Version 2026-08-vorab · Stand: August 2026 · Vorab-Fassung — eine anwaltlich geprüfte Endfassung wird mit Versionsvermerk veröffentlicht; bereits erteilte Zustimmungen bleiben protokolliert.
Präambel
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten aus dem Nutzungsverhältnis über die Plattform „Snapdeck" zwischen dem Fotografen als Verantwortlichem (Art. 4 Nr. 7 DSGVO) und der Czysz LTD, Archiepiskopou Makariou III 59, MOUYIAS Tower, 3rd Floor, Flat/Office 301, 6017 Larnaca, Zypern, als Auftragsverarbeiterin (Art. 4 Nr. 8, Art. 28 DSGVO). Der Abschluss erfolgt in elektronischer Form über das Zustimmungsverfahren des Onboardings (Art. 28 Abs. 9 DSGVO); die Zustimmung wird versioniert protokolliert.
§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten der Endkunden des Fotografen im Rahmen der Bereitstellung der Plattform (Hosting, Speicherung, Galerie-Auslieferung, Bestell- und Kommunikationsabwicklung). Die Dauer entspricht der Laufzeit des Nutzungsvertrags; nach dessen Ende gilt § 10.
§ 2 Art, Zweck und Ort der Verarbeitung
Erhebung, Speicherung, Anzeige, Übermittlung und Löschung der in § 3 genannten Daten ausschließlich zur Erbringung der Plattform-Leistungen. Die Kernverarbeitung (Datenbank und Bild-Speicher) erfolgt in der EU (Region Frankfurt); einzelne Unterauftragsverarbeiter mit Drittlandbezug sind in § 7 genannt.
§ 3 Datenkategorien und betroffene Personen
- Eltern/Endkunden: Name, Kontaktdaten, Anmelde-, Bestell- und Zahlungsreferenzdaten, Einwilligungsnachweise (inkl. IP/Zeitstempel), Download-Nachweise.
- Kinder: Name, Einrichtung/Gruppe, Fotografien, optionale freiwillige Referenzfotos. Kinderdaten sind besonders schutzbedürftig; beide Parteien tragen dem durch erhöhte Sorgfalt Rechnung (Art. 8, Erwägungsgrund 38 DSGVO).
- Team-Mitglieder des Fotografen: Name, E-Mail, Rollen- und Aktivitätsdaten.
Klarstellung KI/Biometrie: Die Plattform führt keine automatisierte Gesichtserkennung und keine biometrische Identifizierung durch. Referenzfotos dienen ausschließlich der manuellen Sichtzuordnung durch den Fotografen. Die verarbeiteten Daten werden von der Auftragsverarbeiterin nicht zum Training von KI-Modellen verwendet.
§ 4 Weisungsrecht
Die Auftragsverarbeiterin verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Plattform-Funktionen gilt als Weisung. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, informiert sie den Verantwortlichen unverzüglich.
§ 5 Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
§ 6 Technische und organisatorische Maßnahmen (TOMs)
- Verschlüsselung bei Übertragung (TLS) und Speicherung (at rest)
- Mandantentrennung auf Datenbankebene (Row Level Security auf allen Tabellen), private Speicher-Buckets, signierte, zeitlich begrenzte Download-URLs
- Wasserzeichen auf allen Vorschaubildern; Originale werden nur nach Kauf ausgeliefert
- Rollen- und Rechtekonzept, persönliche Accounts, Zwei-Faktor-fähige Authentifizierung, Bot-Schutz
- Protokollierung sicherheitsrelevanter Zugriffe (u. a. Download-Nachweise, Support-Zugriffe, Admin-Aktionen)
- Tägliche Backups, mehrfach redundante Sicherung, EU-Region
- Regelmäßige Sicherheitsüberprüfungen und Dependency-Audits
§ 7 Unterauftragsverarbeiter
Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO — allgemeine schriftliche Genehmigung):
- Supabase (Datenbank, Auth, Bild-Speicher) — Server EU-Frankfurt
- Vercel Inc. (Hosting/CDN) — USA, EU-Standardvertragsklauseln
- Resend, Inc. (E-Mail-Versand) — USA, EU-Standardvertragsklauseln
- Stripe Payments Europe Ltd. (Zahlungsabwicklung) — Irland
- Cloudflare, Inc. (Bot-Schutz „Turnstile", Auslieferung von Sammel-Downloads via R2, EU-Jurisdiktion konfiguriert) — USA/EU, EU-Standardvertragsklauseln
- Druckdienstleister (nur bei Print-Bestellungen; das vom Fotografen gewählte Labor, z. B. Profotonet B.V., Niederlande, auf Grundlage des eigenen Labor-Vertrags des Fotografen) — Übermittlung von Bilddatei, Empfängeradresse und Bestellreferenz
- Anthropic (nur falls KI-Assistenz im Hilfe-Center aktiv; keine Endkundendaten des Fotografen erforderlich) — USA, EU-Standardvertragsklauseln
Über beabsichtigte Änderungen informiert die Auftragsverarbeiterin in Textform mit mindestens 30 Tagen Vorlauf; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
§ 8 Support-Zugriff
Support-Mitarbeiter der Auftragsverarbeiterin dürfen zur Fehleranalyse zeitlich begrenzt (Standard 24 Stunden, automatischer Ablauf) auf den Account zugreifen. Jeder Zugriff erfordert eine dokumentierte Begründung, wird revisionssicher protokolliert und dem Verantwortlichen während des Zugriffs sichtbar angezeigt. Der Zugriff ist Teil der Auftragsverarbeitung nach diesem Vertrag.
§ 9 Unterstützung des Verantwortlichen
Die Auftragsverarbeiterin unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei Meldepflichten. Verletzungen des Schutzes personenbezogener Daten werden dem Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, gemeldet (zur Wahrung der 72-Stunden-Frist aus Art. 33 DSGVO).
§ 10 Löschung und Rückgabe
Nach Ende des Nutzungsvertrags stellt die Auftragsverarbeiterin dem Verantwortlichen die Daten 30 Tage lang zum Export bereit. Anschließend werden alle personenbezogenen Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
§ 11 Nachweise und Kontrollen
Die Auftragsverarbeiterin stellt alle zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung (u. a. TOMs-Dokumentation, Subprozessoren-Liste, Verarbeitungsverzeichnis-Auszüge) und ermöglicht — nach Vorankündigung und unter Wahrung von Betriebsgeheimnissen — angemessene Überprüfungen.
§ 12 Haftung, Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO sowie ergänzend die Haftungsregelung der Plattform-AGB. Bei Widersprüchen zwischen diesem AVV und den Plattform-AGB geht dieser AVV in datenschutzrechtlichen Fragen vor.