Stand: 11. Oktober 2026
1. Parteien und Vertragsschluss
Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und der fdmedia GmbH, Altrottstr. 31, 69190 Walldorf, Deutschland, als Auftragsverarbeiter (im Folgenden „wir“). Er ist Teil unserer Allgemeinen Geschäftsbedingungen (im Folgenden „Hauptvertrag“) und kommt mit ihnen bei der Registrierung zustande. Organisationen, die sich vor der Veröffentlichung dieses Vertrags registriert haben, bieten wir ihn per E-Mail an; für sie gilt er, sobald der Inhaber ihn annimmt. Ein unterschriebenes Exemplar stellen wir auf Anfrage an support@livetickr.io aus.
Begriffe wie „personenbezogene Daten“, „Verarbeitung“ oder „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen die Datenschutz-Grundverordnung (DSGVO) gibt. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht.
2. Gegenstand, Art und Zweck der Verarbeitung
Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, um ihm Livetickr nach dem Hauptvertrag bereitzustellen: die Webanwendung, die Apps, das WordPress-Plugin und die Auslieferung seiner Ticker an seine Leser. Dazu gehören das Speichern, Anzeigen und Ausliefern der Inhalte, die Verwaltung der Zugänge seines Teams, der Versand von E-Mails der Anwendung, die Reichweitenstatistik seiner Ticker und der Schutz der Dienste vor Missbrauch.
Die Verarbeitung dauert so lange wie der Hauptvertrag, zuzüglich der Zeit bis zur Löschung nach Abschnitt 10.
3. Arten von Daten und betroffene Personen
Teammitglieder des Kunden
Name, E-Mail-Adresse, Rolle in der Organisation und den Workspaces, Angaben im Autorenprofil (etwa Profilbild, Kurzbeschreibung und Links zu sozialen Netzwerken), Anmeldedaten (Passwort nur als Hash, Zwei-Faktor-Authentifizierung, Passkeys), Zuordnung von Einträgen zu ihren Autoren sowie technische Daten der Nutzung, etwa Zeitpunkte und IP-Adressen beim Zugriff.
Personen in den Inhalten
Personenbezogene Daten, die der Kunde in seinen Tickern veröffentlicht oder hochlädt, etwa Namen, Zitate und Bilder von Personen, über die berichtet wird. Was das im Einzelnen ist, bestimmt allein der Kunde.
Leser der Ticker
Beim Abruf eines eingebetteten Tickers: IP-Adresse, Browserkennung, aufgerufene Adresse und Zeitpunkt, für die Auslieferung und zum Schutz vor Angriffen. Für die Reichweitenstatistik: ein Wert, der aus diesen Angaben täglich neu gebildet wird und nur dazu dient, einen Leser, seine Abstimmungen und Reaktionen am selben Tag nicht doppelt zu zählen und die Zahl der gerade lesenden Personen anzuzeigen; er wird spätestens nach zwei Tagen gelöscht. Dazu das Land sowie Gerätetyp, Browser und Betriebssystem in groben Kategorien, Verweildauer, Klicks, Reaktionen und Abstimmungen. In der Statistik speichern wir weder IP-Adressen noch die vollständige Browserkennung, und die Einbettung setzt keine Cookies.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeiten wir nur, wenn der Kunde sie in seine Inhalte aufnimmt.
4. Weisungen
Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind im Hauptvertrag und in diesem Vertrag festgelegt; der Kunde erteilt weitere, indem er Livetickr nutzt und einstellt, etwa Inhalte veröffentlicht oder löscht, oder per E-Mail. Halten wir eine Weisung für rechtswidrig, sagen wir das dem Kunden unverzüglich. Verarbeiten wir Daten aufgrund einer gesetzlichen Pflicht anders, teilen wir das dem Kunden vorher mit, soweit das Gesetz es nicht verbietet.
5. Vertraulichkeit
Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Sie greifen auf Daten nur zu, soweit es für ihre Aufgabe nötig ist.
6. Sicherheit der Verarbeitung
Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
7. Unterauftragsverarbeiter
Der Kunde erlaubt uns allgemein, Unterauftragsverarbeiter einzusetzen. Die aktuellen stehen auf der Seite Unterauftragsverarbeiter. Mit jedem schließen wir einen Vertrag, der ihm mindestens die Pflichten dieses Vertrags auferlegt. Für ihr Handeln haften wir gegenüber dem Kunden wie für eigenes.
Einen neuen oder ausgetauschten Unterauftragsverarbeiter kündigen wir dem Inhaber der Organisation mindestens vier Wochen vorher per E-Mail an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen; für den bezahlten, nicht mehr genutzten Zeitraum erstatten wir den anteiligen Betrag.
Daten übermitteln wir in Länder außerhalb des Europäischen Wirtschaftsraums nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss oder die Standardvertragsklauseln der EU-Kommission.
8. Unterstützung des Kunden
Wir unterstützen den Kunden mit geeigneten Maßnahmen dabei, die Rechte betroffener Personen zu erfüllen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Vieles kann der Kunde selbst in Livetickr erledigen; im Übrigen helfen wir auf Anfrage. Wendet sich eine betroffene Person mit einem solchen Anliegen an uns, verweisen wir sie an den Kunden und informieren ihn.
Ebenso unterstützen wir ihn bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen, bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation (Art. 32 bis 36 DSGVO), jeweils mit den Informationen, die uns vorliegen.
9. Verletzungen des Schutzes personenbezogener Daten
Wird uns eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, informieren wir den Inhaber der Organisation unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Was zunächst nicht bekannt ist, reichen wir nach.
10. Ende der Verarbeitung
Endet der Hauptvertrag, geben wir die personenbezogenen Daten nach Wahl des Kunden zurück oder löschen sie. Wünscht er die Rückgabe, teilt er uns das bis zum Vertragsende oder innerhalb von 30 Tagen danach per E-Mail an support@livetickr.io mit; wir stellen ihm dann seine Inhalte, die Daten seiner Teammitglieder und seine Statistiken in einem gängigen, maschinenlesbaren Format bereit und löschen sie anschließend. Andernfalls löschen wir die Daten nach Ablauf dieser 30 Tage, in der Regel innerhalb von weiteren 30 Tagen. Das gilt nicht, soweit eine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im Rahmen ihres üblichen Turnus überschrieben.
11. Nachweise und Kontrollen
Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen. Kontrollen, auch Inspektionen, ermöglichen wir nach rechtzeitiger Anmeldung, in der Regel mit vier Wochen Vorlauf, während der Geschäftszeiten und ohne Störung des Betriebs und der Vertraulichkeit anderer Kunden. Der Kunde kann dafür auch einen zur Verschwiegenheit verpflichteten Prüfer beauftragen, der kein Wettbewerber von uns ist. Den Aufwand für Vor-Ort-Kontrollen können wir angemessen in Rechnung stellen, wenn sie nicht durch einen Verstoß von uns veranlasst sind.
12. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regeln des Hauptvertrags. Für diesen Vertrag gelten das Recht und der Gerichtsstand des Hauptvertrags. Diesen Vertrag gibt es auf Deutsch und Englisch; maßgeblich ist die deutsche Fassung. Ändern wir ihn, gilt Abschnitt 18 des Hauptvertrags.
Anlage: Technische und organisatorische Maßnahmen
Standort und Infrastruktur
- Die Anwendung und ihre Datenbank laufen in einem Rechenzentrum in Frankfurt am Main, hochgeladene Bilder liegen in einer Speicherregion in Deutschland (siehe Unterauftragsverarbeiter).
- Die Rechenzentren unserer Hosting-Dienstleister sind physisch gegen unbefugten Zutritt gesichert.
Verschlüsselung
- Alle Verbindungen zur Anwendung, zur API und zur Einbettung laufen verschlüsselt über TLS.
- Die Verbindung zwischen der Anwendung und ihrer Datenbank ist verschlüsselt.
- Passwörter speichern wir nur als Hash.
Zugang und Zugriff
- Anmeldung mit Passwort, wahlweise Zwei-Faktor-Authentifizierung und Passkeys; Bestätigung der E-Mail-Adresse; Begrenzung wiederholter Anmeldeversuche.
- Rollen und Rechte innerhalb einer Organisation (Inhaber, Administratoren, Mitglieder) und die Zuordnung zu Workspaces bestimmen, wer welche Inhalte sieht und ändert.
- Die Daten verschiedener Kunden sind in der Anwendung logisch voneinander getrennt.
- Zugriff auf die Produktivsysteme haben nur Personen bei uns, die ihn für ihre Aufgabe brauchen, mit persönlichen Zugängen.
Schutz vor Angriffen und Störungen
- Eine Web Application Firewall prüft Anfragen an die Anwendung auf bekannte Angriffsmuster und begrenzt übermäßig viele Anfragen.
- Fehler und Störungen werden überwacht; IP-Adressen werden dabei vor der Übertragung entfernt, bei Lesern auch Browserkennung und verweisende Seite.
- Die Datenbank wird regelmäßig gesichert.
Datensparsamkeit
- Die Einbettung setzt keine Cookies. Die Reichweitenstatistik arbeitet mit einem täglich wechselnden Wert statt mit IP-Adressen, der spätestens nach zwei Tagen gelöscht wird, und speichert Geräte, Browser und Betriebssysteme nur in groben Kategorien.
- Eingebettete Inhalte Dritter lädt der Leser standardmäßig erst nach seiner Einwilligung; der Kunde kann das für seinen Workspace abschalten.
- Beim Hochladen von Bildern entfernen wir eingebettete Metadaten wie Standortangaben.
Löschung und Organisation
- Gelöschte Inhalte und Bilder entfernen wir auch aus dem Speicher; Konten löschen wir auf Antrag.
- Neue Unterauftragsverarbeiter wählen wir nach ihrem Schutzniveau aus und schließen mit ihnen Verträge über Auftragsverarbeitung.