Auftragsverarbeitung

1. Gegenstand, Rollen und Geltung

Wer LoopSpeech für eine Veranstaltung nutzt, lässt Sprache, Texte und Übersetzungen verarbeiten. Darin können personenbezogene Daten von Sprechern, Teilnehmern und genannten Personen stecken. Dafür ist der Kunde Verantwortlicher im Sinne der DSGVO, die GbR Weintke / Keil (Zusatzname Undergroundworkers; Anbieter) ist sein Auftragsverarbeiter. Dieser Vertrag regelt die Verarbeitung dieser Inhalte.

Für Kontodaten, Abrechnung und Zahlungen ist der Anbieter selbst Verantwortlicher. Das steht in der Datenschutzerklärung.

Dieser Vertrag ist Bestandteil der AGB (§ 12) und gilt ab der ersten Nutzung des Dienstes. Eine unterschriebene Fassung für die eigenen Unterlagen schicken wir auf Anfrage an [email protected].

2. Art, Zweck und Dauer der Verarbeitung

Zweck ist die Echtzeit-Übersetzung: Das Audio eines Sprechers wird erkannt, übersetzt, als Text angezeigt und auf Wunsch als synthetische Stimme ausgegeben. Dabei wird das Audio an Spracherkennung und Übersetzung gesendet, der Text von einem Sprachmodell verbessert und an die Teilnehmer ausgeliefert. Audio, erkannte Texte und Übersetzungen werden nicht dauerhaft gespeichert. Sie liegen nur während der Veranstaltung im Arbeitsspeicher und werden gelöscht, wenn die Session endet. Der Vertrag gilt so lange wie die Nutzung des Dienstes.

3. Daten und Betroffene

Arten der Daten:

• Stimme und Sprache als Audio, erkannte Texte, Übersetzungen und daraus erzeugte synthetische Sprachausgabe
• Texte, die der Kunde hinterlegt (Kontext, Schlüsselwörter, Glossar)
• Verbindungsdaten der Zuschauer, vor allem IP-Adressen, soweit technisch nötig

Betroffene: Sprecher und andere Personen, deren Stimme zu hören ist, Personen, die im Gesprochenen genannt werden, Zuschauer und Zuhörer, Beschäftigte des Kunden.

Welche Inhalte gesprochen werden, bestimmt der Kunde. Es lässt sich nicht ausschließen, dass auch besondere Kategorien personenbezogener Daten vorkommen (Art. 9 DSGVO), etwa religiöse Überzeugungen bei einem Gottesdienst. Der Kunde stellt sicher, dass er dafür eine Rechtsgrundlage hat.

4. Pflichten des Anbieters

• Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag und die Nutzung der Funktionen des Dienstes. Weitere Weisungen erteilt der Kunde in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin.
• Alle Personen, die beim Anbieter Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
• Der Anbieter trifft die Maßnahmen aus Anlage 1 und hält sie aktuell.
• Der Anbieter unterstützt den Kunden bei Anfragen von Betroffenen, bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen und bei Datenschutz-Folgenabschätzungen, soweit das für diese Verarbeitung nötig ist. Anfragen von Betroffenen leitet er unverzüglich weiter.
• Der Anbieter meldet Verletzungen des Schutzes personenbezogener Daten, die den Kunden betreffen, unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben, die er zu diesem Zeitpunkt hat.
• Nach Ende des Vertrags löscht der Anbieter die Daten des Kunden. Audio, erkannte Texte und Übersetzungen sind schon nach der Veranstaltung gelöscht. Kontodaten löscht er auf Anfrage, soweit keine gesetzliche Aufbewahrungspflicht besteht.
• Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die dieser braucht, um die Einhaltung dieses Vertrags nachzuweisen. Der Kunde darf nach Ankündigung mit angemessener Frist Überprüfungen durchführen oder durchführen lassen. Bei kleinen Anbietern genügen in der Regel schriftliche Auskünfte und Nachweise.

5. Pflichten des Kunden

Der Kunde ist dafür verantwortlich, dass er die Inhalte verarbeiten darf, dass er Sprecher und Teilnehmer informiert und dass er in Kontext, Schlüsselwörtern und Glossar keine Daten von Personen einträgt, die dort nicht gebraucht werden. Er benennt dem Anbieter eine Ansprechperson für Datenschutzfragen, indem er seine E-Mail-Adresse im Konto pflegt.

6. Unterauftragsverarbeiter

Der Kunde erlaubt dem Anbieter, die Unterauftragsverarbeiter aus Anlage 2 einzusetzen. Der Anbieter verpflichtet sie vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Will der Anbieter einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt er das dem Kunden mindestens 30 Tage vorher per E-Mail mit. Der Kunde kann aus einem wichtigen datenschutzrechtlichen Grund innerhalb von 14 Tagen widersprechen. Einigen sich die Parteien dann nicht, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen.

7. Übermittlung in Drittländer

Werden Daten außerhalb der EU und des EWR verarbeitet, geschieht das nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, zum Beispiel durch einen Angemessenheitsbeschluss der EU-Kommission oder durch Standardvertragsklauseln. Der Kunde erlaubt das für die Unterauftragsverarbeiter in Anlage 2.

8. Haftung, Laufzeit und Schluss

Für die Haftung gilt Art. 82 DSGVO, im Verhältnis der Parteien im Übrigen § 10 der AGB. Dieser Vertrag endet mit dem Vertrag über die Nutzung des Dienstes. Bei Widersprüchen zu den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

• Zugangskontrolle: Konten sind durch Passwörter geschützt, die nur als Hash gespeichert werden. Zugriffe laufen über befristete Tokens. Gekoppelte Geräte haben eigene Tokens, die sich im Dashboard sofort sperren lassen. Anfragen zur Anmeldung und Kopplung werden begrenzt.
• Zugriffskontrolle und Trennung: Jeder Kunde sieht und steuert nur die eigenen Sessions, Geräte und Rechnungen. Eine Live-Seite zeigt nur die Übersetzung ihrer Session. Zugriff auf Produktivsysteme haben nur die Personen, die ihn für den Betrieb brauchen.
• Weitergabe: Alle Verbindungen zwischen Gerät, Server und Dienstleistern sind per TLS verschlüsselt. Zahlungsmeldungen von Stripe werden anhand ihrer Signatur geprüft.
• Datenminimierung: Audio, erkannte Texte und Übersetzungen werden nicht gespeichert, sondern nur im Arbeitsspeicher gehalten und nach der Session gelöscht. Das Server-Protokoll kürzt IP-Adressen und liegt nur im Arbeitsspeicher.
• Verfügbarkeit: Verbindungen zur Spracherkennung bauen sich nach Störungen selbst wieder auf, Audio der Lücke wird nachgeliefert. Eingaben und Größen von Nachrichten sind begrenzt, damit einzelne Clients den Dienst nicht überlasten.
• Auftragskontrolle: Dienstleister werden sorgfältig ausgewählt und vertraglich gebunden (Anlage 2). Änderungen an der Software werden getestet, bevor sie live gehen.

Anlage 2: Unterauftragsverarbeiter

• Hostinger, Deutschland: Betrieb von Server und Datenbank. Daten: alle Daten der Anwendung (Inhalte nur im Arbeitsspeicher).
• Soniox (Soniox Inc., USA): Spracherkennung, Übersetzung und Sprachausgabe. Daten: Audio, erkannte Texte, Übersetzungen, Kontext, Schlüsselwörter und Glossar. Ort der Verarbeitung: USA (Drittland, siehe Ziffer 7). Mit Soniox besteht ein Auftragsverarbeitungsvertrag mit Standardvertragsklauseln. Soniox verwendet die Inhalte nicht zum Training von Modellen und speichert Audio und Text nicht dauerhaft. Soniox setzt seinerseits Infrastrukturanbieter ein: Amazon Web Services, Google Cloud, Oracle Cloud Infrastructure und Cloudflare (Stand 12.10.2026). Die aktuelle Liste führt Soniox in seiner Console; wir stellen sie auf Anfrage bereit.
• OpenAI (OpenAI Ireland Ltd., Irland): Verbesserung der Übersetzung durch ein Sprachmodell. Daten: erkannte Texte, Übersetzungen, Kontext, Schlüsselwörter und Glossar. Vertragspartner ist OpenAI Ireland Ltd. Die Verarbeitung kann auch durch Konzerngesellschaften von OpenAI in den USA erfolgen (Drittland, siehe Ziffer 7), abgesichert durch Standardvertragsklauseln. Mit OpenAI besteht ein Auftragsverarbeitungsvertrag. Die aktuelle Liste der Unterauftragnehmer von OpenAI steht unter platform.openai.com/subprocessors.
• Brevo (Sendinblue SAS, Frankreich): Versand von System-E-Mails wie Rechnungen und Passwort-Links. Daten: E-Mail-Adresse, Name, Rechnungs-PDF. Keine Inhalte von Veranstaltungen.
• Cloudflare: Auslieferung der Techniker-App und ihrer Updates. Daten: IP-Adresse beim Herunterladen. Keine Inhalte von Veranstaltungen.

Stripe (Zahlungen) und Google (Analyse mit Einwilligung) sind keine Unterauftragsverarbeiter für die Inhalte von Veranstaltungen. Sie verarbeiten andere Daten, die in der Datenschutzerklärung beschrieben sind.