Auftragsverarbeitungsvertrag (AVV)

im Sinne von Art. 28 Abs. 3 DSGVO

zwischen

dem Geschäftskunden, der sich bei Digital Souvenirs registriert und diesen Vertrag bei der Registrierung bzw. im Dashboard elektronisch akzeptiert

nachfolgend „Auftraggeber"

und

DevMonics UG (haftungsbeschränkt), Enkircher Str. 44, 13465 Berlin, vertreten durch die Geschäftsführer Dean Kidder und Dominik Kriehuber, Amtsgericht Charlottenburg HRB 291111 B

nachfolgend „Auftragnehmer"

1. Allgemeine Bestimmungen und Vertragsgegenstand

1.1 Gegenstand des vorliegenden Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag durch den Auftragnehmer (Art. 28 DSGVO). Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Auftraggeber.

1.2 Inhalt des Auftrags, Kategorien betroffener Personen und Datenarten sowie Zweck der Vereinbarung sind Anlage 1 zu entnehmen.

1.3 Die Verarbeitung der Daten durch den Auftragnehmer findet ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, einem Mitgliedsstaat der Europäischen Union oder einem Vertragsstaat des EWR-Abkommens statt. Die Verarbeitung außerhalb dieser Staaten erfolgt nur unter den Voraussetzungen von Kapitel 5 der DSGVO (Art. 44 ff.) und mit vorheriger Zustimmung oder nach vorheriger Weisung des Auftraggebers.

2. Vertragslaufzeit und Kündigung

Der vorliegende Vertrag wird auf unbestimmte Zeit geschlossen und kann von jeder Vertragspartei mit einer Frist von drei Monaten ordentlich gekündigt werden. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

3. Weisungen des Auftraggebers

3.1 Dem Auftraggeber steht ein umfassendes Weisungsrecht in Bezug auf Art, Umfang und Modalitäten der Datenverarbeitung ggü. dem Auftragnehmer zu. Der Auftragnehmer informiert den Auftraggeber unverzüglich, falls der Auftragnehmer der Auffassung ist, dass eine Weisung des Auftraggebers gegen gesetzliche Vorschriften verstößt. Wird eine Weisung erteilt, deren Rechtmäßigkeit der Auftragnehmer substantiiert anzweifelt, ist der Auftragnehmer berechtigt, deren Ausführung vorübergehend auszusetzen, bis der Auftraggeber diese nochmals ausdrücklich bestätigt oder ändert. Besteht die Möglichkeit, dass der Auftragnehmer durch das Befolgen der Weisung einem Haftungsrisiko ausgesetzt wird, kann die Durchführung der Weisung bis zur Klärung der Haftung im Innenverhältnis – oder bis zu einer Einräumung sonstiger angemessener Sicherheiten durch den Auftraggeber zur Abwendung von Schäden des Auftragnehmers – ausgesetzt werden.

3.2 Eine von den Weisungen oder ohne Weisungen des Auftraggebers abweichende Verarbeitung ist nur zulässig, wenn der Auftragnehmer nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Datenverarbeitung verpflichtet ist. Im Falle einer solchen Verarbeitung, informiert der Auftragnehmer den Auftraggeber unverzüglich über beabsichtigte oder bereits eingeleitete Verarbeitung, es sei denn, dass das betreffende Recht der Europäischen Union oder des Mitgliedstaates eine solche Mitteilung aufgrund eines wichtigen öffentlichen Interesses verbietet; in diesem Fall erfolgt die Mitteilung unverzüglich, sobald die rechtlichen Hindernisse nicht mehr bestehen.

3.3 Weisungen sind grundsätzlich schriftlich oder in einem elektronischen Format (z. B. per E-Mail) zu erteilen. Mündliche Weisungen sind in begründeten Einzelfällen zulässig und werden vom Auftraggeber unverzüglich schriftlich oder in einem elektronischen Format bestätigt. In der Bestätigung ist ausdrücklich zu begründen, warum keine Weisung in Textform erfolgen konnte. Der Auftragnehmer hat Person, Datum und Uhrzeit der durch den Auftraggeber erteilten Weisung in angemessener Form zu dokumentieren.

3.4 Der Auftraggeber benennt auf Verlangen des Auftragnehmers eine oder mehrere weisungsberechtigte Personen. Personelle Änderungen sind dem Auftragnehmer unverzüglich mitzuteilen.

4. Kontrollbefugnisse des Auftraggebers

4.1 Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und vertraglichen Vorschriften zum Datenschutz und zur Datensicherheit vor Beginn der Datenverarbeitung und während der Vertragslaufzeit regelmäßig, im erforderlichen Umfang, zu kontrollieren. Der Auftraggeber hat dafür zu sorgen, dass die Kontrollmaßnahmen verhältnismäßig sind und den Betrieb des Auftragnehmers nicht mehr als erforderlich beeinträchtigen.

4.2 Die Ergebnisse der Kontrollen und Weisungen sind vom Auftraggeber in geeigneter Weise zu protokollieren.

5. Allgemeine Pflichten des Auftragnehmers

5.1 Die Verarbeitung der vertragsgegenständlichen Daten durch den Auftragnehmer erfolgt ausschließlich auf Grundlage der vertraglichen Vereinbarungen in Verbindung mit den ggf. erteilten Weisungen des Auftraggebers. Eine hiervon abweichende Verarbeitung ist nur zulässig, wenn der Auftragnehmer nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Datenverarbeitung verpflichtet ist. Im Falle einer solchen Verarbeitung, informiert der Auftragnehmer den Auftraggeber unverzüglich über beabsichtigte oder bereits eingeleitete Verarbeitung, es sei denn, dass das betreffende Recht der Europäischen Union oder des Mitgliedstaates eine solche Mitteilung aufgrund eines wichtigen öffentlichen Interesses verbietet; in diesem Fall erfolgt die Mitteilung unverzüglich, sobald die rechtlichen Hindernisse nicht mehr bestehen.

5.2 Der Auftragnehmer hat zu gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vor der Unterwerfung unter die Verschwiegenheitspflicht dürfen die betreffenden Personen keinen Zugang zu den vom Auftraggeber überlassenen personenbezogenen Daten erhalten.

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus festgelegt und diese in Anlage 2 dieses Vertrags festgehalten. Die dort beschriebenen Maßnahmen wurden unter Beachtung der Vorgaben nach Art. 32 DSGVO ausgewählt. Der Auftragnehmer wird die technischen und organisatorischen Maßnahmen regelmäßig und anlassbezogen überprüfen und anpassen.

7. Unterstützungspflichten von Auftragnehmer

Der Auftragnehmer wird den Auftraggeber gem. Art. 28 Abs. 3 lit. e DSGVO bei dessen Pflichten zur Wahrung der Betroffenenrechte aus Kapitel III, Art. 12 – 22 DSGVO, unterstützen. Dies gilt insbesondere für die Erteilung von Auskünften und die Löschung, Berichtigung oder Einschränkung personenbezogener Daten. Der Auftragnehmer wird den Auftraggeber ferner gem. Art. 28 Abs. 3 lit. f DSGVO bei dessen Pflichten nach Art. 32-36 DSGVO (insb. Meldepflichten) unterstützen. Die Reichweite dieser Unterstützungspflichten bestimmt sich im Einzelfall unter Berücksichtigung der Art der Verarbeitung und der Informationen, die dem Auftragnehmer zur Verfügung stehen.

8. Einsatz von Unterauftragsverarbeitern (Subunternehmer)

8.1 Der Auftragnehmer ist zum Einsatz von Unterauftragsverarbeitern (Subunternehmern) berechtigt. Alle zum Zeitpunkt des Vertragsschlusses bereits bestehenden Subunternehmerverhältnisse des Auftragnehmers sind diesem Vertrag abschließend in Anlage 3 aufgeführt. Für die in Anlage 3 aufgezählten Subunternehmer gilt die Zustimmung mit Abschluss dieses Vertrags als erteilt.

8.2 Beabsichtigt der Auftragnehmer den Einsatz weiterer Subunternehmer, wird der Auftragnehmer dies dem Auftraggeber rechtzeitig - spätestens jedoch zwei Wochen - vor deren Einsatz in schriftlicher oder elektronischer Form anzeigen. Der Auftraggeber hat nach dieser Mitteilung zwei Wochen Zeit, der Hinzuziehung des/der Subunternehmer zu widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Hinzuziehung des/der Subunternehmer(s) als genehmigt. In dringenden Fällen (z. B. bei kurzfristig benötigten Fehleranalysen oder Mängelbeseitigungen), kann der Auftragnehmer die Anzeige- und Widerspruchsfrist für Subunternehmer angemessen verkürzen. Erfolgt ein fristgerechter Widerspruch, dürfen die betroffenen Subunternehmer nicht eingesetzt werden. Widersprüche sind nur zulässig, wenn der Auftraggeber begründete Anhaltspunkte dafür hat, dass durch den Einsatz des Unterauftragnehmers die Datensicherheit oder der Datenschutz eingeschränkt würde, die Einhaltung gesetzlicher oder vertraglicher Bestimmungen gefährdet wäre und/oder sonstige berechtigte Interessen des Auftraggebers entgegenstehen; die entsprechenden Verdachtsmomente sind dem Widerspruch beizufügen.

8.3 Subunternehmer werden vom Auftragnehmer unter Beachtung der gesetzlichen und vertraglichen Vorgaben ausgewählt. Sämtliche Verträge zwischen Auftragsverarbeiter (Auftragnehmer) und Unterauftragsverarbeiter (Subunternehmer) müssen den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen; dies betrifft insbesondere die Implementierung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO im Betrieb des Subunternehmers. Nebenleistungen, welche der Auftragnehmer zur Ausübung von geschäftlichen Tätigkeiten in Anspruch nimmt, stellen keine Unterauftragsverhältnisse im Sinne des Art. 28 DSGVO dar. Nebentätigkeiten in diesem Sinne sind insbesondere Telekommunikationsleistungen ohne konkreten Bezug zur Hauptleistung, Post- und Transportdienstleistungen sowie sonstige Maßnahmen, welche die Vertraulichkeit und/oder Integrität der Hard- und Software sicherstellen sollen und keinen konkreten Bezug zur Hauptleistung aufweisen. Der Auftragnehmer wird jedoch auch bei diesen Drittleistungen die Einhaltung der gesetzlichen Datenschutzstandards (insbesondere durch entsprechende Vertraulichkeitsvereinbarungen) sicherstellen.

8.4 Sämtliche Verträge zwischen dem Auftragnehmer und dem Unterauftragsverarbeiter (Subunternehmer) müssen den Anforderungen dieses Vertrags und den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen.

8.5 Die Beauftragung von Subunternehmern in Drittstaaten ist nur zulässig, wenn die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO gegeben sind und der Auftraggeber zugestimmt hat.

9. Mitteilungspflichten des Auftragnehmers

9.1 Verstöße gegen diesen Vertrag, gegen Weisungen des Auftraggebers oder gegen sonstige datenschutzrechtliche Bestimmungen sind dem Auftraggeber unverzüglich mitzuteilen; das gleiche gilt bei Vorliegen eines entsprechenden begründeten Verdachts. Diese Pflicht gilt unabhängig davon, ob der Verstoß vom Auftragnehmer selbst, einer beim Auftragnehmer angestellten Person, einem Subunternehmer oder einer sonstigen Person, die der Auftragnehmer zur Erfüllung vertraglicher Pflichten eingesetzt hat, begangen wurde.

9.2 Ersucht ein Betroffener, eine Behörde oder ein sonstiger Dritter den Auftragnehmer um Auskunft, Berichtigung, Einschränkung der Verarbeitung oder Löschung, wird der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiterleiten und das weitere Vorgehen mit ihm abstimmen.

9.3 Der Auftragnehmer wird den Auftraggeber unverzüglich informieren, wenn Aufsichtshandlungen oder sonstige Maßnahmen einer Behörde bevorstehen, von denen auch die Verarbeitung, Nutzung oder Erhebung der durch den Auftraggeber zur Verfügung gestellten personenbezogenen Daten betroffen sein könnten. Darüber hinaus hat der Auftragnehmer den Auftraggeber unverzüglich über alle Ereignisse oder Maßnahmen Dritter zu informieren, durch welche die vertragsgegenständlichen Daten gefährdet oder beeinträchtigt werden könnten.

10. Vertragsbeendigung, Löschung und Rückgabe der Daten

Nach Abschluss der vertragsgegenständlichen Datenverarbeitung bzw. nach Beendigung dieses Vertrags hat der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern für den Auftragnehmer keine rechtliche Verpflichtung zur Speicherung der betreffenden Daten mehr besteht (z. B. gesetzliche Aufbewahrungsfristen).

11. Datengeheimnis und Vertraulichkeit

Der Auftragnehmer ist unbefristet und über das Ende dieses Vertrages hinaus verpflichtet, die im Rahmen der vorliegenden Vertragsbeziehung erlangten personenbezogenen Daten vertraulich zu behandeln. Der Auftragnehmer verpflichtet sich, Mitarbeiter mit den einschlägigen Datenschutzbestimmungen und Geheimnisschutzregeln vertraut zu machen und sie zur Verschwiegenheit zu verpflichten, bevor diese ihre Tätigkeit beim Auftragnehmer aufnehmen.

12. Schlussbestimmungen

12.1 Änderungen dieses Vertrags und Nebenabreden bedürfen der schriftlichen oder elektronischen Form, die eindeutig erkennen lässt, dass und welche Änderung oder Ergänzung der vorliegenden Bedingungen durch sie erfolgen soll.

12.2 Sind die Vertragsparteien Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist der Sitz des Auftragnehmers Gerichtsstand für alle Streitigkeiten aus diesem Vertrag; ausschließliche Gerichtsstände bleiben hiervon unberührt.

12.3 Sollte sich die DSGVO oder sonstige in Bezug genommenen gesetzlichen Regelungen während der Vertragslaufzeit ändern, gelten die hiesigen Verweise auch für die jeweiligen Nachfolgeregelungen.

12.4 Sollten einzelne Teile dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

12.5 Sämtliche Anlagen zu diesem Vertrag sind Vertragsbestandteil.

Abschluss in Textform

Dieser Vertrag wird in Textform gemäß § 126b BGB und Art. 28 Abs. 9 DSGVO geschlossen. Der Abschluss erfolgt durch die elektronische Zustimmung des Auftraggebers bei der Registrierung bzw. im Dashboard. Der Auftragnehmer protokolliert Zeitpunkt und Fassung der Zustimmung und stellt eine abrufbare Bestätigung im Kundenbereich bereit. Auf Wunsch (z. B. für öffentliche Auftraggeber) wird der Vertrag zusätzlich in einer unterschriebenen Fassung bereitgestellt; Anfragen hierzu an info@devmonics.com.

Anlage 1 — Auftragsdetails

Leistungen, bei denen Daten im Auftrag verarbeitet werden	Verarbeitete Datenarten	Betroffene Personenkategorien
Cloudbasierte Foto-/Video-Souvenir-Plattform (Software as a Service)	Foto- und Videoaufnahmen der abgebildeten Personen; Name und E-Mail-Adresse (zur Zustellung des Galerie-Links); Einwilligungsnachweise (inkl. Einwilligung der Erziehungsberechtigten bei Minderjährigen); Stamm- und Zugangsdaten der Mitarbeitenden des Auftraggebers (Name, E-Mail, gehashtes Passwort); Technische Metadaten (IP-Adresse bei Login, Gerätetyp, App-/Browser-Version, Zeitstempel von Aktionen)	Gäste/Endkunden des Auftraggebers (abgebildete Personen); Minderjährige Gäste (mit Einwilligung der Erziehungsberechtigten); Mitarbeitende des Auftraggebers (Guides/Operatoren, Dashboard-Nutzer)

Anlage 2 — Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Der Auftragnehmer setzt folgende technische und organisatorische Maßnahmen zum Schutz der vertragsgegenständlichen personenbezogenen Daten um. Die Maßnahmen wurden im Einklang mit Art. 32 DSGVO festgelegt.

1. Sicherung der Arbeitsstätte (Zutrittskontrolle)

• Manuelles Schließsystem / Türschlösser
• Sicherheitsschlösser
• Produktivsysteme und personenbezogene Daten werden ausschließlich im ISO-27001-zertifizierten Rechenzentrum der Hetzner Online GmbH (Deutschland) betrieben; die physische Zutrittssicherung (24/7-Bewachung, Vereinzelungsanlagen, Biometrie-/Kartenzutritt) obliegt dem Hoster. Die Mitarbeitenden arbeiten remote; am Geschäftssitz werden keine Produktiv-/Kundendaten vorgehalten.

2. Sicherung der IT-Systeme (Zugangskontrolle)

• Passwortvergabe
• Passwort-Richtlinien (regelmäßige Änderung, Mindestlänge, Komplexität etc.)
• Erstellen von Benutzerprofilen in den IT-Systemen
• Login in die IT-Systeme mit individuellem Benutzernamen und Passwort
• Zugriffsregeln für Benutzer / Benutzergruppen (Berechtigungskonzept)
• Verwaltung der Berechtigungen durch Systemadministratoren
• Anzahl der Systemadministratoren ist auf das „Notwendigste" reduziert
• regelmäßige und anlassbezogene Aktualisierung und Überprüfung der Zugriffsrechte (insb. bei Ausscheiden von Mitarbeitern o. Ä.)
• Einsatz von Anti-Viren-Software
• Einsatz von Software-Firewall
• Festplattenverschlüsselung
• Verschlüsselung mobiler Datenträger (Handys, Laptops etc.)
• Verschlüsselung der Datensicherungssysteme
• Sichere Aufbewahrung von Datenträgern
• Passwort-Hashing mit argon2id (Mindestlänge 12 Zeichen). Zwei-Faktor-Authentifizierung (TOTP) verpflichtend für Administratoren und Plattform-Admins. JWT-Auth mit Refresh-Token-Rotation und Token-Reuse-Detection; Account-Lockout nach Fehlversuchen. Rollenbasiertes, standortgebundenes Berechtigungskonzept (RBAC), pro Request live aus der Datenbank aufgelöst. Server-Zugang ausschließlich via SSH-Public-Key; Passwort- und Root-Login deaktiviert; UFW-Firewall; fail2ban gegen Brute-Force. 2-Faktor verpflichtend auf allen externen Konsolen (Hetzner, Strato, GitHub, Stripe). FileVault-Festplattenverschlüsselung auf allen Geräten mit Datenzugriff.

3. Protokollierung (Eingabekontrolle)

• Protokollierung von Zugriffen auf die IT-Systeme (Log-Protokolle)
• Protokollierung von Eingaben, Änderungen und Löschungen (Log-Protokolle)
• Protokollierung der Aktionen einzelner Nutzer
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen
• Unveränderbares Audit-Log (ohne Update/Delete) für alle schreibenden und sicherheitsrelevanten Aktionen; erfasst Akteur, Organisation, Aktion, Zeitstempel und IP-Adresse. Mindestaufbewahrung 12 Monate. Logs enthalten keine personenbezogenen Klartextdaten.

4. Sichere Löschung von Daten

• Löschkonzept
• Ordnungsgemäße Vernichtung von ausgemusterten Datenträgern (DIN 66399)
• Ordnungsgemäße Bereinigung von Datenträgern vor Wiederverwendung
• Automatisierte, fristbasierte Löschung: Galerie-Medien werden nach Ablauf der konfigurierten Gültigkeit automatisch aus Speicher (Hetzner Object Storage) und Datenbank gelöscht; Kunden-Stammdaten werden nach festgelegter Frist anonymisiert. Vollständige Löschung auf Widerruf über den Löschlink in der Galerie. Datenträger-Vernichtung erfolgt durch das Rechenzentrum (Hetzner) nach DIN 66399.

5. Datenschutz bei den Subunternehmern

• Auswahl der Subunternehmer unter Sorgfaltsgesichtspunkten (insb. hinsichtlich Datensicherheit)
• Abschluss von DSGVO-konformen Auftragsverarbeitungsverträgen mit dem Subunternehmer
• Laufende und anlassbezogene Prüfung des Subunternehmers
• Sicherstellung der Vernichtung der Daten beim Subunternehmer nach Beendigung des Auftrags

6. Sicherung bei Transport und Übermittlung (Weitergabekontrolle)

• Verschlüsselung des E-Mail-Verkehrs
• Verschlüsselung der sonstigen Kommunikationswege
• Transportverschlüsselung TLS 1.2+ für alle Verbindungen (Browser→App, App→Datenbank, App→externe APIs, App→SMTP); HSTS gesetzt. Datenbank-Zugang ausschließlich über SSH-Tunnel des Produktivservers. Datenbank-Backups client-seitig verschlüsselt (restic, AES-256); Medien- und Datenbankspeicher in ISO-27001-zertifizierten Rechenzentren (Hetzner, EU).

7. Datensicherung und Backups (Verfügbarkeit und Wiederherstellbarkeit)

• Backup- & Wiederherstellungskonzept
• Testen der Datenwiederherstellung
• Aufbewahrung von Datensicherungen an einem sicheren, ausgelagerten Ort
• Sicherung der Serverräume, Alarmmeldung bei unberechtigten Zutritten, Unterbrechungsfreie Stromversorgung (USV), Klimatisierung, Feuer- und Rauchmeldeanlagen sowie Feuerlöschgeräte in Serverräumen (durch das ISO-27001-Rechenzentrum erbracht)
• Regelmäßige automatisierte, at-rest-verschlüsselte Backups in der EU mit definierter Retention und dokumentiertem Restore-Test. Prozess-Manager mit automatischem Neustart bei Ausfall.

8. Sonstige Datenschutzmaßnahmen

• PostgreSQL Row-Level-Security (FORCE RLS) zur strikten Mandantentrennung — jede personenbezogene Datenzeile trägt die Org-Zuordnung, cross-tenant-Zugriffe sind technisch unterbunden. Feldverschlüsselung sensibler personenbezogener Daten mit AES-256-GCM inkl. Schlüssel-Versionierung; deterministischer Blind-Index für E-Mail-Lookup. Verarbeitung und Speicherung ausschließlich in der EU/im EWR. Keine KI-Auswertung und keine biometrische Gesichtserkennung der Aufnahmen. Verpflichtung der Mitarbeitenden auf Vertraulichkeit; dokumentierter Off-Boarding-Prozess mit Zugangs-Revocation.

9. Überprüfung, Evaluierung und Anpassung

Der Auftragnehmer wird die in dieser Anlage beschriebenen technischen und organisatorischen Maßnahmen im Abstand von 12 Monaten und anlassbezogen prüfen, evaluieren und bei Bedarf anpassen.

Anlage 3 — Liste der bestehenden Subunternehmer zum Zeitpunkt des Vertragsschlusses

(Unternehmens-)Name und Anschrift	Beschreibung der Leistung	Land der Leistungserbringung
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Server-Infrastruktur (Compute), Hosting der Datenbank mit den personenbezogenen Daten, Objektspeicher für die Foto-/Videoaufnahmen (Object Storage, Falkenstein) sowie verschlüsselter Backup-Speicher der Datenbank (Storage Box, Helsinki; client-seitig verschlüsselt). ISO-27001-zertifizierte Rechenzentren.	Deutschland / Finnland (EU)
BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien	Content Delivery Network (bunny.net) für die Auslieferung der Foto-/Videoaufnahmen in der Galerie (Ansicht und Download), der Medienvorschauen im Dashboard sowie der Firmenlogos. Die Dateien werden aus dem nicht öffentlichen Objektspeicher (Hetzner) abgerufen, zeitlich begrenzt zwischengespeichert und nur über signierte, zeitlich begrenzte Links ausgeliefert. Verarbeitet werden die ausgelieferten Medien sowie technische Zugriffsdaten (u. a. IP-Adresse des abrufenden Geräts, Zeitpunkt des Abrufs). Auslieferung ausschließlich über Standorte in der EU.	Slowenien (EU)
STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland	E-Mail-Versand und -Empfang (SMTP/IMAP), u. a. Zustellung der Galerie-Links.	Deutschland
Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich	Versand der Galerie-Mails und der Erinnerungsmails vor Ablauf der Galerie an die Gäste (Transactional Email). Verarbeitet werden die E-Mail-Adresse des Gastes, der Mail-Inhalt (Name, Galerie-Link, Aktivität, Datum, Firmenlogo des Auftraggebers) sowie Zustellstatus und SMTP-Antworten als Zustellnachweis (Annahme durch den Mailserver des Empfängers) und zur Erkennung von Rückläufern. Rechenzentrum Paris (Region fr-par).	Frankreich (EU)
Exponent, Inc. (Expo), 650 California Street, San Francisco, CA 94108, USA	Build-Dienst und Push-Relay für die mobile App. Drittland-Übermittlung über EU-Standardvertragsklauseln.	USA (SCC)
Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA	Zustellung von Push-Benachrichtigungen an iOS-Geräte (Apple Push Notification service). DPF-zertifiziert.	USA (DPF)
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland	Zustellung von Push-Benachrichtigungen an Android-Geräte (Firebase Cloud Messaging).	Irland (EU)