Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

1. Einleitung, Geltungsbereich, Definitionen

1.1 FOS als Auftragsverarbeiter oder Unterauftragsverarbeiter

Dies ist ein Auftragsverarbeitungsvertrag (AVV) zwischen dem Fotografen (nachfolgend „Fotograf“) und der Fotografen Online Service GmbH, Hausvogteiplatz 12, 10117 Berlin (nachfolgend „FOS“).

Der Fotograf agiert entweder direkt als Verantwortlicher gegenüber der betroffenen Person. Der Begriff „Verantwortlicher“ ist in der DSGVO wie folgt definiert: „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Sofern der Fotograf die Einwilligung zur Verarbeitung von personenbezogenen Daten direkt bei der betroffenen Person einholt (oder im Falle von Minderjährigen in der Schul- und Kindergartenfotografie von deren Erziehungsberechtigten) oder die personenbezogenen Daten direkt auf Grundlage einer der übrigen Buchstaben des Art. 6 Abs. 1 DSGVO erhebt, agiert er als Verantwortlicher. FOS ist in diesem Fall als Auftragsverarbeiter des Fotografen zu qualifizieren. Dies ist zum Beispiel bei folgenden Sachverhalten der Fall, wobei die Fallbeispiele keinesfalls abschließend sind:

• Die Erziehungsberechtigten einer/s Minderjährigen unterzeichnen korrekt ausgefüllte QR-Karten und willigen in die Teilnahme der/s Minderjährigen am Fototag und den Verkauf von Fotos ein, 
• Die Erziehungsberechtigten einer/s Minderjährigen melden die/den Minderjährige(n) über einen Aushang in der Einrichtung zum Fototag an,
• Die Erziehungsberechtigten einer/s Minderjährigen melden die/den Minderjährige(n)  mittels Online-Formular zum Fototag an.
• Eine volljährige Person willigt mittels konkludenten Verhaltens in die Erstellung von Fotos ihrer Person und den Verkauf dieser Fotos ein,
• Die betroffene Person willigt im Onlineshop des Fotografen in die Verwendung personenbezogener Daten zum Versand von E-Mail-Erinnerungen ein.

Alternativ agiert der Fotograf als Auftragsverarbeiter. Der Begriff „Auftragsverarbeiter“ wird innerhalb der DSGVO wie folgt definiert: „Auftragsverarbeiter“ ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Sofern der Fotograf personenbezogene Daten auf Grundlage eines mit einem Auftraggeber (beispielsweise einer Schule) geschlossenen Auftragsverarbeitungsvertrages verarbeitet, agiert der Auftraggeber als Verantwortlicher, der Fotograf als Auftragsverarbeiter und FOS als Unterauftragsverarbeiter.

1.2 Geltungsbereich und Definitionen

Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen FOS, Mitarbeiter von FOS oder durch FOS beauftragte Subunternehmer (Unterauftragsverarbeiter) personenbezogene Daten, welche FOS von dem Fotografen erhält, in dessen Auftrag verarbeiten.

In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in Art. 4 der DSGVO zu verstehen. Erklärungen im Rahmen dieses Vertrages können, soweit nicht ausdrücklich eine strengere Form vorgeschrieben ist, in Textform (§ 126b BGB), einschließlich per Email abgegeben werden. Kündigungserklärungen bedürfen der Textform.

Im Falle von Widersprüchen oder Unstimmigkeiten zwischen diesem Vertrag und dem Hauptvertrag, gehen die Bestimmungen dieses Vertrages vor.

2. Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand

Die Verarbeitung erfolgt auf Grundlage des zwischen FOS und dem Fotografen geschlossenen Vertrages („Hauptvertrag“), der zustande kommt, wenn der Fotograf ein Nutzerkonto auf der Webseite von FOS erstellt (www.fotograf.de für Fotografen in Deutschland bzw. www.gotphoto.at für Fotografen in Österreich) und die jeweils gültigen Allgemeinen Geschäftsbedingungen von FOS akzeptiert.

Der Hauptvertrag regelt die Erbringung von Leistungen durch FOS gegenüber dem Fotografen. Der Fotograf kann diese Leistungen nutzen, um eigene Kunden zu bedienen (z.B. Abwicklung von Bestellungen oder Produktion und Versand von Fotoprodukten). Soweit in diesem Vertrag nichts Abweichendes geregelt ist, handelt FOS bei der Verarbeitung personenbezogener Daten im Rahmen dieses Vertrages als (Unter-) Auftragsverarbeiter.

2.2 Dauer

Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages.

3. Verarbeitungsdetails

Art und Zweck der Verarbeitung, Arten personenbezogener Daten und Kategorien betroffener Personen sind in Annex 1 (Verarbeitungsdetails) beschrieben.

4. Pflichten von FOS

4.1 FOS verarbeitet personenbezogene Daten ausschließlich im Rahmen der vertraglichen Vereinbarungen sowie auf dokumentierte Weisung des Fotografen, sofern FOS nicht durch gesetzliche Vorschriften zu einer darüber hinausgehenden Verarbeitung verpflichtet ist. In einem solchen Fall informiert FOS den Fotografen vorab über die entsprechenden gesetzlichen Anforderungen, sofern das Gesetz eine solche Mitteilung nicht untersagt. 

4.2 FOS ist mit den einschlägigen datenschutzrechtlichen Vorschriften vertraut. 

4.3 FOS stellt sicher, dass alle Personen, die Zugriff auf personenbezogene Daten haben, zur Vertraulichkeit verpflichtet sind. 

4.4 FOS unterstützt den Fotografen unter Berücksichtigung der Art der Verarbeitung und der FOS zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten. Die Unterstützung erfolgt durch Bereitstellung relevanter Informationen über die üblichen Kommunikationskanäle von FOS (z.B. Kundensupport, Dokumentation, Website).

4.5 Sofern der Fotograf Anfragen von betroffenen Personen erhält, unterstützt FOS den Fotografen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung solcher Anfragen, soweit die Auftragsverarbeitung von Daten betroffen ist.

4.6 FOS wird auf Anfragen von betroffenen Personen oder Dritten grundsätzlich nicht direkt antworten, es sei denn, dies ist gesetzlich erforderlich oder erfolgt auf Weisung des Fotografen. FOS informiert den Fotografen über entsprechende Anfragen unverzüglich, soweit der betreffende Fotograf anhand der in der Anfrage enthaltenen oder FOS ohne unverhältnismäßigen Aufwand zur Verfügung stehenden Informationen identifiziert werden kann. FOS ist nicht verpflichtet, die Identität des Anfragenden zu überprüfen, die Berechtigung der Anfrage zu bewerten oder zusätzliche Nachforschungen zur Identifizierung des betreffenden Fotografen anzustellen.

4.7 Die Verarbeitung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Eine Verlagerung in ein Drittland darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. 

5. Technische und organisatorische Maßnahmen

5.1 FOS ergreift technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.

5.2 Die zum Zeitpunkt des Vertragsschlusses unter https://www.fotograf.de/avv-anlagen beschriebenen Datensicherheitsmaßnahmen gelten. Diese Maßnahmen definieren das von FOS einzuhaltende Mindestschutzniveau.

5.3 FOS ist berechtigt, die technischen und organisatorischen Maßnahmen von Zeit zu Zeit anzupassen, sofern das durch die Maßnahmen gewährleistete Schutzniveau nicht wesentlich unterschritten wird. Die jeweils aktuelle Version der technischen und organisatorischen Maßnahmen wird dem Fotografen zur Verfügung gestellt, beispielsweise über die Website von FOS. 

5.4 FOS stellt sicher, dass die im Rahmen dieses Vertrags verarbeiteten personenbezogenen Daten von anderen Daten getrennt werden. Eine logische Trennung der Daten ist ausreichend. 

6. Berichtigung, Löschung und Einschränkung der Verarbeitung

6.1 FOS wird personenbezogene Daten nur im Einklang mit diesem Vertrag oder auf dokumentierte Weisung des Fotografen berichtigen, löschen oder in der Verarbeitung einschränken. 

6.2 FOS wird dokumentierte Weisungen des Fotografen befolgen, es sei denn, FOS ist der Auffassung, dass eine Weisung gegen geltendes Recht verstößt. In diesem Fall wird FOS den Fotografen unverzüglich darüber informieren.

7. Unterauftragsverarbeitung

7.1 Der Fotograf erteilt FOS eine allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern für die Verarbeitung personenbezogener Daten im Rahmen dieses Vertrags, einschließlich Unterauftragsverarbeitern in Drittländern. FOS bleibt für die Erfüllung der Verpflichtungen seiner Unterauftragsverarbeiter nach Maßgabe dieses Vertrags verantwortlich.

7.2 FOS führt eine jeweils aktuelle Liste der Unterauftragsverarbeiter mit Angaben zu Name, Anschrift und Verarbeitungstätigkeiten, die unter https://www.fotograf.de/avv-anlagen abrufbar ist. Mit Abschluss dieses Vertrages erkennt der Fotograf die dort aufgeführten Unterauftragsverarbeiter an.

7.3 FOS ist berechtigt, Unterauftragsverarbeiter jederzeit hinzuzuziehen oder zu ersetzen. FOS wird die Liste entsprechend aktualisieren und den Fotografen über Änderungen über ein globales Kommunikationsmittel innerhalb des FOS-Systems  (z.B. Newsfeed) oder auf andere geeignete Weise informieren.

7.4 Der Fotograf kann der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters aus berechtigten datenschutzrechtlichen Gründen innerhalb von vierzehn (14) Tagen nach Information gemäß Ziffer 7.3 widersprechen. Im Falle eines Widerspruches ist der Fotograf berechtigt, den Vertrag gemäß den vertraglichen Bestimmungen zu kündigen.

7.5 FOS stellt sicher, dass Unterauftragsverarbeiter vertraglich Datenschutzpflichten unterliegen, die mindestens dem in diesem Vertrag vereinbarten Schutzniveau entsprechen. 

7.6 Der Fotograf kann von FOS Informationen zu den von Unterauftragsverarbeitern implementierten Datenschutzmaßnahmen verlangen. Soweit erforderlich und angemessen, stellt FOS entsprechende Unterlagen, Zusammenfassungen oder Nachweise Dritter (z.B. Prüfberichte oder Zertifizierungen) zur Verfügung.

7.7 FOS wählt Unterauftragsverarbeiter sorgfältig unter Berücksichtigung ihrer technischen und organisatorischen Maßnahmen sowie ihrer Fähigkeit zur Einhaltung der geltenden Datenschutzvorschriften aus.

7.8 FOS ist berechtigt, Unterauftragsverarbeiter in Drittländern einzusetzen. In diesem Fall stellt FOS sicher, dass geeignete Garantien im Sinne der DSGVO implementiert werden, insbesondere durch Abschluss der EU-Standardvertragsklauseln, soweit und sofern eine Übermittlung personenbezogener Daten in ein Drittland im Rahmen der Unterauftragsverarbeitung erfolgt. FOS wird diese Verpflichtung auch gegenüber seinen Unterauftragsverarbeitern vertraglich festlegen.

8. Rechte und Pflichten des Fotografen

8.1 Der Fotograf, oder sofern der Fotograf selbst als Auftragsverarbeiter tätig wird, der jeweilige Verantwortliche, ist dafür zuständig, dass die Verarbeitung personenbezogener Daten im Einklang mit den geltenden gesetzlichen Vorschriften erfolgt und die Rechte der betroffenen Personen gewahrt werden.

8.2 Der Fotograf stellt sicher, dass für die Verarbeitung personenbezogener Daten eine gültige Rechtsgrundlage nach den anwendbaren gesetzlichen Vorschriften besteht. Soweit die Verarbeitung auf einer Einwilligung beruht, ist diese vom Fotografen einzuholen. Sofern es sich bei der betroffenen Person um eine minderjährige Person handelt, hat der Fotograf, soweit gesetzlich erforderlich, die Einwilligung der Erziehungsberechtigten einzuholen. 

8.3 FOS stellt dem Fotografen auf Anfrage alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der Verpflichtungen aus diesem Vertrag und den anwendbaren Datenschutzvorschriften nachzuweisen. Dies umfasst insbesondere Dokumentationen, Zusammenfassungen der technischen und organisatorischen Maßnahmen sowie relevante Zertifizierungen oder Prüfberichte Dritter.

8.4 Stellt der Fotograf auf Grundlage konkreter und dokumentierter Anhaltspunkte fest, dass die gemäß Ziffer 8.3 bereitgestellten Informationen nicht ausreichen, um die Einhaltung der Verpflichtungen nachzuweisen, kann der Fotograf zusätzliche Informationen und Nachweise verlangen. FOS kann solchen Anfragen insbesondere durch die Bereitstellung aktueller Zertifizierungen, Prüfberichte oder sonstiger Nachweise Dritter nachkommen. Prüfungen erfolgen vorrangig durch die Bereitstellung von Unterlagen und mittels Fernzugriff unter besonderer Berücksichtigung der Art der Leistungen, der Nutzung cloudbasierter Infrastruktur und einer dezentralen Arbeitsorganisation durch FOS.

8.5 Vor-Ort-Prüfungen finden nur statt, wenn sie zur Überprüfung der Einhaltung zwingend erforderlich sind und nicht auf andere Weise angemessen durchgeführt werden können. Solche Prüfungen bedürfen einer angemessenen vorherigen Ankündigung, unterliegen Vertraulichkeitsverpflichtungen sowie einer Abstimmung hinsichtlich des Umfangs und Zeitpunkts, erfolgen während der üblichen Geschäftszeiten und sind so durchzuführen, dass der Geschäftsbetrieb von FOS nicht unangemessen beeinträchtigt wird.

8.6 Abweichend von Ziffer 8.5. kann der Fotograf eine Vor-Ort-Prüfung ohne vorherige Ankündigung oder mit verkürzter Ankündigungsfrist verlangen, wenn er konkrete Tatsachen darlegen kann, die den begründeten Verdacht eines wesentlichen Verstoßes gegen diesen Vertrag oder gegen anwendbare Datenschutzvorschriften rechtfertigen oder, soweit eine solche Prüfung nach geltendem Recht oder auf Anordnung einer zuständigen Aufsichtsbehörde erforderlich ist. Dieses Recht besteht nur, soweit eine vorherige Ankündigung den Zweck der Prüfung voraussichtlich vereiteln würde. Der Umfang einer solchen Prüfung ist auf das zur Untersuchung des betreffenden Risikos, Vorfalls oder vermuteten Verstoßes zwingend erforderliche Maß zu beschränken. Der Fotograf wird FOS die Gründe für die Prüfung mitteilen, sobald dies nach den Umständen zumutbar möglich ist.

9. Mitteilungspflichten

9.1 FOS informiert den Fotografen unverzüglich, nachdem FOS von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat. Die Mitteilung enthält, soweit verfügbar die in Art. 33 Abs. 3 DSGVO genannten Informationen und kann stufenweise erfolgen, sobald weitere Informationen verfügbar werden. 

9.2 FOS unterstützt den Fotografen bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO. Diese Unterstützung beschränkt sich auf die von FOS im Auftrag des Fotografen durchgeführten Verarbeitungstätigkeiten sowie auf die FOS in diesem Zusammenhang zur Verfügung stehenden Informationen.

10. Weisungen

10.1 Der Fotograf kann im Rahmen dieses Vertrages Weisungen zur Verarbeitung personenbezogener Daten erteilen.

10.2 Weisungen sind grundsätzlich in Textform (z.B. per E-Mail an eine von FOS benannte Kontaktadresse) zu erteilen. In dringenden Fällen können Weisungen auch in anderer Form erteilt werden, sofern sie vom Fotografen unverzüglich in Textform bestätigt werden. 

10.3 FOS informiert den Fotografen unverzüglich, wenn FOS der Auffassung ist, dass eine Weisung gegen geltendes Recht verstößt. In diesem Fall ist FOS berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis diese vom Fotografen bestätigt oder geändert wird.

10.4 FOS dokumentiert die vom Fotografen erteilten Weisungen sowie deren Umsetzung.

11. Nutzung anonymisierter Daten

11.1 FOS ist berechtigt, personenbezogene Daten, die im Rahmen dieses Vertrages verarbeitet werden, zu anonymisieren, sofern die Anonymisierung gemäß den in dieser Ziffer festgelegten Anforderungen erfolgt.

11.2 Der Fotograf bestätigt, dass die Anonymisierung personenbezogener Daten sowohl den Interessen des Fotografen als auch den berechtigten Geschäftszwecken von FOS dienen kann, insbesondere der Verbesserung und Weiterentwicklung der Dienstleistungen von FOS durch die Analyse von Kundenverhalten, Produktleistung und Servicenutzung in aggregierter und nicht identifizierbarer Form. 

11.3 FOS stellt sicher, dass die Anonymisierung so erfolgt, dass die Daten keiner identifizierten oder identifizierbaren natürlichen Person mehr zugeordnet werden können, wobei alle Mittel berücksichtigt werden, die vernünftigerweise von irgendeiner Partei zur Re-Identifizierung eingesetzt werden könnten. 

11.4 Die Parteien sind sich darüber einig, dass Daten, die gemäß dieser Ziffer anonymisiert wurden, keine personenbezogenen Daten im Sinne der anwendbaren Datenschutzgesetze mehr darstellen.

11.5 FOS ist berechtigt, anonymisierte Daten für eigene Geschäftszwecke zu nutzen, insbesondere für: 

• interne Analysen und statistische Auswertungen,
• Produktentwicklung und -verbesserung,
• Benchmarking und Business Intelligence sowie
• die Erstellung aggregierter Berichte.

11.6 FOS wird nicht versuchen, anonymisierte Daten zu re-identifizieren. FOS wird zudem geeignete Maßnahmen ergreifen, um eine Re-Identifizierung zu verhindern.

11.7 Der Fotograf stellt sicher, dass die Verarbeitung personenbezogener Daten im Rahmen dieses Vertrages, einschließlich einer etwaigen Anonymisierung personenbezogener Daten, auf einer nach den anwendbaren Datenschutzgesetzen zulässigen Rechtsgrundlage beruht und betroffene Personen hierüber in transparenter Weise informiert werden, sofern dies gesetzlich erforderlich ist.

12. Beendigung des Auftrags

12.1 Bei Beendigung des Vertrages wird FOS nach Wahl des Fotografen alle im Auftrag verarbeiteten personenbezogenen Daten entweder löschen oder zurückgeben und bestehende Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung erfolgt in einer Weise, dass die personenbezogenen Daten mit vertretbarem Aufwand nicht wiederhergestellt oder rekonstruiert werden können. 

12.2 FOS stellt sicher, dass Unterauftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Beendigung ihrer Dienstleistungen unverzüglich zurückgeben oder löschen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

12.3 FOS ist berechtigt, Dokumentationen, die dem Nachweis der Einhaltung dieses Vertrags und der anwendbaren Datenschutzvorschriften dienen, für die jeweils geltenden Aufbewahrungsfristen aufzubewahren. Diese Dokumentationen unterliegen angemessenen Schutzmaßnahmen und dürfen nicht für andere Zwecke verwendet werden.

12.4 Unbeschadet des Vorstehenden erfolgt die Löschung personenbezogener Daten in Sicherungskopien (Backups) im Rahmen der üblichen Aufbewahrungszyklen von FOS, vorausgesetzt, dass diese Daten weiterhin geschützt werden und keiner aktiven Verarbeitung unterliegen.

13. Kündigung aus wichtigem Grund

13.1 Der Fotograf ist berechtigt, den Hauptvertrag und diesen Vertrag aus wichtigem Grund zu kündigen, wenn ein schwerwiegender Verstoß durch FOS gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt („Kündigung aus wichtigem Grund“).

13.2 Ein wichtiger Grund liegt insbesondere vor, wenn FOS wesentliche Verpflichtungen aus diesem Vertrag nicht erfüllt, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen nicht umsetzt.

13.3 Vor einer Kündigung aus wichtigem Grund hat der Fotograf FOS eine angemessene Frist zur Abhilfe zu setzen. Wird der Verstoß innerhalb dieser Frist nicht behoben, so ist der Fotograf zur Kündigung aus wichtigem Grund berechtigt.

13.4 Beide Parteien sind zur Kündigung aus wichtigem Grund berechtigt, wenn der Fotograf der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters gem. Ziffer 7 dieses Vertrages widerspricht und die Parteien keine Einigung erzielen.

14. Haftung

Die Haftung der Parteien gegenüber betroffenen Personen  richtet sich nach Art. 82 DSGVO. Im Übrigen unterliegt die Haftung zwischen den Parteien aus oder im Zusammenhang mit dieser Vereinbarung den im Hauptvertrag vereinbarten Haftungsbeschränkungen und -ausschlüssen.

15. Sonstiges

15.1 Jede Partei verpflichtet sich, vertrauliche Informationen der jeweils anderen Partei, insbesondere Informationen über technische und organisatorische Maßnahmen, vertraulich zu behandeln. Im Zweifel sind Informationen als vertraulich zu behandeln bis die andere Partei deren Vertraulichkeit in Textform aufhebt. Die Vertraulichkeitsverpflichtung gilt über die Beendigung dieses Vertrages hinaus fort. Jede Partei ist berechtigt, Informationen aus diesem Vertrag zu verwenden und offenzulegen, soweit dies zur Begründung, Ausübung und Verteidigung von Ansprüchen nach Art. 82 Abs. 3 DSGVO erforderlich ist.

15.2 Änderungen und Ergänzungen dieses Vertrages bedürfen einer Vereinbarung in Textform. Der hierfür erforderliche Erklärungsaustausch kann auch durch elektronische Kommunikations- und Signaturverfahren erfolgen. 

15.3 Zurückbehaltungsrechte gemäß § 273 BGB sind in Bezug auf personenbezogene Daten ausgeschlossen.

15.4 Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

15.5 Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Berlin.

Hinweis: Dieser Auftragsverarbeitungsvertrag bedarf keiner Unterzeichnung und tritt mit Annahme der Allgemeinen Geschäftsbedingungen von FOS durch den Fotografen in Kraft, welche auf diesen Vertrag Bezug nehmen und ihn einbeziehen.

Annex 1 zum Vertrag zur Auftragsverarbeitung (AVV)

Verarbeitungsdetails

1. Fotograf als Verantwortlicher

1.1 Art und Zweck der Verarbeitung

Art und Zweck der Verarbeitung personenbezogener Daten durch FOS ergeben sich aus dem Hauptvertrag. FOS verarbeitet personenbezogene Daten im Auftrag des Fotografen zur Erbringung der dort vereinbarten Leistungen. Die Verarbeitung umfasst insbesondere:

• die Erhebung personenbezogener Daten (einschließlich über den Onlineshop)
• die Speicherung und Organisation personenbezogener Daten
• die Anpassung und Änderung personenbezogener Daten 
• den Abruf und die Bereitstellung personenbezogener Daten
• die Übermittlung personenbezogener Daten an vom Fotografen beauftragte oder in dessen Auftrag tätige Dienstleister (z.B. zur Produktion, zum Versand oder zur Zahlungsabwicklung) 
• die Löschung oder Einschränkung der Verarbeitung personenbezogener Daten
• die Bearbeitung von Kundenanfragen (z.B. über Kontaktformulare)
• die Anonymisierung und Aggregation personenbezogener Daten zu statistischen und analytischen Zwecken sowie zur Optimierung der Dienstleistungen
• die Durchführung von Webpublikumsanalysen.

Diese Verarbeitungstätigkeiten dienen insbesondere folgenden Zwecken:

• Ermöglichung und Unterstützung der Abwicklung von Bestellungen (z.B. Produktion und Versand von Fotoprodukten)
• Bereitstellung und Betrieb des FOS Systems einschließlich Kunden- und Auftragsmanagement (z.B. Reklamationsbearbeitung und Zahlungsstatus)
• Ermöglichung des Onlineverkaufs und der Bereitstellung von Fotos 
• Organisation und Verwaltung von Bilddateien (z.B. automatische Sortierung von Fotos)
• Kommunikation mit Kunden des Fotografen (z.B. transaktionsbezogene oder servicebezogene Mitteilungen)
• Verbesserung und Weiterentwicklung der Dienstleistungen von FOS auf Grundlage aggregierter und anonymisierter Daten
• Durchführung der Zahlungsabwicklung, soweit dies für die gewählte Zahlungsart erforderlich ist.

1.2 Art der personenbezogenen Daten

Es können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

• Bilddateien, insbesondere Fotografien von Personen 
• Identifikationsdaten (z.B. Vor- und Nachname) 
• Kontaktdaten (z.B. Postanschrift, E-Mail-Adresse, Telefonnummer)
• Bestell- und Transaktionsdaten (z.B. Bestelldetails, Zahlungsstatus)
• zahlungsbezogene Daten (z.B. Zahlungsart, Transaktionskennung) 
• Nutzungs- und Verhaltensdaten im Zusammenhang mit der Nutzung des Onlineshops
• Metadaten und organisatorische Daten (z.B. Gruppenzuordnung, Sortierkriterien oder vergleichbare Klassifizierungsinformationen) 

Diese Daten werden entweder durch den Fotografen im FOS System oder durch die Kunden des Fotografen bei der Nutzung des Onlineshops, insbesondere im Rahmen des Bestellprozesses, bereitgestellt. 

1.3 Kategorien der betroffenen Personen

Zu den Kategorien betroffener Personen gehören insbesondere: 

• Personen, welche durch den Fotografen fotografiert wurden
• Kunden und potentielle Kunden des Fotografen.

2. Fotograf als Auftragsverarbeiter

Soweit der Fotograf personenbezogene Daten im Auftrag eines Dritten verarbeitet, der als Verantwortlicher auftritt, handelt der Fotograf als Auftragsverarbeiter und FOS als Unterauftragsverarbeiter.

In diesen Fällen richten sich Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten sowie die Kategorien betroffener Personen nach den Bestimmungen in Ziffer 1 dieses Annex.

3. FOS als Verantwortlicher

Soweit FOS personenbezogene Daten, die im Rahmen des Hauptvertrages verarbeitet werden, gemäß Ziffer 11 dieses Vertrages für eigene Geschäftszwecke anonymisiert, handelt FOS ausschließlich im Hinblick auf den Anonymisierungsvorgang als eigenständiger Verantwortlicher.

Diese Verarbeitung beschränkt sich auf die Anonymisierung personenbezogener Daten sowie die anschließende Nutzung der anonymisierten Daten für statistische Analysen, die Verbesserung der Dienstleistungen, die Produktentwicklung, Benchmarking, Business Intelligence und damit zusammenhängende Geschäftszwecke.