Stand: 15. Juli 2026
1.1. Die nachfolgenden Bedingungen zur Auftragsverarbeitung dienen als Grundlage zur Erfüllung der datenschutzrechtlichen Vorschriften nach EU-Datenschutzgrundverordnung (nachfolgend DSGVO) und des Bundesdatenschutzgesetzes in der seit dem 25.05.2018 gültigen Fassung (nachfolgend BDSG), wenn und soweit Portraitbox GmbH (nachfolgend Auftragsverarbeiter oder Auftragnehmer genannt), Am Steinhof 4a, 33106 Paderborn, als „Auftragsverarbeiter“ tätig wird.
2.1 Der Gegenstand des Auftrages ergibt sich aus Anlage 1.
2.2 Der Auftragnehmer verarbeitet im Rahmen des Auftrages personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO nur auf der Grundlage dieses Vertrages.
2.3 Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
3.1 Die Dauer des Auftrages ergibt sich aus der Anlage 1.
3.2 Die Laufzeit und Kündigung dieses Vertrags richten sich nach den Bestimmungen zur Laufzeit und Kündigung des Hauptvertrags. Eine Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses Vertrags. Eine isolierte ordentliche Kündigung dieses Vertrags ist ausgeschlossen. Das Recht zur außerordentlichen Kündigung bleibt unberührt.
4.1 Die Art und der Zweck der Vereinbarung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergibt sich aus der Anlage 1 oder aus dem Leistungsverzeichnis des Hauptvertrages (sofern vorliegend und vereinbart).
5.1 Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich. Gleichwohl ist der Auftragnehmer verpflichtet, alle solche Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind, unverzüglich an diesen weiterzuleiten.
5.2 Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
5.3 Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
5.4 Der Auftraggeber ist berechtigt, sich wie unter Nr. 6 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.
5.5 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
5.6 Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.
5.7 Die Weisungsberechtigten des Auftraggebers werden vor Auftragsbeginn in Textform mitgeteilt. Die Weisungsempfänger des Auftragnehmers ergeben sich aus der Anlage 1. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen.
Die Weisungen sind vom Auftraggeber für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
Der Auftragnehmer wird unverzüglich durch den Auftraggeber informiert über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftraggeber ermittelt.
6.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).
6.2 Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt.
6.3 Der Auftragnehmer verpflichtet sich, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen logisch getrennt werden. Die Datenträger, die vom Auftraggeber stammen bzw. für den Auftraggeber genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden dokumentiert.
6.4 Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DSGVO).
6.5 Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird.
6.6 Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen.
6.7 Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber erteilen.
6.8 Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber - nach Terminvereinbarung, im Rahmen der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs- und unter strikter Geheimhaltung von Betriebs- und Geschäftsgeheimnissen des Auftragnehmers - berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom Auftraggeber beauftragte Dritte zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).
6.9 Der Auftragnehmer ist berechtigt, nach eigenem Ermessen unter Berücksichtigung der gesetzlichen Verpflichtungen des Auftraggebers, Informationen nicht zu offenbaren, die sensibel im Hinblick auf die Geschäfte des Auftragnehmers sind oder wenn der Auftragnehmer durch deren Offenbarung gegen gesetzliche oder andere vertragliche Regelungen verstoßen würde. Der Auftraggeber ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragnehmers, zu Informationen hinsichtlich Kosten zu Qualitätsprüfungs- und Vertrags-Managementberichten sowie zu sämtlichen anderen vertraulichen Daten des Auftragnehmers, die nicht unmittelbar relevant für die vereinbarten Kontrollzwecke sind, zu erhalten.
6.10 Der Auftraggeber stimmt den Termin einvernehmlich mit dem Auftragnehmer ab und informiert diesen rechtzeitig (in der Regel mindestens einen Monat vorher) über alle mit der Durchführung der Kontrolle zusammenhängenden Umstände.
6.11 Beauftragt der Auftraggeber einen Dritten mit der Durchführung der Kontrolle, hat der Auftraggeber den Dritten schriftlich ebenso zu verpflichten, wie auch der Auftraggeber gegenüber dem Auftragnehmer verpflichtet ist. Zudem muss sich der Dritte auf Verschwiegenheit und Geheimhaltung gegenüber dem Auftragnehmer verpflichten, es sei denn, dass der Dritte einer beruflichen Verschwiegenheitsverpflichtung unterliegt. Verpflichtet sich der Dritte nicht zur Verschwiegenheit und Geheimhaltung gegenüber dem Auftragnehmer, so kann der Auftragnehmer die Überprüfung durch den Dritten ablehnen.
6.12 Beabsichtigt der Auftraggeber die Kontrolle durch einen Dritten durchführen zu lassen, so teilt er dies dem Auftragnehmer unter Berücksichtigung der vereinbarten Frist (6.10) mit und identifiziert den Dritten in hinreichendem Maße. Der Auftragnehmer hat das Recht den Dritten abzulehnen, sofern dessen Einsatz negative Auswirkungen auf den Geschäftsbetrieb haben könnte, die über den Zeitraum der bloßen Vor-Ort-Kontrolle hinausgeht. Dies ist u.a. dann der Fall, wenn der Dritte ein Konkurrent des Auftragnehmers ist oder Konkurrenten des Auftragnehmers betreut und nicht gesetzlich zur Geheimhaltung verpflichtet ist, er bereits Opfer von Whistleblowing oder dem Verrat von Geschäftsgeheimnissen geworden ist, oder selbst Whistleblowing betrieben oder Geschäftsgeheimnisse verraten hat oder, wenn der Dritte durch lokale Gesetze zur Weitergabe der bei der Kontrolle erlangten Informationen verpflichtet wäre oder zu befürchten ist, dass er selbst ohne Rechtsgrundlage zur Weitergabe der Daten aufgrund anderer Umstände dazu gezwungen werden könnte.
6.13 Der Nachweis von Maßnahmen zur Erfüllung der Pflichten aus Art. 28 DSGVO kann auch erfolgen durch:
die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO,
die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gem. Art 42 DSGVO,
aktuelle Testate Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT- Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder
6.14 Der Auftragnehmer ist verpflichtet, soweit erforderlich, bei diesen Kontrollen unterstützend mitzuwirken.
6.15 Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind. Er verpflichtet sich, auch gemäß Anlage 1 für diesen Auftrag relevanten Geheimnisschutzregeln zu beachten, die dem Auftraggeber obliegen.
6.16 Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragnehmers) ist nur mit vorheriger Zustimmung des Auftraggebers gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, ist vorher der Zugang zur Wohnung des Beschäftigten für Kontrollzwecke des Arbeitgebers vertraglich sicher zu stellen. Die Maßnahmen nach Art. 32 DSGVO sind auch in diesem Fall sicherzustellen.
6.17 Der Auftragnehmer gewährleistet, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit, wie auch nach Beendigung des Beschäftigungsverhältnisses, in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO).
6.18 Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb. Die Beauftragung einer Datenschutzbeauftragten ist gesetzlich nicht notwendig.
7.1 Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO.
7.2 Der Auftragnehmer ist verpflichtet, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder 34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung dieses Vertrages durchführen.
8.1 Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
8.2 Die vertraglich vereinbarten Leistungen bzw. die beschriebenen Teilleistungen werden unter Hinzunahme der in Anlage 2 genannten Unterauftragsverarbeiter durchgeführt. Mit deren Beauftragung erklärt sich der Auftraggeber einverstanden.
8.3 Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung genehmigter Auftragsverarbeiter oder die Verlagerung der Dienstleistung oder Teile jener in ein Drittland, wodurch der Auftraggeber die Möglichkeit erhält, innerhalb von zwei Wochen ab Erhalt dieser Information schriftlich unter Darlegung der Gründe gegen derartige Änderungen Einspruch zu erheben.
8.4 Der Auftragnehmer verpflichtet sich, die besonderen Vorgaben des Art. 44 ff. DSGVO einzuhalten.
8.5 Bei einem Einspruch hat der Auftragnehmer die Wahl, einen anderen Unterauftragnehmer auszuwählen, die Verarbeitung selbst durchzuführen, oder den Hauptvertrag inklusive dieses Vertrages mit zweiwöchiger Frist zum Ende eines Monats zu kündigen.
8.6 Wählt der Auftragnehmer einen neuen Unterauftragnehmer aufgrund des Einspruchs, so teilt er diesen dem Auftraggeber unverzüglich mit. Das Einspruchsrecht des Auftraggebers gilt auch für erneut vorgeschlagene Unterauftragsverarbeiter.
8.7 Der Auftragnehmer hat im Falle einer Beauftragung von anderen Auftragsverarbeitern, im Rahmen der hier vereinbarten Auftragsverarbeitung vertraglich sicherzustellen, dass die vereinbarten Datenschutzpflichten zwischen Auftraggeber und Auftragnehmer gem. Art. 28 Abs. 4 DSGVO auch entsprechend gegenüber den anderen Unterauftragsverarbeitern gelten.
9.1 Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet.
9.2 Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.
9.3 Das im Anlage 3 beschriebene Datenschutzkonzept stellt die Auswahl der technischen und organisatorischen Maßnahmen passend zum ermittelten Risiko unter Berücksichtigung der Schutzziele nach Stand der Technik detailliert und unter besonderer Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse beim Auftragnehmer dar.
9.4 Der Auftragnehmer hat bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art. 32 Abs. 1 lit. d DSGVO). Das Ergebnis samt vollständigem Auditbericht ist dem Auftraggeber auf Anfrage mitzuteilen.
9.6 Soweit die beim Auftragnehmer getroffenen Maßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich.
9.7 Die Maßnahmen beim Auftragnehmer können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten.
9.8 Wesentliche Änderungen muss der Auftragnehmer mit dem Auftraggeber in dokumentierter Form (elektronisch) abstimmen. Solche Abstimmungen sind für die Dauer dieses Vertrages aufzubewahren.
10.1 Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen.
11.1 Auf Art. 82 DSGVO wird verwiesen.
12.1 Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen (auch zu Subunternehmen) sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
12.2 Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich.
12.3 Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen.
12.4 Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
12.5 Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
12.6 Die Anlagen 1-3 sind wesentlicher Vertragsbestandteil.
Zu 2.: Gegenstand dieses Vertrags
DDer Auftraggeber nutzt die Onlinegalerie des Auftragnehmers. Mit Hilfe der Galerie des Auftragnehmers kann der Auftraggeber eine eigene Galerie für seine Kunden und Interessenten bereitstellen.
Zu 3.: Dauer
Der Vertrag wird auf unbestimmte Zeit geschlossen. Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages bzw. der Leistungsvereinbarung.
Zu 4.: Art(en) der personenbezogenen Daten
Folgende Datenarten sind regelmäßig Gegenstand der Verarbeitung:
Zu 4.: Kategorien betroffener Person
Kreis der von der Datenverarbeitung betroffenen Personen:
Zu 5.: Weisungsempfangsberechtigte Personen des Auftragnehmers:
Die Weisungsempfänger des Auftraggebers werden vor Auftragsbeginn per E-Mail mitgeteilt.
Zu 5.: Weisungsempfänger beim Auftragnehmer ist die dortige Geschäftsführung:
| Angaben zum Auftragsverarbeiter |
| Name und Kontaktdaten, natürliche Person/juristische Person/Behörde/Einrichtung etc. |
| Portraitbox GmbH |
| Am Steinhof 4a |
| 33106 Paderborn |
| office@portraitbox.com |
| Angaben zum Vertreter des Auftragsverarbeiters |
| Herrn |
| David Wendt |
| Am Steinhof 4a |
| 33106 Paderborn |
| Name | Anschrift | Auftragsinhalt |
|---|---|---|
| Hetzner Online GmbH | Industriestraße 25 91710 Gunzenhausen |
Hosting |
| IONOS SE | Elgendorfer Str. 57 56410 Montabaur |
Hosting |
| Strato AG | Pascalstraße 10 10587 Berlin |
Hosting |
| Amazon Web Services EMEA SARL | 38 Avenue John F. Kennedy L-1855 Luxemburg |
Hosting |
| Pixelfoto Express FotoCo+ GmbH |
Tübinger Str. 2 01189 Dresden |
Abwicklung der Laboraufträge der Fotostudios |
| Expressphoto / S+K Ortleb GmbH | Am Eichenwald 3 09356 St. Egidien |
Abwicklung der Laboraufträge der Fotostudios |
| Fotoexakt fotocommunity Prints GmbH |
Gartenstr. 24 53229 Bonn |
Abwicklung der Laboraufträge der Fotostudios |
| CD-Suisse Fotolabor GmbH (fotoCharly) | Untere Weidstrasse 26 CH-8820 Wädenswil Schweiz |
Abwicklung der Laboraufträge der Fotostudios |
| Color Drack GmbH & Co KG | Baderstraße 8 A-5620 Schwarzach im Pongau Österreich |
Abwicklung der Laboraufträge der Fotostudios |
| Fotografenwelt Stare Studio Florian Stare |
Mövenstraße 16 84109 Wörth an der Isar |
Abwicklung der Laboraufträge der Fotostudios |
| Brevo GmbH | Köpenicker Straße 126 10179 Berlin |
Newsletterversand |
| CleverReach GmbH & Co. KG | Schafjückenweg 2 26180 Rastede |
Newsletterversand |
| Mailchimp | 675 Ponce De Leon Ave NE, Suite 5000 Atlanta, GA 30308 USA |
Newsletterversand |
| Atlassian. Pty Ltd | Level 6, 341 George Street Sydney NSW 2000 Australien |
Ticketsystem / Dokumentation |
Der Auftragnehmer trifft an seinem Standort Am Steinhof 4a in 33106 Paderborn nachfolgende technische und organisatorische Maßnahmen zur Datensicherheit i.S.d. Art. 32 DSGVO.
Zutrittskontrolle:
Kein unbefugter Zutritt zu Datenverarbeitungsanlagen.
Zweck:
Diese Maßnahmen sollen gewährleisten, dass Unbefugten der „körperliche“ Zutritt zu Datenverarbeitungs-anlagen, mit denen personenbezogene Daten verarbeitet werden, verwehrt wird.
Im Unternehmen getroffene Maßnahmen:
Zugangskontrolle
Kein unbefugter Systemzugang.
Zweck:
Diese Maßnahmen sollen gewährleisten, dass nur befugten Personen die Datenverarbeitungssysteme zugänglich sind und ausschließlich von Ihnen benutzt werden können.
Im Unternehmen getroffene Maßnahmen:
Zugriffskontrolle
Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z. B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen.
Zweck:
Diese Maßnahmen sollen gewährleisten, dass nur die zur Nutzung des Datenverarbeitungssystems Berechtigten den Zugriff auf diese Systeme haben und der Zugriff sich ausschließlich auf diese personenbezogenen Daten beschränkt, die dieser Zugriffsberechtigung unterliegen, so dass Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Im Unternehmen getroffene Maßnahmen:
Trennungskontrolle
Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z. B. Mandantenfähigkeit, Sandboxing;
Zweck:
Zweckbezogene Verarbeitung personenbezogener Daten soll technisch sichergestellt werden, d.h. zu unterschiedlichen Zwecken erhobene Daten sollen auch entsprechend getrennt verarbeitet werden.
Im Unternehmen getroffene Maßnahmen:
Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)
Die Verarbeitung personenbezogener Daten erfolgt in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen;
Weitergabekontrolle
Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, z. B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur;
Zweck:
Diese Maßnahmen sollen gewährleisten, dass Datenträger während ihres Transports oder elektronischer Übertragung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, bzw. soll durch die Maßnahmen überprüft und festgestellt werden können, an welchen Stellen eine Übermittlung personen-bezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Insofern werden die Transport- und Datenträgerkontrollen durch die Weitergabekontrolle zusammengefasst. Im Unternehmen getroffene Maßnahmen:
Eingabekontrolle
Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z. B.: Protokollierung, Dokumentenmanagement;
Zweck:
Durch diese Maßnahmen soll die Nachprüfbarkeit eines Verarbeitungsvorgangs (Eingabe, Änderung, Entfernung) personenbezogener Daten gewährleistet werden, d.h. Urheber, Inhalt und Zeitpunkt der Datenspeicherung sollen ermittelt werden können. Im Unternehmen getroffene Maßnahmen:
Verfügbarkeitskontrolle
Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z. B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne;
Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO);
Zweck:
Es muss sichergestellt sein, dass die personenbezogenen Daten nicht zufällig zerstört werden und vor Verlust geschützt sind.
Es muss gewährleistet sein, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können. Im Unternehmen getroffene Maßnahmen:
Auftragskontrolle
Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DSGVO ohne entsprechende Weisung des Auftraggebers, z. B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.
Zweck:
Der Auftragnehmer hat zu gewährleisten, dass die im Auftrag zu bearbeitenden Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden. Mittelbar damit verbunden ist die Pflicht des Auftraggebers, Weisungen an Auftragnehmer zu erteilen. Im Unternehmen getroffene Maßnahmen:
