Auftragsverarbeitungsvertrag

1. Parteien und Anwendung

Dieser Auftragsverarbeitungsvertrag (AV-Vertrag) regelt die Verarbeitung personenbezogener Daten durch die Noelpulse GmbH (Noelpulse), Stapelgasse 8, 1050 Wien, Österreich — nachfolgend Auftragsverarbeiter — im Auftrag eines Unternehmens, einer Behörde oder einer sonstigen Organisation — nachfolgend Verantwortlicher.

Er gilt für Tonstudio-Leistungen in Wien, insbesondere Vokalaufnahme, Mixing, Mastering, Podcast-Produktion und Probeaufnahme, wenn der Verantwortliche über Personen in Aufnahmen entscheidet (Gäste, Sprecherinnen, Musikerinnen).

Der Vertrag ergänzt den Hauptvertrag bzw. die AGB und die Datenschutzerklärung, soweit diese die Rolle als Auftragsverarbeiter betreffen. Bei Widerspruch haben die datenschutzrechtlichen Regelungen dieses AV-Vertrags Vorrang, wenn sie für betroffene Personen günstiger sind. Die deutsche Fassung ist maßgeblich.

2. Gegenstand und Laufzeit

Der Auftragsverarbeiter erbringt die vereinbarten Leistungen am Standort Wien (3 Räume, Live-Raum ca. 42 m²). Die Verarbeitung personenbezogener Daten ist dafür erforderlich und beschränkt sich auf die Dauer der Zusammenarbeit zuzüglich der Archivfrist von 24 Monaten in Abschnitt «Löschung», sofern keine längere schriftliche Weisung oder gesetzliche Aufbewahrung besteht.

Mit Beendigung des Hauptvertrags endet die aktive Verarbeitung; Vertraulichkeits- und Nachweispflichten bleiben bestehen.

3. Art und Zweck

Verarbeitungstätigkeiten umfassen insbesondere: Aufnahme und Speicherung von Audio und Metadaten während Sessions, technische Bearbeitung (Schnitt, Mix, Master), Bereitstellung von Exportdateien an den Verantwortlichen sowie projektbezogene Kommunikation.

Zweck ist ausschließlich die vertraglich vereinbarte Produktion. Marketing, Veröffentlichung ohne Weisung, Training von KI-Modellen mit Stimmdaten oder Weitergabe an Dritte zu anderen Zwecken sind ohne separate schriftliche Weisung untersagt — konsistent mit unserer Datenschutzerklärung.

4. Kategorien betroffener Personen und Daten

Betroffene Personen können sein: Vokalistinnen, Sprecher, Podcast-Gäste, Musikerinnen und Session-Musiker sowie Ansprechpersonen des Verantwortlichen.

Datenkategorien können sein: Stimme und musikalische Performance, Künstlernamen in Projektdateien, Kontaktdaten von Gästen (sofern mitgeliefert), Session-Notizen ohne medizinische Inhalte, technische Metadaten (Spuren, Formate, Lautheit).

Besondere Kategorien nach Art. 9 DSGVO verarbeiten wir nicht absichtlich. Der Verantwortliche stellt sicher, dass eine Rechtsgrundlage für Aufnahme und Weitergabe an uns besteht und informiert Betroffene, soweit erforderlich.

5. Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich der im Hauptvertrag beschriebenen Leistungen, sofern diese datenschutzkonform sind. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen (E-Mail genügt).

Ergänzende technische Anweisungen (Lieferformate, Stems, Revisionen — max. 2 Runden, soweit vereinbart) gelten als Weisungen im Sinne dieses Vertrags. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• personenbezogene Daten vertraulich zu behandeln und Zugriff nur für befugte Teammitglieder in Wien zu gewähren;
• geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen;
• den Verantwortlichen bei Auskunfts- und Löschanfragen zu unterstützen, soweit die Daten in unserer Verantwortung liegen;
• Verletzungen des Schutzes personenbezogener Daten unverzüglich zu melden, spätestens innerhalb von 24 Stunden nach Kenntnis, mit verfügbaren Details;
• nach Beendigung des Auftrags Daten zu löschen oder zurückzugeben, vorbehaltlich gesetzlicher Aufbewahrung;
• auf Anfrage Informationen zum Nachweis der Einhaltung bereitzustellen.

Sicherheitsdetails: Datenschutzerklärung — Sicherheit. Buchung und Ablauf: Kontakt, FAQ.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für folgende Unterauftragsverarbeiter, soweit sie für die Leistung benötigt werden:

• World4You Internet Services GmbH, Hafnerstraße 4, 8055 Graz, Österreich — Hosting der Website und geschäftliche E-Mail (in der Regel keine Rohmultitracks);
• FormSubmit — ausschließlich Weiterleitung von Website-Kontaktanfragen, nicht Studio-Projektdateien.

Weitere Unterauftragsverarbeiter (z. B. Steuerberatung) setzen wir nur mit vorheriger Information ein; der Verantwortliche kann innerhalb von 14 Tagen begründeten Widerspruch erheben. Mit jedem Unterauftragsverarbeiter schließen wir einen Vertrag nach Art. 28 Abs. 4 DSGVO ab.

8. Drittlandübermittlungen

Studio-Projektdaten und Aufnahmen werden in Wien verarbeitet und auf unseren Systemen bzw. bei World4You Internet Services GmbH innerhalb des EWR gespeichert, sofern nicht ausdrücklich ein anderer Übertragungsweg mit dem Verantwortlichen vereinbart wurde (verschlüsselter Datenträger, gesicherte Cloud mit AV-Vertrag).

FormSubmit kann bei Nutzung des Website-Kontaktformulars eine Übermittlung in die USA auslösen; das betrifft typischerweise nicht von Ihnen beauftragte Session-Rohdaten. Regelungen: Datenschutzerklärung — Drittland.

9. Technische und organisatorische Maßnahmen

Angemessene TOMs umfassen unter anderem: Zutrittskontrolle zu den Räumlichkeiten in Margareten, verschlossene Aufbewahrung physischer Datenträger, passwortgeschützte Konten, getrennte Projektordner pro Auftraggeber, HTTPS für Website-Daten, regelmäßige Systemupdates und Löschkonzept nach 24 Monaten, sofern der Verantwortliche keine längere Frist schriftlich anordnet.

Eine zusammengefasste TOM-Übersicht stellen wir auf Anfrage in allgemeiner Form bereit, ohne die Sicherheit zu gefährden.

10. Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Auskunfts-, Berichtigungs-, Löschungs- und Einschränkungsersuchen, soweit die Daten bei uns liegen. Direkt an uns gerichtete Anfragen leiten wir unverzüglich an den Verantwortlichen weiter, wenn erkennbar ist, dass dieser allein entscheidet.

Allgemeine Informationen für Endkunden finden sich in der Datenschutzerklärung und im Ratgeber.

11. Löschung und Rückgabe

Nach Abschluss der Leistung und Ablauf der Archivfrist von 24 Monaten löschen wir Projektdateien und Sicherungskopien mit personenbezogenen Aufnahmen, sofern der Verantwortliche nicht schriftlich eine längere Frist oder Rückgabe auf Datenträger verlangt. Rückgabe erfolgt in branchenüblichen Formaten (z. B. WAV, Stems); Mehrkosten nach vorheriger Vereinbarung.

Rechnungs- und Vertragsunterlagen unterliegen gesetzlichen Aufbewahrungsfristen und werden getrennt aufbewahrt. Zahlungsziele für B2B: 14 Tage, siehe AGB.

12. Schlussbestimmungen

Haftungsfragen richten sich nach dem Hauptvertrag und der DSGVO. Datenschutzkontakt: [email protected], +43 1 546 78 90, Geschäftsführung Lukas Berger.

Stand dieses Musters: 15. Oktober 2026, wirksam ab 15. Oktober 2026. Individuelle Ergänzungen können im Projektvertrag schriftlich vereinbart werden. Weitere Seiten: Impressum, Cookie-Richtlinie, Barrierefreiheit, Haftungsausschluss.