AutoCut dein Film aus euren Handyclips · von Cutter Chris

Vertrag zur Auftragsverarbeitung für AutoCut

Fassung 2026-09-11.1 · Entwurf · Prüfsumme d65f17456a9b5c95…

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (AutoCut)

Wer als Firma, Verein oder Organisation über AutoCut einen Film aus Aufnahmen von Mitarbeitenden, Mitgliedern oder Gästen bestellt, lässt personenbezogene Daten in seinem Auftrag verarbeiten. Art. 28 DSGVO verlangt dafür einen Vertrag. Dieser Vertrag wird bei der Bestellung durch das Häkchen „Ich schließe den Vertrag zur Auftragsverarbeitung ab“ geschlossen (elektronische Form, Art. 28 Abs. 9 DSGVO); Zeitpunkt, Textfassung und Prüfsumme werden protokolliert. Eine Unterschrift ist nicht nötig.

Parteien

Verantwortlicher (Auftraggeber): die bei der Bestellung angegebene Firma / Organisation, vertreten durch die bestellende Person.

Auftragsverarbeiter (Auftragnehmer): CGB Media Production UG (haftungsbeschränkt), Bürvenicher Str. 16, 53909 Zülpich, vertreten durch Dipl.-Ing. (FH) Christoph Georg Benden.

§ 1 Gegenstand, Dauer und Rangverhältnis

  1. Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen des Services AutoCut (Erstellung eines Films aus überlassenem Bild-, Video- und Tonmaterial). Einzelheiten in Anlage 1.
  2. Der Vertrag gilt für die Dauer des Auftrags und endet mit der Löschung der Daten nach § 8.
  3. Bei Widersprüchen zwischen diesem Vertrag und den AGB für AutoCut gehen die datenschutzrechtlichen Regelungen dieses Vertrags vor.

§ 2 Weisungsrecht

  1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der Bestellung und dokumentierter Weisungen des Verantwortlichen. Die Bestellung (Anlass, Stilvorlage, Wünsche, Einsendeschluss) und die Rückmeldungen in den Korrekturrunden gelten als Weisungen.
  2. Weitere Weisungen bedürfen der Textform (E-Mail genügt).
  3. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, weist er den Verantwortlichen darauf hin und darf die Ausführung bis zur Klärung aussetzen.

§ 3 Pflichten des Auftragsverarbeiters

  1. Verarbeitung nur zu den vereinbarten Zwecken und ausschließlich in der EU/im EWR (Ausnahme: pseudonymisierter Text nach Anlage 3).
  2. Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
  3. Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 2.
  4. Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen, bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit die Verarbeitung betroffen ist.
  5. Führung eines Verzeichnisses der Verarbeitungstätigkeiten. Ein Datenschutzbeauftragter ist nicht bestellt; Ansprechpartner ist der Geschäftsführer.

§ 4 Unterauftragsverhältnisse

  1. Der Verantwortliche genehmigt allgemein den Einsatz der in Anlage 3 genannten weiteren Auftragsverarbeiter.
  2. Beabsichtigte Änderungen (neue oder ersetzte Dienstleister) teilt der Auftragsverarbeiter mindestens 14 Tage vorher auf auto.cutter-chris.de/recht/avv und per E-Mail an laufende Auftraggeber mit; der Verantwortliche kann aus wichtigem Grund widersprechen.
  3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten und haftet für deren Einhaltung.

§ 5 Rechte betroffener Personen

Wendet sich eine betroffene Person (z. B. eine im Material abgebildete Person oder ein Gast) an den Auftragsverarbeiter, leitet er die Anfrage an den Verantwortlichen weiter und unterstützt bei der Beantwortung. Berichtigung, Löschung und Einschränkung einzelner Aufnahmen erfolgen nach Weisung des Verantwortlichen; Widerrufe von Gästen (Entfernen der eigenen Uploads) setzt der Auftragsverarbeiter unmittelbar um und informiert den Verantwortlichen.

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, in Textform — mit Art der Verletzung, betroffenen Datenkategorien, ungefährer Zahl der Betroffenen und ergriffenen Maßnahmen.

§ 7 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach (Beschreibung der Maßnahmen, Protokolle je Auftrag). Kontrollen vor Ort erfolgen nach Ankündigung während der Geschäftszeiten; für Kontrollen, die über eine Auskunft in Textform hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 8 Löschung und Rückgabe

  1. Der Verantwortliche erhält die Endfassung des Films zum Download. Hochgeladenes Material, Arbeitskopien, Analysen (einschließlich Transkripten, Gesichtsgruppen und Platzhalter-Zuordnungen), Vorschauen und Endfassung werden 30 Tage nach Lieferung — bzw. nach Rücktritt oder Widerruf — gelöscht, auch auf dem Schnittrechner und im Objektspeicher. Die Löschung wird protokolliert.
  2. Gesetzliche Aufbewahrungspflichten für Auftrags- und Rechnungsdaten bleiben unberührt.

§ 9 Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO. Es gilt deutsches Recht. Änderungen bedürfen der Textform.

Anlage 1 – Beschreibung der Verarbeitung
Gegenstand Erstellung eines geschnittenen Films aus Bild-, Video- und Tonmaterial, das der Verantwortliche und von ihm eingeladene Personen (Gäste) über das Portal hochladen
Art der Verarbeitung Erheben (Upload), Speichern, Organisieren, automatisierte Analyse (Bildqualität, Szenen, Transkription, Beschreibung des Bildinhalts, Gruppierung ähnlicher Gesichter innerhalb des Auftrags), Verändern (Schnitt, Untertitel, Titel), Bereitstellen (Vorschau, Download), Löschen
Zweck Erbringung des bestellten Films einschließlich Korrekturrunden
Kategorien betroffener Personen im Material abgebildete oder hörbare Personen (Mitarbeitende, Mitglieder, Gäste, Dritte); Gäste, die Material hochladen; Ansprechpersonen des Verantwortlichen
Kategorien personenbezogener Daten Bild- und Tonaufnahmen, Gesichter (Gruppierung nur innerhalb des Auftrags, keine Identifizierung über den Auftrag hinaus), Stimmen, gesprochene Inhalte und Transkripte, Namen (Gäste, Hauptpersonen, in Titeln), E-Mail-Adressen (Gäste mit Einwilligung), Metadaten der Aufnahmen (Zeitpunkt, Gerät, ggf. Ort)
Besondere Kategorien nicht Gegenstand; können ausnahmsweise im Material enthalten sein (z. B. erkennbare religiöse oder gesundheitliche Bezüge). Die Gruppierung ähnlicher Gesichter dient allein der Auswahl und Ausgewogenheit im Schnitt; die Bewertung als biometrische Daten im Sinne des Art. 9 DSGVO obliegt dem Verantwortlichen, der die Rechtsgrundlage gegenüber den abgebildeten Personen sicherstellt
Ort der Verarbeitung Objektspeicher Hetzner, Falkenstein (Deutschland); Portal und Datenbank auf Server von Hostinger in der EU; Analyse und Schnitt auf dem Schnittrechner des Auftragsverarbeiters in Zülpich; pseudonymisierter Text nach Anlage 3
Dauer Laufzeit des Auftrags; Löschung nach § 8

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Zutrittskontrolle: Arbeits- und Serverräume abschließbar; Zutritt nur durch den Geschäftsführer und berechtigte Personen. Server in zertifizierten Rechenzentren (Hostinger EU, Hetzner Falkenstein).

Zugangskontrolle: Verwaltung des Portals nur nach Anmeldung mit Passwort; Maschinenzugänge über getrennte Schlüssel (API-Token, S3-Schlüssel); Serveranmeldung ausschließlich schlüsselbasiert; Datenbank nur über ein privates Netz (Tailscale) erreichbar, nicht öffentlich. Arbeitsplätze sperren sich automatisch bei Inaktivität.

Zugriffskontrolle: Berechtigungen nach dem Prinzip der geringsten notwendigen Rechte. Auftraggeber- und Gäste-Seiten sind nur über lange, nicht erratbare Links erreichbar; Gäste sehen nur ihre eigenen Uploads, Auftraggeber sehen Namen und Anzahl je Gast. Download-Links sind signiert und laufen ab.

Trennungskontrolle: Daten werden je Auftrag getrennt gespeichert (eigener Ordner im Objektspeicher, eigener Cache-Ordner); Gesichtsgruppen und Platzhalter-Zuordnungen existieren nur innerhalb eines Auftrags. Keine Zusammenführung von Daten verschiedener Auftraggeber.

Pseudonymisierung: Vor Übermittlung von Texten an ein externes Sprachmodell werden Namen aus Bestellung, Gästeliste und Dateinamen sowie automatisch erkannte Namen und Orte durch Platzhalter ersetzt; Dateien werden nur mit laufenden Nummern bezeichnet. Bild-, Ton- und Videomaterial wird nicht übermittelt.

Integrität

Weitergabekontrolle: Übertragungen ausschließlich verschlüsselt (TLS), auch beim Upload und Download. Jede Weitergabe (Vorschau-Link, Download-Link) wird protokolliert.

Eingabekontrolle: Jeder Verarbeitungsschritt je Auftrag (Upload, Analyse, Schnitt, Freigabe, Lieferung, Löschung) wird mit Zeitstempel und Akteur protokolliert; Protokolle werden nicht nachträglich verändert.

Unveränderbarkeit: Hochgeladene Dateien werden mit einer SHA-256-Prüfsumme erfasst; Rechtstexte und Zustimmungen mit Versionsnummer und Prüfsumme.

Verfügbarkeit und Belastbarkeit

Verfahren zur Überprüfung und Bewertung

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Unternehmen Leistung Ort der Verarbeitung Drittlandbezug
Hostinger International Ltd. Serverbetrieb für Portal und Auftragsdatenbank EU –
Hetzner Online GmbH Objektspeicher für Material, Zwischenstände, Filme, Sicherungen Deutschland (Falkenstein) –
STRATO AG E-Mail-Versand (Bestätigungen, Gäste-Benachrichtigungen) Deutschland –
Anthropic PBC Sprachmodell für den Schnittplan — ausschließlich pseudonymisierter Text USA Standardvertragsklauseln
Google Cloud EMEA Ltd. (Vertex AI) alternativ: dasselbe Sprachmodell mit Verarbeitung in der EU — ausschließlich pseudonymisierter Text EU –

Nicht als Unterauftragsverarbeiter eingesetzt: Zahlungsdienst (Stripe, eigener Verantwortlicher — verarbeitet keine Aufnahmen), Messenger für interne Kurzmeldungen (Telegram — erhält Auftragsnummer und Filmtitel, keine Aufnahmen, keine Gästedaten).

Hinweis: Die aktuelle Fassung steht unter auto.cutter-chris.de/recht/avv; Änderungen werden nach § 4 Abs. 2 angekündigt.

Fassung: 11. September 2026 (AutoCut, Fassung 1 — Entwurf)

Fassung 2026-09-11.1 · SHA-256 d65f17456a9b5c95f454ebde63f26ee85e33a709d8e7cd3567b4f68ecd2df786