Auftragsverarbeitungsvertrag — World-Meeting

AUFTRAGSVERARBEITUNGSVERTRAG — WORLD-MEETING

B2B-Anhang
Version: 1.0
Datum des Inkrafttretens: 27. Mai 2026

1. Zweck

Dieser Auftragsverarbeitungsvertrag, oder « DPA », legt die Bedingungen fest, unter denen World-Meeting personenbezogene Daten im Auftrag eines professionellen Kunden im Rahmen des Dienstes verarbeitet.

Er ergänzt die Allgemeinen Nutzungsbedingungen, die Allgemeinen Verkaufsbedingungen, die Datenschutzerklärung, die Erstattungs- und Stornierungsrichtlinie und die Rechtlichen Hinweise.

Der DPA gilt, wenn der Kunde als Verantwortlicher handelt und World-Meeting als Auftragsverarbeiter im Sinne der DSGVO oder eines gleichwertigen anwendbaren Datenschutzrechts handelt.

Der DPA ist für professionelle Kunden bestimmt und muss nicht notwendigerweise im Haupt-Footer der Website angezeigt werden, sofern er den betroffenen professionellen Kunden bereitgestellt wird, wenn dies erforderlich ist.

2. Parteien

Der « Kunde » bezeichnet die professionelle Einheit, Organisation, Vereinigung, Institution, Einrichtung, Schulungsorganisation, das Unternehmen oder die in einem beruflichen Rahmen handelnde Person, die World-Meeting bestellt oder nutzt, um Rooms mit eigenen Teilnehmern zu organisieren.

« World-Meeting » bezeichnet den Betreiber des Dienstes.

Der Kunde und World-Meeting werden gemeinsam als die « Parteien » bezeichnet.

3. Rollen der Parteien

Für Verarbeitungen, die zur Bereitstellung des Rooms gemäß den vom Kunden gewählten Einstellungen erfolgen, insbesondere Zulassung der Teilnehmer, Audio-/Videoübertragung, Übersetzung, Untertitel, Nachrichten und Betrieb des Rooms, handelt World-Meeting als Auftragsverarbeiter des Kunden, wenn der Kunde die wesentlichen Zwecke und Mittel der Verarbeitung bestimmt.

Für Verarbeitungen, die World-Meeting für eigene Zwecke vornimmt, insbesondere Zahlung, Rechnungsstellung, Steuern, Betrugsprävention, Sicherheit der Website, Streitbeilegung, Stripe-Beweise, Verbesserung des Dienstes, aggregierte Statistiken, rechtliche Compliance und Rechtsverteidigung, handelt World-Meeting als unabhängiger Verantwortlicher.

Dieser DPA gilt nur für Verarbeitungen, die World-Meeting als Auftragsverarbeiter durchführt.

4. Dokumentierte Weisungen

Der Kunde weist World-Meeting an, die personenbezogenen Daten zu verarbeiten, die zur Bereitstellung des Dienstes erforderlich sind, in Übereinstimmung mit:

• den CGU;
• den CGV;
• der Bestellung;
• den gewählten Room-Einstellungen;
• der Dokumentation des Dienstes;
• diesem DPA;
• den angemessenen, rechtmäßigen schriftlichen Weisungen des Kunden.

World-Meeting verarbeitet personenbezogene Daten als Auftragsverarbeiter nur auf dokumentierte Weisung des Kunden, es sei denn, anwendbares Recht schreibt eine Verarbeitung vor. In diesem Fall informiert World-Meeting den Kunden vor der Verarbeitung über diese Pflicht, sofern das Recht dies nicht verbietet.

World-Meeting kann eine Weisung ablehnen, die rechtswidrig, unverhältnismäßig, technisch unmöglich, der Sicherheit des Dienstes entgegenstehend, mit den CGU oder CGV unvereinbar oder geeignet ist, die Rechte anderer Nutzer zu verletzen.

5. Beschreibung der Verarbeitungen

5.1 Gegenstand

Gegenstand der Verarbeitung ist die Bereitstellung von Online-Meeting-Rooms mit Audio/Video, Zulassung durch Organizer, automatisierten Übersetzungsfunktionen, Untertiteln, übersetzter Stimme, Nachrichten, Bildschirmfreigabe, Sprechsteuerung und damit verbundenen Funktionen.

5.2 Dauer

Die Verarbeitung dauert während der Nutzungsdauer des Dienstes durch den Kunden und danach während der Aufbewahrungsfristen, die für Sicherheit, Support, operative Aufbewahrung, Beweise, gesetzliche Pflichten, Streitigkeiten und Löschung oder Anonymisierung erforderlich sind.

5.3 Art der Verarbeitung

Die Verarbeitung kann umfassen:

• Erhebung;
• Aufzeichnung;
• Strukturierung;
• Speicherung;
• Übermittlung;
• Anzeige;
• Synchronisierung;
• technische Änderung;
• automatisierte Übersetzung;
• vorübergehende oder finalisierte Transkription;
• vorübergehendes Hosting;
• begrenzte Einsichtnahme;
• Protokollierung;
• Sicherung;
• Löschung;
• Anonymisierung;
• begrenzte Beweiserhebung, soweit erforderlich.

5.4 Zwecke

Die Zwecke sind:

• dem Kunden die Erstellung und Verwaltung von Rooms zu ermöglichen;
• Teilnehmern zu ermöglichen, eine Zulassung zu beantragen;
• dem Organizer zu ermöglichen, Zugang zu genehmigen oder abzulehnen;
• Audio, Video, Bildschirmfreigabe und Nachrichten bereitzustellen;
• angeforderte Übersetzungen, Untertitel und übersetzte Stimme bereitzustellen;
• die Sprechsteuerung zu verwalten;
• Sicherheit und Verfügbarkeit aufrechtzuerhalten;
• Support bereitzustellen;
• Vorfälle zu bearbeiten;
• vertragliche und gesetzliche Pflichten zu erfüllen;
• Beweise im Zusammenhang mit dem Dienst zu verwalten.

5.5 Datenkategorien

Die Datenkategorien können umfassen:

• sichtbare Namen;
• E-Mail-Adressen, sofern bereitgestellt;
• technische Kennungen von Room, Teilnehmer, Organizer oder Bestellung;
• Spracheinstellungen;
• Zulassungsstatus;
• Textnachrichten;
• in Echtzeit übertragene Audio-/Videodaten;
• Bildschirmfreigabedaten;
• Untertitel und Übersetzungen;
• vorübergehende Übersetzungszusammenfassungen;
• Ereignisse der Sprechsteuerung;
• Präsenz- und Heartbeat-Ereignisse;
• technische Daten zu Browser, Gerät, Netzwerk und Fehlern;
• Meldungs- oder Supportdaten;
• Sicherheits- und Zugriffsmetadaten.

5.6 Kategorien betroffener Personen

Betroffene Personen können sein:

• Organizer;
• Teilnehmer;
• Gäste;
• Arbeitnehmer, Auftragnehmer, Kunden, Schüler, Redner oder Partner des Kunden;
• Personen, die in einem Room erscheinen oder gehört werden;
• Personen, die in einer Nachricht, Bildschirmfreigabe, einem Untertitel oder einer Übersetzung erwähnt werden;
• Vertreter des Kunden.

5.7 Sensible Daten

Der Dienst ist nicht für die Verarbeitung sensibler Daten konzipiert.

Der Kunde verpflichtet sich, keine sensiblen, regulierten oder hochvertraulichen Daten über World-Meeting zu übermitteln oder übermitteln zu lassen, es sei denn, es besteht eine geeignete Rechtsgrundlage, Information der betroffenen Personen, zusätzliche Maßnahmen und, soweit erforderlich, eine besondere schriftliche Vereinbarung.

Wenn sensible Daten zufällig in einem Room durch den Kunden oder seine Teilnehmer geteilt werden, bleibt der Kunde für die Rechtmäßigkeit dieser Verarbeitung verantwortlich.

6. Pflichten von World-Meeting

World-Meeting verpflichtet sich für Verarbeitungen als Auftragsverarbeiter:

• Daten nur auf dokumentierte Weisung zu verarbeiten;
• sicherzustellen, dass zur Verarbeitung befugte Personen einer Vertraulichkeitspflicht unterliegen;
• geeignete Sicherheitsmaßnahmen umzusetzen;
• den Kunden angemessen bei der Beantwortung von Anträgen auf Ausübung von Betroffenenrechten zu unterstützen;
• den Kunden angemessen bei der Erfüllung seiner Pflichten in Bezug auf Sicherheit, Verletzungen personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorherige Konsultation zu unterstützen, soweit anwendbar;
• den Kunden zu informieren, wenn eine Weisung gegen anwendbare Vorschriften zu verstoßen scheint;
• keinen weiteren Unterauftragsverarbeiter einzusetzen, außer unter den Bedingungen dieses DPA;
• Daten am Ende der Bereitstellung des Dienstes zu löschen, zu anonymisieren oder zurückzugeben, gemäß den verfügbaren Funktionen und vorbehaltlich gesetzlicher Pflichten, Streitigkeiten, Beweise und Sicherungen;
• angemessene Informationen bereitzustellen, die zum Nachweis der Einhaltung dieses DPA erforderlich sind.

7. Pflichten des Kunden

Der Kunde verpflichtet sich:

• Daten rechtmäßig, nach Treu und Glauben und transparent zu verarbeiten;
• Teilnehmer und betroffene Personen zu informieren;
• über eine geeignete Rechtsgrundlage zu verfügen;
• erforderliche Einwilligungen einzuholen, insbesondere für bestimmte Audio-/Videonutzungen, Aufzeichnungen, Übersetzung, Untertitel, sensible Daten oder spezifische berufliche Kontexte;
• World-Meeting nicht für rechtswidrige Verarbeitungen zu nutzen;
• keine übermäßigen Daten zu übermitteln;
• Rooms korrekt zu konfigurieren;
• Zulassung und Teilnehmer zu verwalten;
• Anträge auf Rechte zu beantworten, wenn der Kunde Verantwortlicher ist;
• seine eigenen Verarbeitungen zu dokumentieren;
• eine Datenschutz-Folgenabschätzung durchzuführen, wenn seine Nutzung dies erfordert;
• die in den Ländern der Teilnehmer anwendbaren Gesetze einzuhalten;
• zu prüfen, ob der Dienst seinen Anforderungen an Sicherheit, Vertraulichkeit und Compliance entspricht.

8. Unterauftragsverarbeiter

Der Kunde ermächtigt World-Meeting, Unterauftragsverarbeiter einzusetzen, die für die Bereitstellung des Dienstes erforderlich sind.

Diese Unterauftragsverarbeiter können insbesondere Anbieter von Hosting, Infrastruktur, Zahlung, WebRTC, automatisierter Übersetzung, transaktionaler E-Mail, Sicherheit, CDN, Monitoring, technischen Analytics, Support, Buchhaltung oder Streitbeilegung umfassen.

Die Hauptkategorien von Anbietern und Unterauftragsverarbeitern sind in der Datenschutzerklärung beschrieben, einschließlich ihrer Rollen, der betroffenen Datenkategorien, des Hauptstandorts, soweit bekannt, und der Übertragungsgarantien, soweit anwendbar.

World-Meeting legt seinen Unterauftragsverarbeitern für die betreffenden Verarbeitungen Datenschutzpflichten auf, die den Pflichten dieses DPA im Wesentlichen gleichwertig sind.

World-Meeting bleibt gegenüber dem Kunden im gesetzlich erforderlichen Umfang für die Erfüllung der Datenschutzpflichten seiner Unterauftragsverarbeiter verantwortlich.

World-Meeting kann einen Unterauftragsverarbeiter hinzufügen oder ersetzen. Wenn die Änderung wesentlich ist, kann World-Meeting den Kunden durch Aktualisierung der Datenschutzerklärung oder Anbieterliste, durch Hinweis, E-Mail oder auf andere angemessene Weise informieren. Der Kunde kann aus berechtigten Datenschutzgründen innerhalb einer angemessenen Frist widersprechen. Wenn die Parteien keine angemessene Lösung finden, kann der Kunde die betroffenen Funktionen nicht weiter nutzen oder die betreffende Bestellung kündigen, soweit dies gesetzlich oder vertraglich zulässig ist.

9. Internationale Übermittlungen

World-Meeting und seine Unterauftragsverarbeiter können Daten in der Europäischen Union, den Vereinigten Staaten oder anderen Ländern verarbeiten.

Wenn personenbezogene Daten aus der Europäischen Union oder dem Europäischen Wirtschaftsraum in ein Land übermittelt werden, das nicht von einem Angemessenheitsbeschluss profitiert, setzt World-Meeting, sofern erforderlich, einen geeigneten Übermittlungsmechanismus um, insbesondere:

• Standardvertragsklauseln;
• Data Privacy Framework, sofern verfügbar und anwendbar;
• Angemessenheitsbeschluss;
• zusätzliche vertragliche und technische Maßnahmen;
• Verschlüsselung, Pseudonymisierung oder Minimierung, soweit angemessen.

Der Kunde ermächtigt diese Übermittlungen, soweit sie zur Bereitstellung des Dienstes erforderlich sind.

10. Sicherheit

World-Meeting setzt dem Risiko angemessene technische und organisatorische Maßnahmen um, insbesondere je nach Konfiguration:

• TLS-Verschlüsselung bei der Übertragung;
• Zugriffskontrolle auf Systeme;
• Admin-Authentifizierung;
• gehashte Speicherung von Tokens, Organizer-Geheimnissen und Room-Zugangstokens, soweit möglich;
• OpenAI-Geheimnisse und API-Schlüssel bleiben serverseitig;
• kurzlebige temporäre Client-Geheimnisse;
• Trennung von Umgebungen, sofern anwendbar;
• Ratenbegrenzung;
• Schutz vor Missbrauch;
• Protokollierung kritischer Ereignisse;
• Minimierung von Beweisdaten;
• Maskierung oder Verschlüsselung bestimmter Zugriffsdaten;
• Löschung von Geheimnissen in Exporten;
• Aufbewahrungsrichtlinien;
• Backups und Wiederherstellung je nach Infrastruktur;
• Monitoring und Alarmierung;
• eingeschränkter Zugang für befugte Personen;
• Vertraulichkeitsklauseln mit befugten Personen oder betroffenen Anbietern.

Der Kunde erkennt an, dass Sicherheit auch von seinen eigenen Handlungen abhängt, insbesondere Aufbewahrung der Organizer-Codes, Verwaltung der Einladungen, Genehmigung der Teilnehmer, Sicherheit von Geräten, Netzwerken, Browsern und E-Mail-Konten.

11. Verletzungen personenbezogener Daten

World-Meeting informiert den Kunden unverzüglich, nachdem es von einer Verletzung personenbezogener Daten Kenntnis erlangt hat, die Daten betrifft, die als Auftragsverarbeiter verarbeitet werden, wenn eine solche Benachrichtigung nach anwendbarem Recht erforderlich ist.

Die Benachrichtigung kann, soweit angemessen verfügbar, enthalten:

• Art der Verletzung;
• Kategorien der betroffenen Daten;
• Kategorien der betroffenen Personen;
• wahrscheinliche Folgen;
• ergriffene oder vorgeschlagene Maßnahmen;
• Informationen, die dem Kunden die Erfüllung seiner eigenen Pflichten ermöglichen.

Der Kunde ist verantwortlich für die Benachrichtigung der Aufsichtsbehörde oder der betroffenen Personen, wenn diese Pflicht ihm als Verantwortlichem obliegt.

12. Unterstützung bei Betroffenenrechten

Wenn World-Meeting einen Antrag auf Ausübung von Rechten in Bezug auf im Auftrag des Kunden verarbeitete Daten erhält, kann World-Meeting:

• die Person an den Kunden verweisen;
• die Anfrage an den Kunden weiterleiten;
• Weisungen anfordern;
• direkt antworten, wenn World-Meeting auch als Verantwortlicher handelt oder wenn das Recht dies verlangt.

World-Meeting unterstützt den Kunden angemessen, soweit technisch möglich und verhältnismäßig, bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit.

Angemessene Gebühren können berechnet werden, wenn die Unterstützung den Standardsupport übersteigt, sofern keine entgegenstehende gesetzliche Pflicht besteht.

13. Compliance-Unterstützung

World-Meeting stellt dem Kunden angemessene Unterstützung bereit für:

• Sicherheit der Verarbeitung;
• Datenschutz-Folgenabschätzungen;
• vorherige Konsultation einer Aufsichtsbehörde;
• Anfragen nach Informationen zu Unterauftragsverarbeitern;
• verfügbare Informationen über technische und organisatorische Maßnahmen.

Diese Unterstützung berücksichtigt die Art des Dienstes, die verfügbaren Informationen, die Rolle von World-Meeting und die Risiken der Verarbeitung.

14. Löschung und Rückgabe von Daten

Am Ende der Bereitstellung des Dienstes löscht, anonymisiert oder gibt World-Meeting personenbezogene Daten zurück, die im Auftrag des Kunden verarbeitet wurden, je nach verfügbaren Funktionen, Art der Daten und anwendbaren Aufbewahrungsfristen.

Bestimmte Daten können aufbewahrt werden, wenn dies erforderlich ist für:

• gesetzliche Pflichten;
• Buchhaltung und Steuern;
• Sicherheit;
• Betrugsprävention;
• Streitigkeiten;
• Zahlungsstreitigkeiten;
• Nachweis der Bereitstellung des Dienstes;
• temporäre Backups;
• Schutz der Rechte von World-Meeting oder Dritten.

Nach Ende des Dienstes aufbewahrte Daten werden beschränkt, gesichert und nur für die Zwecke verwendet, die ihre Aufbewahrung rechtfertigen.

15. Audit

World-Meeting stellt dem Kunden angemessene Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses DPA erforderlich sind, insbesondere Dokumentation, Zusammenfassung von Sicherheitsmaßnahmen, Bescheinigungen, Antworten auf Fragebögen oder Informationen über Unterauftragsverarbeiter, sofern verfügbar.

Vor-Ort-Audits oder intrusive technische Tests sind nur mit vorheriger schriftlicher Vereinbarung, angemessenem Umfang, Vertraulichkeit, ausreichender Vorankündigung, ohne Störung des Dienstes und beschränkt auf das strikt Erforderliche möglich.

Der Kunde darf nicht auf Daten anderer Kunden, Geheimnisse, sensible Sicherheitsinformationen, Quellcode, geteilte Infrastruktur oder nicht erforderliche vertrauliche Informationen zugreifen.

Die Kosten eines spezifischen Audits können dem Kunden auferlegt werden, sofern keine zwingende gesetzliche Pflicht entgegensteht.

16. Vertraulichkeit

World-Meeting stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, einer angemessenen vertraglichen, gesetzlichen oder beruflichen Vertraulichkeitspflicht unterliegen.

Der Kunde verpflichtet sich ebenfalls, vertrauliche Informationen von World-Meeting zu schützen, insbesondere Architektur, Sicherheitsmaßnahmen, Geheimnisse, technische Informationen, Preise, Beweise, Berichte und nicht öffentliche Dokumentation.

17. Kalifornische Daten und andere US-Datenschutzgesetze

Wenn der Kunde einem anwendbaren US-Datenschutzgesetz unterliegt, insbesondere einem Datenschutzgesetz eines Bundesstaats, handelt World-Meeting je nach Kontext als service provider, processor oder gleichwertig für Daten, die im Auftrag des Kunden verarbeitet werden.

In diesem Rahmen verpflichtet sich World-Meeting, soweit anwendbar:

• personenbezogene Daten, die im Auftrag des Kunden verarbeitet werden, nicht zu verkaufen;
• diese Daten nicht zu Zwecken verhaltensbezogener Werbung über verschiedene Kontexte hinweg weiterzugeben, es sei denn, der Kunde erteilt eine rechtmäßige Weisung;
• diese Daten nicht für andere Zwecke als die Bereitstellung des Dienstes, Sicherheit, Compliance, Beweisführung oder gesetzlich erlaubte Zwecke zu verwenden;
• die Daten nicht mit anderen Daten zu kombinieren, außer in erlaubten Fällen;
• den Kunden angemessen bei anwendbaren Anträgen auf Rechte zu unterstützen.

18. Vorrang

Im Fall eines Widerspruchs zwischen diesem DPA und den CGU oder CGV in Bezug auf den Schutz personenbezogener Daten, die World-Meeting als Auftragsverarbeiter verarbeitet, hat dieser DPA Vorrang.

Die CGU und CGV bleiben für kommerzielle Themen, Haftung, Zahlung, Erstattungen, Streitigkeiten, geistiges Eigentum und Nutzung des Dienstes anwendbar.

19. Laufzeit und Beendigung

Dieser DPA gilt für die Dauer der Nutzung des Dienstes durch den Kunden und bis zur Löschung, Anonymisierung, Rückgabe oder zum Ablauf der betreffenden personenbezogenen Daten, vorbehaltlich gesetzlicher Pflichten und Beweisbedarfs.

Die Beendigung der CGU, CGV oder der Bestellung beendet diesen DPA für künftige Verarbeitungen, ohne Pflichten in Bezug auf Daten zu berühren, die für berechtigte oder gesetzliche Zwecke aufbewahrt werden.

20. Anwendbares Recht

Dieser DPA unterliegt französischem Recht, sofern keine entgegenstehenden zwingenden Vorschriften gelten.

Für professionelle Kunden fallen Streitigkeiten über diesen DPA in die Zuständigkeit, die in den CGV vorgesehen ist, soweit anwendbar und gesetzlich zulässig.

21. DPA-Kontakt

Bei Fragen zu diesem DPA:

• Datenschutzkontakt: [email protected]
• Allgemeiner Kontakt: [email protected]