Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Entwurf – wird vor dem Start rechtlich geprüft.

zwischen dem Betreiber einer IMAGEvault-Instanz (Verantwortlicher) und Axel Weichert (Weichert.at), Elmweg 20b, 32130 Enger (Auftragsverarbeiter). Er wird mit der Registrierung geschlossen.

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die IMAGEvault-Instanz (Speichern und Ausliefern von Fotos, Galerien, Favoriten, Kommentare, Bestellungen, Anmeldungen zu Fototerminen, E-Mail-Versand). Die Dauer entspricht der Laufzeit des Hauptvertrags (AGB).

2. Art der Daten und betroffene Personen

Fotos (auch von Kindern und mit biometrisch auswertbaren Merkmalen, die der Auftragsverarbeiter jedoch nicht auswertet), Namen, E-Mail-Adressen, Anschriften und Telefonnummern aus Bestellungen, Kommentare, Favoriten, Zugangscodes, technische Zugriffsdaten. Betroffen sind Kunden des Verantwortlichen, abgebildete Personen, Eltern/Sorgeberechtigte sowie Mitarbeitende des Verantwortlichen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen – die Einstellungen und Aktionen in der Verwaltung gelten als Weisung. Ist er der Ansicht, eine Weisung verstoße gegen Datenschutzrecht, weist er darauf hin.

4. Vertraulichkeit

Personen mit Zugriff sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter greift auf Inhalte nur zu, soweit es für Betrieb, Fehlerbehebung oder auf Bitte des Verantwortlichen nötig ist.

5. Technische und organisatorische Maßnahmen

• Trennung: je Betreiber eine eigene Datenbank (Durable Object) und ein eigener Speicherbereich; eigene Signaturschlüssel je Betreiber.
• Speicherort EU: Speicher und Datenbanken mit EU-Jurisdiktion.
• Verschlüsselung: Übertragung nur per TLS; Speicherung bei Cloudflare verschlüsselt; Zugangsdaten Dritter (z. B. Druckdienst) zusätzlich AES-GCM-verschlüsselt.
• Zugriff: Passwörter nur als PBKDF2-Hash, Sperre nach Fehlversuchen, signierte Bildlinks, Originale nie öffentlich, Verwaltung des Anbieters hinter Cloudflare Zero Trust.
• Verfügbarkeit: redundante Speicherung durch Cloudflare, Wiederherstellung der Datenbanken bis 30 Tage zurück.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt: Cloudflare, Inc. (Hosting, Speicher, Datenbank, E-Mail-Versand; Daten mit EU-Jurisdiktion; DPF-zertifiziert, Standardvertragsklauseln). Über neue Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab per E-Mail; der Verantwortliche kann binnen 14 Tagen widersprechen. Druckdienstleister (z. B. Picanova) beauftragt der Verantwortliche selbst; dafür ist er selbst verantwortlich.

7. Unterstützung, Meldungen

Der Auftragsverarbeiter unterstützt bei Anfragen Betroffener und meldet Datenschutzverletzungen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis.

8. Löschung

Nach Vertragsende bleibt die Instanz 30 Tage lesbar, danach löscht der Auftragsverarbeiter alle Daten. Die Wiederherstellung aus Sicherungen ist danach nicht mehr möglich.

9. Nachweise

Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung.