AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

Datum: 23. November 2025
Version: 1.3

1. Definitionen und Anwendbarkeit

1.1. Dieser Auftragsverarbeitungsvertrag (nachfolgend: der "AVV") ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen zwischen dem Auftragsverarbeiter und der Partei, die den Snapsale SaaS-Dienst nutzt (nachfolgend: der "Kunde" oder der "Verantwortliche").

1.2. Der Kunde ist die Partei, die für die rechtmäßige Verarbeitung der hochgeladenen Fotos verantwortlich ist. Der Auftragsverarbeiter ist die Westcube Management B.V., handelnd unter dem Namen Snapsale, ansässig Westersingel 109, Berkel en Rodenrijs und eingetragen im Handelsregister unter der Nummer 96923954 (nachfolgend gemeinsam: der "Auftragsverarbeiter").

1.3. Mit der Zustimmung zu den Allgemeinen Geschäftsbedingungen akzeptiert der Kunde ausdrücklich und unwiderruflich die Bestimmungen dieses AVV, wodurch der Vertrag zwischen den Parteien rechtswirksam zustande kommt.

1.4. Die in diesem AVV verwendeten Begriffe haben die Bedeutung, die ihnen in der Datenschutz-Grundverordnung (DSGVO) zugewiesen wird.

2. Art, Zweck und Kategorien der Verarbeitung

Gegenstand	Spezifikation
Gegenstand der Verarbeitung	Digitale Bearbeitung von Immobilienfotos (Innenräume).
Dauer der Verarbeitung	Für die Dauer der SaaS-Lizenz (Abonnement) des Kunden.
Art der Verarbeitung	Hosting, Speicherung, Caching, technische Bearbeitung (mittels Presets, Stilen und LLMs) und Bereitstellung der bearbeiteten Fotos zum Download.
Zweck der Verarbeitung	Ausschließlich die Bereitstellung der Funktionalität des Snapsale SaaS-Dienstes für den Kunden.
Kategorien personenbezogener Daten	Daten in Bezug auf Immobilien, einschließlich Innenraumfotos, Metadaten (z.B. Standortdaten beim Upload). Es werden keine besonderen Kategorien personenbezogener Daten verarbeitet.
Kategorien betroffener Personen	Der Kunde, Mitarbeiter des Kunden und möglicherweise Dritte, deren Fotos verarbeitet werden (z.B. Eigentümer/Bewohner der fotografierten Immobilie).

3. Pflichten des Auftragsverarbeiters (Westcube Management B.V. / Snapsale)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich gemäß den schriftlichen Weisungen des Kunden, es sei denn, eine gesetzliche Bestimmung schreibt etwas anderes vor.

3.1. Vertraulichkeit

Der Auftragsverarbeiter und sein Personal behandeln die hochgeladenen Fotos und die darin enthaltenen personenbezogenen Daten vertraulich und verarbeiten sie nicht für andere Zwecke als die Durchführung des Dienstes.

3.2. Sicherheit

Der Auftragsverarbeiter ergreift angemessene technische und organisatorische Maßnahmen (TOMs) zum Schutz der personenbezogenen Daten gegen Verlust, unrechtmäßige Verarbeitung und unbefugten Zugriff.

Diese Maßnahmen umfassen mindestens:

Physische und logische Zugangskontrolle
Pseudonymisierung und Verschlüsselung, wo angemessen
Sichere Datenspeicherung innerhalb des Europäischen Wirtschaftsraums (EWR)

Die getroffenen Maßnahmen umfassen in jedem Fall:

Verschlüsselung von Daten während der Übertragung (TLS 1.2+) und wo möglich im Ruhezustand
Multi-Faktor-Authentifizierung für den Zugang zu Produktionssystemen
Strikte rollenbasierte Zugriffskontrollen (RBAC)
Protokollierung und Überwachung von Zugriffsversuchen
Regelmäßige Sicherheitsupdates und Schwachstellenscans
Trennung zwischen Entwicklungs-, Test- und Produktionsumgebungen
Backup-Richtlinie mit verschlüsselter Speicherung innerhalb des EWR

3.3. Löschung und Aufbewahrungsfrist (Weisung)

Der Auftragsverarbeiter garantiert, dass:

Hochgeladene Fotos und bearbeitete Ergebnisse maximal 7 Tage nach Upload oder Bearbeitung gespeichert werden.
Nach Ablauf dieser Frist werden Fotos automatisch und dauerhaft gelöscht.
Backup-Kopien werden gelöscht, sobald der Backup-Zeitplan sie überschreibt.
Protokolldateien mit personenbezogenen Daten werden spätestens nach 90 Tagen gelöscht, es sei denn, eine längere Aufbewahrung ist für Sicherheitsuntersuchungen erforderlich.

3.4. Datenschutzverletzungen

Der Auftragsverarbeiter benachrichtigt den Kunden unverzüglich nach Feststellung einer (vermuteten) Datenschutzverletzung. Der Kunde ist für Meldungen an die Datenschutzbehörde und betroffene Personen verantwortlich.

3.5. Unterstützung

Der Auftragsverarbeiter leistet — soweit vernünftigerweise möglich und zu marktüblichen Gebühren — Unterstützung bei der Erfüllung der DSGVO-Pflichten des Kunden.

3.6. Audit und Informationspflicht

Auf Anfrage stellt der Auftragsverarbeiter alle Informationen zur Verfügung, um die Einhaltung der DSGVO nachzuweisen.
Der Kunde darf maximal einmal pro Jahr eine Prüfung durchführen (lassen) mit einer Ankündigungsfrist von 14 Tagen, sofern dies den Geschäftsbetrieb nicht unangemessen stört.
Die Kosten trägt der Kunde, es sei denn, es werden wesentliche Mängel festgestellt.

3.7. Unterstützung bei DSFAs

Der Auftragsverarbeiter unterstützt den Kunden, soweit vernünftigerweise möglich, bei Datenschutz-Folgenabschätzungen (DSFAs) und vorherigen Konsultationen, soweit diese sich auf den Dienst und seine Verarbeitungsaktivitäten beziehen.

4. Unterauftragsverarbeiter

4.1. Allgemeine Genehmigung

Der Kunde erteilt eine allgemeine Genehmigung für die Beauftragung von Unterauftragsverarbeitern (wie Hosting und LLM-Modelle).

4.2. Unterauftragsverarbeiter

Der Auftragsverarbeiter schließt mit allen Unterauftragsverarbeitern schriftliche Vereinbarungen mit mindestens denselben Verpflichtungen wie dieser AVV.

4.3. Trainingszwecke

Der Auftragsverarbeiter garantiert, dass LLM-Modelle und andere Tools die Fotos nicht für Trainings- oder eigene Zwecke verwenden.

4.4. Mitteilung beabsichtigter Änderungen

Der Kunde wird über Änderungen bei Unterauftragsverarbeitern informiert und kann Einspruch erheben, wenn die Änderung unangemessen belastend ist.

4.5. Internationale Übermittlungen

Personenbezogene Daten werden nur außerhalb des EWR verarbeitet, wenn angemessene Garantien gemäß DSGVO Artikel 44–49 angewendet werden (wie SCCs).
Der Auftragsverarbeiter informiert den Kunden im Voraus über jede Übermittlung außerhalb des EWR.

5. Pflichten des Verantwortlichen (Kunde)

5.1. Der Kunde trägt die letztendliche Verantwortung für die rechtmäßige Verarbeitung personenbezogener Daten.
5.2. Der Kunde garantiert, dass die Fotos und die Art der Nutzung mit der DSGVO und einschlägigen Rechtsvorschriften übereinstimmen.
5.3. Der Kunde ist für die Information der betroffenen Personen verantwortlich.

6. Schlussbestimmungen

6.1. Es gilt niederländisches Recht.
6.2. Die Annahme der Snapsale Allgemeinen Geschäftsbedingungen bedeutet die Annahme dieses AVV.
6.3. Vorrang
Bei Widersprüchen zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen hat dieser AVV Vorrang in Bezug auf Datenschutz und Datenverarbeitung.

Auftragsverarbeitungsvertrag