Recht & Datenschutz

Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Verarbeitet ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen, verlangt Art. 28 DSGVO einen schriftlichen Vertrag zur Auftragsverarbeitung (AVV). Diese Seite erläutert, wie whatstxt Audiodaten als Auftragsverarbeiter behandelt — gerichtsnah, nicht gerichtsfest: ein Hilfsmittel, das kein Sachverständigengutachten ersetzt.

Parteien und Rollen

Verantwortlicher (Art. 4 Nr. 7 DSGVO) ist der Kunde, der Audiodaten hochlädt. Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) ist der Anbieter: skillbox.nrw GmbH, Im Springen 2, 58791 Werdohl. Der Verantwortliche bestimmt Inhalt und Umfang der hochgeladenen Daten und trägt die datenschutzrechtliche Verantwortung sowie die Rechtsgrundlage (Art. 6, 9, 10 DSGVO) und die Rechtmäßigkeit der Aufnahme (§§ 201, 201a StGB).

Art der Daten und Kategorien betroffener Personen

Art der Daten: in den Aufnahmen enthaltene personenbezogene Daten — insbesondere gesprochene Inhalte und Stimm-/Sprachdaten, ggf. besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sowie Daten über strafrechtliche Verurteilungen/Straftaten (Art. 10 DSGVO), je nach Inhalt der Aufnahme. Ferner Kontaktdaten (E-Mail des Verantwortlichen) zur Lieferung.

Kategorien betroffener Personen: alle in den Aufnahmen erfassten Sprecher und Dritte — etwa Gesprächspartner, Mandanten, Zeugen und sonstige genannte Personen.

Dauer der Verarbeitung

Die Verarbeitung beginnt mit dem Upload und endet mit der Lieferung sowie der anschließenden Löschung. Audioquellen werden nach erfolgreicher Lieferung nach dem Stand der Technik gelöscht; Transkript und Bericht werden für die Dauer des Download-Zeitraums (30 Tage) vorgehalten und danach automatisch gelöscht.

Weisungsbindung (Art. 28 Abs. 3 lit. a)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die initiale Weisung ergibt sich aus dem AVV und der jeweiligen Bestellung; weitere Weisungen erfolgen in Textform an contact@skillbox.nrw. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen (Art. 28 Abs. 3 S. 2 lit. h, S. 3).

Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Bei mandatsbezogenen Daten gilt zusätzlich die Verschwiegenheitsverpflichtung nach § 203 StGB / § 43e BRAO.

Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4)

Der Einsatz von Unterauftragsverarbeitern bedarf der Genehmigung. Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung; Änderungen werden vorab in Textform mitgeteilt, der Verantwortliche kann binnen 14 Tagen widersprechen. Mit Unterauftragsverarbeitern werden Verträge mit gleichwertigen Datenschutzpflichten geschlossen.

• Server-/Hosting-Standort: skillbox.nrw GmbH, Transkription auf eigenen Servern, Werdohl (Deutschland).
• Zahlungsdienstleister: PayPal — eigenständig Verantwortlicher, kein Unterauftragsverarbeiter; es werden keine Audiodaten an den Zahlungsdienstleister übermittelt.

Unterstützung, Meldungen und Nachweise

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Datenschutzverletzungen meldet er unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) und stellt die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit, einschließlich zumutbarer Inspektionen durch den Verantwortlichen oder einen beauftragten Prüfer.

Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

Nach Abschluss der Leistung löscht der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Zahlungs- und Rechnungsdaten unterliegen handels- und steuerrechtlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO).

Vollständigen AVV anfordern

Den vollständigen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO stellen wir auf Anfrage bereit: per E-Mail an contact@skillbox.nrw.

Datenschutzerklärung AVV anfordern