snapberry
← Zur Startseite

Vertrag zur Auftragsverarbeitung (AVV)

Stand: Juni 2026

Diese Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag (nachfolgend „AVV") gemäß Art. 28 DSGVO ist Bestandteil der Nutzungsbedingungen (AGB) und konkretisiert die datenschutzrechtlichen Pflichten der Parteien.

Parteien

Auftragsverarbeiter (nachfolgend „Auftragnehmer"):
Marcel Vetter · Snapberry, Finkenbergweg 17, 75378 Bad Liebenzell, Deutschland.

Verantwortlicher (nachfolgend „Auftraggeber"): der jeweilige registrierte Nutzer, wie im System des Auftragnehmers bei der Bestätigung der AGB und dem damit verbundenen digitalen Abschluss dieses AVV hinterlegt (Name und E-Mail-Adresse des Kontos).

1. Gegenstand & Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers, soweit dieser über Snapberry Galerien teilt, Kund:innen einlädt oder sonst personenbezogene Daten Dritter verarbeitet. Die Laufzeit entspricht der Laufzeit des Nutzungsverhältnisses; sie endet mit Löschung des Kontos.

2. Art, Zweck & betroffene Personen

Zweck: Bereitstellung der Plattform Snapberry, d. h. Speicherung und Hosting von Bilddateien, Erstellung von Vorschauen, Teilen von Galerien, Erfassung der Kundenauswahl (Markierungen, Favoriten, Kommentare), Entgegennahme kundenseitiger Uploads sowie Versand zugehöriger Benachrichtigungen.

Art der Daten: Name und E-Mail-Adresse der von der:dem Auftraggeber:in eingeladenen Personen, Zugriffs-/Auswahldaten zu Galerien (Zeitpunkt, Markierungen, Kommentare), von Kund:innen hochgeladene Dateien sowie die in Bilddateien enthaltenen Inhalte.

Kategorien betroffener Personen: Kund:innen und sonstige Empfänger:innen von Galerien des Auftraggebers sowie ggf. abgebildete Personen; eingeladene Teammitglieder des Auftraggebers.

3. Pflichten des Auftraggebers (Verantwortlicher)

Der Auftraggeber ist allein für die Zulässigkeit der Verarbeitung und für die Wahrung der Betroffenenrechte (Kap. III DSGVO) verantwortlich. Er erteilt Weisungen grundsätzlich über die Funktionen der Plattform; ergänzende Weisungen erfolgen in Textform (z. B. per E-Mail). Der Auftraggeber stellt sicher, dass er berechtigt ist, die jeweiligen Daten in den Dienst einzugeben und Personen einzuladen.

4. Pflichten des Auftragnehmers

  • Verarbeitung der Daten nur auf dokumentierte Weisung des Auftraggebers, einschließlich im Hinblick auf Drittlandübermittlungen (es findet keine statt, siehe Ziff. 6).
  • Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.
  • Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (siehe Ziff. 7).
  • Unterstützung des Auftraggebers bei Betroffenenanfragen sowie bei den Pflichten nach Art. 32–36 DSGVO im Rahmen des Möglichen.
  • Unverzügliche Information des Auftraggebers bei einer Verletzung des Schutzes personenbezogener Daten (Unterstützung der Meldepflichten nach Art. 33, 34 DSGVO).
  • Nach Beendigung Löschung oder Rückgabe der Daten nach Wahl des Auftraggebers, sofern keine gesetzliche Aufbewahrungspflicht besteht.
  • Bereitstellung der zum Nachweis erforderlichen Informationen und Ermöglichung von Überprüfungen (Audits) in angemessenem Umfang.

5. Unterauftragsverhältnisse

Der Auftraggeber stimmt dem Einsatz der nachstehenden Unterauftragnehmer zu. Der Auftragnehmer hat mit diesen Verträge nach Art. 28 DSGVO geschlossen und informiert den Auftraggeber über beabsichtigte Änderungen, sodass dieser widersprechen kann.

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting der Anwendung und der Datenbank sowie Objektspeicher für Bilddateien. Verarbeitung in einem Rechenzentrum in Deutschland.
  • Brevo (Sendinblue GmbH), Köpenicker Straße 126, 10179 Berlin (Muttergesellschaft Brevo SAS, Paris, Frankreich) – Versand der transaktionalen E-Mails. Verarbeitung innerhalb der EU.

6. Ort der Verarbeitung / keine Drittlandübermittlung

Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Eine Übermittlung personenbezogener Daten in ein Drittland außerhalb der EU/des EWR findet nicht statt.

7. Technische & organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft nach dem Stand der Technik insbesondere folgende Maßnahmen:

  • Verschlüsselung & Vertraulichkeit: verschlüsselte Übertragung über TLS; Konto-Passwörter werden ausschließlich als Hash (bcrypt) gespeichert; Galerie-Passwörter werden zusätzlich verschlüsselt abgelegt.
  • Zugangs-/Zugriffskontrolle: Zugang nur über authentifizierte Sitzungen; abgestufte Rollen-/Rechteverwaltung (RBAC); Administrator-Zugänge sind durch Zwei-Faktor-Authentifizierung geschützt.
  • Trennung: logische Mandantentrennung der Daten je Konto bzw. Organisation.
  • Eingabe-/Nachweiskontrolle: Protokollierung administrativer Aktionen (Audit-Log) sowie galeriebezogener Ereignisse – bewusst ohne Speicherung von IP-Adressen in der Anwendungsdatenbank.
  • Datenstandort & Verfügbarkeit: Betrieb in einem Rechenzentrum in Deutschland (Hetzner); regelmäßige Datensicherungen zur Wiederherstellung im Störungsfall.

8. Vertraulichkeit

Der Auftragnehmer und die von ihm mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Diese Verpflichtung besteht auch nach Beendigung des Auftrags fort.

9. Löschung & Rückgabe

Nach Beendigung des Auftrags werden die im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers gelöscht oder zurückgegeben, einschließlich etwaiger Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung umfasst auch die zugehörigen Dateien im Objektspeicher.

10. Kontrollrechte & Nachweise

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Eine Kopie der Unterauftragsverträge wird auf Anfrage bereitgestellt.

11. Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Dieser AVV wird elektronisch geschlossen; die digitale Bestätigung per Checkbox bei der Registrierung ersetzt die handschriftliche Unterschrift und gilt als rechtsverbindliche Annahmeerklärung gemäß Art. 28 Abs. 9 DSGVO. Zeitpunkt und Fassung der Zustimmung werden protokolliert.