Vertrag zur Auftragsverarbeitung (AVV) gem. Art. 28 DSGVO zwischen dem Auftraggeber und der FotoLutz Complex GmbH als Auftragsverarbeiter. Relevant für Geschäftskunden, bei deren 3D-Rundgängen, virtuellen Touren oder digitalen Zwillingen personenbezogene Daten verarbeitet werden.
(im Folgenden „AVV")
Zwischen
Firma / Name des Auftraggebers: ______________________________________
Straße, Hausnummer: ______________________________________
PLZ, Ort: ______________________________________
Vertretungsberechtigte Person: ______________________________________
E-Mail: ______________________________________
– nachfolgend „Verantwortlicher" genannt –
und
FotoLutz Complex GmbH
Metzer Straße 158, 66117 Saarbrücken
vertreten durch den Geschäftsführer Markus Lutz
Amtsgericht Saarbrücken, HRB 14172
E-Mail: office@fotolutz.com
– nachfolgend „Auftragsverarbeiter" genannt –
– gemeinsam auch die „Parteien" –
Die Parteien haben einen Hauptvertrag über die Aufnahme von Räumen und Gebäuden mit 3D- und 360°-Kamerasystemen, die Erstellung virtueller Rundgänge bzw. digitaler Zwillinge sowie deren Hosting und Bereitstellung geschlossen (im Folgenden „Hauptvertrag"). Im Rahmen der Durchführung dieses Hauptvertrages verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.
Die Parteien schließen den vorliegenden AVV, um den Anforderungen der Datenschutz-Grundverordnung (DSGVO), insbesondere des Art. 28 DSGVO, zu entsprechen.
1.1 Gegenstand
Gegenstand der Verarbeitung ist die Erfassung, Bearbeitung, Speicherung und Bereitstellung von 3D-Scandaten, 360°-Panoramen, Einzelfotos, Grundrissen und Info-Punkt-Inhalten eines vom Verantwortlichen benannten Objekts, soweit darin personenbezogene Daten enthalten sind.
1.2 Objektdaten
Bezeichnung des Objekts / Projekts: ______________________________________
Anschrift des Objekts: ______________________________________
Aufnahmedatum: ______________________________________
1.3 Dauer der Verarbeitung
Die Verarbeitung beginnt mit dem Aufnahmetermin und endet mit Ablauf der im Hauptvertrag vereinbarten Hosting-Laufzeit einschließlich etwaiger Verlängerungen. Nach Ende des Hostings werden die Daten innerhalb von 4 Wochen gelöscht, sofern keine abweichende Vereinbarung getroffen wurde.
2.1 Art der Verarbeitung
Die Verarbeitung umfasst insbesondere:
2.2 Zweck
Zweck der Verarbeitung ist die Erbringung der vertraglich vereinbarten Leistungen zur Erstellung und Bereitstellung virtueller Rundgänge für den Verantwortlichen.
3.1 Art der Daten
Gegenstand der Verarbeitung sind insbesondere folgende Datenkategorien:
3.2 Kategorien betroffener Personen
4.1 Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.
Der Hauptvertrag und dieser AVV gelten als dokumentierte Weisung des Verantwortlichen. Mündliche Weisungen sind unverzüglich in Textform (E-Mail genügt) zu bestätigen.
4.2 Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Dies gilt ausdrücklich auch für Informationen über das Objekt, die bei der Aufnahme zur Kenntnis gelangen.
4.3 Technisch-organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter ergreift alle erforderlichen Maßnahmen gemäß Art. 32 DSGVO zur Sicherheit der Verarbeitung. Die konkreten Maßnahmen sind in Anlage 1 zu diesem AVV beschrieben.
4.4 Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Art. 32 bis 36 DSGVO sowie bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO), insbesondere durch nachträgliche Unkenntlichmachung oder Entfernung einzelner Bereiche aus dem Rundgang.
4.5 Meldepflicht bei Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden. Die Meldung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Informationen.
4.6 Löschung und Rückgabe
Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern nicht nach Unionsrecht oder Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Bereits in Google Maps / Street View veröffentlichte Aufnahmen kann der Auftragsverarbeiter nur im Rahmen der von Google bereitgestellten Funktionen löschen. Eine Löschbestätigung wird auf Verlangen ausgestellt.
4.7 Datenschutzbeauftragter
Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten benannt, da nach § 38 BDSG keine Bestellpflicht besteht. Kontakt in Datenschutzfragen: office@fotolutz.com
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er sichert insbesondere zu:
6.1 Genehmigte Unterauftragsverarbeiter
Der Verantwortliche erteilt seine allgemeine Genehmigung zur Hinzuziehung der nachfolgend genannten Unterauftragsverarbeiter:
6.2 Änderungen
Eine Änderung oder Hinzuziehung weiterer Unterauftragsverarbeiter wird dem Verantwortlichen mit angemessener Vorlaufzeit (mindestens 30 Tage) in Textform mitgeteilt. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund Einspruch erheben.
6.3 Vertragliche Sicherstellung
Der Auftragsverarbeiter stellt sicher, dass mit jedem Unterauftragsverarbeiter vertragliche Regelungen bestehen, die diesem im Wesentlichen dieselben Datenschutzpflichten auferlegen, wie sie in diesem AVV festgelegt sind. Bei großen Plattformanbietern erfolgt dies über deren standardisierte Datenverarbeitungsbedingungen.
Der Verantwortliche hat das Recht, sich von der Einhaltung der vertraglich getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu auf Anfrage alle erforderlichen Informationen zur Verfügung.
Vor-Ort-Kontrollen sind mit angemessener Vorlaufzeit (mindestens 14 Tage) während der üblichen Geschäftszeiten anzukündigen und so durchzuführen, dass der Geschäftsbetrieb nicht unangemessen beeinträchtigt wird. Der Auftragsverarbeiter kann anstelle einer Vor-Ort-Kontrolle geeignete Zertifikate oder Prüfberichte vorlegen.
Eine Übermittlung personenbezogener Daten in Drittländer außerhalb des EWR erfolgt nur, wenn die in Art. 44 ff. DSGVO genannten Voraussetzungen erfüllt sind. Bei den in § 6 genannten Anbietern außerhalb des EWR wird die Übermittlung auf die EU-Standardvertragsklauseln (SCC), das EU-US Data Privacy Framework (DPF) bzw. – bei Speicherung in Japan – auf den Angemessenheitsbeschluss der EU-Kommission gestützt.
Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den ergänzenden Bestimmungen des Hauptvertrages. Im Verhältnis der Parteien zueinander haftet jede Partei für Schäden, die durch ihre eigene Pflichtverletzung verursacht wurden.
Dieser AVV tritt mit Unterzeichnung in Kraft und gilt für die Laufzeit des Hauptvertrages einschließlich der Hosting-Laufzeit. Eine außerordentliche Kündigung aus wichtigem Grund, insbesondere bei schwerwiegenden Verstößen gegen datenschutzrechtliche Bestimmungen, bleibt unberührt.
Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht. Gerichtsstand ist – soweit zulässig – Saarbrücken.
Für den Verantwortlichen
Ort, Datum: ______________________________________
Unterschrift, Name in Druckbuchstaben: ______________________________________
Für den Auftragsverarbeiter
Ort, Datum: ______________________________________
Markus Lutz, Geschäftsführer FotoLutz Complex GmbH
Diese Anlage beschreibt die vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.
1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
Zutrittskontrolle:
Zugangskontrolle:
Zugriffskontrolle:
Trennungskontrolle:
Pseudonymisierung / Verschlüsselung:
2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
Weitergabekontrolle:
Eingabekontrolle:
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)
4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)
5. Auftragskontrolle
Hinweis: Diese AVV-Vorlage ist eine Arbeitsgrundlage für die Standardanwendung bei 3D-Rundgängen. Bei besonderen Konstellationen (z. B. Aufnahmen in Gesundheits- oder Sozialeinrichtungen, besonders sensiblen Daten oder öffentlichen Auftraggebern mit eigenen Vertragsmustern) sollte der Vertrag durch eine Rechtsanwaltskanzlei oder einen spezialisierten Datenschutzberater individuell geprüft werden. Die Liste der Unterauftragsverarbeiter in § 6 ist bei jeder Änderung der eingesetzten Tools zu aktualisieren.
AVV-Stand 09/2026