Vertrag zur Auftragsverarbeitung (AVV)

Diese Vereinbarung gilt, wenn Sie Cine Power Planner im Rahmen einer gewerblichen oder selbstständigen beruflichen Tätigkeit nutzen und darin personenbezogene Daten anderer Personen speichern, zum Beispiel von Crew, Cast, Kund*innen oder Lieferant*innen. Sie ist Bestandteil des Vertrags nach unseren Nutzungsbedingungen und wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), wenn Sie Ihr Konto anlegen oder, bei bestehenden Konten, wenn sie nach den Nutzungsbedingungen wirksam wird. Für die rein private oder familiäre Nutzung gilt sie nicht. Maßgeblich ist die deutsche Fassung.

1. Gegenstand und Dauer

Wir speichern, synchronisieren, sichern und übermitteln die Daten, die Sie in den Dienst eingeben, in Ihrem Auftrag und nur zu dem Zweck, den Dienst zu erbringen. Die Vereinbarung läuft, solange Ihr Konto besteht, und endet, wenn alle Ihre Daten nach Ziffer 9 gelöscht sind.

2. Art und Zweck der Verarbeitung, Daten und betroffene Personen

Die Verarbeitung umfasst Hosting, Cloud-Synchronisierung zwischen Ihren Geräten, die Zusammenarbeit mit den von Ihnen eingeladenen Personen, verschlüsselte Sicherungen, den Versand der von Ihnen ausgelösten E-Mails und Dokumente sowie das Bereitstellen der von Ihnen erzeugten öffentlichen Links (Angebote, Dispos, Signatur- und Anfragelinks). Betroffene Personen sind die Personen, die Sie erfassen: Crew und Cast, Ansprechpersonen bei Kund*innen, Verleihen und Lieferanten sowie die Empfänger*innen Ihrer Dokumente. Datenkategorien sind die von Ihnen eingegebenen: Namen, Funktionen, Kontaktdaten, Anschriften, Termin- und Ortsangaben, Vertrags-, Rechnungs- und Zahlungsdaten, Unterschriften und Bilder. Erfassen Sie Angaben zu Ernährung oder Allergien, gehören dazu besondere Kategorien personenbezogener Daten (Art. 9 DSGVO).

3. Ihre Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Ihre Weisungen sind diese Vereinbarung, die Nutzungsbedingungen und Ihre Handlungen in der App (Anlegen, Ändern, Teilen, Exportieren und Löschen von Daten). Weitere Weisungen können Sie in Textform an support@cine-power-planner.com erteilen. Halten wir eine Weisung für datenschutzwidrig, teilen wir Ihnen das unverzüglich mit und dürfen ihre Ausführung aussetzen, bis Sie sie bestätigen oder ändern. Abweichend von Ihren Weisungen verarbeiten wir die Daten nur, wenn das Recht der Union oder eines Mitgliedstaats uns dazu verpflichtet; wir informieren Sie dann vorher, sofern dieses Recht das nicht verbietet.

4. Vertraulichkeit

Die zur Verarbeitung befugten Personen haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Der Dienst wird vom Betreiber persönlich betrieben; es gibt kein Supportpersonal mit Zugriff auf Ihre Inhalte.

5. Sicherheit der Verarbeitung

Wir treffen die in Anlage 1 genannten technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Sie erteilen die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen. Wir teilen Ihnen in Textform mindestens 30 Tage vorher mit, wenn wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen. In dieser Zeit können Sie aus wichtigem Grund widersprechen; lässt sich der Widerspruch nicht ausräumen, können Sie den Vertrag zum Zeitpunkt der Änderung kündigen. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die dieser Vereinbarung gleichwertig sind, und haften Ihnen gegenüber für dessen Leistung.

7. Unterstützung

Die App erlaubt es Ihnen, Anfragen betroffener Personen selbst zu beantworten: Sie können jeden Datensatz einsehen, berichtigen, exportieren und löschen. Wendet sich eine betroffene Person wegen Ihrer Daten direkt an uns, verweisen wir sie an Sie und antworten nicht in Ihrem Namen. Auf Anfrage unterstützen wir Sie in angemessenem Umfang bei Ihren Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) mit den uns vorliegenden Informationen.

8. Verletzungen des Schutzes personenbezogener Daten

Wir melden Ihnen eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, unverzüglich und nach Möglichkeit binnen 48 Stunden nach Bekanntwerden an die E-Mail-Adresse Ihres Kontos. Die Meldung beschreibt die Art der Verletzung, die betroffenen Daten und Personen, soweit bekannt, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

9. Löschung und Rückgabe

Sie können Ihre Daten jederzeit in den Formaten exportieren, die die App anbietet. Löschen Sie Daten oder Ihr Konto, löschen wir die Cloud-Kopie innerhalb von 30 Tagen aus unseren aktiven Systemen. In verschlüsselten Sicherungskopien können gelöschte Daten noch bis zu 4 Jahre enthalten sein, bis diese Sicherungen turnusgemäß überschrieben werden; sie werden nur zur Wiederherstellung nach einem Ausfall in das aktive System zurückgespielt. Daten, die wir aufgrund gesetzlicher Aufbewahrungspflichten vorhalten müssen, bleiben für diese Dauer gesperrt und werden danach gelöscht.

10. Nachweise und Kontrollen

Wir stellen Ihnen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, in erster Linie diese Vereinbarung mit ihren Anlagen und schriftliche Antworten auf Ihre Fragen. Reicht das im Einzelfall nicht aus, können Sie selbst oder durch zur Verschwiegenheit verpflichtete Prüfer*innen eine Kontrolle durchführen, mit einer Ankündigung von mindestens 30 Tagen, zu den üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal im Jahr, sofern kein konkreter Anlass besteht. Der Dienst läuft in einem fremden Rechenzentrum, das wir nicht für Besuche öffnen können; für die physischen Maßnahmen stützen wir uns auf die Zertifizierungen des Rechenzentrumsbetreibers.

11. Ort der Verarbeitung

Ihre Inhalte werden auf Servern in Deutschland verarbeitet (Hetzner, Nürnberg). Wir übermitteln sie nicht in ein Land außerhalb der EU oder des EWR. Eine Übermittlung fände nur auf Ihre vorherige Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO statt. Funktionen, die für Sie Dritte kontaktieren, sind in Anlage 2 aufgeführt.

12. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den Haftungsregeln der Nutzungsbedingungen. Widersprechen sich diese Vereinbarung und die Nutzungsbedingungen in Fragen des Datenschutzes, geht diese Vereinbarung vor. Änderungen bedürfen der Textform; wir kündigen Änderungen so an, wie es die Nutzungsbedingungen vorsehen. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Zugangskontrolle: Der Server nimmt administrative Anmeldungen nur per SSH-Schlüssel auf einem abweichenden Port an, Root- und Passwort-Anmeldung sind deaktiviert, eine Firewall sperrt alles, was nicht ausdrücklich freigegeben ist, und wiederholte fehlgeschlagene Anfragen werden automatisch blockiert.
Trennung: Jede Tabelle ist durch Row-Level-Security geschützt, sodass ein Konto nur die eigenen Daten und die mit ihm geteilten Projekte lesen kann.
Verschlüsselung: Alle Verbindungen nutzen TLS. Kontakte, Abrechnungsdaten und Profildaten werden zusätzlich mit AES-256-GCM verschlüsselt, bevor sie gespeichert werden; der Projektchat ist mit einem Schlüssel je Projekt verschlüsselt. Passwörter werden nur als gesalzene Hashes gespeichert.
Konten: optionale Zwei-Faktor-Authentifizierung, Sitzungen lassen sich auflisten und widerrufen, Bot-Schutz auf den Anmeldeformularen.
Verfügbarkeit: tägliche verschlüsselte Sicherungen auf getrenntem Speicher beim selben Anbieter in Deutschland, eine wöchentliche Integritätsprüfung und eine wöchentliche Testwiederherstellung.
Protokollierung und Datenminimierung: Serverprotokolle werden 52 Tage aufbewahrt, mit gekürzten IP-Adressen und ohne Tokens in Adressen; es werden keine Analyse- oder Werbe-Tracker eingesetzt.
Hochgeladene Dateien werden auf Schadsoftware geprüft, bevor sie anderen bereitgestellt werden.
Organisation: ein schriftliches Verfahren für Datenschutzvorfälle, ein Verzeichnis von Verarbeitungstätigkeiten und eine jährliche Überprüfung dieser Maßnahmen.

Anlage 2: Unterauftragsverarbeiter und weitere Empfänger*innen

Unterauftragsverarbeiter: Hetzner Online GmbH, Gunzenhausen, Deutschland. Hosting von Anwendungsserver, Datenbank, Dateispeicher und verschlüsselten Sicherungen in Deutschland.
Kein weiterer Unterauftragsverarbeiter erhält Ihre Inhalte. Datenbank, Dateispeicher und Mailserver sind Software, die wir selbst auf diesem Server betreiben.
Empfänger*innen, die nur kontaktiert werden, wenn Sie die Funktion nutzen: die OpenStreetMap Foundation (Vereinigtes Königreich) für die Suche nach einer von Ihnen eingegebenen Adresse und für Kartenkacheln sowie die HeiGIT gGmbH (Deutschland) für Routen- und Fahrzeitberechnung. Sie erhalten die Adresse oder die Koordinaten, nicht die Namen der Personen in Ihrem Projekt. Ein KI-Anbieter, den Sie mit Ihrem eigenen Schlüssel verbinden, erhält, was Sie an ihn senden, auf Grundlage Ihres eigenen Vertrags mit diesem Anbieter.
Stripe, Apple, RevenueCat und Cloudflare verarbeiten Daten zu Ihrem eigenen Konto und Abonnement, wie in der Datenschutzerklärung beschrieben. Sie erhalten nicht die Daten, die Sie über andere Personen speichern.