Gilt ab: 20. Juni 2026 — Sparkle5, LLC — Version 1.0

Auftragsverarbeitungsvereinbarung (AVV)

Diese Auftragsverarbeitungsvereinbarung („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Sparkle5, LLC („Luvu“ oder „wir“) und Ihnen („Kunde“ oder „Sie“) und gilt, wenn Sparkle5, LLC personenbezogene Daten in Ihrem Auftrag im Zusammenhang mit dem Luvu-Dienst verarbeitet. Sie ist auf die Einhaltung von Art. 28 DSGVO, dem britischen Data Protection Act 2018 und gleichwertigen Vorschriften ausgerichtet.

1. Definitionen

Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person — gemäß den Definitionen der DSGVO.
Unterauftragsverarbeiter — jeder von Luvu beauftragte Dritte, der personenbezogene Daten in unserem Auftrag im Zusammenhang mit dem Dienst verarbeitet.
EU-Standardvertragsklauseln (SCC) — Modul 2 (Verantwortlicher → Auftragsverarbeiter) und Modul 3 (Auftragsverarbeiter → Unterauftragsverarbeiter) der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914).

2. Rollen und Anwendungsbereich

Bezüglich personenbezogener Daten der Luvu-Endnutzer (das Dating-App-Produkt) ist Sparkle5, LLC der Verantwortliche. Soweit Sie (der Kunde) uns anweisen, personenbezogene Daten außerhalb unseres Standardprodukts (z. B. für Enterprise-Integrationsverträge, White-Label-Bereitstellungen) für Sie zu verarbeiten, handelt Sparkle5, LLC als Auftragsverarbeiter, und diese AVV regelt diese Verarbeitung.

3. Gegenstand, Dauer, Art und Zweck

Gegenstand: Bereitstellung des Luvu-Dienstes — Match-Vermittlung, Chat, Identitätsverifikation, Abrechnung und unterstützende Infrastruktur.
Dauer: Die Verarbeitung dauert für die Laufzeit der Nutzungsbedingungen an und wird nach Beendigung gemäß dem Aufbewahrungsplan in Abschnitt 7 der Datenschutzrichtlinie aufbewahrt.
Art und Zweck: Speicherung, Strukturierung, Abruf, Übermittlung und Löschung personenbezogener Daten, soweit für die Bereitstellung, den Betrieb, die Absicherung und Verbesserung des Dienstes erforderlich.
Arten personenbezogener Daten: Identifikations-, Kontakt-, Profil-, besondere Kategorien gem. Art. 9 (sexuelle Orientierung und Präferenzen mit ausdrücklicher Einwilligung in Abschnitt 1 der Datenschutzrichtlinie), Standortdaten, Geräte-IDs, Zahlungsmetadaten, Inhalte (Nachrichten, Fotos, Audios), Nutzungs- und Logdaten.
Kategorien betroffener Personen: Registrierte Luvu-Nutzer.

4. Pflichten des Auftragsverarbeiters

Soweit wir als Auftragsverarbeiter handeln, verpflichten wir uns:

Personenbezogene Daten ausschließlich auf dokumentierte Anweisung des Verantwortlichen zu verarbeiten, sofern nicht durch Unionsrecht oder mitgliedstaatliches Recht etwas anderes vorgeschrieben ist.
Sicherzustellen, dass die zur Verarbeitung befugten Personen einer Vertraulichkeitspflicht unterliegen.
Die in Annex II beschriebenen technischen und organisatorischen Maßnahmen umzusetzen.
Unterauftragsverarbeiter nur mit vorheriger allgemeiner schriftlicher Genehmigung und unter Back-to-Back-Vereinbarungen einzusetzen, die mindestens dem Schutzniveau dieser AVV entsprechen — siehe Abschnitt 5 und Annex I.
Unter Berücksichtigung der Art der Verarbeitung den Verantwortlichen, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen zu unterstützen, um Anfragen betroffener Personen (Kapitel III DSGVO) nachzukommen.
Bei der Erfüllung von Sicherheits-, Meldepflichten, DSFA und vorheriger Konsultation gem. Art. 32–36 DSGVO zu unterstützen.
Nach Beendigung alle personenbezogenen Daten zu löschen oder zurückzugeben — Sie können Ihre Daten zudem jederzeit unter Einstellungen → Datenschutz → Daten exportieren herunterladen.
Alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung erforderlich sind, sowie Audits und Inspektionen durch den Verantwortlichen oder einen vom Verantwortlichen beauftragten Prüfer zu ermöglichen. Audits sind — außer nach einem Sicherheitsvorfall — auf einmal pro Zweilöjahres begrenzt.

5. Unterauftragsverarbeiter

Sie erteilen hiermit eine allgemeine schriftliche Genehmigung dafür, dass Luvu die in Annex I aufgeführten Unterauftragsverarbeiter einsetzt. Wir werden Sie über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern per In-App-Banner und per E-Mail an die hinterlegte Adresse informieren und Ihnen eine angemessene Frist (mindestens 30 Tage) zur Einlegung eines begründeten Widerspruchs einräumen, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung beginnt. Die Liste in Annex I spiegelt jederzeit die Tabelle der Auftragsverarbeiter in Abschnitt 5 der Datenschutzrichtlinie wider.

6. Internationale Datenübermittlungen

Soweit ein Unterauftragsverarbeiter außerhalb der EU/des EWR ansetzt, ist die Übermittlung entweder durch (i) einen Angemessenheitsbeschluss der Europäischen Kommission oder (ii) die Standardvertragsklauseln in der Fassung von Modul 3 abgedeckt, gegebenenfalls ergänzt um weitere Schutzmaßnahmen (Transfer-Folgenabschätzung, technische Verschlüsselung, vertragliche Beschränkungen für die Offenlegung gegenüber Behörden). Die aktuelle Liste der grenzüberschreitenden Übermittlungen und der angewandten Garantien je Verarbeitung findet sich in Annex I.

7. Sicherheit — Zusammenfassung von Annex II

Wir setzen die folgenden technischen und organisatorischen Maßnahmen (TOM) um:

Verschlüsselung in der Übertragung: TLS 1.3 mit starken Chiffren; HSTS Preload.
Verschlüsselung im ruhenden Zustand: AES-256 für Datenbanken, Objektspeicher und Backups.
Zugriffskontrolle: Rollenbasierte Berechtigungen nach dem Prinzip der geringsten Rechte, zeitgebundene Admin-Sitzungen, verpflichtende MFA für alle Produktions-Zugriffsrollen.
Netzwerktrennung: Produktions-Hosts hinter WireGuard-VPN; nur TLS- Endpunkte sind öffentlich erreichbar.
Logging & Monitoring: Zentralisierte strukturierte Logs, Fehler-Tracking, Anomalie-Alarme; rohe IP-Adressen werden vor der Speicherung mit SHA-256 gehasht, soweit sie für Analytik oder Rate-Limiting verwendet werden.
Backups: Verschlüsselte nächtliche Datenbank-Backups, 30 Tage Off-Site (EU) aufbewahrt.
Schwachstellen-Management: Abhängigkeiten werden bei jedem CI-Build gescannt; Secret-Scanning blockiert Commits mit Zugangsdaten.
Foto-/Sprach-Inhalte: Private S3-ACLs mit kurzlebigen signierten URLs (2 h TTL); keine rohen öffentlichen URLs.
Garantien zur Kontolöschung: Soft-Delete mit 30 Tagen Schonfrist, anschließend unwiderrufliche Hard-Delete; Finanzunterlagen werden aufbewahrt, soweit gesetzlich vorgeschrieben (10 Jahre).

8. Meldung von Datenschutzverletzungen

Nach einer tatsächlichen oder begründet vermuteten Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, werden wir Sie unverzüglich und in jedem Fall innerhalb von 48 Stunden informieren und die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit verfügbar, bereitstellen sowie nach Treu und Glauben bei der Vorfall-Reaktion und nachgelagerten Meldungen mit Ihnen zusammenarbeiten.

9. Haftung und Laufzeit

Die Haftung jeder Partei unter dieser AVV unterliegt den Beschränkungen und Ausschlüssen der zugrunde liegenden Nutzungsbedingungen. Diese AVV tritt zum oben genannten Geltungsdatum in Kraft und endet mit den zugrunde liegenden Nutzungsbedingungen.

Annex I — Zugelassene Unterauftragsverarbeiter

Diese Liste ist identisch mit der Tabelle der Auftragsverarbeiter in Abschnitt 5 der Datenschutzrichtlinie und wird aktualisiert, wenn ein Unterauftragsverarbeiter hinzugefügt, entfernt oder geändert wird. Die aktuelle Momentaufnahme zum oben genannten Geltungsdatum ist unten wiedergegeben. Die verbindliche Live-Liste ist jeweils die unter /pages/privacy sichtbare Fassung.

Grenzüberschreitende Übermittlungen in die USA und nach Israel sind durch Modul 3-SCC abgedeckt, sofern kein Angemessenheitsbeschluss gilt; in der EU ansässige Auftragsverarbeiter benötigen keine SCC.

Google LLC — Sign-In & Identity (SSO) — USA — SCC.
Google LLC — Firebase Cloud Messaging (Push-Benachrichtigungen) — USA — SCC.
Google LLC — Google Play Billing & Developer API (Android-Kaufvalidierung) — USA — SCC.
Google LLC — Maps Static API & Geocoder (Standort-Nachrichten) — USA — SCC.
Apple Inc. — SSO, In-App Purchase, APNs — USA — SCC.
Stripe, Inc. — Web-Zahlungsabwicklung — USA — SCC.
Singular Labs, Inc. — Attribution von Installationen & In-App-Ereignissen — USA / Israel — SCC.
Hetzner Online GmbH — Objektspeicherung (Fotos, Audio, Chat-Bilder) — Deutschland (EU) — keine SCC erforderlich.
Mailgun Technologies (Sinch) — transaktionale E-Mails — EU-Server — keine SCC erforderlich.
SMTP2GO Pty Ltd — transaktionale E-Mails (sekundär) — EU-Server — keine SCC erforderlich.
Giphy Inc. — GIF-Suche in Nachrichten — USA — SCC.

Annex II — Technische und organisatorische Maßnahmen

Siehe Abschnitt 7 oben für die Zusammenfassung. Die vollständige TOM-Dokumentation ist Enterprise-Kunden auf Anfrage unter Geheimhaltungsvereinbarung über privacy@luvu.plus verfügbar.

Kontakt

Sparkle5, LLC — Datenschutzkontakt: privacy@luvu.plus.