Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

Der Auftraggeber (nachfolgend „Veranstalter") nutzt Snap Book, betrieben von FIT-UP Sportcenter UG (haftungsbeschränkt), Bonner Str. 29, 50374 Erftstadt (nachfolgend „Auftragnehmer"). Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag und nach Weisung des Veranstalters.

Dieser Vertrag konkretisiert die Pflichten aus Art. 28 DSGVO. Er gilt ergänzend zu den Allgemeinen Geschäftsbedingungen und geht diesen bei Widersprüchen in Fragen der Auftragsverarbeitung vor.

Die Laufzeit entspricht der Laufzeit der gebuchten Veranstaltung einschließlich der Karenzzeit bis zur endgültigen Löschung. Eine Kündigung dieses Vertrags allein ist nicht möglich; er endet mit dem Hauptvertrag.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck ist die Bereitstellung einer nicht öffentlichen Fotogalerie für eine Veranstaltung des Veranstalters, einschließlich Upload, Anzeige, Kommentierung, Auslieferung als ZIP-Paket und - sofern gebucht - der Erstellung einer Fotobuch-Druckvorlage.

• •Kategorien betroffener Personen: Gäste der Veranstaltung sowie Personen, die auf hochgeladenen Fotos abgebildet sind
• •Datenarten: Fotos, Bildunterschriften und Kommentare, Vorname und E-Mail-Adresse der Gäste, Zeitpunkt und Nachweis der Einwilligung, technische Verbindungsdaten in gekürzter und gehashter Form
• •Besondere Kategorien nach Art. 9 DSGVO werden nicht gezielt verarbeitet. Fotos können sie im Einzelfall enthalten; darauf hat der Auftragnehmer keinen Einfluss
• •Verarbeitungsvorgänge: Erheben, Speichern, Anzeigen, Bereitstellen zum Download, Löschen

§ 3 Weisungen

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Veranstalters. Die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen, die der Veranstalter in seinem Konto vornimmt - etwa Laufzeit, Freigabepflicht für Fotos, Kommentarfunktion und Löschungen.

Einzelweisungen darüber hinaus erfolgen in Textform an die Kontaktadresse des Auftragnehmers. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung aussetzen.

§ 4 Pflichten des Auftragnehmers

• •Vertraulichkeit: Zum Zugriff berechtigte Personen sind zur Verschwiegenheit verpflichtet; die Verpflichtung besteht über das Ende der Tätigkeit hinaus
• •Sicherheit der Verarbeitung: Der Auftragnehmer trifft die in § 5 beschriebenen Maßnahmen nach Art. 32 DSGVO
• •Unterstützung: Der Auftragnehmer unterstützt den Veranstalter bei Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 32 bis 36 DSGVO
• •Meldung: Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Veranstalter unverzüglich nach Kenntnis, spätestens innerhalb von 24 Stunden, mit allen Angaben, die dieser für seine eigene Meldung nach Art. 33 DSGVO benötigt
• •Keine Zweckentfremdung: Die Daten werden nicht für eigene Zwecke ausgewertet, nicht zu Werbung genutzt und nicht an Dritte weitergegeben

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen sind umgesetzt. Sie werden fortlaufend angepasst; das Schutzniveau darf dabei nicht unterschritten werden.

• •Vertraulichkeit: Die Galerie ist nicht öffentlich. Der Zugang erfolgt über einen zufällig erzeugten Schlüssel im QR-Code; zum Herunterladen und Kommentieren kommt eine über einen Code an die E-Mail-Adresse bestätigte Anmeldung hinzu
• •Trennung: Jede Veranstaltung ist gegen jede andere abgeschottet. Gäste sehen ausschließlich ihre Veranstaltung, Veranstalter ausschließlich ihre eigenen
• •Übertragung: Alle Verbindungen ausschließlich über TLS. Bilder werden nicht offen ausgeliefert, sondern über signierte Adressen mit kurzer Gültigkeit
• •Zugangsdaten: Passwörter werden ausschließlich als scrypt-Hash mit zufälligem Salz gespeichert, niemals im Klartext. Anmeldecodes und Zugangsschlüssel werden nicht protokolliert
• •Datenminimierung: IP-Adressen werden nur als gekürzter HMAC-Hash gespeichert, nicht im Klartext. Von Gästen werden nur Vorname und E-Mail-Adresse erhoben
• •Eingabekontrolle: Einwilligungen werden mit Wortlaut, Version, Prüfsumme und Zeitpunkt nachgewiesen
• •Belastbarkeit: Begrenzung der Zugriffe je Gerät und Zeitfenster gegen automatisiertes Ausprobieren; Begrenzung der Dateigrößen
• •Löschung: Nach Ablauf der gebuchten Laufzeit und einer Karenzzeit werden alle Fotos, Kommentare und Gästedaten automatisch gelöscht - in der Datenbank und im Objektspeicher. Downloadpakete verfallen nach 14 Tagen
• •Ort der Verarbeitung: ausschließlich Server in Deutschland. Keine Übermittlung in Drittländer. Keine Werbe-, Statistik- oder Trackingdienste Dritter

§ 6 Verfügbarkeit und Wiederherstellbarkeit

Der Veranstalter erhält seine Bilder während der Laufzeit automatisch als ZIP-Pakete per E-Mail. Diese Pakete gehören ihm dauerhaft und sind die vorgesehene Sicherung auf seiner Seite; er ist gehalten, sie zu verwahren.

Zusätzlich sichert der Auftragnehmer Datenbank und Bilddateien täglich. Die Sicherung wird verschlüsselt abgelegt, nach 14 Tagen gelöscht und bei jedem Lauf geprüft, indem sie in eine Wegwerf-Datenbank zurückgespielt und gezählt wird; schlägt das fehl, wird gemeldet.

Die Sicherung liegt derzeit auf demselben Server wie die Daten. Sie schützt damit vor Fehlbedienung, fehlerhaften Änderungen und Schäden an der Datenbank, nicht jedoch vor dem vollständigen Verlust des Servers. Der Auftragnehmer weist hierauf ausdrücklich hin, statt eine Fähigkeit zu behaupten, die nicht besteht.

§ 7 Unterauftragnehmer

Der Veranstalter erteilt die allgemeine Genehmigung, die nachfolgend genannten Unterauftragnehmer einzusetzen. Datenbank, Dateispeicher und Mailversand laufen auf demselben Server; weitere Dienstleister sind nicht eingebunden.

• •IONOS SE, Elgendorfer Str. 57, 56410 Montabaur - Betrieb des Servers (Rechenzentrum, Strom, Netz, Hardware) (Deutschland)

§ 7a Wechsel von Unterauftragnehmern

Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragnehmer einzusetzen oder einen bestehenden zu wechseln, teilt er dies mindestens vier Wochen vorher in Textform mit. Der Veranstalter kann innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen; in diesem Fall darf jede Partei den Vertrag zum Zeitpunkt der Umstellung kündigen.

Der Auftragnehmer verpflichtet jeden Unterauftragnehmer auf dieselben Pflichten, die ihn selbst treffen.

§ 8 Rechte betroffener Personen

Die Rechte betroffener Personen sind gegenüber dem Veranstalter geltend zu machen. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser die Anfrage unverzüglich weiter.

Ein Teil der Rechte lässt sich unmittelbar im System ausüben: Gäste können ihre eigenen Fotos jederzeit selbst löschen und ihre Einwilligung über den Link in der Bestätigungsmail widerrufen. Der Veranstalter kann jedes einzelne Foto verbergen oder entfernen.

§ 9 Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage in Textform nach, insbesondere durch aktuelle Beschreibung der Maßnahmen nach § 5.

Der Veranstalter ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist von der Einhaltung zu überzeugen. Kontrollen sind auf das Erforderliche zu beschränken und dürfen den Betrieb nicht unangemessen stören.

§ 10 Löschung und Rückgabe

Nach Ende der Laufzeit löscht der Auftragnehmer alle im Auftrag verarbeiteten Daten automatisch; das Löschdatum steht im Konto des Veranstalters. Eine Rückgabe erfolgt durch die während der Laufzeit zugestellten ZIP-Pakete.

Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht - insbesondere Rechnungen mit Namen und Anschrift des Veranstalters, die nach § 147 AO zehn Jahre aufzubewahren sind, sowie der Nachweis erteilter Einwilligungen für die Dauer möglicher Ansprüche.

§ 11 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen.

Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.