Vertrag über die Auftragsverarbeitung

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software „Lichtmappe“ zur Verfügung (Hauptvertrag: AGB). Dabei verarbeitet er personenbezogene Daten, die der Verantwortliche in die Software einträgt, hochlädt oder über das Kundenportal von seinen Kund:innen erhebt, im Auftrag des Verantwortlichen.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet mit Löschung des Kontos beziehungsweise mit der Löschung der Daten nach § 10.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

(1) Zweck: Verwaltung von Kund:innen und Aufträgen eines Fotostudios; Erstellen, Bereitstellen und Unterzeichnen von Angeboten, Verträgen und Einwilligungen; Bereitstellen von Bildgalerien mit Auswahl-, Kommentar- und Downloadfunktion; Erstellen von Rechnungen; optional KI-gestützte Textvorschläge und Auswahlvorschläge.

(2) Art der Verarbeitung: Speichern, Anzeigen, Übermitteln an die vom Verantwortlichen bestimmten Kund:innen, Erzeugen von PDF-/XML-Dokumenten, Sichern, Löschen. Keine eigene Auswertung oder Nutzung durch den Auftragsverarbeiter.

(3) Kategorien personenbezogener Daten:

• Stammdaten der Kund:innen: Name, Anschrift, E-Mail, Telefon, Firma, Notizen des Studios
• Auftragsdaten: Art, Datum, Ort des Shootings, Paket, Preise, Fragebogen-Antworten, Terminwünsche
• Vertragsdaten: Vertragsinhalte, Einwilligungen zur Bildnutzung (Model-Release), Nutzungsrechte, Widerrufe, elektronische Unterschriften als Bild, Zeitstempel, Prüfsummen
• Bilddaten: Fotografien, auf denen Personen erkennbar sind (Vorschau- und Originaldateien), Bildauswahl, Kommentare, Bewertungen
• Rechnungsdaten: Rechnungsempfänger, Beträge, Zahlungsstatus (keine Zahlungsdaten der Kund:innen; Zahlungen laufen außerhalb von Lichtmappe)
• Technische Daten: Portal-Codes (nur als Hash), IP-Adressen bei Code-Eingaben (24 Stunden), Zeitpunkte von Rückmeldungen

(4) Besondere Kategorien / Minderjährige: Bilder können Rückschlüsse auf besondere Kategorien (Art. 9 DSGVO, z. B. Gesundheit, ethnische Herkunft, religiöse Überzeugung) zulassen. Bei Kinder- und Familienshootings sind Daten Minderjähriger betroffen, einschließlich Angaben der Sorgeberechtigten in Einwilligungen. Der Verantwortliche stellt sicher, dass hierfür eine Rechtsgrundlage besteht (in der Regel Einwilligung der Sorgeberechtigten, ab etwa 14 Jahren zusätzlich des Kindes).

(5) Betroffene: Kund:innen und Interessent:innen des Verantwortlichen, abgebildete Personen (auch Dritte wie Gäste bei Hochzeiten), Sorgeberechtigte, Ansprechpartner:innen bei Firmenkund:innen.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen erteilt der Verantwortliche durch die Nutzung der Funktionen der Software (etwa Anlegen, Teilen, Freischalten, Löschen, Aktivieren der KI-Funktion). Darüber hinausgehende Weisungen erfolgen in Textform an [E-MAIL].

(2) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(3) Eine Verarbeitung ohne Weisung ist nur zulässig, wenn der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet ist; er teilt dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht es nicht verbietet.

§ 4 Pflichten des Auftragsverarbeiters

1. Verarbeitung nur nach Weisung und nur innerhalb des EWR, soweit § 11 nichts anderes bestimmt.
2. Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Derzeit ist das ausschließlich der Inhaber; vor Einbindung weiterer Personen werden diese schriftlich verpflichtet.
3. Umsetzung und Aufrechterhaltung der technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO); Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt.
4. Unterstützung des Verantwortlichen bei Betroffenenrechten (§ 7), Datenschutzverletzungen (§ 8), Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 35, 36 DSGVO) im zumutbaren Umfang.
5. Keine Nutzung der Daten für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung oder das Training von KI-Modellen.
6. Bereitstellung aller Informationen, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind (§ 9).
7. Benennung einer Ansprechperson für den Datenschutz: [NAME, E-MAIL].
8. Löschung oder Rückgabe nach Ende der Verarbeitung (§ 10).

§ 5 Technische und organisatorische Maßnahmen

Die bei Vertragsschluss getroffenen Maßnahmen sind in Anlage 1 beschrieben. Kern: Verschlüsselung bei Übertragung und Speicherung, strikte Mandantentrennung auf Datenbankebene (Row Level Security), gehashte Portal-Codes, Zugriffsbeschränkung auf den Betrieb, tägliche Sicherungen, Speicherort Frankfurt am Main.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt allgemein die Einschaltung der in Anlage 2 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der diesem dieselben Datenschutzpflichten auferlegt wie dieser Vertrag dem Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO).

(2) Beabsichtigte Änderungen (Hinzufügen, Ersetzen) teilt der Auftragsverarbeiter dem Verantwortlichen mindestens 30 Tage vorher per E-Mail und im Konto mit. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei Widerspruch können beide Seiten den Hauptvertrag zum Zeitpunkt des Wechsels außerordentlich kündigen; bis dahin bleibt der bisherige Stand bestehen, soweit technisch möglich.

(3) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne Zugriff auf Kund:innendaten (z. B. Telekommunikation, Wartung ohne Datenzugriff, Statusseiten).

§ 7 Rechte der Betroffenen, Unterstützung

(1) Betroffene wenden sich mit Auskunfts-, Löschungs- oder sonstigen Anfragen an den Verantwortlichen. Erreicht eine Anfrage den Auftragsverarbeiter, leitet er sie unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen durch die Funktionen der Software (Suche, Export, Löschung einzelner Kund:innen, Galerien und Einwilligungen; Widerruf von Einwilligungen als Vorgang) sowie auf Anfrage durch Auskünfte über die Verarbeitung.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, spätestens innerhalb von 36 Stunden nach Kenntnis per E-Mail an die Konto-Adresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechperson. Nachträgliche Erkenntnisse werden ergänzt. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Pflichten aus Art. 33 und 34 DSGVO.

§ 9 Kontrollrechte

(1) Der Verantwortliche kann sich vor Beginn und während der Verarbeitung von der Einhaltung dieses Vertrags überzeugen. Dazu stellt der Auftragsverarbeiter auf Anfrage bereit: eine aktuelle Beschreibung der Maßnahmen nach Anlage 1, die Verträge beziehungsweise Nachweise mit Unterauftragsverarbeitern (Supabase DPA, Cloudflare DPA, Stripe DPA, ggf. Anthropic DPA) und vorhandene Zertifikate der Unterauftragsverarbeiter (z. B. SOC 2, ISO 27001 von AWS/Supabase).

(2) Reichen die Nachweise im Einzelfall nicht aus, kann der Verantwortliche nach Ankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten eine Prüfung durchführen oder durch eine zur Verschwiegenheit verpflichtete sachkundige Person durchführen lassen, höchstens einmal jährlich, es sei denn, ein konkreter Anlass (Datenschutzverletzung, Anordnung einer Aufsichtsbehörde) erfordert mehr. Die Prüfung beschränkt sich auf die Systeme, die Daten des Verantwortlichen verarbeiten; Rechenzentren der Unterauftragsverarbeiter werden über deren Zertifikate geprüft.

(3) Kontrollen der Aufsichtsbehörde werden unterstützt.

§ 10 Löschung und Rückgabe

(1) Während der Laufzeit löscht der Verantwortliche Daten selbst über die Software; Löschungen werden innerhalb von 30 Tagen auch aus Sicherungen entfernt.

(2) Nach Ende des Hauptvertrags stehen die Daten 90 Tage zum Export (JSON und Bilder als ZIP) bereit. Danach, nach Vorwarnung mit 30 Tagen Frist, werden alle Daten des Verantwortlichen einschließlich Sicherungen gelöscht; auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform. Beantragt der Verantwortliche die Kontolöschung, erfolgt die Löschung nach drei Werktagen.

(3) Ausgenommen sind Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Pflichten aufbewahren muss (z. B. Rechnungen über den Hauptvertrag); sie werden bis zum Ablauf der Pflicht gesperrt.

§ 11 Verarbeitung außerhalb des EWR

(1) Anwendungsdaten (Datenbank, Dateien, Sicherungen) werden ausschließlich in Frankfurt am Main (AWS-Region eu-central-1) gespeichert.

(2) Zugriffe aus Drittländern sind auf die in Anlage 2 beschriebenen Fälle beschränkt (Support und Metadaten bei Supabase; Edge-Netz von Cloudflare; KI-Verarbeitung bei Anthropic nur nach Aktivierung durch den Verantwortlichen). Sie stützen sich auf EU-Standardvertragsklauseln beziehungsweise auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework) und ergänzende Maßnahmen (Verschlüsselung, Zugriffsprotokolle, Transfer-Folgenabschätzung).

(3) KI-Funktion: Mit der Aktivierung der KI-Funktion in den Einstellungen weist der Verantwortliche den Auftragsverarbeiter an, die für die jeweilige Aktion nötigen Texte und verkleinerten Vorschaubilder an Anthropic (USA) zu übermitteln. Der Verantwortliche stellt sicher, dass seine Kund:innen hierüber informiert sind (Vorlage in der Software) und eine Rechtsgrundlage besteht. Die Funktion kann jederzeit deaktiviert werden.

§ 12 Abschluss per Klick, Laufzeit, Schlussbestimmungen

(1) Dieser Vertrag wird elektronisch geschlossen: Der Verantwortliche nimmt ihn bei der Registrierung durch Aktivieren des Kontrollkästchens „Ich schließe den Auftragsverarbeitungsvertrag ab“ an. Der Auftragsverarbeiter speichert Zeitpunkt und Version der Annahme im Konto (avv_accepted_at, avv_version) und stellt den Vertrag jederzeit im Konto zum Abruf und Download bereit. Dies genügt dem Schriftformerfordernis des Art. 28 Abs. 9 DSGVO (elektronisches Format).

(2) Nutzt ein Konto mehrere Nutzer:innen (Plan „Team“), handelt die Inhaber:in des Studios für den Verantwortlichen.

(3) Änderungen dieses Vertrags bedürfen der Textform. Bei Änderungen gilt § 16 der AGB entsprechend; über Änderungen der Anlage 2 gilt § 6 Abs. 2.

(4) Im Konflikt zwischen diesem Vertrag und den AGB geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht; Gerichtsstand nach § 17 AGB.