Rechtliches

Auftragsverarbeitungsvertrag

Stand: 10. August 2026 · Vertragsversion 2026-10-01

Was piqio im Auftrag eines Studios mit den Daten von dessen Kunden tun darf - und was ausdrücklich nicht.

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die ein Studio über piqio an seine eigenen Kunden ausliefert. Für Konto-, Vertrags- und Abrechnungsdaten des Studios gilt er nicht - dafür ist piqio selbst Verantwortlicher, geregelt in der Datenschutzerklärung.

§ 1Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter betreibt die Plattform piqio, über die der Verantwortliche (dein Studio) Bild-, Video- und PDF-Galerien an seine Endkunden ausliefert (Bereitstellung, Review-Workflow mit Auswahlen, Bewertungen und Kommentaren, Downloads sowie optional Print-Bestellungen). Gegenstand dieses Vertrags ist jede Verarbeitung personenbezogener Daten der Endkunden des Verantwortlichen, die der Auftragsverarbeiter im Rahmen dieser Plattform-Leistungen in dessen Auftrag vornimmt.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags über die Plattform (Tarif- bzw. Testphasen-Vereinbarung). Nach Vertragsende richtet sich die Löschung nach § 10 dieses Vertrags.

(3) Für Konto-, Vertrags- und Abrechnungsdaten des Verantwortlichen selbst (Tenant-Stammdaten, Team-Zugänge, Rechnungen) ist der Auftragsverarbeiter eigenständig Verantwortlicher; diese Daten sind nicht Gegenstand dieses Vertrags.

§ 2Art und Zweck der Verarbeitung

(1) Die Verarbeitung umfasst: Speicherung und Auslieferung hochgeladener Dateien (Originale und automatisch erzeugte Vorschaubilder) in einem EU-Objektspeicher; Betrieb des Review-Workflows (Reviewer-Identität je Freigabe-Link, Bewertungs-Flags, Likes, Auswahlen, Kommentare mit Anmerkungen); Protokollierung fachlicher Ereignisse (z. B. Galerie-Besuch, Download) für Aktivitäts-Feed und Benachrichtigungen; Versand von E-Mails an Endkunden im Namen des Verantwortlichen (z. B. Galerie-Links, Erinnerungen); auf Wunsch des Verantwortlichen die Abwicklung von Print-Bestellungen (Zahlung, Druck, Versand) sowie eine optionale AI-Bildanalyse (Verschlagwortung, Bildbeschreibung, Qualitätsbewertung, Ähnlichkeitssuche).

(2) Die AI-Bildanalyse erfolgt ausschließlich in der EU (Region europe-west4); die EU-Region wird technisch erzwungen. Eine Gesichtserkennung oder ein Wiedererkennen von Personen (biometrische Verarbeitung im Sinne von Art. 9 DSGVO) findet nicht statt.

(3) Zweck der Verarbeitung ist allein die Erbringung der beauftragten Plattform-Leistungen für den Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters oder ein Training von AI-Modellen mit Inhalten des Verantwortlichen findet nicht statt.

§ 3Kategorien betroffener Personen

(1) Von der Verarbeitung betroffen sind: auf den übermittelten Bildern und Videos abgebildete Personen; Reviewer und Betrachter der Galerien des Verantwortlichen (Endkunden); Ansprechpartner der Kunden des Verantwortlichen; Besteller im Print-Shop des Verantwortlichen (sofern aktiviert).

§ 4Arten personenbezogener Daten

(1) Verarbeitet werden: Bild-, Video- und PDF-Dateien einschließlich abgebildeter Personen sowie daraus abgeleitete Vorschauen und AI-Metadaten (Schlagworte, Bildbeschreibung, Qualitätswert, Bild-Fingerabdruck, Einbettungsvektor - keine biometrischen Merkmale); Namen von Reviewern samt Reaktionen, Auswahlen und Kommentar-Freitexten; Kontaktdaten von Kunden-Ansprechpartnern (Name, E-Mail-Adresse); bei Print-Bestellungen Name, E-Mail-Adresse, Lieferadresse und Bestelldaten; technische Nutzungs- und Ereignisdaten (Zeitpunkte von Besuchen, Downloads, Bewertungen; Server-Protokolle mit IP-Adressen).

§ 5Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Als dokumentierte Weisungen gelten insbesondere die Nutzung der Plattform-Funktionen durch den Verantwortlichen (z. B. Hochladen, Freigeben, Teilen, Löschen von Galerien, Aktivieren optionaler Module). Weitergehende Weisungen bedürfen der Textform an die in diesem Vertrag genannte Kontaktadresse des Auftragsverarbeiters.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich.

§ 6Vertraulichkeit

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugang zu den Systemen ist auf das für Betrieb und Wartung erforderliche Personal beschränkt (Näheres in Anlage 1).

§ 7Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten. Die Anlage 1 ist aus dem tatsächlichen System- und Betriebszustand hergeleitet; bekannte Lücken sind dort ausdrücklich als solche gekennzeichnet und werden nicht als umgesetzte Maßnahmen dargestellt.

(2) Die Maßnahmen dürfen dem Stand der Technik entsprechend fortgeschrieben werden, solange das Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen werden in der Anlage dokumentiert.

§ 8Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter durch einen Vertrag nach Art. 28 Abs. 4 DSGVO auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind.

(2) Beabsichtigte Neuaufnahmen oder Wechsel von Unterauftragsverarbeitern kündigt der Auftragsverarbeiter dem Verantwortlichen vorab in Textform an. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Kündigungsrecht für die betroffene Leistung zu.

(3) Datenübermittlungen in Drittländer finden nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln); Einzelheiten je Anbieter ergeben sich aus Anlage 2.

§ 9Unterstützung des Verantwortlichen; Betroffenenrechte

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte aus Kapitel III der DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) zu beantworten. Die Plattform stellt dafür unter anderem bereit: einen vollständigen Datenexport des Kontos, ZIP-Downloads der Original-Dateien sowie Löschwerkzeuge für Galerien, Dateien, Kunden-Kontakte und Freigabe-Links.

(2) Anträge betroffener Personen, die direkt beim Auftragsverarbeiter eingehen und sich auf Daten aus dem Auftrag beziehen, leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner - unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen - bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(4) Verletzungen des Schutzes personenbezogener Daten, die Daten aus diesem Auftrag betreffen, meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit verfügbar.

§ 10Löschung und Rückgabe nach Abschluss der Verarbeitung

(1) Während der Vertragslaufzeit löscht der Auftragsverarbeiter auf Weisung des Verantwortlichen: Galerie-Löschungen wandern für 30 Tage in einen Papierkorb (Wiederherstellung möglich) und werden danach - oder auf Wunsch sofort - endgültig gelöscht, einschließlich aller Dateien, Vorschauen, Reviewer-Daten, Reaktionen und Kommentare im Objektspeicher und in der Datenbank. Personenbezogene Daten von Print-Bestellern (E-Mail-Adresse, Lieferadresse, Sendungsverfolgung) werden 90 Tage nach Abschluss der Bestellung automatisch anonymisiert; Beträge und Belegdaten bleiben für handels- und steuerrechtliche Aufbewahrungspflichten erhalten. Ereignisdaten unterliegen einer Aufbewahrung von 12 Monaten.

(2) Nach Vertragsende (Kündigung oder Ablauf der Testphase) bleiben die Daten des Verantwortlichen mindestens 30 Tage als Wiederherstellungsfrist erhalten. Vor Ablauf der Frist wird der Verantwortliche gewarnt und kann seine Daten selbst exportieren (vollständiger Konto-Export sowie ZIP-Download der Original-Dateien); eine Reaktivierung innerhalb der Frist stellt den Bestand unverändert wieder her. Nach Ablauf der Frist löscht der Auftragsverarbeiter sämtliche Daten des Verantwortlichen - Datenbankbestand und alle Objekte im Speicher. Diese Löschung wird ausgelöst und läuft nicht automatisch mit dem Fristablauf ab; sie kann deshalb später erfolgen als am Tag nach Fristende. Auf Weisung des Verantwortlichen löscht der Auftragsverarbeiter unverzüglich, spätestens innerhalb eines Monats nach Eingang der Weisung.

(3) Gelöschte Daten können in rollierenden Infrastruktur-Backups technisch bedingt nachlaufen, bis der Backup-Zyklus sie überschreibt; die Backups dienen ausschließlich der Wiederherstellung des Systembetriebs. Gesetzliche Aufbewahrungspflichten (z. B. § 147 AO für Abrechnungsbelege) bleiben unberührt; hierfür wird mit der Löschung ein Minimal-Archiv ohne personenbezogene Endkunden-Daten zurückbehalten.

§ 11Nachweis- und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind - insbesondere die jeweils aktuelle Fassung der Anlagen 1 und 2 sowie die Dokumentation des Löschkonzepts.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen (einschließlich Inspektionen), die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei. Kontrollen erfolgen nach angemessener Vorankündigung, während üblicher Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs; vorrangig durch Auskünfte und geeignete Nachweise.

§ 12Schlussbestimmungen

(1) Dieser Vertrag wird elektronisch über die Plattform angenommen; die Annahme wird mit Zeitpunkt, annehmender Person und Versionsstand protokolliert und erfüllt das Erfordernis eines schriftlich oder in einem elektronischen Format geschlossenen Vertrags nach Art. 28 Abs. 9 DSGVO.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag geht dieser Vertrag hinsichtlich des Datenschutzes vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

A1Anlage 1 - Technische und organisatorische Maßnahmen

Hergeleitet aus dem tatsächlichen System- und Betriebszustand. Enthalten ist nur, was das System nachweislich tut; bekannte Lücken stehen am Ende dieser Anlage ausdrücklich als offene Punkte.

1. Zugangskontrolle (Systeme)

• Server-Zugang ausschließlich per SSH über ein dediziertes Deploy-Konto, nicht als root.
• Team-Login: Passwörter argon2-gehasht, Mindestlänge 8 Zeichen; alternativ Magic-Link (15-Minuten-Token, nur als Hash gespeichert, Einmal-Nutzung) und Passkeys/WebAuthn mit Zähler gegen Klon-Erkennung.
• Sessions: HMAC-signiertes Cookie mit getrenntem Secret, 14 Tage Laufzeit, tenant-gebunden und pro Anfrage gegen die Datenbank verifiziert; auf White-Label-Domains zusätzlicher Host-Tenant-Abgleich. Galerie-Passwörter nutzen ein separates Secret; beide Secrets werden in Produktion technisch erzwungen.
• Login-, Entsperr- und Magic-Link-Routen sind rate-limitiert; Token-Vergleiche erfolgen timing-sicher.
• Der Produktions-Seed erzwingt ein gesetztes Admin-Passwort (kein Default-Passwort in Produktion).

2. Zugriffskontrolle (Daten)

• Mandanten-Isolation als System-Invariante: jede Datenbank-Abfrage ist auf den jeweiligen Tenant beschränkt; die wenigen Ausnahmen sind im Schema einzeln dokumentiert und begründet.
• Rollenmodell Admin/Mitglied; destruktive und finanzielle Aktionen verlangen eine echte Admin-Sitzung - der Skript-Zugriffstoken reicht dafür nicht.
• Kundengalerien: Zugriff ausschließlich über nicht erratbare Freigabe-Tokens (24 Zufallsbytes) plus optionales argon2-gehashtes Galerie-Passwort; Rechte je Link granular (Download, Auswahl, Kommentar, Upload, Bestellung). Nur live geschaltete Galerien sind über Token erreichbar.
• Reviewer-Identität: eigenes Zufalls-Cookie je Freigabe-Link (90 Tage), kein Account, keine E-Mail-Pflicht (Datenminimierung).
• Original-Dateien sind nie öffentlich: Auslieferung nur über kurzlebige signierte URLs (300 Sekunden) und nur bei Download-Berechtigung; Upload über signierte URLs (900 Sekunden).
• Print-Druckdateien: Abruf durch das Labor nur über zustandsgeprüfte Relay-URLs - Zugriff nur, solange der Bestellstatus es erlaubt, durch Storno widerrufbar.

3. Übertragungskontrolle / Verschlüsselung

• TLS für alle Domains; Zertifikate für Kundendomains werden nur nach Positiv-Prüfung des Hostnamens gegen aktive Tenants ausgestellt.
• Objektspeicher-Zugriff über HTTPS; Zugangsschlüssel liegen nur in der Server-Konfiguration.
• E-Mail-Versand über authentifizierte Absender-Domains (DKIM/SPF/DMARC).
• Zahlungs-Webhooks werden signaturgeprüft und idempotent verarbeitet.

4. Eingabekontrolle / Integrität

• Security-Header und Basis- sowie routen-spezifische Rate-Limits.
• Upload-Härtung: Content-Type-Whitelist, Magic-Byte-Gegenprüfung im Verarbeitungs-Worker, Pixel-Limit, Größen-Deckel vor der Verarbeitung, serverseitige Größenverifikation gegen falsche Angaben.
• Begrenzter Wirkungsradius bei Löschungen: Lösch-Helfer erzwingen den eigenen Tenant-Namensraum; Schlüssel außerhalb werden verworfen statt gelöscht.
• Fachliches Ereignisprotokoll (Besuche, Downloads, Bewertungen, Lifecycle-Schritte) für Nachvollziehbarkeit, mit 12-monatiger Aufbewahrung.
• Mehrfache externe Sicherheits-Reviews sind dokumentiert; Befunde wurden behoben und mit automatisierten Tests abgesichert.

5. Datenminimierung / Zweckbindung

• Keine Gesichtserkennung, kein Gruppieren nach Personen (bewusste Entscheidung, Art. 9 DSGVO).
• AI-Verarbeitung ausschließlich in der EU (Region europe-west4); die Region wird im Code hart validiert - eine Nicht-EU-Region bricht die Verarbeitung ab.
• Design-Assistent-Screenshots werden nach erfolgreicher Auswertung sofort aus dem Speicher gelöscht.
• Token-Hygiene: Magic-Link-, Einladungs-, Registrierungs- und Wartelisten-Tokens werden nur als Hash gespeichert, nie im Klartext.
• Reviewer brauchen nur einen Namen (kein Account, keine E-Mail); URLs enthalten keine Personennamen.
• Warteliste mit Double-Opt-in und gespeichertem Einwilligungszeitpunkt.

6. Löschung / Verfügbarkeit

• Automatisierte Löschketten: Papierkorb-Endlöschung (30 Tage), Aufräumen nie abgeschlossener Uploads (7 Tage), Anonymisierung von Print-Bestelldaten (90 Tage), Aufbewahrung der Ereignisdaten (12 Monate) - Details im Löschkonzept.
• Die Löschung eines Kontos nach Vertragsende (Wiederherstellungsfrist mindestens 30 Tage) wird ausgelöst und läuft nicht automatisch ab; auf Weisung wird unverzüglich gelöscht (§ 10 Abs. 2).
• Löschungen sind idempotent, gegen parallele Vorgänge gesperrt und schlüssel-basiert (kein Präfix-Blindflug); Speicher-Rückbuchung driftsicher.
• Verfügbarkeit: Container-Betrieb mit Health-Checks; Server-Backups der Produktions-Maschine aktiv; separate Staging-Umgebung mit der Regel, dass jeder Deploy zuerst durch Staging läuft.

Bekannte Lücken

Diese Punkte sind keine umgesetzten Maßnahmen. Sie stehen hier, weil eine Lücke in einem AVV-Anhang nicht als vorhandene Maßnahme dargestellt werden darf.

1. Die Löschung eines Kontos nach Vertragsende ist nicht automatisiert: der dafür vorgesehene tägliche Lauf ist über eine Betriebsvariable abschaltbar und derzeit abgeschaltet, er protokolliert nur, was gelöscht würde. Gelöscht wird deshalb auf Weisung und durch den Auftragsverarbeiter ausgelöst (§ 10 Abs. 2). Die Wiederherstellungsfrist ist damit eine Untergrenze, kein Termin.
2. Backup-Aufbewahrung und Wiederherstellungs-Übung sind nicht formal definiert (Hoster-Standard-Zyklus); der Objektspeicher selbst hat kein Backup.
3. Für Server- und Container-Protokolle ist keine feste Aufbewahrungsfrist definiert.
4. Ein dokumentiertes Verfahren für Betroffenen-Ersuchen (Identifikation, Fristen, Zuständigkeit) und ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) liegen noch nicht vor.
5. Ein dokumentierter Incident-Response-/Meldeprozess (Art. 33/34 DSGVO) liegt noch nicht vor.
6. Verschlüsselung im Ruhezustand (Datenbank/Objektspeicher) beruht auf dem Anbieter-Standard und ist nicht gesondert verifiziert.

A2Anlage 2 - Unterauftragsverarbeiter

Es gilt die Status-Regel: nur aktiv angebundene Anbieter verarbeiten heute Daten. Gebaute, aber abgeschaltete Anbindungen sind als „geplant" gekennzeichnet und werden nach § 8 Abs. 2 angekündigt, bevor sie eingeschaltet werden.

Nicht gelistet, weil keine Verarbeitung personenbezogener Nutzerdaten stattfindet: der Code-Hosting-Anbieter (enthält keine Produktionsdaten).