Rechtliches
Vertrag zur Auftragsverarbeitung (AVV)
Stand: 21. August 2026
1. Präambel und Rollen
Dieser Vertrag zur Auftragsverarbeitung (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung von Bildplattform gemäß Art. 28 DSGVO.
Verantwortlicher ist der Kunde. Auftragsverarbeiter ist StartklarWeb, Inhaber Hasan Mohsen, Brucknerstraße 12, 46325 Borken (Münsterland), Deutschland (nachfolgend Auftragnehmer).
Der AVV gilt für alle personenbezogenen Daten, die der Auftragnehmer im Rahmen der Bereitstellung von Bildplattform im Auftrag des Kunden verarbeitet, insbesondere für die vom Kunden hochgeladenen Fotos.
2. Gegenstand, Art, Zweck und Dauer der Verarbeitung
Gegenstand der Verarbeitung ist die Bereitstellung eines gehosteten Werkzeugs zur KI-gestützten Bildbearbeitung, insbesondere für Immobilienfotos.
Art und Zweck der Verarbeitung: Speicherung, Bereitstellung, Verarbeitung und Übermittlung der vom Kunden hochgeladenen Fotos, damit der Kunde diese über den von ihm gewählten und selbst beauftragten KI-Anbieter bearbeiten kann.
Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsverhältnisses. Nach Beendigung gelten die Regelungen zu Löschung und Rückgabe (Ziffer 9).
3. Art der Daten und Kategorien betroffener Personen
Im Rahmen der hochgeladenen Fotos können folgende Arten personenbezogener Daten verarbeitet werden:
- Bilddaten von auf den Fotos abgebildeten Personen
- in den Bilddateien enthaltene Metadaten (zum Beispiel Aufnahmezeitpunkt und, sofern vorhanden, Standortangaben)
- gegebenenfalls weitere personenbezogene Inhalte, die der Kunde in Fotos hochlädt
3a. Kategorien betroffener Personen
Betroffen sind insbesondere die auf den vom Kunden hochgeladenen Fotos abgebildeten oder darin identifizierbaren Personen (zum Beispiel Bewohner, Passanten, Beschäftigte oder sonstige Dritte).
4. Pflichten des Verantwortlichen (Kunde)
Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt insbesondere sicher, dass er zur Übermittlung der Daten an den Auftragnehmer und zur Verarbeitung der abgebildeten Personen berechtigt ist.
Der Kunde erteilt seine Weisungen grundsätzlich über die Funktionen der Anwendung. Ergänzende Weisungen erteilt er in Textform an kontakt@bildplattform.de.
5. Pflichten des Auftragnehmers und Weisungsbindung
Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der Weisungen des Kunden und dieses Vertrags, es sei denn, er ist gesetzlich zu einer anderweitigen Verarbeitung verpflichtet. In diesem Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Der Auftragnehmer informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
Die zur Verarbeitung eingesetzten Personen sind zur Vertraulichkeit verpflichtet.
Der Auftragnehmer unterstützt den Kunden im Rahmen des Möglichen bei der Erfüllung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO.
6. Technische und organisatorische Maßnahmen (TOMs)
Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Hierzu gehören insbesondere:
- Hosting ausschließlich innerhalb der EU (Hetzner, Serverstandort Finnland/Helsinki)
- Speicherung von Passwörtern ausschließlich als kryptografischer Hash mit dem Verfahren argon2
- verschlüsselte Speicherung der vom Kunden hinterlegten API-Schlüssel
- Zugriffskontrolle über ein Benutzer- und Rollenkonzept, sodass nur berechtigte Nutzer des Kunden Zugriff auf dessen Daten haben
- Begrenzung aktiver Sitzungen (Session-Limits) und Absicherung der Anmeldung
- Trennung der Mandanten, sodass Daten verschiedener Kunden nicht vermischt werden
- regelmäßige Datensicherungen (Backups) der gehosteten Anwendung
- Übertragung über verschlüsselte Verbindungen (Transportverschlüsselung)
7. Unterauftragsverarbeiter
Der Kunde stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu. Der Auftragnehmer stellt durch vertragliche Vereinbarungen sicher, dass diese ein angemessenes Datenschutzniveau einhalten.
- Hetzner Online GmbH, Deutschland (Hosting und Datenbank, Serverstandort Finnland/EU)
- Resend, Inc., USA (Versand von System- und Konto-E-Mails)
- Stripe Payments Europe, Ltd., Irland (Zahlungsabwicklung, sofern der Kunde diesen Zahlungsweg wählt)
- Google Ireland Limited, Irland (Reichweitenmessung mit Google Analytics, nur bei erteilter Einwilligung des jeweiligen Websitebesuchers)
- der vom Kunden selbst gewählte und mit eigenem Schlüssel beauftragte KI-Anbieter (zum Beispiel OpenAI oder Black Forest Labs), an den die Fotos zur Bearbeitung übermittelt werden
7a. Änderung von Unterauftragsverarbeitern
Der Auftragnehmer informiert den Kunden über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Kunde kann einer Änderung aus wichtigem datenschutzrechtlichen Grund widersprechen.
8. Meldung von Datenschutzverletzungen
Der Auftragnehmer meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betreffen, unverzüglich nach Bekanntwerden.
Die Meldung enthält die verfügbaren Informationen, die der Kunde benötigt, um seinen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO nachzukommen. Der Auftragnehmer unterstützt den Kunden hierbei angemessen.
9. Löschung und Rückgabe nach Vertragsende
Nach Abschluss der Verarbeitung, spätestens mit Beendigung des Nutzungsverhältnisses, löscht der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Kunden zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht.
Der Kunde bleibt mitverantwortlich, rechtzeitig eigene Kopien seiner Originalbilder und Ergebnisse zu sichern.
10. Kontroll- und Auditrechte
Der Auftragnehmer stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
Der Kunde ist berechtigt, sich von der Einhaltung der technischen und organisatorischen Maßnahmen zu überzeugen, insbesondere durch Einholung von Auskünften oder durch Kontrollen. Kontrollen erfolgen nach angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs.
11. Schlussbestimmungen
Im Verhältnis zu den Allgemeinen Geschäftsbedingungen (unter /rechtliches/agb) und der Datenschutzerklärung (unter /rechtliches/datenschutz) gelten hinsichtlich der Auftragsverarbeitung vorrangig die Regelungen dieses AVV.
Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.