Snapveil Logo

Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO

Wer diesen Vertrag braucht

Wer mit Snapveil Fotos und Videos einer Veranstaltung sammelt, entscheidet selbst über Zweck und Umfang dieser Sammlung. Unterliegt der Veranstalter dabei der DSGVO, etwa als Unternehmen, Verein, Schule, Agentur oder gewerblicher Fotograf, ist er Verantwortlicher, und die Pivoda GbR verarbeitet die Inhalte der Galerie in seinem Auftrag. Dafür verlangt Art. 28 DSGVO einen Vertrag: diesen AVV.

Wer privat feiert, etwa eine Hochzeit oder einen Geburtstag, braucht diesen Vertrag in der Regel nicht (Art. 2 Abs. 2 lit. c DSGVO). Die folgenden Zusagen zu Sicherheit, Unterauftragsverarbeitern und Löschung gelten trotzdem.

So wird der Vertrag wirksam: Für alle, die Snapveil beruflich oder für eine Organisation nutzen, wird dieser AVV mit der Annahme der Allgemeinen Geschäftsbedingungen Bestandteil des Vertrags. Eine gesonderte Unterschrift ist nicht nötig.

Download und unterschriebene Fassung: Sie können den Vertrag als PDF herunterladen. Benötigen Sie für Ihre Unterlagen eine von uns unterzeichnete Fassung, schreiben Sie uns an contact@snapveil.com.

Vertragsparteien

Verantwortlicher (im Folgenden „Auftraggeber“): der Kunde, der bei Snapveil ein Veranstalterkonto führt und Events anlegt.

Auftragsverarbeiter (im Folgenden „Auftragnehmer“):

Pivoda GbR Gesellschafter: Daniel Wagner, Jens Schwoon Friedensstraße 7 48151 Münster Deutschland E-Mail: contact@snapveil.com

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Nutzung der Plattform Snapveil gemäß den Allgemeinen Geschäftsbedingungen (im Folgenden „Hauptvertrag“).

(2) Dieser Vertrag gilt für Inhalte, die der Auftraggeber und seine Gäste in die Galerien des Auftraggebers einbringen. Für Daten, die der Auftragnehmer für eigene Zwecke verarbeitet, insbesondere Kontodaten des Auftraggebers, Zahlungsdaten und Nutzungsdaten der Website, ist der Auftragnehmer selbst Verantwortlicher; hierfür gilt die Datenschutzerklärung.

(3) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet, sobald der Auftragnehmer keine personenbezogenen Daten des Auftraggebers mehr verarbeitet.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich, um die vertraglich vereinbarten Leistungen zu erbringen: Entgegennahme, Speicherung, Aufbereitung (Erzeugung von Vorschauversionen), Anzeige, Bereitstellung zum Download und Export und Löschung von Fotos und Videos in Event-Galerien, Verwaltung von Gästen und deren Berechtigungen, Versand galeriebezogener Service-E-Mails.

(2) Hat der Auftraggeber den Tarif „Pro + KI“ gebucht, sind die KI- und Ortsfunktionen standardmäßig eingeschaltet; der Auftraggeber kann sie für jedes Event einzeln ausschalten. Solange sie eingeschaltet sind, umfasst die Verarbeitung zusätzlich die automatische Verschlagwortung und Beschreibung von Fotos, den Aufbau eines Suchindex sowie die Umwandlung von GPS-Koordinaten in Ortsnamen. Videos werden nicht mit KI analysiert. Eine Erkennung oder Gruppierung von Gesichtern findet nicht statt; biometrische Daten werden nicht verarbeitet.

(3) Der Auftragnehmer verwendet die Daten weder für eigene Zwecke noch für Werbung oder zum Training von KI-Modellen; er verkauft sie nicht.

(4) Die Speicherung der Daten erfolgt innerhalb der Europäischen Union. Eine Verarbeitung in einem Drittland findet nur durch die in Anlage 2 genannten Unterauftragsverarbeiter und nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Art der Daten:

(2) Kategorien betroffener Personen:

(3) Fotos und Videos können im Einzelfall besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO erkennen lassen. Der Auftragnehmer sucht in den Inhalten nicht nach solchen Merkmalen und bildet daraus keine Kategorien oder Profile.

§ 4 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Als Weisung gelten der Hauptvertrag, dieser Vertrag sowie die Einstellungen und Handlungen, die der Auftraggeber in der Anwendung vornimmt, zum Beispiel das Anlegen und Löschen von Events, die Aktivierung von Funktionen und die Vergabe von Berechtigungen. Weitere Einzelweisungen erfolgen in Textform an contact@snapveil.com.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Dazu gehören insbesondere eine Rechtsgrundlage für das Sammeln und Bereitstellen der Fotos und Videos sowie die Information der betroffenen Personen nach Art. 13 und 14 DSGVO.

(2) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 6 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Produktivsysteme hat nur ein eng begrenzter Personenkreis. Die Pflicht zur Vertraulichkeit besteht nach Ende dieses Vertrags fort.

§ 7 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der aktuelle Stand ist in Anlage 1 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden in Anlage 1 dokumentiert.

§ 8 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor der Beauftragung eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters per E-Mail an die im Konto hinterlegte Adresse. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen.

(3) Widerspricht der Auftraggeber und lässt sich keine einvernehmliche Lösung finden, kann jede Partei den Hauptvertrag für die betroffenen Events mit Wirkung zum Zeitpunkt der Änderung kündigen.

(4) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen. Befindet sich ein Unterauftragsverarbeiter in einem Drittland, stellt der Auftragnehmer sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln der Europäischen Kommission.

(5) Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten durch seine Unterauftragsverarbeiter.

§ 9 Unterstützung bei Rechten betroffener Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 22 DSGVO zu erfüllen. Die Anwendung ermöglicht dem Auftraggeber insbesondere, Inhalte einzusehen, zu exportieren und zu löschen sowie Gäste und deren Beiträge zu entfernen.

(2) Wendet sich eine betroffene Person mit einem Antrag, der eine Galerie des Auftraggebers betrifft, direkt an den Auftragnehmer, leitet dieser den Antrag unverzüglich an den Auftraggeber weiter und beantwortet ihn nicht ohne dessen Weisung.

(3) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen.

§ 10 Meldung von Datenschutzverletzungen

(1) Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten, die Daten des Auftraggebers betreffen, unverzüglich nach Bekanntwerden per E-Mail an die im Konto hinterlegte Adresse.

(2) Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, der betroffenen Datenkategorien und der ungefähren Zahl betroffener Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen und vorgeschlagenen Maßnahmen. Liegen nicht alle Angaben sofort vor, werden sie schrittweise nachgereicht.

(3) Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen.

§ 11 Löschung und Rückgabe

(1) Der Auftraggeber kann Inhalte jederzeit selbst über die Exportfunktion herunterladen und einzelne Inhalte oder ganze Events löschen.

(2) Nach Ablauf der Speicherdauer des jeweiligen Tarifs (Kostenlos: 2 Monate, Pro und Pro + KI: 12 Monate ab Erstellung des Events, jeweils zuzüglich gebuchter Verlängerungen) löscht der Auftragnehmer Fotos, Videos, Vorschauversionen, Metadaten und KI-Ergebnisse des Events. Vor der Löschung erinnert er den Auftraggeber mehrfach per E-Mail, damit dieser die Inhalte exportieren kann.

(3) Bei Beendigung des Hauptvertrags löscht der Auftragnehmer die Daten nach Ablauf der Exportfrist von 30 Tagen (§ 13 AGB), sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. In Datensicherungen enthaltene Daten werden mit dem turnusmäßigen Überschreiben der Sicherungen gelöscht und bis dahin nicht mehr verarbeitet.

(4) Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform.

§ 12 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag erforderlich sind.

(2) Der Auftraggeber kann die Einhaltung selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer kontrollieren. Kontrollen erfolgen vorrangig durch schriftliche Auskünfte und Einsicht in vorhandene Dokumentation. Kontrollen vor Ort erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs; sie sind auf höchstens eine pro Kalenderjahr beschränkt, sofern kein konkreter Anlass besteht.

(3) Soweit die Verarbeitung in Rechenzentren von Unterauftragsverarbeitern stattfindet, erfolgt der Nachweis durch die von diesen bereitgestellten Prüfberichte und Zertifikate.

§ 13 Haftung

Für die Haftung der Parteien aus diesem Vertrag gelten die Haftungsregelungen des Hauptvertrags (§ 16 der Allgemeinen Geschäftsbedingungen). Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen dieses Vertrags bedürfen der Textform. Der Auftragnehmer darf den Vertrag nach dem im Hauptvertrag vorgesehenen Verfahren für Änderungen der Geschäftsbedingungen anpassen.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Verfahren zur regelmäßigen Überprüfung

Anlage 2: Unterauftragsverarbeiter

Zahlungsabwicklung (Stripe), die Anmeldung mit Google-Konto und das Feedback-Fenster im Veranstalterbereich (Featurebase) betreffen ausschließlich Daten des Auftraggebers selbst, für die der Auftragnehmer Verantwortlicher ist. Sie sind in der Datenschutzerklärung beschrieben und keine Unterauftragsverarbeitung im Sinne dieses Vertrags.

Stand: 20. September 2026