Auftragsverarbeitungsvertrag

§1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten der Gäste des Auftraggebers durch weddingsuite im Auftrag und nach Weisung des Auftraggebers im Rahmen des digitalen Event-Album-Dienstes auf weddingsuite.de.

(2) Die Verarbeitung erfolgt für die Dauer des Hauptvertrags (Nutzungsvertrag über das gebuchte Paket). Nach Ablauf der Speicherdauer oder bei vorzeitiger Kündigung endet die Verarbeitung automatisch.

(3) Auftragnehmer ist:

(4) Auftraggeber ist der jeweilige Kunde, der auf weddingsuite.de ein Album gebucht und diesen AVV im Bestellprozess akzeptiert hat.

§2 Art, Zweck und Kategorien der Verarbeitung

(1) Art der Verarbeitung: Erhebung, Speicherung, Anzeige, Übermittlung (Download durch Auftraggeber), und Löschung personenbezogener Daten im Rahmen des digitalen Event-Album-Dienstes.

(2) Zweck der Verarbeitung: Betrieb eines digitalen Fotoalbums, in dem Gäste des Auftraggebers Fotos und Videos hochladen, ansehen und teilen können.

(3) Kategorien personenbezogener Daten:

• Fotos und Videos (hochgeladen von Gästen oder dem Auftraggeber)
• Name des Gastes (vom Gast freiwillig angegeben, „uploaded_by_name“)
• IP-Adresse der hochladenden Person (zum Schutz vor Missbrauch)
• Upload-Zeitstempel
• Gästebuch-Einträge (sofern aktiviert)
• Reaktionen auf Medien (Emoji-Reaktionen, sofern aktiviert)

§3 Betroffene Personen

Die Verarbeitung betrifft folgende Kategorien betroffener Personen:

• Gäste des Auftraggebers (Veranstaltungsbesucher, die über den QR-Code oder den Album-Link Medien hochladen)
• Der Auftraggeber selbst (soweit er ebenfalls Medien in das Album hochlädt)

§4 Pflichten des Auftragnehmers (weddingsuite)

(1) Weisungsgebundenheit: weddingsuite verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, eine rechtliche Verpflichtung erfordert eine anderweitige Verarbeitung. Hauptsächliche Weisungen sind in den AGB und den Konfigurationsmöglichkeiten im Dashboard niedergelegt.

(2) Vertraulichkeit: weddingsuite stellt sicher, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Technische und organisatorische Maßnahmen: weddingsuite trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die konkreten TOMs sind in § 7 dieses AVV beschrieben.

(4) Unterauftragsverarbeiter: weddingsuite darf Unterauftragsverarbeiter einsetzen, soweit diese in § 6 dieses AVV aufgeführt sind oder dem Auftraggeber vorher mitgeteilt wurden. weddingsuite kündigt den Einsatz neuer Subauftragsverarbeiter mindestens 14 Tage vorher per E-Mail an den Auftraggeber an. Der Auftraggeber kann gegen den Einsatz eines neuen Unterauftragsverarbeiters schriftlich Einspruch erheben.

(5) Meldepflicht bei Datenpannen: Bei Verletzungen des Schutzes personenbezogener Daten informiert weddingsuite den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls, per E-Mail. Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien, betroffene Personen, wahrscheinliche Folgen und ergriffene Maßnahmen.

(6) Löschung nach Auftragsende: Nach Ablauf der Speicherdauer oder auf Wunsch des Auftraggebers löscht weddingsuite alle für den Auftraggeber verarbeiteten personenbezogenen Daten automatisch und unwiderruflich. Eine Rückgabe auf einem Datenträger ist technisch nicht vorgesehen; der Auftraggeber kann Daten über die Download-Funktion im Dashboard selbst sichern.

(7) Unterstützung bei Betroffenenrechten: weddingsuite unterstützt den Auftraggeber soweit möglich bei der Erfüllung von Anfragen betroffener Personen (Art. 15–22 DSGVO) sowie bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO.

§5 Pflichten des Auftraggebers (Kunde)

(1) Hinweispflicht: Der Auftraggeber ist verpflichtet, seine Gäste vor oder bei der Nutzung des Albums in geeigneter Weise über die Verarbeitung ihrer personenbezogenen Daten zu informieren (z. B. durch Aushängen des Datenschutzhinweises, einen mündlichen Hinweis oder einen Hinweis in der Veranstaltungseinladung). weddingsuite stellt hierfür einen druckfertigen Datenschutzhinweis-Aufsteller zum Download im Dashboard bereit.

(2) Rechtmäßigkeit der Verarbeitung: Der Auftraggeber gewährleistet, dass die Verarbeitung personenbezogener Daten seiner Gäste auf einer geeigneten Rechtsgrundlage (z. B. Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO oder berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO) beruht.

(3) Datensicherung: Der Auftraggeber ist verantwortlich dafür, die für ihn wichtigen Medien vor Ablauf der Speicherdauer über die Download-Funktion zu sichern.

(4) Keine eigene Weiterverarbeitung: Der Auftraggeber darf die heruntergeladenen Daten nur für die im Rahmen des Hauptvertrags vorgesehenen Zwecke nutzen und hat dabei selbst die Vorgaben der DSGVO einzuhalten.

(5) Verantwortung für Gäste-Uploads: Der Auftraggeber ist als datenschutzrechtlich Verantwortlicher für die Verarbeitung der personenbezogenen Daten seiner Gäste im Sinne der DSGVO verantwortlich. Er ist insbesondere verpflichtet, seine Gäste vor der Nutzung des Albums in geeigneter Weise über die Verarbeitung ihrer personenbezogenen Daten zu informieren — beispielsweise durch den von weddingsuite bereitgestellten Datenschutzhinweis-Aufsteller, einen Hinweis in der Veranstaltungseinladung oder einen mündlichen Hinweis. weddingsuite handelt ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO und übernimmt keine Verantwortung für die Rechtmäßigkeit der durch Gäste hochgeladenen Inhalte.

§6 Genehmigte Subauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz folgender Subauftragsverarbeiter:

§7 Technische und Organisatorische Maßnahmen (TOMs)

weddingsuite trifft folgende Maßnahmen gemäß Art. 32 DSGVO zum Schutz der verarbeiteten personenbezogenen Daten:

§8 Schlussbestimmungen

(1) Dieser AVV ist Bestandteil des Nutzungsvertrags zwischen dem Kunden und weddingsuite. Im Konfliktfall hat der AVV Vorrang vor allgemeinen Bestimmungen der AGB, soweit datenschutzrechtliche Regelungen betroffen sind.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, Grevenbroich.

(3) Änderungen an diesem AVV werden dem Auftraggeber per E-Mail oder durch einen persönlichen Hinweis im Dashboard mitgeteilt. Bei wesentlichen Änderungen wird eine neue Zustimmung eingeholt.

(4) Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden in diesem Fall eine wirksame Ersatzregelung vereinbaren, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommt.