Vereinbarung über die Verarbeitung personenbezogener Daten in gemeinsamer Verantwortlichkeit (Art. 26 DSGVO)

zwischen

Stageapp Services GmbH, vertreten durch den Geschäftsführer Sebastian Kraft, Kieselweg 1, 22395 Hamburg, Betreiberin der Plattform Castapp (castapp.pro), nachfolgend "Castapp"

und

dem Inhaber eines Caster-Kontos im Sinne der Nutzungsbedingungen von Castapp, nachfolgend "Kunde"

§ 1 Gegenstand und Einbeziehung

(1) Zwischen den Parteien besteht ein Vertragsverhältnis über die Nutzung der Plattform Castapp ("Hauptvertrag"), das die Erbringung von SaaS-Dienstleistungen durch Castapp beinhaltet. Über die Plattform greift der Kunde auf Profil- und Bewerbungsdaten von Künstlern zu, reichert diese mit eigenen Daten an und verwaltet eigene Daten aus Produktionen und Castings.

(2) Für die in Anlage 2 beschriebenen Verarbeitungstätigkeiten bestimmen die Parteien gemeinsam über Zwecke und Mittel der Verarbeitung im Sinne von Art. 4 Nr. 7 DSGVO. Diese Vereinbarung legt nach Art. 26 Abs. 1 DSGVO fest, welche Partei welche Pflichten der DSGVO erfüllt.

(3) Die Vereinbarung wird Vertragsbestandteil, indem der Kunde sie bei der Registrierung oder Buchung aktiv bestätigt, ihr auf Aufforderung innerhalb der Plattform zustimmt oder sie als Anlage zum Hauptvertrag unterzeichnet. Castapp dokumentiert die Bestätigung beziehungsweise die Unterzeichnung. Mit Wirksamwerden ersetzt diese Vereinbarung alle früheren Vereinbarungen der Parteien über die gemeinsame Verantwortlichkeit.

§ 2 Phasen der Verarbeitung und Verantwortlichkeit

(1) Gemeinsame Verantwortlichkeit besteht ausschließlich für die in Anlage 2 beschriebenen Verarbeitungstätigkeiten innerhalb der Plattform. Dazu zählt auch die Bereitstellung von Daten zum Abruf über die von Castapp angebotenen programmatischen Schnittstellen (Webhooks, MCP).

(2) Für die Erhebung und Speicherung der Künstlerprofile sowie den Betrieb der Plattform ist Castapp allein verantwortlich. Diese Verarbeitungen sind nicht Gegenstand dieser Vereinbarung; sie sind in der Datenschutzerklärung auf castapp.pro beschrieben.

(3) Jede Verarbeitung außerhalb der Plattform erfolgt in alleiniger Verantwortlichkeit des Kunden. Das gilt insbesondere für Daten, die der Kunde über Exporte oder programmatische Schnittstellen abruft und in eigenen Anwendungen verarbeitet, einschließlich KI-Anwendungen. Die alleinige Verantwortlichkeit des Kunden beginnt mit dem Abruf.

(4) Für Verarbeitungen nach Absatz 3 gelten die Pflichten des Kunden aus dem Hauptvertrag, insbesondere: Verarbeitung ausschließlich für eigene Castingzwecke, kein Training von KI-Modellen mit personenbezogenen Daten von der Plattform, Abschluss erforderlicher Auftragsverarbeitungsverträge mit eigenen Dienstleistern, Sicherstellung zulässiger Drittlandübermittlungen, Löschung nicht mehr erforderlicher Daten, keine ausschließlich automatisierten Auswahlentscheidungen im Sinne von Art. 22 DSGVO sowie Einhaltung der jeweils anwendbaren Pflichten aus der Verordnung (EU) 2024/1689 über künstliche Intelligenz.

§ 3 Beschreibung der Verarbeitung

(1) Zweck, Art und Umfang der Verarbeitung ergeben sich aus dem Hauptvertrag und der Funktionsbeschreibung der Plattform.

(2) Die Datenarten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben.

§ 4 Zuständigkeiten

(1) Die Zuweisung der Zuständigkeiten für die gemeinsam verantworteten Verarbeitungstätigkeiten ergibt sich aus Anlage 2.

(2) Castapp ist zuständig für den Betrieb der Plattform, die technischen und organisatorischen Maßnahmen der Plattform, die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO, die federführende Erfüllung der Betroffenenrechte sowie die Meldungen nach Art. 33 und 34 DSGVO, jeweils bezogen auf die gemeinsam verantworteten Verarbeitungen.

(3) Der Kunde ist zuständig für die Richtigkeit und Rechtmäßigkeit der von ihm eingebrachten Inhalte, die Vergabe und Pflege der Berechtigungen seiner Nutzer, die rechtmäßige Nutzung der Plattformfunktionen sowie die Information der Betroffenen über seine eigenen Verarbeitungen außerhalb der Plattform.

§ 5 Informationspflichten

(1) Castapp erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO für die gemeinsam verantworteten Verarbeitungen über die Datenschutzerklärung auf castapp.pro und stellt dort das Wesentliche dieser Vereinbarung nach Art. 26 Abs. 2 DSGVO zur Verfügung.

(2) Der Kunde verweist in seinen eigenen Datenschutzhinweisen auf die gemeinsame Verantwortlichkeit und auf die Datenschutzerklärung von Castapp.

(3) Castapp stellt dem Kunden eine öffentlich einsehbare Unterseite auf der Plattform zur Verfügung, auf der der Kunde eine eigene Datenschutzerklärung für seine Verarbeitungen außerhalb der Plattform veröffentlichen kann.

§ 6 Betroffenenrechte

(1) Betroffene Personen können ihre Rechte nach Art. 15 ff. DSGVO gegenüber beiden Parteien geltend machen (Art. 26 Abs. 3 DSGVO).

(2) Für die gemeinsam verantworteten Verarbeitungen bearbeitet Castapp die Anfragen federführend. Geht eine Anfrage beim Kunden ein, leitet er sie unverzüglich an Castapp weiter und unterstützt Castapp auf Anfrage rechtzeitig vor Ablauf der gesetzlichen Fristen mit den erforderlichen Informationen.

(3) Für Verarbeitungen in alleiniger Verantwortlichkeit des Kunden (§ 2 Abs. 3) erfüllt der Kunde die Betroffenenrechte selbst.

§ 7 Datensicherheit

(1) Jede Partei trifft für die von ihr verantworteten Verarbeitungsschritte die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Der Kunde hält Zugangsdaten und Schnittstellen-Zugänge geheim und stellt sicher, dass nur berechtigte Personen sie nutzen. Der Zugriff über programmatische Schnittstellen erfolgt im Rahmen der im Konto vergebenen Berechtigungen und Zugriffsstufen.

§ 8 Datenschutzverletzungen

(1) Für Prüfung, Bearbeitung und Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 und 34 DSGVO ist bei den gemeinsam verantworteten Verarbeitungen Castapp zuständig.

(2) Die Parteien unterrichten einander unverzüglich über jede Verletzung im Sinne von Art. 4 Nr. 12 DSGVO und stellen einander alle Informationen zur Verfügung, die zur Prüfung und zur Erfüllung der Meldepflichten erforderlich sind. Jede Partei ergreift in ihrer Organisation unverzüglich Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen für die Betroffenen.

(3) Vor Meldungen und vor Antworten auf behördliche Anfragen stimmen sich die Parteien ab, soweit dies innerhalb der gesetzlichen Fristen möglich und rechtlich zulässig ist. Die Einhaltung der Fristen aus Art. 33 und 34 DSGVO hat Vorrang.

(4) Die Parteien zeigen einander unverzüglich an, wenn sich eine Aufsichtsbehörde im Zusammenhang mit dieser Vereinbarung an sie wendet.

§ 9 Auftragsverarbeiter

(1) Castapp setzt für die gemeinsam verantworteten Verarbeitungen Auftragsverarbeiter nach Art. 28 DSGVO ein und führt sie in einer aktuellen, für den Kunden zugänglichen Liste (Anlage 3). Über die Aufnahme neuer Auftragsverarbeiter informiert Castapp den Kunden in Textform oder innerhalb der Plattform mit angemessenem Vorlauf. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; die Parteien suchen in diesem Fall eine zumutbare Lösung.

(2) Auftragsverarbeiter, die der Kunde für seine Verarbeitungen in alleiniger Verantwortlichkeit (§ 2 Abs. 3) einsetzt, insbesondere Anbieter von KI-Anwendungen, bedürfen keiner Zustimmung von Castapp. Der Kunde stellt für diese die Einhaltung von Art. 28 und Art. 44 ff. DSGVO selbst sicher.

§ 10 Vertraulichkeit und Datenschutzbeauftragte

(1) Die Parteien verpflichten alle mit der Datenverarbeitung befassten Personen zur Vertraulichkeit.

(2) Sofern und solange die gesetzlichen Voraussetzungen vorliegen, benennen die Parteien einen Datenschutzbeauftragten nach Art. 37 DSGVO beziehungsweise § 38 BDSG und machen dessen Kontaktdaten zugänglich.

§ 11 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach den gesetzlichen Vorschriften; Art. 26 Abs. 3 DSGVO bleibt unberührt.

(2) Im Innenverhältnis haften die Parteien einander nur für ihren Anteil an der haftungsauslösenden Ursache. Das gilt entsprechend für Geldbußen, sofern die belastete Partei die Rechtsmittel gegen den Bußgeldbescheid ausgeschöpft hat. Bleibt eine Partei mit einer Geldbuße belastet, die ihrem Verantwortungsanteil nicht entspricht, stellt die andere Partei sie in dem Umfang frei, in dem sie die Verantwortung für den Verstoß trägt.

§ 12 Laufzeit, Änderungen, Schlussbestimmungen

(1) Laufzeit und Beendigung richten sich nach dem Hauptvertrag. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung für die Verarbeitung in gemeinsamer Verantwortlichkeit vor.

(2) Castapp kann diese Vereinbarung anpassen, soweit dies wegen geänderter Rechtslage, behördlicher Vorgaben oder der Weiterentwicklung der Plattform erforderlich ist. Anpassungen werden dem Kunden in der Plattform zur ausdrücklichen Bestätigung vorgelegt und mit der Bestätigung wirksam; Castapp protokolliert die Bestätigung. Bis zur Bestätigung gilt die bisherige Fassung fort.

(3) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Vereinbarung im Übrigen wirksam. An die Stelle der unwirksamen Regelung tritt eine Regelung, die dem Zweck der unwirksamen Regelung und den Anforderungen des Art. 26 DSGVO am nächsten kommt.

(4) Es gilt deutsches Recht. Gerichtsstand ist Hamburg.

Anlage 1: Datenarten und betroffene Personen

Kategorien betroffener Personen:

1. Künstler mit Castapp-Profil
2. Kinder mit Junior-Profil, vertreten durch ihre Erziehungsberechtigten
3. Nutzer und Ansprechpartner des Kunden
4. Ansprechpartner von Castapp

Datenarten der Künstler:

• Stammdaten und Kontaktdaten: Vorname, Nachname, Geburtsdatum, E-Mail, Telefon, Ort, Nationalität
• Rollenfach-Angaben: Rollengeschlecht, Rollenaussehen (freiwillige Angabe, "Keine Angabe" wählbar), Spielalter
• Berufsangaben: Berufe, Vita, Ausbildung, Repertoire, Schlagworte
• Körperliche Merkmale: Größe, Konfektion, Haarlänge, Tattoos, Piercings
• Sprachen: Muttersprache, Fremdsprachen
• Fähigkeiten: tänzerische und gesangliche Fähigkeiten, Instrumente, besondere Fähigkeiten
• Medien und Dateien: Fotos, Videos, Audios, PDF-Dokumente
• Bewerbungsdaten: Bewerbungen, Bewerbungsstatus, Mitteilungen zu Bewerbungen, Audition-Termine
• Vom Kunden ergänzte Daten: Notizen, Tags, Bewertungen, Dateien, Vertragsdaten (Titel, Zeitraum, Status)
• Nutzungs- und Protokolldaten der Plattform und der Schnittstellen

Für Kinder mit Junior-Profil gelten die Datenarten der Künstler entsprechend; die Angaben werden vom Erziehungsberechtigten eingegeben. Junior-Profile sind vom Zugriff über programmatische Schnittstellen vollständig ausgenommen (§3e der Nutzungsbedingungen).

Zugangsdaten (Passwörter) verwaltet Castapp allein als Teil des Plattformbetriebs; sie sind nicht Gegenstand der gemeinsamen Verantwortlichkeit.

Datenarten der Nutzer des Kunden: Vorname, Nachname, E-Mail, Profilbild, Berechtigungen und Zugriffsstufen, Protokolldaten.

Hinweis: Die Rollenfach-Angaben sind freiwillige berufliche Selbstauskünfte der Künstler. Soweit aus ihnen oder aus Medien Merkmale im Sinne von Art. 9 DSGVO ableitbar sind, behandeln die Parteien diese Daten mit besonderer Sorgfalt.

Anlage 2: Verarbeitungstätigkeiten in gemeinsamer Verantwortlichkeit und Zuständigkeiten

Aufbau je Verarbeitungsschritt: Zuständigkeit / primär verantwortlich für Betroffenenrechte

1. Suche und Sichtung von Künstlerprofilen im Rahmen der Plattformfunktionen: Kunde / Castapp
2. Anreicherung von Künstlerdaten in der eigenen Künstlerkartei (Notizen, Tags, Bewertungen, Dateien, Vertragsdaten): Kunde / Castapp
3. Änderung und Löschung dieser angereicherten Daten: Kunde / Castapp
4. Organisation und Verknüpfung von Künstlerdaten im Bewerbungsprozess (Auditions, Ort und Zeit von Terminen, Listen): Kunde / Castapp
5. Änderung und Löschung dieser verknüpften Daten: Kunde / Castapp
6. Kommunikation mit Künstlern über Plattformfunktionen (Mitteilungen zu Bewerbungen): Kunde / Castapp
7. Erhebung, Änderung und Löschung der Daten eigener Nutzer des Kunden (Name, E-Mail, Profilbild, Berechtigungen): Kunde / Castapp
8. Abruf von Profil- und Bewerbungsdaten über programmatische Schnittstellen (Webhooks, MCP): Auslösung durch den Kunden im Rahmen seiner Berechtigungen, Bereitstellung und Protokollierung durch Castapp / Castapp. Für die Verarbeitung ab erfolgtem Abruf gilt § 2 Abs. 3.

Die Erfüllung der Informationspflichten und die Meldungen nach Art. 33 und 34 DSGVO für die vorstehenden Tätigkeiten liegen nach §§ 5 und 8 bei Castapp.

Anlage 3: Auftragsverarbeiter von Castapp

Castapp setzt für die gemeinsam verantworteten Verarbeitungen (Anlage 2) die folgenden Auftragsverarbeiter ein. Mit allen aufgeführten Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Die vollständige Liste aller Dienstleister von Castapp ist in der Datenschutzerklärung auf castapp.pro veröffentlicht; für Änderungen gilt das Verfahren nach § 9 Abs. 1.

Nicht Bestandteil dieser Anlage, weil außerhalb der gemeinsam verantworteten Verarbeitungen: Stripe (Zahlungsabwicklung), Zoom (Schulungen und Videokonferenzen), Slack (interne Kommunikation), Direct Mail (Newsletter-Versand), Anthropic (interne KI-Nutzung), Chatbase (Support-Bot für Künstler), United-Domains (Domainverwaltung). Diese Dienstleister sind in der Datenschutzerklärung aufgeführt.