1. Parteien und Vertragsabschluss
Auftragnehmer ist Felix Häberle, Einzelunternehmen, Liesenstrasse 3, 10115 Berlin, Deutschland, E-Mail: felix@fotavio.com („Fotavio“). Auftraggeber ist das im Fotavio-Studioaccount bezeichnete Unternehmen („Studio“). Die dort als Inhaber autorisierte Person handelt vertretungsberechtigt für das Studio.
Das Studio nimmt diesen AVV gemeinsam mit den Plattform-AGB durch eine ausdrückliche Clickwrap-Erklärung an. Fotavio speichert Studio, handelnde Person, Zeitpunkt, Quelle sowie Version und SHA-256 von AGB, AVV, TOMs und Unterauftragsverarbeiterregister. Der elektronisch dokumentierte Abschluss erfüllt die Schriftform des Art. 28 Abs. 9 DSGVO.
2. Rollen- und Weisungskette
Fall A – Studio als Verantwortlicher: Entscheidet das Studio selbst über Zwecke und wesentliche Mittel einer Fotoaktion, ist das Studio Verantwortlicher, Fotavio dessen Auftragsverarbeiter und die im Register bezeichneten Anbieter sind Unterauftragsverarbeiter von Fotavio.
Fall B – Studio als Auftragsverarbeiter: Handelt das Studio für eine Schule, Kita, einen Verein, eine Behörde oder einen anderen Kunden ausschließlich nach dessen dokumentierten Weisungen, ist dieser Kunde Verantwortlicher, das Studio Auftragsverarbeiter, Fotavio weiterer Auftragsverarbeiter (Unterauftragsverarbeiter des Studios) und die im Register bezeichneten Anbieter bilden die nächste Unterauftragsstufe. Das Studio sichert zu, zu dieser Beauftragung und zur Weitergabe der Weisungen befugt zu sein.
Für Studioaccount-, Vertrags-, Abrechnungs-, Missbrauchsabwehr- und eigene Supportdaten handelt Fotavio als eigener Verantwortlicher. Stripe handelt für regulierte Zahlungs-, Betrugspräventions- und Compliance-Zwecke regelmäßig eigenständig bzw. gemeinsam verantwortlich; Google handelt beim freiwilligen OAuth-Login nach seinen Bedingungen eigenständig. Diese eigenverantwortlichen Vorgänge sind keine Verarbeitung im Auftrag unter diesem AVV.
3. Gegenstand und Dauer
Gegenstand ist die Bereitstellung der Fotavio-SaaS für Projektanmeldung, Einwilligungen, Foto-Upload und Metadatenbereinigung, QR-/Barcode-Zuordnung, private Galerien, Shop und Bestellung, Kommunikation, Zahlungsanbindung, Produktions- und Versandexport, Sicherheit, Auditierung, Support sowie Betroffenenrechte. Die Verarbeitung beginnt mit Aktivierung des Studioaccounts und endet nach Vertragsende mit der vom Studio gewählten Rückgabe oder Löschung gemäß Abschnitt 13.
4. Betroffene Personen und Daten
Betroffen sind insbesondere Kinder, Schüler:innen, Teilnehmende, Eltern, Sorgeberechtigte, Familienmitglieder, Käufer:innen, Empfänger:innen sowie autorisierte Studio- und Organisationsmitglieder. Verarbeitet werden Stamm- und Kontaktdaten, Geburtsdatum, Gruppe/Klasse, Projektcodes, Formularangaben, Einwilligungen und Widerrufe, Foto- und Vorschaudateien, bereinigte Metadaten, Zuordnungen, Galerieberechtigungen, Produkt-, Bestell-, Liefer-, Rechnungs- und Zahlungsreferenzen, Nachrichten- und Zustellangaben sowie minimierte Sicherheits-, Audit-, Lösch- und Nachweisdaten.
Besondere Kategorien personenbezogener Daten dürfen nicht über freie Felder erhoben werden, solange keine dokumentierte Rechtsgrundlage, Erforderlichkeit, Risikoprüfung und ausdrückliche Freigabe durch Fotavio vorliegt. Fotavio verwendet Studioinhalte nicht für Werbung, Gesichtserkennung, biometrische Identifizierung oder Training eigener KI-Modelle.
5. Dokumentierte Weisungen
Fotavio verarbeitet Daten nur auf dokumentierte Weisung des Studios oder aufgrund des vom Studio weitergegebenen Auftrags seines Verantwortlichen. Als Weisungen gelten insbesondere Projektkonfiguration, Rollen, Freigaben, Aufbewahrungs- und Löschregeln, Nachrichtenaufträge und dokumentierte Supportanweisungen. Fotavio informiert unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und setzt sie bis zur Klärung aus.
Ist Fotavio aufgrund des Rechts der Union oder eines Mitgliedstaats zu einer abweichenden Verarbeitung verpflichtet, teilt Fotavio dem Studio diese Pflicht vor der Verarbeitung mit, sofern das betreffende Recht eine Mitteilung nicht aus wichtigem öffentlichen Interesse verbietet.
6. Pflichten des Studios
Das Studio bleibt für Rechtmäßigkeit, Transparenz, Rechtsgrundlage, Einwilligungs- und Bildrechte, Datenminimierung, Projektfristen und die Rechtmäßigkeit seiner Weisungen verantwortlich. Es veröffentlicht vor der Erhebung vollständige Projektinformationen, prüft unsichere Zuordnungen vor Freigabe, bearbeitet Widerrufe und Betroffenenrechte und verwaltet Studiozugänge sowie angebundene Labor- und Versandpartner.
7. Pflichten von Fotavio
Fotavio bindet alle zugriffsberechtigten Personen an Vertraulichkeit, setzt die veröffentlichten TOMs um, beschränkt Zugriff nach Erforderlichkeit, unterstützt das Studio bei Betroffenenrechten, Sicherheitsbewertungen, Datenschutz-Folgenabschätzungen und Behördenanfragen und stellt geeignete Nachweise bereit. Fotavio berichtigt, sperrt, exportiert, löscht oder gibt Daten nach dokumentierter Weisung zurück.
8. Sicherheit und Vertraulichkeit
Die Technischen und organisatorischen Maßnahmen in ihrer bei Annahme gehashten Fassung sind Vertragsbestandteil. Änderungen sind zulässig, wenn das Schutzniveau nicht sinkt. Zugriffe folgen Mandantentrennung, Rollen und dem Need-to-know-Prinzip; Notzugriffe sind zweckgebunden, zeitlich begrenzt und protokolliert.
9. Unterauftragsverarbeiter
Das Studio erteilt die allgemeine Genehmigung für die im Unterauftragsverarbeiterregister mit Status „eingesetzt“ aufgeführten Anbieter. Das Register nennt Vertragseinheit, Anschrift, Dienst, Zweck, Datenkategorien, betroffene Personen, Verarbeitungsorte, Drittlandgarantien und Belegquellen. Nicht als Unterauftragsverarbeiter klassifizierte Empfänger werden dort gesondert erläutert.
Fotavio informiert mindestens 30 Tage vor Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters. Das Studio kann aus nachvollziehbaren Datenschutzgründen innerhalb dieser Frist widersprechen. Fotavio sucht eine zumutbare Alternative; ist keine möglich, können die betroffene Funktion oder der Vertrag beendet werden. Fotavio verpflichtet Unterauftragsverarbeiter mindestens gleichwertig und bleibt für deren Leistung nach Art. 28 Abs. 4 DSGVO verantwortlich.
10. Drittlandübermittlungen
Übermittlungen außerhalb von EU/EWR erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien, insbesondere EU-Standardvertragsklauseln, ergänzt um eine Transferprüfung und erforderliche zusätzliche Maßnahmen. Eine EU-Primärregion ist keine Zusage ausschließlich europäischer Verarbeitung. Fotavio stellt auf Anfrage die maßgeblichen Garantien oder eine verständliche Zusammenfassung bereit.
11. Betroffenenrechte und Behörden
Fotavio ordnet Anfragen zu Studioinhalten unverzüglich dem Studio zu und unterstützt mit Export-, Berichtigungs-, Einschränkungs- und Löschfunktionen. Ohne Weisung beantwortet Fotavio sie nicht inhaltlich für das Studio, soweit keine gesetzliche Pflicht besteht. Fotavio unterstützt das Studio bei Konsultationen und Prüfungen durch Aufsichtsbehörden.
12. Datenschutzverletzungen
Fotavio informiert das Studio unverzüglich nach Kenntnis einer Verletzung des Schutzes von Auftragsdaten und liefert fortlaufend die verfügbaren Angaben zu Art, Zeitpunkt, Systemen, Kategorien, ungefährer Zahl Betroffener und Datensätze, wahrscheinlichen Folgen und Maßnahmen. Der jeweils Verantwortliche entscheidet über Meldungen nach Art. 33 und 34 DSGVO; Fotavio unterstützt die Bewertung und Beweissicherung.
13. Wahlrecht bei Vertragsende
Das Studio weist Fotavio bis zum Vertragsende an, sämtliche Auftragsdaten entweder in einem strukturierten, gängigen Format zurückzugeben und anschließend zu löschen oder ohne Rückgabe zu löschen. Fehlt eine Weisung, stellt Fotavio zunächst einen Export bereit und löscht die aktiven Daten nach 30 Tagen. Fotavio sorgt dafür, dass Unterauftragsverarbeiter vorhandene Kopien entsprechend löschen.
Eine Speicherung nach diesem Zeitpunkt erfolgt nur, soweit Unions- oder Mitgliedstaatenrecht sie verlangt. Betroffene Daten werden dann getrennt, gesperrt und ausschließlich zur Erfüllung der Pflicht verarbeitet. Rollierende Backups laufen innerhalb der dokumentierten Backupfrist aus; Löschlisten werden nach einer Wiederherstellung erneut angewandt. Fotavio stellt einen Abschlussnachweis ohne Nutzinhalte bereit.
14. Nachweise und Audits
Fotavio stellt dem Studio alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit und ermöglicht angemessene Audits einschließlich Inspektionen durch das Studio oder einen fachkundigen, unabhängigen, vertraulich gebundenen Prüfer. Vorhandene Zertifikate, Prüfberichte, Tests und TOM-Nachweise sollen zuerst verwendet werden. Audits dürfen Sicherheit und Rechte anderer Mandanten nicht gefährden; bei einem von Fotavio verursachten wesentlichen Verstoß trägt Fotavio die angemessenen Prüfungskosten.
15. Rangfolge, Laufzeit und Änderungen
Dieser AVV gilt für die Dauer jeder Verarbeitung im Auftrag. Bei Widersprüchen geht er einschließlich TOMs und Register den Plattform-AGB vor, soweit Auftragsverarbeitung betroffen ist. Änderungen werden versioniert; eine wesentliche Änderung bedarf einer erneuten aktiven Zustimmung. Vertraulichkeit, Nachweis, Löschung und gesetzliche Aufbewahrung wirken fort.