Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: August 2026 · Version 1.1

Präambel

Dieser Auftragsverarbeitungsvertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers gemäß Art. 28 DSGVO.

Dieser Vertrag gilt für sämtliche Tätigkeiten, bei denen der Auftragnehmer, seine Beschäftigten oder eingesetzte Unterauftragsverarbeiter personenbezogene Daten im Auftrag des Auftraggebers verarbeiten. Die verwendeten Begriffe sind entsprechend ihrer Definition in Art. 4 DSGVO zu verstehen. Dieser AVV ist Bestandteil des Hauptvertrags (Nutzungsbedingungen); bei Widersprüchen in Bezug auf die Verarbeitung personenbezogener Daten gehen die Regelungen dieses AVV vor.

§ 1 Vertragsparteien

1.1 Auftraggeber

Der Auftraggeber ist der bei Pixalo registrierte Tenant (Fotograf / Unternehmen), der die Plattform zur Verarbeitung personenbezogener Daten nutzt.

Die datenschutzrechtliche Rolle des Auftraggebers bestimmt sich nach Ziffer 1.3.

1.2 Auftragnehmer (Auftragsverarbeiter)

Der Auftragnehmer ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

1.3 Rollen der Parteien

Soweit der Auftraggeber über die Zwecke und Mittel der Verarbeitung entscheidet (z. B. bei der Erhebung über Einwilligungsbögen, QR-Karten oder Bestellungen im Onlineshop), ist er Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und der Auftragnehmer sein Auftragsverarbeiter.

Wird der Auftraggeber selbst als Auftragsverarbeiter für einen Dritten tätig (z. B. auf Grundlage eines Auftragsverarbeitungsvertrags mit einer Schule oder einem Kindergarten), wird der Auftragnehmer als weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 4 DSGVO eingesetzt.

Für diesen Fall sichert der Auftraggeber zu, dass ihm die erforderliche Genehmigung seines Auftraggebers für den Einsatz des Auftragnehmers sowie der in Anlage 2 genannten Unterauftragsverarbeiter (einschließlich etwaiger Drittlandbezüge) vorliegt und er berechtigt ist, Weisungen seines Auftraggebers an den Auftragnehmer weiterzugeben.

§ 2 Vertragsgegenstand und Dauer

2.1 Gegenstand

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der SaaS-Plattform Pixalo.

Pixalo ist eine technische Plattform zum Betrieb digitaler Fotografen-Shops. Pixalo ist weder Marktplatz noch Zahlungsdienstleister und tritt nicht als Vertragspartner zwischen Auftraggeber und dessen Endkunden auf.

Die Verarbeitung von Vertrags-, Konto-, Abrechnungs-, Zahlungs-, Sicherheits- und Kommunikationsdaten des Auftraggebers für eigene Zwecke des Auftragnehmers (z. B. Registrierung und Kontoverwaltung, Abonnement-Abrechnung, eigene Buchhaltung, Betrugs- und Missbrauchsprävention, Vertragskommunikation) erfolgt in eigener datenschutzrechtlicher Verantwortlichkeit des Auftragnehmers und ist nicht Gegenstand dieses AVV. Einzelheiten regelt die Datenschutzerklärung von Pixalo.

2.2 Dauer

Dieser Vertrag gilt für die Dauer des Nutzungsverhältnisses. Er endet automatisch mit Beendigung des Hauptvertrags (Nutzungsbedingungen).

Gesetzliche Aufbewahrungspflichten bleiben von der Vertragsbeendigung unberührt. Die Pflichten zur Löschung, zur Vertraulichkeit und zur Nachweisführung bestehen auch nach Vertragsende fort.

§ 3 Art, Zweck und Umfang der Verarbeitung

3.1 Art der Verarbeitung

Die Verarbeitung umfasst:

• Erheben, Speichern, Organisieren
• Anpassen und Verändern (z. B. Verkleinern von Bilddateien, Erstellen von Vorschaubildern und Wasserzeichen-Versionen)
• Bereitstellen, Übermitteln, Protokollieren
• Einschränken, Löschen, Archivieren
• Übermittlung an vom Auftraggeber eingebundene Empfänger und Dienstleister

3.2 Zweck der Verarbeitung

• Betrieb der Plattform und der Fotografen-Onlineshops
• Bereitstellung von Vorschaubildern und Downloads
• Abwicklung von Bestellungen
• Gewährleistung von Sicherheit, Stabilität und Missbrauchsprävention

3.3 Kategorien betroffener Personen

• Fotografierte und zu fotografierende Personen (einschließlich Minderjähriger)
• Endkunden des Auftraggebers (z. B. Eltern, Erziehungsberechtigte, Besteller im Onlineshop)
• Ansprechpartner der Einrichtungen (z. B. Lehrkräfte, Erzieher)
• Personen, die Termine oder Buchungen vornehmen
• Beschäftigte und Beauftragte des Auftraggebers

3.4 Kategorien personenbezogener Daten

• Namen und Kontaktdaten
• Zuordnungsdaten (z. B. Klassen, Gruppen, Zugangscodes)
• Bestell- und Transaktionsdaten
• Bilddaten (hochgeladene Originaldateien, Vorschaubilder mit Wasserzeichen, Thumbnails, gekaufte Bilddateien)
• Technische Metadaten (z. B. Zugriffszeiten, IP-Adressen)

Eine detaillierte Beschreibung findet sich in Anlage 3.

§ 4 Pflichten des Auftraggebers

Soweit der Auftraggeber Verantwortlicher ist, ist er verpflichtet:

• die Rechtmäßigkeit der Datenverarbeitung sicherzustellen
• gültige Rechtsgrundlagen für die Verarbeitung zu gewährleisten
• betroffene Personen ordnungsgemäß zu informieren
• erforderliche Einwilligungen einzuholen (insbesondere bei Minderjährigen)
• dem Auftragnehmer nur rechtmäßige Weisungen zu erteilen
• für die Richtigkeit der übermittelten Daten zu sorgen

Der Auftragnehmer unterliegt keiner allgemeinen Pflicht zur Prüfung der vom Auftraggeber gewählten Rechtsgrundlagen, Einwilligungen oder Inhalte. Die Hinweispflicht bei einer nach Auffassung des Auftragnehmers rechtswidrigen Weisung gemäß § 6 bleibt unberührt.

Soweit der Auftraggeber selbst als Auftragsverarbeiter für einen Dritten tätig ist (Ziffer 1.3), treffen diese Pflichten in erster Linie den dortigen Verantwortlichen. Der Auftraggeber ist in diesem Fall verpflichtet, nur dokumentierte Weisungen seines Verantwortlichen weiterzugeben und sicherzustellen, dass die Einbindung des Auftragnehmers von seinem Verantwortlichen genehmigt ist.

§ 5 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten
• geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen
• die Vertraulichkeit der Verarbeitung zu wahren
• zur Verschwiegenheit verpflichtete Personen einzusetzen
• den Auftraggeber bei der Erfüllung von Betroffenenrechten zu unterstützen
• den Auftraggeber bei Datenschutz-Folgenabschätzungen zu unterstützen
• Datenschutzverletzungen unverzüglich zu melden
• nach Beendigung des Auftrags Daten zu löschen oder zurückzugeben

Der Auftragnehmer trifft angemessene Maßnahmen zur Sicherstellung der Systemverfügbarkeit im Rahmen des vertraglich Vereinbarten.

Ist der Auftragnehmer durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, informiert er den Auftraggeber vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

§ 6 Weisungsrecht

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf Weisung des Auftraggebers. Die Nutzungsbedingungen und dieser AVV stellen die grundlegende dokumentierte Weisung dar.

Weisungen sind in Textform an [email protected] zu richten. In Eilfällen können Weisungen mündlich erteilt werden; der Auftraggeber bestätigt diese unverzüglich in Textform. Der Auftragnehmer dokumentiert erteilte Weisungen und deren Umsetzung.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen geltendes Recht verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

§ 7 Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung betrauten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Diese Verpflichtung besteht auch nach Beendigung des Auftrags fort.

§ 8 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Die Maßnahmen sind in Anlage 1 (TOM) dokumentiert und gelten als verbindlicher Bestandteil dieses Vertrags.

Der Auftragnehmer ist berechtigt, die Maßnahmen weiterzuentwickeln, sofern das Schutzniveau nicht unterschritten wird. Über wesentliche Änderungen der TOM informiert der Auftragnehmer den Auftraggeber in geeigneter Form (z. B. per E-Mail oder im Dashboard).

§ 9 Unterauftragsverarbeiter

9.1 Allgemeine Genehmigung

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen.

Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

9.2 Änderungen

Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen bezüglich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern.

Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang der Information aus wichtigem, datenschutzbezogenem Grund in Textform widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Zustimmung als erteilt. Im Fall eines Widerspruchs suchen die Parteien zunächst nach einer zumutbaren Lösung; § 16 bleibt unberührt.

Die Information kann per E-Mail oder über den Kundenbereich erfolgen.

9.3 Vertragliche Bindung

Der Auftragnehmer stellt sicher, dass Unterauftragsverarbeiter vertraglich mindestens den gleichen Datenschutzpflichten unterliegen wie in diesem Vertrag. Eine Weitergabe personenbezogener Daten erfolgt erst, wenn sich der Auftragnehmer von der Einhaltung dieser Pflichten überzeugt hat.

9.4 Haftung für Unterauftragsverarbeiter

Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters nach Maßgabe des Art. 28 Abs. 4 DSGVO.

§ 10 Drittlandübermittlung

Eine Übermittlung personenbezogener Daten in Drittländer erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44–49 DSGVO erfüllt sind.

Dies kann insbesondere gewährleistet werden durch:

• Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO)
• Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
• Zusätzliche technische und organisatorische Schutzmaßnahmen

Die originäre Speicherung der Daten (Hosting, Datenbank, Objektspeicher, Backups, E-Mail-Versand) erfolgt in der AWS-Region Frankfurt (eu-central-1). Bei der Auslieferung über das Content Delivery Network (Amazon CloudFront) sowie über das Netzwerk von Cloudflare (DNS, Reverse-Proxy, TLS-Terminierung, DDoS-Schutz) können verschlüsselte Inhalte und Verbindungsdaten abhängig vom Standort des Nutzers an weltweiten Standorten zwischengespeichert oder verarbeitet werden; Grundlage sind die Zertifizierungen von AWS und Cloudflare nach dem EU-US Data Privacy Framework sowie die EU-Standardvertragsklauseln der jeweiligen Datenschutzverträge. Vom Auftraggeber selbst eingebundene Dienste mit Drittlandbezug (z. B. eigene Analysedienste) liegen in der Verantwortung des Auftraggebers.

§ 11 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei der Erfüllung von Anfragen betroffener Personen gemäß Art. 15–22 DSGVO sowie – unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen – bei den Pflichten aus Art. 30 und Art. 32 bis 36 DSGVO.

Anfragen, die direkt an den Auftragnehmer gerichtet werden, werden unverzüglich an den Auftraggeber weitergeleitet. Eine inhaltliche Beantwortung gegenüber betroffenen Personen oder Dritten erfolgt nur nach vorheriger Zustimmung des Auftraggebers, sofern keine gesetzliche Pflicht zur direkten Antwort besteht.

Der Auftragnehmer kann für Unterstützungsleistungen, die über das vertraglich Vereinbarte hinausgehen, eine angemessene Vergütung verlangen.

§ 12 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung. Auch begründete Verdachtsfälle werden mitgeteilt; liegen noch nicht alle Informationen vor, können diese schrittweise nachgereicht werden.

Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Anzahl betroffener Personen und Datensätze
• Wahrscheinliche Folgen
• Ergriffene Abhilfemaßnahmen
• Zeitpunkt der Feststellung und voraussichtlicher Zeitraum des Vorfalls
• Ansprechpartner für weitere Informationen

Die Meldepflicht nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde verbleibt beim Auftraggeber. Der Auftragnehmer unterstützt den Auftraggeber im erforderlichen Umfang bei dessen Pflichten aus Art. 33 und 34 DSGVO.

Ebenfalls unverzüglich mitgeteilt werden erhebliche Störungen bei der Auftragserledigung, Verstöße des Auftragnehmers oder seiner Beschäftigten gegen datenschutzrechtliche Bestimmungen oder diesen Vertrag sowie Kontrollen oder Maßnahmen von Aufsichtsbehörden, soweit sie einen Bezug zur Auftragsverarbeitung aufweisen.

§ 13 Kontroll- und Auditrechte

Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags zu überprüfen.

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung bereit. Dies kann insbesondere erfolgen durch:

• Selbstauskünfte und Dokumentation
• Zertifizierungen und Auditberichte
• Beantwortung von Fragebögen

Vor-Ort-Kontrollen erfolgen nach vorheriger Ankündigung in Textform (mindestens 14 Tage Vorlauf), zu üblichen Geschäftszeiten, ohne vermeidbare Störung des Geschäftsbetriebs und nicht häufiger als einmal in zwölf Monaten. Bei einem konkreten Datenschutzvorfall oder auf Verlangen einer Aufsichtsbehörde gelten die Beschränkungen zu Vorlauf und Häufigkeit nicht. Kontrollen beschränken sich auf die Daten des Auftraggebers und die dafür relevanten Systeme; Daten anderer Auftraggeber sowie Geschäftsgeheimnisse des Auftragnehmers bleiben geschützt. Die Bereitstellung üblicher Nachweise ist unentgeltlich; für darüber hinausgehende Unterstützungsleistungen kann der Auftragnehmer eine angemessene Vergütung verlangen.

§ 14 Löschung und Rückgabe

Nach Beendigung des Auftrags verfährt der Auftragnehmer nach Wahl des Auftraggebers wie folgt:

• löscht der Auftragnehmer alle personenbezogenen Daten, sofern keine Aufbewahrungspflicht besteht
• gibt der Auftragnehmer auf Wunsch Daten in einem gängigen, maschinenlesbaren Format zurück
• veranlasst der Auftragnehmer die Löschung bzw. Rückgabe auch bei eingesetzten Unterauftragsverarbeitern
• gibt der Auftragnehmer Unterlagen, die einer gesetzlichen Aufbewahrungspflicht des Auftraggebers unterliegen (§ 147 AO, § 257 HGB — Buchungsbelege und Rechnungen in der Regel acht Jahre, bestimmte Bücher und Abschlüsse zehn Jahre), nach dessen Wahl zur eigenständigen Aufbewahrung heraus oder speichert sie aufgrund einer fortbestehenden dokumentierten Weisung für die Dauer der gesetzlichen Frist ausschließlich zu Archivierungszwecken gesperrt

Übt der Auftraggeber sein Wahlrecht nicht innerhalb von 30 Tagen nach Beendigung aus, werden die Daten gelöscht. Die Löschung – einschließlich der Löschung bei Unterauftragsverarbeitern – wird auf Anfrage schriftlich bestätigt.

In Datenbank-Backups enthaltene personenbezogene Daten werden für die operative Nutzung gesperrt und durch die rollierende Backup-Aufbewahrung (derzeit sieben Tage) automatisch überschrieben; für Mediendateien gelten die in Anlage 1 beschriebenen Speicher- und Löschmechanismen. Wiederherstellungen aus Backups erfolgen ausschließlich zur Störungsbeseitigung oder Behandlung von Sicherheitsvorfällen; zuvor erteilte Löschanweisungen werden nach einer Wiederherstellung erneut umgesetzt. Dokumentation, die dem Nachweis der ordnungsgemäßen Verarbeitung dient, wird entsprechend der geltenden Fristen über das Vertragsende hinaus aufbewahrt.

§ 15 Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO.

Der Auftragnehmer haftet nicht für Schäden, die auf fehlerhafte Weisungen, rechtswidrige Inhalte oder fehlende Einwilligungen des Auftraggebers zurückzuführen sind. Dies gilt nur, soweit der Schaden ausschließlich auf dem Verantwortungsbereich des Auftraggebers beruht und der Auftragnehmer den Schaden nicht mitverursacht hat. Zwingende gesetzliche Haftungsvorschriften, insbesondere Art. 82 DSGVO, bleiben unberührt.

§ 16 Außerordentliche Kündigung

Der Auftraggeber kann den Hauptvertrag und diesen AVV ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder diesen Vertrag vorliegt, insbesondere bei erheblicher Nichterfüllung der vereinbarten technischen und organisatorischen Maßnahmen oder vertragswidriger Verweigerung von Kontrollrechten. Bei unerheblichen Verstößen setzt der Auftraggeber zunächst eine angemessene Frist zur Abhilfe.

Der Auftragnehmer ist zur außerordentlichen Kündigung berechtigt, wenn der Auftraggeber dem Einsatz eines Unterauftragsverarbeiters gemäß § 9 widerspricht, keine zumutbare Lösung gefunden werden kann und die Leistungserbringung ohne den betreffenden Unterauftragsverarbeiter nicht möglich ist, oder wenn der Auftraggeber auf einer offensichtlich rechtswidrigen Weisung besteht.

§ 17 Schlussbestimmungen

• Dieser AVV wird elektronisch bei Registrierung abgeschlossen.
• Er gilt mit Akzeptanz als rechtsverbindlich (Art. 28 Abs. 9 DSGVO).
• Änderungen bedürfen der Textform.
• Wesentliche Änderungen dieses AVV stellt der Auftragnehmer dem Auftraggeber als neue Version zur Annahme bereit; die Annahme wird mit Zeitpunkt, Version und Konto protokolliert. Für Änderungen der Unterauftragsverarbeiter gilt § 9, für Änderungen der TOM § 8.
• Beide Parteien behandeln Geschäftsgeheimnisse und Sicherheitsinformationen der jeweils anderen Partei auch nach Vertragsende vertraulich; Offenlegungen zur Wahrnehmung der Exkulpation nach Art. 82 Abs. 3 DSGVO oder gegenüber zuständigen Behörden bleiben zulässig.
• Ein Zurückbehaltungsrecht an den im Auftrag verarbeiteten personenbezogenen Daten und den zugehörigen Datenträgern ist ausgeschlossen.
• Es gilt deutsches Recht.
• Gerichtsstand ist – soweit zulässig – der Sitz des Auftragnehmers.
• Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM)

Diese Anlage beschreibt die Maßnahmen gemäß Art. 32 DSGVO.

1. Zutrittskontrolle

Maßnahmen zur Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen.

• Nutzung zertifizierter Rechenzentren mit physischer Zutrittskontrolle
• Keine eigenen physischen Server außerhalb von Rechenzentren

2. Zugangskontrolle

Maßnahmen zur Verhinderung unbefugter Systemnutzung.

• Starke Authentifizierung (Passwortrichtlinien)
• Schutz vor automatisierten Anmeldeversuchen durch Rate Limiting und temporäre Zugriffsbeschränkungen
• Verschlüsselte Übertragung (TLS)
• Multi-Faktor-Authentifizierung für administrative Zugänge zur Infrastruktur
• Personenbezogene Administratorkonten

3. Zugriffskontrolle

Maßnahmen zur Beschränkung auf autorisierte Zugriffe.

• Rollenbasierte Berechtigungssysteme (RBAC)
• Prinzip der minimalen Berechtigung (Least Privilege)
• Regelmäßige Überprüfung von Berechtigungen

4. Trennungskontrolle

Maßnahmen zur getrennten Verarbeitung verschiedener Auftraggeber.

• Strikte logische Mandantentrennung (Multi-Tenant-Isolation)
• Tenant-ID-basierte Zugriffskontrolle auf Datenbankebene
• Keine Einsicht in fremde Mandantendaten
• Trennung von Entwicklungs-, Test- und Produktionsumgebungen

5. Weitergabekontrolle

Maßnahmen zur Sicherung bei Übertragung und Speicherung.

• Verschlüsselte Datenübertragung (TLS 1.2+)
• Signierte Download-Links mit Ablaufdatum
• Verschlüsselung ruhender Daten (serverseitige Verschlüsselung von Datenbank und Objektspeicher)
• Personenbezogene Dateien werden grundsätzlich nicht als unverschlüsselte E-Mail-Anhänge versendet; der Abruf erfolgt über zugriffsgeschützte, zeitlich begrenzte Links. Die Übertragung an E-Mail-Systeme erfolgt transportverschlüsselt (TLS), soweit die Gegenstelle dies unterstützt.

6. Eingabekontrolle

Nachvollziehbarkeit von Dateneingaben und -änderungen.

• Protokollierung sicherheitsrelevanter Aktionen
• Archivierung von Bestellvorgängen mit unveränderlichen Preis- und Bestell-Snapshots sowie fortlaufender Rechnungsnummernvergabe
• Versionskontrolle und Review-Prozesse für Quellcode
• Zentrale Verwaltung von Zugangsdaten und Geheimnissen (keine fest codierten Zugangsdaten)
• Prüfung von Webhook-Signaturen der Zahlungsdienstleister
• Anbindung von Zahlungsdienstleister-Konten über Konto-Kennungen; Zugangsschlüssel des Auftraggebers werden nicht gespeichert

7. Verfügbarkeitskontrolle

Schutz vor Verlust und Zerstörung.

• Tägliche automatisierte Datenbank-Backups (rollierende 7-Tage-Aufbewahrung)
• Hochredundante Speicherung der Mediendateien im Objektspeicher
• Redundante Infrastruktur
• Monitoring und Alerting
• DDoS-Schutz und Rate Limiting

8. Wiederherstellbarkeit

• Definierte Wiederherstellungsverfahren
• Automatisierte Snapshot-Erstellung und Statusüberwachung durch den Hosting-Anbieter

Anlage 2 – Unterauftragsverarbeiter

Der Auftragnehmer setzt folgende Kategorien von Unterauftragsverarbeitern ein:

Amazon Web Services und Cloudflare sind nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln der jeweiligen Datenschutzverträge (AWS GDPR DPA, Cloudflare DPA). Über beabsichtigte Änderungen dieser Liste informiert der Auftragnehmer gemäß § 9.

Vom Auftraggeber selbst eingebundene Dienste (z. B. eigene Zahlungsdienstleister-Konten wie Stripe oder PayPal, eigenes Google-Analytics-Tracking im Onlineshop, eigene Domain- und DNS-Anbieter) sind keine Unterauftragsverarbeiter des Auftragnehmers; insoweit ist der Auftraggeber selbst verantwortlich.

Anlage 3 – Beschreibung der Verarbeitungstätigkeiten

Gegenstand der Verarbeitung

Technische Bereitstellung einer SaaS-Plattform zum Betrieb digitaler Fotografen-Shops einschließlich Speicherung, Bereitstellung und Auslieferung von Fotos sowie Abwicklung von Bestellungen.

Dauer der Verarbeitung

• Aktive Daten: Dauer des Nutzungsverhältnisses
• Download-Links: maximal 7 Tage
• Datenbank-Backups: rollierend, derzeit sieben Tage; für Mediendateien gelten die in Anlage 1 beschriebenen Speicher- und Löschmechanismen
• Steuer- und handelsrechtlich relevante Rechnungs- und Buchungsbelegdaten: entsprechend der gesetzlichen Aufbewahrungsfrist (in der Regel acht bzw. zehn Jahre); übrige Bestandteile von Bestellungen (z. B. Bilddateien, Galerien, Zugangscodes) unterliegen den kürzeren Fristen der Nutzungsbeziehung
• Sicherheitslogs: maximal 90 Tage

Zweck der Verarbeitung

• Bereitstellung der Plattformfunktionalität
• Speicherung und Auslieferung von Fotos (einschließlich Erzeugung von Vorschaubildern und Wasserzeichen-Versionen)
• Zuordnung von Fotos zu Personen über Zugangscodes und QR-Codes
• Bestellabwicklung und Archivierung (einschließlich Rechnungsstellung im Auftrag des Auftraggebers)
• Verwaltung von Terminen und Buchungen, soweit vom Auftraggeber genutzt
• Versand von E-Mails im Auftrag des Auftraggebers (z. B. Galerie-Zugangscodes, Bestell- und Erinnerungs-E-Mails einschließlich Abmeldeverwaltung)
• Bearbeitung von Support- und Kontaktanfragen
• Gewährleistung von Sicherheit, Stabilität und Verfügbarkeit
• Übermittlung der zur Zahlungsinitiierung und Zahlungsstatusabfrage erforderlichen Bestell- und Transaktionsdaten an die vom Auftraggeber eigenverantwortlich eingebundenen Zahlungsdienstleister
• KI-gestützte Texterkennung auf vom Auftraggeber bereitgestellten Klassenlisten zur Anlage von Schülerdaten (Verarbeitung in der EU, keine Nutzung zum Modelltraining)

Art der personenbezogenen Daten

• Stamm- und Kontaktdaten (Namen, E-Mail-Adressen, Rechnungs- und Lieferadressen, ggf. Telefonnummern)
• Zuordnungsdaten (Klassen, Gruppen, Zugangscodes, QR-Codes, Termin- und Buchungsdaten)
• Bestell- und Transaktionsdaten (Produkte, Mengen, Preise, Zahlungsstatus und Transaktions-IDs der Zahlungsdienstleister sowie ggf. Zahlungsart, Kartenmarke, letzte vier Ziffern des Zahlungsmittels und Zahler-E-Mail-Adresse — vollständige Karten- oder Kontodaten werden vom Auftragnehmer nicht verarbeitet)
• Bilddaten (hochgeladene Originaldateien, Vorschaubilder mit Wasserzeichen, Thumbnails, gekaufte Bilddateien) nebst technischen Bildmetadaten
• Einwilligungs- und Rechtsgrundlagennachweise (z. B. dokumentierte Einwilligungen, Abmeldestatus)
• Vertrags-, Versand- und Kommunikationsnachweise (z. B. Vertragsakzeptanzen, Versandprotokolle)
• Technische Daten (IP-Adressen, Zugriffszeiten, User-Agent, Sicherheits- und Fehlerprotokolle)

Kategorien betroffener Personen

• Fotografierte und zu fotografierende Personen (einschließlich Minderjähriger)
• Endkunden des Auftraggebers (z. B. Eltern, Erziehungsberechtigte, Besteller im Onlineshop)
• Ansprechpartner der Einrichtungen (z. B. Lehrkräfte, Erzieher)
• Personen, die Termine oder Buchungen vornehmen
• Beschäftigte und Beauftragte des Auftraggebers

Handelt der Auftraggeber selbst als Auftragsverarbeiter (Ziffer 1.3), gelten die vorstehenden Angaben entsprechend für das Unterauftragsverhältnis; Verantwortlicher ist in diesem Fall der Auftraggeber des Auftraggebers.