Auftragsverarbeitungsvertrag

Die Vertragsparteien

Verantwortlicher (Auftraggeber)

Das Unternehmen, dessen Team mit ROLECALL spielt. Name, Anschrift und vertretungsbefugte Person bitte unten eintragen.

Auftragsverarbeiter

Herbert Fraydl
Bgm.-Michael-Grier-Gasse 2, Haus 38
2700 Katzelsdorf, Österreich
GISA-Zahl 39331700 · kontakt@shiya.at

1 · Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen das Spiel ROLECALL über games.shiya.at zur Verfügung und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Der Vertrag läuft, solange der Verantwortliche ein Board betreibt, und endet mit dessen Löschung.

2 · Art und Zweck der Verarbeitung

Durchführung des Spiels: Plätze anlegen und Links vergeben, Karten austeilen, Runden steuern, Übereinstimmung auszählen, das Ergebnis einmalig anzeigen. Dazu die Anmeldung der Führungskraft und, auf deren Anforderung, das Erzeugen von Kartentexten und Illustrationen.

3 · Art der Daten und Kreis der Betroffenen

Betroffen sind die Führungskraft und die Mitspielenden des Teams. Von der Führungskraft: E-Mail-Adresse und Anzeigename. Von Mitspielenden: ein von der Führungskraft vergebener Vorname, eine anonyme Kennung und die in einer Runde gelegte Karte samt Punkten. Dazu die Angaben zum Kartenset. Auf Veranlassung des Verantwortlichen: ein Foto einer Person je Rollenkarte, das an den Unterauftragsverarbeiter OpenAI übermittelt und dort zu einer Illustration verarbeitet wird — bei der ersten Erzeugung und bei jeder weiteren, die der Verantwortliche für diese Karte auslöst. Der Auftragsverarbeiter speichert das Foto dafür bei der Karte in einem privaten Speicher ohne Browserzugriff und protokolliert es nicht; er löscht es, sobald der Verantwortliche es entfernt, die Karte oder das Board löscht, spätestens zwölf Monate nach dessen letzter Anmeldung. Der Verantwortliche holt die Einwilligung der abgebildeten Person ein und bestätigt sie vor dem Upload. Es werden keine besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO verarbeitet; Freitexte über Personen sind in der Anwendung nicht vorgesehen.

4 · Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.

5 · Vertraulichkeit

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter ist ein Einzelunternehmen; Zugang hat ausschließlich der Inhaber.

6 · Technische und organisatorische Maßnahmen

Der Zugriff ist in der Datenbank durchgesetzt, nicht in der Oberfläche. Vor dem Aufdecken kann niemand die Karte einer anderen Person lesen, auch die Führungskraft nicht. Wer nicht Mitglied eines Boards ist, sieht davon nichts. Die persönlichen Platz-Links sind über die Schnittstelle nicht abrufbar. Die Übertragung erfolgt durchgehend verschlüsselt; Daten liegen verschlüsselt in Rechenzentren in der Europäischen Union. Die Maßnahmen sind in der Anlage im Einzelnen beschrieben.

7 · Unterauftragsverarbeiter

Der Verantwortliche stimmt den in der Anlage genannten Unterauftragsverarbeitern zu. Weitere werden vorab mitgeteilt; der Verantwortliche kann binnen vier Wochen widersprechen.

8 · Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und meldet ihm eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

9 · Löschung

Beendete Spiele bleiben mit ihren Runden und gelegten Karten im Sammelheft des Boards, bis der Verantwortliche das Board löscht — spätestens zwölf Monate nach seiner letzten Anmeldung; abgebrochene Spiele werden sofort gelöscht. Anonyme Zugänge ohne Platz werden nach sieben Tagen ohne Nutzung gelöscht. Kartensets, Karten und Bilder bestehen, bis der Verantwortliche sie löscht; mit dem Löschen des Boards gehen sie mit. Nach Vertragsende verbleiben keine Daten beim Auftragsverarbeiter.

10 · Nachweise

Der Auftragsverarbeiter weist die Einhaltung auf Anfrage nach und ermöglicht Überprüfungen. Die Prüfprotokolle der Zugriffsregeln werden bei jeder Änderung erneut ausgeführt und sind auf Anfrage einsehbar.

Anlage · Unterauftragsverarbeiter

Mit jedem der folgenden Dienste besteht ein Auftragsverarbeitungsvertrag.

Supabase Inc.

Datenbank, Anmeldung, Dateien · Irland (EU)

Vercel Inc.

Hosting der Anwendung · Frankfurt (EU)

Resend Inc.

Versand der Anmeldemails · EU/USA, Standardvertragsklauseln

OpenAI Ireland Ltd.

Kartentexte und Illustrationen · USA, Standardvertragsklauseln

An OpenAI gehen Teamname, Kontextsatz und Bildbeschreibungen. Personennamen, E-Mail-Adressen, Spielzüge und Ergebnisse gehen nie mit; das ist in der Anwendung durchgesetzt und nicht bloß zugesagt. Einzige Ausnahme, vom Verantwortlichen je Rollenkarte ausdrücklich veranlasst: ein Foto einer Person für deren Illustration (Rollenfoto, Ziffer 3). Das Foto wird bei der ersten und jeder weiteren Erzeugung für diese Karte übermittelt, dafür bei der Karte gespeichert und gelöscht, sobald der Verantwortliche es entfernt, die Karte oder das Board löscht — spätestens zwölf Monate nach seiner letzten Anmeldung; die Einwilligung der abgebildeten Person holt der Verantwortliche ein.

Unterschriften

Ort, Datum