Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
§ 1 Gegenstand, Daten, Betroffene
Verarbeitet werden Bilddaten von Personen auf den Fotos des Verantwortlichen und personenbezogene Angaben in Auftragsnotizen, ausschließlich zur Erbringung von STYLEPOT STUDIO (Bilderzeugung, Speicherung, Download, Support), für die Dauer des Nutzungsvertrags. Besondere Kategorien (Art. 9 DSGVO) werden nicht verarbeitet.
§ 2 Weisungen und Vertraulichkeit
Verarbeitung nur auf Weisung des Verantwortlichen: Aufträge und Einstellungen im Studio sowie Weisungen an studio@stylepot.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin. Alle Beteiligten sind zur Vertraulichkeit verpflichtet. Keine Nutzung für eigene Zwecke, insbesondere kein Training von KI-Modellen.
§ 3 Sicherheit und Unterstützung
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO (Anlage). Er unterstützt bei Betroffenenanfragen und den Pflichten nach Art. 32 bis 36 DSGVO und meldet Datenschutzverletzungen unverzüglich, möglichst binnen 24 Stunden.
§ 4 Unterauftragsverarbeiter
Genehmigt sind Dienstleister für Hosting (Deutschland), KI-Bildverarbeitung und Videoerzeugung. Die aktuelle Liste erhält der Verantwortliche auf Anfrage. Über neue Unterauftragsverarbeiter informiert der Auftragsverarbeiter 14 Tage vorher per E-Mail; der Verantwortliche kann aus wichtigem Grund widersprechen und den Vertrag kündigen. Drittlandübermittlungen nur nach Art. 44 ff. DSGVO.
§ 5 Nachweise, Löschung, Schluss
Nachweise auf Anfrage; Kontrollen vor Ort höchstens einmal jährlich nach 14 Tagen Ankündigung, auf eigene Kosten. Inhalte sind im Studio jederzeit herunterladbar und löschbar; nach Vertragsende werden sie binnen 30 Tagen gelöscht. Haftung nach Art. 82 DSGVO, im Übrigen gelten die AGB. Deutsches Recht, Gerichtsstand Rosenheim, soweit zulässig.
Anlage: Technische und organisatorische Maßnahmen
- Server in zertifizierten Rechenzentren in Deutschland, Zugriff nur per SSH-Schlüssel
- Persönliche Konten, Passwörter nur als Hash, Rollen und Rechte, Einsicht in Kundenbilder nur mit gesonderter Berechtigung und Protokoll
- Inhalte je Kundenkonto getrennt; Übertragung nur verschlüsselt (TLS)
- An KI-Dienste nur die für den Schritt nötigen Bilder; Köpfe werden vor der Bilderzeugung entfernt
- Protokoll für Anmeldungen und Änderungen; Datensicherung; Löschfristen wie oben