Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Vereinbarung zur Auftragsverarbeitung (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen

Mason Photography

Inhaber: Matthias Rohde

Am Sonnengarten 7

40667 Meerbusch

Deutschland

E-Mail: hello@mujoo.de

als Betreiber der Softwareplattform MUJOO,

nachfolgend „Auftragsverarbeiter“ oder „MUJOO“ genannt,

und

dem jeweiligen Kunden von MUJOO, der die Plattform im Rahmen seiner gewerblichen, selbstständigen oder sonstigen Tätigkeit nutzt und personenbezogene Daten eigener Kunden oder sonstiger betroffener Personen über MUJOO verarbeitet,

nachfolgend „Verantwortlicher“ genannt.

Gemeinsam nachfolgend auch „Parteien“ genannt.

Präambel

MUJOO stellt eine cloudbasierte Softwareplattform insbesondere für Fotografen und andere Kreative zur Verfügung. Über die Plattform können unter anderem Kundendaten verwaltet, Kundengalerien erstellt und bereitgestellt, Foto- und Videodateien gespeichert und ausgeliefert, Favoriten und Bildauswahlen verwaltet, Downloads ermöglicht, Bestellungen abgewickelt sowie Termine und weitere kundenbezogene Informationen verwaltet werden.

Soweit der Verantwortliche im Rahmen der Nutzung von MUJOO personenbezogene Daten eigener Kunden, abgebildeter Personen oder sonstiger betroffener Personen verarbeitet und MUJOO diese Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen verarbeitet, handelt MUJOO als Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit dieser Auftragsverarbeitung und ergänzt die zwischen den Parteien bestehenden vertraglichen Vereinbarungen über die Nutzung von MUJOO.

Soweit MUJOO personenbezogene Daten für eigene Zwecke und in eigener datenschutzrechtlicher Verantwortlichkeit verarbeitet, insbesondere zur Verwaltung von MUJOO-Benutzerkonten, zur Abrechnung eigener Leistungen, zur Gewährleistung der Plattform- und IT-Sicherheit, zur Erfüllung gesetzlicher Pflichten oder im Zusammenhang mit der öffentlichen MUJOO-Webseite, sind diese Verarbeitungen nicht Gegenstand dieser Vereinbarung.

§ 1 Gegenstand der Vereinbarung

1.1 Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch MUJOO im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung der Softwareplattform MUJOO.

1.2 Die Auftragsverarbeitung umfasst insbesondere die technische Verarbeitung personenbezogener Daten im Zusammenhang mit:

  • der Erstellung und Verwaltung von Kundenprofilen,
  • der Erstellung, Speicherung und Bereitstellung von Kundengalerien,
  • der Speicherung und Bereitstellung von Foto- und Videodateien,
  • der Verwaltung von Galerie-, Shooting- und Veranstaltungsinformationen,
  • der Verwaltung von Favoriten, Bildauswahlen und Nachrichten,
  • der Bereitstellung von Downloadfunktionen,
  • der Verarbeitung von Bestellinformationen innerhalb der Plattform,
  • der Bereitstellung von kundenbezogenen Adress- und Kontaktdaten,
  • dem Versand technisch erforderlicher System- und Transaktionsnachrichten,
  • der Verwaltung von Terminen und kundenbezogenen Informationen sowie

der optionalen Nutzung von Integrationen, soweit diese durch den Verantwortlichen aktiviert werden.

1.3 Gegenstand und Umfang der Verarbeitung richten sich ergänzend nach den vom Verantwortlichen tatsächlich genutzten Funktionen von MUJOO sowie dem jeweils vereinbarten Leistungsumfang.

1.4 MUJOO verarbeitet die von dieser Vereinbarung erfassten personenbezogenen Daten ausschließlich im Rahmen dieser Vereinbarung, der zugrunde liegenden Nutzungsvereinbarung und der dokumentierten Weisungen des Verantwortlichen, soweit MUJOO nicht durch das Recht der Europäischen Union oder eines Mitgliedstaates zu einer darüber hinausgehenden Verarbeitung verpflichtet ist.

§ 2 Dauer der Auftragsverarbeitung

2.1 Diese Vereinbarung gilt grundsätzlich für die Dauer des Vertrags- bzw. Nutzungsverhältnisses zwischen MUJOO und dem Verantwortlichen, soweit während dieser Zeit personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet werden.

2.2 Die Auftragsverarbeitung beginnt, sobald der Verantwortliche personenbezogene Daten im Rahmen der Nutzung von MUJOO übermittelt, einstellt oder anderweitig durch MUJOO verarbeiten lässt.

2.3 Die Auftragsverarbeitung endet grundsätzlich mit Beendigung des zugrunde liegenden Nutzungsverhältnisses und der anschließenden Löschung oder Rückgabe der im Auftrag verarbeiteten personenbezogenen Daten, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen zwingenden gesetzlichen Gründe einer Löschung entgegenstehen.

2.4 Soweit innerhalb von MUJOO Lösch- oder Wiederherstellungsfristen vorgesehen sind, können zur Löschung vorgesehene Daten während dieser Fristen weiterhin technisch gespeichert werden. Für Galerien sowie bestimmte Favoriten-Daten besteht derzeit insbesondere eine 30-tägige Wiederherstellungs- bzw. Löschfrist nach einer entsprechenden Löschmarkierung.

2.5 Daten, die MUJOO aufgrund eigener gesetzlicher Aufbewahrungspflichten weiterhin speichern muss, werden nach Beendigung der Auftragsverarbeitung ausschließlich zu diesen Zwecken verarbeitet und, soweit technisch und rechtlich erforderlich, von der weiteren operativen Verarbeitung getrennt.

Die konkreten Löschregelungen ergeben sich ergänzend aus dieser Vereinbarung und ihren Anlagen.

§ 3 Art und Zweck der Verarbeitung

3.1 Die Verarbeitung erfolgt ausschließlich zur technischen Bereitstellung und Durchführung der vom Verantwortlichen genutzten Funktionen von MUJOO.

3.2 Die Verarbeitung kann insbesondere folgende Vorgänge umfassen:

  • Erheben bzw. Entgegennehmen,
  • Erfassen,
  • Speichern,
  • Ordnen und Organisieren,
  • Strukturieren,
  • Auslesen und Abrufen,
  • Anzeigen und Bereitstellen,
  • technische Verarbeitung und Optimierung,
  • Übertragen und Ausliefern,
  • Ermöglichen von Downloads,
  • Verknüpfen mit Kunden, Galerien, Terminen oder Bestellungen,
  • Einschränken des Zugriffs,
  • Archivieren im Rahmen technisch vorgesehener Funktionen sowie

Löschen und Vernichten.

3.3 Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:

  • Bereitstellung von Kundengalerien,
  • Speicherung und Auslieferung von Foto- und Videodateien,
  • Verwaltung von Kunden und Kundendaten,
  • Verwaltung von Shootings, Veranstaltungen und Galerien,
  • Bereitstellung von Favoriten- und Auswahlfunktionen,
  • Bereitstellung von Downloadfunktionen,
  • Durchführung der vom Verantwortlichen angebotenen Shop- und Bestellfunktionen,
  • Kommunikation im Zusammenhang mit den genutzten Plattformfunktionen,
  • Bereitstellung von Termin- und Kalenderfunktionen,
  • Authentifizierung und Zugriffskontrolle sowie

technisch erforderliche Verarbeitung zur sicheren Bereitstellung der Plattform.

3.4 MUJOO darf die im Auftrag verarbeiteten personenbezogenen Daten nicht für eigene, mit dem Auftrag unvereinbare Zwecke verwenden.

§ 4 Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung können – abhängig davon, welche Funktionen der Verantwortliche nutzt und welche Informationen er in MUJOO einstellt – insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

a) Stamm- und Kontaktdaten

Vor- und Nachname

E-Mail-Adresse

Telefonnummer

Anschrift

Rechnungs- und Lieferanschrift

b) Kunden- und Auftragsdaten

Kundenprofile

Shooting- und Veranstaltungsdaten

Veranstaltungsdatum und Veranstaltungsort

kundenbezogene Notizen und Planungsinformationen

Galeriezuordnungen

c) Bild-, Video- und Mediendaten

Fotografien

Videos

Vorschaubilder und daraus technisch erzeugte Darstellungen

Dateinamen

Dateipfade

Dateigrößen und Bildabmessungen

technisch erfasste Metadaten, insbesondere Aufnahmedatum sowie Kamera-Hersteller und Kameramodell

d) Galerie- und Nutzungsdaten

Galerienamen und -informationen

Favoriten

Bildauswahlen

Downloadinformationen

Zeitpunkte bestimmter Aktionen

Gast- bzw. Zugriffstoken

kundenbezogene Nachrichten und Notizen

e) Bestell- und Transaktionsdaten

Bestellinformationen

bestellte Produkte und zugeordnete Bilder

Lieferinformationen

Bestellstatus

zur Abwicklung erforderliche Transaktionsinformationen

Zahlungs- und KYC-Daten können unmittelbar durch eingesetzte Zahlungsdienstleister verarbeitet werden. Soweit MUJOO dabei in eigener datenschutzrechtlicher Verantwortlichkeit handelt oder der Zahlungsdienstleister selbst Verantwortlicher ist, fällt diese Verarbeitung nicht unter diesen AVV.

f) Termin- und Kalenderdaten

Termine

Datum und Uhrzeit

Teilnehmerinformationen

E-Mail-Adressen von Teilnehmern

kundenbezogene Terminangaben

g) Kommunikationsdaten

Nachrichten

kundenbezogene Notizen

Inhalte technisch erforderlicher System- und Transaktionskommunikation

E-Mail-Empfänger und Versandstatus

h) Authentifizierungs- und Zugriffsdaten, soweit diese im Auftrag verarbeitet werden

Login- und Zugriffsinformationen

Galerie-Zugangsberechtigungen

Passwortstatus bzw. kryptografisch geschützte Zugangsinformationen

technisch erforderliche Zugriffstoken

Besondere Kategorien personenbezogener Daten

4.2 MUJOO ist nicht speziell zur Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO konzipiert. Aufgrund der Art der Plattform kann jedoch nicht ausgeschlossen werden, dass vom Verantwortlichen hochgeladene Fotografien, Videos, Freitexte oder sonstige Inhalte Informationen enthalten oder erkennen lassen, die besonderen Kategorien personenbezogener Daten zugeordnet werden können.

MUJOO führt keine Gesichtserkennung oder biometrische Identifizierung der auf Fotografien oder Videos dargestellten Personen durch.

4.3 Der Verantwortliche ist dafür verantwortlich, dass für die von ihm veranlasste Verarbeitung solcher Daten eine ausreichende Rechtsgrundlage besteht und die einschlägigen datenschutzrechtlichen Anforderungen eingehalten werden.

§ 5 Kategorien betroffener Personen

5.1 Im Rahmen der Auftragsverarbeitung können insbesondere personenbezogene Daten folgender Kategorien betroffener Personen verarbeitet werden:

  • Kunden und Auftraggeber des Verantwortlichen,
  • registrierte Kunden und Nutzer von Kundengalerien,
  • Gäste und sonstige Besucher von Kundengalerien,
  • auf Fotografien oder Videos abgebildete Personen,
  • Teilnehmer von Veranstaltungen, Shootings oder sonstigen fotografisch oder videografisch begleiteten Ereignissen,
  • Personen, deren Kontaktdaten durch den Verantwortlichen innerhalb von MUJOO gespeichert werden,
  • Empfänger von System- und Transaktionsnachrichten,
  • Besteller und gegebenenfalls Empfänger von über die Plattform angebotenen Produkten,
  • Teilnehmer oder Ansprechpartner im Zusammenhang mit Terminen und Kalenderfunktionen sowie

sonstige Personen, deren personenbezogene Daten der Verantwortliche im Rahmen der bestimmungsgemäßen Nutzung von MUJOO verarbeitet.

5.2 Welche Kategorien betroffener Personen im konkreten Einzelfall verarbeitet werden, bestimmt der Verantwortliche durch die von ihm vorgenommene Nutzung der Plattform und die von ihm eingestellten bzw. verarbeiteten Daten.

§ 6 Weisungsrecht des Verantwortlichen

6.1 MUJOO verarbeitet personenbezogene Daten, die Gegenstand dieser Vereinbarung sind, grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen, sofern MUJOO nicht aufgrund des Rechts der Europäischen Union oder eines Mitgliedstaates zu einer bestimmten Verarbeitung verpflichtet ist.

6.2 Die Nutzung der Funktionen von MUJOO durch den Verantwortlichen sowie die im Rahmen des zugrunde liegenden Nutzungsvertrags vereinbarten Funktionen und Einstellungen gelten als dokumentierte Weisungen im Sinne dieser Vereinbarung.

Hierzu zählen insbesondere vom Verantwortlichen ausgelöste Vorgänge wie das Anlegen, Bearbeiten, Bereitstellen, Übertragen, Speichern und Löschen von Kunden, Galerien, Dateien, Terminen und sonstigen Daten.

6.3 Einzelweisungen, die über die bestimmungsgemäße Nutzung und den vereinbarten Funktionsumfang von MUJOO hinausgehen, bedürfen grundsätzlich der Textform oder einer vergleichbaren elektronischen Dokumentation.

6.4 Ist MUJOO der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere anwendbare Datenschutzvorschriften verstößt, wird MUJOO den Verantwortlichen unverzüglich darauf hinweisen. MUJOO ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt, geändert oder zurückgenommen wurde, soweit dies rechtlich zulässig ist.

6.5 Ist MUJOO aufgrund gesetzlicher Vorschriften verpflichtet, personenbezogene Daten entgegen oder unabhängig von einer Weisung des Verantwortlichen zu verarbeiten, wird MUJOO den Verantwortlichen vor der Verarbeitung über die entsprechende rechtliche Anforderung informieren, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

§ 7 Pflichten von MUJOO als Auftragsverarbeiter

7.1 MUJOO verarbeitet die vom Verantwortlichen überlassenen personenbezogenen Daten ausschließlich im Rahmen dieser Vereinbarung, des zugrunde liegenden Nutzungsverhältnisses sowie der dokumentierten Weisungen des Verantwortlichen.

7.2 MUJOO gewährleistet, dass Personen, die zur Verarbeitung der vom Verantwortlichen überlassenen personenbezogenen Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.3 MUJOO trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

Die bei MUJOO eingesetzten technischen und organisatorischen Maßnahmen werden in einer Anlage zu dieser Vereinbarung näher beschrieben.

7.4 MUJOO unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der zur Verfügung stehenden Informationen in angemessenem Umfang bei der Erfüllung seiner datenschutzrechtlichen Pflichten.

Dies betrifft insbesondere, soweit einschlägig:

  • die Bearbeitung von Anfragen betroffener Personen,
  • die Sicherheit der Verarbeitung,
  • die Behandlung von Datenschutzverletzungen,
  • Datenschutz-Folgenabschätzungen und

erforderliche Konsultationen mit Datenschutzaufsichtsbehörden.

7.5 MUJOO wird personenbezogene Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig für mit dem Auftrag unvereinbare eigene Zwecke verwenden.

7.6 MUJOO stellt dem Verantwortlichen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachweisen zu können, soweit diese Informationen MUJOO vorliegen und die Bereitstellung gesetzlich erforderlich ist.

7.7 MUJOO gewährleistet im Rahmen der technisch vorgesehenen Berechtigungs- und Sicherheitsmechanismen eine Trennung der Daten verschiedener Verantwortlicher bzw. Studios.

§ 8 Pflichten des Verantwortlichen

8.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der von ihm über MUJOO verarbeiteten personenbezogenen Daten verantwortlich.

Er entscheidet insbesondere über Zweck und Umfang der Verarbeitung sowie darüber, welche personenbezogenen Daten in MUJOO eingestellt oder über die Plattform verarbeitet werden.

8.2 Der Verantwortliche stellt sicher, dass für die von ihm veranlasste Verarbeitung eine ausreichende datenschutzrechtliche Rechtsgrundlage besteht und erforderliche Informations-, Einwilligungs- oder sonstige gesetzliche Pflichten erfüllt werden.

Dies betrifft insbesondere personenbezogene Daten seiner Kunden sowie Fotografien und Videos, auf denen natürliche Personen erkennbar sind.

8.3 Der Verantwortliche ist dafür verantwortlich, seine eigenen Kunden und sonstigen betroffenen Personen entsprechend den gesetzlichen Anforderungen über die Verarbeitung ihrer personenbezogenen Daten zu informieren.

8.4 Der Verantwortliche darf MUJOO keine rechtswidrigen Inhalte oder personenbezogenen Daten zur Verarbeitung übermitteln, deren Verarbeitung gegen geltendes Datenschutzrecht oder sonstige gesetzliche Vorschriften verstößt.

8.5 Soweit der Verantwortliche besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO über MUJOO verarbeitet, ist er dafür verantwortlich, dass die hierfür erforderlichen gesetzlichen Voraussetzungen erfüllt sind.

MUJOO führt keine automatische Gesichtserkennung oder biometrische Identifizierung der auf Fotografien oder Videos dargestellten Personen durch.

8.6 Der Verantwortliche ist verpflichtet, seine Zugangsdaten vor dem Zugriff unbefugter Dritter zu schützen und angemessene Maßnahmen zur Sicherheit seiner eigenen Benutzerkonten und Endgeräte zu treffen.

8.7 Der Verantwortliche informiert MUJOO unverzüglich, wenn er Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten feststellt, die die Sicherheit oder Rechtmäßigkeit der Verarbeitung beeinträchtigen können.

§ 9 Vertraulichkeit

9.1 MUJOO gewährleistet, dass alle Personen, die im Rahmen ihrer Tätigkeit Zugang zu den im Auftrag verarbeiteten personenbezogenen Daten erhalten, diese Daten vertraulich behandeln.

9.2 Soweit Mitarbeiter, freie Mitarbeiter oder sonstige zur Verarbeitung befugte Personen eingesetzt werden, werden diese vor Aufnahme ihrer Tätigkeit zur Vertraulichkeit verpflichtet, soweit sie nicht bereits einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

9.3 Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der jeweiligen Tätigkeit sowie nach Beendigung dieser Vereinbarung fort.

9.4 Der Zugriff auf personenbezogene Daten ist auf diejenigen Personen und Systeme zu beschränken, die diesen Zugriff für die Erbringung der vereinbarten Leistungen benötigen.

9.5 Gesetzliche Offenlegungs- und Auskunftspflichten gegenüber Behörden oder sonstigen berechtigten Stellen bleiben unberührt.

§ 10 Unterstützung bei Betroffenenrechten

10.1 MUJOO unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nachzukommen.

Dies betrifft insbesondere die Rechte auf:

  • Auskunft,
  • Berichtigung,
  • Löschung,
  • Einschränkung der Verarbeitung,
  • Datenübertragbarkeit und

Widerspruch, soweit diese Rechte im jeweiligen Fall anwendbar sind.

10.2 Wendet sich eine betroffene Person unmittelbar an MUJOO und betrifft das Ersuchen personenbezogene Daten, die MUJOO ausschließlich im Auftrag eines Verantwortlichen verarbeitet, wird MUJOO das Ersuchen grundsätzlich nicht eigenständig inhaltlich entscheiden, sondern den betreffenden Verantwortlichen darüber informieren bzw. das Ersuchen an diesen weiterleiten, soweit eine Zuordnung möglich und dies rechtlich zulässig ist.

10.3 MUJOO darf personenbezogene Daten auf dokumentierte Weisung des Verantwortlichen berichtigen, exportieren oder löschen, soweit dies technisch möglich und gesetzlich zulässig ist.

10.4 Soweit bestimmte Maßnahmen nicht unmittelbar über die Funktionen der Plattform durchgeführt werden können, unterstützt MUJOO den Verantwortlichen im Rahmen der gesetzlichen Anforderungen und der technisch verfügbaren Möglichkeiten.

§ 11 Meldung von Datenschutzverletzungen

11.1 MUJOO informiert den Verantwortlichen unverzüglich, nachdem MUJOO eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit diese Verletzung personenbezogene Daten betrifft, die MUJOO im Auftrag des Verantwortlichen verarbeitet.

11.2 Die Mitteilung enthält, soweit die entsprechenden Informationen MUJOO vorliegen, insbesondere:

  • eine Beschreibung der Art der Datenschutzverletzung,
  • soweit möglich die Kategorien und ungefähre Anzahl der betroffenen Personen,
  • soweit möglich die Kategorien und ungefähre Anzahl der betroffenen personenbezogenen Datensätze,
  • eine Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung,
  • eine Beschreibung der von MUJOO ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung oder Eindämmung der Datenschutzverletzung sowie

weitere Informationen, die dem Verantwortlichen zur Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten zur Verfügung stehen müssen.

11.3 Soweit nicht sämtliche Informationen gleichzeitig zur Verfügung gestellt werden können, darf MUJOO die Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen.

11.4 MUJOO unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der MUJOO zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten gemäß Art. 33 und 34 DSGVO.

11.5 Die Entscheidung darüber, ob und in welchem Umfang eine Meldung an eine Datenschutzaufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist, obliegt grundsätzlich dem Verantwortlichen, soweit MUJOO nicht selbst aufgrund gesetzlicher Vorschriften zur Meldung oder Benachrichtigung verpflichtet ist.

§ 12 Einsatz von Unterauftragsverarbeitern

12.1 Der Verantwortliche erteilt MUJOO die allgemeine Genehmigung, zur Erbringung der vereinbarten Leistungen weitere Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO einzusetzen.

12.2 Die zum Zeitpunkt des Abschlusses dieser Vereinbarung eingesetzten Unterauftragsverarbeiter, soweit sie Verarbeitungen im Anwendungsbereich dieses AVV durchführen, ergeben sich aus der jeweils aktuellen Anlage „Unterauftragsverarbeiter“ zu dieser Vereinbarung.

12.3 MUJOO stellt sicher, dass Unterauftragsverarbeiter, soweit gesetzlich erforderlich, durch geeignete vertragliche Vereinbarungen Datenschutzpflichten unterliegen, die einen angemessenen Schutz der im Auftrag verarbeiteten personenbezogenen Daten gewährleisten.

12.4 Beabsichtigt MUJOO, einen Unterauftragsverarbeiter neu hinzuzunehmen oder einen bestehenden Unterauftragsverarbeiter zu ersetzen, informiert MUJOO den Verantwortlichen entsprechend den Anforderungen des Art. 28 Abs. 2 DSGVO über die beabsichtigte Änderung und gibt ihm die Möglichkeit, aus datenschutzrechtlich erheblichen Gründen gegen die Änderung Einspruch zu erheben.

12.5 Ein Einspruch muss auf nachvollziehbaren datenschutzrechtlichen Gründen beruhen. Die Parteien werden sich im Falle eines berechtigten Einspruchs bemühen, eine angemessene Lösung zu finden.

Ist eine solche Lösung nicht möglich und ist der Einsatz des betreffenden Unterauftragsverarbeiters für die Bereitstellung der betroffenen MUJOO-Funktion erforderlich, bleiben etwaige vertragliche und gesetzliche Rechte der Parteien unberührt.

12.6 MUJOO bleibt gegenüber dem Verantwortlichen für die Erfüllung der datenschutzrechtlichen Pflichten eines eingesetzten Unterauftragsverarbeiters im gesetzlich vorgesehenen Umfang verantwortlich.

12.7 Nicht jeder von MUJOO eingesetzte externe Dienstleister ist automatisch Unterauftragsverarbeiter im Sinne dieser Vereinbarung. Dienste, bei denen MUJOO oder der jeweilige Dienstleister für die betreffende Verarbeitung selbst datenschutzrechtlich verantwortlich ist, sind insoweit nicht Bestandteil der Unterauftragsverarbeitung nach diesem AVV.

§ 13 Verarbeitung in Drittländern

13.1 MUJOO stellt sicher, dass personenbezogene Daten, die Gegenstand dieser Auftragsverarbeitung sind, nur unter Einhaltung der anwendbaren datenschutzrechtlichen Voraussetzungen außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet werden.

13.2 Soweit ein von MUJOO eingesetzter Unterauftragsverarbeiter personenbezogene Daten in einem Drittland verarbeitet oder ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann, stellt MUJOO sicher, dass die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden.

13.3 Dies kann insbesondere erfolgen auf Grundlage:

  • eines Angemessenheitsbeschlusses der Europäischen Kommission,
  • geeigneter Garantien gemäß Art. 46 DSGVO, insbesondere der von der Europäischen Kommission erlassenen Standardvertragsklauseln,
  • verbindlicher interner Datenschutzvorschriften, soweit anwendbar, oder

einer sonstigen nach der DSGVO zulässigen Übermittlungsgrundlage.

13.4 Soweit erforderlich, werden zusätzliche technische, organisatorische oder vertragliche Schutzmaßnahmen berücksichtigt.

13.5 Informationen zu den für die Auftragsverarbeitung eingesetzten Unterauftragsverarbeitern und einem möglichen Drittlandbezug ergeben sich ergänzend aus der Anlage „Unterauftragsverarbeiter“.

§ 14 Löschung und Rückgabe personenbezogener Daten

14.1 Nach Beendigung der Auftragsverarbeitung löscht MUJOO die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten nach Maßgabe der vereinbarten und technisch vorgesehenen Löschprozesse, sofern keine gesetzlichen Verpflichtungen zur weiteren Speicherung bestehen.

14.2 Soweit MUJOO eine Funktion zur Löschung von Daten bereitstellt, kann der Verantwortliche die Löschung im Rahmen der hierfür vorgesehenen Plattformfunktionen selbst veranlassen.

14.3 Für bestimmte Daten können technisch vorgesehene Wiederherstellungs- oder Karenzfristen bestehen. Soweit Daten innerhalb einer solchen Frist lediglich zur Wiederherstellung vorgehalten werden, dürfen sie grundsätzlich nicht für andere, mit diesem Zweck unvereinbare Zwecke verarbeitet werden.

Aktuell besteht insbesondere bei gelöschten Galerien sowie bestimmten Favoriten-Sessions und Favoriten-Elementen eine 30-tägige Löschfrist.

14.4 Bei der Löschung einzelner Bilddateien werden nach dem derzeitigen technischen Verfahren sowohl die zugehörigen Dateien im Objektspeicher als auch die entsprechenden Datenbankeinträge entfernt.

14.5 Bei Beendigung und Löschung eines Studio-Accounts werden die dem Verantwortlichen zugeordneten personenbezogenen Daten nach Maßgabe der vorgesehenen Löschprozesse gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen gesetzlichen Gründe einer Löschung entgegenstehen.

14.6 Personenbezogene Daten dürfen über das Vertragsende hinaus gespeichert werden, soweit MUJOO hierzu aufgrund gesetzlicher Aufbewahrungspflichten verpflichtet ist. Dies kann insbesondere abrechnungs-, handels- oder steuerrechtlich relevante Belege und Transaktionsinformationen betreffen.

Solche Daten dürfen nach Beendigung des ursprünglichen Verarbeitungszwecks nur noch für die Zwecke verarbeitet werden, die ihre weitere Aufbewahrung rechtfertigen.

14.7 Soweit personenbezogene Daten in technisch erforderlichen Sicherungskopien enthalten sind und eine unmittelbare selektive Löschung technisch nicht möglich oder nur mit unverhältnismäßigem Aufwand durchführbar ist, werden diese Daten bis zu ihrer regulären Löschung bzw. Überschreibung entsprechend geschützt und grundsätzlich nicht für andere Zwecke verarbeitet. Eine Wiederherstellung aus Sicherungskopien bleibt zulässig, soweit dies zur Wiederherstellung der Sicherheit, Verfügbarkeit oder Funktionsfähigkeit der Systeme erforderlich ist.

§ 15 Nachweise und Kontrollrechte

15.1 MUJOO stellt dem Verantwortlichen auf angemessene Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen.

15.2 MUJOO ermöglicht und unterstützt im gesetzlich erforderlichen Umfang Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten, zur Vertraulichkeit verpflichteten Prüfer.

15.3 Zur Vermeidung unverhältnismäßiger Beeinträchtigungen des Plattformbetriebs können Nachweise zunächst durch geeignete Dokumentationen, Sicherheitsinformationen, Zertifizierungen oder vergleichbare Nachweise erbracht werden, soweit diese zur Prüfung der Einhaltung der datenschutzrechtlichen Anforderungen ausreichen.

15.4 Soweit eine darüber hinausgehende Prüfung erforderlich ist, stimmen die Parteien Zeitpunkt, Umfang und Durchführung unter angemessener Berücksichtigung der betrieblichen Abläufe sowie der Sicherheits- und Vertraulichkeitsinteressen von MUJOO und anderer Kunden ab.

15.5 Kontroll- und Prüfungsmaßnahmen dürfen nicht dazu führen, dass personenbezogene Daten, Geschäftsgeheimnisse oder vertrauliche Informationen anderer Kunden oder Dritter offengelegt werden.

15.6 Der Verantwortliche und von ihm eingesetzte Prüfer sind verpflichtet, die im Rahmen einer Kontrolle erlangten vertraulichen Informationen ausschließlich zum Zweck der datenschutzrechtlichen Prüfung zu verwenden und vertraulich zu behandeln.

15.7 Soweit eine Kontrolle einen Aufwand verursacht, der über die gesetzlich geschuldete Bereitstellung angemessener Nachweise und Unterstützung erheblich hinausgeht, können die Parteien eine angemessene Vergütung des zusätzlichen Aufwands vereinbaren, soweit dies gesetzlich zulässig ist. Dies gilt nicht, soweit die Kontrolle aufgrund eines von MUJOO zu vertretenden Datenschutzverstoßes erforderlich geworden ist.

§ 16 Technische und organisatorische Maßnahmen

16.1 MUJOO trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

16.2 Die technischen und organisatorischen Maßnahmen werden in Anlage 2 – Technische und organisatorische Maßnahmen (TOMs) beschrieben. Die Anlage ist Bestandteil dieser Vereinbarung.

16.3 MUJOO ist berechtigt, die technischen und organisatorischen Maßnahmen während der Vertragslaufzeit an den technischen Fortschritt, geänderte Risiken und die Weiterentwicklung der Plattform anzupassen, sofern das gesetzlich erforderliche Schutzniveau hierdurch nicht unterschritten wird.

16.4 Die Maßnahmen umfassen insbesondere angemessene Vorkehrungen in den Bereichen Zugangs- und Zugriffskontrolle, Berechtigungsmanagement, Übertragungssicherheit, Mandantentrennung, Schutz gespeicherter Daten und Dateien, Verfügbarkeit und Wiederherstellbarkeit sowie Löschung und Kontrolle der Verarbeitung.

16.5 MUJOO überprüft die eingesetzten Sicherheitsmaßnahmen regelmäßig im Rahmen der technischen und organisatorischen Weiterentwicklung und passt sie bei Bedarf an.

§ 17 Abgrenzung der Verantwortlichkeiten

17.1 Soweit MUJOO personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen verarbeitet, gelten die Bestimmungen dieser Vereinbarung.

Dies betrifft insbesondere die Verarbeitung von:

  • Kunden- und Kontaktdaten des Verantwortlichen,
  • Galerie- und Shootingdaten,
  • Foto- und Videodateien,
  • Favoriten und Bildauswahlen,
  • Downloadinformationen,
  • kundenbezogenen Termindaten sowie

sonstigen personenbezogenen Informationen, die der Verantwortliche zur Erbringung seiner eigenen Leistungen über MUJOO verarbeitet.

17.2 Soweit MUJOO personenbezogene Daten für eigene Zwecke verarbeitet und selbst über Zwecke und Mittel dieser Verarbeitung entscheidet, handelt MUJOO als eigenständiger Verantwortlicher im Sinne der DSGVO. Diese Verarbeitungen sind nicht Gegenstand dieses AVV.

Dies kann insbesondere betreffen:

  • Verwaltung des MUJOO-Studio-Accounts,
  • Vertrags- und Abonnementverwaltung,
  • Abrechnung der von MUJOO erbrachten Leistungen,
  • Bearbeitung von Auszahlungen und abrechnungsbezogenen Vorgängen,
  • Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten,
  • Sicherheit und Schutz der MUJOO-Plattform,
  • Verarbeitung erforderlicher Sicherheits- und Systeminformationen,
  • Betrieb der öffentlichen MUJOO-Webseite,
  • eigene Reichweitenmessung und Consent-Verwaltung sowie

Bearbeitung von direkt an MUJOO gerichteten Kontaktanfragen.

17.3 Die bloße Nutzung eines externen Dienstleisters durch MUJOO führt nicht automatisch dazu, dass dieser Dienstleister Unterauftragsverarbeiter im Sinne dieses AVV ist. Maßgeblich ist die datenschutzrechtliche Rolle des Dienstleisters hinsichtlich der jeweiligen konkreten Verarbeitung.

§ 18 Haftung

18.1 Für die Haftung der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO.

18.2 Jede Partei ist für die Erfüllung der datenschutzrechtlichen Pflichten verantwortlich, die ihr nach der DSGVO und dieser Vereinbarung entsprechend ihrer jeweiligen Rolle obliegen.

18.3 Der Verantwortliche bleibt insbesondere für die Rechtmäßigkeit der Erhebung und Verarbeitung der von ihm in MUJOO eingestellten personenbezogenen Daten sowie für das Vorliegen der erforderlichen Rechtsgrundlagen verantwortlich.

18.4 MUJOO bleibt für die ordnungsgemäße Erfüllung der Pflichten verantwortlich, die MUJOO als Auftragsverarbeiter nach Art. 28 DSGVO und dieser Vereinbarung treffen.

18.5 Weitergehende Haftungsregelungen aus dem zugrunde liegenden Vertrag und den wirksam vereinbarten Allgemeinen Geschäftsbedingungen bleiben unberührt, soweit sie nicht zwingenden gesetzlichen datenschutzrechtlichen Bestimmungen widersprechen.

§ 19 Laufzeit und Beendigung

19.1 Diese Vereinbarung tritt mit ihrem Abschluss bzw. mit Beginn einer Auftragsverarbeitung personenbezogener Daten über MUJOO in Kraft.

19.2 Die Vereinbarung gilt grundsätzlich für die Dauer des zugrunde liegenden Vertrags- bzw. Nutzungsverhältnisses zwischen MUJOO und dem Verantwortlichen.

19.3 Eine gesonderte ordentliche Kündigung dieses AVV während eines fortbestehenden Nutzungsverhältnisses ist ausgeschlossen, soweit MUJOO im Rahmen dieses Nutzungsverhältnisses weiterhin personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

19.4 Mit Beendigung des zugrunde liegenden Vertragsverhältnisses endet auch diese Vereinbarung, sobald sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Maßgabe dieser Vereinbarung gelöscht oder zurückgegeben wurden und keine weitere Auftragsverarbeitung erfolgt.

19.5 Verpflichtungen, die ihrer Natur nach über die Beendigung dieser Vereinbarung hinaus fortbestehen müssen, insbesondere Vertraulichkeits-, Lösch-, Nachweis- und gesetzliche Aufbewahrungspflichten, bleiben von der Beendigung unberührt.

§ 20 Elektronischer Abschluss und Dokumentation

20.1 Diese Vereinbarung kann gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen werden.

20.2 Der Abschluss des AVV kann insbesondere im Rahmen der elektronischen Registrierung, der Accountverwaltung, des Buchungsprozesses oder einer hierfür vorgesehenen Funktion innerhalb von MUJOO erfolgen.

20.3 MUJOO kann zum Nachweis des Abschlusses insbesondere die Identität bzw. Account-Zuordnung des Verantwortlichen, die verwendete AVV-Version sowie Datum und Zeitpunkt des elektronischen Abschlusses dokumentieren.

20.4 Dem Verantwortlichen wird die Möglichkeit eingeräumt, die für sein Vertragsverhältnis geltende Fassung des AVV in elektronischer Form einzusehen und dauerhaft zu speichern.

§ 21 Schlussbestimmungen

21.1 Diese Vereinbarung ergänzt den zwischen den Parteien bestehenden Vertrag über die Nutzung von MUJOO sowie die hierzu vereinbarten Allgemeinen Geschäftsbedingungen.

21.2 Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen vertraglichen Regelungen gehen hinsichtlich der Auftragsverarbeitung personenbezogener Daten die Regelungen dieses AVV vor, soweit keine zwingenden gesetzlichen Bestimmungen entgegenstehen.

21.3 Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform oder einer anderen gesetzlich zulässigen elektronischen Form, soweit nicht eine strengere Form gesetzlich vorgeschrieben ist.

21.4 Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung treten die gesetzlichen Vorschriften.

21.5 Es gilt das Recht der Bundesrepublik Deutschland unter Beachtung zwingender datenschutzrechtlicher Vorschriften der Europäischen Union.

Anlagen

Folgende Anlagen sind Bestandteil dieser Vereinbarung:

Anlage 1 – Beschreibung der Auftragsverarbeitung

Gegenstand und Dauer, Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten sowie Kategorien betroffener Personen.

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

Beschreibung der von MUJOO eingesetzten Maßnahmen gemäß Art. 32 DSGVO.

Anlage 3 – Unterauftragsverarbeiter

Aufstellung der von MUJOO im Rahmen der Auftragsverarbeitung eingesetzten weiteren Auftragsverarbeiter einschließlich ihrer jeweiligen Funktion und, soweit erforderlich, Informationen zum Drittlandbezug.

Anlage 1 – Beschreibung der Auftragsverarbeitung

1. Gegenstand der Verarbeitung

Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten durch MUJOO im Rahmen der Bereitstellung und Nutzung der cloudbasierten Softwareplattform MUJOO.

MUJOO stellt dem Verantwortlichen insbesondere Funktionen zur Verfügung für:

  • Erstellung und Verwaltung von Kundengalerien,
  • Speicherung und Bereitstellung von Foto- und Videodateien,
  • Kundenverwaltung und CRM-Funktionen,
  • Verwaltung von Galerie-, Shooting- und Veranstaltungsinformationen,
  • Favoriten und Bildauswahlen,
  • Bereitstellung von Downloadfunktionen,
  • Shop- und Bestellfunktionen,
  • Versand technisch erforderlicher System- und Transaktionsnachrichten,
  • Terminverwaltung sowie

optional aktivierte Integrationen und Kalenderfunktionen.

Welche Verarbeitungen im Einzelfall stattfinden, richtet sich nach den vom Verantwortlichen tatsächlich genutzten Funktionen von MUJOO.

2. Dauer der Verarbeitung

Die Verarbeitung erfolgt grundsätzlich für die Dauer des zwischen MUJOO und dem Verantwortlichen bestehenden Nutzungs- bzw. Vertragsverhältnisses.

Nach Beendigung des Vertragsverhältnisses werden die im Auftrag verarbeiteten personenbezogenen Daten entsprechend den vorgesehenen Löschprozessen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen zwingenden gesetzlichen Gründe einer Löschung entgegenstehen.

Für bestimmte Daten bestehen technisch vorgesehene Lösch- bzw. Wiederherstellungsfristen. Insbesondere werden gelöschte Galerien sowie bestimmte Favoriten-Sessions und Favoriten-Elemente nach einer Soft-Löschung derzeit für einen Zeitraum von bis zu 30 Tagen vorgehalten und anschließend endgültig gelöscht.

3. Art der Verarbeitung

Die Auftragsverarbeitung kann insbesondere folgende Verarbeitungsvorgänge umfassen:

  • Erheben bzw. Entgegennehmen,
  • Erfassen,
  • Speichern,
  • Ordnen,
  • Strukturieren,
  • Organisieren,
  • Auslesen,
  • Abrufen,
  • Anzeigen,
  • Bereitstellen,
  • Übertragen,
  • Ausliefern,
  • Verknüpfen,
  • Ermöglichen von Downloads,
  • Einschränken von Zugriffen,
  • Archivieren im Rahmen technisch vorgesehener Prozesse sowie

Löschen und Vernichten.

4. Zweck der Verarbeitung

Die Verarbeitung erfolgt zur technischen Bereitstellung der vom Verantwortlichen ausgewählten und genutzten Funktionen von MUJOO.

Hierzu gehören insbesondere:

  • Verwaltung von Kunden und Kundenbeziehungen,
  • Bereitstellung von Kundengalerien,
  • Speicherung und Auslieferung von Foto- und Videodateien,
  • Verwaltung von Bildauswahlen und Favoriten,
  • Bereitstellung von Dateien zum Download,
  • Verarbeitung kundenbezogener Bestellungen,
  • Verwaltung von Terminen,
  • Kommunikation im Zusammenhang mit den Plattformfunktionen,
  • Authentifizierung und Zugriffskontrolle sowie

sichere technische Bereitstellung der Plattform.

5. Kategorien personenbezogener Daten

Abhängig von der konkreten Nutzung von MUJOO können insbesondere folgende Daten verarbeitet werden:

5.1 Stamm- und Kontaktdaten

Vorname und Nachname

E-Mail-Adresse

Telefonnummer

Anschrift

Rechnungsadresse

Lieferadresse

5.2 Kunden-, Shooting- und Veranstaltungsdaten

Kundenzuordnungen

Shootinginformationen

Veranstaltungsdatum

Veranstaltungsort

Galerieinformationen

kundenbezogene Notizen

Planungsinformationen

5.3 Foto-, Video- und Mediendaten

Fotografien

Videos

Vorschaudarstellungen

Dateinamen

Dateipfade

Bildabmessungen

Aufnahmedatum

Kamera-Hersteller

Kameramodell

sonstige in den übermittelten Originaldateien enthaltene Metadaten

5.4 Galerie- und Interaktionsdaten

Galerienamen

Galeriezuordnungen

Favoriten

Bildauswahlen

Nachrichten

Notizen

Downloadinformationen

Zeitpunkte von Aktionen

Gast- und Zugriffsinformationen

5.5 Bestell- und Abwicklungsdaten

Bestellungen

bestellte Produkte

zugeordnete Bilder

Bestellstatus

Lieferinformationen

zur Bestellabwicklung erforderliche Kontaktdaten

5.6 Termin- und Kalenderdaten

Termine

Datum und Uhrzeit

Teilnehmerinformationen

Teilnehmer-E-Mail-Adressen

kundenbezogene Terminangaben

5.7 Kommunikationsdaten

Nachrichten

Notizen

Empfänger von System- und Transaktionsnachrichten

Versandstatus

Inhalte technisch erforderlicher Kommunikation

5.8 Zugriffs- und technische Daten

Soweit diese Daten im Zusammenhang mit der Auftragsverarbeitung verarbeitet werden:

Galerie-Zugriffsinformationen

Gast-Token

Authentifizierungsinformationen

technische Zugriffsinformationen

zeitlich befristete Zugriffstoken

IP-Adressen und technische Protokolldaten, soweit diese bei der Bereitstellung der Infrastruktur verarbeitet werden.

6. Besondere Kategorien personenbezogener Daten

MUJOO ist nicht speziell für die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO konzipiert.

Aufgrund der Nutzung von Foto-, Video- und Freitextinhalten kann jedoch nicht ausgeschlossen werden, dass vom Verantwortlichen eingestellte Inhalte Informationen enthalten oder erkennen lassen, die besonderen Kategorien personenbezogener Daten zugeordnet werden können.

Dies kann abhängig vom jeweiligen Inhalt beispielsweise Informationen betreffen, aus denen sich Rückschlüsse auf Gesundheit, ethnische Herkunft, religiöse oder weltanschauliche Überzeugungen oder andere von Art. 9 DSGVO erfasste Merkmale ergeben können.

MUJOO führt keine automatische Gesichtserkennung oder biometrische Identifizierung der auf Fotografien oder Videos dargestellten Personen durch.

Der Verantwortliche entscheidet über die von ihm in MUJOO eingestellten Inhalte und ist für das Vorliegen der hierfür erforderlichen Rechtsgrundlage verantwortlich.

7. Kategorien betroffener Personen

Von der Auftragsverarbeitung können insbesondere betroffen sein:

  • Kunden und Auftraggeber des Verantwortlichen,
  • Kunden bzw. Paare, denen eine Galerie zugeordnet wird,
  • registrierte Nutzer von Kundengalerien,
  • nicht registrierte Gäste von Kundengalerien,
  • auf Fotografien oder Videos abgebildete Personen,
  • Teilnehmer von Hochzeiten, Veranstaltungen, Shootings oder vergleichbaren Ereignissen,
  • Besteller von Produkten,
  • Empfänger von über MUJOO bereitgestellten Dateien,
  • Teilnehmer bzw. Ansprechpartner von Terminen,
  • Empfänger von System- und Transaktionsnachrichten sowie

sonstige Personen, deren personenbezogene Daten der Verantwortliche bestimmungsgemäß über MUJOO verarbeitet.

8. Verantwortlichkeit

Der Verantwortliche bestimmt im Rahmen der von MUJOO bereitgestellten Funktionen die Zwecke seiner Verarbeitung sowie insbesondere:

  • welche Kundendaten gespeichert werden,
  • welche Personen und Inhalte in Galerien aufgenommen werden,
  • welche Foto- und Videodateien hochgeladen werden,
  • wem Galerien zugänglich gemacht werden,
  • welche Downloads ermöglicht werden,
  • welche Produkte angeboten werden,
  • welche Kundendaten für Termine und Kommunikation verwendet werden und

wann Daten innerhalb der verfügbaren Funktionen gelöscht werden.

MUJOO verarbeitet diese personenbezogenen Daten im Rahmen der Auftragsverarbeitung grundsätzlich nach den dokumentierten Weisungen des Verantwortlichen.

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

1. Allgemeines

MUJOO trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

Die Maßnahmen dienen insbesondere dazu, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der im Rahmen der Auftragsverarbeitung eingesetzten Systeme und Dienste angemessen zu gewährleisten.

MUJOO überprüft und entwickelt die eingesetzten Maßnahmen im Rahmen der technischen und organisatorischen Weiterentwicklung der Plattform weiter.

2. Zugangskontrolle und Authentifizierung

MUJOO setzt technische Maßnahmen ein, um den Zugang zu geschützten Bereichen der Plattform auf berechtigte Nutzer zu beschränken.

Hierzu gehören insbesondere:

  • Authentifizierung der Nutzer,
  • geschützte Anmeldeverfahren,
  • Passwort-Reset-Verfahren,
  • optional angebotene externe Authentifizierungsverfahren,
  • getrennte Authentifizierungskontexte für unterschiedliche Nutzerbereiche,
  • rollenbasierte Zugriffsberechtigungen sowie

serverseitige Berechtigungsprüfungen.

Zugriffsrechte werden entsprechend der jeweiligen Rolle und Funktion des Nutzers vergeben.

3. Zugriffskontrolle und Berechtigungsmanagement

MUJOO setzt Maßnahmen ein, um sicherzustellen, dass Nutzer ausschließlich auf diejenigen personenbezogenen Daten zugreifen können, für die sie eine entsprechende Berechtigung besitzen.

Hierzu gehören insbesondere:

  • rollenbasierte Berechtigungen,
  • benutzer- und studiobezogene Zugriffsbeschränkungen,
  • Zugriffskontrollen auf Datenbankebene,
  • serverseitige Berechtigungsprüfungen,
  • Beschränkung administrativer Berechtigungen sowie

logische Trennung unterschiedlicher Nutzer- und Studiobereiche.

4. Schutz von Kundengalerien

MUJOO ist für die Nutzung durch mehrere voneinander unabhängige Verantwortliche bzw. Studios ausgelegt.

Die Daten verschiedener Verantwortlicher werden durch geeignete technische Berechtigungs- und Zuordnungsmechanismen logisch voneinander getrennt.

Hierzu gehören insbesondere:

  • Benutzer- und Studiozuordnungen,
  • datenbankseitige Zugriffsbeschränkungen,
  • rollenbezogene Berechtigungen,
  • geschützte Datei- und Speicherzugriffe sowie

serverseitige Berechtigungsprüfungen.

5. Verschlüsselung und Übertragungssicherheit

Personenbezogene Daten werden bei der Übertragung zwischen den Endgeräten der Nutzer, MUJOO und den zur Bereitstellung der Plattform eingesetzten Diensten grundsätzlich über verschlüsselte Verbindungen übertragen.

Hierzu werden insbesondere dem Stand der Technik entsprechende HTTPS-/TLS-Verbindungen eingesetzt.

Soweit für die Bereitstellung von Dateien zeitlich beschränkte oder signierte Zugriffsmöglichkeiten verwendet werden, wird der Zugriff auf die betreffenden Ressourcen entsprechend begrenzt.

6. Schutz von Passwörtern, Zugangsdaten und technischen Geheimnissen

MUJOO setzt angemessene technische Maßnahmen zum Schutz von Passwörtern, Zugangsinformationen, Zugriffstoken, API-Schlüsseln und sonstigen sicherheitsrelevanten Informationen ein.

Hierzu gehören je nach Art der betreffenden Information insbesondere:

  • kryptografische Hashverfahren für Passwörter,
  • Verschlüsselung sensibler Zugangsinformationen,
  • serverseitige Speicherung technischer Geheimnisse,
  • Beschränkung des Zugriffs auf berechtigte Systeme und Prozesse sowie

zeitlich begrenzte Zugriffsmöglichkeiten, soweit technisch vorgesehen.

Galeriepasswörter werden nicht im Klartext gespeichert.

7. Schutz von Foto-, Video- und sonstigen Dateien

Für die Speicherung und Bereitstellung von Foto-, Video- und sonstigen Mediendateien werden geeignete technische Zugriffsbeschränkungen eingesetzt.

Hierzu gehören insbesondere:

  • Zuordnung von Dateien zu den jeweiligen Nutzer- bzw. Studiobereichen,
  • serverseitig verwaltete Speicherzugriffe,
  • beschränkte Zugriffsmöglichkeiten,
  • zeitlich begrenzte bzw. signierte Dateiabrufe, soweit technisch vorgesehen, sowie

kontrollierte Löschprozesse.

8. Schutz vor unberechtigter oder missbräuchlicher Nutzung

MUJOO setzt angemessene Maßnahmen ein, um die Plattform und öffentlich erreichbare Funktionen gegen unberechtigte oder automatisierte missbräuchliche Nutzung zu schützen.

Hierzu können insbesondere gehören:

  • Zugriffsbeschränkungen,
  • Rate-Limiting,
  • technische Maßnahmen gegen automatisierte Formulareingaben,
  • Authentifizierungs- und Berechtigungsprüfungen sowie

weitere Schutzmechanismen der eingesetzten Infrastruktur.

Die eingesetzten Schutzmaßnahmen können entsprechend der technischen Entwicklung und der jeweiligen Risikolage angepasst werden.

9. Protokollierung und Nachvollziehbarkeit

Für sicherheits-, betriebs- und funktionsrelevante Vorgänge können technische Protokoll- und Statusinformationen verarbeitet werden.

Hierzu können insbesondere gehören:

  • Benutzer- und Systemaktivitäten,
  • Versandstatus technisch erforderlicher Nachrichten,
  • Bestell- und Transaktionsstatus,
  • technische Ereignisse,
  • Fehler- und Sicherheitsinformationen sowie

Protokollinformationen der eingesetzten Infrastruktur.

Der Zugriff auf solche Informationen wird entsprechend ihrer Funktion auf berechtigte Personen und Systeme beschränkt.

10. Lösch- und Vernichtungskontrolle

MUJOO stellt technische Prozesse zur Löschung personenbezogener Daten bereit.

Hierzu gehören je nach Datenart insbesondere:

  • Löschung einzelner Daten und Dateien,
  • Löschung zugehöriger Datenbankeinträge,
  • Löschmarkierungen und technisch vorgesehene Wiederherstellungsfristen,
  • automatisierte endgültige Löschprozesse,
  • Löschung von Kunden- und Studio-Daten im Rahmen der vorgesehenen Funktionen sowie

Berücksichtigung gesetzlicher Aufbewahrungspflichten.

Soweit personenbezogene Daten aufgrund gesetzlicher Aufbewahrungspflichten weiter gespeichert werden müssen, wird ihre weitere Verarbeitung auf die gesetzlich erforderlichen Zwecke beschränkt.

11. Verfügbarkeit und Wiederherstellbarkeit

MUJOO setzt cloudbasierte Infrastruktur ein und berücksichtigt angemessene Maßnahmen zur Sicherstellung der Verfügbarkeit und Wiederherstellbarkeit der für die Auftragsverarbeitung eingesetzten Systeme und Daten.

Hierzu können insbesondere gehören:

  • Verfügbarkeits- und Redundanzmechanismen der eingesetzten Cloud-Infrastruktur,
  • Sicherungs- und Wiederherstellungsmechanismen der eingesetzten Infrastrukturprovider,
  • kontrollierte Wiederherstellungsprozesse sowie

technische Maßnahmen zur Begrenzung von Datenverlusten und Betriebsunterbrechungen.

Die konkreten Maßnahmen können abhängig von der jeweils eingesetzten Infrastruktur und deren technischer Weiterentwicklung angepasst werden.

12. Eingabekontrolle und Datenintegrität

MUJOO setzt im Rahmen der vorgesehenen Plattformfunktionen Maßnahmen ein, um Datenänderungen und Verarbeitungsvorgänge angemessen nachvollziehbar zu machen und unberechtigte Veränderungen zu verhindern.

Hierzu können insbesondere gehören:

  • Benutzer- und Accountzuordnungen,
  • Zeitstempel,
  • Statusinformationen,
  • Aktivitätsinformationen,
  • technische Ereignisprotokolle sowie

Berechtigungsprüfungen bei Datenänderungen.

Eine vollständige revisionssichere Protokollierung sämtlicher Verarbeitungsvorgänge ist nur geschuldet, soweit dies ausdrücklich Bestandteil der vereinbarten Plattformfunktionen oder gesetzlich erforderlich ist.

13. Auftragskontrolle

MUJOO stellt durch geeignete technische und organisatorische Maßnahmen sicher, dass die unter diesen AVV fallenden personenbezogenen Daten grundsätzlich nur entsprechend den dokumentierten Weisungen des Verantwortlichen verarbeitet werden.

Hierzu gehören insbesondere:

  • vertragliche Regelungen zur Auftragsverarbeitung,
  • Beschränkung der Verarbeitung auf die vorgesehenen Plattformfunktionen,
  • Berechtigungs- und Zugriffskonzepte,
  • Regelungen zum Einsatz von Unterauftragsverarbeitern sowie

Verpflichtung zur Vertraulichkeit der zur Verarbeitung befugten Personen.

14. Datenschutzfreundliche Systemgestaltung

MUJOO berücksichtigt bei der Gestaltung und Weiterentwicklung der Plattform angemessene Grundsätze des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO, soweit diese auf die jeweilige Verarbeitung anwendbar sind.

Hierzu können insbesondere gehören:

  • rollenbezogene Berechtigungen,
  • Zugriffsbeschränkungen,
  • getrennte Benutzer- und Studiobereiche,
  • beschränkte Datei-Zugriffe,
  • geschützte Galerie-Zugänge,
  • Consent-Management für einwilligungsbedürftige Dienste,
  • Löschfunktionen sowie

Beschränkung der Verarbeitung auf die für die jeweilige Funktion erforderlichen Daten.

15. Kontrolle von Unterauftragsverarbeitern

Soweit MUJOO Unterauftragsverarbeiter einsetzt, werden diese entsprechend den Anforderungen des Art. 28 DSGVO ausgewählt und vertraglich eingebunden, soweit dies gesetzlich erforderlich ist.

MUJOO berücksichtigt bei der Auswahl insbesondere die Eignung des jeweiligen Dienstleisters zur angemessenen Absicherung der betreffenden Verarbeitung.

Bei Drittlandübermittlungen werden ergänzend die Anforderungen der Art. 44 ff. DSGVO berücksichtigt.

16. Überprüfung und Weiterentwicklung

MUJOO überprüft die technischen und organisatorischen Maßnahmen regelmäßig im Rahmen der Weiterentwicklung der Plattform sowie anlassbezogen bei wesentlichen Änderungen der Verarbeitung oder der Risikolage.

Die Maßnahmen können an technische, organisatorische und rechtliche Entwicklungen angepasst werden, sofern das gesetzlich erforderliche Schutzniveau dadurch nicht unterschritten wird.

Anlage 3 – Unterauftragsverarbeiter

1. Allgemeines

MUJOO ist gemäß § 12 dieser Vereinbarung berechtigt, zur Erbringung der vereinbarten Leistungen weitere Auftragsverarbeiter einzusetzen.

Der Verantwortliche erteilt MUJOO eine allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO.

MUJOO verpflichtet sich, Unterauftragsverarbeiter unter Beachtung der anwendbaren datenschutzrechtlichen Anforderungen einzusetzen und ihnen, soweit gesetzlich erforderlich, im Wesentlichen dieselben Datenschutzpflichten aufzuerlegen, die sich aus diesem AVV ergeben.

Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet oder ein Zugriff aus einem Drittland erfolgt, gelten ergänzend die Regelungen des § 13 dieses AVV.

2. Eingesetzte Unterauftragsverarbeiter

2.1 Lovable / Lovable Cloud

Dienst/Funktion:

Bereitstellung von Teilen der technischen Cloud- und Plattforminfrastruktur von MUJOO sowie, soweit genutzt, technische Infrastruktur für System- und Transaktionsnachrichten.

Mögliche verarbeitete Daten:

Je nach Nutzung insbesondere Kunden- und Kontaktdaten, Galerieinformationen, Bestell- und Interaktionsdaten, technische Plattformdaten, E-Mail-Adressen sowie weitere personenbezogene Daten, die im Rahmen der Bereitstellung der Plattform technisch verarbeitet werden.

Art der Verarbeitung:

Insbesondere Hosting, technische Verarbeitung und Bereitstellung von Plattformfunktionen.

Drittlandbezug:

Ein Drittlandbezug kann abhängig von der konkret eingesetzten Infrastruktur und den vom Anbieter eingesetzten weiteren Dienstleistern nicht ausgeschlossen werden.

2.2 Supabase

Dienst/Funktion:

Datenbank-, Authentifizierungs- und gegebenenfalls Speicherinfrastruktur.

Mögliche verarbeitete Daten:

Je nach Nutzung insbesondere:

  • Kunden- und Kontaktdaten,
  • Galerie- und Shootingdaten,
  • Favoriten und Bildauswahlen,
  • Bestellinformationen,
  • Termine,
  • Nachrichten und Notizen,
  • Benutzer- und Authentifizierungsdaten sowie

sonstige über MUJOO gespeicherte personenbezogene Daten.

Art der Verarbeitung:

Speicherung, Organisation, Abruf und Bereitstellung von Datenbank-, Authentifizierungs- und gegebenenfalls Speicherdaten.

Drittlandbezug:

Ein Drittlandbezug richtet sich nach der konkret eingesetzten Infrastruktur, der gewählten Verarbeitungsregion und den vom Anbieter eingesetzten weiteren Dienstleistern.

2.3 Cloudflare / Cloudflare R2

Dienst/Funktion:

Objektspeicher sowie technische Speicherung und Bereitstellung von Foto-, Video- und sonstigen Mediendateien.

Mögliche verarbeitete Daten:

  • Fotografien,
  • Videos,
  • Dateinamen,
  • Dateipfade,
  • technische Dateiinformationen,
  • in den Dateien enthaltene Metadaten sowie

technische Zugriffsinformationen.

Art der Verarbeitung:

Speicherung, Übertragung, Bereitstellung und Löschung von Dateien.

Drittlandbezug:

Ein Drittlandbezug kann abhängig von der eingesetzten Infrastruktur und der konkreten Verarbeitung nicht ausgeschlossen werden.

2.4 Google – Google Calendar API / Google Meet

Nur relevant, soweit der Verantwortliche die entsprechende Integration aktiviert und nutzt.

Dienst/Funktion:

Optionale Synchronisierung und Verwaltung von Terminen über Google Calendar sowie, soweit genutzt, Bereitstellung von Google-Meet-Funktionen.

Mögliche verarbeitete Daten:

  • Termindaten,
  • Datum und Uhrzeit,
  • Terminbezeichnungen und Terminangaben,
  • Teilnehmerinformationen,
  • E-Mail-Adressen von Teilnehmern sowie

für die technische Verbindung erforderliche Authentifizierungs- und Zugriffsinformationen.

Art der Verarbeitung:

Übermittlung, Synchronisierung und Verwaltung von Kalender- und Termininformationen auf Veranlassung des Verantwortlichen.

Drittlandbezug:

Bei der Nutzung von Google-Diensten kann eine Verarbeitung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums stattfinden. In diesem Fall gelten die Anforderungen der Art. 44 ff. DSGVO.

3. Abgrenzung weiterer Dienste

Nicht jeder von MUJOO eingesetzte externe Dienst ist automatisch Unterauftragsverarbeiter im Sinne dieses AVV.

Dienste, die MUJOO für Verarbeitungen einsetzt, bei denen MUJOO selbst Verantwortlicher ist, oder bei denen der jeweilige Anbieter hinsichtlich der konkreten Verarbeitung selbst als Verantwortlicher handelt, sind insoweit nicht Bestandteil der Unterauftragsverarbeitung dieses AVV.

Dies kann insbesondere Dienste betreffen, die für folgende Zwecke eingesetzt werden:

  • Reichweitenmessung und Analyse der MUJOO-Webseite,
  • Bereitstellung externer Webinhalte,
  • Authentifizierung des MUJOO-Studio-Nutzers über externe Login-Anbieter,
  • Abrechnung des MUJOO-Abonnements sowie

Zahlungsabwicklung, soweit der jeweilige Zahlungsdienstleister für die betreffende Verarbeitung selbst datenschutzrechtlich verantwortlich ist.

Die datenschutzrechtliche Einordnung richtet sich jeweils nach der konkreten Verarbeitung und der Rolle der beteiligten Parteien.

4. Änderungen der Unterauftragsverarbeiter

MUJOO kann die Liste der eingesetzten Unterauftragsverarbeiter im Rahmen der Weiterentwicklung der Plattform ändern.

Über die beabsichtigte Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters wird der Verantwortliche entsprechend Art. 28 Abs. 2 DSGVO informiert.

Dem Verantwortlichen wird die Möglichkeit eingeräumt, aus nachvollziehbaren datenschutzrechtlichen Gründen gegen eine Änderung Einspruch zu erheben.

Die jeweils aktuelle Liste der im Rahmen dieses AVV eingesetzten Unterauftragsverarbeiter wird durch MUJOO in geeigneter elektronischer Form zur Verfügung gestellt.

5. Vertragliche Absicherung

MUJOO stellt sicher, dass Unterauftragsverarbeiter, soweit Art. 28 DSGVO dies erfordert, durch geeignete vertragliche Vereinbarungen datenschutzrechtlich eingebunden werden.

Bei Übermittlungen personenbezogener Daten in Drittländer werden zusätzlich die Anforderungen der Art. 44 ff. DSGVO berücksichtigt.