Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend "AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der Nutzung der VoxDrop-Dienste ergeben. Er findet Anwendung auf alle Tätigkeiten, bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte personenbezogene Daten des Auftraggebers verarbeiten.

1. Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand

Gegenstand des Auftrags ist die Bereitstellung der folgenden Module:

• Smart-PDF: PowerPoint als Smart-PDF mit Prüfbericht, optional mit KI-Vorprüfung (Beta).

Hinzu kommen die Aufbereitung von Word- und PDF-Dateien zu einem Smart-PDF wie bei Präsentationen, für angemeldete Nutzerdie Aufbereitung von InDesign-Dokumenten (als IDML oder InDesign-Paket) zu einem PDF-Entwurf mit Prüfbeleg und der Dokument-Agent. Der Dokument-Agent nimmt PowerPoint-, Word-, PDF- und InDesign-Dateien (IDML oder InDesign-Paket) an, erkennt das Format und startet die passende Umwandlung.

1.2 Dauer

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Der AVV endet automatisch mit Beendigung des Hauptvertrags, sofern nicht gesetzliche Aufbewahrungspflichten eine längere Speicherung erfordern.

2. Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Dienstleistungen, insbesondere:

• Transkription eingebetteter Audio- und Videodateien in hochgeladenen Präsentationen
• Verarbeitung hochgeladener Präsentationen, Word- und PDF-Dateien zur Erstellung von Smart-PDFs
• Verarbeitung hochgeladener IDML-Dateien und InDesign-Pakete zur Erstellung von PDF-Entwürfen mit Prüfbeleg
• Speicherung früher angelegter Kurzlinks (URL kürzen, nicht mehr angeboten) bis zur Löschung des Kontos
• Speicherung von Nutzerdaten zur Bereitstellung des Dienstes
• Protokollierung zur Qualitätssicherung und Fehleranalyse

3. Art der personenbezogenen Daten

Folgende Datenkategorien können verarbeitet werden:

• Stammdaten (Name, E-Mail-Adresse, Organisation)
• Nutzungsdaten (Zugriffszeiten, verwendete Funktionen)
• Inhaltsdaten (hochgeladene Präsentationen, Word-, InDesign- und PDF-Dateien, erzeugte Transkripte eingebetteter Medien, Smart-PDFs und PDF-Entwürfe, Ziel-Adressen und Titel von Kurzlinks)
• Technische Daten (IP-Adresse, Browser-Informationen)

4. Kategorien betroffener Personen

• Mitarbeiter und Beauftragte des Auftraggebers
• In Medieninhalten vorkommende Personen
• Autoren von Präsentationen, Word-, InDesign- und PDF-Dokumenten und in ihnen genannte Personen

5. Pflichten des Auftragnehmers

5.1 Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet.

5.2 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5.3 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DS-GVO. Die aktuellen Maßnahmen sind in der TOM-Dokumentation beschrieben.

5.4 Unterauftragnehmer

Der Auftragnehmer setzt die Unterauftragnehmer ein, die im Subunternehmer-Verzeichnis aufgeführt sind. Er informiert den Auftraggeber mindestens 14 Tage vor dem Einsatz eines neuen Unterauftragnehmers; der Auftraggeber hat ein Widerspruchsrecht. Drittlandübermittlungen stützen sich auf die im Subunternehmer-Verzeichnis genannte Grundlage nach Art. 44 ff. DS-GVO; steht der Nachweis dafür noch aus, sagt das Verzeichnis es ausdrücklich.

Die Verträge mit der Hetzner Online GmbH (Server-Hosting und KI-Inferenz) und mit Resend schließt die TYRN.ON GmbH.

Stand 06.11.2026 gelten für die Verarbeitung von Inhaltsdaten insbesondere:

• Hetzner Online GmbH, Deutschland (Server-Hosting): Für das Server-Hosting besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DS-GVO.
• Hetzner Online GmbH (KI-Inferenzdienst), Deutschland: Empfänger von Folientext und gerenderten Folienbildern für die KI-gestützte Erstellung des Smart-PDF; bei aktivierter KI-Vorprüfung zusätzlich der Quell- und Smart-PDF-Pakete der Vorprüfung. Als Sprachmodell dient Qwen3.8-27B; fällt es aus, schalten wir auf Qwen3.6-35B-A3B um. Beide Modelle laufen über die Hetzner-Inferenz-API; dieser Betrieb ist vorläufig.
• AKI.IO GmbH, Berlin, Deutschland (KI-Prüfung und -Korrektur): Prüfung und Korrektur des barrierefreien Smart-PDF durch ein offenes Sprachmodell; Empfänger sind Auszüge des Smart-PDF zu den beanstandeten Stellen und Text und gerenderte Bilder der zugehörigen Folien oder Seiten. Wir lassen dort nur Modelle der Vertrauensstufe TL5 zu: Nach dem Auftragsverarbeitungsvertrag von AKI.IO (Stand 13.10.2026) heißt das Verarbeitung ausschließlich in Deutschland durch einen deutschen Betreiber, ohne Speicherung und ohne Training mit Ihren Daten. Unterauftragsverarbeiter von AKI.IO für diese Stufe sind die AIME GmbH, Berlin (GPU-Rechenleistung), und die ScaleUp Technologies GmbH & Co. KG, Hamburg (Rechenzentrum).
• Resend, Inc., USA (E-Mail-Versand): Empfänger der E-Mail-Adresse und des Inhalts der jeweiligen E-Mail, bei Benachrichtigungen mit dem Dateinamen. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, sofern Resend zertifiziert ist; der Nachweis wird geprüft.

Die vollständige Liste mit Zweck, Standort und Rechtsgrundlage steht im Subunternehmer-Verzeichnis.

5.5 Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DS-GVO), und unterstützt ihn bei der Aufklärung.

5.6 Weisungen und Kontaktstelle

Weisungen des Auftraggebers ergehen in Textform an datenschutz@voxdrop.live. Dieselbe Adresse ist die Kontaktstelle für Datenschutzfragen und die Unterstützung bei Betroffenenanfragen.

6. Rechte und Pflichten des Auftraggebers

Der Auftraggeber ist verantwortlich für:

• Die Rechtmäßigkeit der Datenverarbeitung
• Die Information der betroffenen Personen
• Die Einholung erforderlicher Einwilligungen
• Die Beantwortung von Betroffenenanfragen

7. Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber bei:

• Der Beantwortung von Anfragen betroffener Personen
• Der Einhaltung der Meldepflichten bei Datenschutzverletzungen
• Der Durchführung von Datenschutz-Folgenabschätzungen
• Prüfungen durch Aufsichtsbehörden

8. Löschung und Rückgabe von Daten

Nach Beendigung der Verarbeitung löscht der Auftragnehmer die personenbezogenen Daten, soweit sich aus diesem Abschnitt nichts anderes ergibt und nicht eine Verpflichtung zur Speicherung besteht. Auf Wunsch werden die Daten vor der Löschung in einem gängigen Format an den Auftraggeber übergeben. Quell- und Ergebnisdateien der Verarbeitung, darunter Smart-PDFs und Prüfberichte, werden unabhängig davon automatisch gelöscht, und zwar je nach Ergebnisart nach den folgenden Fristen:

• Smart-PDF aus PowerPoint, Word und PDF (Quelldatei, Smart-PDF, Prüfbericht, Auftragsdaten): bis zu 48 Stunden
• IDML-Quelldateien und InDesign-Pakete sowie die daraus erstellten Prüfentwürfe (Quelle, Entwurf, Prüfbelege, Auftragsdaten): bis zu 25 Stunden nach Abschluss des Auftrags (24 Stunden Frist, stündliche Bereinigung)
• Zwischendateien und Smart-PDF-Pakete im PDF/UA-Verarbeitungsdienst: bis zu 24 Stunden

Die Fristen sind Obergrenzen und laufen ab dem Hochladen beziehungsweise ab Beginn des Auftrags, bei InDesign-Dateien ab dem Abschluss des Auftrags. Danach werden die Dateien automatisch gelöscht.

Kurzlinks (URL kürzen) werden nicht mehr angeboten und leiten nicht mehr weiter. Früher angelegte Kurzlinks haben keine automatische Löschfrist und bleiben mit ihrer Ziel-Adresse bis zur Löschung des Kontos gespeichert.

Nach der Löschung eines Kontos gilt, wie im Exit- und Löschkonzept beschrieben: Der Arbeitsbereich des Kontos mit seinem Namen, seinen Projekten und seinen Einladungen, das Credit-Konto und die Credit-Buchungen werden nicht gelöscht, sondern bleiben aus Buchhaltungsgründen bestehen. Der Name des Arbeitsbereichs kann die Organisation oder der Teil der E-Mail-Adresse vor dem @ sein. Datenbank-Sicherungen laufen nach der Betriebsvorgabe von 14 Tagen aus; bis dahin stehen auch die Daten eines gelöschten Kontos in älteren Sicherungen.

9. Kontrollrechte

Der Auftraggeber kann sich vor Beginn der Verarbeitung und sodann regelmäßig von den technischen und organisatorischen Maßnahmen des Auftragnehmers überzeugen. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung.

10. Haftung

Die Haftung richtet sich nach den gesetzlichen Bestimmungen der DS-GVO sowie den Regelungen des Hauptvertrags.

11. Schlussbestimmungen

Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

12. Unterschriften