Auftragsverarbeitungsvertrag (AVV / DPA)

Stand: 20. Juli 2026

Dieser Auftragsverarbeitungsvertrag konkretisiert die Pflichten der Parteien im Hinblick auf den Datenschutz, wenn INKSITES (brose|media, Inhaber Jannik Brose, „Auftragsverarbeiter") im Rahmen des Nutzungsvertrags personenbezogene Daten im Auftrag des Studios („Verantwortlicher") verarbeitet. Er ist Bestandteil des Hauptvertrags. Bei Widersprüchen zu Datenschutzfragen geht dieser AVV vor.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten zur Erbringung der im Hauptvertrag beschriebenen Leistungen. Die Dauer entspricht der Laufzeit des Hauptvertrags; sie endet mit dessen Beendigung und anschließender Löschung bzw. Rückgabe der Daten.

2. Art und Zweck der Verarbeitung

Hosting und Bereitstellung der Studio-Website, Entgegennahme und Verwaltung von Anfragen, Kunden- und Terminverwaltung, technische Synchronisation von Zahlungsstatus, Versand von Termin-E-Mails und Benachrichtigungen, Support sowie optionale KI-Unterstützung – jeweils auf dokumentierte Weisung des Verantwortlichen.

3. Art der Daten

Kontaktdaten (Name, E-Mail, Telefon), Anfrageinhalte (Motiv, Stil, Körperstelle, Größe, Budget, Referenzen), Kundenakten und Notizen, Termindaten, Kommunikationsinhalte, hochgeladene Bilder sowie Zahlungsstatusdaten. Besondere Kategorien nach Art. 9 DSGVO sind nicht als Pflichtfeld vorgesehen; freiwillige Freitextangaben können im Einzelfall gesundheitsbezogen sein (siehe Datenschutzerklärung, Ziffer 7).

4. Kategorien betroffener Personen

Studioinhaberinnen und -inhaber sowie Mitarbeitende, Interessentinnen und Interessenten, Kundinnen und Kunden des Studios sowie gegebenenfalls vom Studio benannte Künstlerinnen und Künstler.

5. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist. Die Nutzung der Plattform gemäß ihrer Funktionen gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

6. Pflichten des Auftragsverarbeiters

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die konkreten Maßnahmen werden bei Bedarf in einer gesonderten TOM-Anlage weiter ausdifferenziert und dem Stand der Technik angepasst.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der nachstehenden Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen und räumt ein Widerspruchsrecht aus wichtigem Grund ein. Mit jedem Unterauftragsverarbeiter bestehen bzw. werden Verträge mit Datenschutzpflichten geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen. Die stets aktuelle Liste findet sich unter Subprozessoren:

9. Drittlandübermittlung

Soweit Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (insbesondere EU-US Data Privacy Framework) oder auf Grundlage von EU-Standard- vertragsklauseln nach Art. 46 DSGVO nebst ergänzender Schutzmaßnahmen.

10. Kontrollrechte und Nachweise

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Vorrangig erfolgt der Nachweis über aussagekräftige Dokumentation und – soweit vorhanden – Zertifikate und Prüfberichte der eingesetzten Infrastrukturprovider.

11. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten und unterstützt bei den Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

12. Löschung und Rückgabe

Nach Beendigung löscht der Auftragsverarbeiter die verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Gesetzlich aufzubewahrende Daten werden zugriffsbeschränkt bis zum Ablauf der Frist vorgehalten.

13. Haftung

Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO. Im Innenverhältnis trägt jede Partei die Verantwortung für den ihr zuzurechnenden Datenschutzverstoß.