Vertrag über die Auftragsverarbeitung (AVV) für SERVICE PRODUCER CMS
Fassung vom 29.10.2026
nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO)
zwischen dem Kunden, der SERVICE PRODUCER CMS nutzt (der „Verantwortliche“), und Bart Przybys, Service Producer, Prinzregentenstraße 15, 81677 München, Deutschland (der „Auftragsverarbeiter“).
Dieser Vertrag ist Bestandteil der AGB für SERVICE PRODUCER CMS (§ 11). Er gilt mit der Annahme der AGB als geschlossen und wird in der Plattform mit Fassung und Zeitpunkt dokumentiert. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.
§ 1 Gegenstand und Dauer
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform SERVICE PRODUCER CMS bereit. Dabei verarbeitet er personenbezogene Daten, die der Verantwortliche und die von ihm berechtigten Nutzer in ihren Projekten eingeben oder hochladen.
(2) Der Vertrag gilt, solange der Auftragsverarbeiter solche Daten für den Verantwortlichen verarbeitet, einschließlich der Fristen für Export und Löschung nach § 13 der AGB.
(3) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragsverarbeiter selbst verantwortlich ist, insbesondere Registrierung, Benutzerkonten, Sicherheitsprotokolle, Feedback und die Location-Datenbank. Dafür gilt die Datenschutzerklärung der Plattform.
§ 2 Art, Zweck, Daten und betroffene Personen
(1) Art und Zweck: Speichern, Anzeigen, Ordnen, Berechnen, Ausgeben als PDF und CSV, Übermitteln an berechtigte Projektbeteiligte, Versand von E-Mails, Sichern und Löschen – jeweils zur Planung und Durchführung der Produktionen des Verantwortlichen.
(2) Arten von Daten: Namen, Funktionen und Gewerke; Kontaktdaten; Einsatztage, Arbeits- und Drehzeiten; vereinbarte Gagen und Kalkulationsdaten; Reise- und Transportdaten (zum Beispiel Flug- oder Zugnummer, Ankunftszeit, Abhol- und Zielort); Angaben in Call Sheets, Dispositionen und Angeboten; Catering-Auswahlen und Wünsche an die Küche; hochgeladene Dateien.
(3) Besondere Kategorien (Art. 9 DSGVO), insbesondere Gesundheitsangaben, sind nicht vorgesehen. Trägt der Verantwortliche sie dennoch ein, stellt er sicher, dass dies zulässig ist.
(4) Betroffene Personen: Beschäftigte, Freelancer und Crew des Verantwortlichen und seiner Partner, Darsteller und Mitwirkende, Ansprechpartner von Kunden, Dienstleistern und Locations, Fahrer, Gäste und Teilnehmende von Veranstaltungen.
§ 3 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder deutschem Recht zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen dies vorher mit, soweit das Recht es nicht verbietet.
(2) Die Weisungen sind abschließend in den AGB, diesem Vertrag und in der Nutzung der Plattformfunktionen durch den Verantwortlichen festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform an hello@service-producer.com.
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit. Er darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
§ 4 Vertraulichkeit und Zugriff
(1) Personen, die für den Auftragsverarbeiter Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
(2) Der Auftragsverarbeiter greift auf Projektinhalte nur zu, soweit es zur Behebung technischer Störungen, auf Wunsch des Verantwortlichen, zur Bearbeitung einer Meldung nach dem Digital Services Act oder aufgrund gesetzlicher Pflicht erforderlich ist. Unterstützungszugriffe auf Projekte werden protokolliert.
§ 5 Sicherheit der Verarbeitung
(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
(2) Er darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.
§ 6 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher in Textform über beabsichtigte Änderungen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Vertrag über die Plattform zum Zeitpunkt der Änderung kündigen.
(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
§ 7 Unterstützung des Verantwortlichen
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen zu beantworten (Art. 12–22 DSGVO). Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich weiter.
(2) Er unterstützt den Verantwortlichen bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32–36 DSGVO), soweit ihm die nötigen Informationen vorliegen.
(3) Wird ihm eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, informiert er den Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
(4) Für Unterstützung, die über die Funktionen der Plattform hinausgeht und nicht auf einem Verstoß des Auftragsverarbeiters beruht, kann er eine angemessene Vergütung verlangen, wenn er dies vorher ankündigt.
§ 8 Löschung und Rückgabe
Nach Ende der Leistung stellt der Auftragsverarbeiter die Daten nach § 13 der AGB zum Export bereit und löscht sie danach, soweit keine Pflicht zur Speicherung nach Unionsrecht oder deutschem Recht besteht. Sicherungskopien werden im üblichen Sicherungszyklus überschrieben.
§ 9 Nachweise und Kontrollen
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.
(2) Er ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Vor-Ort-Prüfungen werden mit angemessener Frist, in der Regel vier Wochen, angekündigt, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Prüfungen beim Hosting-Anbieter richten sich nach dessen Nachweisen und Bedingungen.
§ 10 Haftung
Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gilt § 15 der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.
§ 11 Schlussbestimmungen
Änderungen bedürfen der Textform; für Änderungen durch den Auftragsverarbeiter gilt § 18 der AGB entsprechend. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
- Rechenzentrum und Server beim Hosting-Anbieter in Deutschland; physische Sicherheit nach dessen Maßnahmen.
- Übertragung über verschlüsselte Verbindungen (HTTPS).
- Persönliche Zugänge, Passwörter nur als sicherer Hash (bcrypt), Zwei-Faktor-Anmeldung verfügbar.
- Begrenzung von Anmelde-, Registrierungs-, Passwort- und Bestellversuchen (Rate-Limits).
- Rechte nach Rollen und Projekten; Projektbeteiligte sehen nur, was für sie freigegeben ist; geheime Kontakte ausgeblendet; Gagen nur mit Kalkulationsrecht.
- Zugangsschlüssel zu externen Diensten verschlüsselt gespeichert.
- Interne Dateien und die Anwendung sind vom Webzugriff gesperrt.
Integrität
- Protokoll sicherheitsrelevanter Vorgänge und Änderungen, IP-Adressen nur gehasht.
- Schutz von Formularen gegen Fremdzugriff (CSRF), restriktive Content-Security-Policy und weitere Sicherheits-Header.
- Updates nur als geprüfte Pakete mit Prüfsummen, mit Vorschau, Test und Rückgängig-Funktion.
Verfügbarkeit und Belastbarkeit
- Sicherung von Dateien und Datenbank vor jedem Update; Wiederherstellung über die Rückgängig-Funktion.
- Datensicherungen des Hosting-Anbieters nach dessen Bedingungen.
- Export der Projektdaten als PDF und CSV durch den Kunden.
Verfahren zur regelmäßigen Überprüfung
- Automatisierte Tests vor jedem Update, Prüfung neuer Funktionen auf Datenschutz und Sicherheit.
- Automatische Löschung nach festen Fristen (nicht bestätigte Registrierungen, Bestellseiten, Protokolle).
Anlage 2 – Unterauftragsverarbeiter
| Dienst | Zweck | Ort |
|---|---|---|
| ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf | Hosting, Datenbank, E-Mail-Versand | Deutschland |
Nur wenn die jeweilige Funktion aktiviert ist (übermittelt werden nur Sachangaben, keine Namen oder Kontaktdaten):
| Dienst | Zweck | Ort |
|---|---|---|
| OpenStreetMap Foundation (Nominatim) | Adresssuche | Vereinigtes Königreich (Angemessenheitsbeschluss) |
| OSRM-Routing (router.project-osrm.org) | Fahrzeiten | |
| Open-Meteo | Wetter am Drehtag | Schweiz (Angemessenheitsbeschluss) |
| AeroDataBox über RapidAPI | Flugzeiten | USA (Data Privacy Framework bzw. Standardvertragsklauseln) |
| Deutsche Bahn „Timetables“ | Zugzeiten | Deutschland |
Data Processing Agreement (DPA) for SERVICE PRODUCER CMS
Version of 29 October 2026
under Article 28(3) of the General Data Protection Regulation (GDPR)
between the customer using SERVICE PRODUCER CMS (the “Controller”) and Bart Przybys, Service Producer, Prinzregentenstraße 15, 81677 Munich, Germany (the “Processor”).
This agreement forms part of the GTC for SERVICE PRODUCER CMS (§ 11). It is deemed concluded upon acceptance of the GTC and is documented in the Platform with version and time. In the event of conflict, this agreement takes precedence over the GTC in matters of data protection. This English version is provided for convenience; the German version is legally binding.
§ 1 Subject matter and duration
(1) The Processor provides the Controller with the SERVICE PRODUCER CMS platform. In doing so, it processes personal data that the Controller and the users it authorises enter or upload in their projects.
(2) The agreement applies as long as the Processor processes such data for the Controller, including the periods for export and deletion under § 13 of the GTC.
(3) Processing for which the Processor is itself responsible is not covered by this agreement, in particular registration, user accounts, security logs, feedback and the location database. The Platform’s privacy policy applies to those.
§ 2 Nature, purpose, data and data subjects
(1) Nature and purpose: storing, displaying, organising, calculating, outputting as PDF and CSV, transmitting to authorised project participants, sending emails, backing up and deleting – in each case for planning and carrying out the Controller’s productions.
(2) Types of data: names, functions and trades; contact details; working days, working and shooting hours; agreed fees and calculation data; travel and transport data (for example flight or train number, arrival time, pick-up and destination); information in call sheets, dispatch plans and quotations; catering selections and requests to the kitchen; uploaded files.
(3) Special categories (Article 9 GDPR), in particular health information, are not intended. If the Controller nevertheless enters them, it ensures that this is permitted.
(4) Data subjects: employees, freelancers and crew of the Controller and its partners, cast and contributors, contact persons of clients, service providers and locations, drivers, guests and event participants.
§ 3 Instructions
(1) The Processor processes the data only on documented instructions from the Controller, unless it is required to do so by Union or German law; in that case it informs the Controller beforehand unless the law prohibits this.
(2) The instructions are conclusively set out in the GTC, this agreement and the Controller’s use of the Platform functions. The Controller gives further instructions in text form to hello@service-producer.com.
(3) If the Processor considers an instruction to be unlawful, it informs the Controller without delay. It may suspend execution until the instruction is confirmed or changed.
§ 4 Confidentiality and access
(1) Persons who have access to the data for the Processor are bound to confidentiality.
(2) The Processor accesses project content only where necessary to fix technical faults, at the Controller’s request, to handle a notice under the Digital Services Act or because of a legal obligation. Support access to projects is logged.
§ 5 Security of processing
(1) The Processor takes the technical and organisational measures under Article 32 GDPR described in Annex 1.
(2) It may develop the measures further as long as the level of protection does not decrease. It documents significant changes.
§ 6 Sub-processors
(1) The Controller approves the sub-processors listed in Annex 2.
(2) The Processor informs the Controller in text form at least four weeks in advance of intended changes. The Controller may object within this period for an important data protection reason. If the parties cannot agree, the Controller may terminate the contract for the Platform with effect from the change.
(3) The Processor contractually binds every sub-processor to the same data protection obligations. Transfers to third countries take place only under the conditions of Articles 44 et seq. GDPR.
§ 7 Assistance to the Controller
(1) The Processor assists the Controller with appropriate measures in responding to requests from data subjects (Articles 12–22 GDPR). If a data subject contacts the Processor directly, it forwards the request without delay.
(2) It assists the Controller with security of processing, notification of personal data breaches, data protection impact assessments and prior consultations (Articles 32–36 GDPR), to the extent the necessary information is available to it.
(3) If the Processor becomes aware of a personal data breach affecting the Controller’s data, it informs the Controller without delay, where possible within 48 hours, with the information under Article 33(3) GDPR to the extent available.
(4) For assistance that goes beyond the Platform’s functions and is not based on a breach by the Processor, it may charge reasonable remuneration if announced in advance.
§ 8 Deletion and return
After the end of the service, the Processor makes the data available for export under § 13 of the GTC and then deletes it unless Union or German law requires storage. Backup copies are overwritten in the usual backup cycle.
§ 9 Evidence and audits
(1) The Processor makes available to the Controller the information necessary to demonstrate compliance with the obligations under Article 28 GDPR.
(2) It allows audits by the Controller or an auditor appointed by it and bound to confidentiality. On-site audits are announced with reasonable notice, as a rule four weeks, take place during normal business hours and must not disrupt operations disproportionately. Audits at the hosting provider are governed by its evidence and terms.
§ 10 Liability
Article 82 GDPR applies to liability towards data subjects. Between the parties, § 15 of the GTC applies unless Article 82 GDPR mandatorily provides otherwise.
§ 11 Final provisions
Amendments require text form; § 18 of the GTC applies accordingly to amendments by the Processor. German law applies. If a provision is invalid, the remainder of the agreement remains valid.
Annex 1 – Technical and organisational measures (Article 32 GDPR)
Confidentiality
- Data centre and servers at the hosting provider in Germany; physical security according to its measures.
- Transmission via encrypted connections (HTTPS).
- Personal logins, passwords only as a secure hash (bcrypt), two-factor sign-in available.
- Limits on sign-in, registration, password and order attempts (rate limits).
- Permissions by role and project; project participants see only what has been released to them; private contacts hidden; fees only with calculation rights.
- Access keys to external services stored encrypted.
- Internal files and the application are blocked from web access.
Integrity
- Log of security-relevant events and changes, IP addresses only hashed.
- Protection of forms against cross-site requests (CSRF), restrictive Content Security Policy and further security headers.
- Updates only as verified packages with checksums, with preview, test and undo function.
Availability and resilience
- Backup of files and database before every update; restoration via the undo function.
- Backups by the hosting provider according to its terms.
- Export of project data as PDF and CSV by the customer.
Procedures for regular review
- Automated tests before every update, review of new functions for data protection and security.
- Automatic deletion after fixed periods (unconfirmed registrations, order pages, logs).
Annex 2 – Sub-processors
| Service | Purpose | Location |
|---|---|---|
| ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf | Hosting, database, email delivery | Germany |
Only if the respective function is activated (only factual information is transmitted, no names or contact details):
| Service | Purpose | Location |
|---|---|---|
| OpenStreetMap Foundation (Nominatim) | Address search | United Kingdom (adequacy decision) |
| OSRM routing (router.project-osrm.org) | Travel times | Project OSRM |
| Open-Meteo | Weather on the shooting day | Switzerland (adequacy decision) |
| AeroDataBox via RapidAPI | Flight times | USA (Data Privacy Framework or standard contractual clauses) |
| Deutsche Bahn “Timetables” | Train times | Germany |