Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

gemäß Art. 28 DSGVO

Stand: 9. September 2026 · Version 1.2

Zwischen

dem Kunden — im Folgenden „Verantwortlicher“ —

und

VibeVoice — Florian Schneider c/o Online-Impressum.de #37276 Europaring 90, 53757 Sankt Augustin, Deutschland E-Mail: [email protected]

— im Folgenden „Auftragsverarbeiter“ —

wird der folgende Vertrag geschlossen.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand. Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen der automatisierten Spracherkennung (Transkription von Audio- und Videodaten in Text) über die Software und die Dienste von VibeVoice. Die Einzelheiten ergeben sich aus dem zwischen den Parteien geschlossenen Hauptvertrag (Nutzungsbedingungen unter <https://vibevoice.net/terms>).

(2) Dauer. Dieser Vertrag beginnt mit dem Wirksamwerden des Hauptvertrags und endet mit dessen Beendigung. Ein Recht zur außerordentlichen Kündigung dieses Vertrags aus wichtigem Grund bleibt beiden Parteien unbenommen, insbesondere bei einem erheblichen Verstoß gegen datenschutzrechtliche Bestimmungen.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

(1) Art und Zweck. Erhebung, Speicherung für die Dauer der Verarbeitung, automatisierte Umwandlung von Sprache in Text, Bereitstellung des Ergebnisses an den Verantwortlichen, anschließende Löschung der Rohdaten. Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich geschuldeten Leistung.

(2) Kategorien personenbezogener Daten.

• Sprachaufnahmen (Audio- und Videodaten), einschließlich der darin enthaltenen

Stimmen und geäußerten Inhalte

• Aus diesen erzeugte Transkripte
• Bestands- und Kontaktdaten der Nutzerkonten des Verantwortlichen (Name,

E-Mail-Adresse)

• Nutzungs- und Metadaten (Zeitpunkte, Dauer, verwendetes Gerät, IP-Adresse)

(3) Kategorien betroffener Personen.

• Beschäftigte und sonstige Nutzer des Verantwortlichen
• Dritte, deren Stimme oder personenbezogene Daten in den vom Verantwortlichen

übermittelten Aufnahmen enthalten sind

(4) Besondere Kategorien (Art. 9 DSGVO). Die Dienste sind nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt oder zertifiziert. Beabsichtigt der Verantwortliche eine solche Verarbeitung — insbesondere von Gesundheitsdaten —, ist dies vorab in Textform anzuzeigen und gesondert zu vereinbaren. Ohne eine solche Vereinbarung sichert der Verantwortliche zu, keine besonderen Kategorien personenbezogener Daten zu übermitteln.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Dienste durch den Verantwortlichen oder seine Nutzer gilt als Weisung im Sinne des Absatzes 1. Weitergehende Weisungen bedürfen der Textform.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Er ist berechtigt, die Ausführung einer offensichtlich rechtswidrigen Weisung auszusetzen.

(4) Keine Nutzung zu eigenen Zwecken. Der Auftragsverarbeiter verwendet die im Auftrag verarbeiteten Daten zu keinem Zeitpunkt für eigene Zwecke. Insbesondere werden Audio-, Video- und Transkriptdaten weder zum Training noch zur Feinabstimmung noch zur Verbesserung von KI-Modellen verwendet — weder eigener noch fremder.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet alle zur Verarbeitung befugten Personen auf Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragsverarbeiter wird derzeit als Einzelunternehmen ohne Beschäftigte geführt. Zugriff auf Produktivsysteme hat ausschließlich der Inhaber. Werden künftig weitere Personen einbezogen, erfolgt deren Verpflichtung vor Aufnahme der Tätigkeit.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, alternative Maßnahmen umzusetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern nach Art. 28 Abs. 2 Satz 2 DSGVO.

(2) Die derzeit eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und werden zusätzlich unter <https://vibevoice.net/subprocessors> veröffentlicht.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorab in Textform über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt der Umstellung zu kündigen.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die ihm aus diesem Vertrag obliegen, und haftet gegenüber dem Verantwortlichen für deren Einhaltung.

§ 7 Ort der Verarbeitung, Drittlandtransfer

(1) Kernverarbeitung in Deutschland. Die Verarbeitung der Audio-, Video- und Transkriptdaten sowie die Speicherung der Nutzerkonten erfolgt auf Servern des Auftragsverarbeiters in Deutschland. Es wird für diese Verarbeitung kein Hyperscaler (etwa Amazon Web Services, Microsoft Azure oder Google Cloud) eingesetzt.

(2) Unterstützende Dienste. Für Auslieferung, Abwehr von Angriffen, E-Mail-Versand und Zahlungsabwicklung werden die in Anlage 2 genannten Dienstleister eingesetzt. Soweit dabei eine Übermittlung in Drittländer erfolgt, ist diese durch Standardvertragsklauseln der EU-Kommission und, wo einschlägig, eine Zertifizierung nach dem EU-U.S. Data Privacy Framework abgesichert.

(3) Eine Übermittlung der Audio- und Transkriptdaten in ein Drittland findet nicht statt.

§ 8 Unterstützung des Verantwortlichen

(1) Betroffenenrechte. Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 15 bis 22 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

(2) Meldepflichten. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten und stellt die zur Erfüllung der Art. 33 und 34 DSGVO erforderlichen Informationen zur Verfügung.

(3) Datenschutz-Folgenabschätzung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35 und 36 DSGVO), soweit die erforderlichen Informationen in seiner Sphäre liegen.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung, insbesondere die aktuelle Fassung der Anlage 1.

(2) Der Verantwortliche ist berechtigt, sich von der Einhaltung zu überzeugen. Kontrollen sind mit angemessener Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Der Auftragsverarbeiter kann Kontrollen von einer Verschwiegenheitsverpflichtung abhängig machen.

(3) Der Auftragsverarbeiter weist ausdrücklich darauf hin, dass er keine Zertifizierung nach ISO 27001, SOC 2 oder vergleichbaren Standards besitzt. Die Einhaltung wird durch die Dokumentation nach Anlage 1 und durch die Kontrollmöglichkeit nach Absatz 2 nachgewiesen.

§ 10 Löschung und Rückgabe

(1) Rohdaten. Audio- und Videodaten werden unmittelbar nach Abschluss oder Fehlschlag der Transkription von den Systemen des Auftragsverarbeiters gelöscht. Eine darüber hinausgehende Speicherung findet nicht statt.

(2) Transkripte. Erzeugte Transkripte werden 365 Tage ab dem Tag der Anlage des Transkriptionsauftrags im Konto des Verantwortlichen aufbewahrt und danach automatisch zusammen mit der gespeicherten Ergebnisdatei gelöscht. Der Verantwortliche kann ein Transkript jederzeit vorher selbst löschen.

(3) Nach Vertragsende. Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten binnen 30 Tagen, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Verlangen des Verantwortlichen erfolgt zuvor eine Rückgabe in einem gängigen, maschinenlesbaren Format.

(4) Sicherungskopien. In Datensicherungen enthaltene Daten werden nicht gesondert gelöscht. Sie werden nach dem regulären Rotationszyklus überschrieben; die maximale Vorhaltedauer ist in Anlage 1 angegeben. Bei einer Wiederherstellung aus einer Sicherung werden zwischenzeitlich gelöschte Daten erneut gelöscht.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Die Haftungsregelungen des Hauptvertrags bleiben im Übrigen unberührt.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 9. September 2026.

Diese Anlage beschreibt den tatsächlichen Stand. Wo eine Maßnahme nicht umgesetzt ist, steht das ausdrücklich dabei — eine TOM-Anlage, die mehr verspricht, als vorhanden ist, ist schlechter als gar keine.

1. Vertraulichkeit

Zutrittskontrolle. Die Server stehen in gesicherten Räumlichkeiten in Deutschland. Physischer Zugang ausschließlich durch den Inhaber.

Zugangskontrolle. Zugriff auf Produktivsysteme ausschließlich über SSH mit Schlüsselauthentifizierung. Kennwortbasierte Anmeldung deaktiviert. Der Dienst ist aus dem Internet ausschließlich über den vorgelagerten Reverse-Proxy erreichbar; direkte Verbindungen zum Ursprungsserver werden abgewiesen.

Zugriffskontrolle. API-Schlüssel werden ausschließlich als Hash gespeichert; Klartext existiert nur einmalig bei der Ausgabe. Kennwörter werden gesalzen und gehasht gespeichert. Administrative Endpunkte sind gesondert geschützt. Zugriffsbegrenzung pro IP-Adresse auf allen authentifizierungsnahen Endpunkten.

Trennungskontrolle. Mandantentrennung auf Anwendungsebene über die Nutzerzuordnung jedes Datensatzes. Produktion und Test laufen in vollständig getrennten Umgebungen; sie teilen sich weder Datenbestände noch Verarbeitungsressourcen.

2. Integrität

Weitergabekontrolle. Transport ausschließlich über TLS 1.2 oder höher. HSTS mit includeSubDomains und preload. Content-Security-Policy, X-Frame-Options, X-Content-Type-Options und Referrer-Policy auf allen Auslieferungspfaden gesetzt.

Eingabekontrolle. Protokollierung sicherheitsrelevanter Ereignisse (Anmeldungen, Schlüsselnutzung, administrative Zugriffe) mit Zeitstempel. IP-Adressen werden in Protokollen maskiert. Protokolle werden nach maximal 14 Tagen automatisch gelöscht.

3. Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle. Automatisierte Überwachung des Dienstes im Zwei-Minuten-Takt mit Alarmierung beim ersten Fehlschlag. Vorgelagerter Dienst zur Abwehr von Überlastungsangriffen. Definierter Wartungsmodus, der bei geplanten Arbeiten eine Wartungsseite ausliefert und laufende Verarbeitungen zuvor geordnet beendet.

Datensicherung. Automatisierte tägliche, wöchentliche, monatliche und jährliche Sicherung der Datenbank auf ein getrenntes Speichersystem am selben Standort. Konsistente Momentaufnahme im laufenden Betrieb. Maximale Vorhaltedauer einer Sicherung: ein Jahr.

Offen ausgewiesen: Die Sicherungen werden nicht verschlüsselt gespeichert. Sie liegen auf einem getrennten, physisch gesicherten Speichersystem am selben Standort und verlassen diesen nicht. Der Verantwortliche wird hierauf ausdrücklich hingewiesen, damit er dies in seiner eigenen Risikobewertung berücksichtigen kann.

Wiederherstellbarkeit. Dokumentiertes Wiederherstellungsverfahren.

4. Verfahren zur regelmäßigen Überprüfung

Datenschutz-Management. Dokumentierte Rechtsprüfung des Dienstes, fortlaufend gepflegt. Verträge zur Auftragsverarbeitung mit allen Unterauftragsverarbeitern liegen vor.

Auftragskontrolle. Auswahl der Unterauftragsverarbeiter nach Datenschutzkriterien; Weitergabe der eigenen Pflichten an diese.

Datenschutzfreundliche Voreinstellungen. Rohdaten werden unmittelbar nach der Verarbeitung gelöscht. Auf der Website werden keine Cookies, keine Analysewerkzeuge Dritter und keine Speicherung auf Endgeräten über das technisch Erforderliche hinaus eingesetzt. Es findet keine Verwendung der Daten zu Trainingszwecken statt.

Nicht vorhanden: Zertifizierungen nach ISO 27001, SOC 2 oder vergleichbaren Standards. Ein benannter Datenschutzbeauftragter besteht nicht; eine Benennungspflicht nach Art. 37 DSGVO bzw. § 38 BDSG liegt nicht vor.

Anlage 2 — Unterauftragsverarbeiter

Stand: 9. September 2026. Aktuelle Fassung unter <https://vibevoice.net/subprocessors>.

Hinweis zur Reichweite. Cloudflare und Postmark verarbeiten keine Audio-, Video- oder Transkriptdaten. Cloudflare sieht Verbindungsmetadaten, Postmark ausschließlich E-Mail-Adressen und Versandmetadaten. Die eigentlichen Inhalte verlassen Deutschland nicht.

Dieses Dokument wird auf Anfrage unter [email protected] in unterzeichneter Form bereitgestellt.