Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Der Auftragsverarbeiter moderiert für den Verantwortlichen dessen Twitch-Chat nach den vom Verantwortlichen festgelegten Regeln. Der Vertrag gilt, solange der Verantwortliche seinen Kanal mit Veylark verbunden hat.

2. Art, Zweck und Umfang

Zweck: Erkennen unerwünschter Chatnachrichten, Löschen, Antworten und, falls eingeschaltet, Timeouts oder Banns; Protokoll zur Kontrolle durch den Verantwortlichen.
Datenarten: Nachrichtentext, Nachrichten-ID, Twitch-Nutzer-ID, Login-Name, Rollen im Kanal.
Betroffene: Personen, die im Chat des Verantwortlichen schreiben.
Speicherung: Nachrichten nur bei Aktion oder Status „unsicher“, 30 Tage; Strikes 7 Tage nach dem letzten Verstoß; alles andere nur flüchtig im Arbeitsspeicher.
Nicht Teil des Auftrags: Bewertungen, die der Verantwortliche nach Ziffer 6a der AGB freiwillig teilt; diese verarbeitet der Auftragsverarbeiter ohne Nutzer- und Kanalbezug als eigener Verantwortlicher (siehe Datenschutzerklärung, Abschnitt 7a).

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus den Einstellungen im Dashboard (Regeln, Wortliste, Ausnahmen, Aktionen). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

4. Vertraulichkeit

Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der Cloudflare, Inc. (USA; Hosting, Datenbank, Warteschlangen, KI-Modelle) mit Vertrag zur Auftragsverarbeitung, Zertifizierung nach dem EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Über neue Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab; der Verantwortliche kann widersprechen und den Kanal trennen.

6. Unterstützung und Meldepflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 12 bis 23 DSGVO) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

7. Löschung nach Vertragsende

Trennt der Verantwortliche seinen Kanal, löscht der Auftragsverarbeiter sofort alle Daten des Kanals; Protokolle des Hosters werden nach dessen Fristen (höchstens 7 Tage) entfernt.

8. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung.

9. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung: Übertragung nur per HTTPS (TLS ab 1.2, HSTS); Twitch-Zugangstoken AES-256-GCM-verschlüsselt gespeichert.
Zugriffskontrolle: Anmeldung über Twitch, signierte HttpOnly-Sitzungs-Cookies; jeder Kunde sieht nur Daten seines Kanals; Betreiberzugang nur für festgelegte Konten; Begrenzung von Login-Versuchen.
Integrität der Eingänge: Twitch-Webhooks werden per HMAC-Signatur und Zeitstempel geprüft; Firewall-Regeln und Rate-Limiting am Netzwerkrand.
Datensparsamkeit: keine dauerhafte Speicherung von Chatnachrichten ohne Aktion; Protokolle ohne Nachrichteninhalt; automatische Löschfristen.
Verfügbarkeit: Betrieb auf der verteilten Infrastruktur von Cloudflare; im Zweifel greift der Bot nicht ein.
Trennung: Daten verschiedener Kanäle sind logisch getrennt; jeder Kanal hat einen eigenen Verarbeitungszustand.

Auftragsverarbeiter

Michael Zimmermann
Obere Vorstadt 1
78532 Tuttlingen
Deutschland

E-Mail: contact@veylark.tech