Vereinbarung zur Auftragsverarbeitung (IRISORA Studio)

1. Gegenstand und Rollen

Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO gilt zwischen dem Kunden (Verantwortlicher) und Florian Böhm, IRISORA, St.-Afra-Str. 11, 86447 Todtenweis, Deutschland (Auftragsverarbeiter) für alle personenbezogenen Daten, die innerhalb von IRISORA Studio verarbeitet werden.

Gegenstand: technische Verarbeitung von Augenaufnahmen zu Iris-Masterdateien und Kunstwerken. Dauer: für die Laufzeit des IRISORA-Studio-Kontos.

Kategorien betroffener Personen: Endkunden des Kunden sowie Mitarbeitende des Kunden. Datenarten: Bilddateien von Augenaufnahmen, Dateimetadaten, Konto- und Kontaktdaten, Nutzungs- und Abrechnungsdaten.

2. Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus dieser Vereinbarung und aus den in IRISORA Studio vorgenommenen Einstellungen.

Der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

3. Vertraulichkeit und Sicherheit

Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: private Speicherbereiche ohne öffentlichen Zugriff, Auslieferung ausschließlich über kurzlebige signierte Links, Mandantentrennung je Studio auf Datenbankebene, verschlüsselte Übertragung, rollenbasierte Zugriffe, Protokollierung administrativer Zugriffe und jeder Dateiauslieferung.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit eingesetzt: Supabase (Hosting, Datenbank, Speicher, EU), Google (generative Bildverarbeitung), Stripe (Zahlungsabwicklung), Lovable (Anwendungshosting), Resend (transaktionale E-Mails).

Der Auftragsverarbeiter informiert über beabsichtigte Änderungen der Unterauftragsverarbeiter und räumt dem Verantwortlichen die Möglichkeit zum Widerspruch ein.

5. Betroffenenrechte, Unterstützung und Kontrollen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Betroffenenanfragen sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.

Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich und stellt die für eigene Meldungen erforderlichen Informationen bereit.

Der Verantwortliche kann die Einhaltung dieser Vereinbarung überprüfen; der Auftragsverarbeiter stellt die erforderlichen Auskünfte auf Anforderung bereit.

6. Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die hochgeladenen Aufnahmen und erzeugten Dateien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Abrechnungsunterlagen werden für die gesetzlichen Aufbewahrungsfristen vorgehalten.

Der Verantwortliche kann einzelne Projekte und Dateien jederzeit selbst in IRISORA Studio löschen.