Vertragsparteien

Präambel

Der Auftraggeber nutzt SnapKey zum QR-basierten Sammeln, Übertragen, Speichern, Anzeigen, Freigeben und Löschen von Fotos. Soweit SnapKey dabei personenbezogene Daten im Auftrag verarbeitet, konkretisiert dieser Vertrag die Pflichten der Parteien nach Art. 28 DSGVO. Der Vertrag ergänzt die Nutzungsbedingungen und geht ihnen bei datenschutzrechtlichen Widersprüchen vor.

1. Gegenstand, Dauer und Geltungsbereich

Gegenstand ist die Bereitstellung der für den jeweiligen SnapKey- Fotobereich vereinbarten Funktionen. Der Vertrag beginnt mit der elektronischen Annahme und gilt für die Dauer der Nutzung sowie für anschließende Rückgabe-, Export- und Löschvorgänge. Er endet, wenn SnapKey keine Auftragsdaten mehr verarbeitet, vorbehaltlich gesetzlich erforderlicher Aufbewahrung von Vertrags- und Nachweisdaten.

Der Vertrag gilt für alle Verarbeitungen, bei denen SnapKey als Auftragsverarbeiter tätig wird. Eigene Verarbeitungen von SnapKey zur Vertragsverwaltung, Sicherheit, Missbrauchsabwehr oder Erfüllung gesetzlicher Pflichten bleiben davon unberührt.

2. Weisungen und Verantwortlichkeiten

SnapKey verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers. Als Weisungen gelten insbesondere Einstellungen im Masterbereich, Speicher- und Freigabeentscheidungen sowie in Textform übermittelte Supportanfragen. Dies gilt auch für Übermittlungen in Drittländer oder an internationale Organisationen. Eine gesetzlich verpflichtende Verarbeitung wird dem Auftraggeber vorab mitgeteilt, soweit dies rechtlich zulässig ist.

Hält SnapKey eine Weisung für datenschutzrechtswidrig, wird der Auftraggeber unverzüglich informiert. Die Ausführung darf bis zur Bestätigung oder Änderung ausgesetzt werden. Der Auftraggeber ist für Zweck, Rechtsgrundlage, Transparenz, Zulässigkeit der Inhalte und die Wahrung der Rechte betroffener Personen verantwortlich.

3. Pflichten von SnapKey

• Verarbeitung ausschließlich im vereinbarten Umfang und nach dokumentierter Weisung;
• Verpflichtung zugriffsberechtigter Personen auf Vertraulichkeit;
• Umsetzung und regelmäßige Überprüfung angemessener technischer und organisatorischer Maßnahmen;
• Unterstützung bei Betroffenenrechten unter Berücksichtigung der Art der Verarbeitung;
• Unterstützung bei Pflichten aus Art. 32 bis 36 DSGVO, soweit die erforderlichen Informationen verfügbar sind;
• Weiterleitung unmittelbar eingehender Betroffenen- oder Behördenanfragen, soweit sie Auftragsdaten betreffen;
• Bereitstellung der zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen; und
• unverzügliche Information nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten.

4. Meldung von Datenschutzverletzungen

Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personengruppen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Abhilfemaßnahmen sowie eine Kontaktmöglichkeit. Fehlende Angaben werden ohne unangemessene Verzögerung ergänzt. Der Auftraggeber entscheidet über gesetzliche Meldungen an Aufsichtsbehörden und betroffene Personen.

5. Betroffenenrechte und Unterstützung

SnapKey stellt vorhandene Funktionen für Auskunft, Export, Berichtigung von Einstellungen, Einschränkung, Sperrung und Löschung bereit. Weitere angemessene Unterstützung erfolgt auf dokumentierte Anfrage. SnapKey beantwortet Anfragen betroffener Personen nicht eigenständig, sofern keine gesetzliche Pflicht besteht.

6. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung für die in Anlage 3 genannten Unterauftragsverarbeiter. SnapKey schließt mit ihnen Datenschutzpflichten, die den Anforderungen dieses Vertrags entsprechen, und bleibt im gesetzlichen Umfang für deren Pflichterfüllung verantwortlich.

Geplante Ergänzungen oder Ersetzungen werden grundsätzlich mindestens 14 Tage vorher an die hinterlegte AVV-Kontaktadresse oder über einen gleichwertigen dauerhaften Hinweis mitgeteilt. Der Auftraggeber kann innerhalb dieser Frist aus nachweisbaren Datenschutzgründen widersprechen. Ist keine angemessene Lösung möglich, können die betroffenen Leistungen beendet werden. Dringende Sicherheits- oder Rechtsänderungen dürfen mit kürzerer Frist umgesetzt und werden schnellstmöglich mitgeteilt.

7. Drittlandübermittlungen

Übermittlungen außerhalb des EWR erfolgen nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind. Je nach Empfänger kommen ein Angemessenheitsbeschluss, das EU-US Data Privacy Framework, EU-Standardvertragsklauseln und ergänzende Schutzmaßnahmen in Betracht. Der R2-Speicher für verwaltete Fotos ist auf EU-Jurisdiktion beschränkt; Netzwerk-, Sicherheits- und Supportverarbeitung kann nach den Bedingungen des Infrastrukturbetreibers auch außerhalb des EWR stattfinden.

8. Nachweise und Kontrollen

SnapKey beantwortet zunächst angemessene Fragebögen und stellt vorhandene Vertrags-, Sicherheits- und Anbieterinformationen bereit. Reichen diese Nachweise begründet nicht aus, kann der Auftraggeber nach angemessener Vorankündigung eine verhältnismäßige Prüfung durch eine unabhängige, zur Vertraulichkeit verpflichtete Person verlangen. Prüfungen dürfen Betrieb, Sicherheit und Rechte anderer Kunden nicht beeinträchtigen und finden grundsätzlich höchstens einmal jährlich statt. Anlassbezogene Prüfungen nach einem erheblichen Vorfall oder auf Anordnung einer Behörde bleiben möglich.

9. Rückgabe, Export und Löschung

Nach Ende der Leistungen löscht oder übergibt SnapKey die Auftragsdaten nach Wahl und Weisung des Auftraggebers, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Verwaltete R2-Fotos werden bei bestätigter Projektlöschung oder nach dem angezeigten Aufbewahrungs- und Schonzeitraum entfernt. Technisch bedingte Providerkopien unterliegen den dokumentierten Löschzyklen des Unterauftragsverarbeiters.

Bei einem vom Auftraggeber selbst verbundenen Google-Drive-Konto bleiben dort gespeicherte Dateien unter Kontrolle des Auftraggebers. Das Trennen des Kontos entfernt die bei SnapKey gespeicherten Zugangsdaten, löscht aber nicht automatisch den Inhalt des Kundenkontos. Vertragsnachweise dürfen getrennt und gesperrt aufbewahrt werden, soweit dies zur Erfüllung gesetzlicher Pflichten oder zur Rechtsverteidigung erforderlich ist.

10. Schlussbestimmungen

Änderungen dieses Standardvertrags erfolgen in Textform und mit neuer Versionsnummer. Bereits abgeschlossene Fassungen bleiben als Nachweis unverändert. Es gilt deutsches Recht. Zwingende datenschutzrechtliche Zuständigkeiten und Rechte bleiben unberührt. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam.

Der elektronische Abschluss durch eine vertretungsberechtigte Person dokumentiert die Zustimmung beider Parteien. Eine handschriftliche Unterschrift ist nicht erforderlich, soweit gesetzlich keine strengere Form vorgeschrieben ist.