Auftragsverarbeitungsvertrag (AVV)

Version 1.1 · Stand: 10. November 2026 · Gültig ab: 10. November 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Jacopo Di Loreto (AFTERTOUCH LABS DI DI LORETO JACOPO), Via Europa 18, 66020 San Giovanni Teatino (CH), Italien, USt-IdNr. IT02882890698 („Auftragsverarbeiter“, „wir“) und einem gewerblichen Kunden („Verantwortlicher“, „Sie“), der LIA für seine eigenen Nutzer einsetzt, zum Beispiel einer Schule, einem Studio oder einem Label. Er gilt, wenn der Verantwortliche im Europäischen Wirtschaftsraum (EWR), im Vereinigten Königreich oder in der Schweiz niedergelassen ist oder wenn die DSGVO auf die Verarbeitung des Verantwortlichen anwendbar ist. Für Personen, die LIA für sich selbst nutzen, sind wir der Verantwortliche, und es gilt unsere Datenschutzerklärung.

1. Begriffsbestimmungen

Begriffe in diesem AVV haben die in der Verordnung (EU) 2016/679 („DSGVO“) festgelegte Bedeutung. „Personenbezogene Daten“ bezeichnen alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

2. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet Personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich, um den LIA-Dienst gemäß den Nutzungsbedingungen bereitzustellen. Dieser AVV bleibt für die Dauer des Dienstvertrags und für die Aufbewahrungsfristen nach dessen Ende in Kraft (§11).

3. Art und Zweck der Verarbeitung

Die Verarbeitung beschränkt sich auf die Vorgänge, die für die Bereitstellung des LIA-Dienstes erforderlich sind:

• Kontoverwaltung: Anmeldung, Plan und Zahlungen;
• Chats, geschrieben, diktiert oder in Talk Mode gesprochen, und ihre Verarbeitung durch den KI-Anbieter;
• Lesen des geöffneten Ableton Live-Sets und der Liste der installierten Plugins über die LIA-App und die LIA Bridge sowie Schreiben der angeforderten Arbeit in Live;
• Chat-Gedächtnis, Arbeitsprotokolle, Planverbrauch, Sprachminuten und Diktiersekunden;
• Community und Support;
• Sicherheit, Fehlerüberwachung und Sicherungskopien.

4. Kategorien Personenbezogener Daten und betroffener Personen

Betroffene Personen: die Nutzer, die der Verantwortliche zur Nutzung von LIA berechtigt (zum Beispiel Lernende, Mitarbeitende, Musiker, Auftragnehmer).

Personenbezogene Daten: E-Mail-Adressen und, wenn sich ein Nutzer mit einem anderen Konto anmeldet, die Kennung, der Name, der Benutzername und das Profilbild, die uns dieser Dienst übermittelt; Passwörter, die vom Authentifizierungsanbieter nur als nicht umkehrbarer Hash gespeichert werden; Profilnamen und der in den Einstellungen gewählte Name; Metadaten zu Plan, Abonnement, eingelösten Codes und Zahlungen (keine Kartendaten), gegebenenfalls Widerrufserklärungen und der verwendete Code eines Partners sowie Name, E-Mail-Adresse und Rechnungsadresse in den Benachrichtigungen des Zahlungsanbieters; wenn ein Nutzer in der App die Nutzungsbedingungen und die Datenschutzerklärung annimmt oder den sofortigen Start eines Plans verlangt, die Aufzeichnung dieser Annahme oder Aufforderung; Chat-Nachrichten, einschließlich des Textes der Gespräche in Talk Mode und der diktierten Nachrichten, die der Nutzer sendet; aus dem Live-Set gelesene Daten (Tempo, Tonart, Spuren und ihre Namen, Devices und ihre Parameter, Mixer und Pegel, Clips mit ihren MIDI-Noten, Locator, Namen der Presets) und die Plugin-Liste; Chat-Gedächtnis, Arbeitsprotokolle und Nutzungszähler, einschließlich Sprachminuten und Diktiersekunden; Posts, Kommentare, Stimmen, Meldungen und Sanktionen in der Community; Nachrichten und Screenshots an den Support; Benachrichtigungseinstellungen und die Erlaubnis „Meine Chats nutzen, um LIA zu verbessern“; technische Daten wie App-Version, System und Sprache, Fehler und technische Aufzeichnungen der Modellaufrufe; mit dem Konto verknüpfte Statistiken der Website und der E-Mails (aufgerufene Seiten; Zustellung, Öffnen und Klicks der E-Mails); IP-Adressen mit Land und Browser- oder App-Version, die in den Zugriffsprotokollen des Servers etwa 30 Tage und in den Anmelde- und Sicherheitsprotokollen 12 Monate vollständig gespeichert werden. Der Auftragsverarbeiter speichert kein Audio: Das Audio von Talk Mode geht von der App direkt an den Sprachanbieter, und das Audio des Diktierens läuft nur über den LIA-Server, um in Text umgewandelt zu werden.

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt. Der Verantwortliche darf seine Nutzer nicht auffordern, solche Daten in LIA einzugeben.

5. Pflichten des Auftragsverarbeiters

1. Verarbeitung Personenbezogener Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzungsbedingungen, dieser AVV und die Einstellungen, die der Verantwortliche in der App verwendet, sind die Weisungen des Verantwortlichen.
2. Sicherstellung, dass die zur Verarbeitung Personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind.
3. Umsetzung angemessener technischer und organisatorischer Sicherheitsmaßnahmen (Art. 32 DSGVO), siehe §9.
4. Inanspruchnahme von Sub-Auftragsverarbeitern nur mit allgemeiner schriftlicher Genehmigung des Verantwortlichen (siehe §8).
5. Unterstützung des Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Art. 15-22 DSGVO) und bei den Pflichten nach Art. 32-36 DSGVO, unter Berücksichtigung der Art der Verarbeitung.
6. Unverzügliche Benachrichtigung des Verantwortlichen bei jeder Verletzung des Schutzes Personenbezogener Daten (Art. 33 DSGVO), siehe §10.
7. Nach Wahl des Verantwortlichen Löschung oder Rückgabe aller Personenbezogenen Daten am Ende der Dienstleistungen (Art. 28 Abs. 3 lit. g DSGVO), siehe §11.
8. Bereitstellung der Informationen, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und Ermöglichung von Audits mit angemessener Vorankündigung, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden (Art. 28 Abs. 3 lit. h DSGVO).

6. Pflichten des Verantwortlichen

Der Verantwortliche bestätigt, dass er für die im Rahmen dieses AVV verarbeiteten Personenbezogenen Daten über eine Rechtsgrundlage (Art. 6 DSGVO) verfügt, dass er die betroffenen Personen gemäß Art. 13/14 DSGVO informiert hat und, sofern Nutzer unter 16 Jahre alt sind, dass er die Einwilligung der Eltern eingeholt hat, bevor er ihnen Zugang zu LIA gewährt.

7. Ort der Verarbeitung und internationale Datenübermittlungen

Der LIA-Server läuft auf einem gemieteten virtuellen Server in Deutschland (Hostinger), und Datenbank und Authentifizierung befinden sich in der Region Europäische Union von Supabase. Einige Sub-Auftragsverarbeiter verarbeiten Daten außerhalb des EWR, insbesondere der KI-Anbieter (OpenAI, Vereinigte Staaten). Diese Übermittlungen erfolgen auf Grundlage:

• des EU-US Data Privacy Framework (DPF), wenn der Empfänger zertifiziert ist;
• andernfalls der Standardvertragsklauseln (SCC), angenommen mit Durchführungsbeschluss (EU) 2021/914 der Kommission, Modul 3 (Auftragsverarbeiter an Sub-Auftragsverarbeiter).

8. Sub-Auftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Inanspruchnahme von Sub-Auftragsverarbeitern. Die aktuellen Sub-Auftragsverarbeiter sind mit ihrem Land in §4 und §5 unserer Datenschutzerklärung genannt. Die vollständige Liste mit der Grundlage der Übermittlung und dem Auftragsverarbeitungsvertrag jedes einzelnen ist auf Anfrage unter privacy@liaplugin.com erhältlich: Wir senden sie innerhalb von 7 Tagen. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung mindestens 30 Tage im Voraus; der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben und, wenn keine Lösung gefunden wird, den Dienst ohne Vertragsstrafe kündigen. Der Auftragsverarbeiter erlegt jedem Sub-Auftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und bleibt für sie verantwortlich.

9. Sicherheitsmaßnahmen (Art. 32 DSGVO)

• Verschlüsselung bei der Übertragung (TLS) für Website, App und Server.
• Von Supabase verwaltete Datenbank mit Verschlüsselung im Ruhezustand; nächtliche Sicherungskopien von Server und Datenbank, die auf dem Server verschlüsselt werden, bevor sie an den Speicher für Sicherungskopien gehen (Backblaze, Vereinigte Staaten).
• Anmeldung, die bei jeder Anfrage an den LIA-Server geprüft wird, mit Limits pro Konto; Datenbankregeln, die jeden Nutzer nur seine eigenen Daten sehen lassen.
• Interne Dienste des Servers nur vom Server selbst oder aus unserem privaten Netzwerk erreichbar; administrativer Zugriff nur mit SSH-Schlüsseln oder über Panels, die durch eine eigene Anmeldung geschützt sind.
• Zugriffsprotokolle ohne Query-Strings und ohne Header mit Schlüsseln oder Tokens; automatische Löschung von Protokollen und Aufzeichnungen am Ende ihrer Aufbewahrungsfrist.

10. Benachrichtigung über Verletzungen Personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, in jedem Fall innerhalb von 48 Stunden nach Kenntnisnahme, über jede Verletzung, die im Rahmen dieses AVV verarbeitete Personenbezogene Daten betrifft, damit der Verantwortliche seine Frist von 72 Stunden einhalten kann. Die Benachrichtigung umfasst, soweit zu diesem Zeitpunkt bekannt:

• die Art und den ungefähren Umfang der Verletzung;
• die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze;
• die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen;
• einen Kontakt für weitere Informationen: privacy@liaplugin.com.

11. Ende der Dienstleistungen

Wenn der Dienstvertrag endet, löscht der Auftragsverarbeiter auf schriftliche Anforderung des Verantwortlichen alle Personenbezogenen Daten oder gibt sie zurück, mit Ausnahme der Daten, die er gesetzlich aufbewahren muss (zum Beispiel Zahlungs- und Steuerunterlagen). Gelöschte Daten verschwinden innerhalb von 63 Tagen aus den verschlüsselten Sicherungskopien.

12. Haftung

Die Haftung nach diesem AVV richtet sich nach den Nutzungsbedingungen, außer wenn dadurch die Rechte der betroffenen Personen nach Art. 82 DSGVO eingeschränkt würden.

13. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht der Italienischen Republik. Zuständiges Gericht ist das Gericht des eingetragenen Sitzes des Verantwortlichen oder, wenn dieser außerhalb des EWR liegt, das Gericht von Abruzzo, Italien. Beschwerden zur Verarbeitung Ihrer Personenbezogenen Daten können bei der zuständigen Aufsichtsbehörde eingereicht werden. Für Deutschland: BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit), Graurheindorfer Str. 153, 53117 Bonn.

14. Kontakt

Für alle Angelegenheiten in Bezug auf diesen AVV: privacy@liaplugin.com