Fassung vom 11. November 2026
zwischen dem Kunden (Verantwortlicher, im Folgenden „Kunde“) und CreateWebinar, Inhaber Lars Eppendahl, Wasserstr. 496, 44795 Bochum, Deutschland (Auftragsverarbeiter, im Folgenden „wir“).
(1) Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, wenn er mit CreateWebinar Webinare anbietet, also Anmeldungen entgegennimmt, E-Mails an Gäste versendet, Ausstrahlungen mit Chat durchführt und auswertet. Gegenstand, Art und Zweck, Datenarten und Betroffene beschreibt Abschnitt 2.
(2) Dieser Vertrag ist Anlage der AGB und kommt mit dem Nutzungsvertrag über das Konto zustande. Er gilt, solange wir Daten für den Kunden verarbeiten. Bei Widersprüchen geht er den AGB vor, soweit es um den Schutz personenbezogener Daten geht.
(3) Für die Daten des Kunden selbst (Konto, Abrechnung) sind wir eigener Verantwortlicher; dafür gilt unsere Datenschutzerklärung, nicht dieser Vertrag.
| Zweck | Bereitstellung von Anmeldeseiten, Double-Opt-in, Terminverwaltung, Versand von Bestätigungs-, Erinnerungs- und (mit Einwilligung) Nachfass-E-Mails, Durchführung der Ausstrahlung mit Chat und KI-Antworten, Zählung von Teilnahme und Klicks, Auswertung für den Kunden, Auskunft und Löschung |
| Art | Erheben, Speichern, Ordnen, Auslesen, Übermitteln (an Unterauftragsverarbeiter), Anzeigen, Löschen |
| Datenarten | Vorname, E-Mail-Adresse, gewählter Termin und Zeitzone; Einwilligungen mit Wortlaut, Zeitpunkt und IP-Adresse (Nachweis der Anmeldung); Bestätigungs- und Abmeldestatus; persönliche Zugangskennung; Teilnahme (Beitritt, Anwesenheit, Verweildauer), angezeigter Name im Chat, Chatnachrichten, Klicks auf das Angebot, Applaus; E-Mail-Ereignisse (Zustellung; Öffnungen und Klicks nur mit Einwilligung des Gastes); bei Bedarf Inhalte, die Gäste selbst in den Chat schreiben |
| Betroffene | Gäste (Interessenten, Teilnehmer) der Webinare des Kunden |
| Besondere Kategorien (Art. 9 DSGVO) | nicht vorgesehen; der Kunde stellt sicher, dass seine Webinare nicht darauf ausgelegt sind, solche Daten zu erheben |
(1) Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind die AGB, dieser Vertrag und die Einstellungen, die der Kunde im Dienst vornimmt (zum Beispiel Löschfristen, Messung von E-Mails, Löschen einzelner Gäste).
(2) Weitere Weisungen sind in Textform (zum Beispiel per E-Mail an info@createwebinar.com) zu erteilen. Mündliche Weisungen sind nur in dringenden Fällen zulässig und vom Kunden unverzüglich in Textform zu bestätigen. Wir dokumentieren erteilte Weisungen.
(3) Ist eine Verarbeitung gesetzlich vorgeschrieben, informieren wir den Kunden vorher, sofern das Gesetz es nicht verbietet. Halten wir eine Weisung für rechtswidrig, weisen wir den Kunden unverzüglich darauf hin und dürfen ihre Ausführung bis zur Bestätigung aussetzen.
(1) Wir verarbeiten die Daten nur in der EU bzw. im EWR, soweit nicht Abschnitt 6 eine Übermittlung an einen Unterauftragsverarbeiter in einem Drittland erlaubt.
(2) Personen, die Zugang zu den Daten haben, sind vor Aufnahme ihrer Tätigkeit zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht worden. Die Pflicht zur Vertraulichkeit gilt auch nach dem Ende dieses Vertrags fort.
(3) Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage A beschrieben sind. Wir dürfen sie weiterentwickeln, wenn das Schutzniveau nicht sinkt.
(4) Wir unterstützen den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte der Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Dienst bietet dafür Funktionen (Suche, Auskunft als Datei, Löschen, Export). Wenden sich Betroffene direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter.
(5) Wir unterstützen den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit uns die Informationen vorliegen.
(6) Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
(7) Wir nutzen die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, für Auswertungen über mehrere Kunden hinweg oder zum Training von KI-Modellen.
(8) Wir informieren den Kunden unverzüglich über Kontrollen oder Maßnahmen von Aufsichtsbehörden, soweit sie seine Daten betreffen können, sowie über Ereignisse, durch die seine Daten gefährdet werden könnten.
(9) Ein Datenschutzbeauftragter ist bei uns gesetzlich nicht vorgeschrieben. Ansprechpartner für Datenschutz: info@createwebinar.com.
(1) Der Kunde erteilt die allgemeine Genehmigung, die in Anlage B genannten Unterauftragsverarbeiter einzusetzen.
(2) Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informieren wir den Kunden mindestens 30 Tage vorher per E-Mail und auf der Seite „Auftragsverarbeitung“ (Anlage B). Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist in Textform widersprechen. Können wir dem Widerspruch nicht abhelfen, kann der Kunde die betroffenen Leistungen zum Zeitpunkt der Änderung kündigen; für bezahlte, nicht genutzte Leistungen gilt § 3 Abs. 3 der AGB entsprechend.
(3) Wir wählen Unterauftragsverarbeiter sorgfältig aus, verpflichten sie vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht, und prüfen sie regelmäßig und anlassbezogen.
(4) Keine Unterauftragsverarbeitung sind Nebenleistungen ohne konkreten Bezug zur Verarbeitung der Daten des Kunden, zum Beispiel Telekommunikations-, Post- oder Transportdienstleistungen. Auch dabei stellen wir die Vertraulichkeit angemessen sicher.
(5) Nutzt der Kunde einen eigenen Schlüssel für einen KI- oder Sprachdienst (BYOK), wählt er diesen Dienst selbst aus und schließt mit ihm einen eigenen Vertrag. Wir übermitteln die Daten dann in seinem Auftrag an diesen Dienst; der Kunde ist für die Rechtmäßigkeit dieser Übermittlung verantwortlich.
Eine Übermittlung in ein Land außerhalb von EU und EWR erfolgt nur an die in Anlage B genannten Empfänger und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (zum Beispiel EU-US Data Privacy Framework für zertifizierte Empfänger) oder der Standardvertragsklauseln der EU-Kommission.
(1) Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind (zum Beispiel diese Anlagen, Auskünfte, Bestätigungen von Dienstleistern).
(2) Der Kunde kann Kontrollen nach rechtzeitiger Anmeldung (in der Regel 30 Tage) während der üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, ohne den Betrieb unverhältnismäßig zu stören. Vorrangig erfolgt der Nachweis durch Unterlagen. Für Kontrollen vor Ort, die über einen Tag im Jahr hinausgehen, können wir eine angemessene Vergütung verlangen, es sei denn, die Kontrolle ist durch einen Verstoß von uns veranlasst.
(1) Daten der Gäste löschen wir nach den Einstellungen des Kunden: unbestätigte Anmeldungen nach 30 Tagen, übrige Gäste und Teilnahmedaten nach der vom Kunden gewählten Löschfrist (Voreinstellung 12 Monate nach dem Termin) sowie einzeln auf Anweisung im Dienst.
(2) Nach Ende des Vertrags kann der Kunde die Daten 30 Tage lang exportieren. Danach löschen wir sie einschließlich vorhandener Kopien; Sicherungskopien werden im Rahmen ihres regulären Zyklus (höchstens 30 Tage) überschrieben. Die Löschung bestätigen wir auf Anfrage in Textform. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
(2) Änderungen dieses Vertrags bedürfen der Textform. Im Übrigen gelten die Schlussbestimmungen der AGB.
Vertraulichkeit
Integrität
Verfügbarkeit und Belastbarkeit
Verfahren zur regelmäßigen Überprüfung
| Unterauftragsverarbeiter | Leistung | Daten | Ort / Grundlage |
|---|---|---|---|
| netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe | Server (Hosting) | alle Daten nach Abschnitt 2 | Deutschland (Rechenzentrum Nürnberg) |
| Backblaze, Inc., 201 Baldwin Ave., San Mateo, CA 94401, USA | Speicherung der Sicherungskopien | alle Daten nach Abschnitt 2, vorher auf unserem Server verschlüsselt (für Backblaze nicht lesbar) | Rechenzentrum Amsterdam (Niederlande, Region EU Central); Zugriff aus den USA möglich: EU-US Data Privacy Framework, Standardvertragsklauseln |
| Mailgun Technologies, Inc. (Sinch), EU-Region | Versand der E-Mails an Gäste | E-Mail-Adresse, Vorname, Inhalt der E-Mails, Zustell- und (mit Einwilligung) Öffnungs-/Klickereignisse | Verarbeitung in der EU-Region (Belgien); Unterstützung aus den USA möglich: Data Privacy Framework laut Anbieter, Standardvertragsklauseln |
| OpenRouter, Inc., 169 Madison Ave #2404, New York, USA | Vermittlung der KI-Antworten im Chat | Chatnachricht des Gastes mit angezeigtem Namen, Inhalte des Webinars | USA: Standardvertragsklauseln; Einstellung ohne Speicherung der Eingaben (Zero Data Retention); Weiterleitung an das gewählte Modell (Anthropic) unter dessen Bedingungen |
| Anthropic PBC, San Francisco, USA (über OpenRouter) | KI-Modell für Chat-Antworten | wie OpenRouter | USA: Standardvertragsklauseln; kein Training mit Kundendaten laut Anbieter |
Nutzt der Kunde einen eigenen Schlüssel (zum Beispiel direkt bei Anthropic oder bei OpenRouter), gilt Abschnitt 5 Abs. 5: Der Kunde hat diesen Dienst selbst gewählt und einen eigenen Vertrag mit ihm geschlossen.
Nicht in dieser Liste, weil keine Gästedaten übermittelt werden: ElevenLabs (Vertonung des Moderationstextes), Modal Labs (Erzeugung der Moderatorvideos aus der Tonspur der Folien), Black Forest Labs (Bilder aus Bildbeschreibungen ohne personenbezogene Daten), Pixabay und Pexels (Stockfotos über unseren Server), VIES. Stripe verarbeitet nur Daten des Kunden selbst (nicht Gegenstand dieses Vertrags).
Frühere Fassungen