Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Präambel und Parteien

Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen

dem Verantwortlichen (Art. 4 Nr. 7 DSGVO):
Der jeweilige Nutzer — der Fotograf bzw. das Unternehmen, das die Plattform Valokeep verwendet und im Rahmen seiner Tätigkeit Fotografien seiner Kunden hochlädt und bereitstellt („Verantwortlicher"),

und

dem Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO):
Juri Hoyer, handelnd als Einzelunternehmen, Reichertshalde 13, 71642 Ludwigsburg, E-Mail: hoherjuri@gmail.com, Betreiber der Foto-Delivery-Plattform Valokeep („Auftragsverarbeiter").

Abschluss dieses Vertrags

Dieser AVV wird elektronisch geschlossen: Der Verantwortliche akzeptiert den AVV im Rahmen der Registrierung bzw. vor der ersten Nutzung der Upload-Funktion durch aktive Bestätigung (Klick-Akzeptanz). Zeitpunkt der Annahme, akzeptierte Vertragsversion und die Identität des Verantwortlichen werden vom Auftragsverarbeiter protokolliert und dem Verantwortlichen auf Anfrage als Nachweis zur Verfügung gestellt. Die Textform des Art. 28 Abs. 9 DSGVO ist damit gewahrt (elektronisches Format).

Ohne Annahme dieses AVV ist der Upload personenbezogener Kundenfotos auf die Plattform nicht gestattet.

Rangverhältnis

Dieser AVV ergänzt die Allgemeinen Geschäftsbedingungen von Valokeep („Hauptvertrag"). Bei Widersprüchen gehen in allen Fragen des Datenschutzes und der Verarbeitung personenbezogener Daten die Regelungen dieses AVV vor.

§ 1 Gegenstand und Dauer der Verarbeitung

1. Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Plattform Valokeep (Foto-Delivery-SaaS).
2. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Dieser AVV endet automatisch mit Beendigung des Hauptvertrags; die Pflichten aus § 9 (Löschung/Rückgabe) bestehen darüber hinaus fort, bis sie vollständig erfüllt sind.
3. Der Verantwortliche kann diesen AVV jederzeit gemeinsam mit dem Hauptvertrag kündigen. Eine isolierte Kündigung des AVV bei fortbestehendem Hauptvertrag ist nicht möglich; kündigt der Verantwortliche nur den AVV, gilt dies als Kündigung des Hauptvertrags, da eine Nutzung der Plattform ohne AVV nicht zulässig ist.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken und in folgender Art im Auftrag des Verantwortlichen:

• Speicherung und Hosting der vom Verantwortlichen hochgeladenen Fotodateien und zugehöriger Metadaten auf Servern des Auftragsverarbeiters bzw. seiner genehmigten Unterauftragsverarbeiter;
• Bereitstellung und Auslieferung der Fotos an die vom Verantwortlichen autorisierten Empfänger (Gäste), über Freigabe-Links mit optionalem Galerie-Passwort;
• Erzeugung von Thumbnails, Vorschaubildern und komprimierten Varianten (technische Bildverarbeitung, Skalierung, Formatkonvertierung);
• Datensicherung (Erstellung verschlüsselter Sicherungskopien zur Wiederherstellbarkeit, Anlage 1 Ziff. 5);
• damit technisch zwingend verbundene Hilfsverarbeitungen (Zwischenspeicherung, Zugriffs-/Fehlerprotokollierung, Auslieferung über TLS).

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters (z. B. Analyse der Bildinhalte, Training von KI-Modellen, Werbung) findet nicht statt.

§ 3 Art der personenbezogenen Daten

1. Gegenstand der Verarbeitung sind insbesondere folgende Datenarten:
   • Fotografien / Abbildungen natürlicher Personen (Bilddaten);
   • Metadaten der Bilddateien (z. B. EXIF-Daten: Aufnahmezeitpunkt, Kameramodell, ggf. GPS-Koordinaten);
   • ggf. personenbezogene Angaben in Dateinamen, Ordner- oder Galerienamen, soweit der Verantwortliche solche vergibt;
   • Zugangsgeheimnisse der Galerien (Galerie-Passwörter), soweit personenbeziehbar.
2. Hinweis auf besondere Kategorien (Art. 9 DSGVO): Fotografien von Personen können im Einzelfall besondere Kategorien personenbezogener Daten offenbaren. Der Auftragsverarbeiter führt keine biometrische Auswertung (z. B. Gesichtserkennung) durch. Die Beurteilung, ob Art. 9 DSGVO einschlägig ist, sowie die Sicherstellung einer tragfähigen Rechtsgrundlage obliegt allein dem Verantwortlichen (Abs. 3).
3. Verantwortung für die Rechtsgrundlage: Der Verantwortliche ist allein dafür verantwortlich, dass die Verarbeitung der hochgeladenen Daten rechtmäßig ist — insbesondere für das Vorliegen erforderlicher Einwilligungen der abgebildeten Personen bzw. anderer Rechtsgrundlagen (Art. 6, ggf. Art. 9 Abs. 2 DSGVO, §§ 22 f. KUG) sowie die Erfüllung der Informationspflichten (Art. 13, 14 DSGVO). Der Auftragsverarbeiter prüft die Rechtmäßigkeit der Uploads nicht.

§ 4 Kategorien betroffener Personen

• Kunden/Klienten des Verantwortlichen (Endkunden des Fotografen, z. B. Brautpaare, Familien, Event-Teilnehmer, Models);
• abgebildete Dritte (Personen, die auf den Fotografien zu sehen sind, ohne selbst Kunden zu sein);
• Empfänger der Galerien (Gäste, denen der Verantwortliche Zugriff gewährt), soweit deren Daten im Auftrag verarbeitet werden.

§ 5 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Als dokumentierte Erstweisung gelten dieser AVV, der Hauptvertrag sowie die vom Verantwortlichen über die Funktionen der Plattform vorgenommenen Handlungen (z. B. Upload, Freigabe, Archivierung, Löschung, Passwortvergabe). Weitergehende Weisungen sind in Textform (z. B. E-Mail an hoherjuri@gmail.com) zu erteilen.
3. Weisungen, die über den vertraglich vereinbarten Funktionsumfang der Plattform hinausgehen, kann der Auftragsverarbeiter als Änderung des Leistungsumfangs behandeln; hierfür kann eine gesonderte Vereinbarung erforderlich sein.
4. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

§ 6 Vertraulichkeit

1. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
2. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.
3. Derzeit wird die Plattform vom Inhaber Juri Hoyer persönlich betrieben. Werden künftig Mitarbeiter oder freie Mitarbeiter mit Datenzugriff eingesetzt, werden diese vor Aufnahme ihrer Tätigkeit schriftlich auf Vertraulichkeit verpflichtet.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM) unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.
2. Die zum Zeitpunkt des Vertragsschlusses getroffenen TOM sind in Anlage 1 beschrieben. Sie sind Bestandteil dieses AVV.
3. Die TOM unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie fortentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 8 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt hiermit die allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.
2. Abgrenzung: In Anlage 2 sind nur Dienstleister aufgeführt, die personenbezogene Daten im Auftrag des Verantwortlichen (insbesondere die Fotodaten) verarbeiten. Dienstleister, die der Auftragsverarbeiter für eigene Zwecke einsetzt (z. B. Stripe für die Abwicklung der Zahlungen des Verantwortlichen an Valokeep), sind keine Unterauftragsverarbeiter im Sinne dieses AVV; die Fotodaten werden an solche Dienstleister nicht übermittelt.
3. Neue oder geänderte Unterauftragsverarbeiter: Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mindestens 30 Tage vor deren Wirksamwerden in Textform. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall des Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; gelingt diese nicht, sind beide Parteien berechtigt, den Hauptvertrag mit Wirkung zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen. Erfolgt kein fristgerechter Widerspruch, gilt die Änderung als genehmigt.
4. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter durch Vertrag (oder ein anderes Rechtsinstrument nach Art. 28 Abs. 4 DSGVO) auf dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

§ 9 Löschung und Rückgabe nach Vertragsende

1. Nach Abschluss der Erbringung der Verarbeitungsleistungen (Beendigung des Hauptvertrags) wird der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten entweder löschen oder zurückgeben (z. B. als Download-Archiv der Originaldateien) und vorhandene Kopien löschen, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Der Verantwortliche übt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform aus (dieser Zeitraum entspricht der Exportfrist des Hauptvertrags). Trifft er keine Wahl, werden die Daten nach Ablauf dieser Frist gelöscht.
3. Die vollständige Löschung erfolgt spätestens 90 Tage nach Vertragsende. Daten in etwaigen Sicherungskopien werden spätestens mit dem turnusmäßigen Überschreiben der Backup-Zyklen, ebenfalls innerhalb dieser Frist, gelöscht; bis dahin sind sie gegen Zugriff gesichert und werden nicht mehr aktiv verarbeitet.
4. Bereits während der Vertragslaufzeit kann der Verantwortliche einzelne Galerien/Dateien über die Plattform-Funktionen selbst löschen; die Löschung wird auf den Produktivsystemen unverzüglich wirksam.
5. Der Auftragsverarbeiter bestätigt die vollständige Löschung auf Anfrage in Textform.

§ 10 Unterstützungspflichten

1. Betroffenenrechte (Art. 12–23 DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst inhaltlich, außer der Verantwortliche weist ihn dazu an.
2. Sicherheit, Datenpannen, DSFA (Art. 32–36 DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO).
3. Für Unterstützungsleistungen, die über die unentgeltlich geschuldete Grundunterstützung hinausgehen und nicht durch pflichtwidriges Verhalten des Auftragsverarbeiters veranlasst sind, kann der Auftragsverarbeiter eine angemessene Vergütung nach Aufwand verlangen; dies wird dem Verantwortlichen vor Ausführung mitgeteilt.

§ 11 Meldung von Datenschutzverletzungen

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die die im Auftrag verarbeiteten Daten betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform an die hinterlegte E-Mail-Adresse des Verantwortlichen.
2. Die Meldung enthält, soweit bereits bekannt, mindestens: Beschreibung der Art der Verletzung (soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze); Name und Kontaktdaten der Anlaufstelle beim Auftragsverarbeiter (hoherjuri@gmail.com); Beschreibung der wahrscheinlichen Folgen; Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen.
3. Können nicht alle Informationen gleichzeitig bereitgestellt werden, erfolgt die Meldung schrittweise ohne unangemessene weitere Verzögerung.
4. Die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und die Benachrichtigung betroffener Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen. Der Auftragsverarbeiter nimmt solche Meldungen nicht ohne Weisung des Verantwortlichen vor.
5. Der Auftragsverarbeiter dokumentiert Verletzungen einschließlich aller damit zusammenhängenden Fakten, Auswirkungen und Abhilfemaßnahmen.

§ 12 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO).
2. Nachweise können insbesondere erbracht werden durch: aktuelle TOM-Dokumentation (Anlage 1), Selbstauskünfte, Prüfberichte, einschlägige Zertifizierungen oder genehmigte Verhaltensregeln (Art. 40, 42 DSGVO) des Auftragsverarbeiters oder seiner Unterauftragsverarbeiter.
3. Der Verantwortliche ist berechtigt, Überprüfungen — einschließlich Inspektionen — selbst oder durch einen beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchzuführen. Kontrollen erfolgen nach angemessener Vorankündigung (mindestens 14 Tage, außer bei konkretem Anlass), zu üblichen Geschäftszeiten, nicht häufiger als einmal jährlich (außer bei konkretem Anlass) und unter Wahrung der Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie des Schutzes der Daten anderer Kunden (Mandantentrennung).
4. Soweit ein Nachweis durch die in Abs. 2 genannten Mittel erbracht werden kann, ist der Verantwortliche gehalten, diesen vorrangig zu akzeptieren.
5. Aufwände für Vor-Ort-Kontrollen ohne konkreten Anlass kann der Auftragsverarbeiter angemessen in Rechnung stellen; dies wird vorab mitgeteilt.

§ 13 Drittlandtransfer

1. Die Verarbeitung der im Auftrag verarbeiteten Daten (insbesondere der Fotodaten) erfolgt ausschließlich in Deutschland bzw. der EU/dem EWR (derzeit: Rechenzentrum in Deutschland, siehe Anlage 2).
2. Eine Übermittlung in ein Drittland (Art. 44 ff. DSGVO) erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind — insbesondere Angemessenheitsbeschluss (Art. 45 DSGVO) oder geeignete Garantien wie EU-Standardvertragsklauseln (Art. 46 DSGVO) — und der betreffende Dienstleister nach § 8 als Unterauftragsverarbeiter genehmigt wurde.

§ 14 Haftung und Schlussbestimmungen

1. Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags. Die Haftungsbeschränkungen des Hauptvertrags gelten nicht, soweit sie einer zwingenden gesetzlichen Haftung entgegenstehen.
2. Im Innenverhältnis stellt der Verantwortliche den Auftragsverarbeiter von Ansprüchen betroffener Personen und von Bußgeldern frei, soweit diese darauf beruhen, dass der Verantwortliche Daten ohne ausreichende Rechtsgrundlage hochgeladen oder seine Pflichten aus diesem AVV oder der DSGVO verletzt hat; umgekehrt gilt dies entsprechend zulasten des Auftragsverarbeiters bei dessen Pflichtverletzungen.
3. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Änderung dieser Textformklausel. Der Auftragsverarbeiter kann diesen AVV mit Wirkung für die Zukunft anpassen, soweit dies aufgrund geänderter Rechtslage, behördlicher oder gerichtlicher Vorgaben oder geänderter technischer Gegebenheiten erforderlich ist; § 8 Abs. 3 (Information + Widerspruchsrecht) gilt entsprechend.
4. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
5. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist — soweit gesetzlich zulässig — der Sitz des Auftragsverarbeiters.
6. Bei Widersprüchen zwischen diesem AVV und den AGB / dem Hauptvertrag hat in Datenschutzfragen dieser AVV Vorrang.

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

Stand: 2026-08-26. Die Maßnahmen werden regelmäßig überprüft und fortentwickelt (§ 7 Abs. 3). Beschrieben ist der tatsächlich umgesetzte Stand; als (geplant) markierte Punkte sind noch nicht in Betrieb.

1. Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Sämtliche Datenübertragung zwischen Endgeräten und Plattform erfolgt ausschließlich TLS-verschlüsselt (HTTPS); unverschlüsselte Verbindungen werden umgeleitet.
• Session-Cookies sind verschlüsselt und signiert; Konto-Passwörter werden ausschließlich als scrypt-Hashes mit individuellem Salt gespeichert.
• Verschlüsselung at-rest: auf dem Produktivsystem derzeit nicht implementiert; der Schutz gespeicherter Daten erfolgt dort über Zugriffskontrolle und Server-Härtung (Ziff. 2). Die Sicherungskopien außerhalb des Produktivsystems sind demgegenüber vollständig verschlüsselt gespeichert (Ziff. 5). (geplant: Festplatten-/Dateisystemverschlüsselung im Zuge des Umzugs auf einen dedizierten Server; nach Umsetzung wird diese Anlage aktualisiert.)

2. Zugriffs- und Zugangskontrolle

• Betrieb der Anwendung unter einem unprivilegierten Systembenutzer (non-root); kein Root-Betrieb von Anwendungsprozessen.
• Rollen-/Berechtigungskonzept: Trennung Betreiber-Administration, Verantwortlicher (Fotograf, nur eigene Daten) und Galerie-Zugriff (Gäste, serverseitig auf genau eine Galerie beschränkt).
• Server-Zugang nur über SSH mit Schlüssel-Authentifizierung; administrative Zugänge auf das erforderliche Minimum beschränkt.
• Schutz vor unbefugten Zugriffsversuchen durch Rate-Limiting auf Registrierungs-, Anmelde- und Galerie-Zugangs-Endpunkten sowie automatische Sperrmechanismen auf Serverebene.

3. Trennungskontrolle (Mandantentrennung)

• Daten jedes Verantwortlichen werden logisch getrennt gespeichert; jeder Zugriff wird serverseitig gegen den jeweiligen Mandanten geprüft, sodass kein Mandant auf Daten eines anderen zugreifen kann.
• Getrennte Zugangsgeheimnisse je Mandant bzw. Galerie; die Sitzung eines Gastes ist an genau eine Galerie gebunden. Beim Archivieren einer Galerie wird der Zugang bereits angemeldeter Gäste serverseitig widerrufen.

4. Datenminimierung und Pseudonymisierung

• Verarbeitung nur der für die Leistungserbringung erforderlichen Daten; keine Auswertung von Bildinhalten, keine biometrische Analyse, kein KI-Training.
• Interne Referenzierung von Galerien und Dateien über technische Zufalls-IDs; Anwendungs-Fehlerprotokolle enthalten keine Bildinhalte und keine IP-Adressen.
• Gäste benötigen keine Registrierung und geben keine persönlichen Daten an.
• Empfehlung an den Verantwortlichen, Klarnamen betroffener Personen in Datei- und Galerienamen zu vermeiden, soweit möglich.

5. Verfügbarkeit und Wiederherstellbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Laufende Systemüberwachung des Serverbetriebs; zeitnahes Einspielen von Sicherheitsupdates.
• Die Datenbank arbeitet mit transaktionssicherem Journal (Absicherung gegen Inkonsistenzen bei Abstürzen).
• Datensicherung (in Betrieb seit 2026-08-24/25): täglich werden integritätsgeprüfte Datenbank-Snapshots auf dem Produktivsystem abgelegt (14 Stände) und die Foto- und Datenbank-Daten zusätzlich in ein verschlüsseltes Backup-Repository (restic) auf einem zweiten, räumlich getrennten Server desselben Rechenzentrums-Betreibers (Hetzner, Deutschland — Anlage 2) übertragen. Die Aufbewahrung der Sicherungsstände ist auf rund 60 Tage gedeckelt und bleibt damit unter der Löschfrist des § 9 Abs. 3. Eine vollständige Wiederherstellung aus dem Backup wurde am 2026-08-25 erfolgreich durchgespielt. Unabhängig davon gilt die Obliegenheit des Verantwortlichen aus dem Hauptvertrag, eigene vollständige Sicherungskopien der Originaldateien vorzuhalten (AGB §11 Abs. 5).

6. Protokollierung (Eingabekontrolle)

• Protokollierung sicherheitsrelevanter Ereignisse auf Webserver-Ebene (Zugriffe mit Zeitstempel, fehlgeschlagene Zugriffsversuche) mit automatischer Löschung nach 14 Tagen.
• Protokolle werden zugriffsgeschützt aufbewahrt und nicht zu anderen Zwecken ausgewertet.

7. Organisatorische Maßnahmen und regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Vertraulichkeitsverpflichtung aller mit Datenzugriff betrauten Personen (§ 6).
• Firewall-Konfiguration: nur erforderliche Ports öffentlich erreichbar.
• Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM (mindestens jährlich sowie anlassbezogen), mit Dokumentation.

Anlage 2: Genehmigte Unterauftragsverarbeiter

Stand: 2026-08-26.

Der geplante Umzug auf einen dedizierten Server (ebenfalls Rechenzentrum in Deutschland/der EU) ändert den Unterauftragsverarbeiter voraussichtlich nicht; sollte sich Anbieter oder Verarbeitungsort ändern, wird die Änderung nach § 8 Abs. 3 behandelt (Information mindestens 30 Tage vorab, Widerspruchsrecht).

Kein Unterauftragsverarbeiter im Sinne dieses AVV: Stripe Payments Europe, Ltd. (Zahlungsabwicklung der Bezahltarife) verarbeitet ausschließlich Abrechnungs- und Vertragsdaten des Verantwortlichen — nicht die im Auftrag verarbeiteten Fotodaten. Einzelheiten in der Datenschutzerklärung von Valokeep.