Vertrag zur Auftragsverarbeitung

Stand

Dieser Entwurf folgt dem Aufbau von Art. 28 Abs. 3 DSGVO und beschreibt, was CastTool heute tatsächlich verarbeitet. Er ist Teil der AGB und gilt mit dem Anlegen des Kontos, sobald er geprüft ist. Anlage ist die Seite zu den technischen und organisatorischen Maßnahmen (TOM).

1. Parteien

Verantwortlicher ist der Kunde, also die Agentur oder das Casting-Büro. Auftragsverarbeiter ist der oben genannte Betreiber. offen: Firma

2. Gegenstand und Dauer

Gegenstand ist der Betrieb der Plattform für den Kunden. Der AVV gilt, solange der Vertrag läuft, und darüber hinaus, bis die Daten nach Abschnitt 11 gelöscht sind.

3. Art und Zweck der Verarbeitung

• Speichern und Anzeigen der Daten im Dashboard, im Model-Portal und in Kundenkonten
• Veröffentlichen freigegebener Profile und Bilder auf der Website des Kunden
• Verarbeiten hochgeladener Bilder und Videos: Prüfung des Inhalts, Entfernen von Metadaten wie GPS, Erzeugen von Bildgrößen
• Erzeugen von PDFs: Sedcards, Angebote, Rechnungen
• Versand von E-Mails im Namen des Kunden
• Annehmen von Bewerbungen, Anfragen und Freigaben über Formulare und Links
• Export und Löschen auf Anweisung des Kunden
• Sicherungen und Fehlersuche

4. Arten personenbezogener Daten

Welche Felder der Kunde nutzt, entscheidet er selbst. Möglich sind:

• Models und Bewerber: Name, Kontaktdaten, Geburtsdatum, Geschlecht, Maße, Ort, Sprachen, Talente, Fotos und Videos, Verfügbarkeit, Buchungen, Einwilligungen mit Fassung und Zeitpunkt
• Ausweisdokumente von Models: Personalausweis, Reisepass, Führerschein, Visum und Aufenthaltstitel
• Angaben zur ethnischen Herkunft, wenn der Kunde diese Felder nutzt. Das sind besondere Kategorien nach Art. 9 DSGVO. offen: ob und wie diese Felder bleiben
• Eltern Minderjähriger: Name, E-Mail-Adresse und der Nachweis der Freigabe mit getipptem Namen, Zeitpunkt, Browser und einem Schlüssel der IP-Adresse
• Kunden und Ansprechpartner: Name, Firma, Kontaktdaten, Anfragen, Angebote, Buchungen, Rechnungen, Zugang zum Kundenkonto
• Mitarbeiter des Kunden: Name, E-Mail-Adresse, Rolle, Protokoll der Anmeldungen mit Zeitpunkt, IP-Adresse und Browser
• Besucher der Website: Angaben in Formularen, Inhalt von Warenkorb und Merkliste

5. Betroffene Personen

Models und Bewerber einschließlich Minderjähriger, deren Eltern, Kunden und Ansprechpartner des Kunden, Mitarbeiter des Kunden und Besucher seiner Website.

6. Weisungen

CastTool verarbeitet die Daten nur auf Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Funktionen. Weitere Weisungen erteilt der Kunde in Textform. offen: Kontaktweg für Weisungen Hält CastTool eine Weisung für rechtswidrig, sagt CastTool das dem Kunden.

7. Vertraulichkeit

Wer bei CastTool Zugriff auf die Daten hat, ist zur Vertraulichkeit verpflichtet. Zugriff auf ein Konto des Kunden hat die Plattform nur über eine eigene Funktion, die auf eine Stunde begrenzt ist, einen zweiten Faktor verlangt und im Konto sichtbar ist. Jeder Eingriff der Plattform wird mit Person und Ziel protokolliert. offen: wer bei CastTool Zugriff hat und wie die Verpflichtung erfolgt

8. Technische und organisatorische Maßnahmen

Die Maßnahmen stehen in der Anlage TOM. CastTool darf sie anpassen, solange das Schutzniveau nicht sinkt.

9. Unterauftragsverarbeiter

Der Kunde stimmt den folgenden Unterauftragsverarbeitern zu. Über neue informiert CastTool vorher, der Kunde kann widersprechen. offen: Frist für Hinweis und Widerspruch, Prüfung der Verträge mit jedem Anbieter

Nicht dazu gehört Stripe für Online-Zahlungen der Kunden einer Agentur. Diese laufen über das eigene Stripe-Konto der Agentur und ihren eigenen Vertrag mit Stripe.

• Server und Datenbank: offen: Anbieter und Standort des Servers
• Sicherung der Datenbank und der Dateien: Hetzner Storage Box laut Betriebsdokumentation, offen: Standort
• Auslieferung, DNS, Schutz vor Angriffen, Turnstile und eigene Domains: Cloudflare
• E-Mail-Versand: Mailgun, EU-Region
• Fehlererfassung: GlitchTip, offen: Betrieb und Standort
• Vorschläge bei der Eingabe von Adressen in Formularen der Website, nur nach Einwilligung des Besuchers: Google Maps. offen: Auftragsverarbeitung oder eigene Verantwortung von Google

10. Unterstützung des Kunden

CastTool unterstützt den Kunden bei Anfragen betroffener Personen. Dafür gibt es im Produkt den Export aller Daten, das Löschen von Models, Kunden und des ganzen Kontos und das Protokoll der Einwilligungen mit Fassung. CastTool unterstützt den Kunden auch bei Sicherheit, Meldungen von Verletzungen und Folgenabschätzungen. offen: Vergütung für Unterstützung, die über das Produkt hinausgeht

11. Löschen und Rückgabe

Vor dem Ende kann der Kunde alle Daten exportieren. Beantragt der Kunde das Löschen, löscht CastTool das Konto mit allen Daten und Dateien 30 Tage nach dem Antrag. Ist das Konto wegen fehlender Zahlung gesperrt, beginnt diese Frist 60 Tage nach der Sperre von selbst.

Aus Sicherungen verschwinden die Daten erst, wenn die Sicherung überschrieben wird. offen: Aufbewahrung der Sicherungen Ein Konto mit Rechnungen lässt sich bis zur Klärung der Aufbewahrung nicht löschen. offen: Aufbewahrung von Rechnungen

12. Verletzungen des Schutzes

CastTool meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie bekannt wird, mit den Angaben, die der Kunde für seine eigene Meldung braucht. offen: Frist und Kontaktweg

13. Nachweise und Kontrollen

CastTool stellt dem Kunden die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. offen: Kontrollen vor Ort, Kosten, Berichte Dritter

14. Minderjährige und Marktplatz

Profile Minderjähriger sind standardmäßig nicht öffentlich und brauchen die Freigabe der Eltern. Ob der Ablauf rechtlich reicht, ist noch zu prüfen.

Der Marktplatz ist abgeschaltet. Bevor er öffnet, ist zu klären, wer dort verantwortlich ist und was dazu in diesen Vertrag gehört. offen: Verantwortung im Marktplatz