# Auftragsverarbeitungsvertrag | Vodlix

**Source:** https://vodlix.com/de/data-processing-agreement  
**Summary:** Wie Vodlix als Auftragsverarbeiter Endnutzerdaten für Kunden verarbeitet: Pflichten, Unterauftragsverarbeiter, Übermittlungen und Sicherheit.  
**Publisher:** Vodlix

---

## Auftragsverarbeitungsvertrag

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen zwischen der **Fast OTT Ltd** (handelnd unter der Bezeichnung **Vodlix**), eingetragen in England und Wales unter der Nummer **15157138**, eingetragener Sitz Office 7, 480 Larkshall Road, London, England, E4 9HH („**Vodlix**“, „**wir**“), und dem Kunden („**Sie**“).

Er gilt, soweit wir personenbezogene Daten in Ihrem Auftrag verarbeiten.

## 1. Begriffsbestimmungen {#1-begriffsbestimmungen}

**Datenschutzrecht** bezeichnet die UK-DSGVO und den Data Protection Act 2018; die Verordnung (EU) 2016/679 und ihre nationalen Durchführungsvorschriften; die PECR und gleichwertiges ePrivacy-Recht; sowie jedes sonstige anwendbare Datenschutzrecht.

**Endnutzerdaten** bezeichnet personenbezogene Daten über Endnutzer Ihrer Kundenplattform, die wir in Ihrem Auftrag verarbeiten.

**Unterauftragsverarbeiter** bezeichnet einen Auftragsverarbeiter, den wir mit der Verarbeitung von Endnutzerdaten beauftragen.

**Dienste**, **Autorisierter Nutzer**, **Kundenplattform**, **Kundeninhalte**, **Endnutzer** und **Abonnent** haben die in den Nutzungsbedingungen festgelegte Bedeutung.

Sonstige großgeschriebene Begriffe haben die in der UK-DSGVO festgelegte Bedeutung.

## 2. Rollen {#2-rollen}

| Daten | Verantwortlicher | Unsere Rolle |
| --- | --- | --- |
| **Endnutzerdaten**: die Konten Ihrer Endnutzer, ihre Wiedergabeaktivitäten, Abonnementaufzeichnungen | **Sie** | **Auftragsverarbeiter** |
| **Ihre Kontodaten**: Ihre Angaben, Autorisierte Nutzer, Abrechnung, Support-Verlauf | **Vodlix** | **Verantwortlicher** |

Bei Endnutzerdaten entscheiden Sie über die Zwecke und Mittel. Sie sind dafür verantwortlich, über eine Rechtsgrundlage zu verfügen, Ihren Endnutzern eine eigene Datenschutzerklärung bereitzustellen, jede für Cookies auf Ihrer Kundenplattform erforderliche Einwilligung einzuholen und Anträge Ihrer Endnutzer auf Wahrnehmung ihrer Rechte zu beantworten. Wir handeln ausschließlich nach Ihren Weisungen.

Für Ihre Kontodaten gilt unsere Datenschutzerklärung; dieser Vertrag regelt sie nicht.

**Keiner von uns ist gemeinsam mit dem anderen Verantwortlicher für dessen Daten.**

## 3. Unsere Pflichten {#3-unsere-pflichten}

Wir werden:

(a) Endnutzerdaten **ausschließlich auf Ihre dokumentierten Weisungen** verarbeiten (dieser Vertrag, die Nutzungsbedingungen, Ihre Konfiguration und jede weitere schriftliche Weisung), sofern wir nicht gesetzlich zu etwas anderem verpflichtet sind; in diesem Fall teilen wir Ihnen dies zuvor mit, sofern das Gesetz dies nicht untersagt;

(b) **Endnutzerdaten weder verkaufen noch weitergeben und sie nicht für eigene Zwecke verwenden**, einschließlich Werbung, Profilbildung oder Modelltraining;

(c) sicherstellen, dass die zur Verarbeitung von Endnutzerdaten befugten Personen zur Vertraulichkeit verpflichtet sind;

(d) geeignete technische und organisatorische Maßnahmen umsetzen (**Anhang 2**);

(e) Unterauftragsverarbeiter nur nach Ziffer 4 beauftragen;

(f) Sie unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten, Sicherheit, der Meldung von Verletzungen und Folgenabschätzungen unterstützen;

(g) Endnutzerdaten nach Ziffer 7 löschen oder zurückgeben; und

(h) die Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 nachzuweisen, und Prüfungen nach Ziffer 8 ermöglichen.

**Sind wir der Auffassung, dass eine Weisung gegen das Datenschutzrecht verstößt, teilen wir Ihnen dies mit.**

**Weisungen, die wir für rechtswidrig halten.** Wir teilen Ihnen dies unmittelbar, nachdem wir zu dieser Auffassung gelangt sind, unter Angabe unserer Gründe mit. Wir sind nicht verpflichtet, eine Weisung auszuführen, von der wir vernünftigerweise annehmen, dass sie gegen das Datenschutzrecht verstößt, und wir können ihre Ausführung aussetzen, bis Sie sie zurückziehen oder so ändern, dass sie keinen Verstoß mehr darstellt. Die Ablehnung oder Aussetzung einer Weisung nach diesem Absatz stellt keine Verletzung dieses Vertrags oder der Nutzungsbedingungen dar.

**Ihre Weisungen.** Sie sind dafür verantwortlich, dass Ihre Weisungen dem Datenschutzrecht entsprechen. Zu Ihren Weisungen gehören Weisungen über Übermittlungen von Endnutzerdaten an ein Drittland oder eine internationale Organisation, die in Ziffer 9 und Anhang 3 festgelegt sind. Eine Weisung, die über die Dienste, wie in den Nutzungsbedingungen beschrieben, hinausgeht oder die Art ihrer Erbringung ändert, wird erst wirksam, wenn wir sie mit Ihnen schriftlich vereinbart haben, einschließlich etwaiger Gebühren.

**Änderungen der Maßnahmen.** Die Maßnahmen in Anhang 2 unterliegen dem technischen Fortschritt und der Weiterentwicklung. Wir können sie von Zeit zu Zeit aktualisieren, sofern eine Aktualisierung das Gesamtniveau der Sicherheit von Endnutzerdaten nicht verringert.

## 4. Unterauftragsverarbeiter {#4-unterauftragsverarbeiter}

Sie erteilen uns eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuelle Liste ist **Anhang 3**, der mit diesem Vertrag bereitgestellt wird und jederzeit unter privacy@vodlix.com erhältlich ist.

Wir kündigen die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters **mindestens 30 Tage** im Voraus an. Erheben Sie aus berechtigten datenschutzrechtlichen Gründen Einspruch und können wir keine Alternative anbieten, **können Sie die betroffenen Dienste ohne Vertragsstrafe kündigen** und erhalten eine anteilige Erstattung.

Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als diese, und **haften Ihnen gegenüber weiterhin in vollem Umfang für dessen Handlungen und Unterlassungen**.

**Verträge mit Unterauftragsverarbeitern.** Wir beauftragen jeden Unterauftragsverarbeiter auf Grundlage eines schriftlichen Vertrags, der ihn verpflichtet, hinreichende Garantien dafür zu bieten, dass geeignete technische und organisatorische Maßnahmen umgesetzt werden, und die Pflichten nach Artikel 28 Absatz 3 zu erfüllen. Auf Ihre schriftliche Anfrage stellen wir Ihnen eine Kopie der Datenschutzbestimmungen dieses Vertrags zur Verfügung, aus der wir für den Datenschutz nicht relevante geschäftliche Informationen entfernen können.

**So erheben Sie Einspruch.** Sie erheben Einspruch, indem Sie innerhalb der Mitteilungsfrist unter Angabe Ihrer Gründe an privacy@vodlix.com schreiben. Wir prüfen den Einspruch nach Treu und Glauben und erörtern ihn mit Ihnen. Erheben Sie innerhalb der Mitteilungsfrist keinen Einspruch, gilt die Änderung als von Ihnen genehmigt.

**Von Ihnen konfigurierte Integrationen.** Wenn Sie einen Dienst eines Dritten mit Ihrem eigenen Konto oder API-Schlüssel anbinden, ist dieser Anbieter **Ihr** Auftragsverarbeiter, nicht unser Unterauftragsverarbeiter. Wir schließen mit ihm keinen Vertrag und führen ihn nicht in Anhang 3 auf.

## 5. Betroffenenrechte {#5-betroffenenrechte}

Mit den Diensten können Sie Endnutzerdaten selbst einsehen, berichtigen, exportieren und löschen. Soweit Sie diese Funktionen nicht über die Dienste ausüben können, leisten wir unverzüglich angemessene Unterstützung.

Wendet sich ein Endnutzer wegen Endnutzerdaten direkt an uns, antworten wir nicht inhaltlich; soweit angemessen, verweisen wir ihn an Sie und benachrichtigen Sie unverzüglich.

## 5A. Folgenabschätzungen und vorherige Konsultation {#5a-folgenabschätzungen-und-vorherige-konsultation}

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir Sie in angemessenem Umfang bei jeder Datenschutz-Folgenabschätzung, die Sie nach Artikel 35 durchführen, und bei jeder vorherigen Konsultation einer Aufsichtsbehörde nach Artikel 36, soweit diese die Dienste betreffen.

Wir leisten diese Unterstützung hauptsächlich durch die Informationen in diesem Vertrag und seinen Anhängen sowie durch alle weiteren Informationen, die Sie vernünftigerweise darüber anfordern, wie die Dienste Endnutzerdaten verarbeiten.

Darüber hinausgehende Unterstützung oder Unterstützung, die aufgrund Ihrer eigenen Handlung oder Unterlassung erforderlich wird, kann zu angemessenen Kosten berechnet werden, die wir mit Ihnen vereinbaren, bevor wir beginnen.

## 6. Verletzung des Schutzes personenbezogener Daten {#6-verletzung-des-schutzes-personenbezogener-daten}

Wir benachrichtigen Sie **unverzüglich**, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Endnutzerdaten betrifft, und teilen Ihnen, sobald die Informationen verfügbar sind, die Art der Verletzung, die Kategorien und die ungefähre Zahl der Betroffenen, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine geeignete Anlaufstelle mit. Informationen können schrittweise bereitgestellt werden, wenn sie nicht gleichzeitig verfügbar sind.

Wir unterstützen Sie bei Ihren eigenen Pflichten nach den Artikeln 33 und 34. **Wir benachrichtigen weder Ihre Endnutzer noch eine Aufsichtsbehörde in Ihrem Namen** ohne Ihre schriftliche Weisung.

**Unsere Reaktion.** Wir ergreifen angemessene Maßnahmen, um die Verletzung einzudämmen, zu untersuchen und ihre Auswirkungen zu verringern, halten Sie über wesentliche Entwicklungen auf dem Laufenden und führen eine Aufzeichnung über die Verletzung, die Ihnen die Informationen liefert, die Sie zu ihrer Dokumentation nach Artikel 33 Absatz 5 benötigen.

**Wohin wir die Meldung senden.** Wir senden Meldungen nach dieser Ziffer an die E-Mail-Adresse des Inhabers Ihres Vodlix-Kontos und an jeden Sicherheitskontakt, den Sie uns schriftlich mitteilen. Sie sind dafür verantwortlich, diese Angaben aktuell zu halten.

**Kein Anerkenntnis.** Unsere Meldung einer Verletzung des Schutzes personenbezogener Daten und unsere Unterstützung dabei stellen kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

## 7. Löschung und Rückgabe {#7-löschung-und-rückgabe}

**Bevor Sie kündigen, und bis 30 Tage nach Vertragsbeendigung**, können Sie Endnutzerdaten über die Dienste oder auf Anfrage kostenlos in einem gängigen maschinenlesbaren Format exportieren.

**Wenn Sie kündigen**, senden wir Ihnen eine E-Mail. Nach der Kündigung löschen wir Ihre Daten, einschließlich der Endnutzerdaten, innerhalb von **60 Tagen** aus unseren aktiven Systemen und weisen die betreffenden Unterauftragsverarbeiter an, Endnutzerdaten entsprechend ihren vertraglichen Pflichten und den geltenden Aufbewahrungszyklen zu löschen, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Wir bewahren nur Ihre Kontakt- und Kommunikationsdaten sowie alles auf, zu dessen Aufbewahrung wir gesetzlich verpflichtet sind; in diesem Fall teilen wir Ihnen mit, was, warum und wie lange.

Gelöschte Daten können in Sicherungen verbleiben, bis diese im normalen Zyklus ablaufen. Sie werden nicht wiederhergestellt und für keinen anderen Zweck verwendet.

**Bestätigung der Löschung.** Auf Ihre schriftliche Anfrage bestätigen wir schriftlich, wann die Löschung nach dieser Ziffer abgeschlossen ist, und teilen Ihnen mit, welche Endnutzerdaten wir gegebenenfalls noch vorhalten, weil wir gesetzlich zu ihrer Aufbewahrung verpflichtet sind oder weil sie in Sicherungen verbleiben.

## 8. Prüfung {#8-prüfung}

Wir stellen die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 nachzuweisen.

Sie können höchstens **einmal alle 12 Monate** mit einer schriftlichen Frist von **30 Tagen**, während der Geschäftszeiten, ohne unangemessene Störung und unter Wahrung der Vertraulichkeit eine Prüfung durchführen (häufiger, wenn eine Aufsichtsbehörde dies verlangt oder nach einer Verletzung, die Ihre Endnutzerdaten betrifft). Verfügen wir über eine aktuelle Zertifizierung oder einen aktuellen Bericht eines Dritten, der den Umfang abdeckt, genügt deren Vorlage den Anforderungen dieser Ziffer.

**Wer prüfen darf, und Kosten.** Eine Prüfung kann von Ihnen oder von einem von Ihnen bestellten unabhängigen Prüfer durchgeführt werden, sofern der Prüfer kein Wettbewerber von uns ist und sich schriftlich verpflichtet hat, unsere Informationen vertraulich zu behandeln. Jeder von uns trägt seine eigenen Kosten einer Prüfung. Ergibt eine Prüfung, dass wir diesen Vertrag wesentlich verletzt haben, beheben wir die Verletzung umgehend auf eigene Kosten.

## 9. Internationale Übermittlungen {#9-internationale-übermittlungen}

**Ein Teil unserer Infrastruktur befindet sich in den Vereinigten Staaten.** Werden Endnutzerdaten aus dem Vereinigten Königreich oder dem EWR in ein Land ohne Angemessenheitsbeschluss übermittelt, stützen wir uns auf:

- das **EU-US Data Privacy Framework / die UK-Erweiterung** für danach zertifizierte Unterauftragsverarbeiter; oder
- die **Standardvertragsklauseln** (2021/914), **Modul Zwei** oder **Modul Drei** nach Maßgabe von Anhang 4, mit den Auswahlen in Anhang 4, zusammen mit dem **UK International Data Transfer Addendum**, soweit die UK-DSGVO anwendbar ist.

Beide werden durch Verweis einbezogen und gelten als zum Gültigkeitsdatum dieses Vertrags abgeschlossen.

## 9A. Wenn ein Übermittlungsmechanismus nicht mehr anwendbar ist {#9a-wenn-ein-übermittlungsmechanismus-nicht-mehr-anwendbar-ist}

Ist ein Mechanismus, auf den wir uns nach Ziffer 9 stützen, keine rechtmäßige Grundlage für eine Übermittlung mehr, etwa weil ein Angemessenheitsbeschluss oder das Data Privacy Framework aufgehoben oder für ungültig erklärt wird oder die Zertifizierung eines Unterauftragsverarbeiters erlischt, führen wir umgehend einen alternativen, nach dem Datenschutzrecht anerkannten Mechanismus ein, etwa die Standardvertragsklauseln zusammen mit dem UK International Data Transfer Addendum.

Ist uns dies nicht möglich, teilen wir Ihnen dies unverzüglich mit, und Sie können verlangen, dass wir die betroffene Übermittlung aussetzen, oder die betroffenen Dienste ohne Vertragsstrafe und mit anteiliger Erstattung kündigen.

Wir stellen Ihnen die Informationen zur Verfügung, die Sie vernünftigerweise benötigen, um für jede Übermittlung von Endnutzerdaten nach diesem Vertrag eine Risikobewertung der Übermittlung durchzuführen.

## 9B. Ersuchen von Behörden {#9b-ersuchen-von-behörden}

Erhalten wir von einer Behörde, einschließlich eines Gerichts oder einer Strafverfolgungsbehörde, ein rechtsverbindliches Ersuchen um Offenlegung von Endnutzerdaten, teilen wir Ihnen dies umgehend mit, sofern das Gesetz dies nicht untersagt, und bitten die Behörde, soweit möglich, ihr Ersuchen an Sie zu richten.

Wir prüfen, ob das Ersuchen rechtmäßig ist, fechten es an, wenn wir nach sorgfältiger Prüfung zu dem Ergebnis gelangen, dass berechtigte Gründe für die Annahme seiner Rechtswidrigkeit bestehen, und legen nur das Mindestmaß an Endnutzerdaten offen, das das Ersuchen erfordert.

Soweit die Standardvertragsklauseln auf die Übermittlung anwendbar sind, gilt deren Klausel 15.

## 10. Stimme, Erscheinungsbild und Gesichtserkennung {#10-stimme-erscheinungsbild-und-gesichtserkennung}

Wenn Sie KI-Funktionen für Synchronisation, Stimme oder Erscheinungsbild nutzen, **kann aus Ihren Inhalten eine synthetische Stimme oder ein synthetisches Erscheinungsbild einer realen Person erstellt werden**. **Bei der Synchronisation wird für jeden identifizierbaren Sprecher im Video ein Stimmmodell erstellt**, als Teil der Übersetzung.

**Sie bestätigen, dass Sie über alle erforderlichen Rechte und Einwilligungen** jeder Person verfügen, deren Stimme, Gesicht oder Darbietung in von Ihnen hochgeladenen oder synchronisierten Inhalten erscheint, und dass diese die Erstellung und Nutzung einer daraus abgeleiteten synthetischen Stimme oder eines daraus abgeleiteten synthetischen Erscheinungsbilds abdecken. Wir überprüfen dies nicht und verlassen uns auf Ihre Bestätigung.

Soweit anwendbares Recht solche Daten als biometrische Daten oder besondere Kategorien personenbezogener Daten behandelt, einschließlich Artikel 9 UK-/EU-DSGVO und US-amerikanischer Gesetze über biometrische Daten, liegt die Festlegung der Rechtsgrundlage in Ihrer Verantwortung.

Wir erstellen Stimm- oder Erscheinungsbildmodelle nur auf Ihre Weisung, verwenden sie nicht für einen anderen Kunden wieder und löschen ein Modell auf Ihre Weisung oder bei Vertragsbeendigung.

**Cast-Verknüpfung.** Wenn Sie die Cast-Verknüpfung nutzen, erkennt Vodlix Intel Gesichter in Ihren Videos, um Künstler-Tags vorzuschlagen. Dazu speichern wir eine numerische Signatur jedes Gesichts, kein Bild, damit ein Gesicht in einem späteren Upload einem Gesicht zugeordnet werden kann, das Sie bereits benannt haben. Wir speichern keine Bilder von Gesichtern. Sie sind dafür verantwortlich, über alle für diese Nutzung erforderlichen Rechte, Genehmigungen und Rechtsgrundlagen zu verfügen. Wir verwenden diese Daten nicht zum Training eines Modells und löschen sie, wenn Ihre Cloud gelöscht wird, oder auf Anfrage früher.

## 11. Besondere Kategorien personenbezogener Daten und Kinder {#11-besondere-kategorien-personenbezogener-daten-und-kinder}

Die Dienste sind nicht für besondere Kategorien personenbezogener Daten oder Daten über Straftaten ausgelegt, und Sie sollten solche Daten nicht über das in Ziffer 10 Vorgesehene hinaus übermitteln, ohne dies zuvor schriftlich mit uns vereinbart zu haben.

**Dienste für Kinder.** Sie können eine Kundenplattform für Kinder betreiben. Richtet sich Ihr Dienst an Kinder, sind Sie für dessen altersgerechte Gestaltung, für jede erforderliche Einwilligung der Eltern und für die sonstigen Pflichten verantwortlich, die für einen an Kinder gerichteten Dienst gelten.

## 12. Allgemeines {#12-allgemeines}

Die Haftung nach diesem Vertrag unterliegt den Beschränkungen der Nutzungsbedingungen, mit der Maßgabe, dass nichts die Haftung einer Partei gegenüber einer betroffenen Person nach Artikel 82 oder eine Haftung beschränkt, die gesetzlich nicht beschränkt werden kann.

**Aufteilung.** Sind wir beide für einen durch die Verarbeitung von Endnutzerdaten verursachten Schaden verantwortlich, ist im Verhältnis zwischen uns jeder von uns für den Teil des Schadens verantwortlich, der seinem Anteil an der Verantwortung entspricht, wie in Artikel 82 vorgesehen. Sie sind uns gegenüber für Ansprüche, Bußgelder und Kosten verantwortlich, soweit diese auf Ihren Weisungen oder auf Ihrem eigenen Verstoß gegen das Datenschutzrecht beruhen.

Dieser Vertrag **hat in Fragen des Datenschutzes Vorrang vor den Nutzungsbedingungen**. Er gilt, solange wir Endnutzerdaten in Ihrem Auftrag verarbeiten, und die Ziffern 7, 8, 9 und 12 gelten fort.

**Rangfolge.** Bei Widersprüchen zwischen den Dokumenten, die Endnutzerdaten regeln, gelten diese in folgender Reihenfolge:

(a) die Standardvertragsklauseln und das UK International Data Transfer Addendum, soweit sie anwendbar sind;

(b) dieser Vertrag einschließlich seiner Anhänge; und

(c) die Nutzungsbedingungen einschließlich eines etwaigen Bestellformulars.

**Gültigkeitsdatum.** Dieser Vertrag wird an dem Tag wirksam, an dem Sie die Nutzungsbedingungen annehmen, oder, falls später, an dem Tag, an dem wir erstmals Endnutzerdaten in Ihrem Auftrag verarbeiten.

Wir können ihn mit einer **Frist von 30 Tagen** aktualisieren, sofern die Aktualisierung Ihren Schutz nicht wesentlich verringert.

---

## Anhang 1: Einzelheiten der Verarbeitung {#anhang-1-einzelheiten-der-verarbeitung}

**Gegenstand**: Bereitstellung der White-Label-Videoplattform von Vodlix.

**Dauer**: die Laufzeit der Nutzungsbedingungen zuzüglich Ziffer 7.

**Art und Zweck**: Hosting, Encoding, Speicherung, Auslieferung und Analyse von Kundeninhalten sowie der Betrieb einer Kundenplattform, einschließlich der Verwaltung von Endnutzerkonten, der Abonnement- und Zugangskontrolle und der Auslieferungsanalysen.

**Weitere Verarbeitung, sofern Sie sie aktivieren**: Einwilligungsverwaltung über Cookie Panda; CRM, Transaktions-E-Mails und Sprachagenten über Vertex CRM; sowie Transkription, Übersetzung, Untertitelung, Synchronisation und Metadatenerzeugung über Vodlix Intel (Anhang 3).

**Kategorien betroffener Personen**: Endnutzer Ihrer Kundenplattform, einschließlich Abonnenten, registrierter kostenloser Nutzer und nicht registrierter Besucher.

**Weitere Kategorien betroffener Personen, sofern Sie die betreffende Funktion aktivieren**: Personen, die Sie über Vertex CRM kontaktieren, auch per Sprachanruf; und Personen, deren Stimme, Gesicht oder Darbietung in Kundeninhalten erscheint, die Sie synchronisieren oder mit Funktionen für Stimme oder Erscheinungsbild nutzen (Ziffer 10).

**Kategorien personenbezogener Daten**

| Kategorie | Beispiele |
| --- | --- |
| Konto | Name, E-Mail-Adresse, Passwort-Hash, Status, Präferenzen |
| Abonnement | Tarif, Status, Daten, Verlängerung, Kündigung |
| Zahlung | Transaktionsaufzeichnungen und die letzten vier Ziffern der Karte. **Vollständige Kartendaten werden von Vodlix niemals verarbeitet** |
| Wiedergabe | Titel, Zeitstempel, Dauer, Position, Gerät, Qualität |
| Technisch | IP-Adresse, User-Agent, Geräte- und Werbekennungen, ungefährer Standort |
| Einwilligung | IP-Adresse, User-Agent, Seiten-URL, Subjektkennung, Werbekennung, Land, Region, Gerätetyp, TCF- und GPP-Strings, Einwilligungsnachweise (sofern Cookie Panda verwendet wird) |
| CRM und Nachrichten | Ticket- und Gesprächsinhalte, Nachrichtentexte, Kampagnenempfänger, Ereignisse zu versendeten, geöffneten, angeklickten und unzustellbaren E-Mails (sofern Sie Vertex CRM aktivieren) |
| Sprachanrufe | Anrufaudio und Transkripte (sofern Sie Sprachagenten in Vertex CRM aktivieren) |
| Stimme und Erscheinungsbild | Sofern Sie KI-Funktionen für Synchronisation oder Stimme nutzen (Ziffer 10) |
| Gesichtsdaten (biometrisch) | Sofern Sie die Cast-Verknüpfung nutzen (Ziffer 10) |

**Häufigkeit**: fortlaufend, während der Laufzeit.

---

## Anhang 2: Technische und organisatorische Maßnahmen {#anhang-2-technische-und-organisatorische-maßnahmen}

**Zugangskontrolle**: Zwei-Faktor-Authentifizierung; Zugriff nach dem Need-to-know-Prinzip; Entzug des Zugriffs beim Ausscheiden.

**Verschlüsselung**: TLS bei der Übertragung; bei berechtigten Tarifen Multi-DRM.

**Ausfallsicherheit**: Sicherungen; Auslieferung über mehrere CDNs.

**Sicherheitsscans**: regelmäßige Sicherheitsscans.

**Personal**: Vertraulichkeitspflichten für alle Personen mit Zugriff.

**Reaktion auf Vorfälle**: dokumentiertes Verfahren; Meldung nach Ziffer 6.

**Zertifizierung**: Wir verfügen derzeit weder über ISO 27001 noch über SOC 2.

---

## Anhang 3: Unterauftragsverarbeiter {#anhang-3-unterauftragsverarbeiter}

### Unsere eigenen Dienste (keine Unterauftragsverarbeiter) {#unsere-eigenen-dienste-keine-unterauftragsverarbeiter}

Cookie Panda, Vodlix Intel und Vertex CRM sind Dienste der Fast OTT Ltd selbst und keine eigenständigen Unternehmen; sie sind daher keine Unterauftragsverarbeiter. Wir führen sie auf, damit Sie sehen können, wohin Ihre Daten gelangen. Ihre externen Anbieter sind Unterauftragsverarbeiter und in Tabelle A aufgeführt.

| Dienst | Funktion | Verarbeitete personenbezogene Daten | Betriebsort |
| --- | --- | --- | --- |
| **Fast OTT Ltd** t/a **Cookie Panda**, Vereinigtes Königreich | Einwilligungsverwaltung (IAB TCF CMP, Vendor-ID 515) auf Kundenplattformen | IP-Adresse (bei der Aufzeichnung der Einwilligung gekürzt), User-Agent, Seiten-URL, subject\_id (Erstanbieter-Cookie + localStorage), Werbekennung (IDFA / AAID / RIDA / TIFA) auf Mobilgeräten und CTV, Land, Region, Gerätetyp, TCF-String, GPP-String, Einwilligungs-Hash, Signatur | **Hetzner Online GmbH, us-west, Hillsboro, Oregon, USA** (einzelne Instanz) |
| **Fast OTT Ltd** t/a **Vodlix Intel**, Vereinigtes Königreich | KI-Funktionen: Transkription, Übersetzung, Untertitelung, Synchronisation, Metadatenerzeugung | **Ausschließlich Kundeninhalte.** Personenbezogene Daten von Endnutzern werden nicht an Intel übermittelt. **Kann die Stimmen von Mitwirkenden enthalten, wenn Synchronisation genutzt wird** | Vodlix-Server in den Vereinigten Staaten und der Europäischen Union |
| **Fast OTT Ltd** t/a **Vertex CRM**, Vereinigtes Königreich | Kundenorientiertes CRM und Transaktions-E-Mails. **Nur Abonnenten** werden als Kontakte synchronisiert | Sofern ein Kunde das CRM-Paket aktiviert: Name, E-Mail-Adresse und Abonnementstatus des Endnutzers, Ticket- und Gesprächsinhalte, Nachrichtentexte, Kampagnenempfänger, E-Mail-Interaktionsereignisse | **Hetzner Cloud, us-east, ash-dc1, Ashburn, Virginia, USA.** PostgreSQL auf demselben Host, an localhost gebunden |
| **Fast OTT Ltd**, stats.vodlix.com (ClickHouse) | E-Mail- und Interaktionsanalysen für Vertex CRM | contact\_id sowie Ereignisse zu versendeten / geöffneten / angeklickten / unzustellbaren E-Mails | **Subhosting, Dallas, Texas, USA** |

### Tabelle A: Unterauftragsverarbeiter (personenbezogene Daten von Endnutzern) {#tabelle-a-unterauftragsverarbeiter-personenbezogene-daten-von-endnutzern}

Beauftragt mit der Verarbeitung personenbezogener Daten im Auftrag von Kunden.

| # | Unternehmen | Leistung für uns | Einsehbare personenbezogene Daten | Hosting | Übermittlungsgrundlage (aus dem Vereinigten Königreich/der EU) |
| --- | --- | --- | --- | --- | --- |
| A3.1 | **ActiveCampaign, LLC** (Postmark), USA | Ausgehende E-Mails für Vertex CRM | **Empfängeradresse und vollständiger Nachrichtentext** | USA | EU-U.S. Data Privacy Framework und UK-Erweiterung (ActiveCampaign, LLC); Standardvertragsklauseln |
| A3.4 | **Cloudflare, Inc.**, USA | Proxy für app.vertexcrm.io, TLS-Terminierung | IP-Adresse, Anfrage-Metadaten, TLS-Terminierung | Globales Edge-Netzwerk | **Data Privacy Framework** (zertifiziert) |
| A3.5 | **OpenAI, L.L.C.** und **Google LLC** (Gemini) | Sprachagenten in Vertex CRM, **nur wenn ein Kunde Sprachfunktionen aktiviert** | **Anrufaudio und Transkripte**, die alles enthalten können, was der Anrufer sagt | USA | OpenAI: EU-U.S. Data Privacy Framework und UK-Erweiterung (OpenAI); Standardvertragsklauseln im Auftragsverarbeitungszusatz von OpenAI. Google: **DPF** |
| A4 | **Cloudflare, Inc.**, USA | CDN, WAF, DNS, Workers. Proxy für vodlix.com, Kundenplattformen und cookiepanda.app | IP-Adresse, Anfrage-Metadaten, TLS-Metadaten. Flüchtig, nicht als Aufzeichnung gespeichert | Globales Edge-Netzwerk; Hauptsitz in den USA | **EU-US / UK-US Data Privacy Framework** (zertifiziert) |
| A5 | **BunnyWay d.o.o.** (Bunny CDN), Slowenien | CDN für die Videoauslieferung; liefert auch Banner-Assets von Cookie Panda aus | IP-Adresse, Anfrage-Metadaten für die Auslieferung | EU (Slowenien) + globales Edge-Netzwerk | **In der EU ansässig.** Angemessenheit Vereinigtes Königreich→EU. Für den EU-Abschnitt sind keine SCCs erforderlich |
| A5a | **DataCamp Limited** (CDN77), Vereinigtes Königreich, Gesellschaftsnummer 07489096 | Content-Auslieferung | IP-Adresse, Anfrage-Metadaten | Vereinigtes Königreich und dessen globales Edge-Netzwerk | **Britisches Unternehmen.** Angemessenheitsbeschluss für das Vereinigte Königreich für EWR-Daten |
| A6 | **Google LLC / Google Ireland Ltd** (Gemini) | KI-Modellanbieter hinter Vodlix Intel | Zur Verarbeitung übermittelte Kundeninhalte, die personenbezogene Daten über Personen enthalten können, die in diesen Inhalten erscheinen oder mit ihnen in Verbindung stehen. Konto-, Abonnement- und Nutzungsdaten von Endnutzern werden hierfür nicht an Intel übermittelt | USA / EU | **Data Privacy Framework** (zertifiziert) |
| A7 | **ElevenLabs Inc.**, USA | Sprachsynthese, **Stimmklonen** und **End-to-End-Synchronisation, bei der jeder Sprecher geklont wird** | Kundeninhalte (Audio, Text) **sowie ein Stimmmodell jedes identifizierbaren Sprechers in jedem synchronisierten Video** | USA | **SCCs + UK Addendum** |
| A9c | **OVH SAS**, Frankreich | Hosting für die EU-Server der Plattform und Medien-Rendering | Auf den EU-Servern gespeicherte Plattformdaten sowie Medien bei der Übertragung, einschließlich Gesichtern und Stimmen | Europäische Union | Nicht erforderlich (EWR) |
| A9 | **Hetzner Online GmbH**, Deutschland | Rechen- und Speicher-Hosting für Cookie Panda | Sämtliche gespeicherten Einwilligungsdaten von Cookie Panda sowie Signaturschlüssel | **Hillsboro, Oregon, USA** (deutsches Unternehmen, US-Region) | **SCCs + UK Addendum.** Der Auftragsverarbeiter ist in der EU ansässig; die *Hosting-Region* liegt in den USA, wodurch die Übermittlung ausgelöst wird |
| A10 | **Subhosting** | Hosting für die US-Server der Plattform, vodlix.com und stats.vodlix.com | Auf den US-Servern gespeicherte Plattformdaten sowie Serverprotokolle einschließlich IP-Adressen | USA, einschließlich Dallas, Texas; das vorgelagerte Netzwerk ist Hivelocity (AS29802), ein Unterauftragsverarbeiter von **Subhosting**, nicht von uns | **SCCs + UK Addendum** |
| A11 | **IAB Europe**, Belgien | Global Vendor List, abgerufen durch das Cookie Panda SDK | **Das eigene Gerät des Endnutzers kontaktiert IAB direkt**, sodass IAB die IP-Adresse des Endnutzers sieht | EU (Belgien) | In der EU ansässig; Angemessenheit Vereinigtes Königreich→EU. |

### Mitteilung von Änderungen {#mitteilung-von-änderungen}

Wir kündigen Kunden die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters aus Tabelle A **mindestens 30 Tage** im Voraus per E-Mail und durch Aktualisierung dieser Seite an. Ein Kunde, der aus berechtigten datenschutzrechtlichen Gründen Einspruch erhebt, kann die betroffenen Dienste ohne Vertragsstrafe kündigen.

Wenn Sie über Änderungen benachrichtigt werden möchten, senden Sie eine E-Mail an privacy@vodlix.com, und wir nehmen Sie in die Benachrichtigungsliste auf.

---

## Anhang 4: Auswahlen in den SCC und im UK Addendum {#anhang-4-auswahlen-in-den-scc-und-im-uk-addendum}

**Modul Zwei** (Verantwortlicher an Auftragsverarbeiter) gilt, wenn Sie als Verantwortlicher für die Endnutzerdaten handeln. **Modul Drei** (Auftragsverarbeiter an Auftragsverarbeiter) gilt, wenn Sie als Auftragsverarbeiter im Auftrag eines anderen Verantwortlichen handeln.

| Klausel | Auswahl |
| --- | --- |
| 7: Kopplungsklausel | Aufgenommen |
| 9: Unterauftragsverarbeiter | **Option 2**, allgemeine Genehmigung, **30 Tage** |
| 11(a): Unabhängige Rechtsbehelfsstelle | Nicht ausgewählt |
| 13 / Anhang I.C | Bestimmt durch Ihre Niederlassung; **ICO** bei Niederlassung im Vereinigten Königreich |
| 17 / 18: Anwendbares Recht und Gerichtsstand | **Irland** |

Irland, weil die EU-SCC das Recht eines EU-Mitgliedstaats verlangen. Die Nutzungsbedingungen unterliegen weiterhin dem Recht von England und Wales.

**UK Addendum (ICO-Version B1.0)**. Tabelle 1: Datenexporteur sind Sie, Datenimporteur ist die Fast OTT Ltd t/a Vodlix. Tabelle 2: das nach diesem Anhang anwendbare Modul mit den oben genannten Auswahlen. Tabelle 3: Anhang I = Anhang 1, Anhang II = Anhang 2, Anhang III = Anhang 3. Tabelle 4: **Keine Partei** kann das Addendum beenden, wenn sich das Approved Addendum ändert.

\22. Oktober 2026

\22. Oktober 2026

en