Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (nachfolgend: „Vertrag" oder „AVV") wird gemäß Art. 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 (nachfolgend: „DSGVO") geschlossen zwischen:

§ 1. Vertragsparteien

Auftraggeber (Verantwortlicher):

Der Fotograf, der ein Konto im Dienst Picvelo besitzt und durch die bei der Registrierung und in den Kontoeinstellungen angegebenen Daten identifiziert wird (Firmenname oder Vor- und Nachname, E-Mail-Adresse, Abrechnungsdaten)

nachfolgend: „Auftraggeber" oder „Verantwortlicher"

sowie

Auftragsverarbeiter:

Name: Jakub Ciepielowski Kontakt: [email protected]

nachfolgend: „Auftragsverarbeiter" oder „Picvelo"

Der Auftraggeber und der Auftragsverarbeiter werden gemeinsam als „Parteien" bezeichnet.

[!info] Dieser Vertrag bildet Anlage 1 zu den Allgemeinen Geschäftsbedingungen von Picvelo und kommt mit der Annahme dieser Bedingungen durch den Fotografen (den Auftraggeber) zustande. Als Datum des Vertragsschlusses gilt das Datum der Registrierung des Kontos oder das Datum der Annahme der jeweils aktuellen Fassung der Bedingungen.

§ 2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

2.1 Gegenstand

Gegenstand dieses Vertrages ist die Beauftragung des Auftragsverarbeiters durch den Verantwortlichen mit der Verarbeitung personenbezogener Daten der Endkunden des Verantwortlichen im Zusammenhang mit der Erbringung der Leistungen der Plattform Picvelo, also der Speicherung von Fotogalerien und ihrer Bereitstellung an Endkunden zur Auswahl.

2.2 Dauer

Der Vertrag gilt für die Dauer des vom Verantwortlichen abgeschlossenen Picvelo-Abonnements und, soweit die Pflicht zur Löschung oder Rückgabe der Daten betroffen ist, bis zur Bestätigung ihrer dauerhaften Löschung oder Rückgabe, längstens jedoch 90 Tage nach dem Ende des Abonnements.

2.3 Art der Verarbeitung

Die Verarbeitung erfolgt automatisiert (IT-Systeme von Picvelo) und auf Weisung des Verantwortlichen. Der Auftragsverarbeiter trifft keine eigenständigen Entscheidungen über den Zweck der Verarbeitung.

2.4 Zweck der Verarbeitung

• Speicherung und Anzeige von Fotogalerien für Endkunden
• Ermöglichung der Fotoauswahl und des Hinterlassens von Notizen durch Endkunden
• Versand von E-Mail-Benachrichtigungen an Endkunden (sofern der Verantwortliche diese Funktion aktiviert)
• Technische Abwicklung der Betrachtungssitzung und Absicherung des Zugangs zur Galerie

§ 3. Kategorien personenbezogener Daten

Der Auftragsverarbeiter verarbeitet im Namen des Verantwortlichen die folgenden Kategorien personenbezogener Daten:

3.1 Vom Verantwortlichen angegebene Daten

• Vor- und Nachname oder Pseudonym des Endkunden (sofern der Verantwortliche sie eingegeben hat)
• E-Mail-Adresse des Endkunden (sofern der Verantwortliche sie angegeben hat)
• Anmeldedaten des Endkunden für die Galerie: Benutzername und Passwort. Das Passwort wird als bcrypt-Hash gespeichert (zur Überprüfung der Anmeldung) sowie zusätzlich als umkehrbar verschlüsselte Kopie, die der Verantwortliche im Panel einsehen kann, um sie an den Endkunden weiterzugeben

3.2 Bei der Nutzung der Galerie automatisch erzeugte Daten

• IP-Adresse und weitere technische Daten (HTTP-Header, Sitzungskennung)
• Informationen über die ausgewählten Fotos (Liste der IDs der markierten Aufnahmen)
• Notizen, die der Endkunde zu den Fotos hinterlassen hat
• Zeitstempel der Aktivität und des Abschlusses der Auswahl

3.3 Besondere Kategorien von Daten

Die anvertrauten Daten umfassen keine besonderen Kategorien von Daten im Sinne von Art. 9 DSGVO (Gesundheits-, biometrische, genetische Daten und Ähnliches), es sei denn, der Verantwortliche vertraut dem Auftragsverarbeiter solche Daten bewusst und gezielt an. In diesem Fall übernimmt der Verantwortliche die Verantwortung dafür, eine geeignete Rechtsgrundlage sicherzustellen.

[!warning] Die vom Verantwortlichen hochgeladenen Fotos können Abbildungen von Personen enthalten (personenbezogene Daten im Sinne der DSGVO). Der Verantwortliche ist dafür verantwortlich, alle erforderlichen Einwilligungen einzuholen oder eine andere Rechtsgrundlage für die Verarbeitung dieser Abbildungen nachzuweisen.

§ 4. Kategorien betroffener Personen

• Endkunden des Verantwortlichen, natürliche Personen, denen der Verantwortliche einen Link zur Galerie zur Verfügung gestellt hat (z. B. Brautpaare, Kunden von Fotosessions, Geschäftskunden)
• Auf den Fotos abgebildete Personen, natürliche Personen, deren Abbild auf den in der Galerie gespeicherten Aufnahmen zu sehen ist

§ 5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich zu:

5.1 Verarbeitung ausschließlich auf Weisung

Verarbeitung personenbezogener Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Konfiguration der Galerien, der Zugriffsrechte und der Einstellungen für Endkunden durch den Verantwortlichen im Picvelo-Panel stellt eine dokumentierte Weisung im Sinne von Art. 28 Abs. 3 lit. a DSGVO dar.

Verlangt geltendes Unionsrecht oder polnisches Recht vom Auftragsverarbeiter eine Verarbeitung zu einem anderen Zweck, informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung darüber, sofern dieses Recht eine solche Information nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Sicherstellung der Vertraulichkeit

Sicherstellung, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5.3 Anwendung von Sicherheitsmaßnahmen

Umsetzung und Aufrechterhaltung technischer und organisatorischer Maßnahmen (TOM) gemäß Art. 32 DSGVO, die in Anlage 2 zu diesem Vertrag ausführlich beschrieben sind.

5.4 Unterstützung des Verantwortlichen

Unterstützung des Verantwortlichen, soweit möglich, bei der Erfüllung der Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 15 bis 22 DSGVO), unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen.

5.5 Unterstützung bei Art. 32 bis 36 DSGVO

Unterstützung des Verantwortlichen bei der Erfüllung der in Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit, Meldung von Verletzungen, Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter verfügbaren Informationen.

5.6 Löschung oder Rückgabe der Daten

Nach Abschluss der Erbringung der Leistungen, nach Wahl des Verantwortlichen, Löschung oder Rückgabe sämtlicher personenbezogener Daten sowie Löschung vorhandener Kopien, sofern nicht Unionsrecht oder polnisches Recht die Speicherung dieser Daten vorschreibt.

5.7 Bereitstellung von Informationen

Bereitstellung aller Informationen an den Verantwortlichen, die zum Nachweis der Einhaltung der in diesem Paragrafen genannten Pflichten erforderlich sind, sowie Ermöglichung und aktive Unterstützung von Überprüfungen und Inspektionen gemäß § 11.

§ 6. Unterauftragsverarbeitung (weitere Beauftragung)

6.1 Allgemeine Genehmigung und Liste der Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Inanspruchnahme der in Anlage 1 zu diesem Vertrag genannten Unterauftragsverarbeiter.

Die aktuelle Liste der Unterauftragsverarbeiter ist öffentlich unter /subprocessors verfügbar und bildet einen integralen Bestandteil der Anlage 1.

6.2 Benachrichtigung über Änderungen

Der Auftragsverarbeiter informiert den Verantwortlichen über alle beabsichtigten Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage vor der Änderung. Der Verantwortliche hat das Recht, solchen Änderungen innerhalb von 14 Tagen nach Erhalt der Benachrichtigung zu widersprechen.

Legt der Verantwortliche einen begründeten Widerspruch ein und erzielen die Parteien keine Einigung, kann der Verantwortliche den Vertrag (und das Abonnement) ohne zusätzliche Kosten beenden.

6.3 Verantwortung für Unterauftragsverarbeiter

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten durch den Unterauftragsverarbeiter voll verantwortlich.

§ 7. Ort der Verarbeitung und Übermittlungen außerhalb des EWR

7.1 Primärer Standort

Die Datenbank und die Anwendung laufen auf Servern von OVH SAS in Frankreich (Europäischer Wirtschaftsraum). Fotodateien (Originale, Vorschauen, Miniaturansichten) können im Objektspeicherdienst Cloudflare R2 sowie auf dem Hosting-Server gespeichert werden.

7.2 Übermittlungen außerhalb des EWR

Einige Unterauftragsverarbeiter verarbeiten Daten außerhalb des EWR (überwiegend in den USA). Jede solche Übermittlung erfolgt auf Grundlage geeigneter Rechtsmechanismen:

Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über alle Änderungen der Übermittlungsmechanismen zu informieren.

§ 8. Technische und organisatorische Maßnahmen (TOM)

Eine ausführliche Beschreibung der von Picvelo angewendeten Sicherheitsmaßnahmen enthält Anlage 2 zu diesem Vertrag.

Zusammenfassung der wichtigsten Maßnahmen:

• Verschlüsselung bei der Übertragung: TLS 1.2+ (HTTPS) für alle Verbindungen, HSTS
• Verschlüsselung im Ruhezustand: sensible Daten (E-Mail-Adressen, 2FA-Geheimnisse, Zugangspasswörter zu Galerien) werden auf Datenbankebene verschlüsselt
• Passwort-Authentifizierung: bcrypt-Hashes
• Zugriffskontrolle: Rollentrennung auf Anwendungsebene (Inhaber, Fotograf, Teammitglied, Kunde), Grundsatz der minimalen Berechtigungen; optionale 2FA für Fotografenkonten
• Anwendungsschutz: CSP, CSRF-Schutz, SQL Prepared Statements, HTTP-Sicherheitsheader
• Audit: Zugriffs- und Änderungsprotokolle werden 90 Tage aufbewahrt
• Sicherungskopien: automatische Backups der Datenbank mit einer Aufbewahrung von 30 Tagen
• Monitoring: automatische Erkennung von Anomalien und Fehlern (Sentry)
• Verfahren: Monitoring und Warnmeldungen für eine schnelle Reaktion auf Vorfälle; eine Kopie der Datenbank vor jedem Deployment und automatisches Zurückrollen eines fehlgeschlagenen Deployments

§ 9. Unterstützung bei der Wahrnehmung der Rechte betroffener Personen

Wendet sich ein Endkunde oder eine andere betroffene Person unmittelbar an den Auftragsverarbeiter mit einem Antrag auf Wahrnehmung der Rechte aus der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung und Ähnliches), wird der Auftragsverarbeiter:

1. Den Verantwortlichen innerhalb von 5 Werktagen nach Eingang über einen solchen Antrag informieren
2. Von einer eigenständigen Beantwortung des Antrags absehen, es sei denn, der Verantwortliche ermächtigt den Auftragsverarbeiter zum Handeln
3. Dem Verantwortlichen die technische Unterstützung leisten (z. B. Datenexport, Bestätigung des Verarbeitungsumfangs), die für eine fristgerechte Beantwortung des Antrags erforderlich ist

§ 10. Verletzungen des Schutzes personenbezogener Daten (Breach Notification)

10.1 Meldepflicht

Wird eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO festgestellt, benachrichtigt der Auftragsverarbeiter den Verantwortlichen ohne unnötige Verzögerung, spätestens innerhalb von 72 Stunden nach Feststellung der Verletzung.

10.2 Inhalt der Benachrichtigung

Die Benachrichtigung enthält, soweit die Informationen verfügbar sind:

• Eine Beschreibung der Art der Verletzung (Kategorien der Daten, ungefähre Zahl der Personen und Datensätze)
• Kontaktdaten für die Einholung weiterer Informationen
• Eine Beschreibung der wahrscheinlichen Folgen der Verletzung
• Eine Beschreibung der vom Auftragsverarbeiter ergriffenen oder geplanten Maßnahmen zur Behebung der Verletzung

Stehen nicht alle Informationen gleichzeitig zur Verfügung, können sie schrittweise übermittelt werden.

10.3 Dokumentation

Der Auftragsverarbeiter dokumentiert alle Verletzungen des Schutzes personenbezogener Daten einschließlich ihrer Folgen und der ergriffenen Abhilfemaßnahmen und stellt diese Dokumentation dem Verantwortlichen auf Verlangen zur Verfügung.

§ 11. Überprüfung

11.1 Recht auf Überprüfung

Der Verantwortliche hat das Recht, Überprüfungen oder Inspektionen durchzuführen (selbst oder durch einen beauftragten Dritten), um die Einhaltung dieses Vertrages und der DSGVO durch den Auftragsverarbeiter zu überprüfen. Eine Überprüfung erfolgt nach vorheriger schriftlicher Ankündigung gegenüber dem Auftragsverarbeiter mit einer Frist von mindestens 14 Tagen.

11.2 Alternative: Berichte und Zertifikate

Der Auftragsverarbeiter kann eine vollständige Überprüfung durch die Vorlage aktueller Berichte über Prüfungen akkreditierter externer Stellen oder durch Zertifikate (z. B. ISO 27001) ersetzen oder ergänzen, sofern er über solche verfügt.

11.3 Kosten

Die Kosten der Überprüfung auf Seiten des Verantwortlichen trägt der Verantwortliche. Ergibt die Überprüfung einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen Vertrag, trägt der Auftragsverarbeiter die Kosten der Überprüfung.

§ 12. Rückgabe und Löschung der Daten

12.1 Nach Beendigung des Vertrages

Nach dem Ende der Leistungserbringung (Beendigung des Abonnements) wird der Auftragsverarbeiter auf Verlangen des Verantwortlichen:

• Alle vom Verantwortlichen anvertrauten personenbezogenen Daten innerhalb von 90 Tagen nach dem Ende des Abonnements löschen, oder
• Dem Verantwortlichen einen Datenexport im JSON-Format übergeben (eigenständig über das Panel im Bereich Datenexport oder auf schriftliches Verlangen, das vor Ablauf der 90-Tage-Frist gestellt wird)

12.2 Sicherungskopien

Die Daten können beim Auftragsverarbeiter für einen zusätzlichen Zeitraum verbleiben, der sich aus dem Rotationszyklus der Sicherungskopien ergibt (max. 30 Tage nach Ablauf der 90-Tage-Frist). Danach werden sie dauerhaft gelöscht.

12.3 Bestätigung der Löschung

Auf Verlangen des Verantwortlichen stellt der Auftragsverarbeiter eine schriftliche Bestätigung der dauerhaften Löschung der Daten aus.

§ 13. Schlussbestimmungen

13.1 Vorrang

In den durch diesen Vertrag nicht geregelten Bereichen gelten die Bestimmungen der Allgemeinen Geschäftsbedingungen von Picvelo. Bei Widersprüchen zwischen dem Vertrag und diesen Bedingungen hat im Bereich des Schutzes personenbezogener Daten dieser Vertrag Vorrang.

13.2 Änderungen

Alle Änderungen dieses Vertrages bedürfen der Schriftform (die E-Mail gilt für die Zwecke dieses Vertrages als Schriftform) und werden nach Annahme durch beide Parteien wirksam. Picvelo kann den AVV im Wege einer Benachrichtigung des Verantwortlichen mit einer Frist von mindestens 30 Tagen aktualisieren.

13.3 Anwendbares Recht

Der Vertrag unterliegt polnischem Recht. In nicht geregelten Angelegenheiten finden die Vorschriften der DSGVO, des polnischen Zivilgesetzbuches (Kodeks Cywilny) und die einschlägigen Vorschriften des polnischen Rechts Anwendung.

13.4 Streitbeilegung

Streitigkeiten aus diesem Vertrag werden die Parteien innerhalb von 30 Tagen einvernehmlich beizulegen versuchen. Kommt keine Einigung zustande, ist das für den Sitz des Auftragsverarbeiters (Jakub Ciepielowski) zuständige Gericht zuständig.

Anlage 1: Liste der Unterauftragsverarbeiter

Die nachstehende Liste stellt die nach Art. 28 Abs. 2 DSGVO erforderliche Offenlegung der Unterauftragsverarbeiter dar, die von Jakub Ciepielowski zur Verarbeitung der von Verantwortlichen anvertrauten personenbezogenen Daten ermächtigt sind.

[!info] Der SMTP-Anbieter kann von jedem Fotografen individuell konfiguriert werden (eigener SMTP-Server oder externer Anbieter). In diesem Fall ist der Fotograf als Verantwortlicher dafür zuständig, die Vereinbarkeit des gewählten Anbieters mit der DSGVO zu prüfen.

Die aktuelle Fassung dieser Liste ist stets verfügbar unter: /subprocessors

Anlage 2: Technische und organisatorische Maßnahmen (TOM)

Gemäß Art. 32 DSGVO hat Jakub Ciepielowski die folgenden technischen und organisatorischen Maßnahmen umgesetzt:

A. Verschlüsselung und Schutz der Daten bei der Übertragung

• HTTPS/TLS 1.2+ für alle Verbindungen zum Dienst (verpflichtend, HTTP wird umgeleitet)
• HSTS (HTTP Strict Transport Security)
• SSL-Zertifikate, verwaltet von Cloudflare und automatisch erneuert

B. Verschlüsselung und Schutz der Daten im Ruhezustand

• Passwörter der Fotografen werden als bcrypt-Hashes gespeichert; Passwörter der Endkunden als bcrypt-Hash zuzüglich einer umkehrbar verschlüsselten Kopie, die dem Verantwortlichen zugänglich ist (siehe § 3.1)
• 2FA-Schlüssel (TOTP-Geheimnisse) werden verschlüsselt gespeichert
• Kontaktdaten (E-Mail-Adressen der Fotografen und Kunden) werden in der Datenbank verschlüsselt

C. Zugriffskontrolle

• Rollentrennung auf Anwendungsebene (Inhaber, Fotograf, Teammitglied mit eingeschränkten Rechten, Endkunde)
• Grundsatz der minimalen Berechtigungen, jede Rolle im System hat ausschließlich Zugriff auf die notwendigen Ressourcen
• Serverzugriff ausschließlich über SSH-Schlüssel, beschränkt auf den Inhaber des Dienstes
• Sitzungsverwaltung, sichere PHP-Sitzungen mit Rotation der Sitzungs-ID nach der Anmeldung

D. Anwendungsschutz

• Prepared Statements (PDO), Schutz vor SQL Injection
• CSRF-Token, in jedem Formular und jeder zustandsändernden Anfrage
• Content Security Policy (CSP), Schutz vor XSS
• HTTP-Sicherheitsheader, X-Frame-Options, X-Content-Type-Options, Referrer-Policy

E. Audit und Monitoring

• Zugriffsprotokolle werden 90 Tage aufbewahrt (Nginx- und Anwendungsprotokolle)
• Audit-Protokolle wesentlicher Vorgänge (Aktivitätsjournal) werden 90 Tage aufbewahrt
• Fehler-Monitoring (Sentry), automatische Benachrichtigung über Anomalien
• Warnmeldungen über kritische Anwendungsfehler in Echtzeit

F. Sicherungskopien und Betriebskontinuität

• Automatische Backups der Datenbank mit einer Aufbewahrung von 30 Tagen; zusätzliche Kopie der Datenbank vor jedem Deployment
• Fotodateien werden in einem Objektspeicher mit hoher Beständigkeit abgelegt (Cloudflare R2)
• Wiederherstellung, Verfahren zur Wiederherstellung aus einer Sicherungskopie; ein fehlgeschlagenes Deployment wird automatisch zurückgerollt (Smoke-Test und Rollback)
• Verfügbarkeitsmonitoring, automatische Warnmeldungen bei Nichtverfügbarkeit des Dienstes

G. Organisation und Verfahren

• Zugriff auf die Infrastruktur und auf Produktivdaten ist auf den Inhaber des Dienstes beschränkt; jede zu den Daten zugelassene Person unterliegt einer Vertraulichkeitsverpflichtung
• Reaktion auf Vorfälle, Fehler-Monitoring und Warnmeldungen in Echtzeit
• Schwachstellenkontrolle, automatische statische Codeanalyse und Prüfung der Abhängigkeiten auf Schwachstellen bei jeder Codeänderung (CI)

Dieses Dokument wurde auf Grundlage der Rechtslage zum 2026-05-26 erstellt. Letzte Aktualisierung: 2026-05-26.