Auftragsverarbeitungsvertrag

Nach Art. 28 DSGVO zwischen dir (Verantwortlicher) und [bitte eintragen] (Auftragsverarbeiter). Er gilt mit dem Abschluss des Hauptvertrags; du brauchst ihn nicht gesondert zu unterschreiben.

2026-10-08

Entwurf. Diese Seite ist nach bestem Wissen geschrieben und ersetzt keine Rechtsberatung. Lass sie vor dem Start von einer Anwältin oder einem Anwalt prüfen und trage die fehlenden Angaben ein.

Gegenstand und Dauer

Verarbeitet wird, was du in das Produkt eingibst und darin erzeugst, für die Laufzeit des Hauptvertrags.

Art der Daten und Betroffene

Kontaktdaten deiner Mitarbeitenden, Inhalte deines Firmenprofils, hochgeladene Bilder – und damit gegebenenfalls Abbildungen von Personen. Betroffene: deine Mitarbeitenden, Kundinnen und Kunden, abgebildete Personen.

Weisungen

Wir verarbeiten die Daten nur nach deinen Weisungen. Die Nutzung des Produkts ist die Weisung; darüber hinausgehende Weisungen erteilst du in Textform.

Unterauftragnehmer

Du stimmst den folgenden Unterauftragnehmern zu. Wechsel oder Ergänzungen teilen wir 30 Tage vorher mit; du kannst ihnen widersprechen und in diesem Fall kündigen.

Railway Corporation — Server, Datenbank und Medienspeicher (der Medienspeicher läuft bei Tigris Data, Inc.) — USA; Server in der EU-Region Amsterdam (Niederlande) — Alle Inhalte und Konten

Stripe Payments Europe, Ltd. — Zahlungen, Rechnungen, Steuerberechnung — Irland (EU), Konzern in den USA — Name, Adresse, USt-IdNr., Zahlungsdaten

Resend — Anmelde-Links und Systemnachrichten — EU-Region — E-Mail-Adresse

Anthropic Ireland, Limited (Claude) — Textmodelle für Berater, Agent, Regie und Inhaltsprüfung — Irland (EU), Verarbeitung in den USA — Firmenprofil, Skripte, Prompts und Bilder, die das Modell ansehen soll (etwa Standbilder für die Regie)

Google Cloud (Vertex AI, EU-Region) — Standardstimme und ein Videomodell — EU (europe-west4) — Der zu sprechende Text; beim Videomodell Prompts und Referenzbilder

fal.ai (Features & Labels, Inc.) — Bild-, Video- und 3D-Modelle, Lippensynchronisation, Musik, Hochskalieren — USA — Prompts und Referenzbilder; für die Lippensynchronisation Clip und Stimme

Higgsfield Inc. — Bild- und Videomodelle — USA — Prompts und Referenzbilder

ElevenLabs Inc. — Sprachausgabe — USA — Der zu sprechende Text

OpenAI Ireland Ltd. — Bildmodell — Irland (EU), Konzern in den USA — Prompts und Referenzbilder

Sentry (EU) — Fehlerprotokolle — EU — Technische Fehlerdaten ohne Inhalte

Technische und organisatorische Maßnahmen

Verschlüsselung im Transport (TLS) und im Objektspeicher; Zugriff auf Kundendaten nur über die Anwendung und nur für berechtigte Konten; Rollen und Rechte je Organisation; getrennte Umgebungen; Sicherungen mit Wiederherstellungstest; Protokollierung sicherheitsrelevanter Ereignisse; signierte, ablaufende Links für Medien; Ratenbegrenzung gegen Missbrauch; Virenprüfung jeder hochgeladenen Datei in unserer eigenen Server-Umgebung, bevor sie verarbeitet wird, danach Neukodierung der Bilder ohne Metadaten.

Unterstützung und Meldungen

Wir unterstützen dich bei Auskunfts-, Lösch- und Berichtigungsersuchen – im Produkt selbst über Export und Löschfunktion. Datenschutzverletzungen melden wir dir unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

Löschung nach Vertragsende

Nach Ende des Vertrags löschen wir deine Daten binnen 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch erhältst du vorher einen vollständigen Export.

Nachweise

Du darfst die Einhaltung prüfen; in der Regel genügt eine Selbstauskunft, im Einzelfall eine Prüfung nach Ankündigung zu üblichen Geschäftszeiten.