Auftragsverarbeitungsvertrag (DPA)

Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Datenschutzverletzung“ und „Aufsichtsbehörde“ haben die in Artikel 4 der DSGVO definierte Bedeutung.

Der Auftragsverarbeiter ist berechtigt, im Auftrag des Verantwortlichen die zur Erbringung folgender Dienste erforderlichen personenbezogenen Daten zu verarbeiten:

• Hosting der Nutzerkonten (Kunden, Mitarbeiter, Gäste);
• Verwaltung von Projekten, Briefings, Shoot-Plänen, Lieferungen;
• Rechnungsstellung und Inkasso auf Tenant-Seite (Unterfakturierung an den Endkunden);
• KI-Assistenz Leeza — Stufe 1 (Kontogedächtnis) und Stufe 2 (anonymisiertes Opt-in-Lernen, k-Anonymität ≥ 5);
• Produktanalyse (PostHog EU Cloud) vorbehaltlich der Einwilligung der Endnutzer;
• elektronische Signatur von Dokumenten über Yousign;
• transaktionale E-Mail-Benachrichtigungen (Resend).

Der Gesamtzweck ist die Bereitstellung des SaaS-Dienstes SYNAPTIIK gemäß den Verkaufsbedingungen. Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.

Die Vereinbarung tritt mit dem Datum des Vertragsabschlusses in Kraft und bleibt für die gesamte Dauer des Abonnements in Kraft.

Kategorien betroffener Personen:

• professionelle Nutzer (Fotografen, Videografen, Drohnenpiloten, Tenant-Administratoren);
• interne Mitarbeiter der Tenants (angestelltes Personal, freiberufliche Gäste);
• Endkunden (juristische und/oder natürliche Personen, die die Leistungen empfangen);
• gelegentliche Gäste (Gastportal, Magic Links).

Datenkategorien:

• Identifikationsdaten (Name, E-Mail, Telefon);
• berufliche Daten (Handelsregisternummer, Rolle, Unternehmen, Portfolio);
• erstellte Inhalte (Fotos, Videos, Dokumente, EXIF-Metadaten);
• Rechnungsdaten (Leistungen, Beträge, über Stripe tokenisierte Zahlungsmittel);
• technische Daten (Logs, IP-Adressen, User-Agent, Geräte-ID);
• Interaktionen mit der KI Leeza (Anfragen, Antworten, Feedback).

Der Verantwortliche gestattet dem Auftragsverarbeiter, die in der Datenschutzerklärung §4 aufgeführten Unterauftragsverarbeiter (Vercel, Supabase, Stripe, Backblaze, Anthropic, Resend, PostHog, Better Stack, Yousign, Brevo, Cloudflare, Google Workspace, reCAPTCHA/hCaptcha) einzusetzen.

Jede Änderung eines Unterauftragsverarbeiters wird dem Verantwortlichen mindestens 30 Tage vor ihrer tatsächlichen Umsetzung mitgeteilt, durch Veröffentlichung auf der Datenschutzseite sowie per E-Mail für die Pläne Agence und Agence Scale. Der Verantwortliche kann innerhalb dieser Frist einen begründeten Widerspruch erheben; andernfalls gilt die Änderung als angenommen.

Der Auftragsverarbeiter verpflichtet sich:

• Daten ausschließlich gemäß den dokumentierten Weisungen des Verantwortlichen zu verarbeiten (wobei diese Bedingungen und die normale Nutzung der Plattform die genannten Weisungen darstellen);
• sicherzustellen, dass die zur Datenverarbeitung berechtigten Personen zur Vertraulichkeit verpflichtet sind (Vertraulichkeitsverpflichtung, unterzeichnet von den Mitarbeitern von SYNAPTIIK);
• alle geeigneten technischen und organisatorischen Maßnahmen zu ergreifen (Art. 32 DSGVO), die in Artikel 7 dieser Vereinbarung näher beschrieben sind;
• den Verantwortlichen bei der Erfüllung seiner Pflichten zu unterstützen (Beantwortung von Betroffenenrechten, Folgenabschätzungen, vorherige Konsultation der Behörde, Meldung von Verletzungen);
• dem Verantwortlichen die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 erforderlich sind;
• eine Regel der k-Anonymität ≥ 5 auf alle aggregierten Daten anzuwenden, die möglicherweise zur Produktverbesserung an einen Unterauftragsverarbeiter übermittelt werden, zusätzlich zu den üblichen Pseudonymisierungsmaßnahmen.

• TLS-1.2+-Verschlüsselung bei der Übertragung;
• AES-256-Verschlüsselung im Ruhezustand (Datenbank, Objektspeicher, Backups);
• optionale Multi-Faktor-Authentifizierung bei Solo/Studio, verpflichtend bei Agence;
• RBAC-Zugriffskontrolle, mandantenbezogene Supabase Row-Level Security;
• Protokollierung von Admin-Zugriffen mit 12-monatiger Aufbewahrung;
• automatische Backups mit vierteljährlich getesteter Wiederherstellung;
• regelmäßige Penetrationstests (mindestens jährlich);
• Überwachung von CVE-Schwachstellen und Patch-Management mit internem SLA von 72 Std. (kritisch) / 7 Tagen (hoch).

Der Auftragsverarbeiter leistet dem Verantwortlichen technische und organisatorische Unterstützung bei der Beantwortung von Anträgen zur Ausübung von Rechten (Art. 15 bis 22 DSGVO). Ein Endpunkt /api/legal/export-rgpd ermöglicht den strukturierten Export der Daten (JSON + CSV + binäre Medien).

Erhält der Auftragsverarbeiter eine Anfrage direkt von einer betroffenen Person, leitet er diese unverzüglich (maximal 48 Stunden) an den Verantwortlichen weiter.

Bei Beendigung des Abonnements bewahrt der Auftragsverarbeiter die Daten 90 Tage als Sicherheitsfrist auf (Möglichkeit der Reaktivierung, Rechtsbehelf). Nach Ablauf dieser Frist werden die Daten gelöscht, außer bei gesetzlicher Verpflichtung (Rechnungen werden 10 Jahre vom Buchhalter/Finanzamt aufbewahrt).

Der Verantwortliche verfügt über ein Recht auf vollständigen Export der Daten jederzeit sowie während der 90 Tage nach Beendigung, in einem strukturierten, maschinenlesbaren Format.

Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der Auftragsverarbeiter den Verantwortlichen innerhalb von 48 Stunden nach Kenntnisnahme, damit dieser die Aufsichtsbehörde innerhalb der von Art. 33 DSGVO vorgeschriebenen Frist von 72 Stunden benachrichtigen kann.

Die Meldung umfasst: Art der Verletzung, Kategorien und ungefähre Anzahl der betroffenen Personen, Kategorien und ungefährer Umfang der Daten, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen.

Der Auftragsverarbeiter hat einen dokumentierten Kontinuitätsplan eingerichtet, der insbesondere Folgendes abdeckt:

• die vorübergehende oder endgültige Nichtverfügbarkeit seines Geschäftsführers (notariell beurkundeter Vorsorgeauftrag gem. Art. 477 des französischen Zivilgesetzbuchs);
• die Sicherung und Wiederherstellung kritischer Zugänge über ein notarielles Escrow (Infrastruktur-Geheimnisse, Quellcode, Backups);
• die Benennung einer Vertrauensperson, die berechtigt ist, den Betrieb fortzuführen oder die Übertragung an einen Nachfolger zu organisieren.

Im Falle eines schwerwiegenden Ereignisses, das die Betriebskontinuität für mehr als 30 aufeinanderfolgende Tage gefährdet, verpflichtet sich der Auftragsverarbeiter:

• den Verantwortlichen innerhalb von 72 Stunden zu benachrichtigen;
• den vollständigen Export der Daten innerhalb von 15 Werktagen zu ermöglichen;
• die sichere Löschung der Daten gemäß Artikel 9 sicherzustellen, sollte der Dienst nicht wiederaufgenommen werden können.

Der Verantwortliche verfügt über ein Recht zur fristlosen und kostenlosen Kündigung im Falle einer bestätigten Unfähigkeit des Auftragsverarbeiters, den Dienst aufrechtzuerhalten.

Öffentliche Zusammenfassung des Plans: /legal/continuity.

Der Verantwortliche hat ein Recht, die Einhaltung der Vereinbarung durch den Auftragsverarbeiter zu prüfen. Das Audit wird höchstens einmal jährlich durch einen unabhängigen Prüfer durchgeführt, mit einer Ankündigungsfrist von 30 Tagen, auf eigene Kosten und ohne den Betrieb zu stören.

Bestehende Berichte über Zertifizierungen Dritter (SOC 2 der wichtigsten Unterauftragsverarbeiter, DSGVO-Zertifizierungen, aktuelle Pentests) können nach Ermessen des Verantwortlichen anstelle eines Vor-Ort-Audits vorgelegt werden.

Übermittlungen außerhalb der Europäischen Union werden durch die Standardvertragsklauseln (Beschluss 2021/914) und, sofern der Unterauftragsverarbeiter zertifiziert ist, durch das EU-US Data Privacy Framework (Beschluss 2023/1795) geregelt. Zusätzliche Maßnahmen (Verschlüsselung, Pseudonymisierung) werden systematisch angewendet.

Diese Vereinbarung unterliegt französischem Recht. Jeder Streit über ihre Auslegung oder Erfüllung fällt, mangels gütlicher Einigung, in die ausschließliche Zuständigkeit der Gerichte von Bourg-en-Bresse (Frankreich).