Auftragsverarbeitungsvertrag (AVV)

Entwurf. Einige Angaben zum Betreiber fehlen noch (in eckigen Klammern). Diese Fassung ist noch nicht anwaltlich geprüft und keine Rechtsberatung.

Stand: 30. September 2026

zwischen der Künstlerin, dem Künstler oder dem Label mit einem Konto bei fancus (Verantwortliche:r) und [Name bzw. Firma], [Straße Hausnummer], [PLZ Ort] (Auftragsverarbeiter). Der Vertrag kommt mit der Registrierung zustande und gilt, solange das Konto besteht.

§ 1 Gegenstand, Art und Zweck

Der Auftragsverarbeiter stellt die Plattform fancus bereit. Damit sammelt die:der Verantwortliche Anmeldungen von Fans mit Double-Opt-In, verwaltet sie, verschickt E-Mails an sie, gewährt Zugang zu Inhalten (Drops), vergibt Treuepunkte und Belohnungen und verkauft digitale Inhalte. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten der Fans ausschließlich dafür und nach Weisung der:des Verantwortlichen.

§ 2 Betroffene und Daten

Betroffene: Fans und Interessierte, die sich auf Drop-Seiten oder der Künstlerseite der:des Verantwortlichen anmelden, dort kaufen oder Belohnungen einlösen.

Daten: E-Mail-Adresse, optional Vorname; Nachweis der Einwilligung (Zeitpunkt, Wortlaut und Fassung, IP-Adresse, Browserkennung); Herkunft der Anmeldung (Drop, Plattform-Link); freigeschaltete Drops; Treuepunkte, Einladungscodes und eingelöste Belohnungen, gegebenenfalls die Discord-Kennung; Käufe (E-Mail, Betrag, Zeitpunkt, Status); Zustellstatus von E-Mails; Inhalte von Newslettern, soweit sie Namen enthalten. Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung. Weisungen sind die Nutzung der Funktionen von fancus (zum Beispiel einen Newsletter senden, einen Fan löschen, die Liste herunterladen) sowie Weisungen in Textform an [kontakt@…]. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO). Eine Verarbeitung zu eigenen Zwecken findet nicht statt; ausgenommen sind anonyme, nicht auf Personen beziehbare Statistiken zum Betrieb der Plattform.

§ 4 Pflichten des Auftragsverarbeiters

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1 und entwickelt sie weiter.
Er unterstützt die:den Verantwortliche:n bei Anfragen von Betroffenen (Art. 12 bis 22 DSGVO). Fans können sich selbst abmelden und ihre Daten löschen; die:der Verantwortliche kann Fans in fancus einsehen, exportieren und löschen.
Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die Adresse des Kontos, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
Er unterstützt bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 35, 36 DSGVO), soweit nötig.
Die Daten werden in Deutschland verarbeitet; Übermittlungen in Drittländer nur nach Anlage 2 und Kapitel V DSGVO.

§ 5 Unterauftragsverarbeiter

Die:der Verantwortliche stimmt den Unterauftragsverarbeitern in Anlage 2 zu. Neue oder andere kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an; die:der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und bei fortbestehendem Widerspruch den Vertrag kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

§ 6 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen nach vorheriger Anmeldung in angemessener Frist, grundsätzlich in Form schriftlicher Auskünfte und Nachweise (Art. 28 Abs. 3 lit. h DSGVO).

§ 7 Löschung und Rückgabe

Nie bestätigte Anmeldungen löscht fancus nach 30 Tagen automatisch. Die:der Verantwortliche kann die Fan-Liste jederzeit als Tabelle herunterladen. Wird das Konto gelöscht, löscht der Auftragsverarbeiter sofort alle Daten der Fans und alle Dateien; verschlüsselte Sicherungskopien werden innerhalb von höchstens 6 Monaten überschrieben. Aufbewahrungspflichten, etwa für Kaufbelege, bleiben unberührt.

§ 8 Pflichten der:des Verantwortlichen

Die:der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Rechte der Fans verantwortlich, insbesondere für ein eigenes Impressum und eine Datenschutzerklärung auf ihren:seinen Seiten, soweit erforderlich, und dafür, Newsletter nur mit gültiger Einwilligung zu versenden.

§ 9 Schluss

Es gilt deutsches Recht. Bei Widersprüchen zu den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit: Server in einem Rechenzentrum in Deutschland mit Zutrittskontrolle des Anbieters; Zugang zum Server nur per SSH-Schlüssel, Anmeldung mit Passwort ist abgeschaltet; die App läuft als eigener Systembenutzer ohne Administratorrechte in einer abgeschotteten Umgebung (systemd-Sandbox); die Datenbank ist nur lokal erreichbar; jedes Konto sieht nur seine eigenen Daten.
Integrität: Verschlüsselte Übertragung (TLS, HSTS); Passwörter nur als bcrypt-Hash; Anmeldesitzungen und Bestätigungslinks nur als SHA-256-Hash; Uploads werden auf ihren tatsächlichen Dateityp geprüft; Content Security Policy gegen eingeschleusten Code; Begrenzung von Anfragen und Anmeldeversuchen.
Verfügbarkeit: Tägliche, verschlüsselte Sicherung außerhalb des Servers mit Aufbewahrung von 7 Tagen, 4 Wochen und 6 Monaten; Überwachung der Erreichbarkeit von außen; Updates ohne Unterbrechung mit sofortiger Rückkehr zur Vorversion; automatische Prüfung der verwendeten Software auf bekannte Sicherheitslücken.
Datenminimierung und Nachweis: Einwilligungen werden mit Wortlaut, Zeitpunkt und Herkunft protokolliert; Aufrufe von Drop-Seiten werden ohne IP-Adresse und ohne Cookies gezählt; Server-Protokolle werden nach 14 Tagen gelöscht.

Anlage 2: Unterauftragsverarbeiter

STRATO AG, Berlin, Deutschland: Server, Datenbank, Dateien und Mailserver (Rechenzentrum in Deutschland).
Backblaze, Inc., San Mateo, USA: Ablage der vorab verschlüsselten Sicherungskopien, Rechenzentrum [Region prüfen]. Ohne Schlüssel für Backblaze nicht lesbar; Grundlage für die Übermittlung: EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
Nur wenn genutzt: Stripe Payments Europe, Ltd., Dublin, Irland (Zahlungen für bezahlte Drops; für die Zahlungsabwicklung zum Teil eigenständig verantwortlich); Stability AI Ltd., Vereinigtes Königreich (KI-Studio, nur Tonspuren der:des Verantwortlichen, keine Fan-Daten); Discord Inc., USA (Vergabe von Rollen bei Discord-Belohnungen).