Vertrag zur Auftragsverarbeitung

1. Parteien, Anwendungsbereich und Vorrang

„Kunde" ist jede natürliche Person, juristische Person oder Organisation, die den streamrunnr-Vertrag geschlossen hat und hinsichtlich personenbezogener Kundendaten als Verantwortlicher oder Auftragsverarbeiter handelt. „Auftragsverarbeiter" ist LL Platforms UG (haftungsbeschränkt), Wuhlestraße 7 a, 12683 Berlin, Deutschland, E-Mail: support@streamrunnr.com. Verarbeitet der Kunde personenbezogene Daten für einen anderen Verantwortlichen, handelt der Kunde als Auftragsverarbeiter und streamrunnr als Unterauftragsverarbeiter; der Kunde bestätigt, dass der Verantwortliche die Beauftragung und die Weisungen nach diesem AVV genehmigt hat.

Dieser AVV gilt nur, soweit der Auftragsverarbeiter personenbezogene Daten in Kundeninhalten, Konfigurationen oder Dienstweisungen im Auftrag des Kunden verarbeitet („personenbezogene Kundendaten"). Er gilt nicht für Verarbeitungen, bei denen der Auftragsverarbeiter oder Paddle eigenständig Verantwortlicher ist, insbesondere für Vertragsschluss und Kontoverwaltung, Abrechnung, Betrugsprävention, Sicherheit, gesetzliche Pflichten und die eigene Dienstverwaltung; diese Tätigkeiten beschreibt die Datenschutzerklärung.

Dieser AVV, Version 2026-07-21-v11, wird elektronisch geschlossen, wenn der Kunde oder ein vertretungsberechtigter Vertreter des Kunden die AGB annimmt oder einen anderen Dienstvertrag schließt, der ihn einbezieht. Er bleibt unter https://streamrunnr.com/dpa verfügbar. Widerspricht dieser AVV den AGB hinsichtlich der Verarbeitung personenbezogener Kundendaten, geht dieser AVV vor. Zwingendes Datenschutzrecht hat stets Vorrang.

2. Dokumentierte Weisungen und Verantwortung des Kunden

Der Auftragsverarbeiter verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Dazu gehören AGB und AVV, Nutzung und Konfiguration des Dienstes, vom Kunden gewählte Ziele und Zeitpläne sowie dokumentierte Support-Anfragen. Die Weisungen umfassen die Vorgänge aus Anlage 1 und die zur Nutzung der genehmigten Unterauftragsverarbeiter aus Anlage 3 erforderlichen Übermittlungen.

Mit der Auswahl von YouTube, Twitch oder eines eigenen RTMP-/RTMPS-Ziels weist der Kunde den Auftragsverarbeiter an, die ausgewählten Inhalte und Zugangsdaten an diesen Empfänger zu übertragen. Der Kunde — nicht der Auftragsverarbeiter — wählt diesen eigenständigen Empfänger aus und ist für Rechtmäßigkeit, Bedingungen, Datenschutzinformationen und einen gegebenenfalls erforderlichen Übermittlungsmechanismus des Ziels verantwortlich. Ein vom Kunden ausgewähltes Ziel wird nicht allein dadurch zum Unterauftragsverarbeiter des Auftragsverarbeiters, dass dieser Daten dorthin überträgt.

Verpflichtet Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung über die Weisungen hinaus, teilt der Auftragsverarbeiter dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht die Mitteilung nicht verbietet. Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder anderes anwendbares Datenschutzrecht der Union oder eines Mitgliedstaats, informiert er den Kunden unverzüglich und kann die betroffene Weisung bis zur Klärung aussetzen.

Der Kunde ist verantwortlich für Rechtmäßigkeit, Richtigkeit und Transparenz seiner Weisungen und personenbezogenen Kundendaten, für erforderliche Informationen und Rechtsgrundlagen, für die Beantwortung von Betroffenenanfragen als Verantwortlicher und für eine Nutzung entsprechend den AGB. Der Kunde übermittelt besondere Kategorien personenbezogener Daten, Daten über strafrechtliche Verurteilungen oder Straftaten oder Daten von Kindern nur, wenn die Verarbeitung erforderlich, rechtmäßig, verhältnismäßig, angemessen abgesichert und nach den AGB zulässig ist.

3. Pflichten und Vertraulichkeit des Auftragsverarbeiters

• Der Auftragsverarbeiter gewährleistet, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur den für ihre Aufgabe erforderlichen Zugriff erhalten.
• Der Auftragsverarbeiter verkauft personenbezogene Kundendaten nicht, verwendet sie nicht für Werbung und bestimmt keinen sachfremden eigenen Zweck. Er darf tatsächlich anonyme Dienststatistiken erstellen, die keine personenbezogenen Daten mehr sind.
• Der Auftragsverarbeiter führt die nach anwendbarem Datenschutzrecht erforderlichen Verzeichnisse und Compliance-Nachweise und stellt die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen nach Abschnitt 8 bereit.
• Der Auftragsverarbeiter informiert den Kunden, wenn er eine wesentliche Pflicht aus diesem AVV nicht mehr erfüllen kann, und ergreift angemessene Abhilfemaßnahmen.

4. Sicherheit und Verletzungen des Schutzes personenbezogener Daten

Unter Berücksichtigung von Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung unterhält der Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die aktuellen Maßnahmenkategorien beschreibt Anlage 2. Einzelne Maßnahmen dürfen aktualisiert werden, sofern das Schutzniveau insgesamt nicht wesentlich abgesenkt wird.

Der Auftragsverarbeiter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Kundendaten bekannt wurde. Die Mitteilung geht an den Kontokontakt oder einen anderen an support@streamrunnr.com übermittelten Sicherheitskontakt. Soweit Informationen verfügbar werden, beschreibt der Auftragsverarbeiter Art der Verletzung, betroffene Daten und Personen, voraussichtliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Informationen können schrittweise erfolgen. Der Auftragsverarbeiter unterstützt den Kunden angemessen bei Untersuchung, Eindämmung, Dokumentation und gesetzlich erforderlichen Meldungen.

5. Unterstützung bei Betroffenenrechten, DSFA und Behörden

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Kunden soweit möglich mit geeigneten technischen und organisatorischen Maßnahmen bei Anträgen nach Kapitel III DSGVO. Erhält er einen Antrag zu identifizierbaren personenbezogenen Kundendaten, verweist er die betroffene Person an den Kunden oder informiert den Kunden und antwortet nicht in dessen Namen, sofern er nicht angewiesen oder gesetzlich verpflichtet ist.

Unter Berücksichtigung der ihm verfügbaren Informationen unterstützt der Auftragsverarbeiter den Kunden angemessen bei Sicherheitspflichten, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation nach Art. 32 bis 36 DSGVO. Übliche Unterstützung ist im Dienst enthalten. Für außergewöhnlich umfangreiche, wiederholte oder kundenspezifische Arbeiten, die nicht durch einen Verstoß des Auftragsverarbeiters verursacht wurden, vereinbaren die Parteien vorab eine angemessene Vergütung.

6. Unterauftragsverarbeiter und internationale Übermittlungen

Der Kunde erteilt die allgemeine schriftliche Genehmigung für die in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sie vertraglich zu Datenschutzpflichten, die für die betreffende Verarbeitung einen materiell gleichwertigen Schutz gewährleisten, und bleibt dem Kunden im nach Art. 28 DSGVO erforderlichen Umfang für ihre Leistung verantwortlich.

Der Auftragsverarbeiter informiert mindestens 30 Tage im Voraus per Dienst-E-Mail oder deutlich sichtbarem In-App-Hinweis, bevor er einen Unterauftragsverarbeiter neu einsetzt oder ersetzt, der personenbezogene Kundendaten verarbeitet. Der Kunde kann binnen 14 Tagen aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien bemühen sich nach Treu und Glauben um eine wirtschaftlich zumutbare Alternative; ist keine verfügbar, kann der Kunde den betroffenen Dienst vor Wirksamwerden der Änderung ohne Vertragsstrafe beenden. Ist ein dringender Austausch aus Sicherheits-, Verfügbarkeits- oder Rechtsgründen erforderlich, darf er früher erfolgen; der Kunde wird so bald wie vernünftigerweise möglich informiert.

Der Auftragsverarbeiter übermittelt personenbezogene Kundendaten nicht ohne rechtmäßigen Übermittlungsmechanismus in ein Land außerhalb des EWR. Je nach Empfänger und aktueller Rechtslage kann dies ein Angemessenheitsbeschluss, eine Zertifizierung nach dem EU-US Data Privacy Framework nur während einer gültigen Zertifizierung des betreffenden Empfängers oder die Standardvertragsklauseln der Europäischen Kommission mit erforderlichen ergänzenden Maßnahmen sein. Die bloße Nennung stellt keine Zertifizierung dar. Der Kunde kann Informationen zum aktuell dokumentierten Mechanismus eines aufgeführten Unterauftragsverarbeiters anfordern.

7. Rückgabe und Löschung

Während des Vertrags kann der Kunde einzelne Videos, Playlists und Streamprofile über den Dienst löschen und sollte Inhalte, die er behalten möchte, zuvor abrufen. Vor einer Kontolöschung oder sonstigen endgültigen Beendigung kann er verlangen, dass der Auftragsverarbeiter verfügbare personenbezogene Kundendaten unter Berücksichtigung der technischen Möglichkeiten des Dienstes in einer gängigen Form angemessen zurückgibt oder deren Abruf ermöglicht.

Allein das Ende des kostenpflichtigen Abonnements beendet weder den Kontovertrag noch diesen AVV, solange Kontokonfiguration gespeichert bleibt. Nach Abonnementende werden Video-Datensätze und zugehörige Videoobjekte — Quelldateien, konvertierte Varianten, Derivate und Vorschaubilder — für die 30-tägige Schonfrist aufbewahrt und anschließend aus dem aktiven Speicher gelöscht; Verweise auf diese Videos werden aus Playlists entfernt. Leere Playlists, Streamprofile, Zeitpläne und verschlüsselte Zugangsdaten der Streaming-Ziele bleiben bestehen, bis der Kunde den jeweiligen Eintrag löscht oder die Kontolöschung anweist.

Nach Ende der Verarbeitungsdienste gibt der Auftragsverarbeiter personenbezogene Kundendaten nach Wahl des Kunden zurück und löscht sie anschließend oder löscht sie unmittelbar, sofern Unionsrecht oder das Recht eines Mitgliedstaats keine Aufbewahrung verlangt. Ein Kontolöschantrag ist eine dokumentierte Löschweisung. Der wiederholbare Ablauf beendet aktive Verarbeitungen und Streams, entfernt Inhalte und Konfiguration aus Primärsystemen und löscht anschließend die Identität. Restkopien in geschützten Provider-Backups bleiben von der gewöhnlichen Nutzung isoliert und werden im jeweiligen Backup-Zyklus gelöscht; bei einer Wiederherstellung zur Notfallwiederherstellung gelten Schutzmaßnahmen und Löschweisung fort.

Unterlagen, die streamrunnr als eigenständig Verantwortlicher verarbeitet — etwa Nachweise kostenpflichtiger Verträge, Steuer-, Betrugspräventions-, gesetzliche Erklärungs- oder Rechtsanspruchsnachweise — sind keine personenbezogenen Kundendaten nach diesem AVV und unterliegen den Aufbewahrungsregeln der Datenschutzerklärung.

8. Informationen und Überprüfungen

Der Auftragsverarbeiter stellt dem Kunden die zum Nachweis der Einhaltung dieses AVV vernünftigerweise erforderlichen Informationen zur Verfügung. Der Kunde nutzt zunächst aktuelle Dokumentation, Fragebögen, Zusammenfassungen und unabhängige Berichte, die der Auftragsverarbeiter rechtmäßig bereitstellen kann. Eine Zertifizierung oder ein Prüfbericht wird nur zugesagt, wenn der Auftragsverarbeiter ihn tatsächlich besitzt und ausdrücklich bezeichnet.

Reichen diese Informationen nicht aus, darf der Kunde oder ein unabhängiger, zur Vertraulichkeit verpflichteter Prüfer einmal jährlich mit mindestens 30 Tagen schriftlicher Vorankündigung während üblicher Geschäftszeiten prüfen, ohne auf Daten anderer Kunden zuzugreifen oder die Sicherheit zu schwächen. Weitere Prüfungen sind nach einer einschlägigen Datenschutzverletzung, bei begründetem Hinweis auf einen wesentlichen Verstoß oder auf Anordnung einer zuständigen Behörde zulässig. Der Kunde trägt seine Prüfungskosten, sofern kein wesentlicher Verstoß des Auftragsverarbeiters festgestellt wird; Umfang und Schutzmaßnahmen werden vorab abgestimmt.

9. Laufzeit, Haftung und Kontakt

Dieser AVV beginnt mit seiner Einbeziehung in den Vertrag und gilt, bis der Auftragsverarbeiter personenbezogene Kundendaten wie vorstehend erforderlich gelöscht oder zurückgegeben hat. Rechtswahl-, Gerichtsstands- und Haftungsregeln der AGB gelten, ohne zwingende Rechte oder Verantwortlichkeiten nach der DSGVO zu beschränken. Die Beendigung berührt keine Regelung, die ihrer Natur nach fortgelten muss, insbesondere Vertraulichkeit, Löschung, Prüfungsmitwirkung und Haftung.

Dokumentierte Weisungen, Datenschutzanfragen, Sicherheitshinweise oder Anfragen nach einer unterzeichneten Ausfertigung dieses AVV können mit dem deutlichen Betreff „Auftragsverarbeitung" an support@streamrunnr.com gesendet werden. Operative Weisungen über authentifizierte Bedienelemente des Dienstes bleiben wirksame dokumentierte Weisungen.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand und Zweck

Hosting, Organisation, Absicherung, Konvertierung, Zeitplanung und Übertragung kundenseitig bereitgestellter Videoinhalte, damit der Kunde kontinuierliche oder zeitgesteuerte Live-Streams an selbst gewählte Ziele betreiben kann, sowie zugehöriger Support, Fehlerbehebung, Sicherheit und Löschung im Auftrag des Kunden.

Dauer

Für die Dauer des Kontovertrags und danach nur für die in Abschnitt 7 beschriebenen Rückgabe-, Schonfrist-, Lösch-, Backup-Ablauf- oder gesetzlich vorgeschriebenen Zeiträume.

Art der Vorgänge

• Erhebung beim Kunden; Upload; Erfassung; Organisation; Speicherung; Abruf; Einsicht; Ver- und Entschlüsselung von Zugangsdaten der Streaming-Ziele; Zugriffskontrolle und Löschung.
• Automatisierte technische Analyse, Formatprüfung, Transkodierung, Erzeugung von Varianten, Vorschaubildern und Medienmetadaten sowie vorübergehende Verarbeitung auf Streaming-Infrastruktur.
• Zusammenstellung in Playlists; Zuordnung zu Profilen und Zeitplänen; Übertragung an kundenseitig gewählte RTMP-/RTMPS-Ziele; technische Protokollierung; Support und Untersuchung von Sicherheitsvorfällen.

Kategorien betroffener Personen

• Autorisierte Nutzer, Beschäftigte, Auftragnehmer, Vertreter und Support-Kontakte des Kunden.
• Personen, deren Bild, Stimme, Name, Online-Kennung, Darbietung oder sonstige Informationen in kundenseitig bereitgestellten Videos, Audiodaten, Metadaten, Playlists, Zeitplänen oder Support-Unterlagen vorkommen.
• Minderjährige oder andere schutzbedürftige Personen nur, soweit die Verarbeitung des Kunden rechtmäßig und nach den AGB zulässig ist.

Arten personenbezogener Daten

• Namen, geschäftliche Kontakt- und kontobezogene Kennungen, soweit sie als Kundendaten bereitgestellt werden.
• Video, Standbilder, Stimme, Audio, Untertitel, Texte, Dateinamen, Beschreibungen, Vorschaubilder und zugehörige technische Metadaten.
• Playlist- und Zeitplandaten, Streamprofil-Metadaten, Ziel-URLs, verschlüsselte Stream-Keys oder Tokens, IP-Adressen, Geräte- und Dienstereignisdaten sowie Support-Unterlagen.
• Besondere Kategorien, Daten über strafrechtliche Verurteilungen oder Straftaten oder Kinderdaten nur bei rechtmäßiger Übermittlung nach Abschnitt 2; der Auftragsverarbeiter benötigt oder verlangt solche Daten für den Dienst nicht gezielt.

Anlage 2 — Technische und organisatorische Maßnahmen

• Organisation und Vertraulichkeit: dokumentierte Zugriffsverantwortung, minimal erforderliche Berechtigungen, Vertraulichkeitspflichten, Sicherheitswartung und Verfahren für Sicherheitsvorfälle.
• Identität und Zugriff: mandantengebundene Anwendungszugriffe, ausschließlich serverseitige privilegierte Rollen, starke Authentifizierungskontrollen, kurzlebige Zugriffssitzungen, geschützte Verlängerungssitzungen, erneute Authentifizierung bei risikoreichen Kontoaktionen und Ratenbegrenzung.
• Kryptografie und Geheimnisse: TLS für Web- und Speicherverbindungen; gesalzene Passwort-Hashes; zweckgebundene HMAC-Werte für Einmal-Codes; Secure-HttpOnly-Sitzungscookies; anwendungsseitige authentifizierte AES-256-GCM-Verschlüsselung und versionierte Schlüsselverwaltung für Stream-Keys. Die Übertragung an Kundenziele nutzt RTMPS, soweit unterstützt, und andernfalls gegebenenfalls das vom Kunden gewählte unverschlüsselte RTMP.
• Trennung und Minimierung: Prüfung der Kontoinhaberschaft, Service-Rollen-Beschränkungen für privilegierte Tabellen, Prüfung der Eigentümerschaft von Objektschlüsseln, Entfernung von Stream-Keys aus gewöhnlichen API-Antworten und Logs, begrenzte Protokolle und zweckgebundene Betriebsdaten.
• Integrität und sicherer Betrieb: Eingabe- und Medientypprüfung, Protokoll- und Format-Erlaubnislisten, Schutz vor privaten/reservierten Netzwerkzielen, begrenzte Verarbeitungsressourcen, Abhängigkeits- und Änderungsprüfung, Tests und bei Fehlern geschlossen bleibende destruktive Abläufe.
• Verfügbarkeit und Wiederherstellung: überwachte Dienste, dauerhafte Wiederholungswarteschlangen für kritische Lebenszyklusarbeiten, kontrollierte Stream-Neustarts, Provider-Resilienz, für die jeweilige Komponente angemessene Backup- und Wiederherstellungsverfahren sowie fortgeltende Löschweisungen nach Wiederherstellung.
• Löschung und Lebenszyklus: Löschfunktionen auf Nutzerebene, automatischer Ablauf der Video-Mediathek 30 Tage nach Abonnementende, mandantengebundene Objektlöschung, Kontolöschung mit Beendigung aktiver Arbeitslasten vor Primärdatenlöschung und Ablauf von Provider-Backups.
• Überprüfung: regelmäßige Prüfung und Verbesserung der Maßnahmen bei wesentlichen Produkt-, Bedrohungs-, Provider- und Rechtsänderungen. Diese Beschreibungen nennen Kontrollkategorien und behaupten keine externe Zertifizierung.

Anlage 3 — Genehmigte Unterauftragsverarbeiter und Übermittlungsinformationen

Die folgenden Anbieter sind nur für die genannten Dienstfunktionen genehmigt. Vor der Live-Verarbeitung personenbezogener Kundendaten unterhält der Auftragsverarbeiter mit jedem in Auftragsverarbeiterrolle eingesetzten Anbieter einen Vertrag nach Art. 28 DSGVO und dokumentiert den anwendbaren Übermittlungsmechanismus. Die Ortsangaben beschreiben den erwarteten geografischen Rahmen und können durch die Live-Kontokonfiguration eingeschränkt werden.

• Supabase, Inc. — Authentifizierung und gehostete Datenbank für Konten, Inhaltsmetadaten, Profile, Playlists, Zeitpläne und Rechts-/Dienstnachweise. Erwartete Orte: EWR-Projektinfrastruktur und gegebenenfalls USA für Providerbetrieb oder Support. Übermittlungsgarantie soweit erforderlich: anwendbarer Angemessenheitsbeschluss oder Standardvertragsklauseln der Europäischen Kommission im Providervertrag mit gegebenenfalls erforderlichen ergänzenden Maßnahmen.
• Cloudflare, Inc. — Anwendungsauslieferung/Workers, Sicherheits-Edge-Dienste und R2-Objektspeicher für hochgeladene Videoobjekte. Erwartete Orte: globales Netzwerk einschließlich EWR und USA; die Objektplatzierung folgt der Live-Cloudflare-Konfiguration. Übermittlungsgarantie soweit erforderlich: anwendbarer Angemessenheitsbeschluss oder Standardvertragsklauseln im Providervertrag mit gegebenenfalls erforderlichen ergänzenden Maßnahmen.
• Hetzner Online GmbH — im EWR gehostete Server zur vorübergehenden Videokonvertierung, Vorschaubilderzeugung und Live-Stream-Ausführung. Erwarteter Ort: vom Auftragsverarbeiter ausgewählte EWR-Produktionsrechenzentren. Für diese Verarbeitung ist keine Drittlandübermittlung beabsichtigt; jeder künftige Nicht-EWR-Ort erfordert die Mitteilung nach Abschnitt 6 und einen rechtmäßigen Übermittlungsmechanismus.
• Resend, Inc. — Versand von Transaktions-E-Mails, soweit personenbezogene Kundendaten in einer Dienst- oder Support-Nachricht enthalten sind. Erwartete Orte: USA und weitere im Providervertrag offengelegte Orte. Übermittlungsgarantie soweit erforderlich: anwendbarer Angemessenheitsbeschluss oder Standardvertragsklauseln mit gegebenenfalls erforderlichen ergänzenden Maßnahmen.
• Die im Workspace-Vertrag des Auftragsverarbeiters ausgewiesene Google-Vertragsgesellschaft — Betreiber-Postfach für Support und Missbrauchsmeldungen, soweit der Kunde personenbezogene Kundendaten in Korrespondenz aufnimmt. Erwartete Orte: EWR, USA und globale Google-Supportinfrastruktur nach Live-Workspace-Konfiguration. Übermittlungsgarantie soweit erforderlich: anwendbarer Angemessenheitsbeschluss oder Standardvertragsklauseln im Providervertrag mit gegebenenfalls erforderlichen ergänzenden Maßnahmen.

Paddle und kundenseitig gewählte Streaming-Ziele sind keine Unterauftragsverarbeiter für die hier beschriebene Verarbeitung: Paddle handelt für Kauf- und Abrechnungsdaten eigenständig, während der Kunde die Übertragung an sein gewähltes Ziel anweist. Die Google-Anmeldung wird für das Verhältnis zum Kontoinhaber ebenfalls als eigenständiger Empfänger behandelt, wie in der Datenschutzerklärung beschrieben.