Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer (glubschauge.de / Jens Maske) verarbeitet personenbezogene Daten im Auftrag des Auftraggebers (Kunde) im Rahmen der Bereitstellung des Foto- und Video-Hosting-Dienstes.
2. Die Verarbeitung beginnt mit der Nutzung des Dienstes und endet mit der vollständigen Löschung aller Kundendaten nach Vertragsbeendigung.
3. Art und Zweck: Speicherung und Bereitstellung von Fotos und Videos, Erstellung von Vorschaubildern, optionale KI-basierte Bild-Erkennung (Gesichtserkennung, Objekterkennung).

§ 2 Art der Daten und Betroffene

Kategorien personenbezogener Daten:

• Bilddaten (Fotos, Videos) die erkennbare Personen zeigen können
• EXIF-Metadaten (GPS-Koordinaten, Kamera-Modell, Zeitstempel)
• Gesichtserkennungsdaten (biometrische Merkmale, sofern aktiviert)

Kategorien betroffener Personen:

• Auf Fotos/Videos erkennbare Personen (Familie, Freunde, Mitarbeiter, Kunden des Auftraggebers)

§ 3 Pflichten des Auftragsnehmers

1. Verarbeitung der Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (die Nutzung des Dienstes stellt die Weisung dar).
2. Gewährleistung, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.
3. Ergreifung aller gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe § 5).
4. Keine Einschaltung weiterer Auftragsverarbeiter ohne vorherige Zustimmung (siehe § 6).
5. Unterstützung des Auftraggebers bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) im Rahmen der technischen Möglichkeiten.
6. Löschung aller personenbezogenen Daten nach Beendigung des Vertrags innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
7. Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten.

§ 4 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich (z. B. Einholung von Einwilligungen der abgebildeten Personen).
2. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
3. Der Auftraggeber benennt auf Anfrage einen Ansprechpartner für Datenschutzfragen.

§ 5 Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer setzt folgende Maßnahmen gemäß Art. 32 DSGVO um:

§ 6 Unterauftragsverarbeiter

Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein:

Änderungen bei Unterauftragsverarbeitern werden dem Auftraggeber mindestens 30 Tage im Voraus per E-Mail mitgeteilt. Der Auftraggeber hat das Recht, gegen den Einsatz neuer Unterauftragsverarbeiter Einspruch zu erheben.

§ 7 Meldepflichten bei Datenschutzverletzungen

1. Der Auftragnehmer informiert den Auftraggeber unverzüglich (spätestens innerhalb von 48 Stunden) über jede Verletzung des Schutzes personenbezogener Daten.
2. Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien, ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen, ergriffene Maßnahmen.

§ 8 Kontrollrechte

1. Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags zu überprüfen. Dies kann durch schriftliche Auskünfte, Vorlage von Nachweisen oder — nach Vorankündigung von mindestens 14 Tagen — durch Inspektionen vor Ort erfolgen.
2. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind.

§ 9 Datenlöschung und Rückgabe

1. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen unwiderruflich.
2. Vor der Löschung stellt der Auftragnehmer dem Auftraggeber die Möglichkeit zum Datenexport über die Plattform bereit.
3. Die Löschung wird auf Anfrage schriftlich bestätigt.

§ 10 Schlussbestimmungen

1. Dieser AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen von glubschauge.de und tritt mit deren Akzeptanz in Kraft.
2. Es gilt das Recht der Bundesrepublik Deutschland.
3. Änderungen dieses AVV werden dem Auftraggeber mindestens 30 Tage im Voraus mitgeteilt.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige AVV wirksam.