im Sinne von Art. 28 Abs. 3 DSGVO · Fassung 1.0 · Stand 01.10.2026
zwischen
dem Inhaber des Vidyra-Kontos, das unter der bei Vertragsschluss hinterlegten E-Mail-Adresse geführt wird. Die Identifikation des Auftraggebers erfolgt über die in seinem Konto gespeicherten Daten.
– nachfolgend „Auftraggeber“ –
und
ALEXANDER SINNREICH LTD
Andrea Kelpi 37
Eftheo Court, Block B, Büro 302
7104 Aradippou, Larnaka
Zypern
Registernummer HE 498200
vertreten durch Alexander Sinnreich (Director)
– nachfolgend „Auftragnehmer“ –
1.1 Gegenstand des vorliegenden Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag durch den Auftragnehmer (Art. 28 DSGVO). Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Auftraggeber.
1.2 Inhalt des Auftrags, Kategorien betroffener Personen und Datenarten sowie Zweck der Vereinbarung sind Anlage 1 zu entnehmen.
1.3 Die Verarbeitung der Daten durch den Auftragnehmer findet grundsätzlich in einem Mitgliedstaat der Europäischen Union, einem Vertragsstaat des EWR-Abkommens oder einem Staat statt, für den ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO besteht (derzeit insbesondere das Vereinigte Königreich und Israel). Die Verarbeitung in anderen Staaten erfolgt nur unter den Voraussetzungen von Kapitel 5 der DSGVO (Art. 44 ff.) und mit vorheriger Zustimmung oder nach vorheriger Weisung des Auftraggebers.
1.4 Abweichend von Ziffer 1.3 werden bei Nutzung der KI-gestützten Funktionen der Anwendung (Text-, Bild- und Sprachgenerierung sowie Transkription) die vom Auftraggeber eingegebenen und daraus erzeugten Inhalte an die in Anlage 3 genannten Anbieter mit Sitz oder Verarbeitung in den Vereinigten Staaten von Amerika übermittelt und dort verarbeitet. Die Speicherung der Daten in der Datenbank, das Rendern der Videos sowie die Auslieferung der Anwendung und der Bridge-Seiten erfolgen innerhalb der Europäischen Union bzw. im Vereinigten Königreich. Der Auftraggeber stimmt der in dieser Ziffer beschriebenen Übermittlung in Drittstaaten mit Abschluss dieses Vertrags ausdrücklich zu. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission bzw., soweit die betreffenden Anbieter danach zertifiziert sind, auf Grundlage des EU-US Data Privacy Framework.
1.5 Die Veröffentlichung auf YouTube, TikTok und Instagram erfolgt ausschließlich für Videos, die der Auftraggeber zuvor ausdrücklich freigegeben hat, und in den eigenen Konten des Auftraggebers. Die Betreiber dieser Plattformen sind keine Unterauftragsverarbeiter des Auftragnehmers; für die Verarbeitung auf den Plattformen gelten deren eigene Bedingungen im Verhältnis zum Auftraggeber.
1.6 Der Auftraggeber wird darauf hingewiesen, keine personenbezogenen Daten Dritter in die KI-gestützten Funktionen der Anwendung einzugeben, soweit dies für die Nutzung nicht erforderlich ist.
Der vorliegende Vertrag wird auf unbestimmte Zeit geschlossen und kann von jeder Vertragspartei mit einer Frist von drei Monaten ordentlich gekündigt werden. Er endet ohne Kündigung, sobald das Vidyra-Konto des Auftraggebers gelöscht ist und keine Daten des Auftraggebers mehr verarbeitet werden. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.
3.1 Dem Auftraggeber steht ein umfassendes Weisungsrecht in Bezug auf Art, Umfang und Modalitäten der Datenverarbeitung gegenüber dem Auftragnehmer zu. Der Auftragnehmer informiert den Auftraggeber unverzüglich, falls der Auftragnehmer der Auffassung ist, dass eine Weisung des Auftraggebers gegen gesetzliche Vorschriften verstößt. Wird eine Weisung erteilt, deren Rechtmäßigkeit der Auftragnehmer substantiiert anzweifelt, ist der Auftragnehmer berechtigt, deren Ausführung vorübergehend auszusetzen, bis der Auftraggeber diese nochmals ausdrücklich bestätigt oder ändert. Besteht die Möglichkeit, dass der Auftragnehmer durch das Befolgen der Weisung einem Haftungsrisiko ausgesetzt wird, kann die Durchführung der Weisung bis zur Klärung der Haftung im Innenverhältnis – oder bis zu einer Einräumung sonstiger angemessener Sicherheiten durch den Auftraggeber – ausgesetzt werden.
3.2 Eine von den Weisungen oder ohne Weisungen des Auftraggebers abweichende Verarbeitung ist nur zulässig, wenn der Auftragnehmer nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Datenverarbeitung verpflichtet ist. Im Falle einer solchen Verarbeitung informiert der Auftragnehmer den Auftraggeber unverzüglich über die beabsichtigte oder bereits eingeleitete Verarbeitung, es sei denn, dass das betreffende Recht eine solche Mitteilung aufgrund eines wichtigen öffentlichen Interesses verbietet; in diesem Fall erfolgt die Mitteilung unverzüglich, sobald die rechtlichen Hindernisse nicht mehr bestehen.
3.3 Weisungen sind grundsätzlich schriftlich oder in einem elektronischen Format (z. B. per E-Mail an kontakt@vidyra.io) zu erteilen. Die Nutzung der Funktionen der Anwendung durch den Auftraggeber gilt als Weisung für die damit verbundene Verarbeitung. Mündliche Weisungen sind in begründeten Einzelfällen zulässig und werden vom Auftraggeber unverzüglich in Textform bestätigt. Der Auftragnehmer dokumentiert Person, Datum und Uhrzeit der erteilten Weisung in angemessener Form.
3.4 Der Auftraggeber benennt auf Verlangen des Auftragnehmers eine oder mehrere weisungsberechtigte Personen. Personelle Änderungen sind dem Auftragnehmer unverzüglich mitzuteilen.
4.1 Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und vertraglichen Vorschriften zum Datenschutz und zur Datensicherheit vor Beginn der Datenverarbeitung und während der Vertragslaufzeit regelmäßig, im erforderlichen Umfang, zu kontrollieren. Der Auftraggeber hat dafür zu sorgen, dass die Kontrollmaßnahmen verhältnismäßig sind und den Betrieb des Auftragnehmers nicht mehr als erforderlich beeinträchtigen. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.
4.2 Die Ergebnisse der Kontrollen und Weisungen sind vom Auftraggeber in geeigneter Weise zu protokollieren.
5.1 Die Verarbeitung der vertragsgegenständlichen Daten durch den Auftragnehmer erfolgt ausschließlich auf Grundlage der vertraglichen Vereinbarungen in Verbindung mit den gegebenenfalls erteilten Weisungen des Auftraggebers. Eine hiervon abweichende Verarbeitung ist nur unter den Voraussetzungen der Ziffer 3.2 zulässig.
5.2 Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vor der Verpflichtung zur Verschwiegenheit dürfen die betreffenden Personen keinen Zugang zu den vom Auftraggeber überlassenen personenbezogenen Daten erhalten.
Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus festgelegt und in Anlage 2 dieses Vertrags festgehalten. Die dort beschriebenen Maßnahmen wurden unter Beachtung der Vorgaben nach Art. 32 DSGVO ausgewählt. Der Auftragnehmer wird die Maßnahmen regelmäßig und anlassbezogen überprüfen und anpassen; das Schutzniveau darf dabei nicht unterschritten werden.
Der Auftragnehmer unterstützt den Auftraggeber gemäß Art. 28 Abs. 3 lit. e DSGVO bei dessen Pflichten zur Wahrung der Betroffenenrechte aus Kapitel III (Art. 12–22 DSGVO), insbesondere bei der Erteilung von Auskünften und der Löschung, Berichtigung oder Einschränkung personenbezogener Daten. Der Auftragnehmer unterstützt den Auftraggeber ferner gemäß Art. 28 Abs. 3 lit. f DSGVO bei dessen Pflichten nach Art. 32–36 DSGVO, insbesondere den Meldepflichten. Die Reichweite dieser Unterstützungspflichten bestimmt sich im Einzelfall unter Berücksichtigung der Art der Verarbeitung und der Informationen, die dem Auftragnehmer zur Verfügung stehen.
8.1 Der Auftragnehmer ist zum Einsatz von Unterauftragsverarbeitern berechtigt. Alle zum Zeitpunkt des Vertragsschlusses bestehenden Unterauftragsverhältnisse sind in Anlage 3 abschließend aufgeführt. Für die dort genannten Unterauftragsverarbeiter gilt die Zustimmung mit Abschluss dieses Vertrags als erteilt.
8.2 Beabsichtigt der Auftragnehmer den Einsatz weiterer oder den Austausch bestehender Unterauftragsverarbeiter, zeigt er dies dem Auftraggeber spätestens zwei Wochen vor deren Einsatz in Textform an (z. B. per E-Mail an die im Konto hinterlegte Adresse). Der Auftraggeber kann innerhalb von zwei Wochen nach dieser Mitteilung widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Änderung als genehmigt. In dringenden Fällen (z. B. bei kurzfristig benötigten Fehleranalysen oder Mängelbeseitigungen) kann der Auftragnehmer die Frist angemessen verkürzen. Erfolgt ein fristgerechter Widerspruch, darf der betroffene Unterauftragsverarbeiter für die Daten des Auftraggebers nicht eingesetzt werden; ist die Leistung ohne ihn nicht erbringbar, können beide Parteien den Vertrag über die Nutzung von Vidyra und diesen Vertrag außerordentlich kündigen. Widersprüche sind nur zulässig, wenn der Auftraggeber begründete Anhaltspunkte dafür hat, dass durch den Einsatz des Unterauftragsverarbeiters der Datenschutz oder die Datensicherheit eingeschränkt oder die Einhaltung gesetzlicher oder vertraglicher Bestimmungen gefährdet würde; die Anhaltspunkte sind dem Widerspruch beizufügen.
8.3 Unterauftragsverarbeiter werden vom Auftragnehmer unter Beachtung der gesetzlichen und vertraglichen Vorgaben ausgewählt. Der Auftragnehmer stellt sicher, dass den Unterauftragsverarbeitern im Wesentlichen dieselben Datenschutzpflichten auferlegt werden, die in diesem Vertrag festgelegt sind, insbesondere geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Nebenleistungen, die der Auftragnehmer zur Ausübung seiner geschäftlichen Tätigkeit in Anspruch nimmt (z. B. Telekommunikationsleistungen ohne konkreten Bezug zur Hauptleistung), stellen keine Unterauftragsverhältnisse im Sinne des Art. 28 DSGVO dar.
8.4 Die Beauftragung von Unterauftragsverarbeitern in Drittstaaten ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO gegeben sind und der Auftraggeber zugestimmt hat. Für die in Anlage 3 aufgeführten Unterauftragsverarbeiter erteilt der Auftraggeber diese Zustimmung mit Abschluss dieses Vertrags (vgl. Ziffer 1.4).
9.1 Verstöße gegen diesen Vertrag, gegen Weisungen des Auftraggebers oder gegen sonstige datenschutzrechtliche Bestimmungen sowie Verletzungen des Schutzes personenbezogener Daten teilt der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 48 Stunden nach Bekanntwerden, mit; das Gleiche gilt bei einem entsprechenden begründeten Verdacht. Diese Pflicht gilt unabhängig davon, ob der Verstoß vom Auftragnehmer selbst, einem Unterauftragsverarbeiter oder einer sonstigen vom Auftragnehmer eingesetzten Person begangen wurde.
9.2 Ersucht eine betroffene Person, eine Behörde oder ein sonstiger Dritter den Auftragnehmer um Auskunft, Berichtigung, Einschränkung der Verarbeitung oder Löschung, leitet der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiter und stimmt das weitere Vorgehen mit ihm ab.
9.3 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn Aufsichtshandlungen oder sonstige Maßnahmen einer Behörde bevorstehen, von denen auch die Verarbeitung der vom Auftraggeber zur Verfügung gestellten personenbezogenen Daten betroffen sein könnte, sowie über alle Ereignisse oder Maßnahmen Dritter, durch welche die vertragsgegenständlichen Daten gefährdet oder beeinträchtigt werden könnten.
Nach Abschluss der vertragsgegenständlichen Datenverarbeitung bzw. nach Beendigung dieses Vertrags hat der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern keine rechtliche Verpflichtung zur Speicherung der betreffenden Daten besteht (z. B. gesetzliche Aufbewahrungsfristen). Löscht der Auftraggeber sein Konto selbst über die Funktion „Account löschen“, gilt dies als Wahl der Löschung.
Der Auftragnehmer ist unbefristet und über das Ende dieses Vertrags hinaus verpflichtet, die im Rahmen der vorliegenden Vertragsbeziehung erlangten personenbezogenen Daten vertraulich zu behandeln. Der Auftragnehmer verpflichtet sich, Mitarbeiter mit den einschlägigen Datenschutzbestimmungen vertraut zu machen und sie zur Verschwiegenheit zu verpflichten, bevor diese ihre Tätigkeit aufnehmen.
12.1 Änderungen dieses Vertrags und Nebenabreden bedürfen der Textform, die eindeutig erkennen lässt, dass und welche Änderung oder Ergänzung durch sie erfolgen soll.
12.2 Es gilt das Recht der Republik Zypern. Die Vorschriften der DSGVO bleiben unberührt und gehen im Fall eines Widerspruchs vor.
12.3 Sind die Vertragsparteien Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Larnaka, Zypern Gerichtsstand für alle Streitigkeiten aus diesem Vertrag; ausschließliche Gerichtsstände bleiben unberührt.
12.4 Sollten sich die DSGVO oder sonstige in Bezug genommene Regelungen während der Vertragslaufzeit ändern, gelten die Verweise auch für die jeweiligen Nachfolgeregelungen.
12.5 Sollten einzelne Teile dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
12.6 Sämtliche Anlagen sind Vertragsbestandteil. Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag über Vidyra gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieses Vertrags vor.
12.7 Dieser Vertrag wird elektronisch geschlossen. Der Auftraggeber erklärt seine Zustimmung durch Bestätigung im Bereich „Mein Account“ der Anwendung. Der Zeitpunkt der Zustimmung sowie die zugestimmte Fassung werden im Konto des Auftraggebers gespeichert und sind dort jederzeit einsehbar. Eine handschriftliche Unterzeichnung ist nach Art. 28 Abs. 9 DSGVO nicht erforderlich; die elektronische Form ist gewahrt.
| Leistung | Verarbeitete Datenarten | Betroffene Personen |
|---|---|---|
| SaaS-Anwendung zur KI-gestützten Erstellung von Kurzvideos samt Titeln, Beschreibungen und Kanaltexten | E-Mail-Adresse; Passwort (ausschließlich als Hash); Profilangaben (Name, Kanalname und -kennung, Kanaltyp, Nische, Stimme, Videostil, Land, gewählte Plattformen, Digistore24-Kennung, Kampagnenschlüssel, gewähltes Produkt); Angaben für das eigene Impressum (Name, Anschrift, E-Mail-Adresse, Telefonnummer); erstellte Inhalte (Themen, Skripte, Sprachaufnahmen, Bilder, Untertitel, Videodateien, Titel, Beschreibungen); Freigabevermerke; Support-Anfragen; Nutzungszeitpunkte und technische Protokolldaten | Der Auftraggeber als Nutzer der Anwendung; im Impressum genannte Personen |
| Verbindung der Social-Media-Konten und Veröffentlichung freigegebener Videos auf YouTube, TikTok und Instagram | Kennungen der verbundenen Konten, Videodateien, Titel, Beschreibungen, Veröffentlichungszeitpunkt und -status | Der Auftraggeber |
| Auslieferung von Bridge-Seiten unter der Domain des Auftraggebers | IP-Adresse, Zeitstempel des Zugriffs, Browserkennung (User-Agent), aufgerufene URL | Besucher der Bridge-Seiten des Auftraggebers |
Zweck der Verarbeitung ist die Bereitstellung der Funktionen von Vidyra gemäß dem Nutzungsvertrag.
Der Auftragnehmer prüft die in dieser Anlage beschriebenen Maßnahmen im Abstand von 12 Monaten sowie anlassbezogen und passt sie bei Bedarf an.
| Name und Anschrift | Leistung | Ort der Verarbeitung |
|---|---|---|
| Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA | Hosting und Auslieferung der Web-Anwendung und der Bridge-Seiten | Deutschland (Frankfurt) |
| Supabase Inc., 970 Toa Payoh North #07-04, Singapur | Datenbank, Anmeldung, Dateispeicher, Versand der System-E-Mails (Anmeldung, Passwort) | Vereinigtes Königreich (London) |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg | Rendern der Videodateien, Zwischenspeicher der fertigen Videos | Deutschland (Frankfurt) |
| Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland | Sprachsynthese (Vertonung der Skripte) | EU und USA |
| Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA | KI-Textgenerierung (Skripte, Titel, Beschreibungen, Kanaltexte) | USA |
| Replicate, Inc., San Francisco, CA, USA | KI-Bildgenerierung, Transkription für Untertitel | USA |
| Jonathan Geiger D/B/A PostPeer, Israel | Verbindung der Social-Media-Konten und Veröffentlichung freigegebener Videos | Israel |
Die Verarbeitung durch Anbieter mit Sitz oder Verarbeitung in den Vereinigten Staaten von Amerika erfolgt ausschließlich im Rahmen der in Ziffer 1.4 beschriebenen Funktionen. Für das Vereinigte Königreich und Israel bestehen Angemessenheitsbeschlüsse der Europäischen Kommission. Besucherdaten der Bridge-Seiten werden an KI-Anbieter nicht übermittelt.
Fassung 1.0 · Stand 01.10.2026 · Elektronischer Vertragsschluss im Bereich „Mein Account“ der Anwendung