Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

für die Nutzung der Enterprise AI Communication Platform „TUCANO STUDIO"

Version 3.0 vom 13.09.2026

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV“) ergänzt das zwischen den Parteien bestehende Master SaaS Agreement und regelt die Verarbeitung personenbezogener Daten durch die Rethinking Places GmbH als Auftragsverarbeiter im Sinne des Art. 28 DSGVO.

Die Parteien sind sich darüber einig, dass der Schutz personenbezogener Daten, vertraulicher Unternehmensinformationen sowie sonstiger geschäftskritischer Inhalte eine wesentliche Grundlage ihrer Zusammenarbeit bildet. TUCANO STUDIO wurde als cloudbasierte Enterprise AI Communication Platform entwickelt und verarbeitet personenbezogene Daten ausschließlich, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen erforderlich ist.

Die Parteien verfolgen dabei das gemeinsame Ziel, die Vorteile KI-gestützter Kommunikationsprozesse mit einem hohen Datenschutzniveau, einer transparenten Datenverarbeitung sowie einer klaren Zuordnung der datenschutzrechtlichen Verantwortlichkeiten zu verbinden.

§ 1 Gegenstand und Umfang der Auftragsverarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierten Weisungen des Verantwortlichen. Die Verarbeitung erfolgt allein zum Zweck der Bereitstellung und des Betriebs der Plattform TUCANO STUDIO sowie der Erbringung der hiermit vertraglich vereinbarten Leistungen.

Hierzu gehören insbesondere die Speicherung, Organisation, Verarbeitung und Bereitstellung der durch den Verantwortlichen bereitgestellten Inhalte sowie die Durchführung KI-gestützter Funktionen, soweit diese vom Verantwortlichen genutzt oder aktiviert werden. Je nach Anwendungsfall umfasst dies insbesondere die Verarbeitung von Video-, Audio-, Text- und Bilddateien, die Erstellung von Transkripten und Untertiteln, Übersetzungen, Audiooptimierungen, Renderings sowie vergleichbare technische Verarbeitungsschritte.

Eine Verarbeitung personenbezogener Daten zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Insbesondere werden personenbezogene Daten oder Customer Content ohne ausdrückliche, gesonderte Zustimmung des Verantwortlichen nicht zum Training eigener Modelle künstlicher Intelligenz verwendet.

§ 2 Dauer der Verarbeitung

Die Verarbeitung personenbezogener Daten beginnt mit Aufnahme der vertraglich vereinbarten Leistungen und erfolgt ausschließlich für die Dauer des zwischen den Parteien bestehenden Vertragsverhältnisses.

Nach Beendigung des Vertragsverhältnisses verarbeitet der Auftragsverarbeiter personenbezogene Daten nur noch insoweit, als dies zur Erfüllung gesetzlicher Aufbewahrungspflichten, zur Wahrung berechtigter Interessen oder zur Durchführung der vereinbarten Datenexport- und Löschprozesse erforderlich ist.

Im Übrigen werden personenbezogene Daten nach Maßgabe des Master SaaS Agreements sowie dieses AVV gelöscht.

§ 3 Art der Verarbeitung sowie Kategorien personenbezogener Daten

Der Umfang der Verarbeitung richtet sich ausschließlich nach der Nutzung der Plattform durch den Verantwortlichen. Welche personenbezogenen Daten verarbeitet werden, bestimmt der Verantwortliche durch die von ihm bereitgestellten Inhalte und die aktivierten Funktionen.

Je nach Einsatzgebiet können insbesondere folgende Daten verarbeitet werden:

• Identifikations- und Kontaktdaten der Nutzer,
• Zugangs- und Accountinformationen,
• Video-, Audio- und Bildaufnahmen,
• Sprachaufzeichnungen und Transkripte,
• Untertitel, Übersetzungen und sonstige Inhaltsdaten,
• technische Protokoll- und Nutzungsdaten,
• Metadaten sowie projektbezogene Informationen.

Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO erfolgt nur, soweit der Verantwortliche entsprechende Daten selbst in die Plattform einbringt oder eine solche Verarbeitung ausdrücklich veranlasst. Der Verantwortliche bleibt für das Vorliegen einer geeigneten Rechtsgrundlage verantwortlich.

§ 4 Kategorien betroffener Personen

Die Plattform wird vom Verantwortlichen eigenverantwortlich genutzt. Welche Personengruppen betroffen sind, hängt daher ausschließlich vom jeweiligen Einsatzbereich der Plattform ab.

Personenbezogene Daten können insbesondere verarbeitet werden von

• Mitarbeitenden,
• Bewerbern,
• Kunden und Interessenten,
• Geschäftspartnern,
• Lieferanten,
• Referenten,
• Interview- und Podcastgästen,
• Veranstaltungsteilnehmern,
• sonstigen natürlichen Personen, deren Daten der Verantwortliche innerhalb der Plattform verarbeitet.

Der Auftragsverarbeiter trifft keine Auswahl der betroffenen Personen und entscheidet nicht über Zweck oder Umfang der jeweiligen Verarbeitung.

§ 5 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Grundlage der dokumentierten Weisungen des Verantwortlichen. Weisungen können sich insbesondere aus dem Master SaaS Agreement, diesem Auftragsverarbeitungsvertrag sowie aus ergänzenden schriftlichen oder in Textform erteilten Anweisungen ergeben.

Hält der Auftragsverarbeiter eine Weisung nach sorgfältiger Prüfung für offensichtlich rechtswidrig oder datenschutzrechtlich unzulässig, wird er den Verantwortlichen hierauf unverzüglich hinweisen. Bis zur Klärung ist der Auftragsverarbeiter berechtigt, die Durchführung der betreffenden Verarbeitung auszusetzen, soweit dies zur Vermeidung datenschutzrechtlicher Risiken erforderlich ist.

§ 6 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet sich, sämtliche personenbezogenen Daten sowie alle im Zusammenhang mit der Auftragsverarbeitung bekannt werdenden Informationen streng vertraulich zu behandeln.

Dies gilt nicht nur für personenbezogene Daten im datenschutzrechtlichen Sinne, sondern ausdrücklich auch für Geschäftsgeheimnisse, Unternehmenswissen, Kommunikationsstrategien, Customer Content, Prompts, Templates, Sprachprofile und sonstige vertrauliche Informationen des Verantwortlichen.

Der Auftragsverarbeiter stellt sicher, dass sämtliche Personen, die Zugang zu personenbezogenen Daten erhalten, vor Aufnahme ihrer Tätigkeit auf Vertraulichkeit verpflichtet wurden und regelmäßig über datenschutzrechtliche Anforderungen informiert werden.

Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der jeweiligen Tätigkeit sowie nach Beendigung dieses Vertrags fort.

§ 7 Unterauftragsverarbeiter

Es wird mit folgenden Unterauftragsverarbeitern gearbeitet. Ergänzend gelten die dort geregelten Richtlinien der Auftragsdatenverarbeitung.

• Die Plattform wird gehostet bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Standort der Server: Deutschland.
• Die Vertragsdatenspeicherung und Zahlungsabwicklung erfolgen über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Es gelten die dort hinterlegten weiteren Regelungen zur Auftragsdatenverarbeitung.