Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)[cite: 3]

§ 1 Gegenstand und Dauer des Auftrags

1. Gegenstand: Der Auftragnehmer erbringt für den Auftraggeber die folgenden Leistungen: Hosting und Betrieb einer öffentlichen Bilddatenbank mit Registrierungs- und Account-Verwaltung, Datenbank-Hosting[cite: 3].
2. Dauer: Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages über die vorgenannten Dienstleistungen[cite: 3].

§ 2 Gegenstand und Zweck der Verarbeitung, Datenkategorien und Betroffene

1. Gegenstand und Zweck der Verarbeitung: Die Verarbeitung personenbezogener Daten dient ausschließlich dem Betrieb, der Bereitstellung und der Wartung der oben genannten Bilddatenbank-Plattform[cite: 3].
2. Kategorien personenbezogener Daten:
   • Registrierungs- und Accountdaten (z. B. E-Mail-Adresse, Benutzername, Passwort-Hashes)[cite: 3]
   • Inhaltsdaten (z. B. hochgeladene Bilder, Bildbeschreibungen)[cite: 3]
   • Server-Logfiles und Metadaten (z. B. IP-Adresse, Datum/Uhrzeit des Zugriffs, Browserdaten)[cite: 3]
3. Kategorien betroffener Personen: Registrierte Nutzer und Besucher der Bilddatenbank[cite: 3].

§ 3 Pflichten des Auftragnehmers

1. Weisungsgebundenheit: Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den schriftlichen oder dokumentierten Weisungen des Auftraggebers[cite: 3].
2. Vertraulichkeit: Der Auftragnehmer garantiert, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen[cite: 3].
3. Datengeheimnis: Alle Personen, die auf die Daten des Auftraggebers zugreifen können, sind auf das Datengeheimnis verpflichtet[cite: 3].

§ 4 Technische und organisatorische Maßnahmen (TOMs)

1. Der Auftragnehmer sichert zu, die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten[cite: 3].
2. Dazu gehören insbesondere Maßnahmen zur Gewährleistung von:
   • Vertraulichkeit (Zutritts-, Zugangs- und Zugriffskontrolle)[cite: 3]
   • Integrität (Weitergabe- und Eingabekontrolle)[cite: 3]
   • Verfügbarkeit und Belastbarkeit der Systeme (Verfügbarkeitskontrolle, Backup-Konzepte)[cite: 3]
   • Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Maßnahmen[cite: 3].

§ 5 Inanspruchnahme weiterer Auftragsverarbeiter (Subunternehmer)

1. Der Auftragnehmer darf weitere Auftragsverarbeiter (Subunternehmer) nur mit vorheriger schriftlicher oder dokumentierter Zustimmung des Auftraggebers hinzuziehen[cite: 3].
2. Der Auftragnehmer verpflichtet sich, dem Subunternehmer dieselben Datenschutzpflichten aufzuerlegen, die in diesem Vertrag festgelegt sind[cite: 3].

§ 6 Rechte und Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen verantwortlich[cite: 3].
2. Der Auftraggeber hat das Recht, die Einhaltung der Vorschriften zum Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer im angemessenen Umfang selbst zu kontrollieren oder durch Dritte kontrollieren zu lassen[cite: 3].

§ 7 Unterstützungspflichten des Auftragnehmers

1. Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei der Beantwortung von Anträgen von Betroffenen (z. B. Auskunft, Löschung) im Rahmen von Art. 12–22 DSGVO[cite: 3].
2. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenpannen, Datenschutz-Folgenabschätzung)[cite: 3].

§ 8 Löschung und Rückgabe von Daten

1. Nach Abschluss der Erbringung der Verarbeitungsleistungen oder nach Beendigung des Hauptvertrages ist der Auftragnehmer verpflichtet, alle im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers entweder zu löschen oder zurückzugeben, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht[cite: 3].

§ 9 Schlussbestimmungen

1. Sollten einzelne Teile dieser Vereinbarung unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen dadurch nicht berührt[cite: 3].
2. Es gilt das Recht der Bundesrepublik Deutschland[cite: 3].