nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und der Videolution GmbH (Thomas-Mann-Str. 49a, 53111 Bonn) als Auftragsverarbeiter — Bestandteil des Vertrags über Shotkeep (AGB). Stand 01.10.2026.
Die Vereinbarung kommt mit der Registrierung oder der ersten Bestellung zustande (Haken „AGB und Auftragsverarbeitung"). In der Verwaltung unter „Lizenz & Bestellung" liegt sie danach als PDF mit Annahmevermerk (wer, wann, welche Fassung) zum Ablegen beim Datenschutzbeauftragten. Wer sie zusätzlich unterschrieben haben möchte: ausdrucken, unterschreiben, an derselben Stelle hochladen — der Auftragsverarbeiter sieht das Dokument dann an der Firma.
Gegenstand ist die Bereitstellung der Software Shotkeep als Dienst über das Internet, wie in den AGB beschrieben. Die Vereinbarung gilt für die Dauer des Vertrags einschließlich der Karenzzeit nach § 5 AGB und endet mit der Löschung der Daten.
Speichern, Bereitstellen und Sichern der vom Kunden hochgeladenen Inhalte; Erzeugen von Vorschaubildern und Ansichtsfassungen; Transkription gesprochener Sprache und Erkennung von Objekten für die Suche — jeweils auf dem Server des Auftragsverarbeiters, ohne Cloud-Dienste; Zugänglichmachen der Inhalte für die vom Kunden bestimmten Prüfer und Empfänger über Links; Führen von Anmerkungen, Freigaben und Protokollen; Versand der E-Mails, die der Kunde in der Software auslöst; Verwaltung der Nutzerkonten. Eine Erkennung von Personen oder Gesichtern findet nicht statt.
Video-, Audio- und Bilddateien mit Aufnahmen von Personen; darin enthaltene Metadaten (Aufnahmezeit, Aufnahmeort, Gerät); Transkripte und Untertitel; Namen, E-Mail-Adressen und Rollen der Nutzer des Kunden; Namen und E-Mail-Adressen von Prüfern und Empfängern; Anmerkungen, Freigaben und Protokolle; technische Nutzungsdaten (Zeitpunkte, Aufrufe von Links).
Mitarbeiter und Beauftragte des Kunden; Kunden, Auftraggeber und Geschäftspartner des Kunden, die als Prüfer oder Empfänger eingeladen werden; Personen, die in den Aufnahmen zu sehen oder zu hören sind.
(1) Weisung. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisung ist in erster Linie die Nutzung der Funktionen der Software durch den Kunden und seine Nutzer; darüber hinausgehende Weisungen erteilt der Kunde in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Kunden unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
(2) Vertraulichkeit. Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
(3) Sicherheit. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und entwickelt sie mit dem Stand der Technik fort; das Schutzniveau darf dabei nicht sinken.
(4) Unterstützung. Der Auftragsverarbeiter unterstützt den Kunden mit den Mitteln der Software bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) und — soweit nötig — bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde. Anfragen betroffener Personen, die ihn direkt erreichen, leitet er unverzüglich an den Kunden weiter.
(5) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Kunden unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
(6) Löschung und Rückgabe. Während der Laufzeit und der Karenzzeit kann der Kunde seine Daten jederzeit über die Software herunterladen. Nach dem Ende des Vertrags löscht der Auftragsverarbeiter alle Daten des Kunden auf dessen Weisung, sonst nach § 5 Abs. 4 AGB — einschließlich der Sicherungskopien mit deren turnusmäßigem Überschreiben. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
(7) Nachweise. Der Auftragsverarbeiter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind, und ermöglicht Überprüfungen — zunächst durch Auskünfte und Unterlagen, bei begründetem Anlass auch vor Ort nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten. Kosten einer Vor-Ort-Prüfung trägt der Kunde, sofern sie nicht einen Verstoß des Auftragsverarbeiters aufdeckt.
(1) Der Kunde genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter hat mit jedem eine Vereinbarung geschlossen, die ihm die Pflichten dieser Vereinbarung auferlegt.
(2) Will der Auftragsverarbeiter einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, teilt er das dem Kunden mindestens vier Wochen vorher per E-Mail und in der Verwaltung der Software mit. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf der Kunde den Vertrag zum Zeitpunkt der Änderung außerordentlich kündigen.
Die Verarbeitung findet auf Servern in Deutschland statt. Eine Übermittlung in Länder außerhalb der EU oder des EWR erfolgt nur, soweit in Anlage 1 genannt, und nur auf Grundlage der EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses der Europäischen Kommission.
Weisungsbefugt für den Kunden sind seine Firmen-Admins in der Software. Für den Auftragsverarbeiter: info@videolution.de.
(1) Für die Haftung gilt Art. 82 DSGVO; im Verhältnis der Parteien zueinander gilt § 11 AGB.
(2) Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
Zweck: Betrieb des Servers, auf dem die Software und alle Daten liegen, samt Sicherungen.
Daten: alle Daten der Software (verschlüsselt übertragen; Hetzner betreibt die Maschine, nicht die Inhalte).
Ort: Rechenzentrum Falkenstein (Deutschland).
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland
Zweck: Online-Zahlung (Kreditkarte, PayPal, SEPA-Lastschrift) und Verwaltung des Abos.
Daten: Name, E-Mail-Adresse und Rechnungsanschrift des Kunden, Betrag, Zahlungsdaten (nur bei Stripe).
Ort: EU; Konzernmutter Stripe, Inc. (USA) auf Grundlage der EU-Standardvertragsklauseln.
Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Deutschland
Zweck: Versand der E-Mails der Software (Einladungen, Rechnungen, Hinweise, Erinnerungen) über den Mailserver des Anbieters; Verwaltung der Domain.
Daten: E-Mail-Adresse und Name des Empfängers, Betreff und Inhalt der Nachricht.
Ort: Deutschland.
komoot GmbH (Dienst Photon), Potsdam, Deutschland
Zweck: Adressvorschlag beim Eintragen der Rechnungsanschrift.
Daten: nur das getippte Adressfragment — ohne Namen, ohne IP-Adresse (die Anfrage stellt unser Server).
Ort: Deutschland.
Zutritt: Der Server steht in einem nach ISO 27001 zertifizierten Rechenzentrum der Hetzner Online GmbH in Deutschland; Zutritt hat nur deren Personal.
Zugang: Verwaltung des Servers ausschließlich über SSH mit Schlüssel, Passwort-Anmeldung abgeschaltet, Firewall vor allen nicht benötigten Ports. Passwörter der Nutzer werden nur als Hash gespeichert (scrypt); Sitzungen laufen über ein signiertes Cookie. Die Verwaltung des Betreibers ist vom Zugang der Kunden getrennt.
Zugriff: Rollen je Nutzer (Betreiber, Firmen-Admin, Mitglied, Betrachter). Jede Datei gehört genau einer Firma; die Firmengrenze wird bei jeder Anfrage im Code geprüft. Der Betreiber sieht Inhalte einer Firma nur, wenn diese ihn ausdrücklich, befristet und protokolliert dazu einlädt (Service-Zugang). Links für Prüfer und Empfänger tragen ein zufälliges Token, sind auf Wunsch befristet und lassen sich jederzeit zurückziehen.
Übertragung: Alle Verbindungen — Browser, Apps, Zusatzprogramme, Server zu Unterauftragsverarbeitern — sind mit TLS verschlüsselt (Zertifikate von Let's Encrypt). Unverschlüsselte Aufrufe werden umgeleitet.
Eingabe und Nachvollziehbarkeit: Anmerkungen, Freigaben und Zustimmungen werden mit Urheber und Zeitpunkt festgehalten; Freigaben enden in einem Protokoll. Der Verlauf der Versionen einer Datei bleibt erhalten, bis der Kunde ihn löscht.
Verfügbarkeit und Wiederherstellung: Tägliche Sicherung der Datenbank mit 14 Ständen, zusätzlich außer Haus; Sicherung der Mediendateien auf getrenntem Speicher; Wiederherstellung wird geprüft. Der Dienst startet nach einer Störung selbsttätig neu.
Trennung: Mandantentrennung je Firma auf Datensatz- und Ordnerebene. Entwicklung und Prüfläufe arbeiten nie mit den echten Daten, sondern mit eigenen Testdaten gegen eine Kopie.
Löschung: Papierkorb mit Wiederherstellung; endgültiges Löschen ganzer Bestände nur mit zusätzlicher Sicherheits-PIN; beim Löschen werden abhängige Links stillgelegt und gerechnete Kopien entfernt.
Datensparsamkeit: Keine Analyse-Dienste, keine Werbung, keine Schriften oder Skripte von Dritten; Besucherstatistik ohne IP-Adressen; Adressvorschläge ohne Personenbezug.
Organisation: Zugriff auf den Server hat allein die Geschäftsführung des Auftragsverarbeiters. Ein Verzeichnis der Verarbeitungstätigkeiten wird geführt; Unterauftragsverarbeiter sind vertraglich gebunden; diese Maßnahmen werden mindestens jährlich überprüft.