Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Auftragsverarbeiter: NiiRo.ai, Inh. Robin Kolb, Carrer de S'Illot 13, 07400 Alcúdia, Spanien, info@niiro.ai (nachfolgend „Auftragnehmer“).

Verantwortlicher: der Crewmate-Nutzer, der die App geschäftlich im eigenen Namen nutzt und dabei personenbezogene Daten seiner eigenen Endkunden verarbeitet (nachfolgend „Auftraggeber“).

Stand: 26. August 2026

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber im Rahmen der Nutzung von Crewmate in die App eingibt oder dort erzeugen lässt. Die Vereinbarung gilt für die Dauer des Nutzungsverhältnisses und endet mit dessen Beendigung; die Pflichten aus Ziffer 11 (Löschung und Rückgabe) bestehen darüber hinaus fort.

Für Konto-, Anmelde- und eigene Nutzungsdaten der Crewmate-Nutzer ist der Auftragnehmer selbst Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieser Vereinbarung, sondern der Datenschutzerklärung.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient ausschließlich der Bereitstellung der vom Auftraggeber genutzten Funktionen. Das sind derzeit: Kundenverwaltung, Angebots-, Vertrags- und Rechnungserstellung, DJ-Profil mit öffentlichem Verzeichnis, Musikwunsch-Kanäle, Vorgespräch/Briefing, Kalender, Postfach und DJ-Netzwerk, Gigboard (Weitergabe von Aufträgen zwischen DJs), KI-gestützte Antwort- und Analysefunktionen sowie Audio-Transkription. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

3. Art der personenbezogenen Daten

Siehe Anlage 1.

4. Kategorien betroffener Personen

5. Weisungsrecht

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der App und die darin getroffenen Einstellungen gelten als Weisung. Weitergehende Weisungen bedürfen der Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und kann ihre Ausführung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

Eine Verpflichtung zur Verarbeitung aufgrund des Unionsrechts oder des Rechts eines Mitgliedstaats teilt der Auftragnehmer vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

6. Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Der Auftragnehmer wird derzeit ohne Beschäftigte geführt; die Verpflichtung trifft den Inhaber unmittelbar und ist bei jeder künftigen Einbindung weiterer Personen vor deren Zugriff schriftlich zu begründen.

7. Technische und organisatorische Maßnahmen

Siehe Anlage 2. Die Maßnahmen sind nach dem Stand der Technik angemessen im Sinne des Art. 32 DSGVO und können fortentwickelt werden; das Schutzniveau darf dabei nicht unterschritten werden.

8. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung zur Einbindung der in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert über beabsichtigte Änderungen; der Auftraggeber kann innerhalb von 30 Tagen widersprechen. Wird ein Widerspruch erhoben und lässt sich die Funktion ohne den betreffenden Unterauftragsverarbeiter nicht erbringen, kann jede Partei das Nutzungsverhältnis mit Wirkung für die Zukunft beenden.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht. Diese Vereinbarung behauptet dabei keine bestimmte Vertragskonfiguration bei einem Anbieter – welche Auftragsverarbeitungs- oder Drittlandtransfer-Regelung im Einzelfall gilt, richtet sich nach den jeweils aktuellen Verträgen und Projekteinstellungen beim Anbieter. Besondere Anbieter-Kontrollen wie Zero Data Retention, eingeschränkte Missbrauchsüberwachung oder ausschließliche EU-Datenresidenz erfordern eine gesonderte Freischaltung und werden nur zugesagt, soweit sie nachweislich aktiviert sind.

9. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 12 bis 22 DSGVO) sowie bei Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 35, 36 DSGVO), soweit ihm das mit angemessenem Aufwand möglich ist. Die App stellt hierfür Auskunfts-, Export- und Löschfunktionen bereit; darüber hinausgehende Unterstützung erfolgt auf Anfrage über info@niiro.ai.

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbständig inhaltlich.

10. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und unterstützt ihn bei dessen eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

11. Löschung und Rückgabe

Nach Beendigung der Verarbeitung löscht der Auftragnehmer die Daten oder gibt sie zurück, nach Wahl des Auftraggebers, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht.

Was die App tatsächlich tut, und wo sie es bewusst nicht tut: Die Kontolöschung entfernt die Daten des Kontos einschließlich der Gigboard-Daten (Ausschreibungen, Bewerbungen, Benachrichtigungen, Bewertungen, Journalzeilen). Sie wird abgelehnt, solange aufbewahrungspflichtige Rechnungen oder Verträge bestehen oder ein Gigboard-Vertrag von mindestens einer Seite unterschrieben ist; ein solcher Vertrag gehört zwei Personen, und seine Löschung mit dem Konto der einen würde der anderen ihren Vertrag samt Signaturnachweis nehmen. Diese Fälle erfordern den gesonderten Anonymisierungs- und Aufbewahrungsprozess; sie sind kein Fehlschlag der Löschfunktion, sondern ihr vorgesehenes Verhalten.

12. Nachweise und Überprüfungen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen sind mit angemessener Vorlaufzeit anzukündigen, auf das Erforderliche zu beschränken und dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

13. Drittlandtransfer

Ein Transfer in ein Drittland findet statt, soweit die in Anlage 3 genannten Unterauftragsverarbeiter außerhalb der EU/des EWR verarbeiten. Die Rechtsgrundlage richtet sich nach den jeweils geltenden Verträgen des Anbieters (Angemessenheitsbeschluss, Standardvertragsklauseln oder eine sonstige Garantie nach Kapitel V DSGVO). Eine pauschale Zusage zu Standardvertragsklauseln oder EU-Datenresidenz wird hier ausdrücklich nicht gegeben; sie wäre ohne Prüfung der konkreten Anbieter-Konfiguration nicht belegbar.

14. Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widerspruch zwischen dieser Vereinbarung und den Nutzungsbedingungen geht diese Vereinbarung für die Auftragsverarbeitung vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt spanisches Recht; zuständige Aufsichtsbehörde ist die Agencia Española de Protección de Datos (AEPD).

Anlage 1 – Art der personenbezogenen Daten

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Angaben beschreiben den umgesetzten Stand; sie sind aus der Anwendung und der Datenbank abgeleitet und nicht als allgemeine Zusicherung zu lesen.

Nicht zugesagt wird: eine Verschlüsselung einzelner Feldinhalte auf Anwendungsebene über die Transport- und Speicherverschlüsselung des Anbieters hinaus, ein zertifiziertes Informationssicherheits-Managementsystem und ein Pseudonymisierungsverfahren für Bestandsdaten. Wo eine Maßnahme nicht umgesetzt ist, steht sie hier nicht.

Anlage 3 – Unterauftragsverarbeiter

Die Liste ist aus den tatsächlich aufgerufenen Diensten abgeleitet, nicht aus einer gepflegten Aufzählung.

Ohne Personenbezug und daher nicht als Unterauftragsverarbeiter geführt: die öffentliche Titelsuche bei Apple (iTunes Search), an die ausschließlich der eingegebene Suchbegriff und ein Länderkennzeichen gehen, sowie das Auslesen öffentlicher Profilseiten. Verlinkungen auf soziale Netzwerke im DJ-Profil sind bloße Adressen und lösen serverseitig keine Übermittlung aus.