Fassung vom 16.10.2026
zwischen dem Kunden von picvault.cc, der eine PICvault-Instanz betreibt (Verantwortlicher), und Dominic Haussmann (dhnhome.de), An der Floeth 25a, 47929 Grefrath, Deutschland (Auftragsverarbeiter). Der Vertrag wird mit der Registrierung geschlossen und ergänzt die AGB (Hauptvertrag). Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen eine PICvault-Instanz bereit und betreibt sie: Speichern und Ausliefern von Fotos, Galerien und Portfolios, Favoriten, Kommentare, Fotobücher, Shop-Bestellungen, Anmeldungen und Zugangscodes (Schule & Kita), Importe aus anderen Galerie-Diensten sowie den Versand von E-Mails im Namen des Verantwortlichen.
(2) Der Vertrag gilt für die Laufzeit des Hauptvertrags einschließlich der Testphase und endet erst, wenn alle Daten nach § 9 gelöscht sind.
(1) Art und Zweck: Hosting, Speicherung, Bildbearbeitung (Vorschauen, Wasserzeichen), Auslieferung und Übermittlung an die vom Verantwortlichen bestimmten Empfänger – ausschließlich, damit der Verantwortliche seinen Kunden Fotos bereitstellen und verkaufen kann.
(2) Datenarten: Fotos und deren Metadaten (EXIF), Namen, E-Mail-Adressen, Anschriften und Telefonnummern aus Bestellungen und Anmeldungen, Kommentare, Favoriten, Zugangscodes, Einwilligungen, Zugangsdaten von Mitarbeitenden, technische Zugriffsdaten (IP-Adresse, Zeitpunkt, Browser). Fotos können Kinder zeigen und Rückschlüsse auf besondere Kategorien nach Art. 9 DSGVO zulassen; eine biometrische Auswertung (z. B. Gesichtserkennung) findet nicht statt.
(3) Betroffene: Kunden und Interessenten des Verantwortlichen, abgebildete Personen (auch Kinder), Eltern und Sorgeberechtigte, Besucher der Galerien, Mitarbeitende des Verantwortlichen.
(4) Fotos und Datenbanken werden dauerhaft ausschließlich in Rechenzentren in der EU gespeichert (EU-Jurisdiktion). Für die Auslieferung (einschließlich kurzzeitiger Zwischenspeicherung von Vorschauen im Cache), die Erzeugung von Vorschauen und Wasserzeichen, den E-Mail-Versand und kurzlebige Betriebsprotokolle nutzt der Unterauftragsverarbeiter Cloudflare sein weltweites Netz; dabei können Daten vorübergehend auch in Drittländern, insbesondere in den USA, verarbeitet werden. Der Verantwortliche genehmigt diese Übermittlung; sie ist durch das EU-US Data Privacy Framework und die Standardvertragsklauseln der EU-Kommission (Cloudflare Data Processing Addendum) abgesichert. Jede weitere Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und der Voraussetzungen der Art. 44 ff. DSGVO.
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; dann teilt er dies vorher mit, soweit das Gesetz es nicht verbietet. Einstellungen und Aktionen des Verantwortlichen in der Verwaltung sind dokumentierte Weisungen; weitere Weisungen erteilt er in Textform an info@dhnhome.de.
(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
Der Verantwortliche ist für die Zulässigkeit der Verarbeitung verantwortlich, insbesondere für Einwilligungen abgebildeter Personen und Sorgeberechtigter, die Information der Betroffenen und eine eigene Datenschutzerklärung in seinen Galerien. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Auf Inhalte der Instanz greift er nur zu, soweit es für Betrieb, Fehlerbehebung, Sicherheit oder auf Bitte des Verantwortlichen nötig ist.
Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt; wesentliche Änderungen dokumentiert er.
(1) Der Verantwortliche genehmigt die Unterauftragsverarbeiter aus Anlage 2.
(2) Über die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund binnen 14 Tagen widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.
(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die Art. 28 Abs. 3 DSGVO und dem Schutzniveau dieses Vertrags entsprechen, und haftet für sie nach Art. 28 Abs. 4 DSGVO.
(4) Dienste, die der Verantwortliche selbst anbindet (z. B. Druckdienstleister wie Picanova, eigene Zahlungsanbieter), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; den Vertrag mit ihnen schließt der Verantwortliche selbst.
(1) Betroffenenrechte: Die Verwaltung bietet die nötigen Funktionen, um Daten einzusehen, zu berichtigen, herunterzuladen und zu löschen. Wenden sich Betroffene direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
(2) Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar, und trifft die nötigen Maßnahmen zur Eindämmung.
(3) Er unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Meldung an die Aufsichtsbehörde und der Benachrichtigung Betroffener (Art. 33, 34 DSGVO), bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO) sowie bei Anfragen von Aufsichtsbehörden.
(1) Der Verantwortliche kann seine Fotos jederzeit selbst herunterladen (Original-Downloads, ZIP je Album). Nach Vertragsende bleibt die Instanz 30 Tage lesbar, damit er seine Daten sichern kann; endet nur die Testphase ohne Abo, gilt dasselbe ab ihrem Ende.
(2) Danach nimmt der Auftragsverarbeiter die Instanz offline und löscht alle Daten der Instanz (Datenbank und Speicher) spätestens 30 Tage später automatisch; nach einer Testphase ohne Abo löscht er sie ohne Offline-Zeit. Die Löschung kündigt er mindestens 7 Tage vorher per E-Mail an. Sicherungen der Infrastruktur laufen spätestens 30 Tage nach der Löschung ab. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters für eigene Rechnungsdaten bleiben unberührt. Auf Wunsch bestätigt er die Löschung in Textform.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit, insbesondere diesen Vertrag, Anlage 1 und Nachweise der Unterauftragsverarbeiter (z. B. ISO-27001- und SOC-2-Berichte von Cloudflare).
(2) Darüber hinaus ermöglicht er Überprüfungen durch den Verantwortlichen oder einen zur Verschwiegenheit verpflichteten Prüfer nach Vorankündigung von mindestens 14 Tagen, während der Geschäftszeiten und ohne Störung des Betriebs. Kontrollen bei Cloudflare erfolgen über deren Berichte und Zertifikate.
(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.
(2) Änderungen dieses Vertrags teilt der Auftragsverarbeiter mit wie in den AGB vorgesehen. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht.
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (EU-Vertretung: Cloudflare Germany GmbH, München) – Hosting und Auslieferung (Workers, CDN), Fotos (R2), Datenbanken (D1, Durable Objects), Bildbearbeitung (Images), E-Mail-Versand. Dauerhafte Speicherung und Datenbanken mit EU-Jurisdiktion ausschließlich in der EU; Auslieferung (mit Zwischenspeicherung im Cache), Bildbearbeitung und E-Mail-Versand laufen über das weltweite Netz von Cloudflare (§ 2 Abs. 4). Betriebsprotokolle mit Verbindungsdaten (Workers Logs) werden höchstens 7 Tage aufbewahrt. Garantien: EU-US Data Privacy Framework, Standardvertragsklauseln (Cloudflare Data Processing Addendum).