Courtesy-Übersetzung: Nur die französische Fassung, die französischem Recht unterliegt, ist verbindlich. Sie ist unter folgender Adresse abrufbar: https://promomedia.fr/sous-traitance
Auftragsverarbeitungsvereinbarung für personenbezogene Daten
Artikel 28 DSGVO. Diese Vereinbarung ist Bestandteil der Allgemeinen Geschäftsbedingungen (Artikel 11.2).
Zwischen:
- Dem Kunden, wie in seinem Konto und seiner Bestellung angegeben („der Verantwortliche“);
- PROMOMÉDIA, SAS mit einem Kapital von 1 €, RCS Nanterre 948 206 438, 99 avenue Achille Peretti, 92200 Neuilly-sur-Seine („der Auftragsverarbeiter“).
Sie gilt, solange PROMOMÉDIA im Auftrag des Kunden personenbezogene Daten verarbeitet.
Artikel 1 – Gegenstand
Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen die personenbezogenen Daten der Hörer der bereitgestellten Apps, Websites und Dienste (Streaming, mobile Apps, Radio-Websites, Alexa-Skills), ausschließlich zur Erbringung dieser Dienste.
Artikel 2 – Beschreibung der Verarbeitung
- Zweck: Betrieb der Dienste (Benachrichtigungen, Grüße, Hörerstatistiken, Anzeige der Inhalte).
- Art: Erhebung, Hosting, Übermittlung, Abfrage, Löschung.
- Betroffene Personen: Hörer und Nutzer der Apps und Websites des Kunden.
- Datenarten: Benachrichtigungs-Token (Gerätekennung), Pseudonyme und Grußnachrichten, IP-Adresse, technische Verbindungsdaten, Hörerstatistiken.
- Dauer: die des Vertrags, danach Löschung gemäß Artikel 9.
Artikel 3 – Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (die AGB, die normale Nutzung des Dienstes und seine Einstellungen gelten als Weisung). Er informiert den Verantwortlichen, wenn ihm eine Weisung der DSGVO zuwiderzulaufen scheint.
Artikel 4 – Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet und im Datenschutz geschult sind.
Artikel 5 – Sicherheit
Der Auftragsverarbeiter setzt dem Risiko angemessene technische und organisatorische Maßnahmen um, insbesondere: Verschlüsselung des Datenaustauschs, Zugangskontrolle, verstärkte Authentifizierung für das Team, Sicherungen, Protokollierung, Sicherheitsupdates.
Artikel 6 – Weitere Auftragsverarbeiter
6.1. Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter, deren Liste im Anhang steht.
6.2. Der Auftragsverarbeiter informiert den Verantwortlichen über jede Hinzufügung oder Ersetzung mit einer Frist von 30 Tagen; der Verantwortliche kann aus einem vernünftigen Grund widersprechen und, wenn keine Einigung erzielt wird, den betroffenen Dienst kündigen.
6.3. Der Auftragsverarbeiter erlegt seinen eigenen Auftragsverarbeitern dieselben Schutzpflichten auf und bleibt gegenüber dem Verantwortlichen für deren Erfüllung verantwortlich.
Artikel 7 – Rechte der Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete Maßnahmen bei der Bearbeitung von Anträgen zur Ausübung der Rechte (Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung, Übertragbarkeit). Erhält er einen Antrag direkt, leitet er ihn innerhalb von 5 Werktagen an den Verantwortlichen weiter, ohne ihn selbst zu beantworten.
Artikel 8 – Verletzung des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden, nachdem er davon Kenntnis erlangt hat, unter Angabe der Art der Verletzung, der betroffenen Daten, ihrer wahrscheinlichen Folgen und der ergriffenen Maßnahmen. Der Verantwortliche bleibt dafür zuständig, bei Bedarf die CNIL und die betroffenen Personen zu benachrichtigen.
Artikel 9 – Schicksal der Daten bei Vertragsende
Am Ende des Dienstes löscht der Auftragsverarbeiter die Daten oder gibt sie nach Wahl des Verantwortlichen zurück. Die Daten werden nach der Kündigung 30 Tage aufbewahrt (Artikel 12.3 der AGB) und dann gelöscht, außer bei gesetzlicher Aufbewahrungspflicht.
Artikel 10 – Übermittlungen außerhalb der Europäischen Union
Die Daten werden in Frankreich gehostet. Nur die Benachrichtigungsdienste der Plattformen (siehe Anhang) können eine Übermittlung außerhalb der Europäischen Union beinhalten; sie erfolgt nur mit geeigneten Garantien (Angemessenheitsbeschluss oder Standardvertragsklauseln).
Artikel 11 – Unterstützung und Audit
11.1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung seiner Pflichten zu Sicherheit, Datenschutz-Folgenabschätzung und vorheriger Konsultation der CNIL, soweit seine Informationen reichen.
11.2. Er stellt die Informationen bereit, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, und ermöglicht Audits, außer bei Vorfällen einmal pro Jahr, auf schriftliche Anfrage mit angemessener Vorankündigung, auf Kosten des Verantwortlichen und ohne die Sicherheit der übrigen Kunden zu gefährden.
Artikel 12 – Haftung
Jede Partei haftet für ihre Verstöße gegen die DSGVO nach den Bedingungen des allgemeinen Rechts, innerhalb der in Artikel 9 der AGB festgelegten Grenzen, unbeschadet der Rechte der betroffenen Personen.
Artikel 13 – Verzeichnis und Dokumentation
Der Auftragsverarbeiter führt das Verzeichnis seiner Verarbeitungstätigkeiten im Auftrag von Kunden (Artikel 30 Absatz 2 DSGVO).
Anhang – Weitere Auftragsverarbeiter
| Auftragsverarbeiter | Rolle | Standort |
|---|---|---|
| o2switch | Hosting der Plattform | Frankreich |
| o2switch | Versand von E-Mails | Frankreich |
| Google (Firebase Cloud Messaging) | Android-Benachrichtigungen | EU / USA (Standardvertragsklauseln) |
| Apple (APNs) | iOS-Benachrichtigungen | USA (Standardvertragsklauseln) |
| Stripe | Zahlung (Zahlungsdaten des Kunden, ohne Hörer) | EU / USA |
Stand: 4. November 2026.