Vereinbarung zur Auftragsverarbeitung

Der Nutzer der Plattform (Fotograf:in) ist Verantwortlicher im Sinne der DSGVO für die von ihm gespeicherten Daten seiner Kunden. Frederic Braun, Bodestraße 3E, 14513 Teltow, ist als Betreiber der Plattform Auftragsverarbeiter.

Gegenstand ist das Hosting und die Verarbeitung der vom Nutzer in ShotDesk eingegebenen Daten. Die Vereinbarung gilt für die Dauer der Kontonutzung und endet mit der Löschung des Kontos.

Verarbeitete Datenarten: Kontaktdaten von Kunden des Nutzers (Name, Anschrift, E-Mail, Telefon, Social-Media-Handle), Auftrags- und Shooting-Daten, Fahrzeugdaten (inkl. Kennzeichen), Finanz- und Belegdaten des Nutzers. Betroffene Personen: Kunden und Geschäftspartner des Nutzers sowie der Nutzer selbst.

Der Betreiber verarbeitet die Daten ausschließlich zur Bereitstellung der Plattform-Funktionen und im Rahmen dieser Vereinbarung. Eine Nutzung für eigene Zwecke findet nicht statt.

• Feldverschlüsselung der Inhaltsdaten mit AES-256-GCM; Schlüssel pro Nutzer, abgeleitet aus dem Nutzer-Passwort (PBKDF2, 310.000 Iterationen) — der Betreiber kann Inhaltsdaten nicht im Klartext lesen
• Transportverschlüsselung (HTTPS/TLS) für sämtliche Verbindungen
• Zugriffskontrolle: passwortgeschützte Konten, strikte Datentrennung pro Nutzer
• Server-Härtung: Firewall (nur 22/80/443), Brute-Force-Schutz (fail2ban, Rate-Limiting)
• Regelmäßige automatisierte Datenbank-Backups, zusätzlich vor jedem Update
• Hosting in einem deutschen Rechenzentrum (Hetzner)

Folgende Unterauftragsverarbeiter werden eingesetzt:

• Hetzner Online GmbH, Gunzenhausen (Deutschland) — Server-Hosting
• Anthropic PBC (USA) — nur bei aktiver Nutzung des optionalen KI-Belegimports: die hochgeladene Beleg-Datei wird zur Texterkennung an die Anthropic-API übermittelt und dort nicht zu Trainingszwecken gespeichert. Die Nutzung des KI-Imports ist freiwillig und pro Konto freischaltbar.

Über geplante Änderungen der Unterauftragsverarbeiter wird der Nutzer informiert und kann widersprechen.

Der Betreiber unterstützt den Nutzer im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Export). Der Nutzer kann seine Daten jederzeit selbst über die Export-Funktionen ausleiten oder Datensätze löschen.

Der Betreiber informiert den Nutzer unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die die Daten des Nutzers betrifft.

Nach Beendigung der Nutzung werden die Daten des Nutzers auf Verlangen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Backups rotieren automatisch und werden nach Ablauf der Aufbewahrungsfrist überschrieben.