Auftragsverarbeitungsvertrag

1. Rollen

Für die Daten der Hörerinnen und Hörer deiner Podcasts bist du verantwortlich; Puka verarbeitet sie in deinem Auftrag. Für die Daten deines Kontos, deines Teams und der Abrechnung ist Puka selbst verantwortlich; dafür gilt die Datenschutzerklärung.

2. Gegenstand, Art und Zweck

Puka liefert deine Episoden an Hörerinnen und Hörer aus und zählt die Abrufe, damit du in der Statistik siehst, wie oft, mit welchen Apps und aus welchen Ländern deine Episoden gehört werden. Andere Zwecke verfolgt Puka mit diesen Daten nicht; insbesondere verkauft Puka sie nicht und nutzt sie nicht für Werbung.

Betroffene Personen	Hörerinnen und Hörer deiner Podcasts, Besucherinnen und Besucher ihrer Websites
Datenarten	Hash der IP-Adresse (die IP-Adresse selbst wird nur zur Auslieferung verwendet und nicht gespeichert), Kennung der Podcast-App bzw. des Browsers, daraus erkannte App und Land, Zeitpunkt des Abrufs, abgerufene Episode
Dauer	Laufzeit des Vertrags über Puka Cloud
Ort der Verarbeitung	Eigene Server von Puka in Linz, Österreich

3. Weisungen

Puka verarbeitet die Daten nur nach deinen dokumentierten Weisungen. Diese ergeben sich aus den AGB, diesem Vertrag und deinen Einstellungen in Puka Cloud. Weitere Weisungen kannst du per E-Mail an office@puka.studio erteilen. Hält Puka eine Weisung für rechtswidrig, sagt Puka dir das unverzüglich. Ist Puka gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt Puka dir das vorher mit, sofern das Gesetz es nicht verbietet.

4. Vertraulichkeit

Zugang zu den Daten haben nur Personen, die ihn für den Betrieb von Puka Cloud brauchen und die zur Vertraulichkeit verpflichtet sind; diese Pflicht gilt auch nach dem Ende ihrer Tätigkeit.

5. Technische und organisatorische Maßnahmen

Puka trifft Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Pseudonymisierung: IP-Adressen werden nur als Hash gespeichert.
• Datensparsamkeit: einzelne Abrufe werden nach 13 Monaten gelöscht, darüber hinaus nur Tageswerte ohne Personenbezug aufbewahrt.
• Verschlüsselung: alle Verbindungen zu Puka Cloud laufen über HTTPS (TLS).
• Zugangskontrolle: die Server stehen in abgeschlossenen Räumen von Puka; Zugriff auf Systeme nur für berechtigte Personen mit eigenen Zugängen.
• Zugriffskontrolle: Daten einer Organisation sind nur für deren Mitglieder sichtbar; Rollen regeln, wer was ändern darf.
• Verfügbarkeit: laufende Überwachung der Dienste mit Benachrichtigung bei Ausfällen.

Puka passt diese Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

6. Unterauftragsverarbeiter

Für die Daten der Hörerinnen und Hörer setzt Puka derzeit keine Unterauftragsverarbeiter ein: Auslieferung, Zählung und Speicherung laufen auf den eigenen Servern von Puka. Will Puka künftig einen Unterauftragsverarbeiter einsetzen, informiert Puka dich mindestens 30 Tage vorher per E-Mail. Du kannst aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, kannst du den Vertrag zum Wirksamwerden der Änderung kündigen. Puka verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Pflichten wie in diesem Vertrag.

7. Unterstützung

Puka unterstützt dich dabei, Anfragen von betroffenen Personen zu beantworten (Art. 12 bis 22 DSGVO), sowie bei Datenschutz-Folgenabschätzungen und der Zusammenarbeit mit Behörden, soweit es die Verarbeitung durch Puka betrifft. Erhält Puka eine Anfrage einer betroffenen Person zu deinen Podcasts, leitet Puka sie an dich weiter.

8. Verletzungen des Schutzes

Erfährt Puka von einer Verletzung des Schutzes personenbezogener Daten, die deine Podcasts betrifft, informiert Puka dich unverzüglich, möglichst binnen 48 Stunden, mit den Angaben, die du für eine Meldung nach Art. 33 DSGVO brauchst, und ergreift Maßnahmen, um die Folgen zu begrenzen.

9. Ende der Verarbeitung

Löschst du eine Show oder deine Organisation oder endet der Vertrag, löscht Puka die Abrufdaten der betroffenen Shows sofort und die Mediendateien binnen 31 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Vor dem Löschen kannst du die Statistik in Puka Cloud ansehen; auf Anfrage schickt Puka dir die Abrufdaten als Datei.

10. Nachweise und Kontrollen

Puka stellt dir auf Anfrage die Informationen zur Verfügung, die du brauchst, um die Einhaltung dieses Vertrags nachzuweisen. Kontrollen vor Ort sind nach Ankündigung von mindestens 14 Tagen während der Geschäftszeiten möglich, höchstens einmal im Jahr, außer bei einem konkreten Anlass. Die Kosten einer Kontrolle trägt, wer sie veranlasst.

11. Haftung und Schluss

Für die Haftung gilt Art. 82 DSGVO; ergänzend gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt österreichisches Recht.