Vertrag über Auftragsverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden als Verantwortlichem („Kunde“) und der EX-IT GmbH & Co. KG, Bahnhofstraße 17, 63571 Gelnhausen, als Auftragsverarbeiter („wir“). Dieser Vertrag ist Anlage zu den Nutzungsbedingungen (Ziffer 11.2).

1. Gegenstand, Geltung und Dauer

1.1 Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die wir bei der Bereitstellung von modsi im Auftrag des Kunden durchführen. Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Hauptvertrag, den Nutzungsbedingungen.

1.2 Dieser Vertrag gilt ab der ersten Verarbeitung im Auftrag des Kunden, also ab dem Anlegen seines Unternehmens in modsi einschließlich einer kostenlosen Testphase. Er läuft für die Dauer des Hauptvertrags und endet erst, wenn wir alle im Auftrag verarbeiteten Daten nach Ziffer 10 gelöscht haben.

1.3 Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht in Fragen des Datenschutzes dieser Vertrag vor.

1.4 Soweit wir personenbezogene Daten zu eigenen Zwecken verarbeiten, sind wir selbst Verantwortlicher; dafür gilt unsere Datenschutzerklärung. Das betrifft insbesondere das Benutzerkonto und die Anmeldung (Name, E-Mail-Adresse, Passwort-Hash, Zwei-Faktor-Anmeldung, Passkeys, Sitzungen, Sicherheitsprotokoll), Vertrags- und Abrechnungsdaten, Kontaktanfragen, Meldungen rechtswidriger Inhalte und die Server-Protokolle.

2. Art und Zweck der Verarbeitung

2.1 Wir stellen dem Kunden modsi als Dienst über das Internet bereit. Im Auftrag des Kunden verarbeiten wir dabei personenbezogene Daten ausschließlich, um

• vom Kunden hochgeladene Medien und gestaltete Inhalte (Videos, Bilder, Slides, Overlays, Preislisten, Schriften und Logos) zu speichern, technisch aufzubereiten (Umwandlung in ein einheitliches Format, Vorschaubilder) und an die gekoppelten Player auszuspielen;
• das Team des Kunden zu verwalten (Mitglieder, Einladungen, Rollen und Standortrechte, Freigabe-Ablauf) und Aktionen im Unternehmen im Audit-Protokoll nachvollziehbar zu machen;
• die Bildschirme des Kunden zu betreiben und fernzusteuern (Status, Fehler, Speicherstand, Vorschau und Bildschirmfoto „Läuft gerade“);
• die Wiedergabestatistik des Kunden zu erstellen und auf Wunsch als Bericht zu versenden;
• Aufrufe der QR-Codes und Kurzlinks des Kunden für dessen Scan-Statistik zu zählen und an das vom Kunden festgelegte Ziel weiterzuleiten;
• Teammitglieder per E-Mail, Meldung in der Anwendung (Glocke) und Push-Benachrichtigung über Ausfälle, Freigaben und Berichte zu informieren.

2.2 Eine inhaltliche Auswertung der Medien, eine Verarbeitung zu eigenen Zwecken oder eine Weitergabe an Dritte findet nicht statt, außer nach Ziffer 4.3. Die Verarbeitung findet im Rechenzentrum Frankfurt am Main statt; Unterauftragsverarbeiter und deren Verarbeitungsorte nennt Anlage 1.

3. Art der Daten und Kategorien betroffener Personen

3.1 Betroffen sind:

• Teammitglieder des Kunden (Beschäftigte und sonstige vom Kunden eingeladene Personen);
• Personen, die in Medien und Inhalten des Kunden abgebildet oder genannt sind;
• Empfänger der vom Kunden eingerichteten Berichte;
• Personen, die einen QR-Code des Kunden scannen oder dessen Kurzlink aufrufen.

3.2 Verarbeitet werden folgende Arten von Daten:

• Teamdaten: Zugehörigkeit zum Unternehmen (Name und E-Mail-Adresse der Mitglieder, wie sie im Unternehmen angezeigt werden), Rolle, Standortrechte, Einladungen, Benachrichtigungseinstellungen, Freigabe-Anträge und -Entscheidungen, Einträge im Audit-Protokoll des Unternehmens (wer hat wann was veröffentlicht, zugewiesen oder geändert – mit IP-Adresse), Meldungen in der Anwendung sowie Inhalte von Benachrichtigungen (etwa Name des Bildschirms, Standort, Unternehmen und Zeitpunkt, bei Freigaben Name des Inhalts und der anfragenden oder entscheidenden Person);
• Inhaltsdaten: personenbezogene Daten in Videos, Bildern, Texten und Bildschirmfotos (etwa Bild und Stimme abgebildeter Personen, Namen); besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) nur, wenn der Kunde sie selbst hochlädt;
• Gerätedaten der Player: Gerätemodell, App-Version, IP-Adresse, Verbindungsstatus, aktuell gespielte Veröffentlichung, Fehler und Speicherstand;
• Wiedergabestatistik: welche Medien wann auf welchem Bildschirm abgespielt wurden;
• QR-Scans: Zeitpunkt, Bildschirm, Gerätetyp und ein tagesbezogener Einweg-Hash (Prüfwert) aus IP-Adresse, Browser-Kennung, Datum und einem geheimen Schlüssel; die IP-Adresse selbst wird nicht gespeichert, sondern nur kurzzeitig im Arbeitsspeicher zur Bildung des Prüfwerts und zur Begrenzung der Aufrufe verwendet;
• Berichtsempfänger: E-Mail-Adressen der Empfänger.

3.3 Die Player erfassen keine Daten über Personen vor dem Bildschirm (keine Kamera, kein Mikrofon, keine Zählung von Zuschauern).

3.4 Der Kunde ist dafür verantwortlich, dass die Verarbeitung der Daten, die er in modsi einbringt, zulässig ist, insbesondere dass ihm für abgebildete Personen die erforderlichen Einwilligungen oder sonstigen Rechtsgrundlagen vorliegen und er seine Teammitglieder über die Verarbeitung informiert.

3.5 Nicht Gegenstand dieses Vertrags sind die Konto- und Anmeldedaten der Nutzerinnen und Nutzer (Name, E-Mail-Adresse, Passwort, Zwei-Faktor-Anmeldung, Passkeys, Sitzungen, Sicherheitsprotokoll, Push-Tokens) sowie die Vertrags- und Abrechnungsdaten des Kunden; diese verarbeiten wir als eigener Verantwortlicher nach unserer Datenschutzerklärung.

4. Weisungen

4.1 Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Dokumentierte Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Einstellungen und Aktionen, die der Kunde und seine berechtigten Teammitglieder in der Anwendung vornehmen (etwa Hochladen, Veröffentlichen, Löschen, Einladen, Rechte vergeben).

4.2 Weitere Weisungen erteilen die Inhaber des Unternehmens in Textform, etwa per E-Mail an info@ex-it.eu. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandeln wir als Antrag auf Leistungsänderung.

4.3 Ohne Weisung verarbeiten wir die Daten nur, wenn wir nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet sind (etwa bei Meldungen rechtswidriger Inhalte nach der Verordnung (EU) 2022/2065); in einem solchen Fall teilen wir dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Das gilt auch für eine Übermittlung in ein Drittland.

4.4 Ist eine Weisung nach unserer Auffassung rechtswidrig, informieren wir den Kunden unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Wir dürfen die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert. Ein Datenschutzbeauftragter ist bei uns nicht bestellt; Ansprechpartner für Datenschutzfragen ist die EX-IT GmbH & Co. KG unter info@ex-it.eu.

5. Vertraulichkeit

5.1 Wir setzen nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und die mit den für sie maßgeblichen Datenschutzbestimmungen vertraut gemacht wurden. Die Verpflichtung gilt auch nach Ende ihrer Tätigkeit fort.

5.2 Diese Personen verarbeiten die Daten nur auf Weisung des Kunden, es sei denn, sie sind nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet.

6. Sicherheit der Verarbeitung

6.1 Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen beschreibt Anlage 2.

6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Wir dürfen sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentieren wir in Anlage 2.

7. Unterauftragsverarbeiter

7.1 Der Kunde erteilt uns die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsbeginn eingesetzten Unterauftragsverarbeiter nennt Anlage 1; sie gelten als genehmigt.

7.2 Beabsichtigte Änderungen (Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters) teilen wir dem Kunden mindestens vier Wochen vor ihrem Wirksamwerden per E-Mail an die Inhaber des Unternehmens mit. Der Kunde kann der Änderung bis zu ihrem Wirksamwerden aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können wir dem Widerspruch nicht abhelfen, kann der Kunde den Hauptvertrag zum Wirksamwerden der Änderung außerordentlich kündigen.

7.3 Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Wir bleiben gegenüber dem Kunden für die Einhaltung der Pflichten des Unterauftragsverarbeiters verantwortlich.

7.4 Eine Übermittlung in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss (EU-U.S. Data Privacy Framework) oder Standardvertragsklauseln der EU-Kommission.

7.5 Keine Unterauftragsverarbeitung im Sinne dieser Ziffer sind Nebenleistungen, die wir bei Dritten in Anspruch nehmen, ohne dass diese Zugriff auf die im Auftrag verarbeiteten Daten erhalten, etwa Telekommunikationsleistungen.

8. Unterstützung des Kunden

8.1 Wir unterstützen den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten. Viele dieser Anträge kann der Kunde selbst in der Anwendung erfüllen, etwa durch Ändern oder Löschen von Medien, Entfernen von Teammitgliedern oder Herunterladen von Medien.

8.2 Wenden sich betroffene Personen mit einem Anliegen, das die Verarbeitung im Auftrag betrifft, an uns, leiten wir das Anliegen unverzüglich an den Kunden weiter. Wir beantworten solche Anträge nicht selbst, es sei denn, der Kunde weist uns dazu an.

8.3 Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir den Kunden bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde), soweit ihm dies zumutbar nicht selbst möglich ist.

8.4 Für Unterstützungsleistungen, die über die Funktionen der Anwendung hinausgehen und nicht auf einem Verstoß unsererseits beruhen, können wir eine angemessene Vergütung verlangen, wenn wir dies vorher ankündigen.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

9.1 Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Auftrag des Kunden verarbeitete Daten betrifft, melden wir sie dem Kunden unverzüglich nach Kenntnis, möglichst innerhalb von 24 Stunden und spätestens innerhalb von 48 Stunden, per E-Mail an die Inhaber des Unternehmens.

9.2 Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze, Ansprechpartner, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Angaben, die noch nicht vorliegen, reichen wir unverzüglich nach.

9.3 Wir ergreifen unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern, und stimmen uns dazu mit dem Kunden ab. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt der Kunde vor; wir unterstützen ihn nach Ziffer 8.3.

10. Löschung und Rückgabe nach Vertragsende

10.1 Während der Laufzeit löscht der Kunde Daten selbst in der Anwendung; gelöschte Medien entfernen wir sofort aus dem Objektspeicher; ältere Versionen gelöschter oder ersetzter Dateien halten wir zum Schutz vor versehentlichem Löschen bis zu 30 Tage vor (Anlage 2 Ziffer 3). Löscht der Kunde sein Unternehmen, löschen wir sofort alle Daten des Unternehmens einschließlich der Medien. Daneben gelten die in der Datenschutzerklärung genannten Fristen, etwa für Rohdaten der Wiedergabestatistik (90 Tage), QR-Scans (13 Monate) und Meldungen in der Anwendung (90 Tage).

10.2 Zur Rückgabe kann der Kunde seine Medien während der Laufzeit und bis 30 Tage nach Vertragsende in der Anwendung herunterladen (Funktion „Herunterladen“ im Bereich „Medien“) und die in der Anwendung angebotenen Exporte nutzen, etwa die Wiedergabestatistik als CSV-Datei.

10.3 Nach Ablauf dieser 30 Tage löschen wir alle Daten des Unternehmens einschließlich der Medien automatisch und endgültig. Unternehmen, deren Testphase abgelaufen ist, ohne dass ein Tarif gebucht wurde, löschen wir 90 Tage nach Ende der Testphase. Vor einer solchen automatischen Löschung erhalten die Inhaber des Unternehmens 14 Tage und 3 Tage vorher eine Erinnerung per E-Mail.

10.4 Aus den verschlüsselten Datensicherungen der Datenbank und aus älteren Dateiversionen im Objektspeicher (Anlage 2 Ziffer 3) verschwinden gelöschte Daten spätestens 30 Tage nach ihrer Löschung; wir verwenden sie bis dahin nur, um den Dienst nach einer Störung oder einem versehentlichen Löschen wiederherzustellen.

10.5 Gesetzliche Aufbewahrungspflichten bleiben unberührt; sie betreffen unsere eigenen Rechnungs- und Buchungsdaten, die wir als Verantwortlicher verarbeiten, nicht die im Auftrag verarbeiteten Daten. Auf Anforderung bestätigen wir dem Kunden die Löschung in Textform.

11. Nachweise und Kontrollen

11.1 Wir stellen dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung. Der Nachweis erfolgt vorrangig durch Selbstauskunft und Dokumentation, insbesondere durch diesen Vertrag mit seinen Anlagen und auf Anfrage durch ergänzende Erläuterungen in Textform.

11.2 Reicht das im Einzelfall nicht aus, kann der Kunde Überprüfungen einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen, der nicht in einem Wettbewerbsverhältnis zu uns steht. Vor-Ort-Kontrollen sind mindestens 30 Tage vorher in Textform anzukündigen, finden während unserer üblichen Geschäftszeiten statt, dürfen den Betrieb nicht stören, sind auf den erforderlichen Umfang beschränkt und finden ohne besonderen Anlass höchstens einmal im Kalenderjahr statt. Jede Partei trägt ihre eigenen Kosten.

11.3 Unsere Server und Daten befinden sich in Rechenzentren unseres Unterauftragsverarbeiters, zu denen wir keinen eigenen Zutritt haben. Für diese Rechenzentren erfolgt der Nachweis durch die Zertifikate und Prüfberichte, die der Unterauftragsverarbeiter veröffentlicht oder uns zur Verfügung stellt.

11.4 Wir unterrichten den Kunden unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie die Verarbeitung im Auftrag des Kunden betreffen.

12. Haftung

12.1 Für den Ersatz von Schäden, die eine betroffene Person wegen eines Verstoßes gegen die DSGVO erleidet, gilt im Verhältnis zur betroffenen Person Art. 82 DSGVO.

12.2 Im Verhältnis der Parteien zueinander gelten die Haftungsregeln der Nutzungsbedingungen (Ziffer 12), soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

13. Schlussbestimmungen

13.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; Art. 28 Abs. 9 DSGVO bleibt unberührt. Für Änderungen durch uns gilt das Verfahren nach Ziffer 13 der Nutzungsbedingungen, für Unterauftragsverarbeiter Ziffer 7.2 dieses Vertrags.

13.2 Die Anlagen sind Bestandteil dieses Vertrags. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den Nutzungsbedingungen vor.

13.3 Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

13.4 Anwendbares Recht und Gerichtsstand richten sich nach dem Hauptvertrag (Ziffer 15 der Nutzungsbedingungen). Vertragssprache ist Deutsch. Stand: 20. Oktober 2026.

Anlage 1: Unterauftragsverarbeiter

Kein Unterauftragsverarbeiter ist die Stripe Payments Europe, Ltd., Dublin, Irland: Stripe verarbeitet die Zahlungsdaten als eigenständiger Verantwortlicher und erhält keine im Auftrag des Kunden verarbeiteten Daten. Ebenso eigenständige Verantwortliche sind Apple Inc. und Google LLC, soweit sie die Apps über App Store und Google Play verteilen.

Die Funktion „Slide aus Stichworten“ arbeitet ohne KI ausschließlich nach festen Regeln auf unseren Servern. Bevor wir die KI-Formulierungshilfe einschalten, bei der die eingegebenen Stichworte an einen KI-Anbieter übermittelt werden, nehmen wir diesen Anbieter nach dem Verfahren der Ziffer 7.2 in diese Liste auf.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt die Maßnahmen, die in modsi und auf unseren Servern umgesetzt sind.

1. Vertraulichkeit

Zutrittskontrolle: Wir betreiben keine eigenen Serverräume. Server, Datenbank und Objektspeicher laufen im Rechenzentrum von DigitalOcean in Frankfurt am Main (Region FRA1); die physische Sicherung (Zutrittsschutz, Überwachung, Stromversorgung, Brandschutz) obliegt dem Betreiber. DigitalOcean verfügt nach eigenen Angaben über SOC-2-Typ-II- und SOC-3-Berichte eines unabhängigen Prüfers (Schellman & Company); das Rechenzentrum FRA1 ist u. a. nach ISO/IEC 27001 zertifiziert und verfügt über SOC-2-Typ-II-Berichte (DigitalOcean Trust Center, abgerufen am 13. Oktober 2026).

Zugangskontrolle (Server):

• Die Firewall des Servers lässt nur SSH, HTTP und HTTPS zu; Datenbank (PostgreSQL), Redis, der Echtzeitdienst und der Server der Website sind nur lokal auf dem Server erreichbar.
• Die Anwendung läuft unter einem eigenen Systembenutzer ohne Administratorrechte; dieser darf nur die Dienste von modsi neu starten. Der Quellcode wird mit einem nur lesenden Schlüssel bezogen.
• Fehlermeldungen mit technischen Details werden im Betrieb nicht an Nutzer ausgeliefert.
• Server-Zugang: Anmeldung am Server nur mit SSH-Schlüssel (Passwort-Anmeldung abgeschaltet), Sperre von Adressen nach wiederholten Fehlversuchen (fail2ban), Firewall, die nur SSH und die Web-Ports zulässt; die Datenbank ist nur auf dem Server selbst erreichbar. Sicherheitsupdates des Betriebssystems werden täglich automatisch eingespielt; ist dafür ein Neustart nötig, startet der Server nachts automatisch neu. Zugang zum Server und zur Datenbank haben ausschließlich die mit dem Betrieb von modsi betrauten Beschäftigten der EX-IT GmbH & Co. KG. Zugänge werden über SSH-Schlüssel vergeben und entzogen, sobald sie nicht mehr benötigt werden.

Zugangskontrolle (Anwendung):

• Passwörter mit mindestens 10 Zeichen, gespeichert nur als Hash (bcrypt).
• Optionale Zwei-Faktor-Anmeldung mit Authenticator-App (TOTP; Geheimnis verschlüsselt gespeichert, Wiederherstellungscodes nur als Hash, Schutz gegen Wiederverwendung eines Codes, höchstens 5 Versuche je Anmeldung) und Anmeldung mit Passkeys (WebAuthn).
• Plattform-Administratoren erreichen den Verwaltungsbereich nur mit eingerichteter Zwei-Faktor-Anmeldung oder Passkey und einer mit dem zweiten Faktor bestätigten Sitzung; das wird bei jeder Anfrage geprüft.
• Anmeldungen im Browser laufen nach 6 Stunden ohne Aktivität ab. Zugriffstoken werden nur als Hash gespeichert; Sitzungen können in der Anwendung einzeln beendet werden.
• Ratenbegrenzungen für Anmeldung, Zwei-Faktor-Prüfung, Passkeys, Passwort-Zurücksetzen und sensible Kontoaktionen (je E-Mail-Adresse, Konto bzw. IP-Adresse).
• Endgültige Löschungen (Konto, Unternehmen) erfordern die erneute Eingabe des Passworts und bei aktiver Zwei-Faktor-Anmeldung zusätzlich einen Code.
• Hinweis-E-Mail bei sicherheitsrelevanten Änderungen (Passwort, Zwei-Faktor-Anmeldung, Passkeys); Sicherheitsprotokoll je Konto.
• Player werden über einen Einmalcode mit 10 Minuten Gültigkeit gekoppelt (begrenzte Zahl von Fehlversuchen); ihre Zugangsschlüssel werden nur als Hash gespeichert und beim Entkoppeln oder Löschen des Unternehmens widerrufen.

Zugriffskontrolle:

• Feste Rollen (Inhaber, Administrator, Redaktion, Filialmitarbeiter) mit festgelegten Rechten; Teammitglieder lassen sich auf einzelne Standorte beschränken.
• Medien liegen in einem privaten Objektspeicher. Zugriff nur nach Berechtigungsprüfung über kurzlebige, signierte Adressen (Hochladen 30 Minuten, Anzeige 10 Minuten, Player 60 Minuten).
• Echtzeitverbindungen (Kanäle je Unternehmen, Standort, Benutzer und Bildschirm) werden nur nach Berechtigungsprüfung geöffnet.
• Änderungen durch Plattform-Administratoren an einem Unternehmen werden im Sicherheitsprotokoll des Administrators und im Audit-Protokoll des Unternehmens vermerkt.

Trennungskontrolle: Jede Datenbankabfrage auf Daten eines Unternehmens wird automatisch auf das aktuelle Unternehmen beschränkt; fehlt dieser Kontext, bricht die Anwendung ab, statt ungefilterte Daten zu liefern (Mandantentrennung). Dateien liegen im Objektspeicher je Unternehmen unter einem eigenen Pfad, der beim Löschen des Unternehmens vollständig geleert wird. Das Produktionssystem wird nur mit Produktionskonfiguration und ohne Demo-Daten ausgerollt.

Pseudonymisierung und Verschlüsselung: QR-Scans werden ohne IP-Adresse gezählt, nur mit einem täglich wechselnden Einweg-Hash. Geheimnisse der Zwei-Faktor-Anmeldung werden verschlüsselt gespeichert. Datensicherungen werden noch auf dem Server verschlüsselt (libsodium: XChaCha20-Poly1305 mit Echtheitsprüfung je Block, zufälliger Schlüssel je Sicherung, versiegelt mit einem öffentlichen X25519-Schlüssel); der zum Entschlüsseln nötige geheime Schlüssel liegt nicht auf dem Server. Medien und Datensicherungen liegen im Objektspeicher von DigitalOcean, der Daten nach Angaben des Anbieters verschlüsselt speichert; die Datensicherungen sind zusätzlich wie beschrieben von uns verschlüsselt. Die Datenbank auf dem Datenträger des Servers wird nicht gesondert verschlüsselt; Passwörter sind dort nur als Hash, Geheimnisse der Zwei-Faktor-Anmeldung verschlüsselt gespeichert.

2. Integrität

Weitergabekontrolle: Alle Verbindungen zur Website, zur Anwendung, zur Schnittstelle (API), zu den Echtzeitverbindungen und zum Webplayer sind mit TLS verschlüsselt (Zertifikate von Let’s Encrypt); unverschlüsselte Aufrufe werden auf HTTPS umgeleitet. Die Apps erlauben in Release-Versionen keine unverschlüsselten Verbindungen. Schnittstelle und Webplayer weisen den Browser an, keine Referrer-Angaben weiterzugeben. Medien werden nur über signierte, kurzlebige Adressen übertragen.

Eingabekontrolle: Das Audit-Protokoll des Unternehmens hält fest, wer wann was veröffentlicht, zugewiesen oder geändert hat (mit IP-Adresse); einsehbar für Inhaber und Administratoren. Sicherheitsrelevante Aktionen stehen im Sicherheitsprotokoll des jeweiligen Kontos. Hochgeladene Dateien werden anhand ihres tatsächlichen Inhalts geprüft, nicht nur anhand der Dateiendung.

3. Verfügbarkeit und Belastbarkeit

• Hintergrunddienste (Verarbeitung von Videos, Echtzeitdienst, Website) werden bei einem Absturz automatisch neu gestartet; das Leeren des Objektspeichers nach dem Löschen eines Unternehmens wird bei Fehlern mit Wartezeiten wiederholt.
• Ratenbegrenzungen schützen Kopplung, Statistik-Übermittlung der Player und Kurzlinks vor Überlastung und Missbrauch; Größe von Uploads und Anfragen ist begrenzt.
• Bereits geladene Inhalte spielen die Player auch ohne Verbindung zum Server weiter.
• Datensicherung: Die Datenbank wird täglich automatisch gesichert, verschlüsselt (Ziffer 1) und in einen vom Server getrennten Objektspeicher bei DigitalOcean im Rechenzentrum Frankfurt am Main übertragen; die Vollständigkeit der Übertragung wird geprüft. Sicherungen werden 30 Tage aufbewahrt und danach automatisch gelöscht. Die Wiederherstellung auf einem neuen Server ist Schritt für Schritt dokumentiert und wurde am 13. Oktober 2026 erfolgreich getestet (Rückspielen in eine leere Datenbank, Abgleich der Datenbestände).
• Medien: Der Objektspeicher hält ältere Versionen gelöschter oder ersetzter Dateien 30 Tage vor, sodass versehentlich gelöschte Medien wiederhergestellt werden können; danach werden sie automatisch gelöscht.
• Überwachung der Datensicherung: Schlägt eine Sicherung fehl oder ist die letzte erfolgreiche Sicherung älter als 26 Stunden, werden die Administratoren der Plattform automatisch per E-Mail benachrichtigt.
• Betriebsüberwachung: Die Erreichbarkeit von Anwendung und Website wird laufend von mehreren Standorten aus geprüft; der Server übermittelt Messwerte (Auslastung, Arbeitsspeicher, Speicherplatz) an das Monitoring von DigitalOcean. Bei Ausfall, anhaltend hoher Auslastung oder bald ablaufendem TLS-Zertifikat werden wir automatisch per E-Mail benachrichtigt. Die Dienste der Anwendung werden nach einem Absturz automatisch neu gestartet.

4. Datenminimierung und Löschung

• Löschfristen sind zentral konfiguriert und werden täglich automatisch umgesetzt (unter anderem Rohdaten der Wiedergabestatistik 90 Tage, QR-Scans 13 Monate, Meldungen in der Anwendung 90 Tage, Push-Tokens 270 Tage ohne Nutzung, Sicherheitsprotokoll 12 Monate).
• Server-Protokolle werden täglich rotiert und nach 14 Tagen gelöscht; die Anwendung protokolliert im Betrieb nur Warnungen und Fehler und bewahrt Protokolldateien 14 Tage auf.
• Löschen des Unternehmens entfernt alle Daten in der Datenbank und alle Dateien im Objektspeicher; Gerätezugänge werden widerrufen. Aus Datensicherungen und älteren Dateiversionen verschwinden die Daten spätestens 30 Tage danach.

5. Verfahren zur regelmäßigen Überprüfung

Die datenschutzrelevanten Fristen und Sicherheitseinstellungen sind im Quellcode und in der Server-Konfiguration hinterlegt und werden mit Änderungen der Anwendung versioniert. Diese Anlage wird bei wesentlichen Änderungen angepasst. Diese Anlage und die beschriebenen Maßnahmen überprüfen wir jährlich; dazu gehören ein Wiederherstellungstest der Datensicherung und die Aktualisierung der eingesetzten Software. Alle Beschäftigten sind schriftlich auf die Vertraulichkeit verpflichtet.