Stand: 19. August 2026 (Version 2026-13)
Hinweis zum Vertragsschluss: Mit der Erstellung eines Servers im RPFX-Dashboard und der ausdrücklichen Zustimmung zu diesem Vertrag über Auftragsverarbeitung (nachfolgend „AVV") wird dieser Vertrag zwischen dem jeweiligen Serverbetreiber („Verantwortlicher") und dem nachfolgend genannten Anbieter („Auftragsverarbeiter") wirksam geschlossen. Zeitpunkt und Version der Zustimmung werden zu Beweiszwecken gespeichert.
Auftragsverarbeiter
Florian Kapfelsperger
c/o flexdienst – #20574
Kurt-Schumacher-Straße 76
67663 Kaiserslautern
Deutschland
E-Mail: [email protected]
Verantwortlicher
Der Serverbetreiber (natürliche oder juristische Person), der über das RPFX-Dashboard einen FiveM-Server registriert und diesen AVV akzeptiert hat. Die Identifikation erfolgt über die im Dashboard hinterlegte Discord-ID und die Server-UUID.
(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der RPFX-Plattform für den Verantwortlichen. Details der Verarbeitung ergeben sich aus § 4.
(2) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Nutzungsvertrages („Hauptvertrag") gemäß den Nutzungsbedingungen. Der AVV endet automatisch mit Beendigung des Hauptvertrages.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen die betreffenden rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Konfiguration des Dienstes durch den Verantwortlichen im Dashboard (Feature-Flags, Rollen-Zuweisungen, Datenexport- und Löschvorgänge) gilt als dokumentierte Weisung im Sinne dieses AVV.
(3) Darüber hinausgehende Weisungen sind in Textform (z. B. E-Mail an [email protected]) zu erteilen und werden vom Auftragsverarbeiter dokumentiert.
(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, weist er den Verantwortlichen unverzüglich darauf hin (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.
Zweck der Verarbeitung:
Art der Verarbeitung: Erheben, Erfassen, Speichern, Anpassen, Ändern, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der Plattform, Verknüpfen, Löschen, Vernichten.
Kategorien betroffener Personen:
Kategorien personenbezogener Daten:
Keine besonderen Kategorien (Art. 9 DSGVO) werden absichtlich verarbeitet. Sollten Spieler solche Daten freiwillig in freie Textfelder einstellen, trägt der Verantwortliche hierfür die alleinige Verantwortung.
Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. Dazu gehören insbesondere:
Der Auftragsverarbeiter behält sich vor, die Maßnahmen weiterzuentwickeln, solange das Schutzniveau der vereinbarten Maßnahmen nicht unterschritten wird.
Der Auftragsverarbeiter setzt bei der Durchführung der Verarbeitung ausschließlich Beschäftigte und Beauftragte ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und über die datenschutzrechtlichen Bestimmungen unterrichtet wurden.
(1) Der Verantwortliche genehmigt mit Abschluss dieses AVV die Heranziehung folgender Unterauftragsverarbeiter:
Für die OAuth-Authentifizierung ist Discord Inc. kein Unterauftragsverarbeiter, sondern eigenständig Verantwortlicher: Die Verarbeitung findet im Discord-Konto der betroffenen Person statt und richtet sich nach deren Verhältnis zu Discord. Darüber hinaus setzt der Auftragsverarbeiter Discord nicht zur Verarbeitung personenbezogener Daten ein; Benachrichtigungen an Discord enthalten keine personenbezogenen Daten.
(1a) Anbieter von KI-Clients, die der Verantwortliche nach § 14 selbst anbindet, sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Für sie gilt § 14 Abs. 2.
(1c) Trägt der Verantwortliche in den Servereinstellungen eine Webhook-Adresse für Audit-Benachrichtigungen ein, wählt er damit deren Empfänger selbst aus. Der Auftragsverarbeiter übermittelt die Benachrichtigungen ausschließlich an die dort hinterlegte Adresse und handelt dabei auf Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Der Betreiber des gewählten Dienstes – bei einer Discord-Webhook-Adresse also Discord Inc. – ist insoweit Auftragsverarbeiter des Verantwortlichen und nicht des Auftragsverarbeiters; für die Rechtsgrundlage der Übermittlung, erforderliche Verträge und etwaige Garantien für Drittlandübermittlungen ist der Verantwortliche zuständig. Ohne hinterlegte Adresse werden keine Benachrichtigungen versendet; die Funktion ist im Auslieferungszustand nicht aktiv.
(1b) Der Auftragsverarbeiter setzt für die Verarbeitung der Daten des Verantwortlichen keine Anbieter künstlicher Intelligenz ein. Eigene KI-gestützte Vorschlagsfunktionen sind nicht Bestandteil der dem Verantwortlichen bereitgestellten Leistung. Daten des Verantwortlichen werden nur an den KI-Anbieter übermittelt, den dieser selbst nach § 14 anbindet.
(2) Weitere oder geänderte Unterauftragsverarbeiter werden dem Verantwortlichen mindestens vier (4) Wochen vor deren Einsatz durch einen Hinweis im Dashboard sowie – sofern der Verantwortliche eine Kontaktadresse hinterlegt hat – zusätzlich per E-Mail angekündigt. Widerspricht der Verantwortliche innerhalb dieser Frist aus berechtigten Gründen, steht beiden Parteien ein Sonderkündigungsrecht für den Hauptvertrag zu; Löschung und Rückgabe der Daten richten sich nach § 11.
(3) Der Auftragsverarbeiter schließt mit Unterauftragsverarbeitern Verträge nach Art. 28 DSGVO ab und stellt sicher, dass diese ein angemessenes Schutzniveau bieten. Für Unterauftragsverarbeiter in Drittländern werden geeignete Garantien gemäß Art. 46 DSGVO (insbesondere Standardvertragsklauseln, ggf. EU-US Data Privacy Framework) abgeschlossen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich und mit zumutbarem Aufwand, bei der Erfüllung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Anfragen, die der Auftragsverarbeiter direkt von betroffenen Personen erhält, leitet er unverzüglich an den Verantwortlichen weiter.
(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich nach Kenntnisnahme über Verletzungen des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO und unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten nach Art. 33 und 34 DSGVO.
(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen darüber hinaus – unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen – bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO sowie bei etwaigen vorherigen Konsultationen der Aufsichtsbehörde nach Art. 36 DSGVO.
(1) Der Verantwortliche hat das Recht, die Einhaltung der in diesem AVV vereinbarten Pflichten beim Auftragsverarbeiter zu überprüfen.
(2) Kontrollen erfolgen durch Vorlage geeigneter Nachweise (z. B. aktuelle TOM-Dokumentation, Zertifizierungen oder Prüfberichte) in Textform. Ein Zutritts- oder Inspektionsrecht besteht nur, soweit Art. 28 DSGVO es zwingend verlangt; die Infrastruktur wird in Rechenzentren der in § 7 genannten Unterauftragsverarbeiter betrieben, einen eigenen Betriebsort des Auftragsverarbeiters gibt es nicht. Eine solche Prüfung erfolgt mit angemessener Ankündigung (mindestens 14 Tage) und ohne Störung des Betriebsablaufs; ihre Kosten trägt der Verantwortliche, sofern nicht ein wesentlicher Verstoß festgestellt wird.
(1) Nach Beendigung des Hauptvertrages entscheidet der Verantwortliche, ob die personenbezogenen Daten zurückgegeben oder gelöscht werden (Art. 28 Abs. 3 lit. g DSGVO). Der Auftragsverarbeiter stellt hierfür für einen Zeitraum von dreißig (30) Tagen einen Export der Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung, soweit dies technisch möglich ist. Trifft der Verantwortliche innerhalb dieser Frist keine Wahl, werden die Daten gelöscht.
(2) Nach Ablauf der Frist werden sämtliche beim Auftragsverarbeiter vorliegenden personenbezogenen Daten des Verantwortlichen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Etwaige Aufbewahrungspflichten werden dem Verantwortlichen mitgeteilt.
(3) Backups werden im Rahmen der regulären Backup-Rotation (bis zu 30 Tage) automatisch überschrieben und endgültig gelöscht.
(4) Von der Löschung nicht erfasst sind anonyme Aggregatkennzahlen nach § 13, die vor der Löschung erzeugt wurden. Sie enthalten keine personenbezogenen Daten und lassen weder auf den Verantwortlichen noch auf einzelne Personen oder Vorgänge zurückschließen; eine Löschpflicht besteht für sie daher nicht. Mit der Löschung endet der Beitrag des Verantwortlichen zu künftigen Kennzahlen.
(5) Ebenfalls unberührt bleiben Nachweise über erteilte Zustimmungen (Zeitpunkt, Dokumentversion, IP-Adresse), die der Auftragsverarbeiter zur Erfüllung seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO für die Dauer der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB) von drei Jahren nach Vertragsende aufbewahrt.
(1) Für die Haftung gelten die Regelungen der Nutzungsbedingungen, insbesondere die Haftungsbeschränkung bei unentgeltlicher Bereitstellung des Dienstes.
(2) Die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt unberührt. Im Innenverhältnis tragen die Parteien die Haftung gemäß ihres jeweiligen Verschuldensanteils an einem Datenschutzverstoß.
(1) Der Verantwortliche weist den Auftragsverarbeiter an, aus den im Rahmen dieses Vertrages verarbeiteten Konfigurations-, Inhalts- und Nutzungsdaten anonyme Aggregatkennzahlen zu erzeugen. Zweck der Weisung ist die Bereitstellung von Vorschlags-, Vergleichs- und Statistikwerten, die der Verantwortliche im Dashboard und über die angebundenen Werkzeuge für die Administration seines eigenen Servers nutzen kann.
(2) Bei der Erzeugung gelten folgende Maßgaben:
(3) Die Erzeugung der Aggregate erfolgt als Verarbeitung im Auftrag nach diesem Vertrag. Die entstehenden Kennzahlen sind nach dem in Absatz 5 dokumentierten Verfahren anonymisiert; der Auftragsverarbeiter weist dies auf Verlangen nach. Für die anschließende Nutzung, Speicherung und Weiterentwicklung der anonymen Ergebnisse – einschließlich ihrer Verwendung zur Qualitätssicherung und Weiterentwicklung des Dienstes – ist der Auftragsverarbeiter eigener Verantwortlicher. Eine Nutzung der zugrunde liegenden Rohdaten für eigene Zwecke des Auftragsverarbeiters findet nicht statt.
(4) Der Verantwortliche kann dem Beitrag seines Servers jederzeit in Textform widersprechen; der Auftragsverarbeiter schließt den Server dann unverzüglich von der Auswertung aus. In diesem Fall stehen ihm die aus den Beiträgen anderer Server gebildeten Vergleichswerte für Konfigurationsdaten ebenfalls nicht zur Verfügung, weil ohne eigenen Beitrag keine Bezugsgröße für einen Vergleich entsteht; die Nutzbarkeit des Dienstes im Übrigen bleibt unberührt. Bereits erzeugte Kennzahlen bleiben vom Widerspruch unberührt (§ 11 Abs. 4).
(5) Der Auftragsverarbeiter dokumentiert die eingesetzten Anonymisierungsverfahren und legt sie dem Verantwortlichen auf Anfrage im Rahmen von § 10 vor.
(1) Der Verantwortliche kann für einzelne, von ihm namentlich freigegebene Administratoren einen Zugang zur MCP-Schnittstelle einrichten und darüber einen KI-Client mit der Plattform verbinden. Anschließbar sind Clients, deren Weiterleitungsziele der Auftragsverarbeiter aus Sicherheitsgründen freigegeben hat; die Auswahl innerhalb dieser Liste trifft der Verantwortliche. Er benennt bei der Einrichtung den Anbieter des Clients; die Bestätigung wird mit Zeitpunkt gespeichert und gilt als dokumentierte Weisung im Sinne des § 3.
(2) Die Auswahl des Anbieters dieses Clients, der Abschluss der hierfür erforderlichen Verträge (insbesondere nach Art. 28 und Art. 44 ff. DSGVO) sowie die Information der betroffenen Personen obliegen dem Verantwortlichen. Der Auftragsverarbeiter stellt ausschließlich die Schnittstelle bereit und handelt beim Datenabruf auf Weisung des Verantwortlichen. Der Anbieter des Clients ist Unterauftragsverarbeiter des Verantwortlichen, nicht des Auftragsverarbeiters. Der Auftragsverarbeiter ist berechtigt, die Freischaltung zu verweigern oder auszusetzen, wenn ihm Anhaltspunkte dafür vorliegen, dass die Voraussetzungen nach Satz 1 nicht erfüllt sind.
(3) Der Zugang trägt ausschließlich die Berechtigungen des freigegebenen Administrators, ist auf den Server des Verantwortlichen begrenzt und kann jederzeit widerrufen werden. Im Dashboard erzeugte Zugänge laufen nach 90 Tagen automatisch ab, über OAuth verbundene Clients nach zwölf Monaten ohne Nutzung. Der Abruf von Daten mit Bezug zu einzelnen Endnutzern ist standardmäßig deaktiviert und nur nach ausdrücklicher Freischaltung durch den Verantwortlichen möglich.
(4) Der Verantwortliche stellt sicher, dass über die Schnittstelle keine Daten abgerufen werden, für deren Übermittlung an den von ihm gewählten Anbieter keine Rechtsgrundlage besteht.
(5) Der Auftragsverarbeiter protokolliert je Aufruf Zeitpunkt, Werkzeugname, Ergebnisstatus und den handelnden Administrator, um Missbrauch erkennen und einen Zugang gezielt widerrufen zu können; Inhalte werden nicht protokolliert. Diese Protokolle sind Bestandteil der Verarbeitung nach § 4 und werden nach 30 Tagen gelöscht.
(6) Wird dem Auftragsverarbeiter ein Vorfall beim Anbieter eines angebundenen Clients bekannt, der Daten des Verantwortlichen betreffen kann, informiert er diesen unverzüglich. Die Bewertung und etwaige Meldung eines solchen Vorfalls obliegen dem Verantwortlichen.
(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV für Fragen des Datenschutzes vor.
(2) Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel selbst.
(3) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Kaiserslautern.
Dieser AVV stellt keinen anwaltlichen Rat dar. Für eine rechtsverbindliche Prüfung des Einzelfalls wird die Konsultation einer qualifizierten Rechtsberatung empfohlen.