Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der GbR Weintke / Keil (Zusatzname Undergroundworkers; Gesellschafter: Leonard Richard Keil und Louis Michael Weintke), Erich-Kästner-Weg 20, 58332 Schwelm (nachfolgend „Anbieter“ oder „Auftragsverarbeiter“).

1. Gegenstand, Rollen und Geltung

Wer LoopSpeech für eine Veranstaltung nutzt, lässt Sprache, Texte und Übersetzungen verarbeiten. Darin können personenbezogene Daten von Sprechern, Teilnehmern und genannten Personen stecken. Soweit der Kunde dabei als Verantwortlicher im Sinne der DSGVO handelt, ist die GbR Weintke / Keil sein Auftragsverarbeiter nach Art. 28 DSGVO. Dieser Vertrag regelt die Verarbeitung dieser Veranstaltungsinhalte.

Für Kontodaten, Abrechnung und Zahlungen ist der Anbieter selbst Verantwortlicher. Das steht in der Datenschutzerklärung.

Soweit der Kunde bei der Nutzung personenbezogene Daten als Verantwortlicher im Sinne der DSGVO verarbeitet, ist dieser Vertrag Bestandteil der AGB (§ 12) und gilt ab der ersten Nutzung des Dienstes. Eine unterschriebene Fassung für die eigenen Unterlagen schicken wir auf Anfrage an [email protected].

2. Art, Zweck und Dauer der Verarbeitung

Zweck ist die Echtzeit-Übersetzung: Das Audio eines Sprechers wird erkannt, übersetzt, als Text angezeigt und auf Wunsch als synthetische Stimme ausgegeben. Dabei wird das Audio an Spracherkennung und Übersetzung gesendet, der Text von einem Sprachmodell verbessert und an die Teilnehmer ausgeliefert. Auf den Systemen des Anbieters werden Audio, erkannte Texte und Übersetzungen nicht dauerhaft gespeichert. Sie liegen dort nur während der Veranstaltung im Arbeitsspeicher (RAM) und werden gelöscht, wenn die Session endet. Die eingesetzten KI-Unterauftragsverarbeiter (Anlage 2) verwenden die Inhalte nicht zum Training von Modellen. Eine kurzzeitige Speicherung dort erfolgt nur im Rahmen der in Anlage 2 genannten technischen Sicherheits- und Missbrauchsprüfungen. Der Vertrag gilt so lange wie die Nutzung des Dienstes.

3. Daten und Betroffene

Arten der Daten:

• Stimme und Sprache als Audio, erkannte Texte, Übersetzungen und daraus erzeugte synthetische Sprachausgabe
• Texte, die der Kunde hinterlegt (Kontext, Schlüsselwörter, Glossar)
• Verbindungsdaten der Zuschauer, vor allem IP-Adressen, soweit technisch nötig

Betroffene: Sprecher und andere Personen, deren Stimme zu hören ist, Personen, die im Gesprochenen genannt werden, Zuschauer und Zuhörer, Beschäftigte des Kunden.

Welche Inhalte gesprochen werden, bestimmt der Kunde. Es lässt sich nicht ausschließen, dass auch besondere Kategorien personenbezogener Daten vorkommen (Art. 9 DSGVO), etwa religiöse Überzeugungen bei einem Gottesdienst. Der Kunde stellt sicher, dass er dafür eine Rechtsgrundlage hat.

4. Pflichten des Anbieters

• Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag und die Nutzung der Funktionen des Dienstes. Weitere Weisungen erteilt der Kunde in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin.
• Alle Personen, die beim Anbieter Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
• Der Anbieter trifft die Maßnahmen aus Anlage 1 und hält sie aktuell.
• Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung in angemessenem Umfang bei der Beantwortung von Anträgen betroffener Personen (Kapitel III DSGVO) sowie bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung (Art. 32 DSGVO), zur Meldung von Verletzungen (Art. 33 und 34 DSGVO), zur Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und zur vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO). Anfragen von Betroffenen, die direkt beim Anbieter eingehen, leitet er unverzüglich an den Kunden weiter.
• Der Anbieter meldet Verletzungen des Schutzes personenbezogener Daten, die den Kunden betreffen, unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben, die er zu diesem Zeitpunkt hat.
• Nach Abschluss der Verarbeitung löscht der Anbieter nach Wahl des Kunden alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie an den Kunden zurück, sofern nicht nach dem Recht der Union oder dem deutschen Recht eine Pflicht zur Speicherung besteht. Audio, erkannte Texte und Übersetzungen werden auf den Systemen des Anbieters schon mit dem Ende der Veranstaltung aus dem Arbeitsspeicher gelöscht, dort sind danach in der Regel keine Inhalte mehr vorhanden. Hinterlegte Angaben zu Kontext, Schlüsselwörtern und Glossar löscht der Kunde selbst oder der Anbieter mit der Löschung des Kontos. Kontodaten löscht er auf Anfrage, soweit keine gesetzliche Aufbewahrungspflicht besteht.
• Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Überprüfungen erfolgen vorrangig durch aussagekräftige Nachweise und Auskünfte in Textform. Vor-Ort-Überprüfungen durch den Kunden oder einen zur Verschwiegenheit verpflichteten Prüfer sind nach Anmeldung mit einer Frist von mindestens 14 Tagen während der üblichen Geschäftszeiten möglich, soweit der Betrieb nicht unzumutbar gestört wird. Für den Aufwand kann der Anbieter eine angemessene Vergütung verlangen, es sei denn, die Überprüfung wurde durch einen nachgewiesenen Datenschutzverstoß des Anbieters veranlasst.

5. Pflichten des Kunden

Der Kunde ist dafür verantwortlich, dass er die Inhalte verarbeiten darf, dass er Sprecher und Teilnehmer informiert und dass er in Kontext, Schlüsselwörtern und Glossar keine Daten von Personen einträgt, die dort nicht gebraucht werden. Er benennt dem Anbieter eine Ansprechperson für Datenschutzfragen, indem er seine E-Mail-Adresse im Konto pflegt.

6. Unterauftragsverarbeiter

Der Kunde erlaubt dem Anbieter, die Unterauftragsverarbeiter aus Anlage 2 einzusetzen. Der Anbieter verpflichtet sie vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Will der Anbieter einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt er das dem Kunden mindestens 30 Tage vorher per E-Mail mit. Der Kunde kann aus einem wichtigen datenschutzrechtlichen Grund innerhalb von 14 Tagen widersprechen. Widerspricht er nicht innerhalb dieser Frist, gilt die Änderung als genehmigt. Einigen sich die Parteien nach einem Widerspruch nicht, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen.

7. Übermittlung in Drittländer

Werden Daten außerhalb der EU und des EWR verarbeitet, geschieht das nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, zum Beispiel durch einen Angemessenheitsbeschluss der EU-Kommission oder durch Standardvertragsklauseln, ergänzt durch zusätzliche Schutzmaßnahmen wie die Verschlüsselung der Übertragung (TLS) und den Verzicht auf eine dauerhafte Speicherung. Der Kunde erlaubt das für die Unterauftragsverarbeiter in Anlage 2.

8. Haftung, Laufzeit und Schluss

Für die Haftung gilt Art. 82 DSGVO, im Verhältnis der Parteien im Übrigen § 10 der AGB. Dieser Vertrag endet mit dem Vertrag über die Nutzung des Dienstes. Bei Widersprüchen zu den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

• Zugangskontrolle (Vertraulichkeit): Konten sind durch Passwörter geschützt, die nur als Hash gespeichert werden. Zugriffe laufen über befristete Tokens. Gekoppelte Geräte haben eigene Tokens, die sich im Dashboard sofort sperren lassen. Anfragen zur Anmeldung und Kopplung werden begrenzt.
• Zugriffskontrolle und Trennung (Vertraulichkeit): Jeder Kunde sieht und steuert nur die eigenen Sessions, Geräte und Rechnungen. Eine Live-Seite zeigt nur die Übersetzung ihrer Session. Zugriff auf Produktivsysteme haben nur die Personen, die ihn für den Betrieb brauchen.
• Weitergabe (Integrität und Vertraulichkeit): Alle Verbindungen zwischen Gerät, Server und Dienstleistern sind per TLS verschlüsselt. Zahlungsmeldungen von Stripe werden anhand ihrer Signatur geprüft.
• Datenminimierung (Vertraulichkeit): Audio, erkannte Texte und Übersetzungen werden nicht gespeichert, sondern nur im Arbeitsspeicher gehalten und nach der Session gelöscht. Das Server-Protokoll kürzt IP-Adressen und liegt nur im Arbeitsspeicher.
• Verfügbarkeit und Belastbarkeit: Verbindungen zur Spracherkennung bauen sich nach Störungen selbst wieder auf, Audio der Lücke wird nachgeliefert. Eingaben und Größen von Nachrichten sind begrenzt, damit einzelne Clients den Dienst nicht überlasten.
• Auftragskontrolle: Dienstleister werden sorgfältig ausgewählt und vertraglich gebunden (Anlage 2). Änderungen an der Software werden getestet, bevor sie live gehen.
• Regelmäßige Überprüfung: Die Wirksamkeit dieser Maßnahmen wird regelmäßig sowie anlassbezogen bei Änderungen an den Systemen überprüft und bewertet (Art. 32 Abs. 1 lit. d DSGVO).

Anlage 2: Unterauftragsverarbeiter

• Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern (Rechenzentrum: Deutschland): Betrieb von Server und Datenbank. Daten: alle Daten der Anwendung (Inhalte nur im Arbeitsspeicher).
• Soniox (Soniox Inc., 1045 Helm Lane, Foster City, CA 94404, USA): Spracherkennung, Übersetzung und Sprachausgabe. Daten: Audio, erkannte Texte, Übersetzungen, Kontext, Schlüsselwörter und Glossar. Ort der Verarbeitung: USA (Drittland, siehe Ziffer 7). Mit Soniox besteht ein Auftragsverarbeitungsvertrag mit Standardvertragsklauseln. Soniox verwendet die Inhalte nicht zum Training von Modellen und speichert Audio und Text nicht dauerhaft. Soniox setzt seinerseits Infrastrukturanbieter ein: Amazon Web Services, Google Cloud, Oracle Cloud Infrastructure und Cloudflare (Stand 12.10.2026). Die aktuelle Liste führt Soniox in seiner Console; wir stellen sie auf Anfrage bereit.
• OpenAI (OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland): Verbesserung der Übersetzung durch ein Sprachmodell. Daten: erkannte Texte, Übersetzungen, Kontext, Schlüsselwörter und Glossar. Vertragspartner ist OpenAI Ireland Limited. Die Verarbeitung kann auch durch Konzerngesellschaften von OpenAI in den USA erfolgen (Drittland, siehe Ziffer 7), abgesichert durch Standardvertragsklauseln. Mit OpenAI besteht ein Auftragsverarbeitungsvertrag. Über die API übermittelte Daten verwendet OpenAI nach eigenen Angaben nicht zum Training seiner Modelle. Nach den Vertragsbedingungen von OpenAI können API-Eingaben und -Ausgaben bis zu 30 Tage zur Missbrauchserkennung gespeichert werden, soweit nicht Zero Data Retention gilt. Die aktuelle Liste der Unterauftragnehmer von OpenAI steht unter platform.openai.com/subprocessors.

Weitere Dienstleister ohne Zugriff auf Veranstaltungsinhalte: Für Funktionen außerhalb der Übersetzung setzt der Anbieter in eigener datenschutzrechtlicher Verantwortung weitere Dienstleister ein: Stripe Payments Europe, Ltd., Irland (Zahlungen), Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich (Versand von Rechnungen, Passwort-Links und anderen System-E-Mails), Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Auslieferung der Techniker-App und ihrer Updates) und Google Ireland Limited, Irland (Analyse mit Einwilligung). Sie erhalten keine Audio-, Text- oder Übersetzungsinhalte von Veranstaltungen und sind deshalb keine Unterauftragsverarbeiter im Sinne dieses Vertrags. Welche Daten sie verarbeiten, steht in der Datenschutzerklärung.