Vertrag zur Auftragsverarbeitung

Stand: 10. Oktober 2026. Vertrag nach Art. 28 Abs. 3 DSGVO für Kunden, die Bumely für ihr Unternehmen nutzen (Creator mit Gewerbe, Agenturen, Firmen). Auftragsverarbeiter ist tayger, Inhaber Tayger Galster, Regensburger Straße 138, 90478 Nürnberg (siehe Impressum). Für private Nutzer gilt die Datenschutzerklärung; dieser Vertrag ist für sie nicht nötig.

So kommt der Vertrag zustande

Schick uns eine E-Mail an info@bumely.com mit dem Betreff „AVV“, dem Namen deines Unternehmens, deiner Anschrift und der E-Mail-Adresse deines Bumely-Kontos. Wir bestätigen den Vertrag per E-Mail; ab dieser Bestätigung gilt er für alle Videos, die du über dieses Konto verarbeitest. Die beiden E-Mails sind der Vertrag in elektronischer Form (Art. 28 Abs. 9 DSGVO). Brauchst du eine unterschriebene Fassung, schicken wir sie dir als PDF.

1. Gegenstand und Dauer

Du (Verantwortlicher) lädst Videos in das Bumely Studio hoch; wir (Auftragsverarbeiter) schneiden Pausen heraus, erstellen Untertitel, schlagen einen Beitragstext vor, liefern die fertigen Videos und übermitteln sie auf deine Anweisung an die Plattform, die du zum Veröffentlichen wählst. Der Vertrag gilt, solange dein Bumely-Konto besteht, und endet mit dessen Löschung oder mit deiner Kündigung per E-Mail.

2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Art der Verarbeitung: Speichern, Schneiden, Spracherkennung (Transkription), Untertiteln, Rendern, Übermitteln. Zweck: ausschließlich das Erstellen und Veröffentlichen deiner Videos in deinem Auftrag. Datenarten: Video- und Tonaufnahmen, Standbilder, Transkripte und Untertitel, Beitragstexte, Dateinamen, Zeitangaben. Betroffene Personen: du, die Personen, die in deinen Videos zu sehen oder zu hören sind, und Personen, deren Namen oder Angaben im Gesprochenen vorkommen.

3. Weisungen

Wir verarbeiten die Daten nur auf deine dokumentierte Weisung. Deine Weisungen sind dieser Vertrag und das, was du im Studio auslöst: Hochladen, Look wählen, Schneiden, Fertigstellen, Herunterladen, Sichern, Veröffentlichen und Löschen. Weitere Weisungen schickst du per E-Mail an info@bumely.com. Halten wir eine Weisung für rechtswidrig, sagen wir dir das sofort und dürfen sie bis zur Klärung aussetzen. Zu einer Übermittlung in ein Drittland über das hinaus, was in Abschnitt 6 steht, sind wir nur verpflichtet, wenn das Recht der EU oder Deutschlands es verlangt; dann teilen wir dir das vorher mit, soweit das erlaubt ist.

4. Vertraulichkeit

Zugriff auf deine Daten hat nur der Inhaber; er ist zur Vertraulichkeit verpflichtet. Beschäftigte gibt es derzeit nicht. Kommen welche hinzu, verpflichten wir sie schriftlich zur Vertraulichkeit, bevor sie Zugang bekommen.

5. Sicherheit der Verarbeitung (Art. 32 DSGVO)

Wir treffen die technischen und organisatorischen Maßnahmen aus unserer Maßnahmenbeschreibung; du bekommst sie auf Anfrage an info@bumely.com. Dazu gehören: Server in einem Rechenzentrum in Frankfurt am Main, Verschlüsselung aller Verbindungen (HTTPS, TLS), Wartungszugang nur per SSH-Schlüssel, Firewall und Sperre bei Fehlversuchen, getrennte Datenordner je Konto, automatische Löschung der Videos nach 7 Tagen, verschlüsselte Ablage von Plattform-Schlüsseln, Fehlerberichte ohne Inhalte. Wir passen die Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

6. Weitere Auftragsverarbeiter

Du erlaubst uns allgemein, diese weiteren Auftragsverarbeiter einzusetzen:

Hostinger International Ltd., Larnaka, Zypern: Server in Frankfurt am Main (Speichern und Verarbeiten aller Daten).
Groq UK Limited, London, Großbritannien, mit Groq LLC und Google Cloud in den USA: Spracherkennung und Beitragstext, nur Tonspur und Transkript, ohne Speicherung nach der Verarbeitung (Zero Data Retention). Übermittlung nach Art. 45 DSGVO (Großbritannien) und Art. 46 Abs. 2 lit. c DSGVO (Standardvertragsklauseln).
Supabase Pte. Ltd., Singapur, Daten in Frankfurt am Main: nur Konto und Anmeldung, keine Videos.
Plus Five Five, Inc. (Resend), USA: Versand von E-Mails, keine Videos; EU-US Data Privacy Framework.
Functional Software, Inc. (Sentry), USA, Datenhaltung in Frankfurt am Main: Fehlerberichte ohne Inhalte.
Cloudflare, Inc., USA: Bot-Schutz bei Anmeldung und Registrierung, keine Videos.

Plattformen, an die wir dein Video auf deine Anweisung übermitteln (TikTok, Instagram, YouTube, Buffer), sind keine Auftragsverarbeiter von uns; für sie gilt dein eigener Vertrag mit der Plattform. Wollen wir einen weiteren Auftragsverarbeiter einsetzen oder ersetzen, teilen wir dir das mindestens 14 Tage vorher per E-Mail mit. Du kannst aus wichtigem Grund widersprechen; dann kannst du den Vertrag kündigen und dein Konto löschen. Mit jedem weiteren Auftragsverarbeiter schließen wir einen Vertrag, der ihm dieselben Pflichten auferlegt wie uns dieser Vertrag.

7. Rechte der betroffenen Personen

Wenden sich betroffene Personen an uns, leiten wir die Anfrage an dich weiter und beantworten sie nicht selbst. Wir unterstützen dich mit den Mitteln des Studios dabei, Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragung zu erfüllen: Du kannst Videos, Transkripte und Beitragstexte jederzeit selbst herunterladen, ändern und löschen; deine Kontodaten exportierst du im Studio unter „Meine Daten herunterladen“.

8. Unterstützung bei Art. 32 bis 36 DSGVO

Wir unterstützen dich bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde, soweit es unsere Verarbeitung betrifft. Eine Verletzung des Schutzes deiner Daten melden wir dir ohne unangemessene Verzögerung, spätestens 48 Stunden, nachdem wir davon erfahren haben, mit allem, was wir dazu wissen.

9. Löschung und Rückgabe

Videos, Tonspuren, Transkripte und fertige Dateien löschen wir 7 Tage nach dem Hochladen von selbst, auf deinen Wunsch früher. Nach Ende des Vertrags löschen wir alle übrigen Daten deines Kontos, sobald du dein Konto löschst, spätestens 30 Tage nach deiner Kündigung, es sei denn, eine gesetzliche Pflicht verlangt eine längere Aufbewahrung. Sicherungen des Hosters werden spätestens nach drei Wochen überschrieben. Vorher kannst du alles selbst herunterladen.

10. Nachweise und Kontrollen

Wir stellen dir alle Informationen bereit, die du brauchst, um die Einhaltung dieses Vertrags nachzuweisen: auf Anfrage die Maßnahmenbeschreibung, dieses Dokument, Angaben zu den weiteren Auftragsverarbeitern und Antworten auf deine Fragen. Eine Prüfung vor Ort oder durch einen von dir beauftragten Prüfer ist nach Ankündigung von 14 Tagen während der Geschäftszeiten möglich, höchstens einmal im Jahr, es sei denn, es gab einen Vorfall. Die Kosten einer solchen Prüfung trägst du. Für das Rechenzentrum gelten die Nachweise unseres Hosters.

11. Sonstiges

Dieser Vertrag geht bei Widersprüchen den Nutzungsbedingungen vor, soweit es um den Datenschutz geht. Es gilt deutsches Recht. Änderungen teilen wir dir per E-Mail mit; sie gelten als angenommen, wenn du nicht innerhalb von 30 Tagen widersprichst, worauf wir dich in der E-Mail hinweisen.