Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Fassung Oktober 2026. Wird mit Annahme der AGB Vertragsbestandteil. Eine unterschriebene Fassung senden wir auf Anfrage an info@maxecute.de.

1. Gegenstand und Dauer

Der Auftragsverarbeiter (maxecute, Inhaber Mustafa Morad, Thomasstr. 4, 58089 Hagen) verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Kunde) zur Bereitstellung von Maxecaster. Die Laufzeit entspricht der Laufzeit des Hauptvertrags.

2. Art, Zweck und Betroffene

Zweck	Aufnahme, Speicherung, Bearbeitung, Transkription, Übertragung und Veröffentlichung von Audio- und Videoinhalten
Datenarten	Bild- und Tonaufnahmen, Namen, Chatnachrichten, Transkripte, Einwilligungsnachweise, Webinar-Anmeldedaten (Name, E-Mail), Fragen und Umfrageantworten
Betroffene	Gäste, Moderierende, Teammitglieder, Webinar-Teilnehmende des Kunden
Besondere Kategorien	Nur soweit der Kunde sie in Gesprächen erhebt (z. B. Gesundheitsthemen). Der Kunde stellt hierfür eine gesonderte Rechtsgrundlage sicher.

3. Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Kunden. Weisungen erteilt der Kunde über die Einstellungen im Dashboard (z. B. Aufbewahrungsfrist, Löschung) oder in Textform.

4. Vertraulichkeit

Personen mit Zugriff auf Kundendaten sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

Betrieb ausschließlich in Rechenzentren in Deutschland (ISO 27001 zertifiziert)
Transportverschlüsselung TLS 1.2+ und DTLS-SRTP für Echtzeitverbindungen; eigener TURN-Server
Passwörter mit scrypt gespeichert, Stream-Schlüssel mit AES-256-GCM verschlüsselt
Rollenbasierte Zugriffe (Inhaber, Produktion, Lesen), Protokollierung relevanter Aktionen
Keine Weitergabe an Dritte, keine externen KI-Dienste, keine Tracking-Werkzeuge
Automatische Löschung nach Fristablauf; Webinar-Daten nach 30 Tagen
Tägliche verschlüsselte Sicherung, Aufbewahrung der Sicherungen höchstens 14 Tage
Einspielen von Sicherheitsupdates mindestens monatlich

6. Unterauftragsverarbeiter

Hosting	netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe – Serverbetrieb in Deutschland (Rechenzentrum Nürnberg)
Sicherung und Archiv	Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – verschlüsselte Sicherungen und Archiv älterer Aufnahmen, Speicherort Deutschland (Falkenstein)
E-Mail-Versand	STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin – Versand von Systemnachrichten, Server in Deutschland

Über neue Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

7. Unterstützung und Meldungen

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen Betroffener (Export, Löschung über das Dashboard), bei Datenschutz-Folgenabschätzungen und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden.

8. Löschung und Rückgabe

Nach Vertragsende werden alle Kundendaten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann der Kunde alle Daten über den Datenexport herunterladen.

9. Kontrollen

Der Kunde kann sich nach Absprache von der Einhaltung der Maßnahmen überzeugen. Der Auftragsverarbeiter stellt die nötigen Informationen bereit.

Data processing agreement (Art. 28 GDPR)

Note: This English version is provided for convenience. Only the German version is legally binding.

Version October 2026. Becomes part of the contract upon acceptance of the terms and conditions. We will send a signed version on request to info@maxecute.de.

1. Subject matter and duration

The processor (maxecute, owner Mustafa Morad, Thomasstr. 4, 58089 Hagen) processes personal data on behalf of the controller (Customer) in order to provide Maxecaster. The term corresponds to the term of the main contract.

2. Nature, purpose and data subjects

Purpose	Recording, storage, editing, transcription, broadcasting and publishing of audio and video content
Types of data	Video and audio recordings, names, chat messages, transcripts, records of consent, webinar registration data (name, email), questions and poll responses
Data subjects	The Customer’s guests, hosts, team members and webinar participants
Special categories	Only insofar as the Customer collects them in conversations (e.g. health topics). The Customer ensures a separate legal basis for this.

3. Instructions

The processor processes data only on documented instructions from the Customer. The Customer issues instructions via the settings in the dashboard (e.g. retention period, deletion) or in text form.

4. Confidentiality

Persons with access to customer data are bound to confidentiality.

5. Technical and organizational measures

Operation exclusively in data centers in Germany (ISO 27001 certified)
Transport encryption TLS 1.2+ and DTLS-SRTP for real-time connections; own TURN server
Passwords stored with scrypt, stream keys encrypted with AES-256-GCM
Role-based access (owner, production, read-only), logging of relevant actions
No disclosure to third parties, no external AI services, no tracking tools
Automatic deletion once retention periods expire; webinar data after 30 days
Daily encrypted backups, backups retained for no more than 14 days
Security updates applied at least monthly

6. Sub-processors

Hosting	netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe – server operation in Germany (Nuremberg data center)
Backup and archive	Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – encrypted backups and archive of older recordings, storage location Germany (Falkenstein)
Email delivery	STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin – delivery of system messages, servers in Germany

The processor will give at least 30 days’ notice of any new sub-processors. The Customer may object for good cause relating to data protection.

7. Assistance and notifications

The processor assists the Customer with requests from data subjects (export, deletion via the dashboard) and with data protection impact assessments, and reports personal data breaches without undue delay, at the latest within 24 hours of becoming aware of them.

8. Deletion and return

After the contract ends, all customer data is deleted within 30 days unless there is a statutory retention obligation. Before then, the Customer can download all data via the data export.

9. Audits

The Customer may, by prior arrangement, verify compliance with the measures. The processor provides the necessary information.