Nach Art. 28 DSGVO · Fassung 1.0, Stand: August 2026
Brauche ich diesen Vertrag?
Nutzen Sie pidero privat – etwa für eine Hochzeit, einen Geburtstag oder ein Familienfest –, benötigen Sie keinen Auftragsverarbeitungsvertrag. Die DSGVO gilt für rein persönliche oder familiäre Tätigkeiten nicht (Art. 2 Abs. 2 lit. c DSGVO). Sie können pidero ohne weitere Formalitäten nutzen. Für die Speicherung und Bereitstellung der Fotos auf unseren Servern sind wir in diesem Fall eigenständig Verantwortlicher; Einzelheiten stehen in unserer Datenschutzerklärung.
Nutzen Sie pidero geschäftlich – etwa für eine Firmenfeier, eine Messe, eine Vereins- oder Kundenveranstaltung –, sind Sie datenschutzrechtlich Verantwortlicher und wir sind Ihr Auftragsverarbeiter. In diesem Fall ist dieser Vertrag erforderlich. Schreiben Sie uns formlos an info@pidero.com mit dem Betreff „AVV“ und Ihren Firmendaten – wir senden Ihnen den Vertrag in Textform zum Abschluss zurück. Der nachfolgende Text ist der Vertragsinhalt, den wir zugrunde legen.
Auftragsverarbeiter (nachfolgend „pidero“):
Daniel Kraus, Franz-Winzinger-Weg 23, 93051 Regensburg, Deutschland,
E-Mail: info@pidero.com
Verantwortlicher (nachfolgend „Auftraggeber“): die natürliche oder juristische Person, die pidero im Rahmen ihrer geschäftlichen Tätigkeit nutzt und diesen Vertrag mit uns schließt.
Gegenstand ist die Verarbeitung personenbezogener Daten durch pidero im Auftrag des Auftraggebers bei der Nutzung der Plattform pidero.com. Die Leistung besteht darin, Fotos und zugehörige Angaben eines Events entgegenzunehmen, zu speichern, für die Teilnehmer bereitzustellen und nach Ablauf des Events zu löschen.
Der Vertrag beginnt mit seinem Abschluss und läuft, solange der Auftraggeber pidero nutzt. Er endet automatisch, wenn keine Daten des Auftraggebers mehr bei pidero gespeichert sind – spätestens mit dem Ablauf des letzten Events und der anschließenden automatischen Löschung.
| Art der Verarbeitung | Erheben, Speichern, Bereitstellen zum Abruf, Umwandeln (Erzeugen von Vorschaubildern), Bereitstellen zum Download, Löschen |
|---|---|
| Zweck | Sammeln und Teilen von Fotos einer Veranstaltung unter den Teilnehmern; optionale Anzeige als Diashow; Bereitstellung als Download |
| Datenarten | Fotos und die darin enthaltenen Bildinhalte; frei gewählter Vorname der Teilnehmer; E-Mail-Adresse des Gastgebers; Event-Bezeichnung; technische Verbindungsdaten (IP-Adresse, Zeitstempel) im Rahmen des Betriebs |
| Kategorien betroffener Personen | Teilnehmer der Veranstaltung (Hochladende), auf Fotos abgebildete Personen, Gastgeber bzw. Beschäftigte des Auftraggebers |
Auf Fotos können besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO erkennbar sein (z. B. religiöse Bezüge oder Gesundheitsangaben). pidero wertet Bildinhalte nicht aus; es findet insbesondere keine Gesichtserkennung und keine automatisierte Analyse statt. Für die Zulässigkeit der Aufnahmen bleibt der Auftraggeber verantwortlich.
pidero verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag, die AGB sowie die Einstellungen, die der Auftraggeber in der Anwendung vornimmt (etwa Event-Laufzeit, Freigabe der Galerie, Upload-Grenzen, Löschen einzelner Fotos). Weitergehende Weisungen sind in Textform an info@pidero.com zu richten.
pidero verarbeitet die Daten ausschließlich innerhalb der Europäischen Union. Eine Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung des Auftraggebers oder wenn pidero hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet ist; in diesem Fall teilt pidero dem Auftraggeber die rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
Ist pidero der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, wird pidero den Auftraggeber darauf hinweisen und darf die Ausführung bis zur Bestätigung aussetzen.
pidero setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. pidero wird derzeit ohne Beschäftigte betrieben; sämtliche Verarbeitungen erfolgen durch den Inhaber selbst sowie durch die unter Ziffer 7 genannten Unterauftragsverarbeiter.
pidero trifft die in Anlage 1 beschriebenen Maßnahmen. Sie sind so ausgestaltet, dass sie dem Risiko der Verarbeitung angemessen sind, und dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird.
Der Auftraggeber erteilt seine allgemeine Genehmigung zum Einsatz der nachfolgend genannten Unterauftragsverarbeiter. pidero informiert den Auftraggeber mindestens vier Wochen vor der beabsichtigten Änderung in Textform. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen nach Zugang der Information widersprechen (Art. 28 Abs. 2 DSGVO). Im Fall eines Widerspruchs ist pidero berechtigt, den Vertrag mit einer Frist von zwei Wochen zu kündigen; die Daten werden in diesem Fall nach Ziffer 10 gelöscht oder herausgegeben.
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen |
Serverbetrieb, Datenbank, Objektspeicher für Fotos, Backups, Mailserver | Deutschland (EU) |
Nicht als Unterauftragsverarbeiter gilt die Stripe Payments Europe Ltd., die die Zahlungsabwicklung als eigenständig Verantwortliche vornimmt. Zahlungsdaten werden nicht von pidero, sondern unmittelbar von Stripe erhoben und verarbeitet.
Die Reichweitenmessung erfolgt mit einer selbst betriebenen Instanz der Software Umami auf denselben Servern; ein weiterer Dienstleister ist damit nicht verbunden.
pidero unterstützt den Auftraggeber im Rahmen des technisch Möglichen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32–36 DSGVO). Wendet sich eine betroffene Person unmittelbar an pidero, leiten wir das Anliegen an den Auftraggeber weiter, sofern es dessen Event betrifft.
Der Auftraggeber kann die Daten seines Events jederzeit selbst über die Anwendung herausgeben (Download als ZIP-Archiv) sowie einzelne Fotos oder das gesamte Event löschen.
pidero meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten, die die Daten des Auftraggebers betreffen, unverzüglich nach Bekanntwerden – in der Regel binnen 24 Stunden – in Textform. Die Meldung enthält, soweit bekannt, Art und Umfang des Vorfalls, die voraussichtlichen Folgen sowie die ergriffenen Gegenmaßnahmen.
Fotos und zugehörige Daten werden automatisch gelöscht, sobald das jeweilige Event abgelaufen ist. Die Fristen ergeben sich aus der Datenschutzerklärung: regulär 45 Tage ab Erstellung des Events, bei kostenpflichtigen Freischaltungen 90 Tage ab Erstellung und mindestens 7 Tage ab dem letzten Kauf. In den Papierkorb verschobene Fotos werden nach 30 Tagen endgültig entfernt.
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht pidero nach Wahl des Auftraggebers sämtliche personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt über den Download als ZIP-Archiv in der Anwendung; auf Verlangen stellt pidero die Daten auch auf anderem Weg bereit. Der Auftraggeber ist gehalten, die Fotos vor Ablauf des Events herunterzuladen; pidero ist kein Archiv- oder Sicherungsdienst (vgl. Ziffer 15 der AGB). Auf Verlangen löscht pidero die Daten auch vorzeitig. Sicherungskopien werden im Rahmen des regulären Backup-Zyklus innerhalb von 14 Tagen überschrieben.
pidero stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO). Vor-Ort-Kontrollen erfolgen nach rechtzeitiger Ankündigung, während üblicher Geschäftszeiten und unter Wahrung der Vertraulichkeit gegenüber anderen Auftraggebern; die Kosten trägt der Auftraggeber, soweit die Kontrolle nicht durch einen von pidero zu vertretenden Umstand veranlasst ist.
Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten betreffen. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Diese Anlage beschreibt die tatsächlich umgesetzten Maßnahmen zum Zeitpunkt der oben genannten Fassung.
Fragen zu diesem Vertrag? Schreiben Sie an info@pidero.com.