Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Dieser Auftragsverarbeitungsvertrag («AV-Vertrag») ergänzt den Leistungsvertrag zwischen

• Auftraggeberin / Auftraggeber («Verantwortliche»): das Unternehmen, das Mumbocetra-Leistungen bucht und personenbezogene Daten von Gästen, Musikerinnen, Sprecherinnen oder Mitarbeitenden an uns übergibt;
• Mumbocetra GmbH, Neubaugasse 40, 1070 Wien («Auftragsverarbeiterin» / «wir»), UID ATU62832297.

Gegenstand ist die Verarbeitung personenbezogener Daten durch uns ausschließlich zur Erbringung von Tonstudio-Leistungen (Aufnahme, Mischung, Mastering, Podcast-Produktion — siehe Leistungen), soweit der Auftraggeber Verantwortlicher bleibt.

2. Dauer und Kündigung

Der AV-Vertrag gilt für die Dauer des zugrunde liegenden Leistungsvertrags und endet mit dessen Beendigung, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Nach Ende löschen oder anonymisieren wir die betroffenen Daten innerhalb von 24 Monaten, sofern der Auftraggeber keine frühere Löschung schriftlich verlangt und keine längere Frist vereinbart wurde (Archivierung in den AGB).

3. Art, Zweck und Kategorien

Art der Verarbeitung: Erhebung, Speicherung, Organisation, Abhörung, Bearbeitung, Übermittlung per Download-Link, Löschung.

Zweck: Durchführung der gebuchten Studio- oder Remote-Leistung, Qualitätssicherung (z. B. 2 Korrekturrunden bei Mix/Master), technische Exporte an den Auftraggeber.

Kategorien betroffener Personen: Podcast-Gäste, Musikerinnen, Sängerinnen, Sprecherinnen, Moderatorinnen, technisches Personal des Auftraggebers.

Datenkategorien: Name, Kontakt, Stimme und Performance, ggf. Bild- und Videoaufnahmen, die der Auftraggeber mitbringt, Metadaten zu Terminen und Rechnungen des Auftraggebers.

Besondere Kategorien nach Art. 9 DSGVO verarbeiten wir nicht absichtlich; der Auftraggeber unterlässt deren Übermittlung.

4. Weisungen und Pflichten des Auftraggebers

Der Auftraggeber stellt sicher, dass eine Rechtsgrundlage für die Verarbeitung besteht (Einwilligung, Vertrag, berechtigtes Interesse) und informiert betroffene Personen angemessen — etwa über Gastfreigaben (Ratgeber).

Weisungen erteilt der Auftraggeber schriftlich (E-Mail genügt) an [email protected]. Weicht eine Weisung von gesetzlichen Pflichten ab, informieren wir den Auftraggeber.

Der Auftraggeber benennt einen Ansprechpartner für Datenschutzfragen und teilt uns Änderungen mit.

5. Pflichten der Auftragsverarbeiterin

Wir verarbeiten Daten nur auf dokumentierte Weisung, einschließlich der in diesem AV-Vertrag und im Leistungsvertrag beschriebenen Zwecke. Wir unterstützen den Auftraggeber bei Auskunfts- und Löschersuchen, soweit zumutbar und gesetzlich zulässig.

Wir stellen sicher, dass unter unserer Verantwortung handelnde Personen zur Vertraulichkeit verpflichtet sind. Details zur allgemeinen Datenschutzpraxis: Datenschutzerklärung.

6. Technische und organisatorische Maßnahmen

Wir setzen angemessene TOMs nach Art. 32 DSGVO um, insbesondere:

• Zugriffskontrolle auf Studio-Systeme und Projektordner nur für autorisierte Mitarbeitende;
• Verschlüsselung von Datenträgern und HTTPS für Website und Übertragungen, soweit verfügbar;
• Getrennte Projektverzeichnisse pro Auftrag;
• Physische Sicherung der Räume in Wien außerhalb der Öffnungszeiten Di–Fr 9–20, Sa 10–16;
• Regelmäßige Löschung nach 24 Monaten.

Einzelheiten können auf Anfrage in einem Anhang dokumentiert werden.

7. Subunternehmer

Der Auftraggeber erteilt eine allgemeine schriftliche Genehmigung für folgende Subunternehmer, die personenbezogene Daten im Auftrag verarbeiten können:

• World4You Internet Services GmbH, Hafenstraße 47–51, 4020 Linz, Austria — Hosting;
• FormSubmit — Weiterleitung des Kontaktformulars (USA, siehe Datenschutzerklärung Drittland).

Weitere Subunternehmer setzen wir nur nach vorheriger Information oder ausdrücklicher Zustimmung ein, sofern gesetzlich erforderlich. Wir schließen mit Subunternehmern Verträge nach Art. 28 Abs. 4 DSGVO.

8. Übermittlungen in Drittländer

Primär verarbeiten wir in Österreich. Soweit FormSubmit oder andere Hilfsdienste in Drittländern eingesetzt werden, erfolgt dies nur mit geeigneten Garantien oder auf Grundlage der in der Datenschutzerklärung beschriebenen Ausnahmen. Der Auftraggeber kann direkte E-Mail-Kommunikation wählen, um FormSubmit zu umgehen.

9. Unterstützung, Meldungen und Audits

Wir unterstützen den Auftraggeber bei Datenschutz-Folgenabschätzungen und Behördenanfragen, soweit unsere Leistung betroffen ist. Verletzungen des Schutzes personenbezogener Daten melden wir dem Auftraggeber unverzüglich, nachdem uns ein Risiko bekannt wurde, mit den Informationen aus Art. 33 DSGVO, soweit vorhanden.

Der Auftraggeber darf unsere TOMs einmal jährlich nach Terminvereinbarung prüfen oder durch einen Prüfer prüfen lassen — ohne Störung des Studio-Betriebs und unter Wahrung der Vertraulichkeit anderer Kunden.

10. Rückgabe und Löschung

Nach Leistungsende stellen wir die vereinbarten Exportdateien bereit. Auf schriftliche Weisung löschen wir Kopien auf unseren Systemen innerhalb angemessener Frist, sofern keine gesetzliche Aufbewahrung (z. B. Rechnungsdaten sieben Jahre) entgegensteht. Backup-Medien werden im üblichen Rotationszyklus überschrieben.

11. Haftung und Schlussbestimmungen

Haftungsfragen richten sich nach dem Leistungsvertrag und den AGB, soweit der AV-Vertrag nichts Abweichendes regelt. Es gilt österreichisches Recht. Gerichtsstand für Unternehmer ist Wien, soweit zulässig.

Der AV-Vertrag kann zusammen mit der Auftragsbestätigung per E-Mail akzeptiert werden («AV-Vertrag gemäß mumbocetra.click/auftragsverarbeitungsvertrag.html anerkannt»). Kontakt: [email protected], 01 966 12 34. Stand 15. Oktober 2026, aktualisiert 15. Oktober 2026.