Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Diese Vereinbarung zur Auftragsverarbeitung gilt, wenn du als Gastgeber ein Album bei Albumora anlegst und Gäste Fotos oder Videos zu diesem Album beitragen.

Stand: Juni 2026

1. Parteien

Verantwortlicher: Der jeweilige Gastgeber des Albums, der Albumora zur Erstellung und Bereitstellung eines Albums nutzt.

Auftragsverarbeiter:
Mag. (FH) Florian Neuhuber
Obere Höllstraße 20d
4451 Garsten
Österreich
E-Mail: hello@albumora.de

nachfolgend „Albumora“.

2. Rollenverteilung

Der Gastgeber entscheidet, welche Gäste Zugang zum Album erhalten, welche Inhalte gesammelt werden und zu welchem Zweck das Album genutzt wird. Hinsichtlich der von Gästen hochgeladenen Fotos, Videos und dazugehörigen Angaben ist der Gastgeber daher Verantwortlicher im Sinne der DSGVO, soweit er über Zwecke und Mittel der Verarbeitung entscheidet.

Albumora verarbeitet diese Daten im Auftrag des Gastgebers als Auftragsverarbeiter gemäß Art. 28 DSGVO, soweit die Verarbeitung ausschließlich zur technischen Bereitstellung, Speicherung, Anzeige, Sicherung und Löschung des jeweiligen Albums erfolgt.

Soweit Albumora personenbezogene Daten für eigene Zwecke verarbeitet, etwa zur Vertragsabwicklung mit dem Gastgeber, Zahlungsabwicklung, Rechnungslegung, Sicherheit des Dienstes oder Kundenkommunikation, handelt Albumora eigenständig als Verantwortlicher. Diese Verarbeitungen sind in der Datenschutzerklärung beschrieben.

2a. Vereine und Organisationen als Verantwortliche

Nutzt ein Verein oder eine Organisation (z. B. Sport-, Musik- oder Brauchtumsverein) Albumora, um Fotos und Videos aus dem Vereinsleben zu sammeln, ist der Verein – vertreten durch seine vertretungsberechtigten Personen – Verantwortlicher im Sinne dieser Vereinbarung; sie gilt für ihn entsprechend. Auf Wunsch stellt Albumora dem Verein ein gegenzuzeichnendes Exemplar für die eigene Dokumentation zur Verfügung (Kontakt: hello@albumora.de).

Bei Aufnahmen Minderjähriger ist der Verein dafür verantwortlich, vor einer Veröffentlichung die Einwilligung der Erziehungsberechtigten einzuholen und zu dokumentieren. Albumora unterstützt dies technisch: Inhalte sind standardmäßig nur vereinsintern sichtbar und werden erst nach aktiver Freigabe öffentlich; dokumentierte Einwilligungen können je Mannschaft hinterlegt und jederzeit widerrufen werden.

3. Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die technische Bereitstellung eines digitalen Albums für Event-Fotos und -Videos. Albumora verarbeitet im Auftrag des Gastgebers die von Gästen hochgeladenen Inhalte und damit zusammenhängende technische Daten, soweit dies für den Betrieb des gebuchten Albums erforderlich ist.

4. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:

• Upload, Speicherung und Anzeige von Fotos und Videos,
• Bereitstellung des Albums für den Gastgeber und berechtigte Gäste,
• technische Auslieferung der Inhalte,
• Sicherung der Inhalte durch verschlüsselte Backups,
• Entfernung von GPS-/Standortdaten aus EXIF-Daten, soweit technisch möglich,
• Verwaltung der Speicherdauer,
• Löschung der Inhalte nach Ablauf der gebuchten Speicherdauer oder auf dokumentierte Weisung des Gastgebers.

Eine Verarbeitung der Album-Inhalte zu Werbezwecken, Profiling-Zwecken oder zum Verkauf an Dritte findet nicht statt.

5. Dauer der Verarbeitung

Diese Vereinbarung gilt ab dem Zeitpunkt, zu dem der Gastgeber ein Album anlegt oder bucht, und endet mit der vollständigen Löschung der im Auftrag verarbeiteten Album-Inhalte.

Die Album-Inhalte werden für die im jeweiligen Paket vereinbarte Speicherdauer gespeichert, derzeit 12 oder 24 Monate. Nach Ablauf der Speicherdauer werden die Inhalte automatisch gelöscht, soweit keine abweichende Weisung oder gesetzliche Pflicht entgegensteht. Verschlüsselte Backups werden nach Ablauf des jeweiligen Backup-Zyklus überschrieben oder gelöscht.

6. Kategorien betroffener Personen

Von der Verarbeitung können insbesondere folgende Personen betroffen sein:

• Gastgeber,
• Gäste, die Inhalte hochladen,
• Personen, die auf Fotos oder Videos erkennbar sind,
• Personen, deren Namen oder sonstige Angaben optional durch Gäste angegeben werden,
• bei Vereinsnutzung zusätzlich: Vereinsmitglieder, minderjährige Mitglieder sowie deren Erziehungsberechtigte.

7. Kategorien personenbezogener Daten

Verarbeitet werden insbesondere:

• Foto- und Videodateien,
• Dateinamen,
• Upload-Zeitpunkt,
• technische Metadaten,
• EXIF-Aufnahmezeit,
• optional angegebener Uploader-Name,
• technische Zugriffsdaten, soweit für Bereitstellung, Sicherheit und Fehlerbehebung erforderlich.

GPS-/Standortdaten aus EXIF-Daten werden entfernt, soweit diese in den hochgeladenen Dateien enthalten sind und technisch erkannt werden.

8. Besondere Kategorien personenbezogener Daten

Albumora fordert Gäste nicht dazu auf, besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO hochzuladen. Je nach Inhalt eines Fotos oder Videos können jedoch besondere Kategorien personenbezogener Daten sichtbar oder ableitbar sein, etwa Gesundheitsdaten, religiöse oder weltanschauliche Überzeugungen oder andere sensible Informationen.

Der Gastgeber ist dafür verantwortlich, zu prüfen, ob für die Nutzung des Albums besondere Anforderungen, Einwilligungen oder Einschränkungen erforderlich sind.

9. Weisungen des Gastgebers

Albumora verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Gastgebers, soweit Albumora als Auftragsverarbeiter handelt. Als dokumentierte Weisung gelten insbesondere:

• die Buchung oder Anlage eines Albums,
• die Auswahl des Pakets und der Speicherdauer,
• die Einstellungen und Funktionen innerhalb des Albums,
• Lösch-, Export- oder Supportanfragen des Gastgebers,
• sonstige schriftliche oder per E-Mail übermittelte Weisungen.

Albumora darf Weisungen ablehnen oder aussetzen, wenn sie offensichtlich gegen Datenschutzrecht oder sonstiges geltendes Recht verstoßen. In diesem Fall informiert Albumora den Gastgeber, soweit dem keine rechtlichen Gründe entgegenstehen.

10. Pflichten von Albumora als Auftragsverarbeiter

Albumora verpflichtet sich insbesondere,

• personenbezogene Daten nur auf dokumentierte Weisung des Gastgebers zu verarbeiten,
• die mit der Verarbeitung befassten Personen zur Vertraulichkeit zu verpflichten,
• geeignete technische und organisatorische Maßnahmen zum Schutz der Daten zu treffen,
• keine Album-Inhalte zu verkaufen oder zu Werbezwecken zu nutzen,
• Gäste auf der Upload-Seite nicht zu tracken und dort keine Tracking-Cookies einzusetzen,
• den Gastgeber nach Möglichkeit bei der Erfüllung von Betroffenenrechten zu unterstützen,
• den Gastgeber bei datenschutzrechtlichen Pflichten zu unterstützen, soweit dies für Albumora möglich und zumutbar ist,
• Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an den Gastgeber zu melden,
• nach Beendigung der Verarbeitung die im Auftrag verarbeiteten Daten nach Maßgabe dieser Vereinbarung zu löschen oder zurückzugeben,
• dem Gastgeber Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind.

11. Pflichten des Gastgebers als Verantwortlicher

Der Gastgeber ist insbesondere dafür verantwortlich,

• eine geeignete Rechtsgrundlage für die Nutzung des Albums und die Verarbeitung der hochgeladenen Inhalte sicherzustellen,
• Gäste angemessen über die Nutzung des Albums zu informieren,
• erforderliche Einwilligungen oder sonstige Berechtigungen einzuholen,
• keine rechtswidrigen Inhalte hochladen zu lassen oder weiterzugeben,
• Anfragen betroffener Personen zu prüfen und zu beantworten,
• Albumora nur rechtmäßige Weisungen zu erteilen,
• Zugangsdaten und Anmelde-Links vertraulich zu behandeln,
• zu prüfen, ob besondere Anforderungen für Veranstaltungen mit Kindern, sensiblen Situationen oder besonderen Kategorien personenbezogener Daten bestehen.

12. Technische und organisatorische Maßnahmen

Albumora trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Dazu gehören insbesondere:

• Hosting der Album-Inhalte auf Servern in der Europäischen Union,
• Hauptserver bei Hetzner in Finnland,
• verschlüsselte Backups in Deutschland,
• Zugriffsbeschränkungen auf Systeme und Daten,
• Zugriff auf Gastgeber-Bereiche über E-Mail-Anmeldelink,
• Entfernung von GPS-/Standortdaten aus EXIF-Daten, soweit technisch möglich,
• keine Cookies und keine Tracking-Technologien auf der Gäste-Upload-Seite,
• Trennung von Gäste-Upload-Seite und Marketing-Tracking,
• datensparsame Voreinstellungen,
• Protokollierung und technische Maßnahmen zur Sicherheit und Fehlerbehebung,
• regelmäßige Aktualisierung und Wartung der eingesetzten Systeme,
• Löschung der Album-Inhalte nach Ablauf der gewählten Speicherdauer.

Die konkreten Maßnahmen können technisch weiterentwickelt werden, solange das Sicherheitsniveau nicht wesentlich unterschritten wird.

13. Sub-Auftragsverarbeiter

Der Gastgeber erteilt Albumora eine allgemeine Genehmigung zum Einsatz von Sub-Auftragsverarbeitern, soweit diese für die Bereitstellung des Dienstes erforderlich sind. Derzeit werden insbesondere folgende Dienstleister eingesetzt:

Hinweis: Stripe verarbeitet Zahlungsdaten vor allem im Zusammenhang mit dem Vertragsverhältnis zwischen Albumora und dem Gastgeber. Soweit Stripe nicht im Auftrag des Gastgebers für Album-Inhalte tätig wird, ist Stripe kein Sub-Auftragsverarbeiter für die Gäste-Fotos, sondern eigenständiger Dienstleister für die Zahlungsabwicklung.

Albumora informiert den Gastgeber über beabsichtigte Änderungen bei Sub-Auftragsverarbeitern in angemessener Weise, etwa per E-Mail oder durch Aktualisierung dieser Seite. Der Gastgeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Art. 28 DSGVO sieht vor, dass der Auftragsverarbeiter weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen einsetzen darf; bei allgemeiner Genehmigung muss über Änderungen informiert werden, damit der Verantwortliche widersprechen kann.

14. Drittlandübermittlungen

Die Speicherung der Album-Inhalte erfolgt grundsätzlich auf Servern in der Europäischen Union. Soweit Sub-Auftragsverarbeiter oder sonstige Dienstleister personenbezogene Daten außerhalb der EU/des EWR verarbeiten oder zugänglich machen, erfolgt dies nur nach Maßgabe der Art. 44 ff DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln, soweit erforderlich.

15. Unterstützung bei Betroffenenrechten

Albumora unterstützt den Gastgeber im angemessenen Umfang bei der Bearbeitung von Anfragen betroffener Personen, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

Wendet sich eine betroffene Person direkt an Albumora und betrifft die Anfrage Album-Inhalte, die im Auftrag eines Gastgebers verarbeitet werden, leitet Albumora die Anfrage nach Möglichkeit an den Gastgeber weiter oder stimmt die Bearbeitung mit dem Gastgeber ab, sofern keine gesetzlichen Gründe entgegenstehen.

16. Datenschutzverletzungen

Albumora informiert den Gastgeber unverzüglich, nachdem Albumora eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Auftragsverarbeitung bekannt geworden ist. Die Meldung enthält, soweit verfügbar, Informationen über:

• die Art der Datenschutzverletzung,
• die betroffenen Daten und Personengruppen,
• die wahrscheinlichen Folgen,
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung oder Minderung.

Die Verantwortung für eine etwaige Meldung an die Datenschutzaufsichtsbehörde oder Benachrichtigung betroffener Personen liegt beim Gastgeber, soweit er Verantwortlicher ist. Albumora unterstützt hierbei im angemessenen Umfang.

17. Kontrollen und Nachweise

Albumora stellt dem Gastgeber auf Anfrage Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung und der Pflichten nach Art. 28 DSGVO erforderlich sind. Kontrollen oder Audits sind in angemessenem Umfang, nach vorheriger Abstimmung und unter Wahrung der Sicherheit, Vertraulichkeit und Rechte anderer Kunden möglich.

Vor-Ort-Kontrollen können nur erfolgen, wenn sie erforderlich und verhältnismäßig sind und keine gleichwertigen Nachweise, Dokumentationen oder Bestätigungen ausreichen.

18. Löschung und Rückgabe

Nach Ende der Album-Nutzung oder Ablauf der gebuchten Speicherdauer löscht Albumora die im Auftrag verarbeiteten Album-Inhalte, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Auf Anfrage des Gastgebers kann Albumora vor der Löschung einen Export oder Download der Inhalte ermöglichen, soweit dies technisch vorgesehen und zumutbar ist. Backups werden nach Ablauf des jeweiligen Backup-Zyklus überschrieben oder gelöscht.

19. Vergütung und Aufwand

Die Unterstützung bei Standardfunktionen des Dienstes, insbesondere Anzeige, Download und reguläre Löschung, ist im gebuchten Paket enthalten. Für darüber hinausgehende Sonderaufwände, etwa umfangreiche manuelle Auskünfte, besondere Exporte, individuelle Prüfungen oder außerordentliche Audit-Unterstützung, kann Albumora eine angemessene Vergütung verlangen, sofern dies vorab mitgeteilt wird und gesetzlich zulässig ist.

20. Laufzeit

Diese Vereinbarung gilt für die Dauer der Nutzung des jeweiligen Albums und endet nach vollständiger Löschung der im Auftrag verarbeiteten Album-Inhalte. Pflichten zur Vertraulichkeit und zum Nachweis datenschutzkonformer Verarbeitung bleiben auch nach Vertragsende bestehen, soweit dies erforderlich ist.

21. Schlussbestimmungen

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Diese Vereinbarung ergänzt die Nutzungsbedingungen und die Datenschutzerklärung von Albumora. Bei Widersprüchen gehen datenschutzrechtlich zwingende Vorgaben dieser Vereinbarung vor.

Kontakt für Datenschutz- und Auftragsverarbeitungsfragen: hello@albumora.de