Vertrag zur Auftragsverarbeitung

Gültig ab: 1. September 2026

Dieser Vertrag konkretisiert die Pflichten der Vertragsparteien zum Datenschutz, die sich aus der Nutzung von SHARKD Photo ergeben. Er gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter für den Verantwortlichen im Rahmen der Nutzung von SHARKD Photo durchführt.

1. Vertragsparteien

Verantwortlicher ist die natürliche oder juristische Person, die ein Konto bei SHARKD Photo unterhält und darin personenbezogene Daten verarbeitet — also die jeweilige Fotografin, der jeweilige Fotograf oder das jeweilige Fotostudio.

Auftragsverarbeiter ist:

Alexander Hundeshagen
handelnd für die SHARKD GmbH i. Gr.
Erftstraße 10
38120 Braunschweig
Deutschland
E-Mail: hallo@sharkd.de

2. Zustandekommen des Vertrags

Dieser Vertrag kommt mit der Registrierung eines Kontos bei SHARKD Photo zustande und gilt für die gesamte Dauer des Nutzungsverhältnisses. Er bedarf keiner gesonderten Unterzeichnung; die elektronische Form genügt nach Art. 28 Abs. 9 DSGVO.

Der Verantwortliche kann jederzeit eine für seine Unterlagen bestimmte Fassung unter Angabe seiner Kontodaten anfordern.

3. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung der Software SHARKD Photo als Anwendung zur Verwaltung eines Fotostudios.

Art und Zweck der Verarbeitung ergeben sich aus der Nutzung der Anwendung durch den Verantwortlichen. Verarbeitet wird, um folgende Funktionen bereitzustellen:

• Verwaltung von Kundenkontakten und Stammdaten
• Erfassung und Bearbeitung von Anfragen
• Terminverwaltung und Online-Buchung
• Erstellung von Angeboten und Rechnungen einschließlich Zahlungsabwicklung
• Erstellung von Verträgen und deren elektronische Unterzeichnung
• Bereitstellung von Bildergalerien für Kund:innen
• Versand von Nachrichten und automatisierten Erinnerungen
• Unterstützung durch Sprach- und Bildmodelle, soweit vom Verantwortlichen genutzt

Die Verarbeitung umfasst insbesondere das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln, Einschränken und Löschen personenbezogener Daten.

Dauer: Die Verarbeitung erfolgt für die Laufzeit des Nutzungsverhältnisses zuzüglich der in Abschnitt 10 geregelten Fristen.

4. Art der Daten und Kategorien betroffener Personen

Arten personenbezogener Daten:

• Stammdaten: Name, Anschrift, E-Mail-Adresse, Telefonnummer
• Vertragsdaten: Angebote, Verträge, Leistungsbeschreibungen
• Abrechnungsdaten: Rechnungen, Beträge, Zahlungsstatus
• Termindaten: Datum, Uhrzeit, Ort, Anlass
• Kommunikationsdaten: Nachrichteninhalte, Anfragen, Antworten
• Bilddaten: hochgeladene Aufnahmen, auf denen Personen abgebildet sein können
• Nachweisdaten der elektronischen Signatur: Zeitpunkt, IP-Adresse, technische Angaben zum Gerät der unterzeichnenden Person
• Nutzungsdaten: Zeitpunkte von Zugriffen innerhalb der Anwendung

Kategorien betroffener Personen:

• Kund:innen und Interessent:innen des Verantwortlichen
• auf Aufnahmen abgebildete Personen
• Mitarbeitende und Beauftragte des Verantwortlichen, soweit sie die Anwendung nutzen
• sonstige Personen, deren Daten der Verantwortliche in die Anwendung einstellt

Der Verantwortliche entscheidet allein, welche Daten er in die Anwendung einstellt. Er stellt sicher, dass er zur Verarbeitung dieser Daten befugt ist.

5. Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag, die Nutzungsbedingungen sowie die Nutzung der Funktionen der Anwendung durch den Verantwortlichen, einschließlich der von ihm vorgenommenen Einstellungen.

Weisungen, die über die vertraglich vereinbarte Leistung hinausgehen, bedürfen der Textform. Der Auftragsverarbeiter kann für deren Umsetzung eine Vergütung verlangen.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Er ist berechtigt, die Ausführung auszusetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt. Die Daten des Verantwortlichen werden nicht zur Erstellung von Profilen, zu Werbezwecken oder zum Training von Modellen verwendet.

6. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff auf personenbezogene Daten des Verantwortlichen ist auf das für die Vertragserfüllung erforderliche Maß beschränkt.

7. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und erhält sie aufrecht.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau dabei nicht unterschritten wird.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt seine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht, und bleibt für deren Handeln verantwortlich.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens 30 Tage vorher in Textform mit. Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem, datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann jede Partei den Vertrag mit Wirkung zum geplanten Wechsel kündigen.

Als Unterauftragsverarbeitung gelten nicht Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese auf personenbezogene Daten des Verantwortlichen zugreifen.

9. Unterstützung des Verantwortlichen

Betroffenenrechte. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen dabei, Anträge betroffener Personen zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und erteilt selbst keine Auskunft.

Datenschutzverletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung. Die Meldung enthält, soweit verfügbar: Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der betroffenen Personen, wahrscheinliche Folgen und ergriffene Gegenmaßnahmen.

Weitere Pflichten. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen.

10. Löschung und Rückgabe

Der Verantwortliche kann seine Daten während der Laufzeit jederzeit über die Exportfunktionen der Anwendung abrufen.

Nach Beendigung des Nutzungsverhältnisses löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche ist dafür verantwortlich, benötigte Daten vor Ablauf dieser Frist zu exportieren.

Sicherungskopien werden im Rahmen der üblichen Löschzyklen entfernt. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, werden bis zum Ablauf der jeweiligen Frist gespeichert und in der Verarbeitung eingeschränkt.

11. Nachweise und Überprüfung

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch Auskunft über die getroffenen Maßnahmen und die eingesetzten Unterauftragsverarbeiter.

Der Verantwortliche kann sich nach vorheriger Anmeldung mit einer Frist von mindestens 14 Tagen von der Einhaltung überzeugen. Überprüfungen erfolgen zu den üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Geschäftsgeheimnisse sowie der Rechte anderer Kund:innen. Der Auftragsverarbeiter kann für den Aufwand eine angemessene Vergütung verlangen.

12. Verarbeitung in Drittländern

Die Speicherung der Daten des Verantwortlichen erfolgt innerhalb der Europäischen Union.

Eine Übermittlung in Drittländer findet ausschließlich im Rahmen der in Anlage 2 genannten Unterauftragsverarbeiter statt und stützt sich auf die Standardvertragsklauseln der Europäischen Kommission oder einen anderen zulässigen Übermittlungsmechanismus.

13. Haftung

Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen der Nutzungsbedingungen zwischen den Parteien.

14. Schlussbestimmungen

Änderungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

Es gilt das Recht der Bundesrepublik Deutschland.

---

Anlage 1 — Technische und organisatorische Maßnahmen

Vertraulichkeit

Zugangskontrolle. Der Zugang zur Anwendung erfolgt über persönliche Konten mit E-Mail-Adresse und Passwort oder über die Anmeldung mit einem Google-Konto. Passwörter werden ausschließlich als Hashwert gespeichert und sind auch für den Auftragsverarbeiter nicht einsehbar.

Zugriffskontrolle. Die Daten jedes Verantwortlichen sind auf Datenbankebene durch Zugriffsregeln voneinander getrennt. Ein Zugriff auf Daten eines anderen Kontos ist technisch ausgeschlossen. Innerhalb eines Kontos steuert der Verantwortliche die Zugriffsrechte seiner Mitarbeitenden selbst.

Trennungskontrolle. Die Daten verschiedener Verantwortlicher werden in einer gemeinsamen Datenbank logisch getrennt gehalten; die Trennung wird auf Datenbankebene durchgesetzt und nicht allein durch die Anwendung.

Integrität

Übertragungskontrolle. Sämtliche Verbindungen zur Anwendung erfolgen ausschließlich verschlüsselt über TLS.

Eingabekontrolle. Sicherheitsrelevante Vorgänge werden protokolliert. Bei Verträgen mit elektronischer Unterschrift wird ein Nachweisprotokoll geführt.

Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle. Die Daten werden in Rechenzentren innerhalb der Europäischen Union gespeichert. Es bestehen regelmäßige Sicherungen; die Wiederherstellbarkeit wird über die Verfahren des eingesetzten Datenbankanbieters gewährleistet.

Verfahren zur Überprüfung und Bewertung

Auftragskontrolle. Mit allen Unterauftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Datenschutz durch Voreinstellungen. Funktionen, die Daten an Dritte übermitteln, sind nicht vorausgewählt, sondern werden vom Verantwortlichen aktiv aktiviert. Einwilligungspflichtige Dienste auf den Webseiten des Auftragsverarbeiters werden erst nach ausdrücklicher Einwilligung geladen.

Löschkonzept. Es besteht ein automatisierter Löschlauf für beendete Konten nach den in Abschnitt 10 genannten Fristen.

---

Anlage 2 — Unterauftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung
Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992	Datenbank, Dateispeicher, serverseitige Funktionen	Europäische Union (Frankfurt am Main)
Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA	Bereitstellung und Auslieferung der Anwendung	Vereinigte Staaten, Standardvertragsklauseln
Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland	Versand von Nachrichten und automatisierten Erinnerungen	Europäische Union
Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA	Sprach- und Bildmodelle für die KI-gestützten Funktionen	Vereinigte Staaten, Standardvertragsklauseln
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland	Synchronisierung mit Google Kalender, nur bei Aktivierung durch den Verantwortlichen	Europäische Union

Die Nutzung der KI-gestützten Funktionen und der Kalender-Synchronisierung erfolgt nur, soweit der Verantwortliche diese Funktionen aktiv nutzt oder aktiviert. Der Auftragsverarbeiter hat mit dem Anbieter der Sprach- und Bildmodelle vereinbart, dass übermittelte Inhalte nicht zum Training von Modellen verwendet werden.

Die Abwicklung der Zahlungen zwischen dem Auftragsverarbeiter und dem Verantwortlichen erfolgt über Stripe. Dabei werden keine personenbezogenen Daten verarbeitet, die der Verantwortliche in die Anwendung eingestellt hat; Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags.