Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Fassung vom 11. Oktober 2026

Vertragsparteien

Verantwortlicher ist, für wen das Konto bei KinderAlbum angelegt wurde: die Schule, die Kita, der Träger, die Fotografin oder der Fotograf, der Verein oder die Privatperson (nachfolgend "Verantwortlicher"). Registriert eine Lehrkraft, Erzieherin oder ein Vereinsmitglied ein Konto für eine Einrichtung, handelt sie für die Einrichtung bzw. deren Träger; Vertragspartei wird die Einrichtung, nicht die Person.

Auftragsverarbeiter ist:

(nachfolgend "Auftragsverarbeiter", gemeinsam "die Parteien")

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt die Plattform KinderAlbum (dsgvoschulfotos.de). Der Verantwortliche nutzt sie, um Fotos zu speichern und berechtigten Personen bereitzustellen, entweder über Elternkonten mit Einwilligung je Kind oder über Galerien mit Link und PIN. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen bei der Bereitstellung der Plattform.

(2) Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(3) Der Vertrag gilt, solange der Verantwortliche ein Konto bei KinderAlbum hat. § 5 und § 11 gelten über das Vertragsende hinaus.

(4) Die Verantwortung für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Rechtsgrundlage, auf der Fotos aufgenommen und geteilt werden, liegt beim Verantwortlichen.

§ 2 Ort der Verarbeitung, keine eigenen Zwecke

(1) Die Daten werden in Deutschland gespeichert und verarbeitet, im Rechenzentrum der Hetzner Online GmbH in Nürnberg. Für den Versand von E-Mails und für das Support-Postfach werden die in Anlage 3 genannten Unterauftragsverarbeiter eingesetzt.

(2) Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke. Er nutzt sie insbesondere nicht für Werbung, gibt sie nicht weiter und verwendet sie nicht zum Training von KI-Modellen.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Bedienung der Plattform durch den Verantwortlichen und die von ihm berechtigten Personen gilt als Weisung. Weitere Weisungen erteilt der Verantwortliche in Textform, zum Beispiel per E-Mail an hallo@dsgvoschulfotos.de.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung geändert hat oder die Parteien sich über ihre Rechtmäßigkeit verständigt haben.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

a) verarbeitet die Daten nur im Rahmen dieses Vertrags und der Weisungen;

b) trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 und im Dokument Technische und organisatorische Maßnahmen beschrieben sind, und senkt deren Schutzniveau nicht ab;

c) unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, mit den ihm vorliegenden Informationen;

d) führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO;

e) informiert den Verantwortlichen unverzüglich, wenn eine Aufsichtsbehörde Maßnahmen ergreift, die diese Verarbeitung betreffen.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter und jede Person, die er mit Zugang zu den Daten einsetzt, sind zur Vertraulichkeit verpflichtet, auch über das Vertragsende hinaus. Derzeit hat außer dem Auftragsverarbeiter selbst keine weitere Person Zugang zu den Daten; die in Anlage 3 genannten Unterauftragsverarbeiter verarbeiten Daten nur im Rahmen ihrer jeweiligen Leistung. Setzt der Auftragsverarbeiter weitere Personen ein, verpflichtet er sie vorher schriftlich zur Vertraulichkeit.

§ 6 Technische und organisatorische Maßnahmen

(1) Es gelten die Maßnahmen in Anlage 2 und im Dokument Technische und organisatorische Maßnahmen.

(2) Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen veröffentlicht er unter dsgvoschulfotos.de/dokumente.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens 14 Tage vorher per E-Mail an die Adresse des Kontos. Der Verantwortliche kann innerhalb dieser Frist gegen die Änderung Einspruch erheben (Art. 28 Abs. 2 Satz 2 DSGVO). Kommt keine Einigung zustande, kann der Verantwortliche den Vertrag mit sofortiger Wirkung kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen dafür, dass der Unterauftragsverarbeiter diese Pflichten einhält.

§ 8 Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 15 bis 22 DSGVO zu beantworten.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst in der Sache.

(3) Der Verantwortliche kann Fotos und Alben selbst löschen, Einwilligungen selbst erfassen und widerrufen und Fotos als ZIP-Datei herunterladen. Einrichtungen können außerdem Kinder und Elternzuordnungen selbst löschen. Wird ein Kind gelöscht, wird sein Einwilligungsverlauf mit gelöscht; vor einer solchen Löschung stellt der Auftragsverarbeiter auf Anforderung einen Auszug als Nachweis bereit. Auskünfte, Auszüge und die vollständige Löschung von Konten erstellt der Auftragsverarbeiter auf Anforderung innerhalb von 7 Tagen.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO), nach Möglichkeit innerhalb von 24 Stunden und in jedem Fall spätestens nach 48 Stunden, damit der Verantwortliche seine eigene Frist von 72 Stunden einhalten kann. Die Meldung geht per E-Mail an die Adresse des Kontos oder an eine vom Verantwortlichen benannte Adresse.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben werden nachgereicht, sobald sie vorliegen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung der Betroffenen nach Art. 33 und 34 DSGVO.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere die Dokumente unter dsgvoschulfotos.de/dokumente und Auskünfte zu den Einstellungen des Systems.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO). Inspektionen werden mit mindestens 14 Tagen Vorlauf angemeldet und finden zu den üblichen Geschäftszeiten statt. Kontrollen werden so durchgeführt, dass der Betrieb und die Daten anderer Kunden nicht beeinträchtigt werden.

§ 11 Löschung und Rückgabe nach Vertragsende

(1) Nach Wahl des Verantwortlichen gibt der Auftragsverarbeiter bei Vertragsende alle personenbezogenen Daten zurück oder löscht sie, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt als Download: Fotos als ZIP-Datei, weitere Daten (zum Beispiel Kinder, Eltern, Einwilligungsverlauf) als CSV-Datei. Der Verantwortliche kann seine Fotos außerdem jederzeit selbst als ZIP-Datei herunterladen.

(2) Trifft der Verantwortliche keine Wahl, löscht der Auftragsverarbeiter spätestens 30 Tage nach Vertragsende alle Daten des Verantwortlichen, einschließlich Fotodateien, Konten und Einwilligungsdaten. Die Löschung wird auf Anfrage in Textform bestätigt.

(3) Aus der täglichen Kopie der Fotodateien fallen gelöschte Dateien spätestens nach weiteren 7 Tagen heraus, aus den Datenbanksicherungen spätestens nach weiteren 35 Tagen. Personenbezogene Daten in Server- und Dienstprotokollen werden nach den Fristen des Speicher- und Löschkonzepts gelöscht.

(4) Einzelheiten regelt das Dokument Speicher- und Löschkonzept.

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO.

§ 13 Schlussbestimmungen

(1) Änderungen dieses Vertrags bedürfen der Textform. Eine neue Fassung veröffentlicht der Auftragsverarbeiter unter dsgvoschulfotos.de/dokumente und teilt sie bestehenden Kunden per E-Mail mit. Senkt eine Änderung das Schutzniveau, gilt sie nur mit Zustimmung des Verantwortlichen.

(2) Bei Widersprüchen zu den Nutzungsbedingungen geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Beschreibung der Verarbeitung

Zweck: Speicherung von Fotos und deren Bereitstellung an berechtigte Personen.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Bereitstellen, Herunterladen, Löschen; Erzeugen von Vorschaubildern; Versand von Einladungs- und Benachrichtigungs-E-Mails.

Datenarten

Betroffene Personen: abgebildete Personen, insbesondere Kinder; Erziehungsberechtigte; Fachkräfte und Mitarbeitende des Verantwortlichen; Empfänger von Galerie-Links.

Besondere Kategorien (Art. 9 DSGVO): nicht vorgesehen. Lassen Fotos im Einzelfall solche Rückschlüsse zu, liegt die Bewertung beim Verantwortlichen.

Anlage 2: Technische und organisatorische Maßnahmen (Kurzfassung)

Ausführlich im Dokument Technische und organisatorische Maßnahmen.

• Standort: Hetzner Cloud und Hetzner Object Storage, Rechenzentrum Nürnberg; Hetzner ist nach ISO/IEC 27001 zertifiziert.
• Zugang: persönliche Konten; Einladungscodes mit begrenzter Gültigkeit; Serverzugang nur per SSH-Schlüssel; von außen nur die Ports 22, 80 und 443 erreichbar.
• Zugriff: Rechteprüfung auf dem Server; Row Level Security auf allen Tabellen der Anwendung; Fotos nur über kurzlebige, signierte Links.
• Trennung: jedes Konto und jede Einrichtung ist technisch getrennt.
• Transport: TLS 1.2 und 1.3, HSTS, kein CDN.
• Nachvollziehbarkeit: Audit-Protokoll; Einwilligungen werden fortgeschrieben, nie überschrieben.
• Verfügbarkeit: tägliche, mit AES-256 verschlüsselte Datenbanksicherung (35 Tage); tägliche Kopie der Fotodateien in einen getrennten Speicherbereich; automatische Sicherheitsupdates.
• Datensparsamkeit: Vorschaubilder ohne Metadaten (Einzeldownloads sind Originaldateien mit ihren Metadaten); IP-Adressen und Browserkennung im Audit-Protokoll werden nach 90 Tagen entfernt.

Anlage 3: Genehmigte Unterauftragsverarbeiter

Einzelheiten im Dokument Unterauftragsverarbeiter.

Dieser Vertrag ist eine Vorlage des Auftragsverarbeiters und stellt keine Rechtsberatung dar.