Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Stand: 29. September 2026, Version 1.20

Vertragsparteien

Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO), vom Auftraggeber auszufüllen:

Firma / Behörde:
Anschrift:
Vertreten durch:
Kontakt Datenschutz:

nachfolgend „Auftraggeber"

Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO)

Thomas Wiebe
Benediktusplatz 22
52076 Aachen
Deutschland
E-Mail: hello@podsink.com
Umsatzsteuer-Identifikationsnummer: DE458531787

nachfolgend „Auftragnehmer"

Der Auftragnehmer betreibt unter der Bezeichnung „podsink" einen Dienst zur Aufzeichnung von Audio- und Videoinhalten im Webbrowser. Ein Datenschutzbeauftragter ist nicht bestellt; eine Bestellpflicht nach Art. 37 DSGVO in Verbindung mit § 38 BDSG besteht nicht. Ansprechpartner für alle datenschutzrechtlichen Fragen ist der Auftragnehmer selbst unter der oben genannten E-Mail-Adresse.

§ 1 Gegenstand, Geltungsbereich und Rangfolge

(1) Der Auftraggeber nutzt den Dienst podsink auf Grundlage einer gesonderten Vereinbarung über die Erbringung der Leistung (nachfolgend „Hauptvertrag"). Bei der Erbringung dieser Leistung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO.

(2) Gegenstand dieses Vertrages sind ausschließlich die Daten, die im Rahmen der Durchführung von Aufnahmesitzungen anfallen. Das sind Aufnahmeinhalte (Audio, Video), Sitzungsmetadaten, Anzeigenamen der Teilnehmenden, Chatnachrichten und Marker. Anlage 1 beschreibt sie abschließend.

(3) Nicht Gegenstand dieses Vertrages sind Verarbeitungen, die der Auftragnehmer für eigene Zwecke und in eigener Verantwortlichkeit vornimmt. Dazu zählen:

• Kontodaten des Auftraggebers (E-Mail-Adresse des Kontos, Anzeigename des Nutzerkontos, Anmeldedaten, Spracheinstellung) zur Begründung und Durchführung des Nutzungsverhältnisses. Davon unberührt bleibt die Kopie derselben Adresse, die nach Anlage 1 als Bestandteil der Archivmetadaten einer Sitzung gespeichert wird: sie gehört zu den Auftragsdaten und wird mit der Sitzung gelöscht. Die Ausnahme in diesem Absatz betrifft nur das Nutzerkonto,
• Abrechnungsdaten aus der Vertragsbeziehung zwischen den Parteien, unabhängig davon, ob sie über einen Merchant of Record oder unmittelbar vom Auftragnehmer verarbeitet werden,
• Server- und Sicherheitsprotokolle sowie das Ereignisprotokoll des Auftragnehmers, soweit sie der Abwehr von Missbrauch, der Fehlersuche und der Erfüllung eigener Rechenschaftspflichten dienen.

Für diese Verarbeitungen ist der Auftragnehmer selbst Verantwortlicher. Sie unterliegen nicht dem Weisungsrecht des Auftraggebers nach § 4 dieses Vertrages. Die Informationen hierzu ergeben sich aus der Datenschutzerklärung des Auftragnehmers.

(4) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten im Auftrag betreffen.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Art, Umfang und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.

(2) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt. Eine Verarbeitung in einem Drittland erfolgt im Rahmen dieses Vertrages nicht. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und ist nur unter den Voraussetzungen des Kapitels V der DSGVO zulässig.

§ 3 Pflichten und Verantwortung des Auftraggebers

(1) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die nach diesem Vertrag verarbeiteten Daten. Er beurteilt die Zulässigkeit der Verarbeitung und wahrt die Rechte der betroffenen Personen.

(2) Der Auftraggeber stellt insbesondere sicher, dass für die Aufzeichnung aller an einer Sitzung teilnehmenden Personen eine tragfähige Rechtsgrundlage besteht und dass die betroffenen Personen vor Beginn der Aufzeichnung über die Verarbeitung informiert werden. Das gilt ausdrücklich auch für Personen, die ohne eigenes Nutzerkonto an einer Sitzung teilnehmen. Der Auftraggeber stellt sicher, dass der Sitzungslink und ein Zuhörlink nur den Personen zugänglich gemacht werden, die an der Sitzung teilnehmen oder ihr zuhören sollen.

(3) Der Auftraggeber benennt dem Auftragnehmer die zur Erteilung von Weisungen berechtigten Personen in Anlage 4. Änderungen teilt er unverzüglich in Textform mit.

(4) Der Auftraggeber ist dafür verantwortlich, die Aufnahmedaten innerhalb der in Anlage 1 genannten Aufbewahrungsfrist abzurufen. Nach Ablauf der Frist werden die Daten automatisiert und unwiederbringlich gelöscht.

§ 4 Weisungsrecht

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers. Die Nutzung der bereitgestellten Funktionen des Dienstes durch den Auftraggeber gilt als Weisung im Rahmen des vereinbarten Leistungsumfangs.

(2) Weisungen, die über den Leistungsumfang hinausgehen, bedürfen der Textform. Sie sind vom Auftragnehmer zu dokumentieren.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Ist der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaates zu einer Verarbeitung verpflichtet, unterrichtet er den Auftraggeber vor der Verarbeitung, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 5 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

(1) Vertraulichkeit. Personen, die Zugang zu den Auftragsdaten haben, zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Der Auftragnehmer ist ein Einzelunternehmen ohne Beschäftigte; er selbst ist zur Vertraulichkeit verpflichtet. Werden künftig Beschäftigte eingesetzt, erfolgt die Verpflichtung vor der ersten Datenkenntnis und wird dokumentiert.

(2) Technische und organisatorische Maßnahmen. Die Maßnahmen nach Art. 32 DSGVO zu treffen und während der Vertragslaufzeit aufrechtzuerhalten. Einzelheiten regeln § 6 und Anlage 2.

(3) Unterstützung. Den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde. Der Umfang der geschuldeten Unterstützung bemisst sich nach den beim Auftragnehmer vorhandenen Informationen.

(4) Betroffenenrechte. Den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, Anträge betroffener Personen nach Kapitel III der DSGVO zu beantworten (§ 10).

(5) Rechenschaft. Dem Auftraggeber alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (§ 8).

(6) Verzeichnis. Ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Anlage 2 ist Bestandteil dieses Vertrages.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer ist berechtigt, sie anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert der Auftragnehmer und teilt sie dem Auftraggeber auf Anfrage mit.

§ 7 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 Satz 1 DSGVO, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vor der beabsichtigten Beauftragung eines weiteren oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform, unter Angabe von Name und Anschrift, Leistung, Ort der Verarbeitung, Grund des Wechsels und, nach den Angaben des Unterauftragsverarbeiters, ob er oder ein mit ihm verbundenes Unternehmen einem Recht außerhalb der Europäischen Union unterliegt, das einen Zugriff auf die Daten ermöglichen kann, sowie welchem. Der Einsatz beginnt frühestens nach Ablauf der Widerspruchsfrist nach Absatz 3. Hat ein Auftraggeber widersprochen, beginnt der Einsatz frühestens, wenn die Lösungssuche nach Absatz 3 beendet oder gescheitert ist; Absatz 5 bleibt unberührt.

(3) Der Auftraggeber kann einer beabsichtigten Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Der Widerspruch ist zu begründen. Widerspricht er, sind die Parteien zunächst gehalten, eine einvernehmliche Lösung zu suchen. Kommt innerhalb von 30 Tagen nach Zugang des Widerspruchs keine Einigung zustande, gilt die Lösungssuche als gescheitert.

(4) Der Auftragnehmer erbringt die Leistung technisch einheitlich für alle Auftraggeber; er kann einen Unterauftragsverarbeiter nicht für einzelne von ihnen ausnehmen. Führt der Widerspruch nach Absatz 3 zu keiner einvernehmlichen Lösung, kann der Auftraggeber die Verarbeitung im Auftrag mit sofortiger Wirkung beenden; der Auftragnehmer stellt die weitere Verarbeitung dann ein, und Speicherung bis zum Abruf und Löschung richten sich nach § 11. Der Hauptvertrag bleibt davon unberührt; ein Anspruch auf Rückzahlung bereits entrichteter Entgelte entsteht durch die Beendigung der Verarbeitung nicht. Daneben kann jede Partei den Hauptvertrag mit einer Frist von drei Monaten zum Monatsende kündigen; eine vereinbarte Festlaufzeit steht dem nicht entgegen. Nutzt der Auftraggeber den Dienst nach der Umstellung weiter, gilt das für die Dauer bis zur Beendigung als Zustimmung zum Einsatz des neuen Unterauftragsverarbeiters. Hat der Auftraggeber für einen über das Ende des Hauptvertrages hinausgehenden Zeitraum im Voraus gezahlt, erstattet der Auftragnehmer den darauf entfallenden Anteil.

(5) Fällt ein Unterauftragsverarbeiter unvorhergesehen aus, kündigt er seinerseits, oder würde sein weiterer Einsatz die Sicherheit der Daten gefährden, kann der Auftragnehmer ihn ohne Einhaltung der Frist nach Absatz 2 ersetzen, soweit das zur Aufrechterhaltung des Dienstes oder zum Schutz der Daten erforderlich ist. Der Ersatz muss die Anforderungen dieses Vertrages erfüllen, insbesondere einen Standort in der Europäischen Union und einen Vertrag nach Absatz 6. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich mit den Angaben nach Absatz 2; das Widerspruchsrecht nach Absatz 3 und die Folgen nach Absatz 4 gelten ab Zugang dieser Unterrichtung.

(6) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten nach Art. 28 Abs. 3 DSGVO (Art. 28 Abs. 4 DSGVO), insbesondere auf Vertraulichkeit, auf technische und organisatorische Maßnahmen nach Art. 32 DSGVO, auf die Unterstützung bei den Rechten betroffener Personen und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten, auf einen Verarbeitungsort innerhalb der Europäischen Union und darauf, seinerseits weitere Unterauftragsverarbeiter nur mit gleichwertiger Bindung einzusetzen. Maßstab sind diese Pflichten, nicht die einzelnen Regelungen dieses Vertrages; der Auftragnehmer prüft vor dem Einsatz, dass der Vertrag des Unterauftragsverarbeiters ihnen genügt. Meldungen und Unterstützungsleistungen eines Unterauftragsverarbeiters zu einer Verletzung des Schutzes personenbezogener Daten gibt der Auftragnehmer dem Auftraggeber unverzüglich weiter, soweit sie die Auftragsdaten betreffen. Für die Einhaltung dieser Pflichten haftet der Auftragnehmer dem Auftraggeber gegenüber, als wären es seine eigenen.

(7) Keine Unterauftragsverarbeitung im Sinne dieser Vorschrift sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und die nicht auf die Verarbeitung der Auftragsdaten gerichtet sind, etwa Telekommunikationsdienste oder Zahlungsabwicklung für die eigene Vertragsbeziehung mit dem Auftraggeber. Der Auftragnehmer bleibt verpflichtet, auch dabei den Schutz der Daten sicherzustellen.

§ 8 Nachweise und Kontrollrechte

(1) Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag durch geeignete Nachweise nach, insbesondere durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen, durch Auskunft in Textform sowie durch gegebenenfalls vorliegende Zertifikate, Testate oder Prüfberichte.

(2) Genügen die Nachweise nach Absatz 1 dem Auftraggeber im Einzelfall nicht, kann er eine weitergehende Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen; den Anlass benennt er in Textform. Die Überprüfung ist mindestens 30 Tage im Voraus in Textform anzukündigen. Nach einer Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft, entfällt diese Frist; die Prüfung beginnt dann unverzüglich in der Form des Absatzes 4, und Absatz 5 Satz 6 gilt für den Teil in Anwesenheit. Sie findet während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs statt. Je Kalenderjahr ist eine Prüfung bis zu einem Aufwand von einem Arbeitstag des Auftragnehmers kostenfrei; darüber hinausgehender Aufwand und weitere Prüfungen sind zulässig und nach § 14 zu vergüten. Zum Aufwand zählen Vorbereitung, Durchführung und Nachbereitung.

(3) Der Dienst wird technisch einheitlich für alle Auftraggeber erbracht; eine Prüfung lässt sich deshalb nicht auf Systeme beschränken, auf denen ausschließlich Daten des Auftraggebers verarbeitet werden. Einsicht in personenbezogene Daten anderer Auftraggeber sowie in Geschäftsgeheimnisse des Auftragnehmers und Dritter wird nicht gewährt. Prüfergebnisse und bei einer Prüfung erlangte Kenntnisse dürfen nur für den Prüfzweck verwendet werden und sind vertraulich zu behandeln.

(4) Die Verarbeitung der Auftragsdaten findet in den Rechenzentren der in Anlage 3 genannten Unterauftragsverarbeiter statt. Am Sitz des Auftragnehmers bestehen administrative Zugänge; Auftragsdaten werden dort nicht dauerhaft gespeichert, sondern allenfalls anlassbezogen und zeitlich begrenzt zur Fehleranalyse auf einem verschlüsselten Endgerät abgelegt und anschließend gelöscht. Der Sitz ist zugleich Wohnraum. Prüfungen nach Absatz 2 erfolgen daher vorrangig ortsungebunden, etwa durch Vorlage von Unterlagen, Videokonferenz und Bildschirmfreigabe.

(5) In begründeten Einzelfällen, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten, kann der Auftraggeber eine Prüfung in Anwesenheit des Auftragnehmers verlangen, bei der insbesondere die administrativen Zugänge und die eingesetzten Endgeräte vorgeführt werden. Der Auftragnehmer erklärt, dass die administrativen Endgeräte vollständig verschlüsselt sind, bei Nichtbenutzung gesperrt werden und keine andere Person Zugang zu den entsperrten Geräten oder zu den Zugangsdaten hat; die Prüfung nach diesem Absatz umfasst die Vorführung dieser Maßnahmen. Die Prüfung in Anwesenheit findet in geeigneten Geschäftsräumen am Sitzort des Auftragnehmers statt; der Sitz selbst ist Wohnraum (Absatz 4). Der Auftragnehmer bringt die Endgeräte dafür mit. Die Räume benennt er in Textform spätestens drei Werktage vor dem Termin. Nach einer Verletzung des Schutzes personenbezogener Daten beginnt die Prüfung unverzüglich in der Form des Absatzes 4; der Teil in Anwesenheit findet statt, sobald geeignete Räume verfügbar sind, spätestens am zehnten Werktag nach dem Verlangen. Ein anderer Ort, insbesondere die Geschäftsräume des Auftraggebers, kommt nur im Einvernehmen beider Parteien in Betracht; die Vereinbarung bedarf der Textform. Die notwendigen Auslagen, insbesondere die Anmietung geeigneter Räume und die Reise des Auftragnehmers, trägt der Auftraggeber; die Anmietung stimmt der Auftragnehmer vorab mit dem Auftraggeber ab und weist dabei auf die zu erwartenden Auslagen hin. Sagt der Auftraggeber den Termin ab oder nimmt er ihn nicht wahr, trägt er die bereits entstandenen Auslagen sowie den bis dahin angefallenen Aufwand nach § 14. Der kostenfreie Aufwand nach Absatz 2 umfasst nur Arbeitszeit. Reisezeit des Auftragnehmers gilt nicht als Arbeitszeit im Sinne von Absatz 2 und wird allein nach diesem Absatz vergütet: soweit sie eine Stunde je Richtung übersteigt, ist die übersteigende Zeit nach dem Stundensatz des § 14 Absatz 2 zu vergüten, gerechnet je angefangene halbe Stunde.

(6) Der Prüfer darf kein Wettbewerber des Auftragnehmers sein. Im Übrigen trägt jede Partei die ihr entstehenden Kosten der Prüfung selbst; Absatz 5 bleibt unberührt. Beruht die Verletzung des Schutzes personenbezogener Daten, die Anlass der Prüfung war, auf einer Pflichtverletzung des Auftragnehmers, trägt er abweichend von Absatz 5 die dort genannten Auslagen und seinen Aufwand selbst. Das gilt auch, wenn die Pflichtverletzung erst durch die Prüfung festgestellt wird. Der Aufwand des Auftragnehmers ist nach § 14 zu vergüten, soweit er über den kostenfreien Aufwand nach Absatz 2 hinausgeht oder sich erweist, dass der nach Absatz 2 benannte Anlass offensichtlich nicht bestand.

(7) Die Kontrollrechte der zuständigen Aufsichtsbehörde bleiben unberührt.

§ 9 Verletzung des Schutzes personenbezogener Daten

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden, nachdem er mit hinreichender Sicherheit festgestellt hat, dass eine Verletzung des Schutzes personenbezogener Daten eingetreten ist, die die Auftragsdaten betrifft. Eine erste Meldung nach Absatz 2 wahrt die Frist.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Können nicht alle Angaben zugleich gemacht werden, erfolgt eine erste Meldung mit den vorhandenen Angaben und eine Ergänzung ohne unangemessene Verzögerung.

(3) Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen der betroffenen Personen nach Art. 34 DSGVO obliegen dem Auftraggeber. Der Auftragnehmer unterstützt ihn dabei im Rahmen des Zumutbaren.

§ 10 Rechte betroffener Personen

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer und betrifft das Anliegen Auftragsdaten, leitet der Auftragnehmer das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und Einschränkungsersuchen. Der Auftraggeber kann die zu einer Sitzung gehörenden Daten über die Funktionen des Dienstes selbst abrufen und löschen. Übersteigt die Unterstützung einen zumutbaren Umfang, gilt § 14 Absatz 2.

§ 11 Löschung und Rückgabe

(1) Aufnahmedaten werden nach Ablauf der in Anlage 1 genannten tarifabhängigen Aufbewahrungsfrist automatisiert gelöscht. Die Löschung umfasst sowohl die lokal gespeicherten als auch die beim Unterauftragsverarbeiter für die Objektspeicherung abgelegten Kopien. Der Auftragnehmer hält zum Zweck der Wiederherstellung gelöschter Aufnahmen keine Kopie vor. Von den Datenträgern der Server bestehen tägliche Momentaufnahmen zur Wiederherstellung nach einem Ausfall, sieben Stück in Rotation; gelöschte Daten können darin bis zu sieben Tage fortbestehen, werden nicht ausgewertet und laufen ohne weiteres Zutun aus der Rotation. Wird eine Momentaufnahme tatsächlich eingespielt, erfasst der wiederkehrende Löschlauf die abgelaufenen Daten erneut.

(2) Nach Wahl des Auftraggebers löscht der Auftragnehmer die Auftragsdaten oder gibt sie zurück (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Als Rückgabe gilt der Abruf der Aufnahmen über die Funktionen des Dienstes. Der Abruf steht auch nach Beendigung des Vertrages bis zum Ablauf der jeweils laufenden Aufbewahrungsfrist nach Anlage 1 offen. Eine Herausgabe in einem anderen als dem vom Dienst bereitgestellten Format schuldet der Auftragnehmer nicht.

(3) Nach Beendigung des Vertrages löscht der Auftragnehmer die verbliebenen Auftragsdaten. Von den Sitzungsmetadaten können der Titel, ein geplanter Termin sowie Beginn und Ende der Sitzung bis zur Löschung des Kontos des Auftraggebers fortbestehen; sie werden spätestens mit der Kontolöschung entfernt.

(4) Von der Löschung ausgenommen sind Daten, deren Aufbewahrung der Auftragnehmer aufgrund gesetzlicher Vorschriften schuldet. Diese Daten werden für die Dauer der Aufbewahrungspflicht in der Verarbeitung eingeschränkt.

§ 12 Haftung

(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrages.

(2) Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.

§ 13 Vertragsdauer und Kündigung

(1) Dieser Vertrag gilt ab Beginn der Verarbeitung im Auftrag, spätestens ab seiner Unterzeichnung, und läuft für die Dauer des Hauptvertrages. Er endet mit dessen Beendigung, jedoch nicht vor der vollständigen Löschung oder Rückgabe der Auftragsdaten nach § 11.

(2) Eine Kündigung dieses Vertrages ohne gleichzeitige Beendigung des Hauptvertrages ist ausgeschlossen.

(3) Das Recht zur außerordentlichen Kündigung des Hauptvertrages aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn der Auftragnehmer schwerwiegend gegen Pflichten aus diesem Vertrag verstößt und den Verstoß trotz Fristsetzung nicht abstellt.

§ 14 Vergütung

(1) Die Leistungen des Auftragnehmers nach diesem Vertrag sind mit der Vergütung nach dem Hauptvertrag abgegolten, soweit sie einen zumutbaren Umfang nicht überschreiten.

(2) Unterstützungsleistungen nach § 5 Absatz 3 und 4 sowie Prüfungen nach § 8 Absatz 2, 5 und 6, die einen zumutbaren Umfang überschreiten, vergütet der Auftraggeber nach Aufwand; bei Prüfungen nach § 8 gilt der dort bestimmte kostenfreie Aufwand als Grenze des zumutbaren Umfangs. Der Stundensatz beträgt 150 Euro, gerechnet je angefangene halbe Stunde, zuzüglich Umsatzsteuer, soweit sie gesetzlich anfällt. Der Auftragnehmer weist auf die Vergütungspflicht hin, bevor er mit der Leistung beginnt. Eine Pflicht zur Aufwandsentschädigung besteht nicht, wenn die Prüfung durch eine Pflichtverletzung des Auftragnehmers aus diesem Vertrag oder der Datenschutz-Grundverordnung veranlasst wurde. Das gilt auch dann, wenn sich die Pflichtverletzung erst durch die Prüfung erschließt.

§ 15 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages einschließlich seiner Anlagen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Textformerfordernisses.

(2) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(4) Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.

Zeichnet der Auftraggeber nach seiner Vertretungsregelung mit zwei Personen, nutzt er beide Felder; sonst bleibt das zweite frei.

Anlage 1: Gegenstand der Verarbeitung

1. Gegenstand und Zweck

Bereitstellung eines Dienstes zur Aufzeichnung von Audio- und Videoinhalten im Webbrowser. Jede teilnehmende Person wird lokal in einer eigenen Spur aufgezeichnet; gibt sie eine Bildschirmansicht frei, wird diese als weitere Spur derselben Person aufgezeichnet. Die Spuren werden während der Sitzung in Abschnitten an den Server übertragen, dort zusammengesetzt und dem Auftraggeber zum Herunterladen bereitgestellt. Zusätzlich werden Live-Audio und -Video zwischen den Teilnehmenden übertragen, damit ein Gespräch geführt werden kann, und auf Wunsch des Auftraggebers ein Live-Zuhören für zusätzliche Zuhörende ermöglicht.

2. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Übermitteln (Bereitstellen zum Abruf durch den Auftraggeber), Löschen.

3. Kategorien betroffener Personen

• Nutzende des Auftraggebers, die Sitzungen anlegen und durchführen (Hosts)
• Personen, die als Gäste an einer Sitzung teilnehmen, auch ohne eigenes Nutzerkonto
• Personen, die eine Sitzung über einen Zuhörlink verfolgen, soweit die Funktion vom Auftraggeber aktiviert wird

4. Art der personenbezogenen Daten

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Sie können sich jedoch aus dem vom Auftraggeber bestimmten Inhalt eines Gesprächs ergeben. Die Beurteilung obliegt dem Auftraggeber.

5. Dauer der Verarbeitung

Aufnahmeinhalte werden nach Ende der Sitzung für eine tarifabhängige Frist gespeichert und danach automatisiert gelöscht:

Weicht die nach dem Hauptvertrag vereinbarte Aufbewahrungsfrist hiervon ab, gilt die dort vereinbarte Frist. Maßgeblich ist im Übrigen der Tarif, unter dem die Sitzung endet. Ein späterer Wechsel in einen kleineren Tarif verkürzt die Frist bereits aufgezeichneter Sitzungen nicht; ein Wechsel in einen größeren verlängert sie.

Live-Medien werden nicht gespeichert. Die Diagnosedaten nach Anlage 1 werden im selben Löschlauf entfernt wie die Aufnahmeinhalte, zu denen sie gehören; sie haben keine eigene Frist und bestehen nicht länger fort als die Aufzeichnung, die sie beschreiben. Sitzungsmetadaten bestehen längstens bis zur Löschung des Kontos des Auftraggebers fort. Im Übrigen gilt § 11 des Vertrages.

6. Ort der Verarbeitung

Ausschließlich innerhalb der Europäischen Union. Einzelheiten siehe Anlage 3.

Anlage 2: Technische und organisatorische Maßnahmen

Die Beschreibung der Maßnahmen nach Art. 32 DSGVO wird als gesondertes Dokument geführt und ist Bestandteil dieses Vertrages. Die nachstehend genannte Fassung ist die bei Vertragsschluss geltende:

Technische und organisatorische Maßnahmen
Version 1.10, Stand 19. September 2026
Abrufbar unter https://podsink.com/legal/tom

Für dieses Dokument geht § 6 Absatz 2 dem § 15 Absatz 1 vor: Der Auftragnehmer kann die Maßnahmen nach Maßgabe des § 6 Absatz 2 anpassen und das Dokument entsprechend fortschreiben, ohne dass es dafür einer Änderung dieses Vertrages in Textform bedarf. Maßgeblich ist dann die jeweils unter der genannten Adresse abrufbare Fassung; sie weist ihre Version und ihren Stand selbst aus. Das vereinbarte Schutzniveau darf dabei nicht unterschritten werden.

Anlage 3: Unterauftragsverarbeiter

Genehmigt nach § 7 Absatz 1 dieses Vertrages sind die folgenden Unterauftragsverarbeiter:

Nachrichtlich, nach den Angaben der Unterauftragsverarbeiter und dem Stand ihrer Vertragsfassungen:

• Hetzner Online GmbH: Auftragsverarbeitungsvertrag Version 1.2 vom 16. Februar 2026. Meldung von Verletzungen an den Auftragnehmer unverzüglich mit den Angaben des Art. 33 Absatz 3 (§ 5 Nr. 8); Unterstützung bei Art. 32 bis 36 (§ 9 Absatz 1); jährliche unabhängige Prüfung der Maßnahmen mit Bereitstellung der Ergebnisse (§ 8 Absatz 3). Keine Muttergesellschaft außerhalb der Europäischen Union. Unterauftragsverarbeiter außerhalb der EU betreffen nur Serverstandorte außerhalb der EU, die der Auftragnehmer nicht nutzt.
• OVH GmbH: Auftragsverarbeitungsvertrag vom 17. Oktober 2025. Meldung von Verletzungen unverzüglich (Ziffer 5.1) mit Angaben nach Ziffer 5.2; Unterstützung bei Art. 32 bis 36 auf Verlangen (Ziffer 4.3). Muttergesellschaft: OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich.

Mit beiden Unternehmen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Anbieter veröffentlichen die zugrunde liegenden Vertragstexte, sodass der Auftraggeber die vereinbarten Bedingungen selbst einsehen kann. Die vom Auftragnehmer geschlossenen Exemplare werden nach § 8 auf Verlangen vorgelegt; sie sind für den Nachweis des Abschlusses maßgeblich, da der Vertrag mit der Hetzner Online GmbH aus der veröffentlichten Vorlage erzeugt und um die Angaben des Auftragnehmers ergänzt wurde. Beide Verträge binden den Standort an das vom Auftragnehmer bei der Bestellung gewählte geografische Gebiet; eine Änderung durch den Unterauftragsverarbeiter ist ohne Zustimmung des Auftragnehmers ausgeschlossen. Der Auftragnehmer wählt ausschließlich Standorte innerhalb der Europäischen Union.

Nicht Unterauftragsverarbeitung im Sinne des § 7: die Zahlungsabwicklung für die Vertragsbeziehung zwischen Auftraggeber und Auftragnehmer. Erfolgt sie über die Paddle.com Market Limited als Merchant of Record, verarbeitet Paddle die Abrechnungsdaten des Auftraggebers in eigener Verantwortlichkeit. Rechnet der Auftragnehmer unmittelbar ab, verarbeitet er die Abrechnungsdaten in eigener Verantwortlichkeit, und ein Merchant of Record ist daran nicht beteiligt. In beiden Fällen besteht kein Zugang zu den Auftragsdaten nach Anlage 1.

Anlage 4: Weisungsberechtigte Personen

Zur Erteilung von Weisungen nach § 4 dieses Vertrages sind auf Seiten des Auftraggebers die hier benannten Personen berechtigt. Der Auftragnehmer führt Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, nur aus, wenn sie von einer dieser Personen stammen. Vom Auftraggeber auszufüllen:

Änderungen teilt der Auftraggeber dem Auftragnehmer unverzüglich in Textform mit.