(Stand 15.07.2026)
a) Folgende Allgemeine Geschäftsbedingungen (AGB) sind Bestandteil aller Verträge (in schriftlicher sowie elektronischer Form) mit der Firma Portraitbox GmbH, vertreten durch den Geschäftsführer David Wendt, Am Steinhof 4a, 33106 Paderborn, Deutschland (nachfolgend "Fotografensuche" genannt) die über fotografensuche.de, fotografensuche.at oder fotografensuche.ch geschlossen werden.
b) Abweichende AGBs der nationalen und internationalen Vertragspartner werden nicht Vertragsbestandteil. Nebenabreden und sonstige Abweichungen von unseren Verträgen, Lizenzbedingungen bzw. von diesen AGB bedürfen der Schriftform.
c) Wenn und soweit Fotografensuche Auftragsverarbeiter ist, gelten die unten beigefügten ergänzenden Bedingungen zur Auftragsverarbeitung.
Nutzer:
Als Nutzer gelten sämtliche Besucher der Portale fotografensuche.de, fotografensuche.at und fotografensuche.ch, insbesondere auch Kunden, Anbieter von Bildern und Waren, potenzielle Kunden, potenzielle Anbieter und Gelegenheitsbesucher, etc.
Anbieter:
Als Anbieter gelten diejenigen Nutzer von fotografensuche.de, fotografensuche.at und fotografensuche.ch die sich für die Fotografensuche auf der Plattform eintragen lassen. Das Angebot zur Nutzung der Plattform als Anbieter richtet sich nur an Unternehmer.
Kunde:
Als Kunde gelten diejenigen Besucher von fotografensuche.de, fotografensuche.at und fotografensuche.ch die auf der Plattform Waren und Dienstleistungen von den Anbietern beziehen und/oder beziehen wollen. Potenzielle Kunden werden ebenfalls von dem Begriff umfasst.
a) Die Plattform umfasst die Fotografensuchfunktion (fotografensuche.de, fotografensuche.at und fotografensuche.ch).
aa) Anbieter können sich ebenfalls dafür registrieren, bei der Funktion "Fotografensuche" aufgenommen zu werden und ein eigenes Profil anzulegen. Mit der Registrierung entsteht ein Vertragsverhältnis über die Nutzung ("Nutzungsvertrag") zwischen "Fotografensuche" und dem registrierten Nutzer. Die Registrierung zur Fotografensuche ist kostenlos. Ein Anspruch auf Abschluss eines Nutzungsvertrags besteht nicht. Eingabefehler können vor Absenden der Registrierung mittels der üblichen Tastatur- und Mausfunktionen berichtigt werden. Nach Eingang der verbindlichen Registrierungsanfrage des Anbieters bei "Fotografensuche" erhält der Anbieter eine E-Mail, die den Eingang der Registrierungsanfrage bestätigt.
ab) Für die Fotografensuche kann der Anbieter unter verschiedenen Angebotsversionen (Free, Premium, Pro) von "Fotografensuche" wählen. Die auf der Webseite dargestellten Angebote stellen kein Angebot im juristischen Sinne dar. Mit der Bestellung erklärt der Anbieter verbindlich sein Vertragsangebot zur Nutzung der Fotografensuche auf der Plattform. Eingabefehler können vor Absenden der Bestellung mittels der üblichen Tastatur- und Mausfunktionen berichtigt werden. Mit Mausklick auf den die Bestellung abschließenden Button unterbreitet der Anbieter ein verbindliches Vertragsangebot. Nach Eingang des Angebots des Anbieters bei "Fotografensuche" wird die Annahme des Vertrages von "Fotografensuche" ausdrücklich dem Anbieter per E-Mail oder Briefpost bestätigt. Der Vertragstext wird von "Fotografensuche" gespeichert und wird dem Anbieter per E-Mail zugesandt.
ac) Mit der kostenlosen Registrierung (Paket Free) entsteht ein Vertragsverhältnis über die Nutzung (Nutzungsvertrag) zwischen "Fotografensuche" und dem registrierten Nutzer. Ein Anspruch auf Abschluss eines Nutzungsvertrags besteht nicht. Eingabefehler können vor Absenden der Registrierung mittels der üblichen Tastatur- und Mausfunktionen berichtigt werden. Nach Eingang der verbindlichen Registrierungsanfrage des Anbieters bei "Fotografensuche" erhält der Anbieter eine E-Mail, die den Eingang der Registrierungsanfrage bestätigt.
ad) Der Kunde kann über die Fotografensuche eine allgemeine, kostenlose Anfrage starten. Hierzu muss er verschieden Pflichtangaben über das Anfrageformular an "Fotografensuche" übersenden. Darüberhinausgehende Angaben sind freiwillig. Diese Anfrage wird an die infrage kommenden Anbieter, je nach gewähltem Paket, weitergeleitet. Wenn ein Anbieter sich für die Anfrage interessiert, übermittelt "Fotografensuche" die Nutzerdaten an den Fotografen. Der Anbieter muss innerhalb von drei Tagen nach Übermittlung der Daten Kontakt zu dem anfragenden Nutzer aufnehmen. "Fotografensuche" übernimmt keine Gewähr, dass ein Fotograf Kontakt zu dem Kunden aufnimmt.
ae) Der Kunde kann eine kostenlose Direktanfrage an ein bestimmtes Fotostudio übersenden. Hierzu muss er verschiedene er verschieden Pflichtangaben über das Anfrageformular an "Fotografensuche" übersenden. Darüberhinausgehende Angaben sind freiwillig. Diese Anfrage wird an das Fotostudio weitergeleitet.
Wenn sich das Fotostudio für die Anfrage interessiert, übermittelt "Fotografensuche" die Nutzerdaten kostenpflichtig an den Fotografen. Dieser muss innerhalb von drei Tagen nach übermittlung der Daten Kontakt zu dem anfragenden Nutzer aufnehmen. "Fotografensuche" übernimmt keine Gewähr, dass ein Fotograf keinen Kontakt zu dem Kunden aufnimmt.
b) Der Anbieter hat die im Bestellformular bzw. Registrierungsformular abgefragten Vertragsdaten vollständig und korrekt anzugeben, wenn und soweit diese nicht als freiwillige Angaben gekennzeichnet sind. Die Angabe von Künstlernamen, Pseudonymen oder sonstigen Fantasiebezeichnungen im Rahmen der Personennameabfrage ist nicht gestattet. Ebenso untersagt ist es, bei der Bestellung fremde oder sonst unzutreffender Angaben anzugeben. Sofern sich die erhobenen Daten nach der Bestellung ändern, ist der Anbieter verpflichtet, sein Profil unverzüglich dahingehend zu aktualisieren oder aber "Fotografensuche" die geänderten Daten anderweitig zu übermitteln.
c) Der Anbieter muss sein Kennwort geheim halten und den Zugang zu seinem Mitgliedskonto sorgfältig sichern. Der Anbieter ist verpflichtet, "Fotografensuche" umgehend zu informieren, wenn es Anhaltspunkte dafür gibt, dass ein Mitgliedskonto von Dritten missbraucht wurde.
d) Untersagung von Mehrfacheinträgen: Jeder Anbieter darf sich nur einmal in der Fotografensuche registrieren. Mehrfacheinträge desselben Unternehmens oder derselben Person sind nicht gestattet und werden von uns ohne vorherige Ankündigung gelöscht. Diese Regelung dient der Fairness gegenüber anderen Studios und der Qualität unserer Plattform.
a) Das Urheber- und Nutzungsrecht für veröffentlichte, von "Fotografensuche" erstellte Objekte (Internetseiten, Scripts, Programme, Grafiken) bleibt allein bei "Fotografensuche".
b) Der Anbieter erhält mit Vertragsschluss über die "Fotografensuche" ein einfaches, räumlich unbegrenztes Recht, das Portal nach dem im Vertrag vereinbarten Umfang für ausschließlich eigene Zwecke für die Dauer des Vertrages zu nutzen. Weitergehende Rechte, insbesondere zur Vervielfältigung über das für die vertragsgemäße Nutzung notwendige Maß hinaus, werden nicht eingeräumt.
Etwaige Rechte aus § 69 d Abs. 2 und 3, 69 e UrhG bleiben unberührt.
c) Eine Vervielfältigung oder Verwendung von Elementen des Portals in anderen elektronischen oder gedruckten Publikationen, insbesondere auf anderen Internetseiten, ist ohne ausdrückliche Zustimmung von "Fotografensuche" nicht gestattet. Das umfassende Urheberrecht mit allen Befugnissen
nach den §12 bis §27 UrhG an allen im Rahmen der Vertragsanbahnung und einschließlich Gewährleistung und Wartung erstellten Unterlagen, Informationen und Vertragsgegenstände steht ausschließlich "Fotografensuche" zu, es sei denn, es ist schriftlich anders vereinbart.
a) "Fotografensuche" übernimmt die technische Präsentations-Eingliederung des Fotografenprofils der Anbieter in die Plattform. "Fotografensuche" stellt die technische Umsetzung des Portals zur Verfügung.
b) Der Anbieter hat die Möglichkeit auf dem Portal ein Leistungsangebot zu erstellen. Bei übereinkunft von Anbieter und seinem Kunden über die jeweilige Leistung und Abgabe von rechtlich verbindlichen Vertragserklärungen kommt grundsätzlich zwischen dem Anbieter und dem Kunden ein Vertrag über die jeweilige Leistung zustande. "Fotografensuche" wird diesbezüglich kein Vertragspartner, sondern tritt ausschließlich als Vermittler auf
c) Die Angaben unter 5.b) gelten auch für die Fotografensuche. "Fotografensuche" vermittelt lediglich die Nutzerdaten, damit der Anbieter Kontakt zu den Nutzern aufnehmen kann. Ein Vertragsverhältnis kommt hier ebenfalls zwischen dem Anbieter und dem Nutzer zustande. "Fotografensuche" übernimmt keine Gewähr für die Richtigkeit der eingegebenen Daten des Kunden oder dass der Kunde tatsächlich über diese Daten erreichbar ist. "Fotografensuche" übermittelt lediglich die Daten an den Fotografen. Eine überprüfung findet nicht statt.
d) Der Anbieter ist dafür verantwortlich, dass die von ihm etwa gelieferten Inhalte (Präsentationstext, Produktbeschreibungen, Bildmaterial, etc.) vollumfänglich frei von Rechten Dritter sind und auch aus rechtlicher Sicht für diese Nutzungen geeignet sind und zur Verfügung gestellt werden dürfen.
e) Der Anbieter stellt "Fotografensuche" von sämtlichen Ansprüchen, einschließlich Schadensersatzansprüchen, frei, die Dritte gegen "Fotografensuche" wegen einer Verletzung ihrer Rechte durch die vom Anbieter auf den Webseiten von "Fotografensuche" eingestellten Inhalte gegen "Fotografensuche" geltend machen. Der Anbieter übernimmt alle "Fotografensuche" aufgrund dieser Verletzung von Rechten Dritter entstehenden angemessenen Kosten, einschließlich der für die Rechtsverteidigung entstehenden angemessenen Kosten. Alle weitergehenden Rechte sowie Schadensersatzansprüche von "Fotografensuche" bleiben unberührt
f) "Fotografensuche" darf die Präsentation (jegliche Texteingaben und Darstellungen) jederzeit auf deren Zulässigkeit prüfen bzw. prüfen lassen. Hat "Fotografensuche" den Verdacht, dass eine Präsentation gegen die AGB, Geschäftspolitik der Plattform (insbesondere der Bestimmungen diese AGB), Gesetzesbestimmungen oder gegen Rechte Dritter verstößt, darf "Fotografensuche" die betreffende Präsentation jederzeit ohne Angabe eines Grundes und ohne dass dies irgendwelche Pflichten für "Fotografensuche" nach sich zieht, aus der Plattform entfernen.
g) "Fotografensuche" hat das Recht, Angebote und Inhalte von Anbietern technisch so zu bearbeiten, aufzubereiten und anzupassen, dass diese auch auf mobilen Endgeräten oder Softwareapplikationen von Dritten dargestellt werden können.
h) Grundsätzlich können im Rahmen der Rechtsordnung alle Leistungen über das Portal im Fotografiebereich angeboten werden. Der Anbieter ist verpflichtet, seine Angebote wahrheitsgetreu zu beschreiben und haftet für entsprechende rechtliche Informations- und Kennzeichnungspflichten sowie etwaige Genehmigungen seines Angebotes.
a) Der Anbieter versichert, ein Handelsgewerbe zu betreiben oder wie Kaufleute im Rechtsverkehr aufzutreten und/oder so behandelt zu werden (z.B. Freiberufler). Der Nachweis kann durch die Angabe der Umsatzsteueridentifikationsnummer bei Nachfrage seitens "Fotografensuche" geschehen. Privatpersonen sind vom Handel in der Rolle als Anbieter auf der Plattform ausgeschlossen.
b) Der Anbieter, der ein Fotografenprofil in der Fotografensuche eröffnet hat, räumt "Fotografensuche" hinsichtlich etwaiger im Profil zur Verfügung gestellter Materialien ein jeweils einfaches Nutzungsrecht für Werbe- und Marketingzwecke nur nach den folgenden Bedingungen ein: "Fotografensuche" wählt unter allen auf der Plattform dargestellten Fotos Highlightfotos aus und veröffentlicht diese zu Werbezwecken in den eigenen Profilen von "Fotografensuche" unter Facebook, X (ehem. Twitter), Instagram und Pinterest.
c) Der Anbieter ist für die rechtliche Ausgestaltung seiner Internetpräsenz selber verantwortlich und hat für die Bereitstellung rechtlich notwendiger Texte (Impressum, Widerrufserklärung, Datenschutzerklärung, Versandkosten, etc.) selber zu sorgen.
d) Anbieter dürfen Adressen, Kontaktdaten und sonstige personenbezogenen Daten, die sie durch die Nutzung der Plattform erhalten haben, für keine anderen Zwecke nutzen, als für die vertragliche und vorvertragliche Kommunikation bzw. für die jeweiligen vertraglichen Zwecke. Insbesondere ist es verboten, diese Daten weiterzuverkaufen oder sie für die Zusendung von Werbung zu nutzen, es sei denn, der jeweilige Nutzer hat diesem ausdrücklich vorher zugestimmt.
e) Der Anbieter hat die Auftragskonditionen aus dem Vertragsverhältnis mit "Fotografensuche" vertraulich zu behandeln.
f) Der Anbieter ist selbst dafür verantwortlich, auf der Plattform einsehbare und von "Fotografensuche" gespeicherte Informationen, die er zu Zwecken der Beweissicherung, Buchführung usw. benötigt, auf einem von der Plattform unabhängigen Speichermedium zu archivieren.
g) Der Anbieter verpflichtet sich, die Leistung gemäß dem Vertrag über die Fotografensuche mit dem Kunden ordnungsgemäß vorzunehmen. Im Falle einer Rückabwicklung des Vertrages erfolgt diese direkt zwischen dem Anbieter und dem einzelnen Kunden. Der Vermittler braucht lediglich bei Streitigkeiten bezüglich des Vertrages mit dem Kunden auf die Haftung des Anbieters zu verweisen.
h) Der Anbieter verpflichtet sich, in seinem Profil ausschließlich die tatsächliche und vollständige Geschäftsadresse anzugeben. Sollten falsche oder unvollständige Adressdaten hinterlegt werden, behält sich der Betreiber das Recht vor, das Profil vorübergehend zu deaktivieren oder dauerhaft zu entfernen.
a) Premium- und Pro-Profile
Die Nutzung eines Premium- oder Pro-Profils ist kostenpflichtig und es wird eine monatliche Vergütung vereinbart.
b) Die Preise werden mit Zugang der Rechnung fällig. Die Rechnung gilt als zugegangen, wenn sie im E-Mail-Account des Kunden zur Verfügung steht.
c) Der Anbieter kann die Zahlung des Rechnungsbetrags wahlweise über das Lastschriftverfahren oder den Zahlungsdienstleister Stripe vornehmen.
Lastschriftverfahren:
Wählt der Anbieter das Lastschriftverfahren, erteilt er "Fotografensuche" eine Einzugsermächtigung. "Fotografensuche" zieht den Rechnungsbetrag nach Zugang der Rechnung vom Konto des Anbieters ein. Wird eine Lastschrift aufgrund vom Anbieter zu vertretender Gründe, wie fehlerhafte Angaben, Widerruf oder unzureichender Kontodeckung, nicht ausgeführt, können dem Anbieter die entstehenden Kosten bis zu 25,00 € in Rechnung gestellt werden. Der Anbieter verpflichtet sich, Änderungen seiner Kontodaten unverzüglich mitzuteilen.
Zahlung über Stripe:
Alternativ kann der Anbieter den Rechnungsbetrag über den Zahlungsdienstleister Stripe begleichen. Über Stripe stehen folgende Zahlungsarten zur Verfügung: Apple Pay, Google Pay, Amazon Pay, Kreditkarte, Klarna, GiroPay. Die Auswahl der Zahlungsart erfolgt durch den Anbieter beim Bezahlvorgang. Für Zahlungen über Stripe gelten die jeweiligen Bedingungen des Zahlungsanbieters. Sollte eine Zahlung über Stripe aus Gründen, die der Anbieter zu vertreten hat, nicht durchgeführt werden können (z.B. fehlerhafte Angaben oder unzureichende Deckung), können dem Anbieter die von Stripe in diesem Zusammenhang entstandenen Gebühren in Rechnung gestellt werden. Die AGB von Stripe Payments Europe können auf der Websitehttps://stripe.com/de/legal/ssa eingesehen werden.
a) Bei Überschreitung der Zahlungsfristen ist "Fotografensuche" berechtigt die gesetzlich festgesetzten Verzugszinsen zu erheben.
b) Bei Zahlungsverzug des Anbieters ist "Fotografensuche" ebenfalls berechtigt, die bereitgestellten Dienste auf Kosten des Anbieters zu sperren. Der Anbieter bleibt in diesem Fall verpflichtet, die monatlichen Preise zu zahlen.
c) Gerät der Anbieter für zwei aufeinander folgende Monate mit der Bezahlung der Preise bzw. eines überwiegenden Teils hiervon oder in einem Zeitraum, der sich über mehrere Monate erstreckt, mit der Bezahlung der Preise in Höhe eines Betrages, der den monatlichen Vergütungsbetrag für zwei Monate erreicht, in Rückstand, kann "Fotografensuche" das Vertragsverhältnis ohne Einhaltung einer Frist kündigen. Die Geltendmachung weiterer Ansprüche wegen Zahlungsverzugs bleibt "Fotografensuche" vorbehalten.
d) Ergänzend gilt bei Vertragsverhältnissen, bei denen sich der Anbieter zur Zahlung eines Paketpreises verpflichtet hat, dass "Fotografensuche" im Falle der von ihr vorgenommenen Kündigung berechtigt ist, vom Anbieter pauschalierten Schadensersatz in Höhe von 50 % des Paketpreises zu verlangen, der bis zum Ende der Mindestvertragslaufzeit zu zahlen gewesen wäre. Dies gilt nicht, sofern der Anbieter nachweist, dass kein Schaden entstanden oder der tatsächlich entstandene Schaden wesentlich geringer als die Pauschale ist. Der Anbieter ist nur dann zum Rücktritt vom Vertragsverhältnis berechtigt, wenn "Fotografensuche" eine vom Kunden gesetzte Nachfrist nicht einhält, die mindestens zwei Wochen betragen muss.
a) Für Schäden, die an anderen Rechtsgütern als dem Leben, Körper oder Gesundheit entstehen ist die Haftung von "Fotografensuche" gegenüber dem Nutzer ausgeschlossen, soweit die Schäden nicht auf vorsätzlichem oder grob fahrlässigem Verhalten von "Fotografensuche", eines von dessen gesetzlichen Vertreters oder eines von dessen Erfüllungsgehilfen beruhen oder das Verhalten auch keine Verletzung von vertragswesentlichen Pflichten ist. Wesentliche Vertragspflichten sind solche Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Nutzer regelmäßig vertrauen darf. Die genannten Haftungsausschlüsse und Beschränkungen gelten nicht im Fall der Übernahme ausdrücklicher Garantien durch "Fotografensuche" sowie bei Ansprüchen wegen fehlender zugesicherter Eigenschaften oder soweit Ansprüche nach dem Produkthaftungsgesetz betroffen sind.
b) Für die Wiederbeschaffung von Daten gilt, dass "Fotografensuche" nur insoweit haftet, soweit der Nutzer alle erforderlichen und zumutbaren Datensicherungsvorkehrungen getroffen und sichergestellt hat, dass die Daten aus Datenmaterial, das in maschinenlesbarer Form bereitgehalten wird, mit vertretbarem Aufwand rekonstruiert werden können.
c) Der Anwender/Betrachter hat im Browser (Betrachtungssoftware für Internetseiten) individuelle Einstellmöglichkeiten, die die Darstellungsweise der Seiten verändern können. Die verschiedenen Browser interpretieren den Quellcode zum Teil ebenfalls unterschiedlich, was zu unterschiedlichen Darstellungsarten führen kann. "Fotografensuche" übernimmt deshalb keine Garantie oder Gewähr dafür, dass die HTML-Dokumente mit allen Browsern völlig identisch dargestellt werden.
d) "Fotografensuche" ist bestrebt, den Zugang zu dem Dienst 24 Stunden täglich und sieben Tage pro Woche zur Verfügung zu stellen. Vorübergehende Betriebsunterbrechungen aufgrund der üblichen Wartungsarbeiten, Störungen des Internets bei fremden Providern oder bei fremden Netzbetreibern sowie im Falle höherer Gewalt sind jedoch möglich. Es besteht deshalb kein Anspruch auf eine jederzeitige und ununterbrochene Zugänglichkeit der Plattform.
a) Der Vertrag über die Nutzung der Fotografensuche wird für einen Monat geschlossen.
b) Das Vertragsverhältnis über die Nutzung der Fotografensuche ist für beide Vertragspartner frühestens zum Ablauf der Mindestvertragslaufzeit kündbar. Die Kündigung muss dem Vertragspartner mindestens 7 Tage vor Ablauf der Mindestvertragslaufzeit schriftlich zugehen.
c) Soweit das Vertragsverhältnis über die Nutzung der Fotografensuche von keinem Vertragspartner gekündigt wird, verlängert sich das Vertragsverhältnis automatisch jeweils um einen Monat. Für die Kündigung der jeweils folgenden 1-monatigen Vertragslaufzeiten gilt ebenfalls eine Kündigungsfrist von 7 Tagen.
d) Das Recht der Vertragsparteien zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist bleibt unberührt. Ein wichtiger Grund liegt vor, wenn ein Vertragspartner die in diesem Vertrag ausdrücklich geregelten Pflichten grob verletzt, sowie insbesondere dann, wenn über das Vermögen der anderen Vertragspartei das Insolvenzverfahren eröffnet wird oder die andere Vertragspartei insolvent oder zahlungsunfähig wird.
e) Alle Kündigungen nach diesem Vertrag haben in Textform zu erfolgen.
a) Die Vertragsparteien verpflichten sich, Betriebs- und Geschäftsgeheimnisse, die sie – einschließlich ihrer Erfüllungsgehilfen – anlässlich der Vertragsanbahnung oder der Vertragserfüllung erlangt haben, vertraulich zu behandeln. Diese Verpflichtungen gelten nicht für Informationen, Kenntnisse und Erfahrungen, die
aa) nachweislich ohne Verletzung dieser Geheimhaltungsverpflichtung allgemein bekannt sind,
ab) den Parteien bereits vor Erhalt der Informationen, Kenntnisse und Erfahrungen nachweislich bekannt waren,
ac) von einem Dritten ohne Verpflichtung zur Geheimhaltung erhalten worden oder
ad) nachweislich unabhängig erarbeitet worden sind.
a) Auf den vorliegenden Vertrag ist ausschließlich deutsches Recht anwendbar. Die Vertragssprache ist deutsch.
b) Der Gerichtstand für diesen Vertrag ist Paderborn, Deutschland.
c) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder die Wirksamkeit durch einen später eintretenden Umstand verlieren, bleibt die Wirksamkeit des Vertrages im Übrigen unberührt.
1.1. Die nachfolgenden Bedingungen zur Auftragsverarbeitung dienen als Grundlage zur Erfüllung der datenschutzrechtlichen Vorschriften nach EU-Datenschutzgrundverordnung (nachfolgend DSGVO) und des Bundesdatenschutzgesetzes in der seit dem 25.05.2018 gültigen Fassung (nachfolgend BDSG), wenn und soweit Portraitbox GmbH (nachfolgend Auftragsverarbeiter oder Auftragnehmer genannt), Am Steinhof 4a, 33106 Paderborn, als „Auftragsverarbeiter“ tätig wird.
2.1 Der Gegenstand des Auftrages ergibt sich aus Anlage 1.
2.2 Der Auftragnehmer verarbeitet im Rahmen des Auftrages personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO nur auf der Grundlage dieses Vertrages.
2.3 Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
3.1 Die Dauer des Auftrages ergibt sich aus der Anlage 1.
3.2 Die Laufzeit und Kündigung dieses Vertrags richten sich nach den Bestimmungen zur Laufzeit und Kündigung des Hauptvertrags. Eine Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses Vertrags. Eine isolierte ordentliche Kündigung dieses Vertrags ist ausgeschlossen. Das Recht zur außerordentlichen Kündigung bleibt unberührt.
4.1 Die Art und der Zweck der Vereinbarung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergibt sich aus der Anlage 1 oder aus dem Leistungsverzeichnis des Hauptvertrages (sofern vorliegend und vereinbart).
5.1 Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich. Gleichwohl ist der Auftragnehmer verpflichtet, alle solche Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind, unverzüglich an diesen weiterzuleiten.
5.2 Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
5.3 Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
5.4 Der Auftraggeber ist berechtigt, sich wie unter Nr. 6 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.
5.5 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
5.6 Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.
5.7 Die Weisungsberechtigten des Auftraggebers werden vor Auftragsbeginn in Textform mitgeteilt. Die Weisungsempfänger des Auftragnehmers ergeben sich aus der Anlage 1. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen.
Die Weisungen sind vom Auftraggeber für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
Der Auftragnehmer wird unverzüglich durch den Auftraggeber informiert über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftraggeber ermittelt.
6.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).
6.2 Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt.
6.3 Der Auftragnehmer verpflichtet sich, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen logisch getrennt werden. Die Datenträger, die vom Auftraggeber stammen bzw. für den Auftraggeber genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden dokumentiert.
6.4 Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DSGVO).
6.5 Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird.
6.6 Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen.
6.7 Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber erteilen.
6.8 Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber - nach Terminvereinbarung, im Rahmen der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs- und unter strikter Geheimhaltung von Betriebs- und Geschäftsgeheimnissen des Auftragnehmers - berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom Auftraggeber beauftragte Dritte zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).
6.9 Der Auftragnehmer ist berechtigt, nach eigenem Ermessen unter Berücksichtigung der gesetzlichen Verpflichtungen des Auftraggebers, Informationen nicht zu offenbaren, die sensibel im Hinblick auf die Geschäfte des Auftragnehmers sind oder wenn der Auftragnehmer durch deren Offenbarung gegen gesetzliche oder andere vertragliche Regelungen verstoßen würde. Der Auftraggeber ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragnehmers, zu Informationen hinsichtlich Kosten zu Qualitätsprüfungs- und Vertrags-Managementberichten sowie zu sämtlichen anderen vertraulichen Daten des Auftragnehmers, die nicht unmittelbar relevant für die vereinbarten Kontrollzwecke sind, zu erhalten.
6.10 Der Auftraggeber stimmt den Termin einvernehmlich mit dem Auftragnehmer ab und informiert diesen rechtzeitig (in der Regel mindestens einen Monat vorher) über alle mit der Durchführung der Kontrolle zusammenhängenden Umstände.
6.11 Beauftragt der Auftraggeber einen Dritten mit der Durchführung der Kontrolle, hat der Auftraggeber den Dritten schriftlich ebenso zu verpflichten, wie auch der Auftraggeber gegenüber dem Auftragnehmer verpflichtet ist. Zudem muss sich der Dritte auf Verschwiegenheit und Geheimhaltung gegenüber dem Auftragnehmer verpflichten, es sei denn, dass der Dritte einer beruflichen Verschwiegenheitsverpflichtung unterliegt. Verpflichtet sich der Dritte nicht zur Verschwiegenheit und Geheimhaltung gegenüber dem Auftragnehmer, so kann der Auftragnehmer die Überprüfung durch den Dritten ablehnen.
6.12 Beabsichtigt der Auftraggeber die Kontrolle durch einen Dritten durchführen zu lassen, so teilt er dies dem Auftragnehmer unter Berücksichtigung der vereinbarten Frist (6.10) mit und identifiziert den Dritten in hinreichendem Maße. Der Auftragnehmer hat das Recht den Dritten abzulehnen, sofern dessen Einsatz negative Auswirkungen auf den Geschäftsbetrieb haben könnte, die über den Zeitraum der bloßen Vor-Ort-Kontrolle hinausgeht. Dies ist u.a. dann der Fall, wenn der Dritte ein Konkurrent des Auftragnehmers ist oder Konkurrenten des Auftragnehmers betreut und nicht gesetzlich zur Geheimhaltung verpflichtet ist, er bereits Opfer von Whistleblowing oder dem Verrat von Geschäftsgeheimnissen geworden ist, oder selbst Whistleblowing betrieben oder Geschäftsgeheimnisse verraten hat oder, wenn der Dritte durch lokale Gesetze zur Weitergabe der bei der Kontrolle erlangten Informationen verpflichtet wäre oder zu befürchten ist, dass er selbst ohne Rechtsgrundlage zur Weitergabe der Daten aufgrund anderer Umstände dazu gezwungen werden könnte.
6.13 Der Nachweis von Maßnahmen zur Erfüllung der Pflichten aus Art. 28 DSGVO kann auch erfolgen durch:
die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO,
die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gem. Art 42 DSGVO,
aktuelle Testate Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT- Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder
6.14 Der Auftragnehmer ist verpflichtet, soweit erforderlich, bei diesen Kontrollen unterstützend mitzuwirken.
6.15 Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind. Er verpflichtet sich, auch gemäß Anlage 1 für diesen Auftrag relevanten Geheimnisschutzregeln zu beachten, die dem Auftraggeber obliegen.
6.16 Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragnehmers) ist nur mit vorheriger Zustimmung des Auftraggebers gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, ist vorher der Zugang zur Wohnung des Beschäftigten für Kontrollzwecke des Arbeitgebers vertraglich sicher zu stellen. Die Maßnahmen nach Art. 32 DSGVO sind auch in diesem Fall sicherzustellen.
6.17 Der Auftragnehmer gewährleistet, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit, wie auch nach Beendigung des Beschäftigungsverhältnisses, in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO).
6.18 Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb. Die Beauftragung einer Datenschutzbeauftragten ist gesetzlich nicht notwendig.
7.1 Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO.
7.2 Der Auftragnehmer ist verpflichtet, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder 34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung dieses Vertrages durchführen.
8.1 Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
8.2 Die vertraglich vereinbarten Leistungen bzw. die beschriebenen Teilleistungen werden unter Hinzunahme der in Anlage 2 genannten Unterauftragsverarbeiter durchgeführt. Mit deren Beauftragung erklärt sich der Auftraggeber einverstanden.
8.3 Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung genehmigter Auftragsverarbeiter oder die Verlagerung der Dienstleistung oder Teile jener in ein Drittland, wodurch der Auftraggeber die Möglichkeit erhält, innerhalb von zwei Wochen ab Erhalt dieser Information schriftlich unter Darlegung der Gründe gegen derartige Änderungen Einspruch zu erheben.
8.4 Der Auftragnehmer verpflichtet sich, die besonderen Vorgaben des Art. 44 ff. DSGVO einzuhalten.
8.5 Bei einem Einspruch hat der Auftragnehmer die Wahl, einen anderen Unterauftragnehmer auszuwählen, die Verarbeitung selbst durchzuführen, oder den Hauptvertrag inklusive dieses Vertrages mit zweiwöchiger Frist zum Ende eines Monats zu kündigen.
8.6 Wählt der Auftragnehmer einen neuen Unterauftragnehmer aufgrund des Einspruchs, so teilt er diesen dem Auftraggeber unverzüglich mit. Das Einspruchsrecht des Auftraggebers gilt auch für erneut vorgeschlagene Unterauftragsverarbeiter.
8.7 Der Auftragnehmer hat im Falle einer Beauftragung von anderen Auftragsverarbeitern, im Rahmen der hier vereinbarten Auftragsverarbeitung vertraglich sicherzustellen, dass die vereinbarten Datenschutzpflichten zwischen Auftraggeber und Auftragnehmer gem. Art. 28 Abs. 4 DSGVO auch entsprechend gegenüber den anderen Unterauftragsverarbeitern gelten.
9.1 Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet.
9.2 Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.
9.3 Das im Anlage 3 beschriebene Datenschutzkonzept stellt die Auswahl der technischen und organisatorischen Maßnahmen passend zum ermittelten Risiko unter Berücksichtigung der Schutzziele nach Stand der Technik detailliert und unter besonderer Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse beim Auftragnehmer dar.
9.4 Der Auftragnehmer hat bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art. 32 Abs. 1 lit. d DSGVO). Das Ergebnis samt vollständigem Auditbericht ist dem Auftraggeber auf Anfrage mitzuteilen.
9.6 Soweit die beim Auftragnehmer getroffenen Maßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich.
9.7 Die Maßnahmen beim Auftragnehmer können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten.
9.8 Wesentliche Änderungen muss der Auftragnehmer mit dem Auftraggeber in dokumentierter Form (elektronisch) abstimmen. Solche Abstimmungen sind für die Dauer dieses Vertrages aufzubewahren.
10.1 Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen.
11.1 Auf Art. 82 DSGVO wird verwiesen.
12.1 Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen (auch zu Subunternehmen) sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
12.2 Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich.
12.3 Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen.
12.4 Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
12.5 Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
12.6 Die Anlagen 1-3 sind wesentlicher Vertragsbestandteil.
Zu 2.: Gegenstand dieses Vertrags
Der Auftraggeber nutzt die den Eintrag in der Fotografensuche des Auftragnehmers. Mit Hilfe des Eintrags des Auftragnehmers kann der Auftraggeber sein Unternehmen präsentieren.
Zu 3.: Dauer
Der Vertrag wird auf unbestimmte Zeit geschlossen. Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages bzw. der Leistungsvereinbarung.
Zu 4.: Art(en) der personenbezogenen Daten
Folgende Datenarten sind regelmäßig Gegenstand der Verarbeitung:
Zu 4.: Kategorien betroffener Person
Kreis der von der Datenverarbeitung betroffenen Personen:
Zu 5.: Weisungsempfangsberechtigte Personen des Auftragnehmers:
Die Weisungsempfänger des Auftraggebers werden vor Auftragsbeginn per E-Mail mitgeteilt.
Zu 5.: Weisungsempfänger beim Auftragnehmer ist die dortige Geschäftsführung:
| Angaben zum Auftragsverarbeiter |
| Name und Kontaktdaten, natürliche Person/juristische Person/Behörde/Einrichtung etc. |
| Portraitbox GmbH |
| Am Steinhof 4a |
| 33106 Paderborn |
| office@fotografensuche.de |
| Angaben zum Vertreter des Auftragsverarbeiters |
| Herrn |
| David Wendt |
| Am Steinhof 4a |
| 33106 Paderborn |
| +49 5254 9478080 |
| Name | Anschrift | Auftragsinhalt |
|---|---|---|
| Hetzner Online GmbH | Industriestraße 25 91710 Gunzenhausen |
Hosting |
| IONOS SE | Elgendorfer Str. 57 56410 Montabaur |
Hosting |
| Strato AG | Pascalstraße 10 10587 Berlin |
Hosting |
| Brevo GmbH | Köpenicker Straße 126 10179 Berlin |
Newsletterversand |
| Atlassian. Pty Ltd | Level 6, 341 George Street Sydney NSW 2000 Australien |
Ticketsystem / Dokumentation |
Der Auftragnehmer trifft an seinem Standort Am Steinhof 4a in 33106 Paderborn nachfolgende technische und organisatorische Maßnahmen zur Datensicherheit i.S.d. Art. 32 DSGVO.
Zutrittskontrolle:
Kein unbefugter Zutritt zu Datenverarbeitungsanlagen.
Zweck:
Diese Maßnahmen sollen gewährleisten, dass Unbefugten der „körperliche“ Zutritt zu Datenverarbeitungs-anlagen, mit denen personenbezogene Daten verarbeitet werden, verwehrt wird.
Im Unternehmen getroffene Maßnahmen:
Zugangskontrolle
Kein unbefugter Systemzugang.
Zweck:
Diese Maßnahmen sollen gewährleisten, dass nur befugten Personen die Datenverarbeitungssysteme zugänglich sind und ausschließlich von Ihnen benutzt werden können.
Im Unternehmen getroffene Maßnahmen:
Zugriffskontrolle
Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z. B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen.
Zweck:
Diese Maßnahmen sollen gewährleisten, dass nur die zur Nutzung des Datenverarbeitungssystems Berechtigten den Zugriff auf diese Systeme haben und der Zugriff sich ausschließlich auf diese personenbezogenen Daten beschränkt, die dieser Zugriffsberechtigung unterliegen, so dass Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Im Unternehmen getroffene Maßnahmen:
Trennungskontrolle
Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z. B. Mandantenfähigkeit, Sandboxing;
Zweck:
Zweckbezogene Verarbeitung personenbezogener Daten soll technisch sichergestellt werden, d.h. zu unterschiedlichen Zwecken erhobene Daten sollen auch entsprechend getrennt verarbeitet werden.
Im Unternehmen getroffene Maßnahmen:
Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)
Die Verarbeitung personenbezogener Daten erfolgt in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen;
Weitergabekontrolle
Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, z. B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur;
Zweck:
Diese Maßnahmen sollen gewährleisten, dass Datenträger während ihres Transports oder elektronischer Übertragung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, bzw. soll durch die Maßnahmen überprüft und festgestellt werden können, an welchen Stellen eine Übermittlung personen-bezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Insofern werden die Transport- und Datenträgerkontrollen durch die Weitergabekontrolle zusammengefasst. Im Unternehmen getroffene Maßnahmen:
Eingabekontrolle
Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z. B.: Protokollierung, Dokumentenmanagement;
Zweck:
Durch diese Maßnahmen soll die Nachprüfbarkeit eines Verarbeitungsvorgangs (Eingabe, Änderung, Entfernung) personenbezogener Daten gewährleistet werden, d.h. Urheber, Inhalt und Zeitpunkt der Datenspeicherung sollen ermittelt werden können. Im Unternehmen getroffene Maßnahmen:
Verfügbarkeitskontrolle
Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z. B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne;
Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO);
Zweck:
Es muss sichergestellt sein, dass die personenbezogenen Daten nicht zufällig zerstört werden und vor Verlust geschützt sind.
Es muss gewährleistet sein, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können. Im Unternehmen getroffene Maßnahmen:
Auftragskontrolle
Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DSGVO ohne entsprechende Weisung des Auftraggebers, z. B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.
Zweck:
Der Auftragnehmer hat zu gewährleisten, dass die im Auftrag zu bearbeitenden Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden. Mittelbar damit verbunden ist die Pflicht des Auftraggebers, Weisungen an Auftragnehmer zu erteilen. Im Unternehmen getroffene Maßnahmen:
