AV-Vertrag für Fotografen
Wann du einen Auftragsverarbeitungsvertrag brauchst, was drinstehen muss — und wie du ihn für deine Kundengalerie bekommst.
Der AV-Vertrag ist der Punkt, an dem viele Fotografen bei der Anbieterwahl hängenbleiben — nicht weil er kompliziert wäre, sondern weil ihn kaum jemand erklärt. Diese Seite tut das, ohne Rechtsberatung zu sein: sie beschreibt die Rechtslage, wie sie in der Praxis angewendet wird, und was Gallery4you dazu bereitstellt.
Was ein AVV ist — in zwei Sätzen
Wenn ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, ohne über Zweck und Mittel selbst zu entscheiden, ist er nach der DSGVO ein Auftragsverarbeiter. Art. 28 Abs. 3 DSGVO verlangt dann einen Vertrag in Textform zwischen euch — den Auftragsverarbeitungsvertrag, kurz AVV oder AV-Vertrag.
Übersetzt auf deinen Alltag: Du entscheidest, wessen Hochzeit du fotografierst, welche Bilder du ausspielst und wie lange sie online bleiben. Die Galerie-Software führt das aus. Also brauchst du mit ihr einen AVV.
Wann Fotografen einen AV-Vertrag brauchen
Nicht bei jedem Werkzeug, aber bei mehr, als man denkt. Ein AVV ist typischerweise nötig bei:
- Online-Kundengalerien — der Anbieter speichert die Fotos deiner Kundinnen und Kunden.
- Cloud-Speichern, in denen Kundenmaterial liegt.
- CRM- und Buchungssystemen mit Kundennamen, Adressen, Terminen.
- Newsletter-Diensten mit Empfängerlisten.
- Externen Retuscheuren, wenn sie weisungsgebunden arbeiten.
Nicht nötig ist er dort, wo dein Gegenüber eigenverantwortlich handelt — beim Steuerberater etwa oder bei einem Labor, das eine eigene Vertragsbeziehung zum Endkunden hat.
Was in den Vertrag gehört
Art. 28 Abs. 3 DSGVO gibt den Inhalt vor. Ein AVV, dem einer dieser Punkte fehlt, erfüllt seinen Zweck nicht:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Kategorien betroffener Personen und Datenarten
- Weisungsbindung des Auftragsverarbeiters
- Vertraulichkeitsverpflichtung der eingesetzten Personen
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
- Regeln zum Einsatz weiterer Unterauftragsverarbeiter
- Unterstützung bei Betroffenenrechten und Meldepflichten
- Löschung oder Rückgabe der Daten am Ende des Auftrags
- Nachweispflichten und Prüfrechte
Wo die Daten liegen — konkret
Anwendung, Datenbank und Bilddateien von Gallery4you liegen in Frankfurt am Main — die Bilddateien in der AWS-Region eu-central-1, Anwendung und Datenbank im dortigen Rechenzentrum des Hosters. Die täglichen Sicherungen liegen in Frankreich. Alle drei Orte befinden sich innerhalb der EU.
Was das nicht heißt: dass kein US-Unternehmen beteiligt ist. AWS ist ein US-Konzern, der deutsche Rechenzentren betreibt. Für die meisten Fotografieaufträge ist das unproblematisch und gängige Praxis; wer für seinen konkreten Fall — Behördenaufträge, besonders sensible Shootings — eine schärfere Anforderung hat, sollte diese Unterscheidung kennen. Sie steht deshalb hier und nicht im Kleingedruckten. Anbieter, die an dieser Stelle nur „EU-Hosting" schreiben, beantworten die Frage nicht.
So bekommst du den AV-Vertrag für Gallery4you
Auf Anfrage über den Support, ausgestellt auf deine Firmierung, in Textform. Eine qualifizierte elektronische Signatur ist nach Art. 28 Abs. 9 DSGVO ausdrücklich nicht erforderlich — Textform genügt, was in der Praxis heißt: PDF, gegengezeichnet, abgelegt.
Zwei Hinweise, die Zeit sparen: nimm die Firmierung mit, unter der du tatsächlich abrechnest (nicht den Markennamen), und lege den unterzeichneten Vertrag zusammen mit deinem Verarbeitungsverzeichnis ab. Genau dort sucht ihn eine Aufsichtsbehörde im Ernstfall.
Häufige Fragen
Reicht es, wenn der Anbieter „DSGVO-konform" auf der Website stehen hat?
Nein. „DSGVO-konform" ist eine Selbstauskunft ohne festen Inhalt. Der AVV ist das Dokument, das die Zusage einklagbar macht. Wenn ein Anbieter keinen bereitstellt, fehlt dir die Grundlage — unabhängig davon, was auf der Startseite steht.
Brauche ich auch einen AVV, wenn ich Einzelunternehmer bin?
Ja. Die Pflicht hängt nicht an der Unternehmensgröße, sondern daran, dass du personenbezogene Daten verarbeiten lässt. Auch als Solo-Fotograf bist du der Verantwortliche im Sinne der DSGVO.
Ist diese Seite eine Rechtsberatung?
Nein. Sie beschreibt die Rechtslage so, wie sie in der Fotografiepraxis angewendet wird, und was Gallery4you dazu bereitstellt. Für die Bewertung deines konkreten Falls — besonders bei Aufträgen mit besonderen Datenkategorien — ist eine Datenschutzberatung der richtige Weg.
Was passiert mit den Daten, wenn ich kündige?
Galerien lassen sich jederzeit selbst löschen; das entfernt Original, Vorschauen, Auswahl und Logs. Für die Beendigung des Vertragsverhältnisses insgesamt gilt die Löschregel aus dem AVV.
Weiterlesen: DSGVO-konforme Kundengalerie · Bildauslieferung für Fotografen · Datenschutzerklärung