Präambel
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien aus der Nutzung von Passepartout. Verantwortlicher ("Auftraggeber") ist das Studio, Auftragsverarbeiter ("Auftragnehmer") ist [Angabe fehlt], [Angabe fehlt], [Angabe fehlt]. Er gilt mit Abschluss der Registrierung als vereinbart (Art. 28 Abs. 9 DSGVO: elektronisches Format).
1. Gegenstand und Dauer
Der Auftragnehmer betreibt für den Auftraggeber Online-Galerien: Speichern und Umwandeln von Bildern und Dateien, Ausliefern an Galeriebesucher, Auswahl, Kommentare, Freigaben, Einwilligungen, Verkaufsabwicklung und E-Mail-Benachrichtigungen. Der Vertrag läuft so lange wie der Hauptvertrag über die Nutzung der Plattform.
2. Art der Daten und betroffene Personen
- Daten: Bild- und Videodateien samt Metadaten, Namen und E-Mail-Adressen, Favoriten, Kommentare, Freigaben, Einwilligungserklärungen, Bestell- und Zahlungsstatus, technische Nutzungsdaten (gekürzte IP-Adressen, Gerätetyp, Sitzungskennungen).
- Besondere Kategorien: Bilder können im Einzelfall Rückschlüsse auf besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) zulassen, etwa Gesundheit oder religiöse Überzeugungen; der Auftraggeber entscheidet über deren Verarbeitung.
- Betroffene: Kundinnen und Kunden des Auftraggebers, abgebildete Personen, Galeriebesucher, Beschäftigte des Auftraggebers.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; als Weisung gelten dieser Vertrag und die Einstellungen, die der Auftraggeber in der Plattform vornimmt. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.
4. Vertraulichkeit
Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Ein Zugriff auf Inhalte der Galerien erfolgt nur, soweit er für Betrieb, Fehlerbehebung oder die Erfüllung gesetzlicher Pflichten zwingend erforderlich ist.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Eigene Datenbank, eigenes Datenbankkonto und eigene Schlüssel je Studio; strikte Trennung der Dateien
- Verschlüsselung der Übertragung (TLS 1.2/1.3) und der Originaldateien (XChaCha20-Poly1305), Prüfung jeder Wiederherstellung per Prüfsumme
- Anmeldung nur mit zweitem Faktor, Rechte- und Rollenkonzept, Protokollierung von Anmeldungen und Änderungen
- Verarbeitung hochgeladener Dateien in isolierten Umgebungen ohne Netzwerkzugriff
- Tägliche, verschlüsselte Sicherung; dokumentiertes und getestetes Verfahren zur Wiederherstellung
- Server in Deutschland, Firewall, automatische Sicherheitsaktualisierungen
Die Maßnahmen dürfen fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.
6. Unterauftragsverarbeiter
Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter:
- Hosting: Server in einem Rechenzentrum in Deutschland – Betrieb der Server, auf denen die Plattform läuft.
Über beabsichtigte Änderungen informiert der Auftragnehmer vorab per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Zahlungsabwicklung bei Verkäufen erfolgt auf Grundlage eines eigenen Vertragsverhältnisses zwischen dem Auftraggeber und Stripe; Stripe ist insoweit kein Unterauftragsverarbeiter des Auftragnehmers.
7. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) – die Plattform bietet dafür u. a. Export, Löschung und Widerruf von Einwilligungen – sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.
8. Meldung von Verletzungen
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
9. Löschung und Rückgabe
Nach Vertragsende kann der Auftraggeber seine Daten 30 Tage lang herunterladen. Danach löscht der Auftragnehmer alle Daten und vernichtet die Schlüssel des Studios, soweit keine gesetzliche Pflicht zur Speicherung besteht.
10. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Pflichten nötigen Informationen zur Verfügung, insbesondere das Sicherheitskonzept, und ermöglicht Überprüfungen nach angemessener Vorankündigung.
11. Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Bei Widersprüchen geht dieser Vertrag den übrigen Vereinbarungen vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.
Stand: 09/2026