Entwurf: Dieser Text wird vor dem offiziellen Start anwaltlich geprüft.
Vertrag zur Auftragsverarbeitung (AVV)
Stand: 03.11.2026
Zwischen dir als Kunde von Cinecase (Verantwortlicher) und der MDA – Magic Design Agents UG (haftungsbeschränkt) (Auftragsverarbeiter). Der Vertrag wird mit der Registrierung geschlossen und gilt für die Dauer der Nutzung.
1. Gegenstand, Art und Zweck
Speicherung, Umwandlung (Vorschaubilder) und Auslieferung von Dateien, die du hochlädst, an deine Kunden sowie die Erstellung von Nutzungsstatistiken zu deinen Galerien.
2. Daten und Betroffene
- Datenarten: Bild- und Tonaufnahmen, Namen, E-Mail-Adressen, Kommentare, Nutzungsdaten (Aufrufe, Downloads, gekürzte bzw. gehashte IP-Adressen).
- Betroffene: deine Kunden, in deinen Inhalten abgebildete Personen, Besucher deiner Galerien.
3. Weisungen
Wir verarbeiten die Daten nur auf deine dokumentierte Weisung. Die Weisung ergibt sich aus diesem Vertrag und deinen Einstellungen in der Plattform. Hält ein Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.
4. Vertraulichkeit
Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung (TLS), Speicherung bei zertifizierten Rechenzentren, Datenstandort EU für Dateien und Datenbank.
- Mandantentrennung in der Datenbank (Row Level Security), Zugriff nur für berechtigte Team-Mitglieder.
- Downloads nur über zeitlich begrenzte, kryptografisch signierte Links; Passwörter nur als Argon2-Hash.
- Begrenzung von Anmelde- und Passwortversuchen, Protokollierung administrativer Zugriffe.
- Tägliche Sicherung der Datenbank, Aufbewahrung höchstens 30 Tage.
6. Unterauftragsverarbeiter
Du stimmst dem Einsatz der folgenden Unterauftragsverarbeiter zu. Änderungen kündigen wir 30 Tage vorher an; du kannst widersprechen.
| Anbieter | Zweck | Ort | Grundlage |
|---|---|---|---|
| Supabase Inc., USA | Datenbank, Login | Frankfurt am Main (EU) | AVV, DPF/SCC |
| Cloudflare Inc., USA | Dateispeicher (R2), Auslieferung, Schutz | Daten in der EU gespeichert | AVV, DPF + SCC |
| BunnyWay d.o.o., Slowenien | Video-Streaming (Umwandlung und Auslieferung) | Speicherung in Deutschland | AVV |
| Vercel Inc., USA | Hosting der Anwendung | Ausführung in Frankfurt am Main | AVV, DPF |
| Resend Inc., USA | System-E-Mails (z. B. Download-Benachrichtigung) | Versand aus der EU | AVV, DPF |
7. Unterstützung und Meldungen
Wir unterstützen dich bei Anfragen Betroffener und bei deinen Pflichten nach Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten melden wir dir unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis.
8. Löschung und Rückgabe
Nach Vertragsende kannst du deine Daten 30 Tage lang herunterladen. Spätestens 60 Tage nach Vertragsende löschen wir sie; Sicherungskopien laufen nach höchstens 30 weiteren Tagen aus.
9. Nachweise und Kontrollen
Wir weisen die Einhaltung dieser Pflichten auf Anfrage durch geeignete Unterlagen nach. Kontrollen vor Ort sind nach Absprache möglich, soweit sie erforderlich sind.