Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten der Zuschauer des Kanals, die ich für den Streamer beim Betrieb von Moonbyte (Chat-Bot, Dashboard, Overlays, Streamer-Seite) vornehme.

(2) Der Vertrag gilt, solange der Streamer Moonbyte für seinen Kanal nutzt, und endet mit dem Nutzungsvertrag. Pflichten, die über das Vertragsende hinaus wirken (§ 9), bleiben bestehen.

(3) Nicht Gegenstand dieses Vertrags sind die Daten, die ich als eigene Verantwortliche verarbeite, etwa Konten von Streamern und Team-Mitgliedern, Server-Logfiles, Zustimmungen und Abrechnung. Dafür gilt die Datenschutzerklärung.

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

(1) Ich erhebe, speichere, verknüpfe, zeige an und lösche Daten, soweit das für die Funktionen nötig ist, die der Streamer für seinen Kanal einrichtet, etwa Commands, Punkte, Ranglisten, Gewinnspiele, Song-Requests, Statistiken und Overlays.

(2) Datenkategorien, je nach genutzten Funktionen:

• Twitch-ID, Benutzername, Anzeigename und Profilbild der Zuschauer, Status als Abonnent, VIP oder Moderator
• Chatnachrichten mit Zeitpunkt, gespeichert für 90 Tage und danach automatisch gelöscht
• Watchtime, Anzahl der Nachrichten, Follow-Datum, Abos, verschenkte Abos, Bits, eingelöste Kanalpunkte, Raids
• Punktestände, Zählerstände und Nutzung von Commands
• Teilnahmen und Gewinne bei Gewinnspielen
• Song-Requests mit Titel, Interpret und Twitch-Benutzername
• verknüpfte Riot-Namen mit Tag, Region und Spieler-ID (Valorant)
• Name, Nachricht und Betrag von Spenden über Ko-fi und betterplace.org

(3) Betroffen sind Zuschauer und Chat-Teilnehmer des Kanals sowie Personen, die über die angebundenen Dienste an den Kanal spenden.

§ 3 Weisungen

(1) Ich verarbeite die Daten nur auf dokumentierte Weisung des Streamers, außer ich bin nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teile ich dem Streamer diese Pflicht vor der Verarbeitung mit, sofern das Recht das nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen, die der Streamer und sein Team im Dashboard vornehmen. Weitere Weisungen erteilt der Streamer per E-Mail.

(3) Halte ich eine Weisung für rechtswidrig, weise ich den Streamer unverzüglich darauf hin und kann die Ausführung aussetzen, bis er sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Ich verarbeite die Daten selbst und setze dafür keine weiteren Personen ein. Sollte das künftig der Fall sein, verpflichte ich diese Personen vorher zur Vertraulichkeit, soweit sie keiner gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

(1) Ich treffe die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Ich darf sie durch gleichwertige oder bessere Maßnahmen ersetzen.

(2) Eine Verletzung des Schutzes der Daten des Streamers melde ich ihm unverzüglich, nachdem sie mir bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie mir vorliegen.

§ 6 Unterauftragsverarbeiter

(1) Der Streamer genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Weitere oder andere Unterauftragsverarbeiter setze ich nur nach vorheriger Information des Streamers ein. Er kann der Änderung innerhalb von vier Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann ich den Widerspruch nicht berücksichtigen, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(2) Mit jedem Unterauftragsverarbeiter vereinbare ich Pflichten, die diesem Vertrag entsprechen.

(3) Twitch, Spotify, Ko-fi, betterplace.org und die Valorant-Schnittstelle von henrikdev.xyz sind keine Unterauftragsverarbeiter. Es sind Plattformen und Dienste, die der Streamer selbst nutzt und mit seinem Kanal verbindet. Daten fließen an sie oder von ihnen nur, soweit der Streamer die jeweilige Verbindung einrichtet. Für die Verarbeitung durch diese Anbieter gelten deren Bedingungen.

§ 7 Unterstützung des Streamers

(1) Ich unterstütze den Streamer mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen nach Art. 12 bis 22 DSGVO zu beantworten, etwa durch Auskunft über, Berichtigung oder Löschung der Daten einzelner Zuschauer. Wenden sich Betroffene direkt an mich, leite ich die Anfrage an den Streamer weiter, soweit sie seinen Kanal betrifft.

(2) Ich unterstütze ihn außerdem bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit das die Art der Verarbeitung und die mir vorliegenden Informationen zulassen.

§ 8 Nachweise und Kontrollen

(1) Ich stelle dem Streamer auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind.

(2) Der Streamer oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen durchführen, in der Regel durch Auskünfte und Unterlagen, bei begründetem Anlass auch vor Ort nach rechtzeitiger Anmeldung und ohne Störung des Betriebs. Die Rechenzentren des Unterauftragsverarbeiters sind davon ausgenommen, dafür gelten dessen Nachweise.

§ 9 Löschung nach Vertragsende

Nach Ende des Vertrags lösche ich die Daten des Kanals, sofern keine gesetzliche Pflicht zur Speicherung besteht. Auf Wunsch, der vor Vertragsende per E-Mail mitzuteilen ist, stelle ich dem Streamer vorher eine Kopie der Daten in einem gängigen Format zur Verfügung.

§ 10 Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Nutzungsbedingungen.

(2) Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen in Fragen des Datenschutzes vor.

(3) Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Ich protokolliere die Zustimmung mit Zeitpunkt und Fassung.

Anlage 1: Technische und organisatorische Maßnahmen

Ort und Zugang

• Betrieb auf einem Server der Hetzner Online GmbH in einem Rechenzentrum in Deutschland
• Administrativen Zugang zum Server und zur Datenbank hat nur die Anbieterin
• Die Datenbank ist nur auf dem Server selbst erreichbar, nicht aus dem Internet
• Zugangsdaten und Schlüssel liegen in der Server-Konfiguration, nicht im Programmcode

Übertragung

• Verbindungen zu Moonbyte sind mit TLS verschlüsselt
• Sitzungs-Cookies sind für Skripte im Browser nicht lesbar

Zugriff und Trennung

• Anmeldung nur über Twitch, Sitzungen laufen nach sieben Tagen ab
• Rollen im Team (Moderator, Editor, Vollzugriff, Besitzer) mit festgelegten Rechten, serverseitig geprüft
• Alle Daten sind einem Kanal zugeordnet, Abfragen sind auf den jeweiligen Kanal beschränkt
• Begrenzung der Aufrufe einzelner Schnittstellen zum Schutz vor Missbrauch

Löschung

• Chatnachrichten werden nach 90 Tagen automatisch gelöscht
• Daten einzelner Zuschauer lösche ich auf Anfrage

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Bereitstellung des Servers (Hosting) in Deutschland