AuftragsverarbeitungData Processing Agreement

Stand: 06.07.2026 | Version 1.2

Wenn du JAIV Studio geschäftlich nutzt und dabei personenbezogene Daten verarbeitest, schließen wir mit dir nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung (AVV). Darin wird geregelt, dass wir personenbezogene Daten ausschließlich nach deinen dokumentierten Weisungen und nur zu den vereinbarten Zwecken verarbeiten. Diese Seite ist gleichzeitig der verbindliche AVV-Text; durch deine Zustimmung im Checkout-Prozess wird er Vertragsbestandteil.

1. Rollenverteilung: Wer ist was?

Für ein sauberes Verständnis des AVV ist die Rollenverteilung entscheidend:

• Du als Nutzer bist der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Du entscheidest, welche personenbezogenen Daten du in JAIV Studio eingibst und zu welchem Zweck.
• JAIV Studio (Betreiber: Jennifer Zittier Marketing FZCO, Dubai) ist der Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. Wir verarbeiten diese Daten in deinem Auftrag und auf deine Weisung.

Wichtig: Der Auftragsverarbeiter (also wir) hat seinen Sitz in den Vereinigten Arabischen Emiraten, einem Drittland ohne EU-Angemessenheitsbeschluss. Das hat Folgen für die Datenübermittlung, die wir in Abschnitt 13 erläutern.

2. Wann brauchst du einen AVV?

Ein AVV ist erforderlich, wenn du als Verantwortlicher personenbezogene Daten in JAIV Studio verarbeitest und wir dabei in deinem Auftrag tätig werden, zum Beispiel:

• wenn du Inhalte für Kunden oder Auftraggeber erstellst,
• wenn du personenbezogene Eingaben (z. B. Namen, Bild- oder Tonmaterial realer Personen) verarbeitest,
• wenn du JAIV Studio im Rahmen deiner gewerblichen oder selbständigen Tätigkeit einsetzt.

Für die rein private Nutzung ist in der Regel kein AVV nötig.

3. Abschluss des AVV

Der AVV kommt mit dem Abschluss deines Abonnements automatisch zustande. Im Checkout-Prozess bestätigst du per Checkbox ausdrücklich, dass du diesen AVV zur Kenntnis genommen hast und ihm zustimmst. Damit ist der Vertrag in Textform nach Art. 28 Abs. 9 DSGVO wirksam geschlossen.

Datum, Uhrzeit und Versionsnummer des zum Zeitpunkt des Vertragsschlusses geltenden AVV werden serverseitig protokolliert. Du erhältst nach dem Checkout eine Bestätigung per E-Mail mit einem Link zu diesem AVV. Für Rückfragen: support@jaivstudio.ai.

4. Inhalt des AVV

Der AVV enthält die nach Art. 28 Abs. 3 DSGVO vorgeschriebenen Regelungen:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien der Daten und der betroffenen Personen,
• Verarbeitung ausschließlich auf deine dokumentierten Weisungen (lit. a),
• Verpflichtung der eingesetzten Personen zur Vertraulichkeit (lit. b),
• technische und organisatorische Maßnahmen nach Art. 32 DSGVO (lit. c),
• Bedingungen für den Einsatz von Unterauftragsverarbeitern (lit. d),
• Unterstützung bei der Wahrung von Betroffenenrechten (lit. e),
• Unterstützung bei Datensicherheit, Meldepflichten und Folgenabschätzung (lit. f),
• Löschung oder Rückgabe der Daten nach Vertragsende (lit. g),
• Nachweis- und Kontrollrechte, einschließlich Audits (lit. h),
• ergänzend: Regelungen zu besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).

5. Datenkategorien und betroffene Personen

Der AVV umfasst konkret folgende Datenkategorien, je nach genutzten Funktionen:

• Stammdaten: Name, E-Mail-Adresse, Firmen- und Kontodaten der Nutzer,
• Inhaltsdaten: deine Eingaben (Prompts), hochgeladene Texte, Bilder, Videos und Audios,
• Bild- und Tondaten realer Personen, gegebenenfalls einschließlich biometrischer Daten (Art. 9 DSGVO),
• Nutzungs- und Metadaten: Protokoll-, Geraete- und Zugriffsdaten,
• Zahlungsdaten im Rahmen der Abrechnung.

Betroffene Personen sind insbesondere du und deine Mitarbeiter, deine Kunden und Auftraggeber sowie Dritte, deren Bild, Stimme oder Name in den von dir verarbeiteten Inhalten vorkommen.

6. Besondere Kategorien: Gesichter und Stimmen

JAIV Studio kann Bild- und Tonmaterial realer Personen verarbeiten. Sobald Gesichter oder Stimmen mit dem Ziel verarbeitet werden, eine Person eindeutig zu identifizieren, gelten sie als biometrische Daten und damit als besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Als Verantwortlicher stellst du sicher, dass für jede reale Person, deren Gesicht oder Stimme du eingibst oder nachbilden laesst, eine wirksame Rechtsgrundlage vorliegt.

JAIV Studio unterstützt dich dabei technisch: Vor der Erstellung von Stimmklonen und Digital Twins verlangt die App eine ausdrückliche, mit Zeitstempel protokollierte Einwilligungsbestätigung. Erstellte Stimmprofile und Twins sind ausschließlich für dein Konto sichtbar und können jederzeit selbst gelöscht werden (Einstellungen, Datenschutz, Biometrische Daten); die Löschung beim jeweiligen KI-Dienst wird ausgelöst und protokolliert.

7. Deine Verantwortung für reale Personen

Neben dem Datenschutz bestehen in nahezu allen Rechtsordnungen weltweit Rechte, die du als Verantwortlicher bei der Verarbeitung von Inhalten mit realen Personen beachten musst:

• Recht am eigenen Bild und an der eigenen Stimme: Das Recht erkennbarer Personen an ihrem Bild, ihrer Stimme und ihrem Namen ist international anerkannt. Bildnisse, Stimmaufnahmen und Namen realer erkennbarer Personen duerfen grundsaetzlich nur mit deren Einwilligung verbreitet werden.
• Kennzeichnung ersetzt keine Einwilligung: Ein als KI-generiert ausgewiesenes Bild oder Video einer erkennbaren realen Person bleibt ohne Einwilligung rechtswidrig.
• Taeuschend echte KI-Nachbildungen: Das gilt ausdrücklich auch für synthetische Inhalte (Deepfakes).
• Minderjaehrige: Inhalte mit Kindern und Jugendlichen unterliegen in allen Rechtsordnungen besonderem Schutz. Die Nutzung von JAIV Studio ist ausschließlich Personen ab 18 Jahren gestattet.

Du sicherst zu, dass du für reale Personen, deren Bild, Stimme oder Name du verarbeitest, die nötigen Rechte und Einwilligungen besitzt und diese dokumentieren kannst.

8. EU AI Act: Kennzeichnung von KI-Inhalten

Mit JAIV Studio erzeugte Bilder, Videos und Audios sind synthetische Inhalte. Nach Art. 50 der KI-Verordnung (EU AI Act) müssen solche Inhalte als künstlich erzeugt oder manipuliert erkennbar gemacht werden, auch maschinenlesbar (C2PA-Standard oder Wasserzeichen). Die Transparenzpflichten gelten ab dem 2. August 2026. Als Betreiber des veröffentlichten Inhalts bist du dafür verantwortlich, die künstliche Herkunft offenzulegen.

9. Datenschutz-Folgenabschätzung (DPIA)

Der Einsatz künstlicher Intelligenz in Verbindung mit biometrischen Daten kann ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen bedeuten. In solchen Faellen bist du als Verantwortlicher nach Art. 35 DSGVO verpflichtet, vorab eine Datenschutz-Folgenabschätzung durchzuführen. Wir unterstützen dich dabei im Rahmen des AVV mit den erforderlichen Informationen.

10. Keine Nutzung deiner Inhalte zum KI-Training

Wir verarbeiten deine Eingaben ausschließlich, um die von dir angeforderten Inhalte zu erzeugen, nicht zur Verbesserung oder zum Training eigener KI-Modelle. Auch die von uns eingesetzten KI-Schnittstellen sind so gewählt, dass ueber die API uebermittelte Inhalte standardmaessig nicht zum Modelltraining verwendet werden.

11. Technische und organisatorische Maßnahmen

Wir schuetzen verarbeitete Daten mit angemessenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO:

• Vertraulichkeit: Zugriffsbeschraenkungen, Berechtigungs- und Rollenkonzepte, Verpflichtung zur Verschwiegenheit.
• Integritaet: Transportverschlüsselung (TLS), verschluesselte Speicherung, Protokollierung von Zugriffen.
• Verfügbarkeit und Belastbarkeit: Schutz gegen Ausfall sowie Verfahren zur raschen Wiederherstellung.
• Regelmäßige Überprüfung: Kontrolle und Bewertung der Wirksamkeit, Pseudonymisierung soweit technisch möglich.

Alle Nutzerdaten werden in EU-Rechenzentren gespeichert: Datenbank in Frankfurt (EU-Central-1), Mediendateien in Osteuropa (Cloudflare EEUR), Compute-Region Frankfurt (fra1).

12. Unterauftragsverarbeiter

Zur Erbringung der Leistung setzen wir sorgfältig ausgewählte Unterauftragsverarbeiter ein. Ueber Änderungen informieren wir dich mindestens 14 Tage im Voraus per E-Mail (Art. 28 Abs. 2 DSGVO).

Infrastruktur

Zahlungsabwicklung

KI-Dienste: Text und Chat

KI-Dienste: Bild

KI-Dienste: Video

KI-Dienste: Sprache und Audio

Marketing und Reichweitenmessung

13. Übermittlung in Drittländer und Sitz in Dubai

Da der Auftragsverarbeiter (Jennifer Zittier Marketing FZCO) seinen Sitz in den Vereinigten Arabischen Emiraten hat und Teile der Verarbeitung ueber Anbieter ausserhalb der EU bzw. des EWR erfolgen, findet eine Übermittlung in Drittländer statt. Wir stuetzen diese Übermittlungen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO, Durchfuehrungsbeschluss (EU) 2021/914, Modul 2). Wo US-Anbieter unter dem EU-US Data Privacy Framework zertifiziert sind, stuetzen wir die Übermittlung vorrangig auf diesen Angemessenheitsbeschluss.

Abhaengig vom gewählten Video-Modell kann eine Verarbeitung auch in Ländern mit geringerem Schutzniveau stattfinden (insbesondere Kling / China, siehe Hinweis in Abschnitt 12). Wir empfehlen, vor dem Verarbeiten besonders sensibler Daten ein eigenes Transfer Impact Assessment (TIA) durchzuführen.

14. Vertreter in der EU (Art. 27 DSGVO)

Da der Betreiber seinen Sitz ausserhalb der EU hat, ist nach Art. 27 DSGVO ein Vertreter in der Union benannt: Prighter Group, Wiedner Hauptstraße 142/15, 1050 Wien, Österreich. Betroffene und Aufsichtsbehörden erreichen den Vertreter über das Portal app.prighter.com/portal/16973452606.

15. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht bestellt; die Bestellpflicht nach Art. 37 Abs. 1 lit. c DSGVO greift beim aktuellen Umfang der Verarbeitung nicht. Wir überprüfen dies fortlaufend und bestellen einen Datenschutzbeauftragten, sobald Art und Umfang der Verarbeitung dies erfordern. Für die biometrischen Funktionen liegt eine dokumentierte Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vor. Ansprechstelle: support@jaivstudio.ai.

16. Betroffenenrechte und Datenpannen

Wir unterstützen dich dabei, Anfragen betroffener Personen (Art. 15-22 DSGVO) zu erfuellen. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir dich unverzueglich (72-Stunden-Frist nach Art. 33 DSGVO).

Zuständige Datenschutz-Aufsichtsbehörden: in Deutschland die zuständige Landesdatenschutzbehörde, in Österreich die DSB (dsb.gv.at), in der Schweiz der EDOEB (edoeb.admin.ch).

17. Weisungsrecht

Wir verarbeiten personenbezogene Daten nur auf deine dokumentierten Weisungen. Sind wir der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, weisen wir dich darauf hin.

18. Aufbewahrung, Löschung und Kontrolle

Personenbezogene Daten werden nur so lange verarbeitet, wie es für den vereinbarten Zweck oder aufgrund gesetzlicher Pflichten erforderlich ist. Nach Vertragsende werden die in unserem Auftrag verarbeiteten Daten nach deiner Wahl geloescht oder zurückgegeben. Du hast das Recht, die Einhaltung der vereinbarten Pflichten im Rahmen der im AVV festgelegten Auditregelungen zu kontrollieren.

19. Haftung und Verantwortung

Wir bleiben dir gegenüber für die Einhaltung der Datenschutzpflichten verantwortlich, auch soweit wir Unterauftragsverarbeiter einsetzen (Art. 28 Abs. 4 DSGVO). Im Verhaeltnis zwischen dir und uns ist die Haftung des Auftragsverarbeiters der Hoehe nach begrenzt auf den Gesamtbetrag, den du in den zwölf Kalendermonaten vor dem schadensbegründenden Ereignis an uns gezahlt hast, es sei denn, der Schaden beruht auf Vorsatz oder grober Fahrlässigkeit.

20. Form und Anlagen des AVV

Der AVV wird nach Art. 28 Abs. 9 DSGVO in Textform geschlossen. Die Zustimmung erfolgt durch Aktivierung der Checkbox im Checkout-Prozess; eine qualifizierte elektronische Signatur ist nicht erforderlich. Datum, Uhrzeit und Versionsnummer werden serverseitig protokolliert.

21. Dauer und Beendigung

Der AVV gilt für die Dauer deiner Nutzung von JAIV Studio. Nach Vertragsende greifen die Regelungen zu Aufbewahrung und Löschung aus Abschnitt 18.

22. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht der Vereinigten Arabischen Emirate. Zustaendig sind die Gerichte des Dubai International Financial Centre (DIFC). Für Nutzer mit Sitz in der EU bleiben zwingende Verbraucherschutzrechte des jeweiligen Wohnsitzlandes unberuehrt. Die DSGVO gilt für alle Nutzer mit Wohnsitz in der EU unabhaengig von dieser Rechtswahl.

23. Ergänzende Hinweise für Nutzer in der Schweiz

Für Nutzer mit Sitz in der Schweiz gilt ergänzend das Bundesgesetz ueber den Datenschutz (nDSG, SR 235.1, in Kraft seit 1. September 2023). Zuständige Behörde: EDOEB (edoeb.admin.ch).