Vereinbarung zur Auftragsverarbeitung

Parteien und Einordnung

Diese Vereinbarung gilt zwischen dem Nutzer der Galerie-Software (nachfolgend „Verantwortlicher") und der LET IT CLICK GmbH, Osnabrücker Str. 41, 49205 Hasbergen (nachfolgend „Auftragsverarbeiter").

Stellt der Verantwortliche personenbezogene Daten seiner eigenen Kunden in den Dienst ein, so entscheidet allein er über Zwecke und Mittel dieser Verarbeitung. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich weisungsgebunden. Die Vereinbarung gilt mit Abschluss des Nutzungsvertrages als geschlossen und ist Bestandteil der AGB.

Für die Daten des Nutzers selbst — Kontodaten, Rechnungsangaben, Anmeldevorgänge — ist die LET IT CLICK GmbH eigener Verantwortlicher; dafür gilt die Datenschutzerklärung und nicht diese Vereinbarung.

1. Gegenstand, Dauer und Umfang der Verarbeitung

Gegenstand ist die Speicherung und Bereitstellung von Fotografien und zugehörigen Angaben zum Zweck der Auslieferung an die Kunden des Verantwortlichen sowie zur Abwicklung einer Bildauswahl. Die Verarbeitung dauert so lange an, wie der Nutzungsvertrag besteht.

Art der Daten:

• Fotografien, einschließlich der darin enthaltenen Aufnahmemetadaten (etwa Aufnahmezeitpunkt)
• Bezeichnungen von Galerien und Bildern sowie Freitexte des Verantwortlichen
• Auswahl der Bilder durch den Kunden und dessen Bearbeitungswünsche und Anmerkungen
• Zugangsdaten zur Galerie (Passwort der Galerie)
• technische Zugriffsdaten (Zeitpunkt des Zugriffs auf eine Galerie)

Kategorien betroffener Personen: die Kunden des Verantwortlichen, die auf den Fotografien abgebildeten Personen sowie weitere Empfänger, denen der Verantwortliche Zugang zu einer Galerie gewährt.

Der Auftragsverarbeiter verarbeitet keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO, es sei denn, der Verantwortliche stellt solche Daten von sich aus ein.

2. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen des Vertrages und nach dokumentierten Weisungen des Verantwortlichen. Weisungen werden durch die Nutzung der Funktionen des Dienstes erteilt; darüber hinausgehende Weisungen erfolgen in Textform an info@let-it-click.com.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er ist berechtigt, die Ausführung der Weisung bis zur Bestätigung durch den Verantwortlichen auszusetzen.

Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Die Inhalte werden insbesondere nicht zu Werbezwecken, zur Erstellung von Profilen oder zum Training von Systemen künstlicher Intelligenz genutzt.

3. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

4. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage 1 beschrieben. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird.

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu. Mit allen bestehen Verträge nach Art. 28 DSGVO.

• Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA — Betrieb der Anwendung
• Supabase Inc., 970 Toa Payoh North, Singapur — Datenbank und Anmeldeverwaltung, Verarbeitung in der Region Europa
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA — Objektspeicher der Bilddateien (Cloudflare R2), Speicherung in der Europäischen Union
• Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland — Zahlungsabwicklung der Tarife des Verantwortlichen

Soweit ein Unterauftragsverarbeiter Daten außerhalb der Europäischen Union verarbeitet, ist dies durch die Standardvertragsklauseln der Europäischen Kommission und ergänzende Maßnahmen abgesichert.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Beauftragung eines weiteren oder dem Wechsel eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann der Auftragsverarbeiter den Vertrag zum Zeitpunkt der beabsichtigten Änderung kündigen.

6. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit sowie bei Datenschutz-Folgenabschätzungen und der Zusammenarbeit mit Aufsichtsbehörden.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Die technischen Mittel des Dienstes — insbesondere das Löschen einzelner Bilder und ganzer Galerien — stehen dem Verantwortlichen unmittelbar zur Verfügung; ihre Nutzung ist für ihn kostenfrei. Geht der Aufwand für eine Unterstützung darüber deutlich hinaus, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, soweit dies gesetzlich zulässig ist.

7. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält die Art der Verletzung, die betroffenen Datenkategorien, den ungefähren Umfang, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

8. Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage in Textform nach, insbesondere durch aktuelle Darstellung der technischen und organisatorischen Maßnahmen und durch die Nachweise der eingesetzten Unterauftragsverarbeiter.

Der Verantwortliche kann nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Auftragsverarbeiter wirkt daran mit; laufende Kontrollen dürfen den Geschäftsbetrieb nicht unangemessen beeinträchtigen.

9. Löschung und Rückgabe

Nach Beendigung des Vertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten. Dem Verantwortlichen stehen dafür 30 Tage zur Verfügung, um seine Inhalte selbst herunterzuladen; auf Anforderung stellt der Auftragsverarbeiter die Inhalte in einem gängigen Format bereit.

Gelöschte Galerien und Bilder verbleiben 30 Tage im Papierkorb und werden anschließend endgültig aus Datenbank und Objektspeicher entfernt. Von der Löschung ausgenommen sind Daten, für die gesetzliche Aufbewahrungspflichten bestehen; diese werden gesperrt und nach Ablauf der Fristen gelöscht.

10. Haftung

Für die Haftung im Verhältnis der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Die Server befinden sich in Rechenzentren der eingesetzten Dienstleister mit Zutrittskontrolle, Videoüberwachung und Alarmierung; ein physischer Zutritt durch Mitarbeitende des Auftragsverarbeiters findet nicht statt.
• Zugang zu den Verwaltungsoberflächen der Dienstleister besteht nur für einen eng begrenzten Personenkreis, ausschließlich über persönliche Konten mit Zwei-Faktor-Authentifizierung.
• Konten der Nutzer sind passwortgeschützt; Passwörter werden ausschließlich als Hashwert gespeichert.
• Kundengalerien sind durch ein individuelles Galeriepasswort geschützt. Zugänge für Fotografen und Bearbeiter laufen über signierte, manipulationssichere Sitzungsmerkmale in HttpOnly-Cookies.
• Bilddateien sind nicht öffentlich abrufbar. Der Zugriff erfolgt ausschließlich über signierte Adressen mit einer Gültigkeit von einer Stunde.
• Mandantentrennung: Die Daten jedes Kontos liegen in einem eigenen Pfadbereich des Objektspeichers. Jede Anfrage wird serverseitig darauf geprüft, ob sie dem anfragenden Konto zuzuordnen ist.
• In der Datenbank ist Row Level Security aktiviert; schreibende Zugriffe erfolgen ausschließlich serverseitig, nie unmittelbar aus dem Browser.

Integrität

• Sämtliche Übertragungen zwischen Endgerät, Anwendung, Datenbank und Objektspeicher erfolgen ausschließlich transportverschlüsselt (TLS).
• Daten in der Datenbank und im Objektspeicher werden durch die eingesetzten Dienstleister im Ruhezustand verschlüsselt gespeichert.
• Änderungen am Zustand einer Galerie (Upload abgeschlossen, Auswahl abgeschickt, Bearbeitung abgeschlossen) werden mit Zeitstempel festgehalten.
• Zugriffe auf Galerien werden protokolliert, sodass nachvollziehbar bleibt, wann eine Galerie geöffnet wurde.
• Zahlungsdaten werden nicht vom Auftragsverarbeiter verarbeitet, sondern ausschließlich vom Zahlungsdienstleister erhoben.

Verfügbarkeit und Belastbarkeit

• Der Objektspeicher der Bilddateien ist redundant ausgelegt.
• Die Datenbank wird durch den Hosting-Dienstleister gesichert; die Wiederherstellbarkeit wird regelmäßig überprüft.
• Gelöschte Inhalte durchlaufen einen Papierkorb mit 30 Tagen Vorhaltezeit, sodass versehentliche Löschungen rückgängig gemacht werden können.
• Die Anwendung wird auf einer Plattform betrieben, die Lastspitzen automatisch abfängt.

Verfahren zur Überprüfung und Bewertung

• Änderungen an der Software werden vor der Veröffentlichung geprüft; sicherheitsrelevante Abhängigkeiten werden laufend aktualisiert.
• Berechtigungen werden nach dem Grundsatz der geringstmöglichen Rechte vergeben und bei Bedarf entzogen.
• Neue Funktionen werden vor der Freigabe daraufhin geprüft, ob sie ausschließlich die für ihren Zweck erforderlichen Daten verarbeiten.
• Die Liste der Unterauftragsverarbeiter wird aktuell gehalten und in dieser Vereinbarung veröffentlicht.