Recht & Datenschutz

Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Verarbeitet ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen, verlangt Art. 28 DSGVO einen schriftlichen Vertrag zur Auftragsverarbeitung (AVV). Diese Seite erläutert, wie WhatzTxT Medien- und Raumdaten als Auftragsverarbeiter behandelt — gerichtsnah, nicht gerichtsfest: ein Hilfsmittel, das kein Sachverständigengutachten ersetzt.

Parteien und Rollen

Verantwortlicher (Art. 4 Nr. 7 DSGVO) ist der Kunde, der Dateien hochlädt oder einen Live-Raum eröffnet. Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) ist der Anbieter: skillbox.nrw GmbH, Im Springen 2, 58791 Werdohl. Der Verantwortliche bestimmt Inhalt und Umfang der hochgeladenen Daten und trägt die datenschutzrechtliche Verantwortung sowie die Rechtsgrundlage (Art. 6, 9, 10 DSGVO) und die Rechtmäßigkeit der Aufnahme (§§ 201, 201a StGB).

Art der Daten und Kategorien betroffener Personen

Art der Daten: in den Aufnahmen enthaltene personenbezogene Daten — insbesondere gesprochene Inhalte, Stimm-/Sprachdaten, optionale Video- und Bildschirmdaten, Chatnachrichten, Anzeigenamen, Raum-/Einladungsdaten sowie Einwilligungstexte und deren Prüfnachweise; ggf. besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sowie Daten über strafrechtliche Verurteilungen/Straftaten (Art. 10 DSGVO), je nach Inhalt der Aufnahme. Ferner Kontaktdaten (E-Mail des Verantwortlichen) zur Lieferung.

Kategorien betroffener Personen: alle in den Aufnahmen erfassten Sprecher und Dritte — etwa Gesprächspartner, Mandanten, Zeugen und sonstige genannte Personen.

Dauer der Verarbeitung

Die Verarbeitung beginnt mit Upload beziehungsweise Raumbeitritt und endet mit der Lieferung sowie der anschließenden Löschung. Für Datei-Aufträge gilt ein Download-Zeitraum von30 Tagen. Bezahlte Live-Protokollräume einschließlich Medien, Raumzustand, Einwilligungsnachweisen und Protokollartefakten werden grundsätzlich 90 Tage nach Sitzungsende gelöscht. Noch nicht bezahlte Live-Ergebnisse werden 24 Stunden vorgehalten. Eine schriftlich vereinbarte Legal-Hold-Aufbewahrung bleibt ausgenommen.

Weisungsbindung (Art. 28 Abs. 3 lit. a)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die initiale Weisung ergibt sich aus dem AVV und der jeweiligen Bestellung; weitere Weisungen erfolgen in Textform an contact@skillbox.nrw. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen (Art. 28 Abs. 3 S. 2 lit. h, S. 3).

Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Bei mandatsbezogenen Daten gilt zusätzlich die Verschwiegenheitsverpflichtung nach § 203 StGB / § 43e BRAO.

Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4)

Der Einsatz von Unterauftragsverarbeitern bedarf der Genehmigung. Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung; Änderungen werden vorab in Textform mitgeteilt, der Verantwortliche kann binnen 14 Tagen widersprechen. Mit Unterauftragsverarbeitern werden Verträge mit gleichwertigen Datenschutzpflichten geschlossen.

• Verarbeitungsstandort: skillbox.nrw GmbH, Medien- und KI-Verarbeitung auf eigenen Servern, Werdohl (Deutschland).
• Security-Gateway: STRATO AG — VPS-Hosting für TLS, Schutz und Routing; keine KI-Verarbeitung und keine planmäßige dauerhafte Ablage von Gesprächsinhalten.
• Zahlungsdienstleister: PayPal — eigenständig Verantwortlicher, kein Unterauftragsverarbeiter; es werden keine Audiodaten an den Zahlungsdienstleister übermittelt.

Unterstützung, Meldungen und Nachweise

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Datenschutzverletzungen meldet er unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) und stellt die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit, einschließlich zumutbarer Inspektionen durch den Verantwortlichen oder einen beauftragten Prüfer.

Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

Nach Abschluss der Leistung löscht der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Zahlungs- und Rechnungsdaten unterliegen handels- und steuerrechtlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO).

Vollständigen AVV anfordern

Den vollständigen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO stellen wir auf Anfrage bereit: per E-Mail an contact@skillbox.nrw.

Datenschutzerklärung AVV anfordern