeit, soweit sie keiner gesetzlichen Verschwiegenheitspflicht unterliegen. Auf Inhalte greift er nur zu, soweit es zur Fehlersuche, zur Bearbeitung einer Anfrage des Verantwortlichen oder aufgrund einer rechtlichen Pflicht nötig ist.

§ 4 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, wenn das Schutzniveau nicht unterschritten wird.

§ 5 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO). Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst, soweit nichts anderes vereinbart ist.

(2) Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit er dafür Informationen hat.

(3) Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieses AVV im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO).

(2) Über die Hinzunahme oder den Austausch eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus sachlichem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Finden die Parteien keine Lösung, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Übermittlungen in Drittländer finden nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln der EU-Kommission). Die jeweilige Grundlage steht in Anlage 2.

§ 7 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Überprüfungen vor Ort sind nach rechtzeitiger Anmeldung (mindestens zwei Wochen), während üblicher Geschäftszeiten und ohne Störung des Betriebs möglich; sie beschränken sich auf die Verarbeitung nach diesem AVV. Bei Unterauftragsverarbeitern genügen deren Zertifikate und Prüfberichte.

§ 8 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass für Aufnahmen von Personen die nötigen Einwilligungen oder sonstigen Rechtsgrundlagen vorliegen und seine Nutzer informiert sind. Fehler oder Unregelmäßigkeiten, die er bei der Prüfung von Ergebnissen feststellt, teilt er dem Auftragsverarbeiter unverzüglich mit.

§ 9 Löschung und Rückgabe

(1) Während der Laufzeit gelten die Löschfristen des Dienstes (Papierkorb 3 Tage; Archiv nach 14 Tagen Inaktivität; endgültige Löschung 60 Tage nach Archivierung). Der Verantwortliche kann Inhalte jederzeit selbst herunterladen und löschen.

(2) Nach Ende des Hauptvertrags hat der Verantwortliche 30 Tage Zeit, seine Inhalte herunterzuladen. Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, einschließlich Konten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Kopien in Sicherungen der Datenbank werden mit deren regulärer Rotation überschrieben. Auf Anfrage bestätigt er die Löschung in Textform.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(2) Bei Widersprüchen geht dieser AVV dem Hauptvertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand wie im Hauptvertrag.

Anlage 1 — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zugang nur für ausdrücklich freigeschaltete Konten; Anmeldung ausschließlich über Google (OAuth 2.0), keine Passwörter im Dienst.
• Jede Schnittstelle prüft Sitzung und Berechtigung serverseitig; Projekte sind nur für ihre Besitzer bzw. freigegebene Team-Mitglieder sichtbar.
• Dateien liegen in einem privaten Bucket; Zugriff nur über kurzlebige, serverseitig signierte Adressen (Lesen 15 Minuten, Hochladen 1 Stunde), getrennt nach Konto.
• Administrativer Zugriff auf Datenbank und Speicher nur durch den Auftragsverarbeiter, mit gesonderten Zugangsschlüsseln.
• Anmeldeversuche und kostenpflichtige Vorgänge sind zahlenmäßig begrenzt.

Integrität

• Alle Verbindungen ausschließlich verschlüsselt (HTTPS/TLS).
• Aufträge an den Render-PC sind kryptografisch signiert; unsignierte oder veränderte Aufträge werden verworfen.
• Sicherheits-Kopfzeilen für jede Antwort (u. a. gegen Einbetten in fremde Seiten).

Verfügbarkeit und Belastbarkeit

• Betrieb bei etablierten Cloud-Anbietern mit eigener Redundanz (Anlage 2).
• Gelöschte Projekte zunächst 3 Tage im Papierkorb; Datenbanksicherungen vor größeren Änderungen.

Render-PC des Auftragsverarbeiters

• Steht in Deutschland im Besitz des Auftragsverarbeiters; von außen nicht erreichbar (kein offener Port, kein Tunnel), ruft Aufträge nur ausgehend ab.
• Läuft unter einem eigenen Benutzerkonto; hat keine Zugangsdaten zum Bucket, sondern nur je Auftrag eine signierte Adresse.
• Arbeitsdateien werden nach jedem Auftrag gelöscht.

Organisation

• Datensparsamkeit: An Transkriptions- und Übersetzungsdienste gehen nur Tonspur bzw. Text, keine Kontodaten.
• Automatische Löschfristen (§ 9); Löschung auf Anfrage.
• Regelmäßige Überprüfung der Maßnahmen bei Änderungen am Dienst.

Anlage 2 — Unterauftragsverarbeiter

Der Render-PC (Takterkennung) gehört dem Auftragsverarbeiter selbst und ist kein Unterauftragsverarbeiter.