AVV für Fotograf:innen: Wann du einen brauchst und was drinsteht
„Auftragsverarbeitungsvertrag" klingt nach etwas, das große Unternehmen mit Rechtsabteilung betrifft. Tatsächlich betrifft es fast jede Fotografin und jeden Fotografen, der Kundenbilder online speichert – und zwar ab dem ersten Shooting.
Dieser Beitrag erklärt, worum es geht. Er ersetzt keine Rechtsberatung, aber er sollte reichen, damit du weißt, worauf du achten musst.
Die Grundidee in zwei Sätzen
Kundenfotos sind personenbezogene Daten. Speicherst du sie bei einem Dienstleister, verarbeitet dieser sie in deinem Auftrag – du bestimmst, was passiert, er führt aus.
Genau für diese Konstellation verlangt Art. 28 DSGVO einen schriftlichen Vertrag zwischen euch. Verantwortlich für die Daten bleibst dabei du. Der Dienstleister ist Auftragsverarbeiter, nicht Mitverantwortlicher.
Wann du einen brauchst – und wann nicht
Du brauchst einen AVV, sobald ein externer Dienst Kundendaten für dich verarbeitet. Das gilt für die Galerie-Plattform, aber genauso für Cloud-Backups, E-Mail-Marketing-Tools oder einen Buchhaltungsdienst, der Kundennamen sieht.
Du brauchst keinen, wenn die Daten deine Räume nie verlassen – etwa auf einer lokalen Festplatte ohne Cloud-Anbindung. Das ist allerdings seltener der Fall, als die meisten annehmen: Ein automatisches Backup in eine Cloud reicht schon.
Ein häufiges Missverständnis: Der AVV regelt dein Verhältnis zum Dienstleister. Er ersetzt nicht die Einwilligung deiner Kund:innen, keinen Modelvertrag und keine Datenschutzerklärung. Das sind vier verschiedene Dinge.
Was drinstehen muss
Ein brauchbarer AVV benennt Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien betroffener Personen, die technischen und organisatorischen Maßnahmen und – oft übersehen – die eingesetzten Unterauftragnehmer.
Der letzte Punkt ist der, bei dem sich Anbieter unterscheiden. Kein Anbieter macht alles selbst; irgendwo stehen Server, irgendwer versendet die E-Mails. Entscheidend ist, ob diese Kette offengelegt wird. Findest du keine Liste der Subprozessoren, ist das ein Warnsignal.
Wo die Daten liegen, ist keine Nebensache
Der Speicherort entscheidet mit darüber, wie aufwendig die Rechtslage wird. Innerhalb der EU gilt die DSGVO unmittelbar. Bei Anbietern außerhalb – insbesondere in den USA – kommen zusätzliche Anforderungen hinzu, die du in deiner Datenschutzerklärung abbilden musst.
Bei Galero liegen Fotos und Vorschauen im Objektspeicher von Hetzner in Helsinki, Finnland. Hetzner ist ein deutsches Unternehmen; die Server dieses Standorts stehen in Finnland und damit innerhalb der EU. Diese Unterscheidung ist kein Haarspalten: „deutscher Anbieter" und „Server in Deutschland" sind zwei verschiedene Aussagen, und wer sie vermischt, schreibt am Ende eine falsche Datenschutzerklärung.
Der AVV in Galero
Der Vertrag wird bei der Registrierung angeboten und ist danach jederzeit in den Einstellungen unter „Auftragsverarbeitung" erreichbar. Dort siehst du, welche Fassung du wann akzeptiert hast – was praktisch ist, wenn eine Aufsichtsbehörde fragt.
Solange du nicht zugestimmt hast, weist dich ein Hinweis beim Login darauf hin. Das ist bewusst aufdringlich: Ein AVV, den man vergisst, nützt niemandem.
Was danach noch deine Aufgabe bleibt
Der Vertrag deckt das Verhältnis zwischen dir und dem Anbieter. Was er nicht regelt, ist dein Verhältnis zu deinen eigenen Kund:innen – Einwilligungen, Nutzungsrechte, Aufbewahrungsfristen.
Beim letzten Punkt hilft Technik: Ein Ablaufdatum pro Galerie sorgt dafür, dass Bilder nicht unbegrenzt abrufbar bleiben. Datenminimierung ist keine Zusatzoption, sondern ein Grundsatz der DSGVO – und ein Ablaufdatum ist die einfachste Art, ihn einzuhalten. Mehr dazu in DSGVO-konforme Fotoübergabe und, für die Kontoseite, in Kundendaten absichern.
Der AVV ist in allen Plänen enthalten, auch im kostenlosen – Konto anlegen. Die Einzelheiten stehen in der Hilfe und die Anbieterkette unter Subprozessoren.