Auftragsverarbeitungsvereinbarung (AVV)

1. Gegenstand und Dauer

Der Auftragsverarbeiter (KinderAlbum / Betreiber) verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Fotograf / Nutzer) im Rahmen der Bereitstellung der KinderAlbum-Plattform. Die Dauer der Verarbeitung entspricht der Nutzungsdauer des Kontos.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst die Speicherung, Bereitstellung und Darstellung von Fotos sowie die Verwaltung von Zugangslinks. Zweck ist die Bereitstellung eines sicheren Foto-Sharing-Dienstes.

3. Art der personenbezogenen Daten

• Fotos (können personenbezogene Daten abgebildeter Personen enthalten)
• Kontaktdaten des Fotografen (Name, E-Mail, Telefon)
• Zugriffsprotokolle (gehashte IP-Adressen, Gerätekategorie, Zeitstempel)
• Nutzungsstatistiken (anonymisiert)

4. Kategorien betroffener Personen

• Fotografen (Nutzer der Plattform)
• Abgebildete Personen auf den Fotos
• Betrachter der Galerien

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt folgende Maßnahmen um:

• Verschlüsselte Datenspeicherung auf EU-Servern (Hetzner, Deutschland)
• Zugriffskontrolle über tokenbasierte Authentifizierung
• Hashung von IP-Adressen in Zugriffsprotokollen
• Automatische Löschung von Zugriffsprotokollen nach 90 Tagen
• Sichere HTTPS-Übertragung aller Daten
• Regelmäßige Sicherheitsupdates

6. Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden eingesetzt:

• Hetzner Online GmbH (Gunzenhausen, Deutschland) — Server-Hosting und S3-Objektspeicher
• Amazon Web Services EMEA SARL (Luxemburg) — E-Mail-Versand über Amazon SES

Der Verantwortliche wird über Änderungen bei Unterauftragsverarbeitern informiert.

7. Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 15-22 DSGVO), insbesondere:

• Auskunftsrecht (Art. 15) — Export der gespeicherten Daten
• Recht auf Löschung (Art. 17) — Kontolöschung mit vollständiger Datenentfernung
• Recht auf Datenübertragbarkeit (Art. 20) — Datenexport

8. Löschung und Rückgabe

Nach Beendigung der Auftragsverarbeitung (Kontolöschung) werden alle personenbezogenen Daten unwiderruflich gelöscht. Dies umfasst: Fotos, Alben, Zugangslinks, Statistiken und das Nutzerprofil.

9. Kontakt

Für Fragen zur Datenverarbeitung kontaktieren Sie uns über das Kontaktformular oder unter der im Impressum angegebenen Adresse.