Auftragsverarbeitungsvertrag

1. Parteien

Verantwortlicher: die Kundin oder der Kunde, die oder der eine Instanz bei uns betreibt.
Auftragsverarbeiter: Robin Hamm – Hamm IT Solutions, Borchener Straße 87, 33098 Paderborn, Deutschland, hamm-it@mailbox.org

2. Gegenstand und Dauer

Gegenstand ist der Betrieb einer Albumwerk-Instanz als Software as a Service. Die Verarbeitung dauert so lange, wie das Vertragsverhältnis besteht, zuzüglich der in Abschnitt 7 genannten Fristen.

3. Art, Zweck und Umfang der Verarbeitung

Speicherung und Bereitstellung von Bilddateien und Kundendaten zum Zweck des Betriebs von Fotogalerien, der Auswahl und Bestellung von Bildern sowie der Terminbuchung.

4. Art der Daten und Kreis der Betroffenen

• Bilddaten der von dir fotografierten Personen, einschließlich der darin enthaltenen Metadaten
• Stammdaten deiner Kund:innen: Name, E-Mail-Adresse, ggf. Anschrift und Telefonnummer
• Bestell- und Termindaten einschließlich Zeitpunkten und Beträgen
• Nutzungsdaten: Anmeldezeitpunkte, IP-Adressen in Server-Protokollen

Betroffene sind deine Kund:innen sowie die auf den Bildern abgebildeten Personen.

5. Ort der Verarbeitung

Ausschließlich innerhalb der Europäischen Union. Eine Übermittlung in Drittländer findet nicht statt.

6. Unterauftragsverarbeiter

Du stimmst dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland — Betrieb des Servers, auf dem deine Instanz läuft; Serverstandort Nürnberg
• Brevo (Sendinblue GmbH, Deutschland) — Versand von System-E-Mails; verarbeitet Empfängeradresse und Inhalt
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Speicherung der verschlüsselten Sicherungen; Serverstandort Nürnberg

(1) Über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters informieren wir dich mindestens 30 Tage vorab in Textform.

(2) Du kannst der Änderung binnen 14 Tagen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widersprichst du, setzen wir den Unterauftragsverarbeiter für deine Instanz nicht ein. Ist uns der Betrieb ohne ihn nicht oder nur mit unverhältnismäßigem Aufwand möglich, können beide Seiten den Vertrag mit einer Frist von 30 Tagen zum Monatsende kündigen; im Voraus gezahlte Entgelte erstatten wir dir anteilig.

(3) Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die dieser Vertrag uns auferlegt, und haften dir gegenüber für sein Verhalten wie für eigenes.

7. Löschung und Rückgabe

Nach Ende des Vertragsverhältnisses wird deine Instanz pausiert. Die Daten bleiben 30 Tage erhalten, damit du sie herunterladen oder die Instanz reaktivieren kannst; sieben Tage vorher erinnern wir dich per E-Mail. Danach werden Instanz und Datenträgerinhalt gelöscht.

Sicherungskopien werden aus technischen Gründen weitere 30 Tage vorgehalten und danach automatisch entfernt. Eine frühere Löschung auf Verlangen ist möglich.

8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Mandantentrennung: jede Kundin und jeder Kunde erhält einen eigenen Container mit eigenem Datenträger und eigener Subdomain — keine gemeinsam genutzte Datenbank
• Transportverschlüsselung: TLS für alle Verbindungen, Zertifikate über Let’s Encrypt, automatisch erneuert
• Zugriffsschutz: Bilder in Originalauflösung liegen in einem geschützten Bereich und sind nur mit gültigem Datei-Token abrufbar; administrativer Zugang ausschließlich passwortgeschützt
• Sicherungen: tägliche automatische Sicherung, Übertragung auf ein getrenntes Speicherziel, Aufbewahrung nach Abschnitt 7
• Verfügbarkeitsüberwachung: laufende Überwachung aller Instanzen mit Benachrichtigung bei Ausfall
• Aktualität: Instanzen laufen auf einem versionierten Abbild, Sicherheitsaktualisierungen werden zentral ausgerollt
• Protokollierung: Zugriffe und administrative Vorgänge werden protokolliert
• Vertraulichkeit: alle Personen, die Zugang zu personenbezogenen Daten haben, sind in Textform auf Vertraulichkeit verpflichtet; die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus
• Zutrittskontrolle: die eingesetzten Rechenzentren sind gegen unbefugten Zutritt gesichert, unter anderem durch Vereinzelungsanlagen, Videoüberwachung und protokollierte Zutrittsberechtigungen; die Nachweise der Betreiber stellen wir dir auf Anfrage zur Verfügung
• Wiederherstellbarkeit: die Rückspielbarkeit der Sicherungen wird regelmäßig getestet und das Ergebnis dokumentiert
• Regelmäßige Überprüfung: die Wirksamkeit der hier genannten Maßnahmen wird mindestens jährlich sowie bei wesentlichen Änderungen an der Verarbeitung überprüft und dokumentiert

9. Weisungen, Kontrollrechte, Mitwirkung

(1) Wir verarbeiten die personenbezogenen Daten ausschließlich auf deine dokumentierte Weisung. Als Weisung gelten dieser Vertrag sowie die Einstellungen, die du in deiner Instanz vornimmst. Weitere Weisungen erteilst du in Textform an hamm-it@mailbox.org.

(2) Sind wir nach Unionsrecht oder deutschem Recht zu einer Verarbeitung verpflichtet, teilen wir dir die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Halten wir eine Weisung für rechtswidrig, teilen wir dir das unverzüglich mit und dürfen ihre Ausführung aussetzen, bis du sie bestätigst oder änderst.

(4) Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- oder Datenübertragbarkeitsverlangen an uns, leiten wir es unverzüglich an dich weiter und beantworten es nicht selbst. Wir unterstützen dich mit geeigneten technischen und organisatorischen Maßnahmen dabei, solche Anfragen zu beantworten, soweit dir das ohne unsere Mitwirkung nicht möglich ist.

(5) Wir unterstützen dich unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen bei der Einhaltung deiner Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen nach Abschnitt 10 und bei einer Datenschutz-Folgenabschätzung.

(6) Wir stellen dir alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Der Nachweis erfolgt in der Regel durch aktuelle Testate, Zertifikate oder Prüfberichte, auch solche unserer Unterauftragsverarbeiter. Reichen diese im Einzelfall nicht aus, kannst du nach Ankündigung mit angemessener Frist, höchstens einmal je Kalenderjahr und zu unseren Geschäftszeiten eine Überprüfung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der nicht mit uns im Wettbewerb steht. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen und die Daten anderer Kund:innen nicht berühren. Weitere Überprüfungen ohne konkreten Anlass rechnen wir nach Aufwand ab.

(7) Wir führen ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Einen Datenschutzbeauftragten haben wir nicht bestellt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Ansprechpartner für Datenschutzfragen ist Robin Hamm, hamm-it@mailbox.org.

10. Meldung von Verletzungen

(1) Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die deine Verarbeitung betrifft, benachrichtigen wir dich unverzüglich, in der Regel binnen 24 Stunden nach Kenntnisnahme, per E-Mail an die in deinem Konto hinterlegte Adresse.

(2) Die Benachrichtigung enthält, soweit uns bekannt: eine Beschreibung der Art der Verletzung mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die von uns ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung sowie einen Ansprechpartner für Rückfragen. Liegen nicht alle Angaben sofort vor, liefern wir sie unverzüglich nach.

(3) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dir als Verantwortlichem. Wir unterstützen dich dabei nach Abschnitt 9 Abs. 5.

(4) Wir dokumentieren jede Verletzung einschließlich der ergriffenen Maßnahmen.

11. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Ergänzend und im Verhältnis der Parteien zueinander gilt Ziffer 12 unserer Allgemeinen Geschäftsbedingungen.

(2) Dieser Vertrag geht den Allgemeinen Geschäftsbedingungen vor, soweit er die Verarbeitung personenbezogener Daten im Auftrag regelt. Im Übrigen gelten die Allgemeinen Geschäftsbedingungen.

(3) Der Vertrag ist an das Hauptvertragsverhältnis gebunden und endet mit ihm. Die Pflichten aus Abschnitt 7 und die Vertraulichkeitspflichten bestehen darüber hinaus fort.

(4) Änderungen und Ergänzungen bedürfen der Textform; das gilt auch für die Änderung dieser Klausel. Der elektronischen Form nach Art. 28 Abs. 9 DSGVO ist damit genügt.

(5) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die ihrem wirtschaftlichen Zweck am nächsten kommt.

(6) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Bist du Unternehmer, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Paderborn Gerichtsstand. Gesetzlich zwingende ausschließliche Gerichtsstände bleiben unberührt.