Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO – für die Verarbeitung von Gästefotos in der Event-Galerie
Präambel und Vertragsparteien
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Bereitstellung der Event-Galerie und wird mit Bestätigung der Buchung Bestandteil des zwischen den Parteien geschlossenen Vertrags.
Verantwortlicher (Auftraggeber): der Mieter/Veranstalter gemäß der jeweiligen Buchung (nachfolgend „Auftraggeber“).
Auftragsverarbeiter: Fa. Dominik Hotzy – Snap It Fotobox, Mönchseestraße 43/1, 74072 Heilbronn (nachfolgend „Auftragnehmer“). Kontakt: anfrage@snap-it.de, +49 178 3274001.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers, soweit dieser im Rahmen der gebuchten Event-Galerie erfolgt. Die Dauer richtet sich nach der Laufzeit des zugrunde liegenden Hauptvertrags bzw. der vereinbarten Speicherdauer der Galerie und endet mit deren Löschung.
2. Art, Zweck und Umfang der Verarbeitung
Zweck: Erstellung, Speicherung und zugangsgeschützte Bereitstellung von auf der Veranstaltung entstandenen Fotos in einer über einen Zugangscode erreichbaren Online-Galerie sowie ggf. deren zeitlich befristete Verfügbarmachung für die Gäste des Auftraggebers.
Art der Daten:Bilddaten (Fotos), die Abbildungen von Personen enthalten können, sowie technische Metadaten (z. B. Aufnahmezeitpunkt).
Kategorien betroffener Personen: Gäste und Teilnehmende der Veranstaltung des Auftraggebers.
3. Weisungsgebundenheit
Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen des Vertrags und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zu einer anderweitigen Verarbeitung verpflichtet. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
4. Vertraulichkeit
Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen zum Schutz der Daten, insbesondere: zugangsgeschützte Galerien (Zugriff nur über individuellen Code), verschlüsselte Übertragung (TLS/HTTPS), Zugriffsbeschränkung auf den administrativen Bereich durch Authentifizierung und Rollenkonzept, nicht-öffentliche Speicherung der Foto-Dateien mit ausschließlich kurzlebigen, signierten Abruf-Links sowie eine automatische Löschung nach Ablauf der vereinbarten Speicherdauer.
6. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu, die für Hosting, Datenbank, Datei-Speicher und E-Mail-Versand eingesetzt werden:
- Supabase (Datenbank, Datei-Speicher, Authentifizierung)
- Vercel (Hosting/Bereitstellung der Anwendung)
- der für den Versand von Transaktions-E-Mails eingesetzte SMTP-Dienstleister
Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern; der Auftraggeber kann berechtigten Einwänden widersprechen.
7. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (insb. Auskunft und Löschung) sowie bei Meldepflichten. Anfragen betroffener Personen, die den Auftragnehmer erreichen, leitet er unverzüglich an den Auftraggeber weiter, sofern sie nicht unmittelbar (z. B. durch Löschung einzelner Fotos) erledigt werden.
8. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei der Erfüllung der Pflichten nach Art. 33, 34 DSGVO.
9. Löschung und Rückgabe nach Beendigung
Nach Abschluss der Verarbeitung bzw. nach Ablauf der vereinbarten Speicherdauer löscht der Auftragnehmer die verarbeiteten Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.
10. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung der Pflichten erforderlichen Informationen auf Anfrage zur Verfügung und ermöglicht angemessene Überprüfungen.
11. Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Im Widerspruchsfall gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen dem Hauptvertrag vor.