Vereinbarung zur Auftragsverarbeitung (AVV)

VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG (AVV) gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) ND Lichtraum SaaS Stand: 06.08.2026 zwischen dem Kunden / Fotografen als Verantwortlichem – nachfolgend „Auftraggeber“ – und Wilfried Dingeldein ND Fotografie Morsbacherstr. 8 51597 Morsbach Deutschland E-Mail: support@nd-lichtraum.de Telefon: 01787256013 – nachfolgend „Auftragnehmer“ – 1. Gegenstand und Dauer der Verarbeitung Der Auftragnehmer stellt dem Auftraggeber den webbasierten Dienst „ND Lichtraum“ zur Verfügung. Soweit der Auftraggeber im Rahmen der Nutzung personenbezogene Daten seiner Kunden, Interessenten, abgebildeten Personen oder sonstiger betroffener Personen in ND Lichtraum verarbeitet und der Auftragnehmer dabei personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, erfolgt diese Verarbeitung nach Maßgabe dieser Vereinbarung. Die Verarbeitung erfolgt grundsätzlich für die Dauer des jeweiligen ND-Lichtraum-Vertrags und darüber hinaus nur, soweit dies für Rückgabe, Löschung, technische Abwicklung oder aufgrund gesetzlicher Pflichten erforderlich ist. 2. Art und Zweck der Verarbeitung Die Verarbeitung kann insbesondere folgende Tätigkeiten umfassen: - Speichern und Bereitstellen von Fotografien und Bilddateien, - Bereitstellen von Kunden- und Feedbackgalerien, - Speichern von Galerie-, Auswahl- und Feedbackinformationen, - Bereitstellen von Download-, Auswahl- oder Freigabefunktionen, - technische Verwaltung der vom Auftraggeber angelegten Galerien und Inhalte, - Datensicherung, Wiederherstellung und technischer Betrieb, - Fehleranalyse, Support und Sicherheitsmaßnahmen, soweit hierbei ein Zugriff auf personenbezogene Daten erforderlich wird. Der Auftragnehmer verarbeitet die Daten ausschließlich zur Bereitstellung und zum Betrieb von ND Lichtraum sowie nach dokumentierten Weisungen des Auftraggebers, soweit keine gesetzliche Verpflichtung zu einer anderweitigen Verarbeitung besteht. 3. Kategorien betroffener Personen Je nach Nutzung durch den Auftraggeber können insbesondere betroffen sein: - Kunden des Fotografen, - Interessenten, - Hochzeitspaare, - Familienangehörige, - Kinder und Jugendliche, - abgebildete Personen, - Teilnehmer von Veranstaltungen, - Ansprechpartner von Unternehmen, - sonstige Personen, deren Bild- oder Kontaktdaten der Auftraggeber rechtmäßig in ND Lichtraum einstellt. 4. Arten personenbezogener Daten Je nach Nutzung können insbesondere verarbeitet werden: - Vor- und Nachname, - E-Mail-Adresse, - gegebenenfalls weitere vom Auftraggeber eingegebene Kontakt- oder Zuordnungsdaten, - Fotografien und Bilddateien, - Dateinamen und Bildnummern, - Galeriezuordnungen, - Bildauswahlen, - Favoriten, - Kommentare und Feedback, - Zeitpunkte von Auswahl-, Freigabe- oder sonstigen Galerieaktionen, - technische Metadaten, soweit diese mit hochgeladenen Dateien verbunden sind oder für den Betrieb erforderlich sind. Der Auftraggeber entscheidet, welche personenbezogenen Daten er im Rahmen des zulässigen Funktionsumfangs in ND Lichtraum verarbeitet. 5. Verantwortlichkeit und Weisungsrecht Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO für die personenbezogenen Daten, die er im Rahmen seines eigenen Geschäftsbetriebs in ND Lichtraum verarbeitet. Der Auftraggeber ist insbesondere verantwortlich für: - die Rechtmäßigkeit der Erhebung und Verarbeitung, - das Vorliegen einer geeigneten Rechtsgrundlage, - erforderliche Informationen gegenüber betroffenen Personen, - erforderliche Einwilligungen, insbesondere soweit Fotografien oder Daten Minderjähriger betroffen sind, - die Rechtmäßigkeit der Veröffentlichung oder Bereitstellung von Bildern, - die Festlegung angemessener Lösch- und Aufbewahrungsfristen. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung entgegensteht. Die Nutzung der im Dienst vorgesehenen Funktionen durch hierzu berechtigte Benutzer gilt als dokumentierte Weisung im Rahmen des vereinbarten Leistungsumfangs. 6. Vertraulichkeit Der Auftragnehmer stellt sicher, dass Personen, die Zugang zu personenbezogenen Daten erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe auf personenbezogene Daten werden auf das für Betrieb, Wartung, Support und Sicherheit erforderliche Maß beschränkt. 7. Technische und organisatorische Maßnahmen Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung angemessene technische und organisatorische Maßnahmen. Hierzu gehören, soweit für den jeweiligen Betrieb einschlägig, insbesondere: - rollen- und berechtigungsbasierte Zugriffskontrollen, - Mandantentrennung zwischen unterschiedlichen Fotografen, - Schutz administrativer Bereiche durch Authentifizierung, - verschlüsselte Übertragung über HTTPS/TLS, - Schutz von Zugangsdaten und Sitzungen, - Beschränkung administrativer Zugriffe, - Protokollierung sicherheits- und betriebsrelevanter Ereignisse, - regelmäßige Datensicherungen nach dem eingesetzten Betriebskonzept, - Verfahren zur Wiederherstellung nach technischen Störungen, - technische Maßnahmen gegen unberechtigten Zugriff und Missbrauch, - regelmäßige Pflege und Aktualisierung der eingesetzten Softwarekomponenten. Die konkreten technischen und organisatorischen Maßnahmen können entsprechend der technischen Entwicklung angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. 8. Unterstützung des Auftraggebers Der Auftragnehmer unterstützt den Auftraggeber im Rahmen der verfügbaren Informationen und unter Berücksichtigung der Art der Verarbeitung angemessen bei: - Anfragen betroffener Personen, - Berichtigung, Löschung oder Einschränkung der Verarbeitung, - Datenübertragbarkeit, soweit technisch einschlägig, - Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO, - Untersuchung von Datenschutzverletzungen, soweit die vom Auftragnehmer betriebene Verarbeitung betroffen ist. Erhält der Auftragnehmer eine Anfrage einer betroffenen Person, die erkennbar Daten betrifft, für die der Auftraggeber verantwortlich ist, wird die Anfrage grundsätzlich an den Auftraggeber verwiesen beziehungsweise weitergeleitet, soweit dies rechtlich und technisch möglich ist. 9. Meldung von Datenschutzverletzungen Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit personenbezogene Daten betroffen sind, die im Auftrag des Auftraggebers verarbeitet werden. Die Information soll die dem Auftragnehmer verfügbaren Angaben enthalten, die der Auftraggeber zur Erfüllung seiner gesetzlichen Melde- und Informationspflichten benötigt. 10. Unterauftragsverarbeiter Der Auftragnehmer darf Unterauftragsverarbeiter einsetzen, soweit dies für Hosting, Infrastruktur, E-Mail-Versand, Datensicherung, technische Dienste oder sonstige Bestandteile des SaaS-Betriebs erforderlich ist. Der Auftragnehmer stellt sicher, dass Unterauftragsverarbeiter, soweit sie personenbezogene Daten im Auftrag verarbeiten, vertraglich Datenschutzpflichten unterliegen, die den Anforderungen des Art. 28 DSGVO entsprechen. Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz und Wechsel von Unterauftragsverarbeitern. Über wesentliche Änderungen der Unterauftragsverarbeiter wird der Auftraggeber in geeigneter Weise informiert und erhält nach Maßgabe von Art. 28 Abs. 2 DSGVO Gelegenheit, aus wichtigen datenschutzrechtlichen Gründen Einwände zu erheben. Eine aktuelle Liste der für die Auftragsverarbeitung relevanten Unterauftragsverarbeiter soll im ND-Lichtraum-Kunden-/Vertragsbereich oder in einer entsprechend bezeichneten Dokumentation bereitgestellt werden. 11. Verarbeitung außerhalb des Europäischen Wirtschaftsraums Eine Verarbeitung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Soweit eingesetzte Dienstleister Daten in Drittländern verarbeiten oder ein Drittlandzugriff nicht ausgeschlossen werden kann, werden die hierfür erforderlichen datenschutzrechtlichen Garantien berücksichtigt. 12. Löschung und Rückgabe nach Vertragsende Nach Beendigung des Vertrags wird der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten nach Maßgabe des vereinbarten Löschkonzepts löschen oder dem Auftraggeber, soweit vorgesehen und technisch möglich, eine Möglichkeit zur Übernahme bereitstellen, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht. Eine technische Sperrung des Tenants nach Kündigung oder Zahlungsverzug ist nicht mit einer sofortigen endgültigen Löschung gleichzusetzen. Gesetzlich aufzubewahrende Vertrags-, Rechnungs- oder Nachweisdaten des Auftragnehmers bleiben von der Löschung der Auftragsdaten unberührt. 13. Nachweise und Kontrollen Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen. Kontrollen und Audits sind unter angemessener Berücksichtigung der Betriebs- und Sicherheitsinteressen des Auftragnehmers durchzuführen. Soweit eine Prüfung nicht bereits durch geeignete Dokumentationen oder Nachweise ausreichend ermöglicht wird, stimmen die Parteien Art, Umfang und Zeitpunkt einer weitergehenden Prüfung vorher ab. 14. Weisungen, die gegen Datenschutzrecht verstoßen Ist der Auftragnehmer der Auffassung, dass eine Weisung des Auftraggebers gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Die Ausführung der betreffenden Weisung kann bis zur Klärung ausgesetzt werden, soweit dies erforderlich ist. 15. Verhältnis zum Hauptvertrag Diese AVV ergänzt den Vertrag über die Nutzung von ND Lichtraum. Bei Widersprüchen hinsichtlich der Verarbeitung personenbezogener Daten gehen die datenschutzrechtlichen Regelungen dieser AVV vor. 16. Elektronischer Abschluss und Nachweis Die AVV kann elektronisch abgeschlossen werden. Der im ND-Lichtraum-Bestell- oder Vertragsprozess dokumentierte Versionsstand, Zeitpunkt und die Bestätigung des Auftraggebers dienen als Nachweis des Abschlusses. Änderungen dieser AVV werden versioniert. Eine neue Fassung wird nicht rückwirkend auf bereits dokumentierte Erklärungen angewendet.