— gemeinsam auch „die Parteien" —
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt. Er findet Anwendung auf alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder durch ihn beauftragte Sub-Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeiten.
Gegenstand ist die Bereitstellung der DisplayMetric-Plattform für Digital Signage mit Audience-Analytics ohne Identifizierung von Personen. Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software-as-a-Service-Lösung zur Verfügung, die folgende Funktionen umfasst:
Die Dauer dieses Vertrages richtet sich nach der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrages über die Nutzung der DisplayMetric-Plattform. Endet der Hauptvertrag, endet auch dieser AVV automatisch mit allen sich daraus ergebenden Rechten und Pflichten zur Datenlöschung gemäß Ziffer 10.
Folgende Verarbeitungen werden im Auftrag durchgeführt:
Zweck ist die Bereitstellung der vertraglich vereinbarten Software-Plattform und die Ermöglichung von Reichweitenmessung digitaler Inhalte. Die Verarbeitung erfolgt ausschließlich zu den vom Verantwortlichen festgelegten Zwecken im Rahmen dieses Vertrages. Bei aktivierter Funktion „Demografie-Schätzung“ dient die Verarbeitung zusätzlich einer Statistik über die geschätzte Zusammensetzung des Publikums nach Altersgruppe und Geschlecht; Inhalte werden nicht nach diesen Merkmalen ausgewählt.
Ausdrücklich NICHT gespeichert werden: Gesichtsbilder, Gesichtsmerkmale und biometrische Vorlagen, Fotos, Videos, Audio (Stand: 2026-09-27). Bilddaten werden nicht gespeichert und nach der Live-Auswertung im Arbeitsspeicher sofort verworfen. Das Endgerät überträgt keine Bilddaten – ausgenommen das Live-Bild der Vorschau (Anlage 1, TOM): standardmäßig aus, nur während einer Freigabe über die Wartungszugänge des Geräts, jede Freigabe endet nach höchstens 30 Minuten; Vorschaubilder werden nicht gespeichert.
Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO werden nicht verarbeitet. Insbesondere werden keine biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person verarbeitet: Die Software identifiziert niemanden und erkennt niemanden wieder. Die Schätzung von Altersgruppe und Geschlecht (4.5) ist eine biometrische Kategorisierung im Sinne von Art. 50 Abs. 3 KI-Verordnung; die ethnische Herkunft wird nicht geschätzt. Sollte sich daran etwas ändern, wird dieser Vertrag entsprechend angepasst und der Verantwortliche zuvor informiert.
Ist die Funktion „Demografie-Schätzung“ aktiviert, schätzt das Endgerät je Sichtung eine Altersgruppe (unter 18, 18–29, 30–44, 45–59, 60+) und ein Geschlecht; ist die geschätzte Altersgruppe „unter 18“, wird das Geschlecht verworfen und nicht gezählt. Eine Sichtung ist eine Spur im Kamerabild; ein Mensch kann mehrere Sichtungen erzeugen, etwa wenn er den Bereich verlässt und zurückkehrt oder kurz verdeckt ist. Die Schätzung erfolgt ausschließlich im Arbeitsspeicher des Endgeräts aus einem Ausschnitt des Kamerabilds, der sofort verworfen wird: je Sichtung liegen höchstens fünf Einzelschätzungen zugleich im Arbeitsspeicher, keine länger als fünf Sekunden; nach der Mehrheitsentscheidung werden sie verworfen, gezählt wird nur die Summe. Das Endgerät gibt Summen nur über Abschnitte von mindestens 60 Sekunden und höchstens 15 Minuten aus und nur, wenn ein Abschnitt mindestens fünf Sichtungen enthält, von denen mindestens zwei desselben Abschnitts gleichzeitig im Bild waren. Ist das noch nicht erfüllt, verlängert es den Abschnitt (die Summen bleiben im Arbeitsspeicher); ist es nach 15 Minuten oder zum Tageswechsel nicht erfüllt, verwirft es die Summen. Abschnitts-Summen werden auf dem Endgerät nach 14 vollen Kalendertagen gelöscht (was wegen gestörter Übertragung zurückgestellt wurde, spätestens nach 21 Tagen) und beim Auftragsverarbeiter 14 Tage nach Eingang, zuzüglich der Aufbewahrung in der Datensicherung von bis zu 30 Tagen. Danach bleiben nur Tages-Summen je Gerät (Anzahl Sichtungen je Altersgruppe und Geschlecht), aufbewahrt wie die übrigen Tagesstatistiken; im CMS werden nur Tage mit mindestens 20 Sichtungen angezeigt. Für die Schätzung werden Gesichtsbilder, Gesichtsmerkmale oder biometrische Vorlagen zu keinem Zeitpunkt gespeichert oder übertragen; die Software identifiziert niemanden und erkennt niemanden wieder. Die Schätzwerte sind statistische Näherungen und können im Einzelfall deutlich abweichen. Inhalte werden nicht nach geschätzten Merkmalen ausgewählt.
Der Auftragsverarbeiter verpflichtet sich,
Der Auftragsverarbeiter trifft die in Anlage 1 (TOM) beschriebenen technischen und organisatorischen Maßnahmen zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus gemäß Art. 32 DSGVO. Die TOM werden regelmäßig überprüft und bei Bedarf an den Stand der Technik angepasst. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.
Der Verantwortliche genehmigt mit Abschluss dieses Vertrages den Einsatz folgender Unter-Auftragsverarbeiter:
| Unternehmen | Sitz | Leistung | Datentyp |
|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland | Server-Hosting, Off-Site-Backup-Storage | Alle Daten gemäß Ziffer 4 |
| Heinlein Hosting GmbH (mailbox.org) | Berlin, Deutschland | E-Mail-Empfang für datenschutz@displaymetric.de | E-Mails an die Datenschutz-Kontaktadresse |
| Resend Inc. | USA, Kalifornien | Versand transaktionaler E-Mails | E-Mail-Adresse + Inhalt der Systemnachricht |
| Edgeless Systems GmbH (Privatemode) | Bochum, Deutschland | KI im CMS (Textvorschläge und Assistent) — nur für Konten, die die KI einschalten | Texte, Fragen und Dateien, die das Konto dafür eingibt (z. B. Folientexte, Speisekarten, Fotos, Dokumente, Sprachaufnahmen); Inhalte des Kontos, die der Assistent dafür liest (Folien, Listen, Zeitpläne, Namen der Bildschirme); Name des Kontos und der Person, die fragt |
Bezüglich Edgeless Systems GmbH gilt: Der Auftragsverarbeiter setzt den Dienst nur ein, wenn der Verantwortliche die KI in seinem Konto einschaltet; das Einschalten ist seine Weisung dazu, das Ausschalten beendet sie. Übermittelt wird nur, was die jeweilige Anfrage braucht. Die Anfragen werden verschlüsselt an vertrauliche Hardware (Confidential Computing) in Rechenzentren in der EU übermittelt, dort ohne Einsicht des Anbieters verarbeitet und nach der Antwort nicht gespeichert; sie werden nicht zum Training verwendet. Bilder der Kamera und Messdaten — auch zusammengefasste Zahlen des Berichts — werden nie übermittelt; solche Zahlen berechnet und zeigt der Auftragsverarbeiter selbst.
Bezüglich Resend Inc. (USA) gilt: Die Datenübermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Adequacy Decision der EU-Kommission vom 10. Juli 2023). Resend Inc. ist DPF-zertifiziert. Zusätzlich wurden Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO als Absicherung für den Fall eines Wegfalls des Adequacy-Status geschlossen.
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Unter-Auftragsverarbeiter hinzuzuziehen oder bestehende auszutauschen. Der Auftragsverarbeiter wird den Verantwortlichen mindestens vier Wochen im Voraus per E-Mail über geplante Änderungen informieren. Der Verantwortliche kann der Beauftragung innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen.
Der Auftragsverarbeiter wird mit allen Unter-Auftragsverarbeitern Verträge schließen, die mindestens dasselbe Schutzniveau wie dieser AVV gewährleisten und insbesondere die Pflichten aus Art. 28 Abs. 3 DSGVO enthalten.
Der Verantwortliche
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Meldung erfolgt per E-Mail an die vom Verantwortlichen benannte Datenschutzkontaktadresse.
Die Meldung enthält mindestens:
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach Unionsrecht oder nationalem Recht eine Verpflichtung zur Speicherung besteht.
Der Verantwortliche kann seine Daten jederzeit über die DSGVO-Export-Funktion im CMS exportieren. Eine vollständige Löschung des Accounts inklusive aller Daten kann der Verantwortliche eigenständig über die Account-Löschungs-Funktion im CMS auslösen oder schriftlich beim Auftragsverarbeiter beantragen. Die Löschung erfolgt innerhalb von 30 Tagen nach Beendigung des Vertrages, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
Backups werden gemäß der in Anlage 1 (TOM) festgelegten Retention nach maximal 30 Tagen automatisch überschrieben.
Die Parteien haften gegenüber betroffenen Personen nach den Bestimmungen der Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für eigenes Verschulden nach den allgemeinen gesetzlichen Vorschriften. Die Haftung des Auftragsverarbeiters ist im Übrigen auf die Bestimmungen des Hauptvertrages beschränkt.
Bei Widersprüchen zwischen diesem AVV und Bestimmungen anderer Vereinbarungen, insbesondere des Hauptvertrages, gehen die Regelungen dieses AVV vor.
Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Aufhebung dieser Klausel.
Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen davon unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommt.
Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist, soweit gesetzlich zulässig, Reutlingen, Deutschland.
Bestandteil dieses Vertrages sind: