Vereinbarung über die Auftragsverarbeitung (AVV / DPA)

§ 1 Gegenstand und Dauer des Auftrags

(1) Diese Vereinbarung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der Bereitstellung der Software-as-a-Service-Infrastruktur von Riser für den Verantwortlichen ergeben.

(2) Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen personenbezogene Daten von Endkunden (Fans) im Rahmen des Betriebs der Web-Storefronts, des Telegram-Bots, des Ticketings, der Aftershow und der Auszahlungsabwicklung.

(3) Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Nutzungsvertrages über das Riser Studio.

§ 2 Art der Daten und Kreis der betroffenen Personen

(1) Kategorien betroffener Personen: Endkunden, Fans, Abonnenten und Ticketkäufer des Verantwortlichen.

(2) Kategorien personenbezogener Daten:

• Stammdaten & Kontaktdaten (Name, E-Mail-Adresse, Lieferadresse, Telegram-User-ID, Telegram-Handle).
• Transaktions- & Bestelldaten (gekaufte Produkte, Tickets, Beträge, Zahlungsstatus, Widmungswünsche).
• Nutzungsdaten (Streaming-Zugriffe in der Aftershow, Download-Zeitstempel).
• Kommunikationsdaten (Chat-Nachrichten mit dem KI-Bot zur Beantwortung von Fan-Fragen).

§ 3 Pflichten und Weisungsgebundenheit des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das anwendbare Recht (Schweiz oder EU) zu einer anderweitigen Verarbeitung verpflichtet.

(2) Der Auftragsverarbeiter verwendet die überlassenen Daten für keine anderen Zwecke (insbesondere nicht für eigene Marketingzwecke oder zum eigenständigen Training von generativen KI-Modellen Dritter).

(3) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben.

§ 4 Technische und organisatorische Massnahmen (TOMs)

(1) Der Auftragsverarbeiter trifft alle erforderlichen technischen und organisatorischen Massnahmen gemäss Art. 32 DSGVO und Art. 8 nDSG, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Dies umfasst insbesondere:

• Verschlüsselung: Durchgehende Transportverschlüsselung via TLS 1.3 sowie verschlüsselte Ruhedatenspeicherung (Encryption-at-Rest) in der PostgreSQL-Datenbank.
• Zutritts- & Zugriffskontrolle: Rollenbasierte Zugriffsbeschränkungen, Multi-Tenant-Isolation auf Datenbankebene (Tenant-ID-Trennung) und zeitlich begrenzte Session-Tokens.
• Verfügbarkeit & Belastbarkeit: Automatisierte Backups und Edge-Infrastruktur zur Gewährleistung der Betriebssicherheit.

§ 5 Unterauftragsverarbeiter (Sub-Processors)

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Sub-Processors) zur Erbringung der Plattformdienste hinzuzuziehen.

(2) Die aktuell eingesetzten Unterauftragsverarbeiter (insbesondere Neon Database, Stripe Inc., Cloudflare Inc., Telegram FZ-LLC, Anthropic PBC, OpenAI LLC, Railway Corp., Resend Inc.) sind transparent unter /legal/sub-processors aufgeführt.

(3) Mit allen Unterauftragsverarbeitern wurden vertragliche Vereinbarungen abgeschlossen, die den Anforderungen von Art. 28 DSGVO bzw. Art. 9 nDSG (inklusive EU-Standardvertragsklauseln / SCCs bei Drittlandtransfers) entsprechen.

§ 6 Rechte der betroffenen Personen & Datenportabilität

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen Massnahmen bei der Erfüllung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit).

(2) 100 % Datenhoheit: Der Verantwortliche kann die gesamten personenbezogenen Daten und Transaktionshistorien seiner Endkunden jederzeit eigenständig über das Riser Studio im CSV-Format exportieren.

§ 7 Löschung und Rückgabe von Daten nach Vertragsbeendigung

Nach Beendigung des Nutzungsvertrages löscht der Auftragsverarbeiter auf Verlangen des Verantwortlichen alle in dessen Auftrag verarbeiteten personenbezogenen Daten, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. buchhalterische Aufbewahrungsvorschriften) entgegenstehen.

§ 8 Anwendbares Recht und Gerichtsstand

Es gilt materielles Schweizer Recht. Ausschliesslicher Gerichtsstand ist Zürich, Schweiz.