Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Dieser Vertrag gilt zwischen DrehKo und jeder Produktionsfirma, die ihn nach § 2 abgeschlossen hat. Was in euren Produktionen steht — Kontakte, Einladungen, Dokumente, Drehtage, Ankündigungen —, verarbeitet DrehKo in eurem Auftrag und nur nach euren Weisungen. Ihr bleibt dafür verantwortlich; DrehKo ist euer Auftragsverarbeiter.

Das Wichtigste in Kürze — verbindlich ist der Vertrag darunter:

• DrehKo nutzt eure Daten für eure Produktionen — nicht für Werbung und nicht, um eine KI zu trainieren.
• Einige Angaben nutzt DrehKo auch für eigene Zwecke. Welche, steht abschließend in § 7. Dazu gehört der Titel eurer Produktion in der Filmografie der Menschen, die darin arbeiten — ihn sehen auch Menschen außerhalb eurer Firma.
• Eure Daten bleiben privat, bis jemand DrehKo um Hilfe bittet. Dann sieht der Betreiber die Leute einer Produktion in der Support-Ansicht — nie Dokumente, die Kalkulation, Ankündigungen oder Telefonnummern —, und jedes Öffnen steht im Protokoll. Eine Rolle ändert DrehKo nur auf Bitte von Produktionsleitung, Produktionskoordination oder Inhaber (§ 8 Abs. 2).
• Datenbank und Dateien liegen in der EU. Einige Dienstleister sitzen in den USA oder in Singapur (§ 11, Anlage 1).
• Eine Datenpanne meldet DrehKo euch spätestens 24 Stunden, nachdem DrehKo davon erfahren hat (§ 13).
• Eine Produktion löscht ihr selbst. Wollt ihr die Daten zurück, stellt DrehKo sie euch auf Wunsch bereit (§ 15).

§ 1 Parteien

Verantwortliche ist die Produktionsfirma, die in DrehKo als Firma angelegt ist (im Folgenden „ihr“ oder „die Firma“). In DrehKo handelt sie durch ihren Inhaber und die Personen, denen sie dort Rechte gibt (§ 6).

Auftragsverarbeiter ist:
Maximilian Bürger (Inhaber), DrehKo
Rudolf-Seiffert-Straße 31
10369 Berlin
Deutschland
E-Mail: [email protected]
(im Folgenden „DrehKo“).

Für den Datenschutz ist bei DrehKo Maximilian Bürger selbst ansprechbar, unter [email protected]. Einen Datenschutzbeauftragten hat DrehKo nicht benannt. Zuständige Aufsichtsbehörde für DrehKo ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

§ 2 Abschluss, Form und Vorrang

(1) Dieser Vertrag gehört zu den Allgemeinen Geschäftsbedingungen (AGB) von DrehKo. Wer in DrehKo eine Firma anlegt, schließt dabei für sie ausdrücklich die AGB mit Teil B und diesen Vertrag ab: Auf der Seite zum Anlegen setzt er selbst das Häkchen „Ich schließe für die Firma die AGB mit Teil B und den Vertrag zur Auftragsverarbeitung (AVV) ab.“; ohne das Häkchen lässt sich die Firma dort nicht anlegen. Dafür muss er berechtigt sein, die Firma zu vertreten. DrehKo hält fest, wann und von welchem Konto die Firma angelegt wurde, und bewahrt jede Fassung dieses Vertrags auf. Der Vertrag gilt ab dem Anlegen, für alle Produktionen der Firma.

(2) Für eine Firma, die ohne diesen Schritt angelegt wurde — etwa vor dem 27. September 2026 —, gilt dieser Vertrag, sobald ihr Inhaber oder eine andere Person, die die Firma vertreten darf, ihm in Textform zustimmt — etwa mit einer E-Mail an [email protected]. DrehKo schickt jeder solchen Firma den Vertrag dafür zu.

(3) Der Vertrag ist elektronisch abgefasst (Art. 28 Abs. 9 DSGVO). Diese Seite lässt sich jederzeit aufrufen, speichern und drucken. DrehKo bewahrt jede Fassung auf und schickt euch auf Wunsch die Fassung, die für euch gilt.

(4) Widersprechen sich dieser Vertrag und die AGB, geht dieser Vertrag vor, soweit es um personenbezogene Daten geht, die DrehKo in eurem Auftrag verarbeitet.

§ 3 Gegenstand, Art und Zweck

(1) Gegenstand. DrehKo stellt euch eine Plattform bereit, auf der eure Produktionen zusammenarbeiten: Kontakte, Einladungen und einen Vorraum für Anfragen zum Beitritt; sieben Bereiche für Dokumente (Listen, Drehplan, Buch, Dispo, Persönlich, Kalkulation, Komparsen) mit ihren Fassungen; Drehtage mit ihrem Kopf und die Ansicht „Heute“; Ankündigungen, Posteingang und „Zu erledigen“. Was DrehKo im Einzelnen leistet, beschreiben die AGB.

(2) Art der Verarbeitung. DrehKo

• speichert eure Daten in einer Datenbank und einem Dateispeicher;
• zeigt jeder Person im Browser und in der App nur, was ihr Sitz und die Sichtbarkeit des Bereichs erlauben;
• schickt E-Mails: Einladungen, Hinweise aus dem Posteingang und die tägliche Übersicht für Produktionsleitung, Produktionskoordination und Büro;
• lässt auf Klick von Produktionsleitung, Produktionskoordination oder Büro den Kopf einer Dispo oder eine Stabliste durch einen KI-Dienst auslesen (Anlage 1). Das Ergebnis ist ein Vorschlag: Ein Mensch prüft ihn und entscheidet, was gilt. Über Menschen entscheidet die KI nichts;
• zählt die belegten Plätze einer Produktion;
• gibt die Telefonliste als Druckblatt oder CSV-Datei aus und jeder Person ihre eigene Datenkopie (§ 12);
• zeigt dem Betreiber in der Support-Ansicht die Leute einer Produktion, damit er helfen kann, und ändert auf eure Bitte eine Rolle (§ 8 Abs. 2);
• löscht Daten, wenn ihr oder die betroffene Person es veranlasst, und nach festen Fristen (Anlage 2).

(3) Zweck. Die Organisation eurer Produktionen — nichts sonst. DrehKo nutzt eure Daten nicht für Werbung, verkauft sie nicht und lässt mit ihnen keine KI trainieren. Wo DrehKo Angaben aus Produktionen auch für eigene Zwecke nutzt, steht abschließend in § 7.

(4) Ort. Datenbank und Dateien liegen in einer Region der EU. Welche Dienstleister wo tätig sind, steht in Anlage 1; wann Daten die EU verlassen können, in § 11.

§ 4 Daten und betroffene Personen

Art der Daten

• Menschen in einer Produktion: Name, E-Mail-Adresse, Telefonnummer und weitere Kontaktangaben, Sitz (Produktionsleitung, Produktionskoordination, Büro, Crew), Gewerk, Funktion, Zeitraum, Stand (eingeladen, im Vorraum, im Stab, abgelehnt, zurückgezogen, abgelaufen, ausgeschieden), wer jemanden eingeladen oder entfernt hat;
• Kontakte ohne Konto mit ihren Kontaktangaben und dem Vermerk, ob ihr sie informiert habt;
• Dokumente in den sieben Bereichen, mit allem, was darin steht: Stablisten, Drehpläne, Drehbücher, Dispos (oft mit Namen, Rollen und Telefonnummern von Crew und Besetzung, Motivadressen und Sicherheitshinweisen), Kalkulationen, Komparsenlisten und in Persönlich die Unterlagen einer Person, etwa Verträge, Gagen- und Lohnabrechnungen, Reisekostenbelege und Zertifikate;
• Drehtage: Datum, Zeiten, Motiv, Arbeitsbeginn je Gewerk und weitere Angaben zum Tag; wer einen Wert bestätigt hat; was die KI aus einer Dispo gelesen hat (das sehen nur Produktionsleitung, Produktionskoordination und Büro);
• Ankündigungen mit Verfasser, Posteingang mit Lesestand;
• E-Mails, die DrehKo für eure Produktionen verschickt: Empfängeradresse, Anlass, Betreff und Text;
• Betriebsdaten, die dabei entstehen, etwa wann ein Dokument veröffentlicht wurde.

Besondere Kategorien (Art. 9, 10 DSGVO). DrehKo fragt keine ab. Sie können aber in Dokumenten stehen, die ihr oder eure Crew ablegt — zum Beispiel das Kirchensteuermerkmal auf einer Lohnabrechnung, eine Angabe zur Gesundheit in einer Bescheinigung oder einem Sicherheitshinweis oder ein Führungszeugnis. Ob solche Angaben in DrehKo gehören, entscheidet ihr (§ 17).

Betroffene Personen

• Crew eurer Produktionen: angestellt (auch befristet), arbeitnehmerähnlich oder frei;
• Darstellerinnen und Darsteller, Komparsinnen und Komparsen, auch Minderjährige;
• Menschen, die ihr einladet oder als Kontakt ohne Konto eintragt, und Menschen, die über euren Beitritts-Link um Aufnahme bitten;
• Mitarbeitende eurer Firma;
• Menschen, die in euren Dokumenten genannt sind, etwa Ansprechpartner an einem Motiv.

§ 5 Dauer

Der Vertrag beginnt nach § 2. Er läuft, solange der Vertrag nach den AGB zwischen DrehKo und eurer Firma läuft. Seine Pflichten gelten weiter, bis DrehKo eure Daten nach § 15 gelöscht oder zurückgegeben hat. Für eine einzelne Produktion endet die Verarbeitung, wenn ihr sie löscht.

§ 6 Weisungen

(1) DrehKo verarbeitet eure Daten nur auf eure dokumentierte Weisung (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO), auch was Übermittlungen in Länder außerhalb der EU angeht (§ 11). Eure Weisungen sind:

1. dieser Vertrag und die AGB;
2. was Berechtigte eurer Firma in DrehKo tun — für die Firma der Inhaber, die Firmenadmins und wer das Anlege-Recht hat; in einer Produktion Produktionsleitung, Produktionskoordination und Büro im Rahmen ihres Sitzes. Dazu gehört zum Beispiel: einladen und entfernen, die Sichtbarkeit der Bereiche festlegen, Dokumente veröffentlichen und löschen, eine Dispo oder Stabliste auslesen lassen, Ankündigungen schreiben, archivieren und löschen. Gebt ihr jemandem einen Sitz, weist ihr DrehKo an, dieser Person genau das zu erlauben, was der Sitz in DrehKo erlaubt; das gilt auch für die Crew;
3. weitere Weisungen in Textform (etwa per E-Mail) vom Inhaber oder von einem Firmenadmin an [email protected]. DrehKo bewahrt sie bis drei Jahre nach dem Ende des Vertrags auf.

(2) Die Wege, die DrehKo den betroffenen Personen selbst öffnet (§ 12 Abs. 1 und 2), erlaubt ihr hiermit vorab.

(3) Hält DrehKo eine Weisung für rechtswidrig, sagt DrehKo euch das unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO). DrehKo darf sie aussetzen, bis ihr sie bestätigt oder ändert.

(4) Ließe sich eine Weisung nur umsetzen, indem DrehKo die Plattform für alle Firmen ändert, sagt DrehKo euch das. Ihr könnt den Vertrag dann ohne Frist kündigen.

(5) Verpflichtet das Recht der EU oder eines Mitgliedstaats DrehKo zu einer Verarbeitung — etwa zur Herausgabe an eine Behörde —, teilt DrehKo euch das vorher mit, es sei denn, dieses Recht verbietet die Mitteilung wegen eines wichtigen öffentlichen Interesses (Art. 28 Abs. 3 lit. a DSGVO).

§ 7 Wo DrehKo selbst verantwortlich ist

(1) Nicht Gegenstand dieses Vertrags ist, was DrehKo für sich selbst verarbeitet: das Konto jeder Person mit ihrer Anmeldung, das Profil, das jede Person selbst pflegt, ihr Kontaktbuch, ihr kontoweiter Posteingang, die Sicherheit des Dienstes und der Betrieb. Dafür ist DrehKo selbst verantwortlich; die Datenschutzerklärung beschreibt es, auch die Rechtsgrundlagen.

(2) Einige Angaben aus euren Produktionen nutzt DrehKo auch für diese eigenen Zwecke. Ihr erlaubt DrehKo, sie dafür zu nutzen, und nur dafür. Für diese Nutzungen ist DrehKo selbst Verantwortlicher (Art. 4 Nr. 7 DSGVO) und stützt sich auf eigene Rechtsgrundlagen, die die Datenschutzerklärung nennt. Eine andere eigene Nutzung gibt es nicht; sonst gälte DrehKo nach Art. 28 Abs. 10 DSGVO für sie als Verantwortlicher ohne eure Erlaubnis. Die Liste ist abschließend:

1. Filmografie. Im Personenprofil einer Person mit Konto stehen die Produktionen, in denen sie im Stab ist oder war: Titel und Format der Produktion, Sitz, Gewerk, Funktion, erster und letzter Drehtag und ob sie noch dabei ist — auch solange eure Produktion noch in Vorbereitung ist. Das Personenprofil öffnen dürfen: wer gerade mit der Person im Stab einer Produktion ist, und Produktionsleitung, Produktionskoordination und Büro jeder nicht archivierten Produktion — auch einer anderen Firma —, in der die Person mit ihrem Konto einen offenen Eintrag hat: im Stab, auch nach dem Ende ihres Zeitraums; eingeladen, solange die Einladung läuft; mit einer Anfrage über den Beitritts-Link, solange sie keine 14 Tage alt ist; oder ausgeschieden — auch wenn sie danach erneut eingeladen wurde —, solange ihr Name im Eintrag steht. Eine abgelehnte, zurückgezogene oder abgelaufene Einladung oder Anfrage allein öffnet das Profil nicht. Der Titel eurer Produktion ist damit auch für Menschen außerhalb eurer Firma zu sehen. Abschalten kann das nur die Person (Profil nicht sichtbar), nicht die Firma. Den Titel legt ihr in den Stammdaten fest; ist der echte Titel vertraulich, tragt dort einen Arbeitstitel ein.
2. Wer ein Profil sehen darf. Wer das Personenprofil einer Person öffnen darf (Nr. 1), liest DrehKo aus den Einträgen der Produktionen.
3. Kontaktbuch. Bevor jemand eine andere Person in sein Kontaktbuch legt, prüft DrehKo, ob beide mit Konto in derselben Produktion im Stab waren. Zu einer solchen Verknüpfung zeigt DrehKo die Titel der Produktionen, die beide geteilt haben, und die Telefonnummer auch dann, wenn die Person, deren Buch es ist, in einer gemeinsamen Produktion Produktionsleitung, Produktionskoordination oder Büro war. Beides liest DrehKo bei jedem Aufruf aus den Einträgen; im Kontaktbuch gespeichert wird davon nichts.
4. Unbestätigte und ruhende Konten. Bevor DrehKo ein Konto löscht, dessen Adresse nach 7 Tagen nicht bestätigt ist oder das 24 Monate nicht benutzt wurde, prüft DrehKo, ob es einen Eintrag in einer Produktion hat. Dann bleibt es.
5. Maß für die KI. DrehKo zählt jede Auswertung durch die KI mit Person, Produktion, Art und Größe der Datei, um Missbrauch und Kosten zu begrenzen. Ein Zähleintrag zählt 30 Tage; danach löscht ihn DrehKo bei der nächsten Auswertung, gleich wer sie auslöst. Löscht ihr die Produktion, verliert er den Bezug zu ihr.
6. Versandprotokoll. Jede Mail bleibt mit Adresse, Art, Betreff, den Angaben für ihren Text und Zustellstand gespeichert; den fertigen Text nur, bis der Mailanbieter sie angenommen hat. Nimmt er eine Mail nie an, bleibt ihr Text, bis die Aufzeichnung nach 90 Tagen gelöscht wird. Angenommene oder übersprungene Mails bleiben 30 Tage, nicht zustellbare, verzögerte oder nie abgeschickte 90 Tage — damit DrehKo Zustellung und Rückläufer nachvollziehen kann. „Angenommen“ heißt: vom Mailanbieter angenommen, nicht: zugestellt. Meldet jemand eine Mail von DrehKo als Spam — auch eine Mail aus einer eurer Produktionen —, setzt DrehKo die Adresse auf eine Sperrliste, nur als Prüfwert (Hash), mit Grund und Zeitpunkt. An eine Adresse auf dieser Liste schickt DrehKo die Mails nicht mehr, die jemand anderes auslösen kann: keine Einladung in eine Produktion, keinen Anmeldelink zu einer Einladung und keinen Zugangscode — gleich aus welcher Produktion und welcher Firma; wer einlädt, erfährt nur, dass an diese Adresse keine Mail geht. Mails zu einem Sitz im Büro oder zur Firma, etwa zum Vorraum, die tägliche Übersicht oder die Bitte um mehr Plätze, gehen weiter; die Benachrichtigungen an das Konto der Person schaltet die Meldung ab. Eine Mail, die DrehKo deshalb nicht verschickt, steht 30 Tage ohne Text und ohne Angaben im Versandprotokoll. Die Sperrliste hat kein Ablaufdatum und bleibt auch nach dem Ende dieses Vertrags; DrehKo streicht eine Adresse, wenn die Person von dieser Adresse aus darum bittet.
7. Vertrag mit euch und Betreiber-Seite. Die Betreiber-Seite zeigt je Produktion Titel, Kürzel, Phase, Anlegedatum, ersten und letzten Drehtag, die Zahl der belegten Plätze, ob sie gerade gelöscht wird und ob ihr Leitungs-Sitz frei ist — seit wann und ob, weil ein Konto gelöscht wurde —, dazu offene Anfragen nach mehr Plätzen mit ihrem Datum und bis wann die Produktion die Grenze befristet überschreiten darf. Ihre Kontenliste nennt zu jedem Konto die Zahl seiner Produktionen. Öffnet der Betreiber ein Konto, sieht er dazu die Zahl seiner Einträge und Titel, Kürzel und Phase der Produktionen, in denen es einen Eintrag hat — nie Sitz, Gewerk, Funktion oder Stand darin. Die Leute einer Produktion zeigt allein die Support-Ansicht; mit ihr nutzt DrehKo nichts für eigene Zwecke, sondern handelt in eurem Auftrag (§ 8 Abs. 2).
8. Betreiber-Protokoll. Löscht ihr eine Produktion, hält es fest, dass und wann das geschah, mit dem Namen eurer Firma und der Zahl der Einträge — ohne Inhalte und ohne E-Mail-Adressen. Öffnet der Betreiber die Support-Ansicht einer eurer Produktionen oder ändert er dort eine Rolle (§ 8 Abs. 2), hält es fest, wann das geschah, mit Kürzel oder Kennung der Produktion und dem Namen eurer Firma; bei einer Rolle dazu, von welchem zu welchem Sitz, wer darum bat (Produktionsleitung, Produktionskoordination oder Inhaber) und auf welchem Weg — ohne Namen von Personen und ohne E-Mail-Adressen. Löscht eine Person ihr Konto, hält es die Kennungen ihrer Einträge in euren Produktionen fest und wie viele Unterlagen in Persönlich dabei gelöscht wurden.
9. Kontoweite Hinweise. Wird eine Person eingeladen, aufgenommen oder entfernt, scheidet sie aus, weil DrehKo auf eure Bitte den Leitungs-Sitz umsetzt (§ 8 Abs. 2), endet ihr Zeitraum oder löscht ihr eine Produktion, in der sie einen Eintrag hat, bekommt sie dazu einen Hinweis in ihrem kontoweiten Posteingang, mit Titel oder Kürzel der Produktion — und, je nach Art des Hinweises und ihrer Mail-Einstellung, eine E-Mail. Der Hinweis bleibt dort, auch wenn sie die Produktion verlässt oder ihr die Produktion löscht, bis sie ihr Konto löscht. Auf demselben Weg erfahren Inhaber und Firmenadmins eurer Firma, wenn der Leitungs-Sitz frei wird, weil ein Konto gelöscht wurde, und wenn Produktionsleitung, Produktionskoordination oder Büro nach mehr Plätzen fragen — dann mit dem Kürzel der Produktion, dem Namen der fragenden Person (hat sie keinen, nennt die Mail ihre Adresse) und der Zahl der belegten und der erlaubten Plätze.
10. Feedback. Schickt jemand aus einer Produktion Feedback an DrehKo, nennt die Nachricht an den Betreiber das Kürzel dieser Produktion und die Rückmeldung auf der Betreiber-Seite ihren Titel.

(3) Eine weitere eigene Nutzung kommt nur mit einer Änderung dieses Vertrags nach § 19 hinzu.

§ 8 Vertraulichkeit und Zugriff durch DrehKo

(1) DrehKo betreibt heute eine Person: Maximilian Bürger. Er ist durch diesen Vertrag zur Vertraulichkeit verpflichtet. Bekommt eine weitere Person Zugriff auf eure Daten, verpflichtet DrehKo sie vorher in Textform zur Vertraulichkeit und gibt ihr nur, was sie für ihre Aufgabe braucht (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Hilfe auf Anfrage. Eure Daten bleiben privat, bis jemand DrehKo um Hilfe bittet. Dann sieht DrehKo sich an, was für die Hilfe nötig ist, und hält jeden Einblick fest. Im Einzelnen weist ihr DrehKo mit diesem Vertrag an (§ 6 Abs. 1 Nr. 1, Art. 28 Abs. 3 lit. a DSGVO):

1. Support-Ansicht. Bittet eine Person aus einer eurer Produktionen oder aus eurer Firma DrehKo um Hilfe, für die DrehKo die Leute dieser Produktion sehen muss — etwa weil eine Einladung nicht ankommt oder ein Sitz nicht stimmt —, oder liegt ein Grund nach Abs. 3 vor, öffnet der Betreiber die Support-Ansicht dieser Produktion. Sie zeigt die Stammdaten der Produktion und ihre Leute: Name, E-Mail-Adresse, Sitz, Gewerk, Funktion, Stand (etwa eingeladen, im Vorraum, im Stab, ausgeschieden), Zeitraum und ob die Person ein Konto hat und ob es bestätigt ist; von den Dokumenten nur ihre Zahl je Bereich, von der Kalkulation nicht einmal die. Nie zeigt sie eine Telefonnummer, ein Dokument, die Kalkulation oder eine Ankündigung. Technisch kann der Betreiber sie jederzeit öffnen; darum schreibt jedes Öffnen automatisch eine Zeile ins Betreiber-Protokoll (§ 7 Abs. 2 Nr. 8). Auf Anfrage sagt DrehKo euch, wann die Support-Ansicht eurer Produktionen geöffnet wurde (§ 16 Abs. 1).
2. Rollen. Eine Rolle in einer eurer Produktionen ändert DrehKo nur auf Bitte ihrer Produktionsleitung, ihrer Produktionskoordination oder des Inhabers eurer Firma: zwischen Crew, Büro und Produktionskoordination; den Leitungs-Sitz füllt DrehKo, wenn er frei ist, oder setzt ihn um, nach den Regeln einer Übergabe — die neue Produktionsleitung ist im Stab und hat ein Konto, die bisherige wird Produktionskoordination oder scheidet aus, wie die Bitte es sagt, und die Produktion hat immer genau eine Produktionsleitung. Die Bitte kommt per E-Mail von der Adresse, die in DrehKo für die bittende Person hinterlegt ist. Kommt sie per Telefon, schreibt DrehKo vorher an diese Adresse und handelt erst, wenn die Bitte von dort bestätigt ist. Eine solche Bitte gilt als eure Weisung, auch wenn sie von Produktionsleitung oder Produktionskoordination kommt. Die Bitte eines Firmenadmins genügt dafür nicht; § 6 Abs. 1 Nr. 3 gilt insoweit nicht. Jede Änderung verlangt eine frische Anmeldung des Betreibers und steht im Betreiber-Protokoll (§ 7 Abs. 2 Nr. 8). Die Betroffenen sowie Produktionsleitung, Produktionskoordination und Büro der Produktion lesen in ihrem Posteingang, dass und auf wessen Bitte DrehKo die Rolle geändert hat.
3. Konten. Für die Konten ist DrehKo selbst verantwortlich (§ 7 Abs. 1). Der Betreiber sieht sie in einer Liste ohne Export; was sie aus euren Produktionen zeigt, steht in § 7 Abs. 2 Nr. 7. Jedes Laden der Liste und jedes geöffnete Konto wird protokolliert, ohne eine Adresse. Kommt eine Person nicht mehr in ihr Konto, lässt der Betreiber ihr auf ihre Bitte eine Mail schicken, mit der sie ihr Passwort selbst neu setzt. Der Betreiber sieht und setzt nie ein Passwort und ändert nie eine E-Mail-Adresse.

Sonst zeigt die Betreiber-Seite aus euren Produktionen nur, was § 7 Abs. 2 Nr. 7, 8 und 10 nennen.

(3) Als Inhaber der Konten bei den Dienstleistern aus Anlage 1 kann der Betreiber technisch auf die Datenbank und den Dateispeicher zugreifen. Er tut das nur, soweit es für den Betrieb, eine Fehlerbehebung, einen Sicherheitsvorfall, die Prüfung einer Meldung zu einem Inhalt nach den AGB, eure Weisung oder eine rechtliche Pflicht nötig ist, und sieht dabei nur so weit in Inhalte, wie es dafür nötig ist.

(4) Verlangt eine Behörde oder ein Gericht eure Daten von DrehKo, verweist DrehKo auf euch und informiert euch unverzüglich, soweit das erlaubt ist. Einer Behörde oder einem Gericht außerhalb der EU gibt DrehKo eure Daten nur, wenn Art. 48 DSGVO und die Regeln für Übermittlungen außerhalb der EU (Art. 44 ff. DSGVO) es erlauben.

§ 9 Sicherheit

(1) DrehKo trifft die technischen und organisatorischen Maßnahmen aus Anlage 2 (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO).

(2) DrehKo darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Eine wesentliche Änderung trägt DrehKo in Anlage 2 ein und teilt sie euch per E-Mail mit.

(3) DrehKo prüft Anlage 2 bei jeder wesentlichen Änderung von DrehKo und mindestens einmal im Jahr darauf, ob sie noch stimmt und noch genügt (Art. 32 Abs. 1 lit. d DSGVO).

§ 10 Unterauftragsverarbeiter

(1) Ihr genehmigt die Unterauftragsverarbeiter aus Anlage 1 (allgemeine Genehmigung, Art. 28 Abs. 2 DSGVO).

(2) Will DrehKo einen Anbieter hinzunehmen oder ersetzen, schreibt DrehKo dem Inhaber und den Firmenadmins mindestens 30 Tage vorher eine E-Mail: wer, wo, wofür und auf welcher Grundlage außerhalb der EU. Muss ein Anbieter kurzfristig ersetzt werden, weil der bisherige seine Leistung einstellt oder ein Sicherheitsvorfall es verlangt, schreibt DrehKo euch vor dem Einsatz des neuen Anbieters, so früh wie möglich, und sagt, warum. Einen Anbieter außerhalb der EU setzt DrehKo auf diesem Weg nicht ein. Euer Widerspruch nach Abs. 4 bleibt; seine Frist beginnt mit dieser Mitteilung. Anlage 1 wird zugleich aktualisiert.

(3) Kündigt ein Anbieter aus Anlage 1 eine Änderung bei seinen eigenen Unterauftragsverarbeitern an, gibt DrehKo sie euch unverzüglich weiter, spätestens drei Werktage nach Eingang.

(4) Ihr könnt einer Änderung binnen 14 Tagen nach der Mitteilung in Textform widersprechen, wenn ihr dafür einen Grund des Datenschutzes habt — etwa eine Übermittlung außerhalb der EU ohne ausreichende Garantie oder unzureichende Sicherheitsmaßnahmen. DrehKo sucht dann mit euch eine Lösung. Findet sich keine, könnt ihr den Vertrag ohne Frist kündigen, auf Wunsch mit Wirkung vor dem Tag, an dem die Änderung wirksam wird. Weil alle Firmen dieselbe Plattform nutzen, hält euer Widerspruch die Änderung für andere Firmen nicht auf.

(5) DrehKo setzt einen Unterauftragsverarbeiter nur mit einem Vertrag ein, der ihm dieselben Datenschutzpflichten nach Art. 28 Abs. 3 DSGVO auferlegt, die dieser Vertrag DrehKo auferlegt (Art. 28 Abs. 4 Satz 1 DSGVO). Die Verträge der Anbieter sind Standardverträge und in Anlage 1 verlinkt. Regeln sie etwas anders als dieser Vertrag — etwa Meldefristen oder Prüfungen —, erfüllt DrehKo seine Pflichten aus diesem Vertrag euch gegenüber trotzdem vollständig. Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet DrehKo euch dafür (Art. 28 Abs. 4 Satz 2 DSGVO).

(6) Kein Unterauftragsverarbeiter ist Google als Anbieter der „Anmeldung mit Google“: Google handelt dort gegenüber der Person, die sich anmeldet, in eigener Verantwortung.

§ 11 Übermittlung außerhalb der EU

(1) Datenbank und Dateien liegen in der EU. Einige Anbieter aus Anlage 1 sitzen aber außerhalb der EU oder können von dort zugreifen: Supabase hat seinen Sitz in Singapur und setzt eigene Unterauftragsverarbeiter ein, darunter Supabase, Inc. in den USA für den Support und weitere Anbieter in den USA; Cloudflare und Resend sitzen in den USA; Google Cloud EMEA Limited (Irland) kann Daten an die Google LLC in den USA übermitteln.

(2) Ihr weist DrehKo an, Daten aus euren Produktionen nur an die Anbieter aus Anlage 1 und an deren Unterauftragsverarbeiter, wie sie in den dort verlinkten Listen stehen, und nur auf den Grundlagen aus Anlage 1 außerhalb der EU zu übermitteln oder dort zugänglich zu machen (Art. 44 ff. DSGVO).

(3) Die Grundlagen sind:

• für die USA der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795), soweit der Empfänger dort zertifiziert ist, und daneben EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) in den Verträgen der Anbieter;
• für Singapur, für das es keinen Angemessenheitsbeschluss gibt, die EU-Standardvertragsklauseln im Vertrag von Supabase (Art. 46 Abs. 2 lit. c DSGVO). Gibt Supabase Daten an seine Unterauftragsverarbeiter in den USA weiter, gelten dafür die Regeln der Standardvertragsklauseln zur Weiterübermittlung und die Verträge, die Supabase mit ihnen schließt.

(4) Das Gericht der EU hat den Beschluss zum Data Privacy Framework am 3. September 2025 bestätigt (Rechtssache T-553/23); ein Rechtsmittel dagegen ist beim Gerichtshof anhängig (C-703/25 P). Fällt der Beschluss weg, stützt sich DrehKo auf die Standardvertragsklauseln der Anbieter und sagt euch das.

(5) Einen neuen Anbieter außerhalb der EU setzt DrehKo nur nach § 10 und nur mit einer Grundlage nach Art. 45 oder 46 DSGVO ein. Eine Kopie der Garantien bekommt ihr auf Anfrage an [email protected].

§ 12 Rechte der betroffenen Personen

(1) Was jede Person in DrehKo selbst tun kann. Diese Wege öffnet DrehKo den betroffenen Personen direkt; ihr erlaubt sie hiermit (§ 6 Abs. 2):

• ihre Kontaktangaben und ihr Profil ansehen und berichtigen;
• eine Datenkopie herunterladen: Konto, Profil, ihre Einträge in Produktionen samt Zeitraum und Ausscheiden, ihre Zertifikate und ihre eigenen Unterlagen in Persönlich — also auch Daten aus euren Produktionen;
• eine Produktion verlassen;
• einstellen, wer ihre Telefonnummer sieht, und ihr Profil abschalten;
• ihr Konto löschen (Konto und Daten löschen). Dann trägt ihr Eintrag in euren Produktionen statt des Namens „Gelöschtes Konto“, ohne Kontaktangaben; ihre Unterlagen in Persönlich werden in allen Produktionen gelöscht. Was sie veröffentlicht hat, bleibt ohne ihren Namen.

(2) Wer ausgeschieden ist, sieht die Produktion in DrehKo nicht mehr, bekommt seine eigenen Unterlagen in Persönlich aber weiter über die Datenkopie, bis ihr sie oder die Produktion löscht.

(3) Was ihr selbst tun könnt. In DrehKo seht ihr die Einträge eurer Produktionen, entfernt Menschen, entfernt bei Ausgeschiedenen Name und Kontaktdaten, löscht Dokumente und exportiert die Telefonliste. Damit beantwortet ihr die meisten Anfragen selbst.

(4) Anfragen, die DrehKo erreichen. Fragt jemand DrehKo nach Daten aus euren Produktionen, leitet DrehKo die Anfrage an den Inhaber und die Firmenadmins weiter, spätestens nach drei Werktagen, und sagt der Person, dass sie weitergeleitet wurde. In eurem Namen antwortet DrehKo nur, wenn ihr das verlangt.

(5) Was nur DrehKo weiß — etwa ob und wann eine Mail zugestellt wurde oder an welche Anbieter Daten gegangen sind —, teilt DrehKo euch auf Anfrage mit, damit ihr eine Auskunft vollständig geben könnt.

(6) Für diese Unterstützung verlangt DrehKo kein Entgelt.

§ 13 Datenpannen

(1) Erfährt DrehKo von einer Verletzung des Schutzes eurer Daten, informiert DrehKo euch unverzüglich, spätestens 24 Stunden, nachdem DrehKo davon erfahren hat (Art. 33 Abs. 2 DSGVO) — auch dann, wenn noch nicht klar ist, ob ein Risiko besteht.

(2) Die Nachricht geht per E-Mail an den Inhaber und die Firmenadmins, von Hand geschrieben und nicht über den automatischen Versand von DrehKo. Nennt ihr DrehKo dafür eine weitere Adresse, geht sie auch dorthin.

(3) Sie enthält, soweit bekannt: was geschehen ist, welche Daten und ungefähr wie viele Menschen und Datensätze betroffen sind, die wahrscheinlichen Folgen, was DrehKo dagegen getan hat oder vorschlägt, und wen ihr für Rückfragen erreicht (Art. 33 Abs. 3 DSGVO). Was noch fehlt, folgt, sobald es feststeht.

(4) DrehKo dämmt den Vorfall sofort ein und dokumentiert ihn. Ob ihr die Aufsichtsbehörde oder die betroffenen Menschen benachrichtigt (Art. 33, 34 DSGVO), entscheidet ihr; DrehKo hilft euch dabei.

§ 14 Folgenabschätzung und Aufsichtsbehörde

(1) Auf Anfrage gibt DrehKo euch binnen eines Monats, was ihr für eure Prüfung der Sicherheit, eine Datenschutz-Folgenabschätzung oder eine Konsultation der Aufsichtsbehörde braucht und DrehKo hat (Art. 28 Abs. 3 lit. f, Art. 32 bis 36 DSGVO): eine Beschreibung, wie DrehKo arbeitet, die Datenflüsse samt dem Auslesen durch die KI, die Unterauftragsverarbeiter und die Maßnahmen aus Anlage 2.

(2) Wendet sich eine Aufsichtsbehörde wegen eurer Daten an DrehKo, sagt DrehKo euch das, soweit es erlaubt ist, und arbeitet mit ihr zusammen.

§ 15 Löschen und Rückgabe

Während des Vertrags

(1) Eure Daten löscht ihr in DrehKo selbst: Dokumente und Fassungen, Menschen (als Ausscheiden, mit Entfernen von Name und Kontaktdaten) und ganze Produktionen. Die Datei eines gelöschten Dokuments entfernt DrehKo aus dem Dateispeicher, spätestens beim wöchentlichen Aufräumen.

(2) Eine Produktion löschen. Ist eine Produktion „Dreh abgeschlossen“, archivieren sie Produktionsleitung, Produktionskoordination, der Inhaber oder ein Firmenadmin. Danach löscht der Inhaber sie mit ihrem genauen Titel und nach erneuter Anmeldung. DrehKo entfernt dann zuerst alle Dateien der Produktion aus dem Dateispeicher und danach die Produktion mit allen Einträgen, Dokumenten, Drehtagen, Ankündigungen und Posteingangs-Einträgen. Bricht der Vorgang ab, lässt er sich wiederholen, bis nichts mehr übrig ist.

Rückgabe

(3) Dokumente kann jede Person mit dem passenden Sitz herunterladen; Produktionsleitung, Produktionskoordination und Büro geben die Telefonliste als CSV-Datei aus. Eine ganze Produktion in einem Schritt exportieren könnt ihr in DrehKo noch nicht. Verlangt ihr in Textform die Rückgabe einer Produktion, stellt DrehKo euch ihre Daten binnen 30 Tagen zum Herunterladen über eine verschlüsselte Verbindung bereit: die Dokumente so, wie sie hochgeladen wurden, die übrigen Angaben als CSV- oder JSON-Dateien.

Nach dem Ende des Vertrags

(4) Nach dem Ende des Vertrags habt ihr 30 Tage Zeit zu wählen: Ihr löscht eure Produktionen selbst, oder ihr verlangt ihre Rückgabe nach Abs. 3. Nach der Rückgabe oder nach Ablauf der 30 Tage löscht DrehKo alle Produktionen eurer Firma und die Firma selbst und bestätigt euch das in Textform, mit Datum und dem, was gelöscht wurde.

Was danach noch besteht

• Die täglichen Sicherungen der Datenbank beim Anbieter, bis sie nach 7 Tagen ablaufen. Dateien sind darin nicht enthalten.
• Das Versandprotokoll von DrehKo: 30 bzw. 90 Tage (§ 7 Abs. 2 Nr. 6); beim Mailanbieter dessen Fristen (Anlage 1).
• Datenkopien, die Personen vor dem Löschen angelegt haben: bis zum wöchentlichen Aufräumen, sobald sie sieben Tage alt sind (höchstens etwa 14 Tage).
• Kopien in der App auf den Geräten eurer Crew: bis die App beim nächsten Abgleich den Wegfall bemerkt, spätestens 30 Tage nach dem letzten Öffnen (Persönlich: 7 Tage).
• Die Hinweise im kontoweiten Posteingang der Menschen, die in euren Produktionen einen Eintrag hatten, mit Titel oder Kürzel — auch der Hinweis auf das Löschen —, bis sie ihr Konto löschen (§ 7 Abs. 2 Nr. 9).
• Das Betreiber-Protokoll (§ 7 Abs. 2 Nr. 8), höchstens bis zum Ende des dritten Jahres nach dem Vorgang.
• Die Sperrliste nach einer Spam-Meldung, nur als Prüfwert und ohne Ablaufdatum (§ 7 Abs. 2 Nr. 6).

(5) DrehKo selbst muss eure Daten nach keinem Gesetz aufbewahren. DrehKo ist kein Archiv: Unterlagen, die ihr nach Handels- oder Steuerrecht aufbewahren müsst, bewahrt ihr selbst auf. Auch eine Person, die ihr Konto löscht, nimmt ihre Unterlagen in Persönlich mit (§ 12 Abs. 1).

§ 16 Nachweise und Prüfungen

(1) DrehKo gibt euch alle Informationen, die ihr braucht, um die Einhaltung von Art. 28 DSGVO nachzuweisen (Art. 28 Abs. 3 lit. h DSGVO): diesen Vertrag mit seinen Anlagen und Antworten auf eure Fragen, in Textform binnen eines Monats.

(2) Berichte und Zertifikate der Anbieter reicht DrehKo weiter, soweit DrehKo sie hat und weitergeben darf. DrehKo selbst ist nicht zertifiziert. Ein Bericht ersetzt eure Prüfung nicht.

(3) Ihr könnt prüfen, ob DrehKo diesen Vertrag einhält — selbst oder durch einen Prüfer, den ihr beauftragt, der zur Verschwiegenheit verpflichtet und kein Wettbewerber von DrehKo ist. Kündigt die Prüfung mindestens 30 Tage vorher in Textform an; nach einer Datenpanne, auf Anordnung einer Aufsichtsbehörde oder bei einem konkreten Hinweis auf einen Verstoß auch kürzer. Ohne einen solchen Anlass findet sie höchstens einmal im Kalenderjahr statt, zu üblichen Geschäftszeiten.

(4) Die Prüfung findet als Termin per Video statt, in dem DrehKo Einstellungen, Regeln und Protokolle zeigt, oder — wenn ihr das verlangt — vor Ort an der Anschrift aus § 1. DrehKo betreibt keine eigenen Server; eure Daten liegen bei den Anbietern aus Anlage 1. Deren Rechenzentren kann DrehKo euch nicht öffnen; für sie gelten ihre Berichte (Abs. 2).

(5) Die Daten anderer Firmen bleiben bei einer Prüfung verborgen. Jede Seite trägt ihre eigenen Kosten. Zeigt die Prüfung einen Verstoß, behebt DrehKo ihn auf eigene Kosten.

§ 17 Eure Pflichten

• Ihr prüft, ob DrehKo für eure Verarbeitung genügt (Art. 28 Abs. 1 DSGVO), und ob ihr dafür eine Datenschutz-Folgenabschätzung braucht.
• Ihr braucht für jede Angabe, die ihr oder eure Leute in DrehKo eintragt oder hochladet, eine Rechtsgrundlage.
• Ihr informiert die betroffenen Menschen (Art. 13, 14 DSGVO): eingeladene Menschen spätestens mit der Einladung, Kontakte ohne Konto und Menschen, die in euren Dokumenten stehen. Bei Kontakten ohne Konto könnt ihr in DrehKo „Über die Speicherung informiert“ vermerken. In diesen Informationen nennt ihr DrehKo als Empfänger für die Zwecke aus § 7 Abs. 2.
• Besondere Kategorien (Art. 9, 10 DSGVO) und Daten von Minderjährigen legt ihr nur ab, wenn es nötig und erlaubt ist, und nur in Bereichen, die allein die Berechtigten sehen, etwa in Persönlich.
• Ihr entscheidet, wer welchen Sitz hat und wie sichtbar jeder Bereich ist. Prüft das und entfernt Menschen, die nicht mehr dazugehören.
• Was die KI aus einer Dispo oder Stabliste liest, ist ein Vorschlag. Ihr sorgt dafür, dass die Menschen, die in euren Produktionen auslesen lassen, jeden Wert prüfen, bevor er gilt.
• Bemerkt ihr einen Fehler bei der Verarbeitung, sagt ihr es DrehKo unverzüglich.

§ 18 Haftung

(1) Für Schäden wegen eines Verstoßes gegen die DSGVO gilt Art. 82 DSGVO — gegenüber den betroffenen Personen und für den Ausgleich zwischen euch und DrehKo (Art. 82 Abs. 5 DSGVO). DrehKo haftet danach nur, wenn DrehKo eine Pflicht verletzt hat, die die DSGVO speziell Auftragsverarbeitern auferlegt, oder eure rechtmäßig erteilte Weisung nicht beachtet oder gegen sie gehandelt hat (Art. 82 Abs. 2 DSGVO).

(2) Im Übrigen gelten die Haftungsregeln der AGB.

§ 19 Änderungen und Schluss

(1) Will DrehKo diesen Vertrag ändern, schreibt DrehKo dem Inhaber und den Firmenadmins mindestens 30 Tage vorher. Die Änderung gilt für eure Firma erst, wenn ihr zustimmt; euer Schweigen gilt nicht als Zustimmung. Stimmt ihr nicht zu, gilt die bisherige Fassung weiter, und jede Seite kann nach den AGB kündigen.

(2) Änderungen der Anlage 1 folgen § 10, Verbesserungen der Anlage 2 folgen § 9.

(3) Für Leistungen nach diesem Vertrag verlangt DrehKo kein gesondertes Entgelt.

(4) Der Vertrag gilt mit der Firma, nicht mit einer Person. Überträgt DrehKo die Firma auf ein anderes Konto — auf eine Bitte des Inhabers in Textform oder auf einen Nachweis hin, etwa einen Registerauszug oder eine Vollmacht —, läuft dieser Vertrag unverändert weiter. Der bisherige und der neue Inhaber und alle Personen mit einer Rolle in der Firma erfahren davon per E-Mail.

(5) Ist eine Bestimmung nicht Vertragsinhalt geworden oder unwirksam, bleibt der Vertrag im Übrigen wirksam; an ihre Stelle tritt das Gesetz, vor allem Art. 28 DSGVO (§ 306 BGB).

(6) Es gilt deutsches Recht. Für den Gerichtsstand gelten die AGB. Der Vertrag ist auf Deutsch geschlossen.

Anlage 1: Unterauftragsverarbeiter

Diese Anbieter setzt DrehKo für eure Produktionen ein. Stand: 27.09.2026. Die Angaben zu Firma, Anschrift, Garantie und Fristen stammen aus den Verträgen und Seiten der Anbieter, die unten verlinkt sind.

Was die Anbieter speichern

• Supabase: verschlüsselt alle Daten (AES-256). DrehKo nutzt den Pro-Tarif: Supabase sichert die Datenbank täglich und bewahrt die Sicherungen 7 Tage auf; technische Protokolle ebenfalls 7 Tage. Dateien im Dateispeicher sind in diesen Sicherungen nicht enthalten.
• Cloudflare: DrehKo legt bei Cloudflare keine Inhalte ab.
• Resend: Mails und Protokolle 30 Tage, Sicherungen 7 Tage; nach dem Ende des Vertrags mit DrehKo löscht Resend die Daten binnen 90 Tagen.
• Google Cloud: trainiert mit den Dateien keine Modelle. Ein Zwischenspeicher hält Ein- und Ausgaben bis zu 24 Stunden im Arbeitsspeicher, in der gewählten Region. Schlägt Googles automatische Prüfung auf Missbrauch an, kann Google die Anfrage bis zu 90 Tage in derselben Region speichern; berechtigte Mitarbeitende von Google können sie dann ansehen.
• Hetzner: eine Mail bleibt im Postfach, bis DrehKo sie löscht.

Google Cloud EMEA Limited ist nach den Bedingungen von Google Cloud der Vertragspartner für Kunden mit Rechnungsanschrift in Europa, dem Nahen Osten und Afrika außer Frankreich, Italien und Polen.

Verträge und Listen der Anbieter

Jeder Anbieter setzt seinerseits Unterauftragsverarbeiter ein. Ihre Verträge und Listen:

• Supabase: Vertrag · Unterauftragsverarbeiter · Sicherheit
• Cloudflare: Vertrag · Unterauftragsverarbeiter
• Resend: Vertrag · Unterauftragsverarbeiter · Sicherheit
• Google Cloud: Vertrag · Unterauftragsverarbeiter · Speicherung bei Vertex AI
• Hetzner: Datenschutz und Vertrag · Unterauftragsverarbeiter

Anlage 2: Technische und organisatorische Maßnahmen

Hier steht, was DrehKo heute tatsächlich tut (Art. 32 DSGVO), gegliedert nach seinen Zielen — und am Ende, was es nicht gibt. Stand: 02.10.2026.

Datensparsamkeit und Pseudonymisierung

• Änderungen an der Datenbank landen zuerst auf einem getrennten Testprojekt mit Testdaten, nicht mit euren Daten; Tests, die Daten anlegen oder löschen, laufen nur dort.
• Das Betreiber-Protokoll nennt keine E-Mail-Adressen und keine Inhalte; Abmelde-Links und die Adressen auf der Sperrliste (§ 7 Abs. 2 Nr. 6) speichert DrehKo nur als Prüfwert (Hash).
• Eure Produktionsdaten selbst sind nicht pseudonymisiert: Eine Kontaktliste und Dokumente mit Namen brauchen die Namen.

Verschlüsselung

• Jede Verbindung zu DrehKo ist verschlüsselt (HTTPS); der Browser wird angewiesen, DrehKo nur verschlüsselt aufzurufen (HSTS).
• Datenbank und Dateispeicher liegen beim Anbieter verschlüsselt (nach Angabe von Supabase mit AES-256).
• Die App verschlüsselt die Angaben, die sie zwischenspeichert (nicht die PDFs selbst); der Schlüssel liegt im Schlüsselbund bzw. Keystore des Geräts.

Zugang und Zugriff

• Anmeldung mit E-Mail und Passwort oder mit Google. Passwörter gehen vom Browser oder der App direkt an den Anmeldedienst von Supabase und werden nur dort gespeichert.
• Wer etwas lesen oder schreiben darf, prüft die Datenbank selbst, nicht nur die Oberfläche: Regeln auf Zeilenebene (Row Level Security) je Produktion, Bereich und Sitz. Für eine Datei gilt in der Tabelle und im Dateispeicher dieselbe Regel.
• Ein Dokument ist nie sichtbarer als sein Bereich; wird ein Bereich enger gestellt, gilt das sofort für seine Dokumente. Persönlich sehen nur die Person selbst sowie Produktionsleitung, Produktionskoordination und Büro; Kalkulation nur die Produktionsleitung; ältere Fassungen je nach Einstellung nur Produktionsleitung und Produktionskoordination.
• Jeder Schreibweg in eine Produktion prüft in der Datenbank Sitz und Phase. Eine archivierte Produktion nimmt nichts Neues mehr an; Löschen bleibt möglich.
• Geringste Rechte: Ohne Anmeldung gibt es keinen Zugriff auf Tabellen, nur auf drei eng begrenzte Funktionen (eine Einladung ansehen oder ablehnen, sich von Mails abmelden). Einträge von Menschen ändern Browser und App nur über geprüfte Funktionen der Datenbank; Produktionen löschen sie nie direkt. Eine neue Funktion der Datenbank ist gesperrt, bis sie ausdrücklich freigegeben wird.
• Keine Suche nach Personen in DrehKo: Eingeladen wird nur über die genaue E-Mail-Adresse, und das Profil eines anderen sieht nur, wer mit ihm eine Produktion teilt. Andere Konten sieht allein der Betreiber, auf der Betreiber-Seite (Organisation).
• Konto, Produktion oder Firma löschen und jede Handlung des Betreibers an einem Konto, einer Firma, einer Lizenz oder einer Rolle verlangen eine frische Anmeldung, höchstens 10 Minuten alt.
• Eine Einladung führt über einen einmaligen Anmeldelink: höchstens einer je 5 Minuten und drei am Tag je Einladung; ein neuer Link macht den alten ungültig.
• Schlüssel mit weitreichenden Rechten — für die Datenbank, den Mailversand und Google Cloud — liegen nur auf dem Server oder im Tresor der Datenbank, nie im Browser und nie in der App.

Trennung

• Alles, was zu einer Produktion gehört, trägt ihre Kennung, und die Regeln prüfen die Zugehörigkeit. Dateien liegen je Produktion und Bereich in eigenen Pfaden; die Datenbank prüft die Pfade.
• Test und Betrieb sind getrennte Projekte.

Eingabe und Weitergabe

• DrehKo hält fest, wer eine Fassung veröffentlicht, wer einen Wert im Kopf eines Drehtags bestätigt und wer jemanden aus einer Produktion entfernt hat. Fassungen tragen feste Nummern.
• In Dispo, Drehplan und Buch nimmt DrehKo nur Dateien an, die als PDF ausgewiesen sind.
• Rückmeldungen des Mailanbieters nimmt DrehKo nur mit gültiger Signatur an, jede nur einmal.
• Das Betreiber-Protokoll hält Löschläufe, geplante Aufgaben, Datenkopien, jede Handlung des Betreibers an einem Konto, einer Firma, einer Lizenz oder einer Rolle, jeden ausgegebenen Zugangscode, jedes Laden der Kontenliste und jedes Öffnen eines Kontos oder einer Support-Ansicht fest — mit Zeitpunkt, Kennungen und Zahlen, ohne Namen von Personen und ohne E-Mail-Adressen. Was der Betreiber nicht über die Betreiber-Seite, sondern unmittelbar in der Datenbank oder im Dateispeicher tut (§ 8 Abs. 3), steht nicht darin.

Auslesen durch die KI

• nur auf Klick und nur durch Produktionsleitung, Produktionskoordination oder Büro;
• bei Google nur in einer Region der EU; eine andere Region lässt der Server nicht zu. Die Server-Route, die die Datei an Google weiterreicht, läuft wie jede bei Cloudflare (Anlage 1);
• mit Obergrenzen: je Person 12 Auswertungen in der Stunde, 40 am Tag und 150 MB am Tag; je Produktion 20 in der Stunde und 60 am Tag; über alle Konten 60 in der Stunde und 300 am Tag; höchstens 6 MB je PDF;
• der Inhalt der Datei geht als Daten an das Modell, nicht als Anweisung; die Antwort wird gekürzt und geprüft;
• einen Wert aus dem Kopf einer Dispo sucht DrehKo im Text des PDFs; was dort nicht steht, übernimmt DrehKo nur, wenn eine Person es mit ihrem Namen bestätigt;
• aus einer Datei entsteht nie ein Sitz: eine neue Zeile beginnt als Crew; nur eine Zeile für jemanden, den die Produktion schon eingeladen hat oder als Kontakt oder im Vorraum führt, behält den Sitz, der dort in DrehKo schon steht;
• eine hochgeladene Stabliste speichert DrehKo nicht; sie besteht nur für die Dauer der Auswertung.

E-Mail

• Mails verlassen DrehKo nur über eine Warteschlange in der Datenbank, jede höchstens einmal. Ausgenommen sind die Mails des Anmeldedienstes (Bestätigung der Adresse, neues Passwort, Änderung der Adresse), die Supabase verschickt, und die Nachricht an den Betreiber zu einer Rückmeldung, die direkt an den Mailanbieter geht.
• Der Betreff trägt das Kürzel der Produktion, nicht den Arbeitstitel. Eine Mail zu Persönlich nennt die Datei nicht. Eine Mail kündigt an; der Inhalt bleibt in DrehKo.
• Die tägliche Übersicht und die Mail zum Vorraum nennen keine Namen, Adressen oder Dateinamen.
• Dieselbe Einladung geht höchstens einmal in 24 Stunden erneut hinaus.

Verfügbarkeit und Belastbarkeit

• Datenbank und Dateien laufen bei Supabase, die Anwendung bei Cloudflare (Anlage 1).
• Anfragen werden vor dem Einlesen auf ihre Größe geprüft. Zähler begrenzen Einladungen, Anmeldelinks, Rückmeldungen und die Mails, die der Betreiber für ein Konto anstößt, und wie oft er in der Stunde die Kontenliste lädt, Konten öffnet und Support-Ansichten öffnet.

Wiederherstellung

• Supabase sichert die Datenbank täglich und bewahrt die Sicherungen 7 Tage auf (Anlage 1).
• Der Aufbau der Datenbank samt aller Regeln steht in nummerierten Änderungsdateien; aus ihnen ist das Testprojekt entstanden. Einige Einstellungen liegen außerhalb dieser Dateien — Schlüssel im Tresor der Datenbank, die Einstellungen des Anmeldedienstes und der Hosting-Projekte — und wären bei einem Neuaufbau von Hand zu setzen.

Löschen nach Fristen

• Abgelehnte und zurückgezogene Einladungen nach 30 Tagen, abgelaufene nach 90 Tagen.
• Datenkopien beim wöchentlichen Aufräumen, sobald sie sieben Tage alt sind (höchstens etwa 14 Tage); Dateien, zu denen kein Dokument mehr gehört, ebenfalls beim wöchentlichen Aufräumen.
• Das Versandprotokoll 30 bzw. 90 Tage nach dem letzten Zustand einer Mail; eine Mail, die noch auf ihren Versand wartet, bleibt bis dahin stehen. Die Kennungen der Rückmeldungen des Mailanbieters nach einem Tag.
• In der App: ein PDF auf dem Gerät beim Abmelden, sobald die App beim Abgleich merkt, dass der Zugang entfallen ist, und nach 30 Tagen ohne Öffnen (Persönlich: 7 Tage).
• Für Konten, für die DrehKo selbst verantwortlich ist: ohne bestätigte Adresse und ohne jede Verbindung zu einer Produktion oder Firma nach 7 Tagen; ohne Eintrag und ohne Firma nach 24 Monaten ohne Nutzung, einer Ankündigung und 30 weiteren Tagen.

Überprüfung

• Jede Änderung an den Regeln der Datenbank läuft zuerst auf dem Testprojekt durch ein Prüfskript mit über tausend Sicherheitsprüfungen, das bei jedem Verstoß abbricht; erst danach geht sie in den Betrieb. Das Skript wird von Hand gestartet, nicht automatisch bei jeder Änderung.
• Vor der Beta wurde der Code im September 2026 in mehreren internen Durchgängen gezielt auf Sicherheitslücken geprüft.
• Diese Anlage prüft DrehKo nach § 9 Abs. 3.

Organisation

• DrehKo betreibt eine Person (§ 8). Aus euren Produktionen zeigt die Betreiber-Seite nie ein Dokument (nur die Zahl je Bereich, ohne die Kalkulation), nie die Kalkulation, keine Ankündigungen und keine Telefonnummern. Die Leute einer Produktion zeigt allein die Support-Ansicht (§ 8 Abs. 2); jedes Öffnen schreibt automatisch eine Zeile ins Betreiber-Protokoll.
• Konten zeigt die Betreiber-Seite ohne Export; jedes Laden der Liste und jedes geöffnete Konto wird ohne eine Adresse protokolliert. Ein Passwort sieht oder setzt der Betreiber nie, eine E-Mail-Adresse ändert er nie.
• Eine Rolle ändert der Betreiber nur auf Bitte von Produktionsleitung, Produktionskoordination oder Inhaber; nach einem Anruf erst, wenn die Bitte über die hinterlegte Adresse per E-Mail bestätigt ist (§ 8 Abs. 2).
• Die Betreiber-Seite hat eine eigene Adresse, admin.drehko.de, hinter Cloudflare Access. Welche E-Mail-Adressen Access einlässt, ist eine Einstellung bei Cloudflare; der Server lässt dort nur Anfragen mit einem gültigen Nachweis dieses Tors durch. Das ist ein zusätzliches Tor, kein zweiter Faktor: Die Betreiber-Rechte selbst prüft weiter die Datenbank, bei jeder Anmeldung und bei jedem Aufruf.
• Datenpannen meldet DrehKo nach § 13, von Hand und nicht über den automatischen Versand.

Ohne Dritte im Browser und in der App

• Kein Tracking, keine Analyse, keine Werbung, kein Absturzbericht, keine Push-Nachrichten. Schriften kommen von DrehKo selbst. Der Browser darf sich nur mit DrehKo und Supabase verbinden (Content Security Policy).
• Die App lädt keine Dateien hoch. Außer der Anmeldung selbst (Konto anlegen, Passwort setzen) schreibt sie nur das eigene Profil, die Annahme einer Einladung, eine Bitte um Aufnahme, den Lesestand im Posteingang, die Zustimmung zu den AGB und wann die Person zuletzt aktiv war. Sie hält Dokumente nur so lange auf dem Gerät wie oben beschrieben, nimmt sie nicht in Sicherungen des Geräts auf (auf Android über die Einstellung der App; auf dem iPhone markiert die App ihre Speicher dafür, auf einem Gerät geprüft ist das noch nicht) und löscht ihren Zwischenspeicher beim Abmelden.

Was es nicht gibt

• keine Zertifizierung von DrehKo selbst — Zertifikate haben nur die Anbieter;
• keine Anmeldung mit zweitem Faktor in DrehKo, auch nicht für den Betreiber — das Tor vor der Betreiber-Seite ist keiner;
• keine Verschlüsselung über die der Anbieter hinaus (keine Ende-zu-Ende-Verschlüsselung der Dokumente);
• keine Bereitschaft rund um die Uhr und keine benannte Vertretung: DrehKo betreibt eine Person, auch für die Meldung einer Datenpanne nach § 13;
• keine geprobte Wiederherstellung: Weder das Zurückspielen einer Sicherung noch den Neuaufbau der Datenbank aus den Änderungsdateien hat DrehKo bisher vollständig geprobt;
• kein automatisches Protokoll dessen, was der Betreiber unmittelbar in der Datenbank oder im Dateispeicher tut (§ 8 Abs. 3);
• keine feste Höchstdauer einer Sitzung: Beim Anmeldedienst endet sie erst mit dem Abmelden oder mit dem Konto;
• keinen Penetrationstest durch Dritte;
• keine eigene Sicherung der Dateien im Dateispeicher;
• keinen Export einer ganzen Produktion auf Knopfdruck (§ 15 Abs. 3).