Stand: 31. Mai 2026
zwischen
dem jeweiligen Kunden von vitonnect
- nachfolgend „Verantwortlicher“ oder „Kunde“ -
und
vitonnect GbR
Victoria Gomez & Tom Höhner
Hohentorstr. 91
28199 Bremen
Deutschland
E-Mail: moin@vitonnect.de
- nachfolgend „Auftragsverarbeiter“ oder „vitonnect“ -
gemeinsam auch „Parteien“ genannt.
Diese Vereinbarung zur Auftragsverarbeitung („AVV“) ergänzt den zwischen dem Kunden und vitonnect geschlossenen Hauptvertrag, insbesondere das angenommene Angebot, die Allgemeinen Geschäftsbedingungen („AGB“) sowie sonstige individuelle Vereinbarungen.
Die Parteien gehen davon aus, dass vitonnect im Rahmen der vertraglich vereinbarten Leistungen personenbezogene Daten im Auftrag des Kunden verarbeitet, insbesondere wenn der Kunde Videomaterial, Bildmaterial, Tonaufnahmen oder sonstige Mediendateien hochlädt, auf denen natürliche Personen erkennbar oder hörbar sind.
Diese AVV konkretisiert die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.
Diese Vereinbarung kann elektronisch abgeschlossen werden, insbesondere durch aktive Bestätigung im Kundenportal, durch Annahme eines Angebots mit Verweis auf diese Vereinbarung, per E-Mail oder auf sonstige dokumentierte Weise in Textform. Sie wird wirksam, sobald der Kunde sie auf einem dieser Wege akzeptiert. vitonnect kann zur Nachweisführung den Zeitpunkt der Bestätigung, die bestätigte Dokumentversion, den Bestätigungsweg sowie die hierfür erforderlichen technischen Metadaten speichern.
Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten im Rahmen der Erstellung, Bearbeitung, Verwaltung, Bereitstellung und optionalen Veröffentlichung von Social-Media-Videos und sonstigen vereinbarten Videoinhalten.
vitonnect verarbeitet hierbei insbesondere personenbezogene Daten, die in vom Kunden bereitgestelltem Rohmaterial, Bestandsmaterial, Bildmaterial, Tonmaterial, Textinformationen oder sonstigen Projektinformationen enthalten sind.
Hierzu können insbesondere gehören:
Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und nach Maßgabe dieser AVV, des Hauptvertrags sowie dokumentierter Weisungen des Kunden.
Die AVV gilt für die Dauer des Hauptvertrags zwischen dem Kunden und vitonnect.
Nach Beendigung des Hauptvertrags oder nach Abschluss der jeweiligen Verarbeitung löscht vitonnect personenbezogene Daten oder gibt sie auf Wunsch des Kunden in einem gängigen Format zurück, soweit keine gesetzlichen Aufbewahrungspflichten, berechtigten Nachweiszwecke oder vertraglichen Gründe einer Löschung entgegenstehen.
Näheres zur Löschung und Aufbewahrung ergibt sich aus Ziffer 12 dieser AVV sowie aus dem jeweils geltenden Lösch- und Aufbewahrungskonzept von vitonnect.
Die Verarbeitung kann insbesondere folgende Vorgänge umfassen:
Zweck der Verarbeitung ist die Erfüllung der zwischen dem Kunden und vitonnect vereinbarten Leistungen. Dazu gehören insbesondere:
Je nach Inhalt des vom Kunden bereitgestellten Materials können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:
Betroffene Personen können insbesondere sein:
Der Kunde darf keine Inhalte hochladen oder zur Verarbeitung bereitstellen, die besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten, sofern hierfür keine ausreichende und dokumentierte Rechtsgrundlage besteht.
Hierzu zählen insbesondere Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder eine Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung.
Aufnahmen von Minderjährigen dürfen nur hochgeladen werden, wenn der Kunde hierfür eine geeignete Rechtsgrundlage und, soweit erforderlich, eine nachweisbare Einwilligung der Sorgeberechtigten besitzt.
Der Kunde bleibt als Verantwortlicher im Sinne der DSGVO für die Rechtmäßigkeit der Verarbeitung verantwortlich.
Der Kunde stellt insbesondere sicher, dass für alle hochgeladenen oder bereitgestellten Inhalte eine geeignete Rechtsgrundlage besteht. Dies gilt insbesondere für:
Der Kunde ist dafür verantwortlich, dass das bereitgestellte Material keine Rechte Dritter verletzt. Dies betrifft insbesondere:
Der Kunde ist dafür verantwortlich, betroffene Personen nach Maßgabe der Art. 13 und 14 DSGVO über die Verarbeitung ihrer personenbezogenen Daten zu informieren, soweit dies erforderlich ist.
Gehen beim Kunden Auskunfts-, Lösch-, Berichtigungs-, Widerspruchs- oder sonstige Betroffenenanfragen ein, die sich auf von vitonnect verarbeitete Daten beziehen, informiert der Kunde vitonnect unverzüglich, soweit die Mitwirkung von vitonnect erforderlich ist.
Der Kunde erteilt vitonnect alle für die Verarbeitung erforderlichen Weisungen rechtzeitig, klar und dokumentiert. Weisungen können sich aus dem Hauptvertrag, dieser AVV, dem Kundenportal, E-Mails oder sonstigen Mitteilungen in Textform ergeben.
vitonnect verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern vitonnect nicht durch Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist. In diesem Fall informiert vitonnect den Kunden vor der Verarbeitung über diese rechtliche Anforderung, soweit das betreffende Recht eine solche Information nicht wegen eines wichtigen öffentlichen Interesses verbietet.
vitonnect stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
vitonnect trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses vorgesehenen Maßnahmen sind in Anlage 1 beschrieben.
vitonnect unterstützt den Kunden im Rahmen des Zumutbaren und Erforderlichen bei:
Die Unterstützung erfolgt unter Berücksichtigung der Art der Verarbeitung und der vitonnect zur Verfügung stehenden Informationen.
vitonnect verarbeitet die vom Kunden bereitgestellten personenbezogenen Daten nicht für eigene Zwecke, es sei denn, dies ist ausdrücklich vereinbart, gesetzlich erlaubt oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich.
Eine Nutzung von Kundenvideos zu Referenz- oder Marketingzwecken erfolgt nur nach Maßgabe der AGB und nur, soweit hierfür die erforderlichen Rechte und Voraussetzungen vorliegen.
Weisungen können insbesondere erfolgen:
Ist vitonnect der Ansicht, dass eine Weisung gegen Datenschutzrecht oder sonstige gesetzliche Vorschriften verstößt, wird vitonnect den Kunden hierauf hinweisen. vitonnect ist berechtigt, die Durchführung einer offensichtlich rechtswidrigen Weisung bis zur Klärung auszusetzen.
vitonnect dokumentiert wesentliche Weisungen, soweit dies technisch und organisatorisch erforderlich und angemessen ist. Weisungen, die über Standardprozesse hinausgehen, sollen in Textform erfolgen.
vitonnect beschränkt den Zugriff auf personenbezogene Daten des Kunden auf diejenigen Personen, die diesen Zugriff zur Erbringung der vereinbarten Leistungen benötigen.
Zum Stand dieser AVV setzt vitonnect keine externen Freelancer mit Zugriff auf Kundenvideos oder personenbezogene Kundendaten ein.
Sollten künftig externe Freelancer oder Subunternehmer mit Zugriff auf personenbezogene Daten eingesetzt werden, werden diese zuvor vertraglich zur Vertraulichkeit verpflichtet und, soweit erforderlich, als Subprozessoren oder eingesetzte Personen im Rahmen der AVV berücksichtigt.
vitonnect trifft geeignete technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO. Die Maßnahmen orientieren sich an Art, Umfang, Umständen und Zwecken der Verarbeitung sowie an der Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten natürlicher Personen.
Die zum Zeitpunkt dieser AVV vorgesehenen Maßnahmen sind in Anlage 1 aufgeführt.
vitonnect ist berechtigt, technische und organisatorische Maßnahmen weiterzuentwickeln, sofern das Sicherheitsniveau insgesamt nicht unangemessen abgesenkt wird.
Der Kunde erteilt vitonnect eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern, soweit diese für die Erbringung der vertraglich vereinbarten Leistungen erforderlich sind und die datenschutzrechtlichen Anforderungen eingehalten werden.
Die aktuell vorgesehenen Subprozessoren und externen Dienste ergeben sich aus Anlage 2.
vitonnect informiert den Kunden über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Subprozessoren mit angemessener Frist, grundsätzlich mindestens 30 Tage vor dem geplanten Einsatz, sofern dies organisatorisch möglich ist.
Der Kunde kann aus wichtigem datenschutzrechtlichen Grund innerhalb dieser Frist widersprechen. Erfolgt ein berechtigter Widerspruch und ist eine einvernehmliche Lösung nicht möglich, können beide Parteien den betroffenen Leistungsbestandteil oder den Hauptvertrag aus wichtigem Grund kündigen, soweit die Leistung ohne den betreffenden Subprozessor nicht erbracht werden kann.
vitonnect schließt mit eingesetzten Subprozessoren geeignete Vereinbarungen, soweit dies nach Art. 28 DSGVO erforderlich ist, und verpflichtet diese auf ein angemessenes Datenschutzniveau.
Dienste, die noch nicht aktiv eingesetzt werden, werden nicht als aktiv eingesetzte Subprozessoren behandelt. Sie werden vor Aktivierung geprüft und bei Bedarf in die Subprozessorenliste aufgenommen.
Zum Stand dieser AVV ist Stripe für Zahlungsabwicklung noch nicht aktiv. Eine Aktivierung erfolgt erst nach gesonderter technischer und datenschutzrechtlicher Einrichtung.
Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, soweit dies zur Erbringung der Leistungen erforderlich ist und eine geeignete datenschutzrechtliche Grundlage besteht.
Als geeignete Grundlage kommen insbesondere in Betracht:
vitonnect prüft bei eingesetzten Drittlandanbietern, ob geeignete Garantien bestehen. Angaben zu Anbietern, Standorten und Übermittlungsgrundlagen können sich ändern und werden im Rahmen der Subprozessorenliste gepflegt.
Soweit eine betroffene Person ihre Rechte gegenüber dem Kunden geltend macht und sich die Anfrage auf durch vitonnect verarbeitete Daten bezieht, unterstützt vitonnect den Kunden im Rahmen des Zumutbaren.
Dies betrifft insbesondere:
Geht eine Anfrage einer betroffenen Person direkt bei vitonnect ein und betrifft diese Daten, die vitonnect im Auftrag des Kunden verarbeitet, leitet vitonnect die Anfrage grundsätzlich an den Kunden weiter, sofern eine Zuordnung möglich ist und keine gesetzlichen Gründe entgegenstehen.
vitonnect informiert den Kunden unverzüglich, sobald vitonnect eine Verletzung des Schutzes personenbezogener Daten feststellt, die Daten betrifft, die im Auftrag des Kunden verarbeitet werden.
Die Information enthält, soweit verfügbar:
vitonnect unterstützt den Kunden im Rahmen des Zumutbaren bei der Prüfung, Dokumentation und gegebenenfalls Meldung einer Datenschutzverletzung nach Art. 33 und 34 DSGVO.
Nach Abschluss der Verarbeitung oder nach Beendigung des Hauptvertrags löscht vitonnect personenbezogene Daten, soweit keine gesetzlichen Aufbewahrungspflichten, berechtigten Nachweiszwecke oder vertraglichen Gründe entgegenstehen.
Rohmaterial wird grundsätzlich nur so lange gespeichert, wie dies für Bearbeitung, Abstimmung, Korrekturen und Fertigstellung der jeweiligen Videos erforderlich ist.
Nach finaler Abnahme oder nach Status „Erledigt“ soll Rohmaterial gelöscht werden, soweit keine abweichende Vereinbarung besteht oder eine weitere Speicherung zur Klärung offener Fragen erforderlich ist.
Fertiggestellte Videos werden während der aktiven Vertragslaufzeit im Kundenportal bereitgestellt.
Nach Beendigung der Zusammenarbeit können fertige Videos nach Ablauf von 30 Tagen gelöscht werden, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweiszwecke entgegenstehen.
Der Kunde ist dafür verantwortlich, fertige Videos nach Bereitstellung rechtzeitig selbst herunterzuladen und zu sichern.
Bei kostenlosen Testvideo-Anfragen ohne anschließenden Vertrag können personenbezogene Daten und hochgeladenes Material bis zu 90 Tage gespeichert werden, soweit dies zur Bearbeitung der Anfrage, zur Kommunikation, zur Nachweisführung oder zur Klärung offener Fragen erforderlich ist. Danach erfolgt eine Löschung, soweit keine gesetzlichen oder berechtigten Gründe entgegenstehen.
Rechnungsdaten, buchhalterische Unterlagen, zahlungsrelevante Informationen und steuerlich relevante Vertragsdaten werden nach den gesetzlichen Aufbewahrungsfristen gespeichert, insbesondere nach HGB und AO. Die regelmäßige Aufbewahrungsfrist kann bis zu 10 Jahre betragen.
Wenn ein Kundenkonto auf Wunsch des Kunden deaktiviert oder gelöscht wird, kann die Login-E-Mail-Adresse in einer Sperrliste gespeichert werden, um eine erneute Registrierung mit derselben E-Mail-Adresse zu verhindern und Missbrauch, Doppelregistrierungen oder Umgehungen zu vermeiden.
Die Sperrliste wird nach dem aktuellen Löschkonzept grundsätzlich für bis zu 36 Monate gespeichert, sofern keine längere Speicherung erforderlich ist. Die Speicherung erfolgt nur in dem hierfür erforderlichen Umfang.
Auf Wunsch des Kunden gibt vitonnect personenbezogene Daten, soweit technisch möglich und zumutbar, in einem gängigen Format zurück. Ein Anspruch auf Herausgabe von Projektdateien, Rohschnittdateien oder internen Arbeitsdateien besteht nur, wenn dies ausdrücklich vereinbart wurde.
vitonnect stellt dem Kunden auf Anfrage die erforderlichen Informationen zur Verfügung, um die Einhaltung der in dieser AVV geregelten Pflichten nachzuweisen, soweit diese Informationen verfügbar sind und keine Rechte Dritter, Betriebs- oder Geschäftsgeheimnisse oder Sicherheitsinteressen entgegenstehen.
Der Kunde ist berechtigt, die Einhaltung dieser AVV nach angemessener vorheriger Ankündigung zu prüfen oder durch einen geeigneten, zur Vertraulichkeit verpflichteten Prüfer prüfen zu lassen.
Vor-Ort-Prüfungen sind nur nach vorheriger Abstimmung, während üblicher Geschäftszeiten und unter Wahrung der Betriebsabläufe von vitonnect zulässig.
Prüfungen müssen verhältnismäßig sein. Entsteht durch eine Prüfung ein erheblicher Aufwand, können die Parteien eine angemessene Kostenerstattung vereinbaren, soweit gesetzlich zulässig.
Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen die Regelungen dieser AVV in Fragen der Auftragsverarbeitung vor.
Im Übrigen gelten der Hauptvertrag, die AGB und individuelle Vereinbarungen zwischen den Parteien.
Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften, dem Hauptvertrag und den AGB, soweit diese wirksam vereinbart wurden.
Diese AVV begründet keine weitergehenden Leistungspflichten außerhalb der datenschutzrechtlichen Auftragsverarbeitung.
vitonnect kann diese AVV mit Wirkung für zukünftige Verträge oder zukünftige Verarbeitungen anpassen, insbesondere bei Änderungen der technischen Systeme, Subprozessoren, gesetzlichen Anforderungen oder internen Prozesse.
Für bestehende Vertragsverhältnisse gelten Änderungen nur, wenn sie dem Kunden mitgeteilt werden und der Kunde ihnen zustimmt oder die Änderung aus datenschutzrechtlichen, technischen oder gesetzlichen Gründen erforderlich und dem Kunden zumutbar ist.
Wesentliche Änderungen, insbesondere Änderungen bei Subprozessoren oder Drittlandübermittlungen, werden dem Kunden angemessen mitgeteilt.
Änderungen und Ergänzungen dieser AVV bedürfen mindestens der Textform, sofern nicht gesetzlich eine strengere Form vorgeschrieben ist.
Es gilt das Recht der Bundesrepublik Deutschland.
Soweit gesetzlich zulässig und beide Parteien Unternehmer sind, ist Gerichtsstand Bremen, Deutschland.
Sollten einzelne Bestimmungen dieser AVV ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gelten die gesetzlichen Regelungen.
Da vitonnect die Leistungen grundsätzlich remote und digital erbringt, erfolgt die Verarbeitung überwiegend über geschützte digitale Systeme und lokale Arbeitsgeräte.
Maßnahmen:
Maßnahmen:
Maßnahmen:
Maßnahmen:
Maßnahmen:
Maßnahmen:
Maßnahmen:
Maßnahmen:
Maßnahmen:
Maßnahmen:
Maßnahmen:
Maßnahmen:
Diese Anlage beschreibt die zum Stand dieser AVV vorgesehenen Subprozessoren und externen Dienste. Der konkrete Einsatz kann je nach gebuchter Leistung, technischer Konfiguration und Projekt variieren.
Zweck:
Mögliche Dienste:
Datenarten:
Verarbeitungsort:
EU-Regionen, insbesondere europe-west1, soweit technisch entsprechend konfiguriert, oder die jeweils konkret konfigurierte Google-Cloud-Region.
Hinweis:
Die konkrete Region und die abgeschlossenen Datenschutzbedingungen sind technisch und organisatorisch zu dokumentieren.
Zweck:
Datenarten:
Verarbeitungsort:
Nach aktueller Planung AWS eu-west-2 / London, Vereinigtes Königreich, sofern das Projekt entsprechend konfiguriert ist.
Hinweis:
Das Vereinigte Königreich verfügt derzeit über einen Angemessenheitsbeschluss der Europäischen Kommission. Die konkrete Projektregion ist zu prüfen und zu dokumentieren.
Zweck:
Datenarten:
Verarbeitungsort:
Je nach Anbieterstruktur EU/USA oder andere Anbieterstandorte.
Übermittlungsgrundlage:
Geeignete Garantien nach DSGVO, insbesondere Standardvertragsklauseln oder EU-US Data Privacy Framework, soweit anwendbar und vom Anbieter bereitgestellt.
Hinweis:
Die Nutzung erfolgt auf Grundlage geeigneter datenschutzrechtlicher Vereinbarungen und Übermittlungsgrundlagen, soweit Resend personenbezogene Daten im Auftrag von vitonnect verarbeitet.
Zweck:
Datenarten:
Verarbeitungsort:
Je nach Anbieterstruktur EU/USA oder andere Anbieterstandorte.
Übermittlungsgrundlage:
Geeignete Garantien nach DSGVO, insbesondere Standardvertragsklauseln oder EU-US Data Privacy Framework, soweit anwendbar und vom Anbieter bereitgestellt.
Hinweis:
Cal.com betrifft in der Regel Termin- und Kontaktdaten, nicht hochgeladenes Videomaterial. Die Nutzung erfolgt auf Grundlage geeigneter datenschutzrechtlicher Vereinbarungen und Übermittlungsgrundlagen, soweit Cal.com personenbezogene Daten im Auftrag von vitonnect verarbeitet.
Zweck:
Datenarten:
Verarbeitungsort:
Europäische Union bzw. Europäischer Wirtschaftsraum, soweit entsprechend konfiguriert, sowie weitere Anbieterstandorte nach Maßgabe der Microsoft-Datenschutz- und Auftragsverarbeitungsbedingungen.
Übermittlungsgrundlage:
Geeignete Garantien nach DSGVO, insbesondere EU-Standardvertragsklauseln und/oder eine Zertifizierung unter dem EU-US Data Privacy Framework, soweit anwendbar.
Hinweis:
Microsoft-Dienste werden nur eingesetzt, soweit dies zur internen Organisation, sicheren Dateiablage oder Vertragsdurchführung erforderlich ist.
Zweck:
Datenarten:
Verarbeitungsort:
Je nach Anbieterstruktur und Produktkonfiguration.
Übermittlungsgrundlage:
Geeignete Garantien nach DSGVO, soweit erforderlich und vom Anbieter bereitgestellt.
Hinweis:
Der konkrete Einsatz von CapCut Web, Mobile, Cloud und CapCut-KI-Funktionen erfolgt nur, soweit dies für die Leistungserbringung erforderlich oder mit dem Kunden abgestimmt ist. Soweit Kundenvideos mit personenbezogenen Daten in CapCut hochgeladen oder cloudbasiert verarbeitet werden, wird der Dienst in der Datenschutz- und Subprozessorenprüfung besonders berücksichtigt.
Status:
Derzeit nicht aktiv für Zahlungsabwicklung eingesetzt.
Zweck bei späterer Aktivierung:
Hinweis:
Stripe wird erst nach Aktivierung als aktiver Subprozessor berücksichtigt. Vor Aktivierung sind DPA, Anbieterinformationen, Datenflüsse und Datenschutzhinweise zu prüfen und zu dokumentieren.