Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Dieser Auftragsverarbeitungsvertrag („AV-Vertrag“) regelt die Verarbeitung personenbezogener Daten durch die Mugwetkyro GmbH, Siebensterngasse 19, 1070 Wien („Auftragsverarbeiter“), im Auftrag des jeweiligen Kunden („Verantwortlicher“), wenn dieser uns Daten von Sprecherinnen, Musikern, Podcast-Gästen oder anderen Beteiligten für Leistungen in unserem Tonstudio bereitstellt.

Typische Leistungen: Gesang & Sprache, Bandaufnahme, Mixing, Mastering, Podcast & Postproduktion. Der Verantwortliche bleibt für die Rechtmäßigkeit der Erhebung und für Information der Betroffenen verantwortlich. Allgemeine Vertragsbedingungen ergänzen die AGB; Datenschutz für Website-Besucher: Datenschutzerklärung.

2. Dauer und Kündigung

Der AV-Vertrag gilt für die Dauer des jeweiligen Studio- oder Produktionsvertrags und endet mit dessen Erfüllung oder Kündigung, spätestens jedoch mit Rückgabe oder Löschung der personenbezogenen Daten gemäß Abschnitt zur Löschung.

Der Verantwortliche kann die Verarbeitung jederzeit schriftlich untersagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftragsverarbeiter darf den zugrunde liegenden Werkvertrag aus sachlichen Gründen nach den AGB kündigen; in diesem Fall unterstützen wir die geordnete Übernahme der Daten durch den Verantwortlichen oder einen von ihm benannten Dienstleister.

3. Art der Daten und Kategorien Betroffener

Verarbeitet werden können insbesondere: Name, Kontaktdaten, Künstler- oder Künstlernamen, Termin- und Projektinformationen, Audio- und Videomaterial mit Stimme oder Performance, Metadaten zu Exporten und Rechnungsdaten, soweit sie Personen betreffen.

Betroffene Kategorien: von Ihnen eingeladene Musikerinnen und Musiker, Sprecher, Moderatorinnen, Podcast-Gäste, Produktionsteams und andere an der Session Beteiligte. Besondere Kategorien nach Art. 9 DSGVO verarbeiten wir nicht absichtlich; sollten solche Daten in Aufnahmen enthalten sein, liegt die rechtliche Einordnung beim Verantwortlichen.

4. Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — zunächst durch den Studio- bzw. Produktionsvertrag, ergänzend durch schriftliche E-Mail von einer autorisierten Person. Weisungen können Aufnahme, Schnitt, Exportformate, Lautheit, Dateibenennung und Übergabemedien betreffen.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Gesetzliche Pflichten des Auftragsverarbeiters (z. B. steuerliche Aufbewahrung von Rechnungsdaten) bleiben unberührt.

5. Vertraulichkeit und Schulung

Personen, die unter Weisung des Auftragsverarbeiters Zugang zu personenbezogenen Daten erhalten, verpflichten sich zur Vertraulichkeit oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Geschäftsführung: Lukas Hörmann. Zugang erhalten nur Teammitglieder, die die Daten für die konkrete Session benötigen.

Wir weisen das Team regelmäßig in sichere Handhabung von Dateien, Passwörtern und Backup-Medien hin — ohne personenbezogene Details in ungeschützten Kanälen zu teilen.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt angemessene Maßnahmen gemäß Art. 32 DSGVO um, unter anderem:

• Zutritts- und Zugangskontrolle zu Räumen in Wien (Siebensterngasse 19) außerhalb vereinbarter Sessions;
• verschlüsselte Festplatten auf Arbeitsstationen, getrennte Projektordner pro Auftraggeber;
• HTTPS für Website-Kommunikation; Formularübermittlung über FormSubmit nur für Anfragen, nicht für große Rohdaten;
• Passwortschutz und, wo verfügbar, Zwei-Faktor-Authentifizierung für Cloud- und E-Mail-Konten;
• regelmäßige Updates der Systeme und Löschkonzept für Session-Dateien nach 24 Monaten, sofern der Vertrag keine längere Frist vorsieht;
• maximal 6 Musiker gleichzeitig in der Live-Room — überschaubare Anwesenheit vor Ort.

Details zu Hosting: World4You Internet Services GmbH, Hafenstraße 35, 4020 Linz, Österreich. Eine vollständige Liste der Maßnahmen stellen wir auf Anfrage in allgemeiner Form bereit.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für folgende Unterauftragsverarbeiter, soweit deren Leistung für die Vertragserfüllung erforderlich ist:

• World4You Internet Services GmbH — Hosting der Website und E-Mail-Infrastruktur (Standort Österreich);
• FormSubmit — ausschließlich für Kontaktformular-Inhalte (USA; siehe Datenschutz — Drittland);
• Steuerberaterin oder Steuerberater — Rechnungsdaten, soweit personenbezogen.

Weitere Unterauftragsverarbeiter werden nur nach vorheriger Information des Verantwortlichen eingesetzt; dieser kann aus sachlichen Gründen innerhalb von 14 Tagen widersprechen. Mit jedem Unterauftragsverarbeiter schließen wir einen Vertrag nach Art. 28 Abs. 3 DSGVO ab.

8. Rechte der Betroffenen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei Auskunfts-, Berichtigungs-, Löschungs- und Einschränkungsersuchen sowie bei Datenübertragbarkeit. Anfragen Betroffener, die direkt an uns gerichtet werden, leiten wir unverzüglich an den Verantwortlichen weiter, sofern erkennbar ist, für welches Projekt sie gelten.

Antwortfristen richten sich nach dem Verantwortlichen; intern streben wir eine Weiterleitung innerhalb von 2 Werktagen an.

9. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten aus dem Auftrag betrifft. Die Meldung enthält, soweit verfügbar, Art der Verletzung, betroffene Kategorien, ungefähre Zahl Betroffener, wahrscheinliche Folgen und ergriffene Abhilfemaßnahmen.

Die Meldung an Aufsichtsbehörden oder Betroffene obliegt dem Verantwortlichen, sofern nicht gesetzlich anders geregelt.

10. Löschung und Rückgabe

Nach Abschluss der Leistung oder auf Weisung des Verantwortlichen löscht der Auftragsverarbeiter personenbezogene Daten aus aktiven Systemen und Backups innerhalb angemessener Fristen — für Multitrack und Projektdaten in der Regel spätestens 24 Monate nach der letzten Session, sofern der Werkvertrag keine andere Frist oder Übergabe an den Verantwortlichen vorsieht.

Rechnungs- und Vertragsunterlagen können gesetzlich bis zu sieben Jahre aufbewahrt werden. Auf Wunsch stellen wir exportierte Dateien in vereinbarten Formaten bereit (z. B. gemäß Master-Formate); Träger und Versand organisiert der Verantwortliche.

11. Nachweise und Audits

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen bereit, die zum Nachweis der Einhaltung dieses AV-Vertrags erforderlich sind, und ermöglicht Überprüfungen in angemessenem Umfang — vor allem durch Beantwortung von Fragebögen und, bei berechtigtem Anlass, durch Besichtigung der Studio-IT unter Terminvereinbarung in Wien.

Audits sollen Betriebsabläufe nicht unverhältnismäßig stören; Kosten trägt der Verantwortliche, sofern kein Verstoß des Auftragsverarbeiters vorliegt.

12. Haftung und Schlussbestimmungen

Haftungsfragen richten sich nach dem Studiovertrag und den AGB sowie den gesetzlichen Vorgaben der DSGVO. Sollten einzelne Bestimmungen dieses AV-Vertrags unwirksam sein, bleibt der Rest wirksam.

Änderungen bedürfen der Schriftform; die aktuelle Fassung ist auf mugwetkyro.digital abrufbar (Stand 15. Oktober 2026). Verantwortlicher und Auftragsverarbeiter bestätigen den Abschluss durch Unterzeichnung des Studiovertrags mit Verweis auf diesen AV-Vertrag oder durch gesonderte schriftliche Annahme per E-Mail an [email protected].

Kontakt Auftragsverarbeiter: Mugwetkyro GmbH, [email protected], +43 1 996 42 18. Impressum: Impressum. Cookie-Hinweise: Cookie-Richtlinie.