Vertrag zur Auftragsverarbeitung

Stand: 3. November 2026

zwischen dem Kunden („Verantwortlicher“) und Christoph Obermeier, Tronio, Liesl-Karlstadt-Straße 14, 85757 Karlsfeld („Auftragsverarbeiter“)

1. Gegenstand und Dauer

Der Auftragsverarbeiter erstellt für den Verantwortlichen KI-Porträts von dessen Mitarbeitenden nach den AGB von Tronio. Dabei verarbeitet er personenbezogene Daten im Auftrag; Einzelheiten stehen in Anlage 1. Der Vertrag läuft so lange wie der Hauptvertrag und darüber hinaus, bis alle Daten gelöscht oder zurückgegeben sind.

2. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind dieser Vertrag, die AGB und die Einstellungen, die der Verantwortliche im Portal trifft, insbesondere der Berechnungsweg.
2. Weitere Weisungen erteilt der Verantwortliche in Textform an datenschutz@tronio.de.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf sie bis zur Klärung aussetzen.
4. Eine Verarbeitung ohne Weisung erfolgt nur, wenn ein Gesetz sie verlangt; darauf weist er vorher hin, soweit das Gesetz es nicht verbietet.

3. Pflichten des Auftragsverarbeiters

1. Vertraulichkeit. Zugriff haben nur Personen, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Sicherheit. Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
3. Betroffenenrechte. Er unterstützt den Verantwortlichen bei Anträgen betroffener Personen. Den Widerruf der Einwilligung können Mitarbeitende direkt über ihren persönlichen Link erklären; der Auftragsverarbeiter setzt ihn sofort um und informiert den Verantwortlichen im Portal und per E-Mail. Anfragen, die direkt bei ihm eingehen, leitet er weiter.
4. Datenschutzverletzungen. Er meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem er davon erfahren hat. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
5. Unterstützung. Er unterstützt bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsicht mit den Informationen, die ihm vorliegen.
6. Nachweise. Er weist die Einhaltung dieses Vertrags auf Anfrage nach, durch Auskünfte, Dokumentation und Nachweise seiner Dienstleister. Vor-Ort-Prüfungen sind nach Anmeldung mit 14 Tagen Vorlauf zu den Geschäftszeiten möglich; Kosten jenseits des üblichen Rahmens trägt der Verantwortliche.

4. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er lädt nur Personen ein, deren Teilnahme freiwillig ist, und nutzt die Bilder nur für die Zwecke, die in der Einwilligung stehen. Die Einwilligung holt der Auftragsverarbeiter in seinem Namen über das Portal ein und dokumentiert sie mit Zeitpunkt und Fassung. Einen Betriebsrat beteiligt der Verantwortliche selbst, soweit das nötig ist.

5. Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die Unterauftragsverarbeiter in Anlage 3. Beim Berechnungsweg „Nur in der EU“ kommen nur die dort für diesen Weg genannten zum Einsatz.
2. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Verantwortliche den Vertrag zum Wechsel kündigen; nicht verbrauchtes Guthaben wird dann erstattet.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

6. Übermittlung in Drittländer

In Drittländer werden Daten nur übermittelt, wenn der Verantwortliche den Berechnungsweg „Höchste Bildqualität“ wählt, und nur unter den Garantien nach Anlage 3. Zusätzlich willigt jede betroffene Person in diese Übermittlung ein.

7. Löschung und Rückgabe

1. Handyfotos löscht der Auftragsverarbeiter spätestens 30 Tage nach Fertigstellung der Bilder, bei Widerruf sofort.
2. Fertige Bilder löscht er 12 Monate nach Fertigstellung; der Verantwortliche erhält 30 Tage vorher eine Erinnerung per E-Mail. Früher löscht er sie, wenn der Verantwortliche die Person entfernt, die Person widerruft oder der Vertrag endet und die Download-Frist von 30 Tagen abgelaufen ist.
3. Den Nachweis der Einwilligung bewahrt er 3 Jahre ab Ende des Jahres auf, in dem sie widerrufen wurde oder der Auftrag endete, und gibt ihn dem Verantwortlichen auf Anfrage heraus.
4. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

8. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten die Regeln der AGB, soweit Art. 82 nicht zwingend etwas anderes vorsieht.

Anlage 1 – Beschreibung der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen

• Ort: Speicher und Rechenleistung in Google Cloud, Region Frankfurt am Main (europe-west3).
• Zugang: Speicher nicht öffentlich erreichbar (Public Access Prevention). Dienste greifen über eigene Dienstkonten mit minimalen Rechten zu. Schlüssel liegen im Secret Manager, nicht im Code.
• Zugriff: Kunden-Administratoren melden sich über zeitlich begrenzte Links an (Sitzung höchstens 14 Tage). Mitarbeitende erreichen nur ihre eigenen Daten über einen persönlichen Link. Handyfotos sieht der Verantwortliche nicht.
• Prüftisch: Zugriff nur für namentlich benannte Prüfer des Auftragsverarbeiters.
• Übertragung: ausschließlich verschlüsselt (TLS). Gesichtserkennung bei der Aufnahme läuft im Browser, ohne Übertragung.
• Trennung: Daten jedes Kunden und Auftrags liegen getrennt unter eigenen Kennungen.
• Protokolle: Zugriffsprotokolle 30 Tage.
• Löschung: automatische Löschfristen nach Abschnitt 7.
• Kennzeichnung: Jedes Ergebnis trägt Metadaten und eine C2PA-Signatur als KI-Bild.
• Dienstleister: Bei fal schalten wir die Speicherung von Ein- und Ausgaben bei jeder Anfrage ab und setzen für Ergebnisdateien eine Ablaufzeit von einer Stunde. Für das genutzte Modell Seedream 5.0 Pro bestätigt fal außerdem Zero Data Retention: Ein- und Ausgaben werden nicht gespeichert und nicht zum Training genutzt.

Anlage 3 – Unterauftragsverarbeiter

Dieser Vertrag wird mit der Bestellung Bestandteil des Vertrags mit Tronio (AGB § 11). Eine unterschriebene Fassung senden wir auf Anfrage an datenschutz@tronio.de.