Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 der EU-Datenschutz-Grundverordnung (DSGVO)

Vertragsparteien

zwischen dem Kunden der PanelWave-Plattform (dem Creator bzw. dessen Team) – nachfolgend „Verantwortlicher“ –

und

PanelWave, Jens Hoppe
c/o RUFFINI Creative Hub
Sendlinger Straße 1
80331 München
Deutschland
E-Mail: privacy@panelwave.org

– nachfolgend „Auftragsverarbeiter“ –

Präambel

Der Verantwortliche nutzt die Software-as-a-Service-Plattform PanelWave (Erstellung, Verwaltung, Veröffentlichung und Vertrieb interaktiver Graphic Novels, einschließlich Leseanalysen und optionaler Monetarisierung gegenüber Lesenden). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen – insbesondere Daten von Lesenden der veröffentlichten Werke des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO.

Dieser Vertrag wird elektronisch geschlossen: Er wird mit der Registrierung des Verantwortlichen auf der Plattform oder mit der Annahme der Nutzungsbedingungen wirksamer Bestandteil des Dienstleistungsvertrags. Eine gesonderte Unterschrift ist nicht erforderlich (Art. 28 Abs. 9 DSGVO: Ein elektronisches Format genügt).

Für die personenbezogenen Daten der registrierten Nutzerinnen und Nutzer des Verantwortlichen selbst (Konto- und Profildaten von Creators und Teammitgliedern) ist PanelWave Verantwortlicher; hierfür gilt die Datenschutzerklärung, nicht dieser Vertrag.

§ 1 Gegenstand und Dauer der Verarbeitung

1. Gegenstand der Verarbeitung ist die Erbringung der in der Präambel beschriebenen SaaS-Leistungen gemäß dem Dienstleistungsvertrag.
2. Die Dauer der Verarbeitung entspricht der Laufzeit des Dienstleistungsvertrags. Nach dessen Beendigung gilt § 12.

§ 2 Art, Zweck und Ort der Verarbeitung

1. Art und Zweck der Verarbeitung, die Datenkategorien und die Kategorien betroffener Personen sind in Anlage 1 festgelegt.
2. Die Verarbeitung erfolgt in Rechenzentren innerhalb der Europäischen Union – einschließlich Datenbanken, Objektspeicher und Backups.
3. Übermittlungen in Drittländer erfolgen nur über die in Anlage 3 aufgeführten Unterauftragsverarbeiter und nur, soweit geeignete Garantien gemäß Kapitel V DSGVO bestehen (Angemessenheitsbeschluss, EU-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln).

§ 3 Verantwortung und Pflichten des Verantwortlichen

1. Im Rahmen dieses Vertrags ist der Verantwortliche für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 4 Nr. 7, Art. 24 DSGVO).
2. Der Verantwortliche stellt insbesondere sicher, dass die Lesenden gemäß Art. 13/14 DSGVO informiert werden, dass erforderliche Einwilligungen eingeholt werden (zum Beispiel für Leseanalysen, sofern die Einwilligung als Rechtsgrundlage gewählt wird; der PanelWave Player stellt hierfür einen Einwilligungsmechanismus bereit) und dass auf die Plattform hochgeladene Inhalte keine personenbezogenen Daten Dritter ohne Rechtsgrundlage enthalten.
3. Weisungen des Verantwortlichen werden grundsätzlich durch die Nutzung der Funktionen der Plattform erteilt (Konfiguration, Eingabe, Löschung, Export); darüber hinausgehende Weisungen bedürfen der Textform.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

1. verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO);
2. informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder andere Datenschutzbestimmungen verstößt;
3. gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
4. ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen (Anlage 2);
5. unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Anträge betroffener Personen (Art. 12–23 DSGVO) – insbesondere durch die in die Plattform integrierten Export-, Berichtigungs- und Löschfunktionen;
6. unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation);
7. meldet dem Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die im Auftrag des Verantwortlichen verarbeiteten Daten betrifft, und stellt die für eine Meldung gemäß Art. 33 DSGVO erforderlichen Informationen bereit, soweit verfügbar;
8. stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (§ 10);
9. führt ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO;
10. verarbeitet die ihm überlassenen Daten nicht für eigene Zwecke. Ausgenommen sind aggregierte, anonymisierte Auswertungen ohne Personenbezug (zum Beispiel Systemmetriken und Nutzungsstatistiken der Plattform).

§ 5 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle an der Verarbeitung beteiligten Personen (einschließlich Support-Mitarbeitender mit Kontozugriff) zur Vertraulichkeit. Support-Zugriffe auf Kundenkonten („Impersonation“) erfolgen nur zum Zweck der Leistungserbringung, erfordern einen dokumentierten Grund, sind zeitlich begrenzt, werden vollständig protokolliert und der betroffenen Kontoinhaberin bzw. dem betroffenen Kontoinhaber per E-Mail mitgeteilt.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

1. Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO um.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt eine allgemeine Genehmigung für die Inanspruchnahme der in Anlage 3 aufgeführten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).
2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) mindestens 30 Tage im Voraus in Textform (zum Beispiel per E-Mail oder durch einen Hinweis in der App) und veröffentlicht die aktuelle Liste der Unterauftragsverarbeiter auf dieser Seite.
3. Der Verantwortliche kann einer Änderung aus wichtigen datenschutzrechtlichen Gründen innerhalb von 30 Tagen widersprechen. Kommt keine einvernehmliche Lösung zustande, steht beiden Parteien ein außerordentliches Kündigungsrecht für den Dienstleistungsvertrag zu.
4. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

§ 8 Unterstützung bei den Rechten betroffener Personen

1. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter, soweit eine Zuordnung möglich ist.
2. Die Plattform stellt dem Verantwortlichen Self-Service-Werkzeuge zur Verfügung, insbesondere: Export von Werken und Daten in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 15, 20 DSGVO), Berichtigung von Inhalten (Art. 16 DSGVO) sowie Löschung einzelner Daten und des gesamten Kontos (Art. 17 DSGVO), vorbehaltlich gesetzlicher Aufbewahrungspflichten.

§ 9 Mitteilungen

Meldungen gemäß § 4 Nr. 7 (Verletzungen des Schutzes personenbezogener Daten) und sonstige Vorfälle mit datenschutzrechtlicher Relevanz für den Verantwortlichen sendet der Auftragsverarbeiter an die im Konto des Verantwortlichen hinterlegte E-Mail-Adresse.

§ 10 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten mit geeigneten Mitteln nach, insbesondere durch: eine aktuelle Dokumentation der TOMs, Zertifizierungen und Prüfberichte seiner Rechenzentrums- und Cloud-Anbieter (zum Beispiel ISO 27001) sowie Auskünfte in Textform.
2. Darüber hinaus kann der Verantwortliche – höchstens einmal jährlich und zusätzlich bei konkreten Anhaltspunkten für Verstöße – nach angemessener Vorankündigung und während der üblichen Geschäftszeiten selbst Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht. Der Geschäftsbetrieb des Auftragsverarbeiters und die Daten anderer Kunden dürfen dabei nicht beeinträchtigt werden. Der Auftragsverarbeiter kann für Vor-Ort-Kontrollen eine angemessene Vergütung verlangen, es sei denn, die Kontrolle wurde durch einen festgestellten Pflichtverstoß veranlasst.

§ 11 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Im Innenverhältnis der Parteien gelten ergänzend die Haftungsregelungen des Dienstleistungsvertrags.

§ 12 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung des Dienstleistungsvertrags löscht der Auftragsverarbeiter alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten nach einer Karenzzeit von 30 Tagen, sofern der Verantwortliche nicht eine frühere Löschung verlangt. Innerhalb der Karenzzeit kann der Verantwortliche die Daten über die Exportfunktionen in einem strukturierten, gängigen und maschinenlesbaren Format abrufen.
2. Von der Löschung ausgenommen sind Daten, die gesetzlichen Aufbewahrungspflichten unterliegen – insbesondere Rechnungs- und Buchhaltungsdaten (8 Jahre für Rechnungen und Buchungsbelege, 10 Jahre für Bücher und Jahresabschlüsse gemäß § 147 AO / GoBD). Solche Daten werden gesperrt, ausschließlich zum Aufbewahrungszweck vorgehalten und nach Ablauf der Frist automatisch gelöscht.
3. Backups werden fortlaufend überschrieben; in Backups enthaltene Daten werden spätestens mit dem regulären Backup-Zyklus gelöscht und bis dahin nicht wiederhergestellt, es sei denn, eine Wiederherstellung ist zur Wiederaufnahme des Systembetriebs erforderlich.

§ 13 Schlussbestimmungen

1. Es gilt das Recht der Bundesrepublik Deutschland.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Dienstleistungsvertrag gehen hinsichtlich des Datenschutzes die Bestimmungen dieses Vertrags vor.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Der Auftragsverarbeiter kann diesen Vertrag mit Wirkung für die Zukunft anpassen, soweit dies aufgrund rechtlicher oder technischer Entwicklungen erforderlich ist; der Verantwortliche wird rechtzeitig informiert.

Anlage 1 – Gegenstand der Verarbeitung, Datenkategorien, betroffene Personen

Zwecke der Verarbeitung

• Hosting, Verwaltung und Veröffentlichung der interaktiven Graphic Novels des Verantwortlichen (Werke, Kapitel, Panels, Assets)
• Auslieferung veröffentlichter Werke an Lesende über den PanelWave Player und ein Content Delivery Network
• Erhebung und Aggregation von Leseanalysen (Sitzungen, Panelaufrufe, Verweildauern, Entscheidungen, Abschluss, Funnels) für die Dashboards des Verantwortlichen
• Messung der Aufrufe von Bonusinhalten („Extras“) und der Nutzung der Teilen-Funktion
• optionale Monetarisierung gegenüber Lesenden: Paywalls, Kaufberechtigungen und Wiederherstellung des Zugangs (die Zahlungsabwicklung selbst erfolgt durch den Zahlungsdienstleister; der Verantwortliche ist Händler (Merchant of Record))
• optionale KI-gestützte Verarbeitung von Inhalten, die der Verantwortliche bereitstellt (Skriptimport, Seitenaufteilung, Übersetzung, Text-to-Speech, Bildhochskalierung)

Kategorien betroffener Personen

• Lesende und potenzielle Lesende der veröffentlichten Werke des Verantwortlichen
• Käuferinnen und Käufer von Zugängen zu den Werken des Verantwortlichen (sofern die Monetarisierung aktiviert ist)
• Personen, deren personenbezogene Daten in vom Verantwortlichen hochgeladenen Inhalten enthalten sind (zum Beispiel in Artwork abgebildete oder in Skripten genannte Personen)

Kategorien personenbezogener Daten

• Ereignisse der Leseanalyse: pseudonyme, pro Besuch zufällig erzeugte Sitzungs-ID; Verweise auf Werk, Kapitel und Panel; Ereignistyp (zum Beispiel Panelaufruf, Verweildauer, Entscheidung, Hotspot-Klick, Like, Lesezeichen, Teilen, Abschluss); Gerätetyp; Sprache der Benutzeroberfläche; Zeitstempel. Zusammen mit diesen Ereignissen werden weder IP-Adresse noch User-Agent gespeichert; die IP-Adresse wird nur vorübergehend zur Ratenbegrenzung verwendet.
• Aufrufe und Teilen von Extras: IP-Adresse, User-Agent, Zeitstempel und der Verweis auf den Inhalt, zur Reichweitenmessung und Missbrauchsverhinderung.
• Berechtigungsdaten (sofern die Monetarisierung aktiviert ist): beim Bezahlvorgang angegebene E-Mail-Adresse in gehashter (pseudonymisierter) Form, Referenzen des Zahlungsdienstleisters (zum Beispiel Kunden- und Transaktions-IDs), Produktreferenz, Berechtigungsstatus. Keine Kreditkarten- oder Bankdaten.
• Inhaltsdaten: personenbezogene Daten, die in vom Verantwortlichen hochgeladenen Werken, Skripten, Artwork, Audio oder sonstigen Dateien enthalten sind (inhaltsabhängig; vom Verantwortlichen bestimmt).
• Clientseitiger Story-Zustand: Story-Variablen (zum Beispiel Entscheidungen und Fortschritt der Lesenden), die im Local Storage des Browsers der Lesenden gespeichert werden; diese Daten verbleiben auf dem Gerät der Lesenden und werden nicht an den Auftragsverarbeiter übermittelt.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Auftrags; sie können mittelbar in frei gestalteten Inhalten enthalten sein, die der Verantwortliche hochlädt.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle (physische Sicherheit der Rechenzentren): Betrieb ausschließlich in nach ISO 27001 zertifizierten Rechenzentren in der EU mit den physischen Sicherheitsmaßnahmen des Betreibers.
• Zugangskontrolle zu Systemen: Zugang zu Produktivsystemen nur über gesicherte administrative Zugänge mit schlüsselbasierter Authentifizierung; interne Dienste (Datenbank, Warteschlangen, Objektspeicher) sind nur im privaten Netzwerk erreichbar.
• Zugriffskontrolle in der Anwendung: rollenbasierte Berechtigungen auf Teamebene (Inhaber, Bearbeiter, Betrachter) und gesonderte Plattformrollen für administratives Personal (Superadmin, Support, Analyst); optionale Zwei-Faktor-Authentifizierung (TOTP) für Kunden; Ratenbegrenzung gegen Brute-Force-Angriffe auf Authentifizierungsendpunkte.
• Mandantentrennung: strikte Trennung der Kundendaten durch Mandantenzuordnung auf Anwendungs- und Datenbankebene.
• Verschlüsselung und Hashing: Transportverschlüsselung (TLS) für alle öffentlichen Verbindungen; Passwörter ausschließlich als gesalzene bcrypt-/PBKDF2-Hashes gespeichert; Refresh-Token, Token zum Zurücksetzen des Passworts, Einladungs- und Wiederherstellungscodes als SHA-256-Hashes gespeichert; E-Mail-Adressen von Käufen nur als Hashes gespeichert.
• Datenminimierung durch Technikgestaltung: Die Pipeline für Leseanalysen speichert keine IP-Adressen oder User-Agents; Sitzungs-IDs sind zufällig, existieren nur im Arbeitsspeicher und gelten jeweils nur für einen Besuch; der Player setzt keine Cookies.

2. Integrität

• Eingabekontrolle: nur ergänzbares Audit-Log (append-only) administrativer und sicherheitsrelevanter Vorgänge (handelnde Person, Vorgang, Zustand vorher/nachher, Grund, Zeitstempel, IP-Adresse); vollständige Protokollierung von Support-Zugriffen auf Kundenkonten einschließlich E-Mail-Benachrichtigung der Kontoinhaberin bzw. des Kontoinhabers.
• Weitergabekontrolle: kurzlebige signierte URLs für den Dateizugriff; signaturgeprüfte Zahlungs-Webhooks; tokenisierte Vorschaulinks für unveröffentlichte Werke; Sitzungsregister mit einzeln widerrufbaren Sitzungen.

3. Verfügbarkeit und Belastbarkeit

• regelmäßige Datenbank-Backups mit Point-in-Time-Recovery; Backups verbleiben in Rechenzentren in der EU.
• warteschlangenbasierte Hintergrundverarbeitung mit Wiederholungsmechanismen; Monitoring und Alarmierung.
• Ratenbegrenzung und Notabschaltungen (Kill Switches) an öffentlichen Erfassungsendpunkten.

4. Verfahren zur regelmäßigen Überprüfung

• regelmäßige Überprüfung und Weiterentwicklung der Maßnahmen (Stand der Technik).
• datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Leseanalysen sind standardmäßig einwilligungsabhängig, Ereignistypen sind auf eine Positivliste beschränkt, kein Werbe- oder websiteübergreifendes Tracking.
• automatisierte Löschroutinen: Kontolöschung nach Ablauf der Karenzzeit, ablaufbasierte Bereinigung von Sitzungen und Token, Aggregation und Löschung von Rohdaten der Analyseereignisse.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Die aktuelle Liste wird auf dieser Seite veröffentlicht; Änderungen werden gemäß § 7 dieses Vertrags angekündigt.