Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien

Auftragsverarbeiter:
Agape GbR
Mirko Cavar, Simone Cavar
Grüner Weg 52
59379 Selm
E-Mail: info@exposea.app

Verantwortlicher: Der bei Exposea registrierte Nutzer (Fotograf), identifiziert über die hinterlegte E-Mail-Adresse und Stammdaten im Konto.

2. Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist die Bereitstellung der SaaS-Plattform Exposea zur Verwaltung und Auslieferung von Fotogalerien an Endkunden des Verantwortlichen. Die Verarbeitung erfolgt für die Dauer des aktiven Nutzungsverhältnisses gemäß AGB und endet mit Kontolöschung.

3. Art und Zweck der Verarbeitung

• Speicherung und Auslieferung von Bilddateien
• Verwaltung von Galerie-Zugängen (Passwort, E-Mail-Gate)
• Aktivitäts-Logging (Downloads, Favoriten, Kommentare)
• Versand transaktionaler E-Mails (Galerie-Benachrichtigungen, Erinnerungen)
• Bereitstellung von Statistik- und Aktivitätsdaten an den Verantwortlichen

4. Art der personenbezogenen Daten

• Bildmaterial der Endkunden des Verantwortlichen (ggf. mit Personenbezug)
• E-Mail-Adressen und Namen von Galeriebesuchern (E-Mail-Gate, Kommentare)
• IP-Adressen und Zeitstempel von Galerie-Zugriffen
• Sitzungs-IDs und technische Metadaten

5. Kategorien betroffener Personen

• Endkunden des Verantwortlichen (z. B. Hochzeitspaare, Porträtkunden, Eventbesucher)
• Auf den Fotos abgebildete Dritte
• Galeriebesucher mit E-Mail-Gate-Registrierung

6. Pflichten des Auftragsverarbeiters

Exposea verpflichtet sich:

• Personenbezogene Daten ausschließlich im Rahmen dokumentierter Weisungen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO)
• Mit der Verarbeitung befasste Personen zur Vertraulichkeit zu verpflichten (lit. b)
• Die in Abschnitt 9 genannten technischen und organisatorischen Maßnahmen einzuhalten (lit. c)
• Den Verantwortlichen bei Wahrnehmung von Betroffenenrechten zu unterstützen (lit. e)
• Bei Datenschutzverletzungen den Verantwortlichen unverzüglich nach Kenntnis, in der Regel innerhalb von 72 Stunden, zu informieren, damit dieser seine Meldepflicht aus Art. 33 DSGVO erfüllen kann (lit. f)
• Daten nach Vertragsende auf Wunsch zu löschen oder zurückzugeben (lit. g)
• Auf Anforderung die zur Erfüllung dieser Pflichten erforderlichen Informationen zur Verfügung zu stellen (lit. h)

7. Pflichten des Verantwortlichen

• Rechtmäßigkeit der Datenerhebung und -bereitstellung sicherstellen (Einwilligungen der abgebildeten Personen, etc.)
• Erforderliche Informations- und Auskunftspflichten gegenüber Betroffenen erfüllen
• Zugangsdaten zum Konto vertraulich behandeln und Mitarbeiter entsprechend schulen
• Galerie-Passwörter sicher an Endkunden übermitteln

8. Genehmigte Subunternehmer (Subprocessoren)

Der Verantwortliche genehmigt mit Annahme dieses AVV den Einsatz folgender Subprocessoren gemäß Art. 28 Abs. 2 DSGVO:

• Cloudflare, Inc. (USA) — Hosting, D1-Datenbank, R2-Speicher, Workers, KV — DPF-zertifiziert
• Resend, Inc. (USA) — Transaktions-E-Mail-Versand — DPF-zertifiziert
• Stripe Payments Europe Ltd. (Irland) / Stripe, Inc. (USA) — Zahlungsabwicklung — DPF-zertifiziert

Die jeweils aktuelle Liste ist unter /subprocessors einsehbar. Exposea informiert den Verantwortlichen mindestens 30 Tage vor Aufnahme oder Wechsel eines Subprocessors per E-Mail. Der Verantwortliche kann der Änderung widersprechen; in diesem Fall steht ihm ein Sonderkündigungsrecht zu. Bis zum Wirksamwerden der Sonderkündigung dürfen die zum Zeitpunkt des Widerspruchs bereits genehmigten Subprocessoren weiter eingesetzt werden. Exposea sichert zu, mit allen eingesetzten Subprocessoren Verträge geschlossen zu haben, die den Anforderungen des Art. 28 DSGVO entsprechen.

9. Technische und organisatorische Maßnahmen (TOMs)

Exposea trifft folgende Maßnahmen gemäß Art. 32 DSGVO:

• Vertraulichkeit: Verschlüsselte Übertragung (TLS 1.3), Passwort-Hashing (PBKDF2), Galerie-Passwörter gehasht, HttpOnly-Session-Cookies, Mandantentrennung auf Datenbankebene
• Integrität: Eingabe-Validierung, Rate-Limiting auf Authentifizierungs-Endpoints, Stripe-Webhook-Signaturprüfung
• Verfügbarkeit: Cloudflare Edge-Replikation, tägliches D1-Backup nach R2 (90 Tage Aufbewahrung), 30-Tage Time-Travel-Restore
• Belastbarkeit: Ausfallsichere Cloudflare-Workers-Architektur, Auto-Scaling am Edge
• Wiederherstellung: Quartalsweiser Restore-Drill, dokumentiert im Operations-Runbook
• Verfahren zur Überprüfung: Automatisierte Tenant-Isolation-Tests in CI, regelmäßige Code-Reviews
• Auftragskontrolle: Verarbeitung ausschließlich nach Weisung, dokumentierte Subprocessoren mit DPA

10. Datenübermittlung in Drittländer

Datenübermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Alle eingesetzten Subprocessoren sind DPF-zertifiziert. Ergänzend sind mit allen US-Subprocessoren EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart, die als Übermittlungsgrundlage fortgelten, falls der Angemessenheitsbeschluss entfallen sollte. Exposea beobachtet die Rechtslage zu Drittlandübermittlungen fortlaufend und dokumentiert die Bewertung der Übermittlungsrisiken (Transfer Impact Assessment) auf Anfrage.

11. Kontroll- und Auskunftsrechte

Der Verantwortliche kann jederzeit per E-Mail an info@exposea.app Auskunft über die Verarbeitung verlangen. Die Nachweispflicht nach Art. 28 Abs. 3 lit. h DSGVO wird primär erfüllt durch: aktuelle Prüfberichte und Zertifizierungen der eingesetzten Subprocessoren (z. B. SOC 2, ISO 27001), die Dokumentation der technischen und organisatorischen Maßnahmen (Abschnitt 9) sowie ergänzende schriftliche Auskünfte. Vor-Ort-Kontrollen sind nur bei begründetem Anlass (z. B. dokumentierte Datenschutzverletzung) zulässig, erfolgen nach Vorankündigung von mindestens 30 Tagen zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs; Kosten trägt der Verantwortliche, sofern keine erheblichen Verstöße festgestellt werden.

12. Löschung und Rückgabe

Nach Beendigung der Auftragsverarbeitung werden alle personenbezogenen Daten unverzüglich, soweit technisch möglich, spätestens jedoch innerhalb von 30 Tagen gelöscht, es sei denn, gesetzliche Aufbewahrungspflichten stehen entgegen. Auf Wunsch des Verantwortlichen erfolgt vor Löschung ein Datenexport (JSON-Format, vollständig).

13. Haftung

Im Verhältnis der Parteien zueinander gilt: Jede Partei haftet für Schäden aus einer Verarbeitung personenbezogener Daten, die durch ihre Verletzung dieses AVV oder der DSGVO verursacht wurden. Wird eine Partei von betroffenen Personen oder Dritten für einen Schaden in Anspruch genommen, den die jeweils andere Partei zu verantworten hat, stellt die verantwortliche Partei die in Anspruch genommene Partei im Innenverhältnis von diesen Ansprüchen frei (entsprechend Art. 82 Abs. 5 DSGVO).

Bußgelder nach Art. 83 DSGVO trägt im Innenverhältnis die Partei, deren Pflichtverletzung dem Bußgeld zugrunde liegt.

Die Haftung von Exposea aus und im Zusammenhang mit diesem AVV ist je Schadensfall und Vertragsjahr begrenzt auf das Dreifache der vom Verantwortlichen im laufenden Vertragsjahr gezahlten Jahresvergütung, mindestens jedoch 5.000 € und höchstens 250.000 €. Diese Begrenzung gilt nicht bei Vorsatz oder grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit sowie für Ansprüche betroffener Personen unmittelbar aus Art. 82 DSGVO.

14. Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen dieses AVV werden mit einer Vorankündigung von mindestens 30 Tagen per E-Mail mitgeteilt; bei Widerspruch besteht ein Sonderkündigungsrecht.