Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 2. Juli 2026

Dies ist der Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO, der die verpflichtenden Elemente mit vollständigen operativen Bestimmungen abdeckt. Er stellt keine Rechtsberatung dar; eine abschließende Prüfung anhand Ihrer konkreten Umstände ist vor dem Start ratsam. Der Vertrag ist darauf ausgelegt, durch Verweis in die Nutzungsbedingungen des Dienstes einbezogen zu werden und verbindlich zu werden, sobald der Kunde diese Bedingungen akzeptiert.

Dieser Auftragsverarbeitungsvertrag („Vertrag“) ist Bestandteil der Nutzungsbedingungen des Dienstes zwischen SDHC AS, Organisationsnummer 926 038 060, Postboks 570 Vestre Glemmen, 1612 Fredrikstad, Norwegen („Auftragsverarbeiter“, „wir“) und dem Kunden, der die Bedingungen akzeptiert („Verantwortlicher“, „Sie“). Er regelt unsere Verarbeitung personenbezogener Daten, die in den von Ihnen in den Dienst hochgeladenen Inhalten enthalten sind, und findet Anwendung, wo und soweit die DSGVO auf diese Verarbeitung anwendbar ist.

Wo dieser Vertrag den Nutzungsbedingungen des Dienstes in Bezug auf die Verarbeitung personenbezogener Daten widerspricht, hat dieser Vertrag Vorrang.

Mit Großbuchstaben beginnende Begriffe, die in diesem Vertrag verwendet, aber nicht darin definiert werden, haben die ihnen in den Nutzungsbedingungen des Dienstes zugewiesene Bedeutung.

1. Rollen der Parteien

Für personenbezogene Daten, die in Ihren Inhalten enthalten sind (einschließlich Bildern, die identifizierbare Personen und Fahrzeuge zeigen können), sind Sie Verantwortlicher und SDHC ist Auftragsverarbeiter. Sie legen die Zwecke und Mittel dieser Verarbeitung fest; SDHC verarbeitet die Daten ausschließlich in Ihrem Auftrag.

(Für Konto-, Abonnement-, Rechnungs- und Website-Analysedaten ist SDHC ein selbstständig Verantwortlicher, wie in der Datenschutzerklärung beschrieben; diese Daten fallen nicht unter diesen Vertrag.)

2. Gegenstand, Dauer, Art und Zweck

• Gegenstand: Verarbeitung personenbezogener Daten, die in Bildern und zugehörigen Inhalten enthalten sind, die Sie in den Dienst hochladen.
• Dauer: für die Laufzeit des Abonnements und bis zur Löschung oder Rückgabe der Daten gemäß Abschnitt 10.
• Art und Zweck: Hosting, Speicherung, Organisation und automatisierte Analyse (Klassifizierung von Wild und Erkennung der Anwesenheit von Menschen/Fahrzeugen) hochgeladener Inhalte sowie Bereitstellung der Ergebnisse für Sie und die Teammitglieder, denen Sie Zugang gewähren.

3. Arten personenbezogener Daten und Kategorien betroffener Personen

• Arten personenbezogener Daten: Bilder, die identifizierbare Personen und Fahrzeuge enthalten können; Koordinaten des Kamerastandorts; Bildmetadaten (Datum, Uhrzeit, Kameraname, Kameramarke); Ergebnisse der automatisierten Erkennung.
• Kategorien betroffener Personen: Personen, die zufällig von Ihren Kameras erfasst werden (zum Beispiel Vorbeigehende, Besucher oder andere in Reichweite der Kamera).

Sie dürfen nicht wissentlich sensible personenbezogene Daten (Art. 9 DSGVO) hochladen oder den Dienst nutzen, um solche Daten systematisch zu verarbeiten, sofern nicht gesondert und schriftlich etwas anderes vereinbart ist. Unsere automatisierte Erkennung „Mensch anwesend“ identifiziert keine Einzelpersonen und ist nicht darauf ausgelegt, biometrische oder andere sensible personenbezogene Daten zu verarbeiten.

4. Weisungen und Pflichten des Verantwortlichen

Wir verarbeiten personenbezogene Daten nur nach Ihren dokumentierten Weisungen, einschließlich der in diesem Vertrag und in Ihrer Nutzung der Funktionen des Dienstes festgelegten, es sei denn, wir sind nach norwegischem oder EWR-Recht zum Handeln verpflichtet (in diesem Fall informieren wir Sie, sofern dies nicht rechtlich untersagt ist).

Sie sichern zu, dass: (a) Sie eine gültige Rechtsgrundlage für die von Ihnen angewiesene Verarbeitung haben; (b) Sie alle geltenden Hinweis-, Kennzeichnungs- und Einwilligungspflichten gegenüber den aufgenommenen Personen erfüllt haben; und (c) Ihre Weisungen mit geltendem Recht im Einklang stehen. Sie sind für die Rechtmäßigkeit der von Ihnen bereitgestellten personenbezogenen Daten und Weisungen verantwortlich.

Wenn wir feststellen, dass eine Weisung gegen die DSGVO oder anderes geltendes Datenschutzrecht verstößt, informieren wir Sie.

5. Vertraulichkeit

Wir stellen sicher, dass Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, einer angemessenen Vertraulichkeitspflicht unterliegen und über die Vertraulichkeit der Daten in Kenntnis gesetzt wurden.

6. Sicherheit

Unter Berücksichtigung des Stands der Technik, der Kosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung setzen wir geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO), je nach den Umständen einschließlich:

• Verschlüsselung personenbezogener Daten während der Übertragung (TLS);
• Zugriffskontrolle, Authentifizierung und das Prinzip der geringsten Rechte für Personal und Systeme;
• Schutz von Sitzungsanmeldedaten, einschließlich der Verwendung der Attribute HttpOnly, Secure und SameSite bei Sitzungscookies;
• logische Trennung der Kundendaten, sodass ein Kunde nicht auf die Inhalte eines anderen Kunden zugreifen kann;
• Beschränkung administrativer Schnittstellen (zum Beispiel durch Passwort- und IP-basierte Zugriffskontrolle);
• Protokollierung und Überwachung relevanter Zugriffe und Ereignisse; und
• Maßnahmen zur Wiederherstellung der Verfügbarkeit und des Zugangs zu personenbezogenen Daten nach einem physischen oder technischen Zwischenfall (Sicherungskopien).

Wir überprüfen diese Maßnahmen in regelmäßigen Abständen und aktualisieren sie bei Bedarf. Eine aktuelle Übersicht ist auf Anfrage erhältlich.

7. Unterauftragsverarbeiter

Sie erteilen die allgemeine Ermächtigung, dass wir Unterauftragsverarbeiter zur Erbringung des Dienstes einsetzen können. Wir setzen derzeit ein:

Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als die in diesem Vertrag festgelegten. Wir informieren Sie mindestens 30 Tage im Voraus über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters. In diesem Zeitraum können Sie aus angemessenen datenschutzrechtlichen Gründen Einspruch erheben; können wir Ihrem Einspruch nicht abhelfen, können Sie den betroffenen Teil des Dienstes als Ihr Rechtsbehelf kündigen.

8. Unterstützung des Verantwortlichen

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist:

• bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte ausüben (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Dienst ermöglicht es Ihnen zudem, hochgeladene Bilder und zugehörige Daten selbst einzusehen und zu löschen;
• bei der Erfüllung Ihrer Pflichten hinsichtlich Sicherheit (Art. 32), Meldung von Verletzungen (Art. 33-34) sowie Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35-36).

Wenn wir eine Anfrage unmittelbar von einer betroffenen Person zu Ihren Inhalten erhalten, beantworten wir sie nicht selbst (außer sie in geeigneter Weise weiterzuverweisen) und leiten sie ohne unangemessene Verzögerung an Sie weiter.

9. Verletzung des Schutzes personenbezogener Daten

Wir benachrichtigen Sie ohne unangemessene Verzögerung, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt haben, die nach diesem Vertrag verarbeitete personenbezogene Daten betrifft, und stellen die uns nach vernünftigem Ermessen verfügbaren Informationen bereit, um Ihnen bei der Erfüllung Ihrer Meldepflichten gegenüber der Datatilsynet (Art. 33) und, wo erforderlich, gegenüber den betroffenen Personen (Art. 34) zu helfen. Die Meldung einer Verletzung stellt kein Haftungsanerkenntnis dar.

10. Löschung oder Rückgabe der Daten

Bei Beendigung des Dienstes oder auf Ihre Anfrage werden wir alle in Ihrem Auftrag verarbeiteten personenbezogenen Daten löschen oder zurückgeben und bestehende Kopien innerhalb von 30 Tagen löschen, es sei denn, norwegisches oder EWR-Recht verlangt eine Aufbewahrung. Sie können Ihre Bilder und zugehörigen Daten im Dienst jederzeit löschen. Auf ein vor der Löschung gestelltes Verlangen geben wir Ihnen die Daten in einem gängigen, maschinenlesbaren Format zurück.

11. Prüfung und Auskünfte

Wir stellen Ihnen die zum Nachweis der Einhaltung von Art. 28 DSGVO nach vernünftigem Ermessen erforderlichen Informationen zur Verfügung und ermöglichen Prüfungen — einschließlich Inspektionen —, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, und tragen zu diesen bei. Wir beantworten ein angemessenes schriftliches Prüfverlangen innerhalb von 30 Tagen, höchstens einmal je Zeitraum von 12 Monaten (sofern nicht von einer Aufsichtsbehörde verlangt oder infolge einer Verletzung des Schutzes personenbezogener Daten), vorbehaltlich einer Vorankündigung von mindestens 14 Tagen, angemessener Vertraulichkeitszusagen und der Maßgabe, dass jede Partei ihre eigenen Kosten trägt. Prüfungen dürfen unseren Betrieb nicht unangemessen stören und die Vertraulichkeit oder Sicherheit der Daten anderer Kunden nicht gefährden.

12. Internationale Übermittlungen

Personenbezogene Daten nach diesem Vertrag werden innerhalb des EWR (Deutschland) gehostet. Wo sich ein Unterauftragsverarbeiter außerhalb des EWR befindet (siehe Abschnitt 7):

• Übermittlungen an Paddle im Vereinigten Königreich sind vom EWR-/EU-Angemessenheitsbeschluss für das Vereinigte Königreich erfasst;
• Übermittlungen an Cloudflare und Mapbox in den USA erfolgen nach einem geeigneten, von der DSGVO anerkannten Übermittlungsmechanismus, wie dem EU-U.S. Data Privacy Framework und/oder den Standardvertragsklauseln.

Wir übermitteln personenbezogene Daten nur unter solchen Garantien außerhalb des EWR.

13. Allgemeine Bestimmungen

Dieser Vertrag unterliegt dem Recht Norwegens. Sollte eine Bestimmung für unwirksam befunden werden, bleiben die übrigen Bestimmungen in Kraft. Im Fall eines Widerspruchs mit den Nutzungsbedingungen des Dienstes bezüglich der Verarbeitung personenbezogener Daten hat dieser Vertrag Vorrang.

SDHC AS — Organisationsnummer 926 038 060 — Postboks 570 Vestre Glemmen, 1612 Fredrikstad, Norwegen — [email protected]