Auftragsverarbeitungsvertrag (AVV)

Gegenstand der Auftragsverarbeitung ist die technische Verarbeitung der von Gästen im Rahmen eines konkreten Events hochgeladenen Fotos sowie der daraus erzeugten KI-Bilder und -Videos: Entgegennahme und Speicherung der Uploads, Übermittlung an den KI-Anbieter zur Bild- und Videogenerierung, Speicherung und Anzeige der Ergebnisse auf dem Event-Bildschirm, Bereitstellung einer passwortgeschützten Online-Galerie zum Ansehen und Herunterladen der Inhalte sowie Entgegennahme und Bearbeitung von Meldungen zu einzelnen Inhalten. Die Verarbeitung dauert für die Laufzeit des jeweiligen Events und die anschließende Aufbewahrung gemäß Datenschutzerklärung, Abschnitt 6, an.

Kategorien betroffener Personen: Event-Gäste, die Fotos hochladen, sowie auf den Fotos abgebildete Personen. Kategorien der Daten: hochgeladene Fotos, erzeugte Bilder und Videos, Zeitpunkt und Status der Verarbeitung, IP-Adresse des hochladenden Geräts (30 Tage), signiertes Gerätekennzeichen, Bestätigung des Gastes vor dem Upload, Name und E-Mail-Adresse von Personen, die einen Inhalt melden.

Jolti verarbeitet die Daten nur auf dokumentierte Weisung des Veranstalters. Weisungen erteilt der Veranstalter über die Funktionen der Plattform (Anlegen, Starten und Beenden eines Events, Wahl der Generierungseinstellungen, Löschen einzelner Inhalte oder des Events, Freigabe der Online-Galerie und Ausnahme einzelner Dateien daraus); weitergehende Weisungen bedürfen der Textform. Hält Jolti eine Weisung für rechtswidrig, weist Jolti den Veranstalter darauf hin.

Jolti verpflichtet sich darüber hinaus,

• nur Personen einzusetzen, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO);
• die in Abschnitt 4 beschriebenen technischen und organisatorischen Maßnahmen zu treffen (Art. 32 DSGVO);
• den Veranstalter mit den Mitteln der Plattform bei der Beantwortung von Anträgen betroffener Personen zu unterstützen (Löschen einzelner Inhalte, Meldeverfahren, Datenexport);
• den Veranstalter unverzüglich zu informieren, wenn Jolti eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Gäste-Inhalte seines Events betrifft (Art. 33 Abs. 2 DSGVO), und ihn bei den Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen;
• dem Veranstalter alle zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung zu stellen und Überprüfungen zu ermöglichen; Überprüfungen erfolgen in der Regel durch Auskunft in Textform, bei berechtigtem Anlass nach vorheriger Abstimmung auch vor Ort;
• nach Abschluss der Verarbeitung die Daten gemäß Abschnitt 5 zu löschen oder zurückzugeben.

Der Veranstalter genehmigt allgemein den Einsatz der nachfolgend genannten Unterauftragsverarbeiter. Jolti hat mit ihnen Verträge geschlossen, die die Pflichten aus diesem Vertrag weitergeben. Beabsichtigt Jolti, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert Jolti den Veranstalter mindestens 14 Tage vorher per E-Mail oder im Dashboard; der Veranstalter kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen und den Nutzungsvertrag in diesem Fall außerordentlich beenden.

An xAI werden ausschließlich das Foto bzw. Zwischenbild und die Generierungseinstellungen übermittelt, keine Namen, E-Mail-Adressen oder Kontodaten. xAI verwendet diese Inhalte nicht zum Training von KI-Modellen. Jolti nutzt xAI im Modus „Zero Data Retention“: Eingaben und Ergebnisse werden bei xAI nicht dauerhaft gespeichert und spätestens eine Stunde nach der Verarbeitung gelöscht; das Video legt xAI direkt im Speicher von Jolti ab. Änderungen an den Unterauftragsverarbeitern von xAI kündigt xAI mindestens 15 Tage vorher an; Jolti gibt solche Änderungen, soweit sie die Verarbeitung für den Veranstalter betreffen, nach den Regeln dieses Abschnitts weiter. Stripe verarbeitet nur Konto- und Zahlungsdaten des Veranstalters, für die Jolti selbst Verantwortlicher ist, und ist deshalb nicht Unterauftragsverarbeiter im Sinne dieses Vertrags.

• Zugangs- und Zugriffskontrolle: Server nur per Schlüssel-Authentifizierung erreichbar; Dienste laufen in getrennten Containern; administrative Funktionen der Plattform rollenbasiert (RBAC) geschützt; Veranstalter sehen nur die Inhalte ihrer eigenen Events.
• Verschlüsselung: TLS für alle Verbindungen (Browser, TV-Bildschirm, KI-Anbieter); hinterlegte API-Schlüssel verschlüsselt im Ruhezustand; Passwörter nur als Hash.
• Pseudonymisierung und Datensparsamkeit: Gäste laden ohne Konto hoch; Gerätekennzeichen sind zufällig und signiert; an den KI-Anbieter gehen keine Identitätsdaten.
• Verfügbarkeit: Warteschlange mit automatischem Wiederanlauf abgebrochener Verarbeitungen; Statusüberwachung des KI-Anbieters; Sperre neuer Uploads bei Störungen statt Datenverlust.
• Löschung: automatisierte Löschläufe (IP-Adressen nach 30 Tagen, gelöschte Konten nach 30 Tagen, Event-Medien 30 Tage nach Event-Ende bzw. ohne Online-Galerie 24 Stunden nach Event-Ende, nie gestartete Pässe nach zwölf Monaten).
• Meldeverfahren: in der Regel Sofort-Sperre gemeldeter Inhalte mit Missbrauchsgrenze je meldender Stelle, Prüfung innerhalb von 72 Stunden, Löschung nur auf Entscheidung, Protokollierung der Entscheidung.