Vertrag zur Auftragsverarbeitung

1. Parteien und Gegenstand

Verantwortlicher ist das jeweils registrierte Fotostudio. Auftragsverarbeiter ist SmartLab 35, Inhaber Santiago Ramirez Sonntag. Gegenstand ist die Verarbeitung personenbezogener Daten bei Bereitstellung der cheezee-Plattform für die Dauer des SaaS-Vertrags zuzüglich erforderlicher Abwicklungsfristen.

2. Art, Zweck, Daten und Betroffene

Die Verarbeitung umfasst Hosting, Speicherung, Galerie- und Bestellbereitstellung, Mail-Workflows, Shootingverwaltung, technische Bildverarbeitung, gegebenenfalls Gesichtszuordnung, Support, Sicherung und Löschung.

Betroffen sein können Studioangestellte, Eltern, Sorgeberechtigte, Kinder und Familienangehörige. Datenarten umfassen Kontakt-, Kinder-, Bild-, Referenz-, Merkmals-, Buchungs-, Bestell-, Kommunikations-, Einwilligungs- und Protokolldaten.

3. Weisung, Vertraulichkeit und Sicherheit

cheezee verarbeitet Auftragsdaten nur auf dokumentierte Weisung, verpflichtet berechtigte Personen zur Vertraulichkeit und setzt angemessene Maßnahmen nach Art. 32 DSGVO um. Dazu gehören Rollen- und Mandantentrennung, sichere Passwörter, TLS, geschützte Secrets, Protokollierung, Backups und getestete Cross-Tenant-Isolation. Datenbank und Object Storage werden laut TOM-Anlage an einem EU-Standort betrieben.

4. Unterauftragsverarbeiter und Drittlandtransfer

Der Einsatz der in Anlage 2 benannten Unterauftragsverarbeiter erfolgt aufgrund allgemeiner Genehmigung. Neue oder ersetzte Anbieter werden mindestens 14 Tage vorher elektronisch angekündigt; aus begründeten datenschutzrechtlichen Gründen kann widersprochen werden.

Vorgesehen sind Hetzner für Hosting und Object Storage sowie Stripe Payments Europe für Zahlungsabwicklung und Connect. Stripe ist mit Ort und Transfergrundlage EU ausgewiesen; die genaue Hetzner-Einheit und Region müssen im kundenspezifischen Vertrag ergänzt werden.

5. Unterstützung, Vorfälle und Audits

cheezee unterstützt bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Pflichten nach Art. 32 bis 36 DSGVO. Datenschutzvorfälle werden unverzüglich mit den verfügbaren Informationen gemeldet. Nachweise werden vorrangig durch Dokumentation, Zertifikate oder Prüfberichte erbracht.

6. Vertragsende und Löschung

Auftragsdaten werden nach Ende der Verarbeitung nach dokumentierter Weisung gelöscht oder zurückgegeben, soweit keine gesetzliche Pflicht entgegensteht. Der Fotograf bestimmt insbesondere die Bereitstellungsdauer gekaufter Bilder. Backupkopien laufen innerhalb der dokumentierten Rotation aus; Löschmarker werden nach einer Wiederherstellung erneut angewandt.