Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO für die gemieteten Server auf boothcloud.de

Stand: 4. November 2026 · English version

Vertragsparteien

Verantwortlicher (nachfolgend „Kunde“):
das Unternehmen, das über den Kundenbereich auf boothcloud.de einen Server bucht, mit Namen und Anschrift aus seiner Bestellung.

Auftragsverarbeiter (nachfolgend „Anbieter“):
Thomas Michael Müller – RAWCaptureBooth
Fichtenstr. 10C
85659 Forstern
Deutschland
hello@rawcapturebooth.app

Präambel

Der Anbieter stellt dem Kunden nach dem Mietvertrag, den der Kunde bei der Buchung auf boothcloud.de abschließt („Hauptvertrag“), eine eigene Instanz des RAWCaptureBooth Selfhosted-Webservers auf einem vom Anbieter betriebenen Server bereit. Der Kunde lädt darüber Aufnahmen seiner Fotoboxen hoch, stellt sie seinen Gästen in Online-Galerien bereit und überwacht seine Fotoboxen aus der Ferne. Dabei verarbeitet der Anbieter personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag regelt die Pflichten beider Seiten nach Art. 28 DSGVO. Bei Widersprüchen geht er dem Hauptvertrag in allen Fragen des Datenschutzes vor.

§ 1 Gegenstand und Dauer

1. Gegenstand ist der Betrieb einer eigenen Instanz des Selfhosted-Webservers für den Kunden: Speicherung hochgeladener Aufnahmen, Bereitstellung der Galerien, Annahme der Statusmeldungen und Fernsteuerung der Fotoboxen des Kunden.
2. Die Verarbeitung findet in einem Rechenzentrum der Contabo GmbH in der Region „EU“ statt, also innerhalb der Europäischen Union. Sicherungskopien liegen auf Servern des Anbieters in Deutschland (Anlage 1). Eine Übermittlung in ein Drittland findet nur beim Fernzugriff auf Fotoboxen statt, wenn der Kunde ihn nutzt (Anlage 2).
3. Der Vertrag gilt so lange wie der Hauptvertrag. Die Pflichten aus § 8 (Löschung) und die Vertraulichkeit gelten darüber hinaus.

§ 2 Art und Zweck, Daten und Betroffene

Zweck: Hosting der Galerie-, Upload- und Fernverwaltungsfunktionen des Kunden. Der Anbieter wertet die Daten nicht für eigene Zwecke aus und gibt sie nicht weiter.

Besondere Kategorien nach Art. 9 DSGVO verarbeitet der Anbieter nicht gezielt. Aufnahmen können sie im Einzelfall erkennen lassen; der Kunde entscheidet, was hochgeladen wird.

§ 3 Weisungen

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind der Hauptvertrag, dieser Vertrag und alles, was der Kunde in seiner Verwaltung einstellt – etwa das Löschen von Events oder Bildern und die Fristen der automatischen Bereinigung.
2. Weitere Weisungen erteilt der Kunde in Textform an hello@rawcapturebooth.app.
3. Hält der Anbieter eine Weisung für rechtswidrig, teilt er das dem Kunden unverzüglich mit und darf sie bis zur Bestätigung oder Änderung aussetzen.
4. Gesetzliche Pflichten zur Verarbeitung bleiben unberührt; der Anbieter teilt sie dem Kunden vorher mit, soweit das Recht es erlaubt.

§ 4 Pflichten des Anbieters

1. Vertraulichkeit: Zugang zu den Daten hat nur der Anbieter selbst. Setzt er weitere Personen ein, verpflichtet er sie vorher schriftlich zur Vertraulichkeit.
2. Sicherheit: Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen teilt er mit.
3. Kein Zugriff ohne Anlass: Der Anbieter sieht sich Aufnahmen und Inhalte der Instanz nur an, wenn der Kunde darum bittet oder es für Fehlerbehebung oder Sicherheit zwingend nötig ist. Die laufende Überwachung nutzt nur Kennzahlen (Speicherbelegung, Anzahl Events und Bilder, Zeitpunkt der letzten Meldung).
4. Ansprechpartner Datenschutz: Thomas Michael Müller, hello@rawcapturebooth.app. Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht beim Anbieter nicht.

§ 5 Unterauftragsverarbeiter

1. Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
2. Einen neuen oder geänderten Unterauftragsverarbeiter kündigt der Anbieter mindestens 30 Tage vorher in Textform an. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, dürfen beide Seiten den Hauptvertrag zum Wechsel außerordentlich kündigen.
3. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 6 Unterstützung und Meldepflichten

1. Betroffenenrechte: Wendet sich eine betroffene Person an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und antwortet ihr nicht selbst. Auskunft, Berichtigung und Löschung kann der Kunde über seine Verwaltung selbst erledigen; wo das nicht reicht, hilft der Anbieter.
2. Datenschutzverletzungen: Erfährt der Anbieter von einer Verletzung des Schutzes personenbezogener Daten, meldet er sie dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden, mit allen Angaben nach Art. 33 Abs. 3 DSGVO, die ihm vorliegen. Die Meldung an die Aufsichtsbehörde bleibt Sache des Kunden.
3. Weitere Pflichten: Der Anbieter unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO), soweit sie den Betrieb des Servers betreffen.

§ 7 Nachweise und Kontrollen

1. Der Anbieter stellt dem Kunden auf Anfrage alle Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind – vorrangig diesen Vertrag, Anlage 1 und die Nachweise des Rechenzentrumsbetreibers.
2. Prüfungen vor Ort sind nach Ankündigung mit mindestens 14 Tagen Vorlauf während der üblichen Geschäftszeiten möglich. Das Rechenzentrum selbst prüft der Kunde über die Nachweise des Betreibers, nicht vor Ort.
3. Den Aufwand einer Prüfung vor Ort kann der Anbieter nach Zeitaufwand berechnen, es sei denn, sie deckt einen Verstoß des Anbieters auf.

§ 8 Löschung und Rückgabe

1. Bis zum Vertragsende kann der Kunde alle Aufnahmen über die Download-Funktionen seiner Verwaltung selbst sichern.
2. Endet der Hauptvertrag durch Kündigung, sperrt der Anbieter die Instanz zum Ende der Laufzeit und löscht sie mit allen Aufnahmen, der Datenbank und den Zugangsdaten 14 Tage später endgültig. Bleibt eine Zahlung endgültig aus, sperrt er die Instanz sofort und löscht sie nach 30 Tagen, wenn bis dahin keine Zahlung eingeht. Auf Wunsch des Kunden löscht er sofort.
3. Server-Protokolle mit IP-Adressen der Galeriebesucher werden laufend überschrieben und sind nach spätestens 7 Tagen gelöscht.
4. Sicherungskopien werden laufend überschrieben. Gelöschte Daten sind spätestens 14 Tage nach der Löschung auch aus allen Sicherungen entfernt.
5. Die Löschung bestätigt der Anbieter auf Anfrage in Textform.

§ 9 Haftung und Schlussbestimmungen

1. Dieser Vertrag kommt zustande, wenn der Kunde ihn bei der Buchung im Kundenbereich auf boothcloud.de bestätigt. Er ist damit in einem elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO). Der Anbieter speichert den Zeitpunkt der Bestätigung.
2. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
3. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für den Verzicht auf diese Form.
4. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. An ihre Stelle tritt die Regelung, die dem Zweck am nächsten kommt.
5. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Anbieters.

Anlage 1: Technische und organisatorische Maßnahmen

So ist der Betrieb heute eingerichtet. Änderungen nach § 4 Abs. 2.

Anlage 2: Unterauftragsverarbeiter

Mit der Contabo GmbH hat der Anbieter einen Vertrag zur Auftragsverarbeitung geschlossen. Bei Cloudflare gilt deren Vertrag zur Auftragsverarbeitung (Data Processing Addendum), der Bestandteil der Nutzungsbedingungen des Cloudflare-Kontos ist. Die Domainverwaltung bei der STRATO GmbH betrifft nur Adresseinträge; Daten des Kunden laufen dort nicht durch.