Vereinbarung zur Auftragsverarbeitung

1. Parteien und Geltung

Diese Vereinbarung wird zwischen dem Kunden als Verantwortlichem und der Event Paradies Nimaro GmbH, Eibenweg 23, 15827 Blankenfelde-Mahlow, als Auftragsverarbeiterin geschlossen. Sie konkretisiert die datenschutzrechtlichen Pflichten aus dem Vertrag über die Nutzung von Fotorium und wird mit diesem Vertrag Bestandteil der Vereinbarungen, sobald der Kunde den Dienst nicht ausschließlich für persönliche oder familiäre Zwecke nutzt.

Sie gilt für die Dauer des Hauptvertrags. Bei Widersprüchen zwischen dieser Vereinbarung und den Allgemeinen Geschäftsbedingungen geht diese Vereinbarung vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist der Betrieb einer Foto-Galerie für eine Veranstaltung des Kunden. Wir speichern die von seinen Gästen hochgeladenen Fotos und Videos, rechnen daraus Vorschau- und Webfassungen, halten sie für die Berechtigten zum Ansehen und Herunterladen bereit und löschen sie nach Ablauf der vereinbarten Aufbewahrungsfrist.

Eine darüber hinausgehende Verwendung findet nicht statt. Insbesondere werten wir die Bilder nicht aus, setzen keine Gesichtserkennung ein und nutzen sie nicht zum Training von KI-Modellen.

3. Art der Daten und Kreis der Betroffenen

Verarbeitet werden im Auftrag des Kunden:

• Fotos und Videos der Gäste einschließlich der darauf abgebildeten Personen sowie Aufnahme- und Uploadzeit. Standortangaben aus den Bilddaten werden beim Upload entfernt.
• Der Name, den ein Gast beim Beitritt angibt.
• Vergebene Herzchen und erledigte Foto-Aufgaben einschließlich des dazugehörigen Nachweisfotos.
• Eine zufällige Kennung im Browser des Geräts, damit ein Gast beim Wiederkommen erkannt wird.

Betroffene sind die Gäste der Veranstaltung und die auf den Bildern abgebildeten Personen. Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO werden nicht gezielt verarbeitet; der Kunde stellt sicher, dass solche Daten nicht ohne die dafür erforderliche Rechtsgrundlage in die Galerie gelangen.

4. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gelten der Hauptvertrag samt dieser Vereinbarung sowie die Einstellungen, die der Kunde im Gastgeber-Bereich vornimmt — etwa Zugangscode, Aufbewahrungsfrist, Ausblenden oder Löschen einzelner Bilder. Einzelweisungen darüber hinaus sind in Textform an info@event-paradies.de zu richten.

Hält eine Weisung gegen Datenschutzrecht zu verstoßen, weisen wir den Kunden darauf hin und dürfen ihre Ausführung aussetzen, bis er sie bestätigt oder ändert (Artikel 28 Absatz 3 Satz 3 DSGVO). Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

5. Vertraulichkeit

Alle Personen, die auftragsgemäß Zugang zu diesen Daten haben können, sind zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorgaben unterrichtet. Der Zugang ist auf das beschränkt, was für Betrieb und Fehlersuche notwendig ist.

6. Sicherheit der Verarbeitung

Wir treffen die nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Umgesetzt sind insbesondere:

• Verschlüsselte Übertragung auf allen Wegen; Bilder gehen unmittelbar vom Gerät des Gastes zum Speicher und laufen nicht über einen Zwischenserver.
• Verschlüsselte Speicherung im Objektspeicher von Amazon Web Services in einem Rechenzentrum in Deutschland.
• Kein direkter Zugriff von außen auf den Speicher: Er ist vollständig gesperrt, jeder Abruf läuft über kurzlebige, signierte Adressen.
• Zugriffsschutz auf die Galerie über einen nicht erratbaren Link, auf Wunsch zusätzlich über einen Zugangscode. Alle Galerien sind für Suchmaschinen gesperrt.
• Signierte, für Skripte nicht lesbare Sitzungen und eine Begrenzung wiederholter Versuche bei Anmeldung, Zugangscode und Upload.
• Anmeldung ohne Passwort über einen zeitlich begrenzten Link, damit keine Passwörter gespeichert werden müssen.
• Datensparsamkeit als Voreinstellung: Von Gästen wird nur der Name erhoben, Standortdaten werden beim Upload entfernt.
• Automatisches Löschen nach Ablauf, technisch erzwungen und nach Speicherpfad, damit auch bei einer abgebrochenen Verarbeitung nichts liegenbleibt.

Die Maßnahmen werden fortgeschrieben; ein gleichwertiges oder höheres Schutzniveau bleibt dabei gewahrt.

7. Unterauftragnehmer

Der Kunde stimmt dem Einsatz der folgenden Unterauftragnehmer zu:

• Amazon Web Services EMEA SARL, Luxemburg — Speicherung der Fotos und Videos sowie Betrieb des Servers, Rechenzentrum in Deutschland (Region eu-central-1).
• goneo Internet GmbH, Minden — Postausgangsserver für den Versand unserer E-Mails (Anmeldelink, Bestellbestätigung, Erinnerung vor Ablauf), Server in Deutschland.

Mit beiden bestehen Verträge zur Auftragsverarbeitung mit entsprechenden Verpflichtungen. Gespeichert und verarbeitet wird ausschließlich in den genannten Rechenzentren; eine Übermittlung in ein Drittland findet nicht statt. Die Konzernmutter der Amazon Web Services EMEA SARL sitzt in den Vereinigten Staaten. Ein Zugriff von dort ist vertraglich untersagt und technisch nicht vorgesehen; eine Restunsicherheit, wie sie bei jedem Anbieter mit US-Muttergesellschaft besteht, bleibt.

Einen Wechsel oder die Aufnahme eines weiteren Unterauftragnehmers teilen wir dem Kunden mindestens vier Wochen vorher in Textform mit. Er kann innerhalb von zwei Wochen widersprechen; besteht dann ein sachlicher Grund für den Wechsel und kann keine Einigung erzielt werden, darf jede Seite den Vertrag zum Zeitpunkt der Umstellung kündigen. Der Kunde erhält in diesem Fall den auf die verbleibende Aufbewahrungszeit entfallenden Teil des Preises zurück.

Der Zahlungsdienstleister Stripe ist kein Unterauftragnehmer im Sinne dieser Vereinbarung: Er verarbeitet nur die Zahlungsdaten des Kunden, nicht die Daten aus der Galerie, und ist dafür eigenständig verantwortlich.

8. Unterstützung des Kunden

Wir unterstützen den Kunden mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen zu beantworten (Artikel 12 bis 23 DSGVO). Wendet sich ein Gast unmittelbar an uns, leiten wir ihn an den Kunden weiter oder unterrichten diesen, sofern die Anfrage seine Galerie betrifft.

Ebenso unterstützen wir ihn bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei einer Datenschutz-Folgenabschätzung (Artikel 32 bis 36 DSGVO), soweit dies angesichts der Art der Verarbeitung und der uns vorliegenden Informationen möglich ist.

Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, mit den uns bekannten Angaben nach Artikel 33 Absatz 3 DSGVO.

9. Nachweise und Prüfungen

Wir stellen dem Kunden die Informationen zur Verfügung, die er zum Nachweis der Einhaltung dieser Vereinbarung benötigt, und ermöglichen Überprüfungen einschließlich Inspektionen (Artikel 28 Absatz 3 Buchstabe h DSGVO). Prüfungen sind mit angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs durchzuführen; vorrangig genügt die Vorlage geeigneter Nachweise, etwa der Zertifikate und Prüfberichte der eingesetzten Unterauftragnehmer.

10. Löschung und Rückgabe

Nach Ende des Vertrags löschen wir die im Auftrag verarbeiteten Daten. Das geschieht automatisch mit Ablauf der vereinbarten Aufbewahrungsfrist; der Kunde kann die Löschung jederzeit vorher selbst auslösen. Vor der Löschung kann er alle Bilder als Archiv herunterladen — eine gesonderte Rückgabe findet deshalb nicht statt.

Nicht von der Löschung erfasst sind Daten, die wir aufgrund gesetzlicher Aufbewahrungspflichten weiter vorhalten müssen; sie werden für andere Zwecke nicht verwendet.

11. Haftung

Für die Haftung im Verhältnis der Parteien gilt Ziffer 14 der Allgemeinen Geschäftsbedingungen. Artikel 82 DSGVO bleibt davon unberührt.