Vertrag über die Auftragsverarbeitung gemäß Art. 28 Datenschutzgrundverordnung (DSGVO)


zwischen
der (natürlichen oder juristischen) Person, die
die automatisierte Erstellung von Transkripten (nachfolged "Spracherkennung") nutzt
nachfolgend: „verantwortliche Person“
und
audiotranskription - dr. dresing & pehl GmbH - Deutschhausstraße 22a - 35037 Marburg
Geschäftsführer: Dr. Thorsten Dresing und Thorsten Pehl
Telefon:    0049 (0)6421 / 590 979 0          E-Mail:           info@audiotranskription.de
nachfolgend: „audiotranskription“
die verantwortliche Person und audiotranskription nachfolgend gemeinsam: „Parteien“

Präambel

Die Parteien haben einen Vertrag über die Erbringung von Transkriptionsdiensten von Audio-dateien geschlossen (nachfolgend: „Hauptvertrag“).
Aufgrund der automatisierten Transkription erhält audiotranskription grundsätzlich keine Kenntnis von dem Inhalt der von der verantwortlichen Personverantwortlichen Person bereit-gestellten Audiodaten. Allerdings ist es im Rahmen des Transkriptionsvorgangs und des Hostings zumindest technisch nicht ausgeschlossen, dass ein Zugriff erfolgt. Selbst wenn aber ein Zugriff erfolgen sollte, hat audiotranskription regelmäßig keine Möglichkeit, die Audiodaten mit einer bestimmten Person in Zusammenhang zu bringen. Dies wäre i.d.R. nur dann der Fall, wenn z.B. im Rahmen eines Interviews die beteiligten Personen namentlich genannt werden.
Da aus diesem Grund eine Identifikation einer natürlichen Person und damit einer Verarbeitung personenbezogener Daten nicht ausgeschlossen ist, schließen die Parteien diesen Vertrag über die Auftragsverarbeitung (nachfolgend: „Vertrag“) und konkretisieren damit die Verpflichtun-gen der Parteien zum Datenschutz, die sich aus dem Hauptvertrag ergeben. Der Vertrag findet Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen audiotranskription, dessen Beschäftigte oder durch audiotranskription Beauftragte mit personenbezogenen Daten der verantwortlichen Person in Berührung kommen können.

1.    Ansprechbare Personen für Datenschutzfragen

1.1.    Die Parteien vereinbaren die folgenden Personen, die für im Rahmen des Vertrages anfal-lende Datenschutzfragen ansprechbar und weisungs- bzw. empfangsberechtigt sind:
-    auf Seiten von audiotranskription: Dr. Thorsten Dresing und Thorsten Pehl (Ge-schäftsführung dr. dresing & pehl GmbH)
-    auf Seiten der verantwortlichen Person: die im Nutzerkonto hinterlegte Person.
1.2.    In dringenden Fällen darf die verantwortliche Person aber auch allen anderen Beschäftig-ten von audiotranskription z.B. Weisungen erteilen, sofern die vorgenannten Personen für verantwortlichen Person die verantwortliche Person nicht erreichbar sind.
1.3.    Ein Wechsel in der weisungs- bzw. empfangsberechtigten Person bzw. deren dauerhafte Verhinderung ist von den Parteien möglichst frühzeitig schriftlich, unter Benennung der Kontaktdaten der neuen weisungs- bzw. empfangsberechtigten Person, mitzuteilen. Bis zum Zugang einer solchen Mitteilung gelten die benannten Personen weiter als weisungs- bzw. empfangsberechtigt für alle Datenschutzfragen.

2.    Gegenstand der Verarbeitung (Art. 28 Abs. 3 S. 1 DSGVO)

audiotranskription verarbeitet personenbezogene Daten im Auftrag der verantwortlichen Person zur Erfüllung seiner vertraglichen Pflichten gegenüber der Verantwortlichen Per-son. Der Gegenstand der Verarbeitung ist die automatisierte Transkription von Audiodatei-en in Textdateien. Einzelheiten ergeben sich aus dem Hauptvertrag sowie aus der Anlage 1.

3.    Dauer der Verarbeitung (Art. 28 Abs. 3 S. 1 DSGVO)

Die Dauer des Vertrags ergibt sich aus dem Hauptvertrag. Eine Kündigung des Hauptver-trags bewirkt automatisch eine Kündigung dieses Vertrags. Die verantwortliche Person kann den Hauptvertrag jederzeit außerordentlich kündigen, wenn audiotranskription gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrags verstößt, insbesondere wenn audiotranskription eine Weisung der verantwortlichen Person nicht ausführt.

4.    Art, Umfang und Zweck der Verarbeitung (Art. 28 Abs. 3 S. 1 DSGVO)

Die verantwortliche Person kann im Rahmen des Hauptvertrags über einen Software-Client (f4transkript oder Webbrowser) Audiodateien auf einen Server hochladen. Dort werden die Sprachdateien automatisiert in einen Text überführt. Der erzeugte Text wird der verant-wortlichen Person im Software-Client angezeigt und kann dort lokal weiterverarbeitet wer-den. Alle auf den Server hochgeladenen Daten werden nach der Transkription und der Übermittlung auf den Software-Client gelöscht. Einzelheiten ergeben sich aus dem Haupt-vertrag sowie aus der Anlage 1.

5.    Art der personenbezogenen Daten (Art. 28 Abs. 3 S. 1 DSGVO)

Die zur Transkription vom verantwortlichen Person übermittelten Audiodateien können, z.B. abhängig von einem Interviewthema, potenziell alle Arten personenbezogener Daten, insbe-sondere Personenstammdaten (z.B. Name, Anschrift, Telefonnummer und E-Mail-Adresse) enthalten. Aus diesem Grund ist eine abschließende Aufzählung an dieser Stelle nicht mög-lich. Die verantwortliche Person benennt in der Anlage 4 zumindest die grundsätzlichen (zu erwartenden) Arten der betroffenen Daten, insbesondere wenn es sich um besondere Kategorien personenbezogener Daten handelt.

6.    Kategorien betroffener Personen (Art. 28 Abs. 3 S. 1 DSGVO)

Die Verarbeitung betrifft alle Personen, die auf den vom verantwortlichen Person hochge-ladenen Audiodateien enthalten sind, d.h. die sprechenden bzw. identifizierbaren Personen und Personen, auf welche innerhalb eines Gesprächs Bezug genommen wird. Die verant-wortliche Person benennt in der Anlage 4 zumindest die grundsätzlichen Kategorien be-troffener Personen.  

7.    Rechte und Pflichten der verantwortlichen Person (Art. 28 Abs. 3 S. 1 DSGVO)

Die Rechte und Pflichten der verantwortlichen Person ergeben sich aus dem Hauptvertrag und diesem Vertrag. Im Falle einer Inanspruchnahme von audiotranskription durch eine betroffene Person nach Art. 82 DSGVO unterstützt die verantwortliche Person audiotran-skription in einem angemessenen Umfang.

8.    Verarbeitung personenbezogener Daten nur auf dokumentierte Weisung (Art. 28 Abs. 3 S. 2 lit. a DSGVO)

8.1.    audiotranskription verarbeitet personenbezogene Daten der verantwortlichen Person nur nach Maßgabe des Hauptvertrages sowie nach den in diesem Vertrag enthaltenen Best-immungen und auf dokumentierte Weisung der verantwortlichen Person. Das gilt insbe-sondere für die Übermittlung personenbezogener Daten der verantwortlichen Person an einen Person oder Organisation in einem Drittland oder an eine internationale Organisa-tion. Zur Dokumentation der Weisungen führt audiotranskription ein Verzeichnis, welches der verantwortlichen Person auf Aufforderung vorzulegen ist.
8.2.    Weisungen der Verantwortlichen, die über die bisherigen (Haupt-)Vertragsbestimmungen hinausgehen oder diese modifizieren, sollen grundsätzlich in Schrift- oder Textform er-folgen. Soweit erforderlich, kann die verantwortliche Person Weisungen auch mündlich oder telefonisch erteilen. Mündlich und telefonisch erteilte Weisungen bedürfen jedoch einer unverzüglichen Bestätigung durch den in Ziff. 1 dieses Vertrags genannten Wei-sungsberechtigten der verantwortlichen Person in Schrift- oder Textform.
8.3.    Soweit Weisungen aus Sicht von audiotranskription unklar oder missverständlich sein sollten, hat er verantwortlichen Person die verantwortliche Person unverzüglich schrift-lich darüber zu informieren und eine Klarstellung einzuholen. audiotranskription ist nach rechtzeitiger vorheriger Ankündigung gegenüber der verantwortlichen Person berechtigt, die Ausführung der Weisung bis zu einer Bestätigung oder Änderung der Weisung durch verantwortlichen Person die verantwortliche Person auszusetzen.
8.4.    audiotranskription darf personenbezogene Daten der verantwortlichen Person auch ver-arbeiten, wenn eine Verpflichtung durch das Recht der Europäischen Union oder eines Mitgliedstaats besteht (Art. 28 Abs. 3 S. 2 lit. a DSGVO). In diesem Fall teilt audiotran-skription der verantwortlichen Person diese rechtlichen Anforderungen mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Inte-resses verbietet.

9.    Verpflichtung eingeschalteter Personen (Art. 28 Abs. 3 S. 2 lit. b DSGVO)

audiotranskription verpflichtet zur Verarbeitung der personenbezogenen Daten eingesetz-te oder befugte Personen vorab zur Vertraulichkeit und Wahrung des Datengeheimnisses oder stellt sicher, dass sie einer angemessenen gesetzlichen Verschwiegenheitspflicht in Bezug auf die personenbezogenen Daten unterliegen. audiotranskription stellt zudem si-cher, dass die vorgenannten Verpflichtungen auch nach Beendigung dieses Vertrags fort-bestehen.

10.    Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 S. 2 lit. c DSGVO)

10.1.    audiotranskription gestaltet seine innerbetriebliche Organisation so, dass sie den beson-deren Anforderungen des Datenschutzes gerecht wird. Er trifft technische und organisa-torische Maßnahmen zum angemessenen Schutz der Daten der Verantwortlichen, die den datenschutzrechtlichen Anforderungen genügen. Diese ergeben sich insbesondere aus Art. 32 DSGVO. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maß-nahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungs-kosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschied-liche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen. Die konkret getroffenen Maßnahmen sind in Anlagen 1 und 2 dokumentiert.
10.2.    audiotranskription gewährleistet, seinen Pflichten nach Art. 32 Abs. 1 lit. dDSGVO nach-zukommen und ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluie-rung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewähr-leistung der Sicherheit der Verarbeitung einzusetzen.
10.3.    Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Während der Dauer dieser Verarbeitung sind die technischen und organisatorischen Maßnahmen durch audiotranskription fortlaufend an die Anforde-rungen dieses Vertrags anzupassen und weiterzuentwickeln. Das hier und in Anlage 2 vereinbarte Schutzniveau darf dabei nicht unterschritten werden.

11.    Einschaltung von Unterauftragsverarbeitern (Art. 28 Abs. 3 S. 2 lit. d DSGVO)

11.1.    Die verantwortliche Person ist damit einverstanden, dass audiotranskription für die Ver-arbeitung personenbezogener Daten der verantwortlichen Person die in Anlage 3 aufge-zählten Unterauftragsverarbeiter einsetzt.
11.2.    audiotranskription informiert verantwortlichen Person die verantwortliche Person vorab über jede beabsichtigte Beauftragung weiterer Unterauftragsverarbeiter oder die Ände-rung bestehender Beauftragungen. Die verantwortliche Person hat gegen die Beauftra-gung neuer Unterauftragsverarbeiter oder die Änderung bestehender Beauftragungen ein Recht zum Einspruch. Die Mitteilung muss so rechtzeitig erfolgen, dass die verantwortli-che Person dieses Einspruchsrecht mit angemessener Überlegungsfrist vor der beab-sichtigten Änderung ausüben kann.
11.3.    Nimmt audiotranskription die Dienste eines in Anlage 3 genannten oder eines weiteren Unterauftragsverarbeiters für die Verarbeitung personenbezogener Daten der verant-wortlichen Person in Anspruch, so erlegt er dem Unterauftragsverarbeiter vorab vertrag-lich oder durch ein anderes anwendbares Rechtsinstrument nach dem Recht der Europä-ischen Union oder des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auf, die zwischen ihm und der verantwortlichen Person in diesem Vertrag oder durch ein an-deres anwendbares Rechtsinstrument des Rechts der Europäischen Union festgelegt sind. Er stellt dabei insbesondere sicher, dass der verantwortlichen Person eigene Kon-trollrechte eingeräumt werden und der Unterauftragsverarbeiter hinreichende Garantien bietet, dass geeignete technische und organisatorische Maßnahmen getroffen sind und so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen des Da-tenschutzrechts und dieses Vertrags erfolgt.

12.    Ort der Verarbeitung

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in ei-nem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Ab-kommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen schriftlichen Zustimmung der verantwortlichen Person und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

13.    Unterstützung der verantwortlichen Person bei der Erfüllung datenschutzrechtlicher Pflichten (Art. 28 Abs. 3 S. 2 lit. e und f DSGVO)

13.1.    audiotranskription unterstützt verantwortlichen Person die verantwortliche Person nach seinen Möglichkeiten bei der Beantwortung von Anfragen und Ansprüchen betroffener Personen gemäß Kapitel III der DSGVO. audiotranskription beantwortet Auskunftsanfra-gen und andere Begehren von betroffenen Personen nicht selbst, sondern verweist die betroffenen Personen insoweit an den verantwortlichen Person.
13.2.    audiotranskription unterstützt verantwortlichen Person die Verantwortlichebei der Ein-haltung der in Art. 32 bis 36 DSGVO genannten Pflichten, z.B. bei der Sicherheit der Ver-arbeitung, bei der Meldung von Datenschutzverletzungen an die Aufsichtsbehörden, bei der Benachrichtigung von betroffenen Personen über Datenschutzverletzungen, bei den Pflichten zur Datenschutz-Folgenabschätzung und bei den Abstimmungen mit der Daten-schutzaufsichtsbehörde.

14.    Löschung und Rückgabe von Daten nach Abschluss der Verarbeitung (Art. 28 Abs. 3 S. 2 lit. g DSGVO)

14.1.    Sollte beim Upload ein Fehler aufgetreten sein, z.B. wegen eines nicht erkannten Da-teiformats oder des Abbruchs der Verbindung, wird die unvollständige Audiodatei sofort vom Server gelöscht. Die verantwortliche Person erhält sodann einen entsprechenden Hinweis.
14.2.    Die transkribierten Daten können durch verantwortlichen Person die verantwortliche Per-son von dem von audiotranskription bereitgestellten Server heruntergeladen werden. So-bald der Server die Meldung über den erfolgreichen Download erhält, wird die Datei vom Server endgültig gelöscht.
14.3.    Sollte ein Transkriptionsergebnis nach 14 Tagen nicht abgeholt werden, erhält die ver-antwortliche Person einen Hinweis per E-Mail. Bleibt dieser Hinweis unbeantwortet bzw. erfolgt kein Download durch den Verantwortlichen, erhält die verantwortliche Person nach weiteren 7 Tagen eine zweite Erinnerung. Sollte die darin genannte Frist zur Abho-lung von weiteren 7 Tagen verstreichen, werden die Daten gelöscht und die verantwortli-che Person hierüber per E-Mail informiert.
14.4.    Über eine Löschung bzw. Vernichtung von Daten erstellt audiotranskription ein Server-Protokoll, das der verantwortlichen Person auf Verlangen vorzulegen ist.
14.5.    Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbei-tung oder gesetzlichen Aufbewahrungsfristen dienen, sind durch audiotranskription ent-sprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzube-wahren.

15.    Datenschutzrechtliche Pflichten von audiotranskription, Nachweis und Kontrollrechte (Art. 28 Abs. 3 S. 2 lit. h DSGVO)

15.1.    Die verantwortliche Person überzeugt sich vor der Aufnahme der Datenverarbeitung und sodann regelmäßig von den getroffenen technischen und organisatorischen Maßnahmen von audiotranskription. Hierfür kann er insbesondere Auskünfte von audiotranskription einholen, sich vorhandene Testate einer sachverständigen Person vorlegen lassen und zur Verarbeitung seiner Daten eingesetzte Datenverarbeitungsanlagen prüfen oder durch beauftragte Dritte prüfen lassen.
15.2.    audiotranskription kontrolliert regelmäßig die getroffenen technischen und organisatori-schen Maßnahmen und bestellt einen Datenschutzbeauftragten oder eine Datenschutzbe-auftragte, soweit sie gesetzlich dazu verpflichtet ist. Die Kontaktdaten des oder der Da-tenschutzbeauftragten sind der verantwortlichen Person bei Vertragsschluss und sodann unverzüglich bei jeder Änderung mitzuteilen.
15.3.    audiotranskription führt das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO und stellt dies der verantwortlichen Person auf Anforderung zur Verfügung.
15.4.    audiotranskription stellt dem verantwortlichen Person alle erforderlichen Informationen zum Nachweis der Einhaltung seiner vertraglichen und gesetzlichen Pflichten als audi-otranskription zur Verfügung. Er gestattet und ermöglicht dem verantwortlichen Person und von ihm beauftragten Personen entsprechende Überprüfungen – einschließlich In-spektionen – im Rahmen der üblichen Geschäftszeiten von audiotranskription (mit Aus-nahme der gesetzlichen Feiertage in Deutschland: montags bis freitags zwischen 08:00 und 17:00 Uhr) und trägt in zweckmäßigem Maß dazu bei. Sollte der von der verantwort-lichen Person beauftragte prüfende Person in einem Wettbewerbsverhältnis zu audi-otranskription stehen, hat audiotranskription ein Einspruchsrecht.
15.5.    Beauftragt die verantwortliche Person eine dritte Person mit der Durchführung der In-spektion, hat die verantwortliche Person die dritte Person auf Verschwiegenheit und Ge-heimhaltung zu verpflichten, es sei denn, dass diese Person einer beruflichen Verschwie-genheitsverpflichtung unterliegt. Auf Verlangen von audiotranskription hat die verant-wortliche Person diesem die Verpflichtungsvereinbarung unverzüglich vorzulegen.
15.6.    Sofern eine Inspektion erforderlich sein sollte, hat die verantwortliche Person audiotran-skription rechtzeitig (in der Regel mindestens zwei (2) Wochen vorher) über alle mit der Durchführung der Inspektion zusammenhängenden Umstände zu informieren.

16.    Information über datenschutzwidrige Weisungen (Art. 28 Abs. 3 S. 3 DSGVO)

Ist audiotranskription der Auffassung, dass eine Weisung der verantwortlichen Person ge-gen den Hauptvertrag und/oder diesen Vertrag und/oder geltendes Datenschutzrecht ver-stößt, hat audiotranskription verantwortlichen Person die verantwortliche Person unver-züglich darauf hinzuweisen.

17.    Berichtigung, Löschung und Sperrung von Daten

audiotranskription berichtigt oder sperrt keine personenbezogene Daten der Verantwortli-chen, wenn die verantwortliche Person dies nicht anweist. Die datenschutzkonforme Ver-nichtung von Datenträgern und sonstigen Materialien übernimmt audiotranskription auf Grund einer Einzelbeauftragung durch die Verantwortliche, sofern dies nicht im Vertrag oder Hauptvertrag bereits vereinbart ist.

18.    Mitteilung von Verstößen (Art. 33 Abs. 2 DSGVO)

18.1.    audiotranskription unterrichtet verantwortlichen Person die verantwortliche Person un-verzüglich bei der Möglichkeit einer unrechtmäßigen Kenntniserlangung der personen-bezogenen Daten durch Dritte oder bei sonstigen schwerwiegenden Verstößen von audi-otranskription oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten der verantwortlichen Person oder in diesem Vertrag getroffenen Festlegungen. audiotranskription trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen und spricht sich hierzu unverzüglich mit der verantwortlichen Person ab. Die vorstehende Mitteilungspflicht greift stets dann, wenn die Möglichkeit nicht aus-geschlossen werden kann, dass der Verstoß zu einer Meldepflicht der verantwortlichen Person nach Art. 33 DSGVO oder einer entsprechenden Regelung führt.
18.2.    audiotranskription meldet jegliche Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO unverzüglich der verantwortlichen Person gemäß Art. 33 Abs. 2 DSGVO.

19.    Haftung

Sofern Dritte Ansprüche gegen audiotranskription wegen der Verletzung datenschutz-rechtlicher Bestimmungen geltend machen, die auf einen Verstoß der verantwortlichen Person gegen datenschutzrechtliche Bestimmungen oder gegen die Bestimmungen des Vertrags basieren, übernimmt die verantwortliche Person auf eigene Kosten die Verteidi-gung des Rechtsstreits und stellt audiotranskription von sämtlichen Ansprüchen sowie den angemessenen Kosten der Rechtsverfolgung auf erstes Anfordern frei. audiotranskrip-tion wird verantwortlichen Person die verantwortliche Person unverzüglich über die ent-sprechenden Anspruchsschreiben Dritter informieren und – soweit möglich – der verant-wortlichen Person die Befugnisse einräumen, sich selbstständig gegen die Ansprüche zu verteidigen.

20.    Kosten

Sofern nicht anderweitig in dem Hauptvertrag geregelt, sind alle Leistungen von audi-otranskription nach diesem Vertrag mit der Vergütung nach Maßgabe des Hauptvertrags abgegolten.

21.    Standardvertragsklauseln für Verträge zur Auftragsverarbeitung

Sollte die EU-Kommission oder die zuständige Aufsichtsbehörde gemäß Art. 28 Abs. 7 und 8 DSGVO Standardvertragsklauseln für Verträge zur Auftragsverarbeitung entwickeln, werden sich die Parteien auf eine mögliche Anpassung oder Ersetzung des Vertrags ver-ständigen.

22.    Weitere Unterstützungs- und Informationspflichten von audiotranskription

22.1.    Im Falle einer Inanspruchnahme der verantwortlichen Person durch eine betroffene Per-son nach Art. 82 DSGVO unterstützt audiotranskription verantwortlichen Person die ver-antwortliche Person in einem angemessenen Umfang.
22.2.    Sollten die Daten der verantwortlichen Person bei audiotranskription durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren, durch Verlangen nach Offenlegung im Zusammenhang mit gerichtlichen Verfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat audiotranskription verant-wortlichen Person die verantwortliche Person unverzüglich darüber zu informieren. au-diotranskription wird alle in diesem Zusammenhang verantwortlichen Stellen unverzüg-lich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich bei der verantwortlichen Person liegen.
22.3.    Für die vorgenannten Informations- und Unterstützungsleistungen erhält audiotran-skription eine gesonderte Vergütung nach Maßgabe der jeweils aktuell gültigen Preisliste von audiotranskription.

23.    Anwendbares Recht / Gerichtsstand

23.1.    Auf diesen Vertrag findet das deutsche Recht Anwendung.
23.2.    Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist der Sitz von audiotranskription. audiotranskription ist berechtigt, ver-antwortlichen Person die verantwortliche Person auch an deren Sitz zu verklagen.

24.    Schlussbestimmungen

24.1.    Änderungen oder Ergänzungen dieses Vertrags bedürfen der Schriftform. Dies gilt auch für die Änderung und Aufhebung dieser Klausel.
24.2.    Soweit in diesem Vertrag keine Sonderregelungen enthalten sind, gelten die Bestimmun-gen des Hauptvertrags. Im Falle von Widersprüchen zwischen diesem Vertrag und Rege-lungen aus dem Hauptvertrag gehen die Regelungen aus diesem Vertrag vor.
24.3.    Sollten Bestimmungen dieses Vertrags unwirksam sein, berührt dies die Gültigkeit der übrigen Bestimmungen nicht. Die Parteien werden sich bemühen, anstelle der unwirksa-men Bestimmungen eine wirksame zu finden, die den wirtschaftlichen Bedeutungsgehalt der unwirksamen Bestimmungen am ehesten nahekommt. Entsprechendes gilt bei einer Lücke in diesem Vertrag.



 

Anlage 1: Datenschutzrechtliche Ausgestaltung der auto-matischen Transkription von Audiodateien


I. Ausgangslage / Kurzdarstellung des Unternehmens

Die dr. dresing & pehl GmbH, Deutschhausstraße 22A, 35037 Marburg, (nachfolgend auch: „wir) vertreibt unter der Marke „audiotranskription“ seit 2005 eine Software sowie (als optio-nale Ergänzung hierzu) sog. „Fußschalter“ zur manuellen Transkription von Interviews. Die Software zur Transkription ist hauptsächlich im Hochschulkontext im Einsatz und ist dort zentraler Bestandteil der qualitativen Methodenausbildung.
In Zusammenarbeit mit dem Fraunhofer Institut IAIS entwickelte die dr. dresing & pehl GmbH eine technische Lösung zur automatischen Erstellung von Transkripten aus Audiodateien. Mit dieser Lösung soll der Zeitaufwand für die Erstellung wissenschaftlicher Transkription mini-miert werden.
Als Erweiterung des eigenen Leistungsportfolios soll den Kunden der dr. dresing & pehl GmbH zukünftig die automatisierte Transkription von Audiodateien in Textdateien angeboten werden. Die gesamte Vertragsdurchführung erfolgt allein durch die dr. dresing & pehl GmbH. Das Fraunhofer Institut IAIS erhält daher auch keine Kundendaten. Der vorgenannte automatisierte Transkriptionsdienst ist Gegenstand dieser datenschutzrechtlichen Darstellung.
Im Folgenden beschreiben wir daher unsere vertraglichen und technischen Maßnahmen, um die automatische Spracherkennung datenschutzkonform zu gestalten. Auf dieser Basis soll der Transkriptionsservice den Kunden zukünftig offeriert werden.

II. Begriffsklärung

Im Folgenden wird zunächst unterschieden zwischen:
a)    „Vertragsdaten“, also Daten der nutzenden Person(nachfolgend "Sie")(d.h. Name, Anschrift usw.) und
b)    „Auftragsdaten“, also Audiodateien und die entsprechendenTextdatei, die die nutzenden Per-sonen zur Beauftragung unserer Services hochladen sowie die jeweils transkribierten Daten. Diese Dateien können sowohl personenbezogene Sprachdaten nuetzenden Person, als auch Sprachdaten Dritter (der aufgenommenen Gesprächspartner) enthalten.

III. Informationen der Kunden gemäß Art. 13 DSGVO

Sie  werden vor bzw. beim Anlegen eines Kundenkontos ausführlich gemäß Art. 13 DSGVO über die Datenverarbeitung informiert.
Konkret erfolgt die Information auf der Webseite über die Datenschutzerklärung, in der u.a. Informationen nach Maßgabe dieses Dokuments bereitgestellt werden. Auch beim Anlegen ei-nes Benutzerkontos wird prominent auf die Datenschutzerklärung hingewiesen.

IV. Überblick des Arbeitsablaufs

Sie werden über einen Software-Client (f4transkript oder einen Web-Client) Interviews oder andere Sprachdateien zu einem Server der dr. dresing & pehl GmbH hochladen. Dort werden die Sprachdateien automatisiert in einen Text überführt. Der erzeugte Text wird Ihrnen im Software-Client angezeigt und kann dort lokal weiterverarbeitet werden. Alle auf den Server hochgeladenen Daten werden nach der Transkription und der Übermittlung auf den Software-Client gelöscht. Die Einzelschritte dieses Prozesses werden im Folgenden genauer erläutert:

1. Softwareinstallation/Registrierung

Voraussetzung zur Nutzung des Services ist die Installation der Software f4transkript oder eines entsprechenden Web-Clients. Hier müssen Sie sich vor Nutzung des Spracherkennungs-dienstes persönliche registrieren. Ein entsprechender Dialog wird von der lokal zu installieren-den Software angezeigt. Ihre Registrierung erfolgt in den folgenden Schritten:

Schritt 1: Vergabe von Nutzername und Passwort

In einem ersten Schritt werden die E-Mail-Adresse, ein von Ihnen frei wählbares Passwort und die Bestätigung der Kenntnisnahme von der (per Link einsehbaren) Datenschutzerklärung ab-gefragt. Das zu wählende Passwort muss hierbei bestimmten Mindestvoraussetzungen ent-sprechen (eine Kombination aus Groß-/Kleinschreibung, Sonderzeichen, Zahlen, mind. 10 Zei-chen).
Das Passwort kann nach der Authentifizierung per E-Mail geändert werden. Bei Eingabe der E-Mail-Adresse im entsprechenden Feld des Clients wird ein Code an die hinterlegte E-Mail-Adresse gesendet. Erst mit Eingabe dieses Codes kann das Passwort geändert werden.

Schritt 2: Bestätigung der Anmeldung

Zur Verifizierung der angegebenen E-Mail-Adresse wird an das hinterlegte Konto ein Code ge-sendet. Erst wenn der Kunde diesen Code über den Anmeldedialog im Client eingegeben hat, wird das Konto aktiviert. Nicht bestätigte Daten werden nach 6 Stunden gelöscht.

Schritt 3: Abschluss eines Vertrags über die Auftragsverarbeitung (AVV)

Nach Bestätigung der Anmeldung erhalten Sie einen Dialog zum Abschluss eines AVV. Hier werden Vertragstext samt Auflistung der technischen und organisatorischen Maßnahmen und Unterauftragsverarbeiter (Server-Hoster) aufgeführt. Sie haben die Möglichkeit, den Zweck der Verarbeitung und die Art der zu verarbeitenden personenbezogenen Daten gesondert einzuge-ben. Der Vertragstext wird nach Bestätigung durch Sie per E-Mail versendet (Vertragsschluss gemäß Art. 28 Abs. 9 DSGVO).

Schritt 3a (optional): Verpflichtung auf die Geheimhaltung nach Maßgabe von § 203 StGB

Einige Personengruppen (z.B. in juristischen oder medizinischen Tätigkeiten) unterliegen be-sonderen Bestimmungen zur Geheimhaltung nach § 203 StGB. Um die Verarbeitung von Daten zu ermöglichen, ist es in diesen Fällen notwendig, dass wir uns und Unterauftragnehmer expli-zit (über die Bestimmungen der AVV hinaus) auf die Geheimhaltung nach Maßgabe von § 203 StGB verpflichten. Sie erhalten auf wunsch optional eine entsprechende Verpflichtung in elekt-ronischer Form.

2. Freischaltung für den Upload von Auftragsdaten

Erst nach Abschluss der Registrierung wird der Account für den Upload von Auftragsdaten auf unseren Server freigeschaltet. Die Registrierungsinformationen werden auf dem Spracherken-nungsserver gespeichert und sind physikalisch und logisch getrennt von Abrechnungsdaten (siehe unter Ziff. VII. Infrastruktur zur Datenverarbeitung).

3. Kauf von Zeitkontingenten über den Onlineshop

Die Nutzung der automatisierten Spracherkennung wird auf Basis von Zeitkontingenten ermög-licht. Die Zeitkontingente können vorab in Form von Guthabencodes über unseren Onlineshop gekauft werden. Diese Codes werden von unserem Aktivierungsserver (logisch und physisch getrennt vom Spracherkennungsserver) erzeugt und per E-Mail versendet. Die Codes sind nicht personengebunden und können von einem beliebigen (aber registrierten) Personzur Aufladung des eigenen Zeitkontingents genutzt werden.
Bestelldaten wie Name, Adresse, E-Mail-Adresse, Telefonnummer, Datum der Bestellung und Anzahl der bestellten Artikel werden für Abrechnungs- und Buchhaltungszwecke auf den Ser-ver des Webshops und auf unseren Inhouse-Server in Marburg geladen und entsprechend der gesetzlichen Aufbewahrungsfristen gespeichert. Zahlungsinformationen (Kreditkartendaten) werden von uns nicht erfasst, sondern direkt über sog. Iframes oder über Zahlungsseiten der jeweiligen Zahlungsabwickler an die zahlungsabwickelnden Unternehmen übermittelt (PayOne, PayPal). Die Datenschutzerklärung des Webshops wurde von TrustedShops geprüft. Die Ab-rechnungsdaten sind logisch und physikalisch von den Auftragsdaten getrennt.

V. Abwicklung der Einzelaufträge

Als „Abwicklung der Einzelaufträge“ beschreiben wir hier das Hochladen einer Audiodatei auf unseren Server, die Bearbeitung dort und den Download der fertigen Ergebnisse bis zur Lö-schung der einzelnen Auftragsdaten. Die Auftragsdaten werden nur so lange auf dem Server gespeichert, wie dies für die Zwecke der Verarbeitung nötig ist. Danach werden die Auftragsda-ten auf Ihren Rechner zurückgespielt und dort von Ihnen lokal gespeichert.

1. Hochladen von Audiodateien

Audiodateien können auf unseren Server hochgeladen werden, wenn Sie registriert und an ei-nem Client angemeldet ist. Der Client erzeugt für jede Audiodatei beim Upload ein asynchrones Schlüsselpasswort. Der öffentliche Schlüssel wird beim Upload gemeinsam mit der Audiodatei an den Server gesendet (Jobschlüssel). Der private Schlüssel wird auf dem Client-Rechner mit ihrem geheimen Passwort verschlüsselt und abgelegt. So ist sichergestellt, dass die Auftrags-daten nur vom registrierten Client aus entschlüsselt werden können.
Der Upload auf unseren Server erfolgt über eine gesicherte Verbindung direkt in einem gesi-cherten Cryptocontainer. Die Audiodatei wird also bereits während des Uploads verschlüsselt auf dem Server abgelegt. Für jede Audiodatei wird ein eigenes zufälliges Verschlüsselungs-passwort vom Server erzeugt. Dateinamen werden schon beim Upload durch zufällige aber eindeutige Namen anonymisiert.

2. Bearbeitung

Zur Bearbeitung wird die Audiodatei durch den Spracherkennungsalgorithmus entschlüsselt und in eine Textdatei umgesetzt. Die Audiodatei wird direkt nach der erfolgreichen Umsetzung in eine Textdatei gelöscht. Die fertige Textdatei wird mit dem öffentlichen Schlüssel des Jobs verschlüsselt auf dem Server zur Abholung zwischengespeichert.
Der Server meldet zu jedem Job einen Status an den Client. Erfolgreich umgesetzte Jobs mel-den den Status an den Client und aktivieren dort den „Download“-Button.

3. Download

Die fertigen Textdateien können vom Client heruntergeladen werden. Nach erfolgreichem Download wird die Textdatei durch den privaten Key auf dem Client entschlüsselt. Die Kombina-tion aus öffentlichem und privatem Schlüssel stellt sicher, dass die Ergebnisse nur auf dem Rechner entschlüsselt werden können, von dem der Auftrag hochgeladen wurde.

4. Löschung

Sobald der Server die Meldung über den erfolgreichen Download erhält, wird die Datei vom Server endgültig gelöscht.
Sollte beim Upload ein Fehler aufgetreten sein, z.B. wegen eines nicht erkannten Dateiformats oder des Abbruchs der Verbindung, wird die unvollständige Audiodatei sofort vom Server ge-löscht. Der Client erhält sodann einen entsprechenden Hinweis.
Sollte ein Ergebnis nach 14 Tagen nicht abgeholt werden, erhalten Sie einen Hinweis per E-Mail. Bleibt dieser Hinweis unbeantwortet, erhalten Sie nach 7 Tagen eine weitere Erinnerung. Sollte die darin genannte Frist zur Abholung von 7 Tagen verstreichen, werden die Auftragsdaten gelöscht und der Kunde hierüber per E-Mail informiert.

VI. Dauer der Datenspeicherung und Datenlöschung

Im Hinblick auf die Dauer der Datenspeicherung und die Datenlöschung ist wie folgt zu diffe-renzieren:
  1. Vertragsdaten werden zur Legitimierung und Auftragskontrolle zunächst dauerhaft auf dem Spracherkennungsserver gespeichert. Die Löschung der Vertragsdaten erfolgt bei der Löschung des Accounts, sofern der Löschung keine vertraglichen und/oder gesetzlichen Aufbewahrungs-fristen entgegenstehen.
  2. Auftragsdaten, also die Audiodateien und die entsprechenden Textdateien, werden für die Dauer der Bearbeitung bis zum Download durch Sie oder bis zum Verstreichen der vereinbarten Löschfrist gespeichert und sodann automatisch gelöscht.
  3. Ergänzende Informationen zu den Auftragsdaten, wie Dateigröße und Datum des Uploads, werden gespeichert, um die Abwicklung und Abrechnung der Einzelaufträge zu ermöglichen und diese zu dokumentieren. Diese Daten werden für die Nachvollziehbarkeit durch Sie und die Do-kumentation möglicher Ansprüche so lange gespeichert, wie der Account aktiv ist. Mit der Lö-schung des Accounts werden die Daten gelöscht.
  4. Bestelldaten beim Kauf von Zeitkontingenten (z.B. der Name, die Adresse, die E-Mail-Adresse, die Telefonnummer (optional), das Datum der Bestellung und die Anzahl der bestellten Artikel) werden für Abrechnungs- und Buchhaltungszwecke auf den Server des Webshops und auf unse-ren Inhouse-Server in Marburg geladen und entsprechend gesetzlicher Aufbewahrungsfristen gespeichert.
Über die genauen Daten, Verarbeitungszwecke und Speicherfristen wird ausführlich in der Da-tenschutzerklärung informiert.

VII. Infrastruktur zur Datenverarbeitung

Die genutzte Infrastruktur zur Datenverarbeitung ist in vier voneinander physisch unabhängige Bereiche aufgeteilt. Sie werden im Anhang der AVV durch die TOMs über die genutzte Infra-struktur informiert. Hierzu im Einzelnen:

1. Spracherkennungsserver

Der „Spracherkennungsserver“ enthält den Spracherkennungsalgorithmus und verwaltet die Auftragsabwicklung und Nutzerverwaltung. Hier werden die Auftragsdaten während der Bear-beitung zwischengespeichert. Diese Daten werden auf einem Dedicated Root Server der Hetzner Online GmbH in Nürnberg oder Falkenstein verarbeitet.
Das Rechenzentrum ist DIN-ISO/IEC-27001-zertifiziert (dt. Akreditierungsstelle D-ZM-18855-01-00, Zertifikatsnummer ZN-2016-04). Ein Vertrag zur Auftragsverarbeitung wurde am 29.10.2018 abgeschlossen.

2. Webshop

Der Webshop zum Kauf von Zeitkontingenten und E-Mail-Dienste laufen über einen Server der ALL-INKL.COM Neue Medien Münnich mit Serverstandorten in Dresden und Friedersdorf. Ge-speichert werden hier die von Ihnen angegebenen Adressdaten, die gekauften Artikel und die Korrespondenz per E-Mail. Ein Vertrag zur Auftragsverarbeitung wurde am 25.05.2018 ge-schlossen.

3. Interne Auftragsabwicklung

Für die Abrechnung und Buchhaltung werden Kundendaten auf eigenen Servern in den Ge-schäftsräumen der dr. dresing & pehl GmbH in Marburg gespeichert und entsprechend gesetz-licher Aufbewahrungsfristen archiviert. Der Zugriff auf die Daten ist insbesondere durch ein Zugriffskonzept (Passwort, restriktive Rechtevergabe etc.) geregelt.

4. Zahlungsabwicklung

Daten für Kreditkartenzahlungen oder für Lastschriftaufträge werden von uns nicht gespei-chert. Die Abwicklung dieser Zahlweisen wird über sog. Iframes direkt an den Zahlungsdienst-leister BS PAYONE GmbH in Frankfurt am Main weitergeleitet.
Zahlungen per PayPal werden von den Ihnen direkt auf der Bezahlseite von PayPal (für Europä-ische Kunden PayPal (Europe) S.à r.l. et Cie, S.C.A., in Luxemburg) durchgeführt.
 

Anlage 2: Technische und organisatorische Maßnahmen


Mit folgenden Maßnahmen wird der Schutz der Auftragsdaten gewährleistet

I.    Vertraulichkeit

Zutrittskontrolle zu den Geschäftsräumen der dr. dresing & pehl GmbH (im folgenden "wir")
-    Zutritt ist über ein manuelles Schließsystem gesichert.
-    Der Zutritt für betriebsfremde Personen (z.B. Personen, die uns besuchen) zu den Räu-men ist beschränkt bzw. nur in Begleitung von Betriebsangehörigen der dr. dresing & pehl GmbH möglich. Die Schlüsselvergabe erfolgt restriktiv und wird dokumentiert.
Zugangskontrolle zu Produktivsystemen
-    Der Zugang zu Produktivsystemen mit schützenswerten Daten ist passwortgeschützt, Zugriff besteht nur für Personal mit entsprechender Sicherheitsfreigabe. Verwendete Passwörter müssen dem Passwortkonzept genügen. Zugriff auf externe Produktivsys-teme erfolgt ausschließlich über gesicherte Verbindung.
Zugriffskontrolle
-    Durch regelmäßige Sicherheitsupdates (nach dem jeweiligen Stand der Technik) stellen wir sicher, dass unberechtigte Zugriffe verhindert werden.
-    Die Übertragung vom Client auf den Server erfolgt ausschließlich verschlüsselt. Auf-tragsdaten werden sofort beim Upload in verschlüsselten Containern gespeichert. Eine Entschlüsselung ist nur auf dem Client möglich, von dem der Upload gestartet wurde. Ein regelmäßiger Zugriff auf Auftragsdaten durch Beschäftigte der dr.dresing & pehl GmbH ist somit nicht möglich.
-    Beschäftigte von audiotranskription haben keinen Zugriff auf gespeicherte Auftragsda-ten.
-    Für die Sicherheit und Updates des genutzten Clients ist die nutzende Person zuständig
Datenträgerkontrolle
-    Intern verwendete Datenträger werden nach Löschkonzept sicher gelöscht bzw. phy-sisch vernichtet.
-    Es wird sichergestellt, dass Serverhoster über ein geeignetes Konzept zur Lö-schung/Zerstörung nicht mehr genutzter Festplatten verfügt.
Trennungskontrolle
-    Im internen Verwaltungssystem von audiotranskription werden Daten zur Abrechnung (Rechnungs-/Auftragsabwicklung etc.) physisch und logisch getrennt von Auftragsda-ten gespeichert. Datensicherung erfolgt ebenfalls auf logisch und/oder physisch ge-trennten Systemen.
-    Für den Spracherkennungs-Online-Service werden Auftragsdaten physisch oder logisch getrennt von anderen Daten gespeichert. Datensicherung erfolgt auf logisch und/oder physisch getrennten Systemen.
Pseudonymisierung
-    Für die Pseudonymisierung der Daten ist die nutzende Person vor Upload der Daten verantwortlich.

II.    Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle
-    Alle unsere Beschäftigte sind i.S.d. Art. 32 Abs. 4 DSGVO unterwiesen und verpflichtet, den datenschutzkonformen Umgang mit personenbezogenen Daten sicherzustellen.
-    Es erfolgt eine automatisierte Löschung der Daten nach Auftragsbearbeitung.
-    Verschlüsselte Datenübertragung wird im Umfang der Leistungsbeschreibung des Hauptauftrages zur Verfügung gestellt.
Eingabekontrolle
-    Die Daten werden von der nutzenden Person selbst eingegeben bzw. erfasst.  
-    Alle Änderungen der Daten auf dem Server werden automatisiert protokolliert.

III.    Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Verfügbarkeitskontrolle für das interne Verwaltungssystem von audiotranskription
-    Es besteht ein Backup- und Recovery-Konzept mit täglicher Sicherung aller relevanten Daten.
-    Sachkundiger Einsatz von Schutzprogrammen (Virenscanner, Firewalls, Verschlüsse-lungsprogramme, SPAM-Filter) sichert den Server gegen unbefugtes Eindringen.
-    Festplattenspiegelung aller relevanten Server.
-    Monitoring des Status aller relevanten Rechner.
Verfügbarkeitskontrolle für den Spracherkennungs-Online-Service
-    Nutzung der Hochsicherheitstechnik des Hosters.
-    Sicherstellung, dass Hoster über geeignete Konzepte und Maßnahmen verfügt zu: Ein-satz unterbrechungsfreier Stromversorgung, Netzersatzanlage, dauerhaft aktivem DDoS-Schutz. Einsatz von Softwarefirewall und Portreglementierungen, Backup- und Recovery-Konzept mit täglicher Sicherung der Daten. Einsatz von Festplattenspiege-lung. Einsatz unterbrechungsfreier Stromversorgung, Netzersatzanlage.
-    Monitoring aller relevanten Server
Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)
-    Für alle internen Systeme existieren direkte Informationskanäle (Messenger) zur In-formation des zuständigen Personals im Fehlerfall, um das System schnellstmöglich wiederherzustellen.

IV.    Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

Es existiert ein System zur regelmäßigen Überprüfung, Bewertung und Evaluierung aller ge-troffenen Maßnahmen.
Auftragskontrolle
Unsere Beschäftigte werden in regelmäßigen Abständen im Datenschutzrecht unterwiesen und sie sind vertraut mit den Verfahrensanweisungen und Benutzerrichtlinien für die Datenverar-beitung im Auftrag, auch im Hinblick auf das Weisungsrecht der verantworlichen und wei-sungsberechtigten Person.
 

Anlage 3: Unterauftragsverarbeiter

Unterauftragsverarbeiter: Hetzner Online GmbH    Industriestraße 25, 91710 Gunzenhausen - info(at)hetzner.com
Gegenstand der Verarbeitung: Hosting von Daten,  ISO-27001-zertifiziert

Unterauftragsverarbeiter: Fraunhofer-Institut für Intelligente Analyse- und Informationssysteme IAIS    Schloss Birlinghoven
53757 Sankt Augustin - info(at)zv.fraunhofer.de    
Gegenstand der Verarbeitung: Support und Pflege des Sprach-erkennungsalgorythmus


Anlage 4:

Kategorien von Daten und betroffenen Personengruppen

Wurden von der verantwortlichen Person im Anmeldeprozess angegeben
und sind in der Bestätigungs-E-Mail aufgeführt.