Auftragsverarbeitungsvertrag

1. Parteien, Geltung, Abschluss

1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die Droidtech e.K., Inhaber Michael Rauen, Auf der Eichelsbach 19, 54533 Hasborn (Anbieter, Auftragsverarbeiter), im Auftrag eines Kunden (Verantwortlicher) bei der Nutzung der Plattform Castfold verarbeitet. Er ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und den Nutzungsvertrag über das Konto. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.

1.2 Der Vertrag gilt für Kunden, die Unternehmer sind (§ 14 BGB) und Castfold für personenbezogene Daten Dritter nutzen, etwa Daten ihrer Mitarbeitenden, ihrer Auftraggeber oder von Personen, die in hochgeladenen oder erzeugten Videos zu sehen oder zu hören sind. Verbraucher brauchen ihn nicht. Verwaltet der Kunde Kanäle im Auftrag eigener Auftraggeber, ist der Kunde deren Auftragsverarbeiter und der Anbieter Unterauftragsverarbeiter; der Kunde sichert zu, dass seine Auftraggeber dem Einsatz des Anbieters zugestimmt haben.

1.3 Der Anbieter bietet diesen Vertrag als Standardvertrag an. Der Kunde nimmt ihn an, indem der Kontoinhaber per E-Mail von der im Konto hinterlegten Adresse an mail@castfold.com erklärt, dass dieser Vertrag in der unter castfold.com/de/avv/ veröffentlichten Fassung gelten soll; bietet die Anwendung eine Bestätigung an, genügt auch diese. Der Anbieter bestätigt den Abschluss per E-Mail mit Datum und Stand der Fassung; damit ist die elektronische Form nach Art. 28 Abs. 9 DSGVO gewahrt. Der Vertrag gilt für alle Konten, deren Kontoinhaber der Kunde ist. Er ist unentgeltlich.

1.4 Für Daten, die der Anbieter in eigener Verantwortung verarbeitet (Konto- und Mitgliederdaten, Abrechnung, Sicherheit, Protokolle), gilt die Datenschutzerklärung, nicht dieser Vertrag.

2. Gegenstand, Dauer, Art und Zweck, Datenarten, Betroffene

2.1 Gegenstand ist die Bereitstellung von Castfold: Speichern, Verarbeiten und Übertragen von Kanal- und Videodaten, Videodateien und Studio-Dateien des Kunden, Abruf und Auswertung von YouTube-Daten sowie die Erzeugung von Inhalten mit KI-Modellen. Art, Zweck, Datenarten und betroffene Personen beschreibt Anlage 1.

2.2 Der Vertrag läuft, solange der Nutzungsvertrag über das Konto besteht, und endet mit der Löschung des Kontos. Die Pflichten aus den Abschnitten 4 und 9 gelten darüber hinaus.

2.3 Der Anbieter verarbeitet die Daten in der Europäischen Union. Unterauftragsverarbeiter und Übermittlungen in Drittländer richten sich nach Abschnitt 6, Abschnitt 11 und Anlage 3.

3. Weisungen

3.1 Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO). Weisungen sind dieser Vertrag, die AGB, die Nutzung der Funktionen und Einstellungen der Anwendung sowie Aufträge über die Maschinen-API. Weitere Weisungen erteilt der Kontoinhaber in Textform an mail@castfold.com; der Anbieter bestätigt sie.

3.2 Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert (Art. 28 Abs. 3 Satz 3 DSGVO).

3.3 Geht eine Weisung über den in den AGB beschriebenen Leistungsumfang hinaus, kann der Anbieter den nachgewiesenen Aufwand berechnen; er nennt die Kosten vorher.

3.4 Der Anbieter nutzt die Daten des Kunden nicht für eigene Zwecke, gibt sie nicht an Dritte weiter und verwendet sie nicht zum Training von KI-Modellen; das gilt auch für die eingesetzten Modellanbieter nach Anlage 3. Er verarbeitet sie nur so lange, wie es die Leistung und die Löschregeln nach Abschnitt 9 verlangen.

4. Vertraulichkeit

Der Anbieter gewährt Zugang zu den Daten des Kunden nur Personen, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO). Zugang zu den Produktionssystemen hat der Inhaber; weitere Personen erhalten ihn nur nach schriftlicher Verpflichtung. Auf Inhalte des Kunden greift der Anbieter nur zu, wenn der Kunde es für den Support verlangt, wenn es für die Sicherheit der Plattform erforderlich ist (etwa bei der Untersuchung von Missbrauch) oder wenn ein Gesetz es verlangt. Die Pflicht zur Vertraulichkeit gilt nach dem Ende des Vertrags fort.

5. Sicherheit der Verarbeitung

5.1 Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO). Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt; wesentliche Änderungen veröffentlicht er in Anlage 2.

5.2 Der Kunde hat die Maßnahmen geprüft und hält sie für die Verarbeitung nach Anlage 1 für angemessen. Verlangt der Kunde weitergehende Maßnahmen, vereinbaren die Parteien sie gesondert.

6. Unterauftragsverarbeiter

6.1 Der Kunde genehmigt allgemein, dass der Anbieter die in Anlage 3 genannten Unterauftragsverarbeiter einsetzt (Art. 28 Abs. 2 Satz 1 DSGVO). Der Anbieter verpflichtet jeden Unterauftragsverarbeiter durch Vertrag zu denselben Datenschutzpflichten, die ihn selbst nach diesem Vertrag treffen (Art. 28 Abs. 4 DSGVO), prüft ihn vor dem Einsatz und haftet dem Kunden gegenüber für dessen Pflichterfüllung.

6.2 Beabsichtigt der Anbieter, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er den Kontoinhaber mindestens 30 Tage vor dem Beginn des Einsatzes per E-Mail und veröffentlicht die geänderte Anlage 3 unter castfold.com/de/avv/. Der Kunde kann der Änderung binnen 14 Tagen nach Zugang der Mitteilung aus einem berechtigten datenschutzrechtlichen Grund widersprechen. Widerspricht er nicht, gilt der Einsatz als genehmigt. Bei einem Widerspruch bemühen sich die Parteien um eine Lösung; gelingt sie nicht bis zum angekündigten Beginn, kann jede Seite die betroffene Leistung mit einer Frist von 30 Tagen kündigen; unverbrauchtes bezahltes Guthaben wird nach Abschnitt 7b.8 der AGB erstattet.

6.3 Muss ein Unterauftragsverarbeiter aus Sicherheitsgründen sofort ersetzt werden, darf der Anbieter den Ersatz vor Ablauf der Frist einsetzen und informiert den Kunden unverzüglich; das Widerspruchsrecht nach 6.2 bleibt.

6.4 Dienstleister, die der Anbieter ohne Zugriff auf Daten des Kunden nutzt (etwa Wartung von Software ohne Datenzugang), und Stellen, die Daten in eigener Verantwortung verarbeiten (Zahlungsdienstleister, Google LLC im Rahmen der YouTube-API), sind keine Unterauftragsverarbeiter.

7. Rechte der betroffenen Personen

7.1 Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO; Art. 28 Abs. 3 lit. e). Auskunft, Berichtigung, Löschung und Datenübertragbarkeit kann der Kunde für seine Daten weitgehend selbst in der Anwendung erledigen: Daten ändern und löschen, Kanäle trennen, Videos und Dateien löschen, Datenexport als Datei.

7.2 Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er das Anliegen binnen drei Werktagen an den Kontoinhaber weiter und beantwortet es nicht selbst, es sei denn, das Gesetz verpflichtet ihn dazu.

7.3 Geht die Unterstützung über die Funktionen der Anwendung hinaus, gilt Abschnitt 3.3.

8. Verletzung des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung

8.1 Stellt der Anbieter eine Verletzung des Schutzes personenbezogener Daten fest, die Daten des Kunden betrifft, meldet er sie dem Kontoinhaber unverzüglich, spätestens 48 Stunden nach Kenntnis, per E-Mail. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, betroffene Datenkategorien und Personen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Ansprechstelle (Art. 33 Abs. 3 DSGVO). Fehlende Angaben liefert der Anbieter nach.

8.2 Der Anbieter unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen sowie bei einer Datenschutz-Folgenabschätzung, soweit sie die Verarbeitung nach Anlage 1 betrifft. Er stellt dafür die Angaben aus diesem Vertrag und den Anlagen bereit.

9. Löschung und Rückgabe

9.1 Der Kunde kann seine Daten jederzeit in der Anwendung als Datei exportieren (Art. 28 Abs. 3 lit. g DSGVO). Videodateien sind darin nicht enthalten; der Kunde sichert sie selbst (AGB 11.5).

9.2 Während der Laufzeit löscht der Anbieter nach den in den AGB und in der Datenschutzerklärung beschriebenen Regeln: Videodateien geplanter oder veröffentlichter Videos spätestens 48 Stunden nach der Übertragung zu YouTube, nicht geplante eigene Uploads 30 Tage nach dem Hochladen, ruhende Studio-Arbeitsdateien nach 30 Tagen, über die YouTube-API abgerufene Daten nach 30 Tagen ohne Aktualisierung, getrennte Kanäle innerhalb von 30 Tagen. Diese Regeln sind Weisungen des Kunden.

9.3 Mit der Löschung des Kontos löscht der Anbieter alle Daten des Kunden unverzüglich, einschließlich der Objekte im Objektspeicher und der Kopien bei Unterauftragsverarbeitern, soweit diese sie nicht bereits gelöscht haben. Ausgenommen sind Daten, die der Anbieter nach Gesetz aufbewahren muss (Abschnitt 10 der Datenschutzerklärung); sie werden für die Dauer der Aufbewahrungspflicht gesperrt und danach gelöscht. Sicherungen der Datenbank werden nach 14 Tagen, ausgelagerte verschlüsselte Sicherungen nach 30 Tagen überschrieben. Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

10. Nachweise und Prüfungen

10.1 Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h). Dazu gehören dieser Vertrag mit Anlagen, Auskünfte in Textform sowie Nachweise und Zertifikate der Unterauftragsverarbeiter, soweit diese sie bereitstellen.

10.2 Reichen diese Nachweise im Einzelfall nicht aus, kann der Kunde einmal je Kalenderjahr, mit einer Ankündigung von 30 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebs eine Prüfung selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen. Prüfungen bei Unterauftragsverarbeitern erfolgen über deren Prüfverfahren. Die Kosten der Prüfung trägt der Kunde, es sei denn, sie deckt einen erheblichen Verstoß des Anbieters auf.

10.3 Prüfungen durch eine Aufsichtsbehörde duldet der Anbieter; er informiert den Kunden über Anfragen der Behörde, die dessen Daten betreffen, soweit er das darf.

11. Übermittlung in Drittländer

Der Anbieter selbst verarbeitet die Daten des Kunden nur in der Europäischen Union. Eine Übermittlung in ein Drittland findet nur über Unterauftragsverarbeiter nach Anlage 3 und nur mit den dort genannten Garantien statt (Art. 44 bis 46 DSGVO). Der Kunde genehmigt diese Übermittlungen; für Übermittlungen in die USA an Empfänger, die unter dem EU-US Data Privacy Framework zertifiziert sind, gilt der Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), ergänzend die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

12. Pflichten des Kunden

12.1 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen und die Rechte an hochgeladenen Inhalten. Er lädt keine Daten hoch und gibt keine Daten in KI-Funktionen ein, für die er keine Rechtsgrundlage hat (AGB 9). Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet er über Castfold nur, wenn er dafür eine Rechtsgrundlage hat und dem Anbieter dies vorher mitteilt.

12.2 Ansprechpartner des Kunden ist der Kontoinhaber; der Kunde hält dessen E-Mail-Adresse im Konto aktuell. Mitteilungen des Anbieters nach diesem Vertrag gehen an diese Adresse.

12.3 Der Kunde informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung bemerkt.

13. Haftung, Änderungen, Schlussbestimmungen

13.1 Für die Haftung gelten Art. 82 DSGVO und Abschnitt 10 der AGB.

13.2 Der Anbieter kann diesen Vertrag anpassen, wenn sich Rechtslage, Rechtsprechung, Unterauftragsverarbeiter oder Funktionen ändern. Er kündigt Änderungen mindestens 30 Tage vor dem Wirksamwerden per E-Mail an den Kontoinhaber an und veröffentlicht die neue Fassung unter castfold.com/de/avv/. Widerspricht der Kunde nicht bis zum Wirksamwerden, gilt die neue Fassung; darauf weist der Anbieter in der Ankündigung hin. Widerspricht der Kunde, gilt die bisherige Fassung fort, und jede Seite kann den Nutzungsvertrag mit einer Frist von 30 Tagen kündigen. Änderungen der Anlage 3 richten sich allein nach Abschnitt 6.

13.3 Es gilt das Recht der Bundesrepublik Deutschland. Vertragssprache ist Deutsch; die englische Fassung dient der Information. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Anlage 1: Beschreibung der Verarbeitung

Gegenstand und Zweck. Betrieb von YouTube-Kanälen des Kunden mit Castfold: Verbindung von Kanälen über Google-OAuth, Übertragung von Branding, Planung und Upload von Videos, Abruf und Auswertung von Statistiken, Erzeugung von Konzepten, Metadaten, Übersetzungen, Bildern, Videos, Sprecherstimmen und Musik mit KI-Modellen im Video-Studio, Speicherung von Videodateien und Studio-Dateien bis zur Löschfrist, Bereitstellung einer Maschinen-API, Datenexport.

Art der Verarbeitung. Erheben über die YouTube-API und durch Eingaben des Kunden, Speichern, Ordnen, Auswerten, Verändern (Schnitt, Übersetzung, Erzeugung), Übermitteln an YouTube und an Unterauftragsverarbeiter nach Anlage 3, Löschen.

Datenarten.

• Kanal- und Videodaten aus der YouTube-API: Kanal-ID, Titel, Handle, Beschreibung, Keywords, Banner, Video-ID, Titel, Beschreibung, Tags, Status, Veröffentlichungszeitpunkt, Aufrufe, Likes, Kommentaranzahl, Tageswerte zu Aufrufen, Wiedergabezeit, Abonnenten, geschätzten Einnahmen und Zuschauerbindung (keine Daten einzelner Zuschauer)
• OAuth-Zugriffs- und Aktualisierungstoken des verbundenen Google-Kontos (verschlüsselt)
• Videodateien, Vorschaubilder, Bilder, Sprecherspuren, Musik und Studio-Arbeitsdateien des Kunden, einschließlich darin abgebildeter oder hörbarer Personen
• Eingaben in KI-Funktionen (Stichworte, Hinweise, Drehbücher, Fragen) und die erzeugten Ergebnisse
• Mitgliederdaten des Kontos: Name, E-Mail-Adresse, Rolle, Rechte, Zeitpunkte der Nutzung
• Daten der Maschinen-API: Aufträge, Zugriffsschlüssel (gehasht), Webhook-Adressen
• Support-Kommunikation

Betroffene Personen. Mitarbeitende und Beauftragte des Kunden, Auftraggeber des Kunden und deren Mitarbeitende (bei Agenturen), Personen, die in Videos, Bildern oder Tonaufnahmen des Kunden erkennbar sind, Kontaktpersonen des Kunden beim Anbieter. Zuschauer der Kanäle sind nur in aggregierten Statistiken ohne Personenbezug enthalten.

Dauer. Laufzeit des Nutzungsvertrags; Löschfristen nach Abschnitt 9.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt. Die Anwendung, die Datenbank und der Arbeitspuffer laufen auf einem eigenen virtuellen Server bei einem Hosting-Anbieter in Deutschland (Anlage 3) in einem zugangsgesicherten Rechenzentrum. Videodateien und Studio-Dateien liegen im Objektspeicher nach Anlage 3 in Rechenzentren in der Europäischen Union.
• Zugang. Verwaltung des Servers nur über SSH mit persönlichen Schlüsseln; kein Zugang mit Passwort; der Anwendungsbenutzer hat keine Verwaltungsrechte auf dem Server. Zugriff nur durch den Inhaber. Die Datenbank ist aus dem Internet nicht erreichbar (nur lokal). Anmeldung in der Anwendung passwortlos mit Einmalcodes per E-Mail; Sitzungen laufen über signierte Token, deren Aktualisierungstoken nur gehasht gespeichert werden. Zugriffsschlüssel der Maschinen-API werden gehasht gespeichert. Fehlversuche und Massenanfragen werden begrenzt.
• Zugriff. Rollen und Rechte je Konto (Inhaber, Administrator, Mitglieder mit einzelnen Rechten); jedes Konto sieht nur seine eigenen Daten (Mandantentrennung durch feste Kontofilter in jeder Datenbankabfrage). Betreiberfunktionen sind auf den Plattform-Administrator beschränkt und protokolliert. Support-Zugriff nur nach Abschnitt 4.
• Trennung. Getrennte Umgebungen für Entwicklung und Betrieb; Testkonten sind gekennzeichnet und nicht mit Kundendaten verbunden. Vorführkonten können keine Daten an YouTube senden.
• Pseudonymisierung und Verschlüsselung. Alle Verbindungen ausschließlich über TLS (HTTPS). OAuth-Token werden mit AES-256 verschlüsselt, die Schlüssel liegen getrennt von der Datenbank und erscheinen nie in Oberfläche, Protokollen oder Exporten. Objekte im Objektspeicher tragen nur interne Kennungen als Namen (keine Titel, keine Namen) und sind ausschließlich über signierte Adressen mit kurzer Gültigkeit (15 Minuten für Uploads, 30 Minuten für Vorschauen) abrufbar; der Speicher ist nicht öffentlich. Medienadressen der Anwendung sind signiert. Sicherungen verlassen den Server nur mit AES-256 verschlüsselt.

Integrität

• Eingabekontrolle. Zustimmungen im Kaufweg und im Studio, Kündigungen, Löschungen, Änderungen an Rechten und Verbindungen werden mit Zeitpunkt und Nutzer im Konto-Protokoll festgehalten. Ausgehende E-Mails werden ohne Inhalt 90 Tage protokolliert. KI-Aufrufe werden mit Zeitpunkt, Modell und Kosten protokolliert.
• Weitergabekontrolle. Übertragungen zu YouTube nur mit der vom Kunden erteilten Berechtigung und nach seiner ausdrücklichen Bestätigung des Kanals; Widerruf jederzeit. Webhooks nur an geprüfte Adressen. Uploads aus dem Browser werden vor der Übernahme auf Größe, Dateityp und Vollständigkeit geprüft.

Verfügbarkeit und Belastbarkeit

• Sicherung. Vollständige Sicherung der Datenbank täglich, 14 Tage auf dem Server; die jüngsten drei bleiben immer. Zusätzlich täglicher Abruf über SSH an einen gesonderten, zugriffsgeschützten Speicherort außerhalb der Serverumgebung in Deutschland, in abschließbaren Geschäftsräumen; Zugriff nur für den Inhaber; dort nur verschlüsselt (AES-256 über GnuPG), Schlüssel getrennt verwahrt; unverschlüsselt nur während der Integritätsprüfung; 30 Tage aufbewahrt. Die Wiederherstellung wird geprüft.
• Betrieb. Überwachung der Anwendung im Fünf-Minuten-Takt; Warnungen an den Betreiber bei Störungen, Speichergrenzen und Kostenüberschreitungen. Fällt der Objektspeicher aus, laufen alle übrigen Funktionen weiter. Videodateien sind vergänglich; Quelle nach der Übertragung ist YouTube.
• Löschung. Automatische Löschläufe für Videodateien, Uploads, Studio-Dateien, Exporte, Protokolle und API-Daten nach den Fristen in Abschnitt 9; Kontolöschung mit Bestätigung per Code, unumkehrbar, mit Löschung aller Objekte des Kontos im Objektspeicher.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests vor jeder Auslieferung, darunter Prüfungen der Mandantentrennung, der Rechte und der Abschottung von Vorführkonten. Sicherheitsprüfung neuer Funktionen mit Datenzugang vor der Freigabe. Regelmäßige Aktualisierung von Betriebssystem, Laufzeitumgebung und Abhängigkeiten. Der Anbieter überprüft diese Anlage mindestens einmal jährlich und bei wesentlichen Änderungen.

Anlage 3: Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter	Anschrift	Leistung	Betroffene Daten	Ort der Verarbeitung	Garantie bei Drittlandübermittlung
Host Europe GmbH	Hansestraße 111, 51149 Köln, Deutschland	Betrieb des virtuellen Servers mit Anwendung, Datenbank und Arbeitspuffer (Hosting)	Alle Daten nach Anlage 1 mit Ausnahme der im Objektspeicher liegenden Dateien	Rechenzentrum in Deutschland	Keine Drittlandübermittlung; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich	Hauptstraße 68, 02742 Friedersdorf, Deutschland	Versand von E-Mails (Anmeldecodes, Einladungen, Benachrichtigungen, Bestellbestätigungen)	E-Mail-Adresse, Betreff und Inhalt der Nachricht	Deutschland (Rechenzentren in Dresden)	Keine Drittlandübermittlung; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Google Cloud EMEA Limited	70 Sir John Rogerson’s Quay, Dublin 2, Irland	KI-Modelle über Google Cloud Vertex AI (Text, Übersetzung, Bild, Video, Sprecher, Musik)	Eingaben in KI-Funktionen, Auszüge aus Kanaldaten und Statistiken als Kontext, Bild-Prompts, erzeugte Ergebnisse; keine Nutzung zum Training	Globaler Endpunkt von Vertex AI: Google wählt das verarbeitende Rechenzentrum, auch außerhalb der Europäischen Union, insbesondere USA; Videomodelle über us-central1 (USA)	Cloud Data Processing Addendum von Google mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Google LLC und seine US-Tochtergesellschaften sind unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); Unterauftragsverarbeiter von Google: https://cloud.google.com/terms/subprocessors
Cloudflare, Inc.	101 Townsend St., San Francisco, CA 94107, USA; Ansprechpartner in Europa: Cloudflare Germany GmbH, Rosental 7, 80331 München, Deutschland	Objektspeicher Cloudflare R2 für Videodateien, Vorschaubild-Rohdateien und Arbeitsdateien des Video-Studios; direkter Upload aus dem Browser und Vorschauen über signierte Adressen	Videodateien und Studio-Dateien des Kunden mit möglichen personenbezogenen Inhalten (Bild, Stimme); technische Objektangaben (interne Kennungen, Größe, Zeitpunkt, Dateityp); IP-Adresse, Zeitpunkt und Browserkennung der Nutzer beim direkten Upload und bei Vorschauen	Dateien ausschließlich in der Europäischen Union (Bucket mit EU-Jurisdiktion); Objektangaben, Zugriffsdaten, Nutzungskennzahlen sowie Support und Betrieb weltweit, auch USA	Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Cloudflare, Inc. ist zertifiziert; Art. 45 DSGVO); ergänzend EU-Standardvertragsklauseln, Modul 3, im Cloudflare Data Processing Addendum (Art. 46 Abs. 2 lit. c DSGVO); Unterauftragsverarbeiter von Cloudflare: https://www.cloudflare.com/gdpr/subprocessors/

Keine Unterauftragsverarbeiter, sondern eigene Verantwortliche sind Stripe Payments Europe, Ltd. (Zahlungen und Auszahlungen) und Google LLC bzw. Google Ireland Limited im Rahmen der YouTube-API; Einzelheiten stehen in der Datenschutzerklärung.