Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag nach Art. 28 Abs. 3 DSGVO gilt zwischen dem Kunden von Lampo Cloud als Verantwortlichem und der nprompt UG (haftungsbeschränkt) als Auftragsverarbeiter. Er kommt zustande, wenn ein Kunde, der Unternehmer ist (§ 14 BGB), die Allgemeinen Geschäftsbedingungen annimmt, und ist Teil dieses Vertrags über Lampo Cloud.

1. Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen den gehosteten Dienst Lampo Cloud (app.lampo.video, media.lampo.video). Dabei verarbeitet er personenbezogene Daten, die der Verantwortliche und die von ihm berechtigten Personen und Agenten in seine Workspaces einstellen, und die Aufzeichnungen seiner Review-Links.

(2) Der Vertrag gilt, solange der Vertrag über Lampo Cloud besteht, und darüber hinaus, bis alle Daten nach § 9 gelöscht oder zurückgegeben sind.

2. Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Art und Zweck: speichern; Vorschau- und Abspielkopien erstellen; Spracherkennung und automatische Prüfungen (Rechtschreibung im Bild, Lautheit, Bildfehler) auf eigenen Servern ausführen; den Personen, Agenten und Besuchern von Review-Links zeigen, denen der Verantwortliche Zugang gibt; E-Mail- und Push-Benachrichtigungen über Vorgänge im Workspace senden; Auswertungen innerhalb des Workspace (Insights, wer ein Video angesehen hat) für den Verantwortlichen erstellen; Daten auf Weisung an Dienste übermitteln, die der Verantwortliche verbindet (etwa beim Veröffentlichen).

(2) Art der Daten: Videos und ihre Versionen, Bildschirmfotos, Notizen, Zeichnungen, Sprachnotizen und deren Transkripte, angehängte Dateien, Playbooks, Namen und E-Mail-Adressen von Mitgliedern und eingeladenen Personen, Namen, die Besucher von Review-Links eintippen, deren Notizen, Freigaben und Downloads sowie die Aufzeichnungen der Review-Links (wann geöffnet, welche Teile einer Version wie oft abgespielt wurden). Was in den Videos und Dateien selbst zu sehen oder zu hören ist, bestimmt der Verantwortliche.

(3) Betroffene Personen: Mitglieder des Workspace und eingeladene Personen, Besucher von Review-Links (etwa Kunden des Verantwortlichen), Personen, die in Videos, Dateien oder Notizen vorkommen.

3. Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in ein Drittland, es sei denn, das Recht der Union oder Deutschlands verpflichtet ihn dazu; dann teilt er dem Verantwortlichen dies vor der Verarbeitung mit, soweit das Recht es nicht verbietet.

(2) Weisungen sind dieser Vertrag, die AGB und das, was der Verantwortliche im Dienst einstellt und auslöst (Inhalte hochladen, teilen, löschen, Dienste verbinden). Weitere Weisungen erteilt er in Textform an hello@lampo.video.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er es dem Verantwortlichen unverzüglich; er darf sie aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

4. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und nur so weit, wie es für den Dienst nötig ist.

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Einen neuen oder anderen Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher an: per E-Mail an die Inhaber und Admins der Workspaces und auf dieser Seite. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, kann der Verantwortliche den Vertrag über Lampo Cloud zum Zeitpunkt des Wechsels kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(3) Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie dieser Vertrag und haftet für ihn wie für eigenes Handeln.

7. Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Art. 12–23 DSGVO). Vieles kann der Verantwortliche selbst im Dienst erledigen: Inhalte herunterladen, ändern und löschen, Review-Links widerrufen und löschen. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage an den Verantwortlichen weiter.

(2) Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) mit den Informationen, die ihm vorliegen.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes der Daten unverzüglich, möglichst innerhalb von 48 Stunden, nachdem er sie bemerkt hat, per E-Mail an die Inhaber des Workspace, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen, und ergreift die nötigen Maßnahmen, um die Folgen zu mindern.

9. Löschung und Rückgabe

(1) Während der Laufzeit kann der Verantwortliche seine Daten jederzeit herunterladen und löschen.

(2) Nach dem Ende des Vertrags löscht der Auftragsverarbeiter die Daten innerhalb von 30 Tagen, sofern nicht das Recht der Union oder Deutschlands eine Aufbewahrung verlangt. Bis dahin kann der Verantwortliche sie herunterladen. In Datensicherungen bleiben gelöschte Daten bis zu zwölf Monate enthalten (Anlage 1); sie werden daraus nur bei der Wiederherstellung nach einem Ausfall zurückgeholt und mit dem Ablauf der Sicherungen endgültig gelöscht.

10. Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen.

(2) Er ermöglicht Überprüfungen, auch Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist: nach Ankündigung mit angemessener Frist, während der Geschäftszeiten, ohne den Betrieb zu stören, in der Regel höchstens einmal im Jahr, außer nach einer Verletzung nach § 8. Die Kosten einer Inspektion trägt der Verantwortliche.

11. Ort der Verarbeitung

Die Daten werden auf Servern in Deutschland gespeichert und verarbeitet. Übermittlungen in ein Drittland finden nur statt, wie Anlage 2 sie nennt, und nur unter den Bedingungen von Kapitel V DSGVO.

12. Haftung und Rangfolge

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regeln der AGB.

(2) Für den Schutz personenbezogener Daten geht dieser Vertrag den AGB vor. Es gilt deutsches Recht. Die deutsche Fassung ist verbindlich.

Parteien

Auftragsverarbeiter: nprompt UG (haftungsbeschränkt), Güglinger Str. 16, 70435 Stuttgart, Deutschland, Amtsgericht Stuttgart HRB 792779, vertreten durch den Geschäftsführer Philip Verropoulos. Kontakt für den Datenschutz: hello@lampo.video.

Verantwortlicher: der Kunde, wie er in seinem Konto und seinen Rechnungsdaten bei Lampo Cloud angegeben ist.

Anlage 1: Technische und organisatorische Maßnahmen

• Rechenzentrum: Server der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland), nach ISO/IEC 27001 zertifiziert, mit Zutrittskontrolle, Videoüberwachung und Brandschutz durch den Betreiber.
• Zugang zu den Servern: nur für benannte Administratoren, per SSH mit Schlüsseln; eine Firewall lässt nur die Ports durch, die der Dienst braucht.
• Übertragung: nur verschlüsselt (TLS 1.2 und 1.3, HSTS). Die App liegt hinter Cloudflare (Schutz vor Angriffen); Videos laufen direkt zwischen Browser und unserem Server, über zeitlich begrenzte, signierte Adressen.
• Zugang zum Dienst: Anmeldung mit Passwort (gespeichert nur als scrypt-Hash) oder Anmeldung über verbundene Apps (OAuth); API-Token nur als Hash gespeichert; Begrenzung von Anmelde- und Passwortversuchen; Hinweise auf neue Anmeldungen. Rollen je Workspace (Inhaber, Admin, Reviewer); Review-Links sehen nur ihre eigenen Videos und können mit Passwort, Ablaufdatum und ohne Download eingeschränkt werden.
• Trennung: Die Daten jedes Workspace liegen getrennt von denen anderer Workspaces; niemand sieht, dass ein anderer Workspace besteht.
• Verschlüsselung gespeicherter Geheimnisse: Zugangsdaten verbundener Dienste werden verschlüsselt gespeichert (AES-256-GCM); E-Mails liegen bis zum Versand verschlüsselt in der Warteschlange.
• Pseudonymisierung und Datensparsamkeit: Besucher von Review-Links werden über einen je Link anderen, abgeleiteten Schlüssel unterschieden; IP-Adressen werden nicht gespeichert; Protokolle enthalten keine Anfragen, IP-Adressen, Passwörter oder Token und E-Mail-Adressen nur als nicht umkehrbaren Hash.
• Verarbeitung im eigenen Haus: Spracherkennung und automatische Prüfungen laufen auf unseren eigenen Servern; Inhalte gehen dafür an keinen Dritten.
• Verfügbarkeit und Wiederherstellung: jede Nacht eine verschlüsselte Sicherung (restic) auf einen getrennten Speicher (Storage Box) der Hetzner Online GmbH in Deutschland, aufbewahrt nach dem Schema 14 täglich, 8 wöchentlich, 12 monatlich; die Wiederherstellung wird geprüft. Überwachung der Erreichbarkeit (status.lampo.video).
• Protokolle: nur Start, Warnungen, fehlgeschlagene Hintergrundaufgaben und Referenzen zu Serverfehlern; fortlaufend überschrieben (höchstens fünf Dateien zu je 10 MB).
• Löschung: Inhalte werden gelöscht, wenn der Verantwortliche sie löscht; ein Workspace mit allen Daten, wenn sein Inhaber ihn löscht; aus Sicherungen nach spätestens zwölf Monaten.
• Organisation: Änderungen am Dienst laufen über geprüfte Änderungen am Quellcode mit automatischen Tests; Sicherheitsprüfungen des Codes werden dokumentiert; Meldungen von Sicherheitslücken an security@lampo.video.

Anlage 2: Unterauftragsverarbeiter

Nicht Unterauftragsverarbeiter für die Inhalte der Workspaces sind: Stripe (erhält nur Abrechnungsdaten, für die wir selbst Verantwortlicher sind), die Push-Dienste der Browser-Hersteller (befördern nur Ende-zu-Ende verschlüsselte Benachrichtigungen, die der Empfänger selbst eingeschaltet hat) und Dienste, die der Verantwortliche selbst verbindet (etwa YouTube, Zernio, KI-Agenten): Dorthin gehen Daten nur auf seine Weisung und in seiner Verantwortung.

Stand: 6. Oktober 2026.