Vertrag zur Auftragsverarbeitung

1. Geltung

Dieser Vertrag konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die Miskio im Auftrag des Kunden vornimmt. Er wird mit der Registrierung oder mit der ersten Nutzung eines von Miskio eingerichteten Zugangs Bestandteil des Nutzungsvertrags (AGB, Abschnitt 3 und 10) und geht den AGB bei Fragen des Datenschutzes vor. Für die Verarbeitung, für die Miskio selbst Verantwortlicher ist (Konten, Abrechnung, Rückmeldungen, Zugriffsdaten der Leser), gilt die Datenschutzerklärung.

2. Gegenstand und Dauer

Gegenstand ist die Live-Übersetzung der Predigt (Khutbah) des Kunden: Übertragung des Audios aus dem Browser des Kunden an den Spracherkennungsdienst, Speicherung und Anzeige des Transkripts und der Übersetzungen, Übersetzung in weitere Lesesprachen, Zusammenfassung und, auf Weisung des Kunden, Veröffentlichung im Archiv. Die Dauer entspricht der Laufzeit des Nutzungsvertrags; die Pflichten aus Abschnitt 10 gelten darüber hinaus bis zur Löschung.

3. Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art, Zweck, Datenarten und Kreis der Betroffenen ergeben sich aus Anlage 1. Miskio verarbeitet die Daten ausschließlich zur Erbringung des Dienstes und nicht für eigene Zwecke; insbesondere werden Audio, Transkripte und Zusammenfassungen nicht zum Training von KI-Systemen verwendet, weder durch Miskio noch, nach den vertraglichen Zusagen der Unterauftragsverarbeiter, durch diese.

4. Weisungen

Miskio verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen erteilt der Kunde durch die Nutzung der Funktionen der Operator-App (Start und Ende einer Sitzung, Wahl der Zielsprache, Erzeugen, Bearbeiten, Veröffentlichen und Zurückziehen einer Zusammenfassung, Löschen einer Sitzung, Datenexport) sowie in Textform an team@miskio.de. Hält Miskio eine Weisung für rechtswidrig, weist Miskio den Kunden darauf hin und darf die Ausführung bis zur Bestätigung aussetzen. Eine Übermittlung in ein Drittland erfolgt nur im Rahmen von Abschnitt 7 und Anlage 3.

5. Vertraulichkeit

Miskio stellt sicher, dass die zur Verarbeitung befugten Personen (die Gesellschafter der Miskio GbR und etwaige künftige Mitarbeiter) zur Vertraulichkeit verpflichtet sind und die Daten nur im Rahmen der Weisungen verarbeiten. Ein Zugriff auf Inhalte einer Sitzung erfolgt nur zur Fehlersuche, zur Erfüllung einer Weisung oder zur Erfüllung gesetzlicher Pflichten.

6. Sicherheit der Verarbeitung

Miskio trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie weiter. Änderungen sind zulässig, wenn das Schutzniveau nicht unterschritten wird. Auf Anfrage erläutert Miskio die Maßnahmen.

7. Unterauftragsverarbeiter

7.1 Der Kunde genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Anlage 3 nennt jeden mit Name, Sitz, Leistung, Ort der Verarbeitung und Drittland-Grundlage; der Kunde erhält sie vor Vertragsschluss auf Anfrage an team@miskio.de und sieht sie nach der Anmeldung jederzeit in der Operator-App unter „Einstellungen, Datenschutz“. Miskio verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind, und bleibt dem Kunden gegenüber für dessen Pflichterfüllung verantwortlich.

7.2 Miskio informiert den Kunden über eine beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens vier Wochen im Voraus per E-Mail an die hinterlegten Konten und in der Operator-App. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Partei den Nutzungsvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

7.3 Sitzt ein Unterauftragsverarbeiter außerhalb der EU oder des EWR oder gehört er zu einem Konzern mit Sitz in einem Drittland, stützt Miskio die Übermittlung auf einen Angemessenheitsbeschluss der EU-Kommission oder auf die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und prüft ergänzende Maßnahmen. Die jeweilige Grundlage steht in Anlage 3.

8. Unterstützung bei den Rechten der Betroffenen

Miskio unterstützt den Kunden mit technischen und organisatorischen Maßnahmen dabei, Anfragen von Betroffenen zu beantworten: Export aller Daten der Moschee, Löschen von Sitzungen, Zurückziehen und Löschen von Zusammenfassungen sowie die Kontolöschung stehen dem Kunden in der Operator-App selbst zur Verfügung. Wendet sich eine betroffene Person unmittelbar an Miskio, leitet Miskio die Anfrage innerhalb von drei Werktagen an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist dies an.

9. Verletzungen des Schutzes personenbezogener Daten

Miskio meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die den Kunden betrifft, unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, an die hinterlegten Konten, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, und ergänzt sie fortlaufend. Miskio unterstützt den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, soweit die Informationen bei Miskio liegen.

10. Löschung und Rückgabe

Der Kunde kann seine Daten jederzeit in der Operator-App als strukturierte Datei exportieren. Nach Beendigung des Nutzungsvertrags löscht Miskio sämtliche Daten des Kunden, einschließlich veröffentlichter Zusammenfassungen und der Konten seiner Operatoren, innerhalb von 30 Tagen, es sei denn, eine gesetzliche Pflicht erfordert die weitere Speicherung; in diesem Fall wird die Verarbeitung eingeschränkt. Zwischenspeicher und Sicherungen der Unterauftragsverarbeiter laufen nach deren Fristen aus (derzeit höchstens drei Tage für die Live-Aktualisierung, Datensicherungen nach dem Plan des Datenbankanbieters). Auf Anfrage bestätigt Miskio die Löschung in Textform. Unabhängig davon löscht Miskio Transkripte und Übersetzungen automatisch 90 Tage nach ihrer Entstehung.

11. Nachweise und Kontrollen

Miskio stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere eine Beschreibung der Maßnahmen nach Anlage 2 und die Nachweise der Unterauftragsverarbeiter. Der Kunde kann nach Ankündigung mit angemessener Frist, höchstens einmal jährlich und ohne Störung des Betriebs, Überprüfungen durchführen oder durchführen lassen; die Kosten trägt der Kunde, sofern die Überprüfung keine erheblichen Mängel zutage fördert.

12. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach Abschnitt 8 der AGB. Änderungen dieses Vertrags erfolgen wie Änderungen der AGB (Abschnitt 11 der AGB), mit Ausnahme der Anlage 3, für die Abschnitt 7.2 gilt. Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Gegenstand der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen

• Zutritt und Zugang: Konten mit Passwort von mindestens 12 Zeichen, Abgleich gegen bekannte Datenlecks, Begrenzung der Anmeldeversuche je Adresse, Anmeldeprotokoll (90 Tage), Abmelden auf allen Geräten, Zugriff des Teams nur über persönliche Konten mit eigener Rolle.
• Zugriffskontrolle und Trennung: Jede Datenbankzeile trägt die Moschee; Zeilensicherheit (Row Level Security) begrenzt jedes Konto auf die eigene Moschee, anonyme Leser erhalten Daten nur über geprüfte Funktionen mit festem Umfang, privilegierte Schlüssel liegen ausschließlich auf dem Server und nie im Browser.
• Übertragung: Verschlüsselung aller Verbindungen (TLS 1.2 oder höher), Audio direkt vom Browser des Kunden an den Spracherkennungsdienst in der EU ohne Zwischenspeicherung bei Miskio, kurzlebige Zugangsschlüssel für den Audio-Stream.
• Standorte: Datenbank und Dateiablage in Frankfurt am Main, Serverfunktionen in Frankfurt am Main, Spracherkennung in der EU-Region des Anbieters, KI-Zusammenfassungen über einen EU-Endpunkt.
• Datenminimierung und Löschung: Keine Audio-Speicherung, automatische Löschung von Transkripten, Übersetzungen und Protokollen nach 90 Tagen, Zusammenfassungen ohne Namen von Privatpersonen, Export und Löschung durch den Kunden selbst in der App.
• Verfügbarkeit und Belastbarkeit: Betrieb bei spezialisierten Hosting-Anbietern mit redundanter Infrastruktur, Überwachung von Fehlern und Dienstleistern mit Alarmierung des Teams, Begrenzung der Anfragehäufigkeit gegen Überlastung.
• Organisation: Zwei Gesellschafter mit persönlicher Verantwortung, dokumentierte Datenflüsse und Dienstleister, Prüfung jeder Änderung an Rechten und Datenzugriffen vor Veröffentlichung, Verzeichnis der Verarbeitungstätigkeiten.

Anlage 3: Unterauftragsverarbeiter

Die Liste der Unterauftragsverarbeiter mit Name, Sitz, Leistung, Ort der Verarbeitung und Drittland-Grundlage ist Bestandteil dieses Vertrags. Sie wird dem Kunden vor Vertragsschluss auf Anfrage an team@miskio.de zur Verfügung gestellt und steht ihm nach der Anmeldung jederzeit in der Operator-App unter „Einstellungen, Datenschutz“ zur Verfügung; Änderungen werden dort und per E-Mail nach Abschnitt 7.2 angekündigt. Auf dieser öffentlichen Seite stehen die Unterauftragsverarbeiter nach Tätigkeit, Sitz und Ort der Verarbeitung:

• Datenbank, Anmeldung, Live-Aktualisierung und Dateiablage: ein Anbieter mit Sitz in den USA und Singapur, Datenhaltung in Frankfurt am Main, EU-Standardvertragsklauseln.
• Spracherkennung und Übersetzung des Live-Audios: ein Anbieter mit Sitz in den USA, Verarbeitung in dessen EU-Region, EU-Standardvertragsklauseln.
• Zusammenfassungen und Übersetzung in weitere Lesesprachen: ein KI-Anbieter mit Sitz in Frankreich, Verarbeitung in der EU, keine Drittlandübermittlung.
• Hosting und Auslieferung der Anwendungen: ein Anbieter mit Sitz in den USA, Serverfunktionen in Frankfurt am Main, EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln.
• Versand von System-E-Mails an die Konten des Kunden: ein Anbieter mit Sitz in den USA, EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln.

Der Zahlungsdienstleister (Stripe) handelt als eigener Verantwortlicher und ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags.