Avtale om databehandling mellom CONTRIMA og fotograf
Versjon 2 · 26. juli 2026
Avtale om databehandling mellom CONTRIMA og fotograf
Mellom
databehandleren
Contrima GmbH, representert ved administrerende direktør Mark Reinhardt, Enzianweg 29, 71384 Weinstadt
(heretter «CONTRIMA»)
og
den behandlingsansvarlige
{photographer_name}
{photographer_address}
{photographer_email}
(heretter «du»)
Innledning
CONTRIMA leverer tjenester til deg for å stille til rådighet en infrastruktur for overføring av fotografier til avbildede personer samt for forvaltning av bildelisensavtaler (heretter kalt «hovedavtalen»). En del av gjennomføringen av hovedavtalen er behandlingen av personopplysninger om de avbildede personene, som du overfører til CONTRIMA. For å oppfylle kravene i GDPR for slike situasjoner inngår du, som behandlingsansvarlig i henhold til personvernlovgivningen, følgende avtale om databehandling på oppdrag med CONTRIMA.
1. Gjenstand/omfang av oppdraget
1.1 Samarbeidet mellom partene i henhold til hovedavtalen innebærer at CONTRIMA får tilgang til personopplysninger som du stiller til rådighet (heretter «oppdragsdata») og behandler disse utelukkende på dine vegne og i henhold til dine instrukser i henhold til art. 4 nr. 8 og art. 28 i GDPR.
1.2 Behandlingen kan omfatte følgende oppdragsdata:
| Registrerte personer (kategorier) | Type opplysninger |
|---|---|
| Avbildede personer |
|
| Foreldre eller foresatte til de avbildede personene |
|
| Kontaktpersoner hos myndigheter (f.eks. skattemyndigheter) |
|
1.3 Arten og omfanget av behandlingen av oppdragsdataene avhenger av formålene med hovedavtalen og er begrenset til disse. Behandlingsperioden tilsvarer løpetiden til hovedavtalen.
1.4 CONTRIMA har forbud mot å behandle oppdragsdata på en annen måte eller utover det som er fastsatt i vedlegg 1 og punkt 1.2. Dette gjelder også bruk av anonymiserte data.
1.5 Behandlingen av oppdragsdataene skjer utelukkende på territoriet til Forbundsrepublikken Tyskland, i en medlemsstat i Den europeiske union eller i en annen avtalestat i avtalen om Det europeiske økonomiske samarbeidsområdet. Enhver overføring til et tredjeland krever forhåndsgodkjenning fra oppdragsgiveren og kan kun skje dersom de særlige vilkårene i artikkel 44 til 49 i GDPR er oppfylt.
1.6 Bestemmelsene i denne avtalen gjelder for alle aktiviteter som er knyttet til hovedavtalen, og der CONTRIMA og dets ansatte eller personer oppnevnt av CONTRIMA kommer i kontakt med personopplysninger som stammer fra deg eller er innhentet på dine vegne.
2. Din instruksjonsrett
2.1 CONTRIMA behandler oppdragsdataene kun innenfor rammen av oppdraget og utelukkende på dine vegne og i henhold til dine instrukser i henhold til artikkel 28 i GDPR (databehandling på oppdrag); dette gjelder særlig når det gjelder overføring av personopplysninger til et tredjeland. Du har enerett til å gi instruksjoner om arten, omfanget og metoden for behandlingsaktivitetene (heretter også kalt «instruksjonsrett»). Dersom CONTRIMA er forpliktet til ytterligere behandling i henhold til lovgivningen i Den europeiske union eller medlemsstatene som den er underlagt, vil CONTRIMA informere deg om disse rettslige kravene før behandlingen.
2.2 Instruksjoner til CONTRIMA skal i utgangspunktet gis skriftlig (e-postadresse: info@contrima.com).
2.3 Dersom CONTRIMA mener at en av dine instruksjoner strider mot personvernbestemmelser, skal CONTRIMA umiddelbart gjøre deg oppmerksom på dette. CONTRIMA har rett til å utsette gjennomføringen av den aktuelle instruksjonen inntil denne er bekreftet eller endret av oppdragsgiveren.
3. Beskyttelsestiltak fra CONTRIMA
3.1 CONTRIMA er forpliktet til å overholde de lovbestemte kravene til personvern og ikke videreformidle opplysninger innhentet fra deg til tredjeparter eller gi dem tilgang til disse. Data skal sikres mot innsyn fra uautoriserte personer i henhold til gjeldende teknisk standard.
3.2 Videre skal CONTRIMA skriftlig forplikte alle personer som CONTRIMA betror med behandlingen og oppfyllelsen av denne avtalen (heretter kalt «medarbeidere») til konfidensialitet (konfidensialitetsforpliktelse, art. 28 nr. 3 bokstav b i GDPR) og sikre at denne forpliktelsen overholdes med den nødvendige aktsomhet. CONTRIMA vil på forespørsel fremlegge bevis for dette overfor deg.
3.3 CONTRIMA skal utforme den interne organisasjonen slik at den oppfyller de spesielle kravene til personvern. CONTRIMA forplikter seg til å iverksette alle egnede tekniske og organisatoriske tiltak for å sikre en tilstrekkelig beskyttelse av oppdragsdataene i henhold til art. 32 i GDPR, særlig de tiltakene som er oppført i vedlegg 1 til denne avtalen, og å opprettholde disse så lenge behandlingen av oppdragsdataene pågår.
3.4 CONTRIMA forbeholder seg retten til å endre de iverksatte tekniske og organisatoriske tiltakene, men skal sikre at det kontraktsmessig avtalte beskyttelsesnivået ikke underskrides. CONTRIMA skal umiddelbart informere deg skriftlig dersom det er grunn til å anta at tiltakene i henhold til vedlegg 1 ikke lenger er tilstrekkelige, og vil avtale videre tekniske og organisatoriske tiltak med deg.
3.5 På forespørsel fra deg skal CONTRIMA dokumentere overholdelsen av de tekniske og organisatoriske tiltakene fastsatt i vedlegg 1 ved hjelp av passende bevis.
4. Informasjons- og støtteplikt
4.1 Ved forstyrrelser, mistanke om brudd på personvernet eller brudd på CONTRIMAs kontraktsmessige forpliktelser, mistanke om sikkerhetsrelevante hendelser eller andre uregelmessigheter ved behandlingen av oppdragsdataene, hos CONTRIMA i forbindelse med oppdraget utført av ansatte eller av tredjeparter, skal CONTRIMA umiddelbart, senest innen 24 timer, informere deg skriftlig eller elektronisk. Det samme gjelder for tilsynskontroller av CONTRIMA utført av datatilsynsmyndigheten. Meldingene i henhold til § 4 nr. 1 første setning skal i hvert tilfelle inneholde minst de opplysningene som er nevnt i art. 33 nr. 3 i GDPR.
4.2 I tilfeller som omfattes av § 4.1 vil CONTRIMA, innenfor rimelighetens grenser, bistå deg med å gjennomføre de relevante opplysnings-, avhjelpings- og informasjonstiltakene. CONTRIMA skal særlig umiddelbart iverksette de nødvendige tiltak for å sikre opplysningene og for å redusere eventuelle uheldige konsekvenser for de berørte personene, og informere deg om dette.
4.3 CONTRIMA forplikter seg til, på din muntlige eller skriftlige forespørsel, innen rimelig tid å stille til rådighet all informasjon og dokumentasjon som er nødvendig for å gjennomføre en kontroll i henhold til § 7.1 i denne avtalen. Videre vil CONTRIMA på din forespørsel stille til rådighet et omfattende og oppdatert personvern- og sikkerhetskonsept for oppdragsbehandlingen, samt opplysninger om personer med tilgangsrett.
5. Øvrige forpliktelser for CONTRIMA
5.1 CONTRIMA er forpliktet til å føre et register over alle kategorier av behandlingsaktiviteter som utføres på dine vegne i henhold til art. 30 nr. 2 i GDPR. Registeret skal stilles til din disposisjon på forespørsel.
5.2 Dersom oppdragsdataene hos CONTRIMA blir utsatt for fare som følge av utlegg eller beslag, gjennom en insolvens- eller forliksprosess eller gjennom andre hendelser eller tiltak fra tredjeparter, skal CONTRIMA umiddelbart informere deg om dette, med mindre dette er forbudt ved rettslig eller myndighetspålegg. CONTRIMA skal i denne sammenheng umiddelbart informere alle relevante myndigheter om at beslutningsmyndigheten over opplysningene utelukkende ligger hos oppdragsgiveren som «behandlingsansvarlig» i henhold til GDPR.
6. Underleverandørforhold
6.1 De avtalte tjenestene utføres ved bruk av underleverandørene nevnt i vedlegg 2. CONTRIMA har, innenfor rammen av sine avtaleforpliktelser, fullmakt til å inngå underleverandørforhold med underleverandører («underleverandørforhold»). Før inngåelse av ytterligere underleverandørforhold skal CONTRIMA informere deg skriftlig eller dokumentere dette elektronisk i henhold til art. 28, nr. 2 i GDPR med en frist på fire uker. Du kan gjøre innsigelse mot endringen innen to uker etter mottak av ovennevnte melding.
6.2 Det foreligger ikke et underleverandørforhold i henhold til disse bestemmelsene dersom CONTRIMA engasjerer tredjeparter til å utføre tjenester som skal anses som rene tilleggstjenester. Dette omfatter f.eks. post- eller telekommunikasjonstjenester uten konkret tilknytning til tjenester som CONTRIMA leverer til deg, samt andre tiltak for å sikre konfidensialitet, tilgjengelighet, integritet og robusthet for maskinvare og programvare i databehandlingsanlegg.
7. Kontrollrettigheter
7.1 Du har rett til regelmessig å kontrollere at bestemmelsene i denne avtalen overholdes, særlig gjennomføringen og overholdelsen av de tekniske og organisatoriske tiltakene i henhold til § 3.3 i denne avtalen. For dette formålet kan du f.eks. innhente opplysninger eller be om å få fremlagt sertifiseringer eller interne revisjoner, eller selv personlig eller gjennom en kompetent tredjepart kontrollere CONTRIMAs tekniske og organisatoriske tiltak i vanlig kontortid, forutsatt at denne tredjeparten ikke står i konkurranseforhold til CONTRIMA.
7.2 Du skal kun gjennomføre kontroller i den grad det er nødvendig og ta rimelig hensyn til CONTRIMAs driftsprosesser. Partene skal i god tid avtale tidspunktet og arten av kontrollen.
7.3 Du skal dokumentere resultatet av kontrollen og meddele det til CONTRIMA. Ved feil eller uregelmessigheter som du oppdager, særlig ved kontroll av oppdragsresultater, skal du umiddelbart informere CONTRIMA.
8. De registrertes rettigheter
8.1 CONTRIMA skal i den grad det er mulig støtte deg med egnede tekniske og organisatoriske tiltak for å oppfylle dine forpliktelser i henhold til artikkel 12 til 22 samt artikkel 32 til 36 i GDPR. CONTRIMA vil umiddelbart, senest innen 7 virkedager, gi deg den ønskede informasjonen om oppdragsdata, dersom du ikke selv har tilgang til den aktuelle informasjonen.
8.2 Dersom den registrerte gjør gjeldende sine rettigheter i henhold til artikkel 16 til 18 i GDPR, er CONTRIMA forpliktet til, etter instruks fra deg, umiddelbart, senest innen en frist på 7 virkedager, å rette, slette eller begrense oppdragsdataene. CONTRIMA vil på forespørsel skriftlig bekrefte slettingen, rettingen eller begrensningen av opplysningene overfor deg.
8.3 Dersom en registrert person gjør gjeldende rettigheter, for eksempel til innsyn, retting eller sletting av sine opplysninger, direkte overfor CONTRIMA, vil CONTRIMA umiddelbart videresende denne forespørselen til deg og avvente dine instruksjoner. Uten tilsvarende spesifikke instruksjoner vil CONTRIMA ikke ta kontakt med den registrerte personen.
9. Varighet og oppsigelse
9.1 Varigheten av denne avtalen samsvarer med varigheten av hovedavtalen. I tvilstilfeller gjelder en oppsigelse av hovedavtalen også som oppsigelse av denne avtalen, og en oppsigelse av denne avtalen som oppsigelse av hovedavtalen.
9.2 Du har til enhver tid rett til å si opp denne avtalen uten varsel av tungtveiende grunn. En tungtveiende grunn foreligger dersom CONTRIMA ikke oppfyller sine forpliktelser i henhold til denne avtalen, bryter bestemmelsene i GDPR med forsett eller grov uaktsomhet, eller ikke kan eller vil utføre en instruks. Ved enkle – altså verken forsettlige eller grovt uaktsomme – brudd skal du først gi CONTRIMA en rimelig frist innen hvilken CONTRIMA kan rette opp bruddet. Etter at denne fristen har utløpt uten resultat, har du rett til ekstraordinær oppsigelse.
10. Sletting og tilbakelevering etter avtalens opphør
10.1 CONTRIMA skal etter opphør av hovedavtalen eller når som helst på forespørsel returnere alle data som er overført til CONTRIMA, eller på forespørsel, med mindre det foreligger en lovbestemt oppbevaringsfrist, slette dem fullstendig og ugjenkallelig. Dette gjelder også for kopier av oppdragsdataene hos CONTRIMA, for eksempel sikkerhetskopier, men ikke for dokumentasjon som tjener til å dokumentere at oppdragsdataene er behandlet i henhold til oppdraget og i samsvar med gjeldende regelverk. Slik dokumentasjon skal oppbevares av CONTRIMA i løpet av de lovbestemte oppbevaringsfristene.
10.2 Du har rett til på en hensiktsmessig måte å kontrollere at dataene hos CONTRIMA returneres eller slettes fullstendig og i samsvar med avtalen.
10.3 CONTRIMA er forpliktet til å behandle opplysningene som er blitt kjent for selskapet i forbindelse med hovedavtalen, konfidensielt også etter at hovedavtalen er opphørt.
11. Ansvar
11.1 Partenes ansvar reguleres av artikkel 82 i GDPR. Dette berører ikke CONTRIMAs ansvar overfor deg for brudd på forpliktelser som følger av denne avtalen eller hovedavtalen.
11.2 Partene fritar hverandre for ansvar dersom en part kan bevise at den på ingen måte er ansvarlig for den omstendigheten som har ført til skaden hos en berørt person. § 11 nr. 2 setning 1 gjelder tilsvarende i tilfelle en bot pålegges en part, idet fritakelsen gjelder i den utstrekning den andre parten bærer en andel av ansvaret for den overtredelsen som boten er en sanksjon for.
12. Avsluttende bestemmelser
12.1 Endringer og tillegg til denne avtalen må foreligge i skriftlig form i henhold til art. 28 nr. 9 i GDPR. Dette gjelder også for frafall av dette formkravet.
12.2 Bestemmelsene i denne avtalen har i tvilstilfeller forrang foran bestemmelsene i hovedavtalen. Dersom enkelte bestemmelser i denne avtalen viser seg å være helt eller delvis ugyldige eller umulige å gjennomføre, eller blir ugyldige eller umulige å gjennomføre som følge av lovendringer etter avtalens inngåelse, påvirker dette ikke gyldigheten av de øvrige bestemmelsene. Den ugyldige eller umulige bestemmelsen skal erstattes av en gyldig og gjennomførbar bestemmelse som i størst mulig grad tilsvarer meningen og formålet med den ugyldige bestemmelsen.
12.3 Denne avtalen er underlagt lovgivningen i Forbundsrepublikken Tyskland. CONTRIMA stiller disse vilkårene til rådighet i en rekke språkversjoner for å gjøre dem lettere å forstå. Ved uoverensstemmelser er den engelske språkversjonen av denne avtalen om databehandling av oppdragsdata avgjørende.
Vedlegg 1: Tekniske og organisatoriske tiltak
1. Tekniske og organisatoriske sikkerhetstiltak
CONTRIMA er forpliktet til å iverksette egnede tekniske og organisatoriske tiltak på en slik måte at behandlingen av oppdragsdataene skjer i samsvar med lovkravene og at beskyttelsen av den registrertes rettigheter sikres på en hensiktsmessig måte.
2. Intern organisering
CONTRIMA skal utforme sin interne organisasjon slik at den oppfyller de spesielle kravene til personvern. I den forbindelse skal det særlig iverksettes tiltak som er egnede ut fra arten av opplysningene eller opplysningskategoriene som skal beskyttes.
3. Konkretisering av de enkelte tiltakene
Nærmere bestemt fastsettes følgende tiltak som skal bidra til gjennomføringen av kravene i art. 32 i GDPR:
| Nr. | Tiltak | Gjennomføring av tiltaket |
|---|---|---|
| 1 | Tilgangskontroll | Den operative databehandlingen foregår utelukkende i AWS-skyen; de fysiske databehandlingsanleggene sikres der av AWS (jf. AVV og sertifiseringer fra AWS). Administrasjonen skjer fra en tilgangsbeskyttet arbeidsplass i låsbare rom som ikke er tilgjengelige for allmennheten, bak en brannmur. Det er ingen publikumstrafikk og ingen egne serverrom. |
| 2 | Tilgangskontroll | Systemtilgang kun via personlig pålogging med brukernavn og passord. Administrator- og AWS-tilganger er beskyttet av sterke passord og tofaktorautentisering. Sluttbrukerutstyr er sikret gjennom pålogging i operativsystemet, brannmur og harddiskkryptering. |
| 3 | Tilgangskontroll | Rolle- og autorisasjonskonsept i applikasjonen med sentral autorisasjonskontroll, serversidekontroll på alle endepunkter som endrer data, beskyttelse mot CSRF samt utelukkende parametrisert databasetilgang. På infrastrukturnivå er antall administratorer minimalt (én-person-drift), og rettigheter tildeles i henhold til «least privilege»-prinsippet. |
| 4 | Separasjonskontroll | Kundespesifikk logisk separasjon av alle data per fotograf gjennom entydig tilordning av eierskap; separat produksjonsmiljø. En logisk separasjon er tilstrekkelig. |
| 5 | Pseudonymisering / dataminimering | Tilgang for eksterne personer via tilfeldige, ikke-gjetbare tokens (permanentlenke). Det samles kun inn data som er nødvendige for det aktuelle formålet (i hovedsak e-postadressen); gjenkjenningsnotater holdes bevisst korte og nøytrale. |
| 6 | Kontroll av videreformidling | Overføring skjer utelukkende via krypterte forbindelser (TLS/HTTPS). Lagring av bilde- og kontraktsdata på kryptert objektlagring (S3 Server-Side Encryption). Overføring til underleverandører skjer kun i nødvendig omfang på grunnlag av AVV eller EUs standardkontraktsklausuler. |
| 7 | Inndatakontroll | Loggføring av bevisrelevante hendelser på applikasjonsnivå, særlig avtale- og samtykkeaksepter med tidsstempel, IP-adresse, enhetsinformasjon og versjons-hash samt betalingshendelser. Siden driften utføres av én person, kan hver innlegging, endring og sletting tilskrives én enkelt person. |
| 8 | Tilgjengelighet og robusthet | Databasen er redundant fordelt på flere AWS-soner eller -regioner innenfor EU eller EØS; automatiserte databasemomentbilder som sikkerhetskopi; Kode- og serversikkerhetskopier samt et forhåndsdefinert serverbilde (AMI) for rask gjenoppretting; ekstra lokalt sikkerhetskopisystem; dokumentert beredskaps- og gjenoppstartplan. |
| 9 | Personvernledelse | Den ansvarlige er administrerende direktør i CONTRIMA GmbH. Det er ikke utnevnt noen personvernansvarlig, da det ikke foreligger noen lovpålagt plikt til dette. Oppfyllelse av informasjonspliktene i henhold til art. 13 i GDPR i aktiveringsprosessen, eksisterende prosess for behandling av henvendelser fra registrerte samt ført register over behandlingsaktiviteter i henhold til art. 30 i GDPR. |
| 10 | Håndtering av sikkerhetshendelser | Brannmur som oppdateres regelmessig; dokumentert prosess for påvisning og rapportering av brudd på personvernet i henhold til artikkel 33 og 34 i GDPR, inkludert umiddelbar informasjon til oppdragsgiveren. |
| 11 | Personvernvennlige standardinnstillinger | «Privacy by default»: ingen innsamling utover det nødvendige, forhåndsvisninger av bilder kun med vannmerke og tilgjengeliggjøring av originalene først etter gitt samtykke, samt enkel utøvelse av retten til tilbakekalling via brukergrensesnittet. |
| 12 | Kontroll av oppdrag (underleverandører) | Nøye utvelgelse; inngåelse av databehandleravtaler eller EUs standardkontraktsklausuler (modul 3) med alle underdatabehandlere, med passende garantier ved bruk av tredjeland; informasjon til oppdragsgiver før innleie eller utskifting; sikring av sletting av data etter oppdragets slutt. For tiden i bruk: Stripe (betalingsbehandling), Amazon Web Services (hosting/lagring), DeepL (oversettelse av annonsetekster). |
Vedlegg 2: Utpekte underleverandører
Underleverandører som er inkludert i henhold til punkt 6.1 i avtalen, og som du samtykker til at skal benyttes:
| Underleverandør (navn, adresse eller hovedkontor) |
Tjenesteomfang innenfor rammen av oppdragsbehandlingen |
|---|---|
| Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock Dublin, D02 H210, Irland («Stripe») |
Betalingsbehandling; ved salg: kjøperens betalings-, identitets- og transaksjonsdata (se også punkt 6 i Personvern) |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg («AWS») |
Web- og databasehosting Lagring og behandling av bildedata (originaler, varianter, arkiv, eksporter) inkl. EXIF-metadata. E-posttjenester (se også punkt 6 i Personvern) |
| DeepL SE Maarweg 165 50825 Köln («DeepL») |
Eventuelt oversettelse av gjenkjenningsmerknaden og eventuelt samlingsnavnet til språket i den permanente lenken (se også punkt 6 i Personvern) |
Versjon 2 · 26. juli 2026
Data Processing Agreement between CONTRIMA and the Photographer
Between
the data processor
Contrima GmbH, represented by its managing director Mr Mark Reinhardt, Enzianweg 29, 71384 Weinstadt
(hereinafter ‘CONTRIMA’)
and
the Data Controller
{photographer_name}
{photographer_address}
{photographer_email}
(hereinafter “you”)
Preamble
CONTRIMA provides services to you for the provision of an infrastructure for the transmission of photographs to the persons depicted therein, as well as for the management of image licence agreements (hereinafter: “Main Contract”). Part of the performance of the Main Contract involves the processing of personal data relating to the persons depicted, which you transmit to CONTRIMA. In order to comply with the requirements of the GDPR in such circumstances, you, as the data controller within the meaning of data protection law, enter into the following data processing agreement with CONTRIMA.
1. Subject matter/scope of the engagement
1.1 The cooperation between the parties in accordance with the Main Contract entails that CONTRIMA will have access to personal data provided by you (hereinafter ‘Processed Data’) and that it processes this data exclusively on your behalf and in accordance with your instructions within the meaning of Article 4(8) and Article 28 of the GDPR.
1.2 The following data subject categories may be affected by the processing:
| Data subjects (categories) | Type of data |
|---|---|
| Persons depicted |
|
| Legal guardians of the persons depicted |
|
| Contact persons at public authorities (e.g. tax authorities) |
|
1.3 The nature and scope of the processing of order data are determined by the purposes of the main contract and are limited to these. The duration of the processing corresponds to the term of the main contract.
1.4 CONTRIMA is prohibited from processing contract data in any manner that deviates from or goes beyond the provisions set out in Annex 1 and clause 1.2. This also applies to the use of anonymised data.
1.5 The processing of order data shall take place exclusively within the territory of the Federal Republic of Germany, in a Member State of the European Union or in another State party to the Agreement on the European Economic Area. Any transfer to a third country requires the prior written consent of the client and may only take place if the specific conditions set out in Articles 44 to 49 of the GDPR are met.
1.6 The provisions of this contract apply to all activities related to the main contract in which CONTRIMA and its employees or persons commissioned by CONTRIMA come into contact with personal data originating from you or collected on your behalf.
2. Your authority to issue instructions
2.1 CONTRIMA shall process the contract data only within the scope of the contract and exclusively on your behalf and in accordance with your instructions within the meaning of Article 28 of the GDPR (processing on behalf of a controller); this applies in particular to the transfer of personal data to a third country. You have the sole right to issue instructions regarding the nature, scope and method of the processing activities (hereinafter also referred to as the ‘right to issue instructions’). If CONTRIMA is obliged to carry out further processing under the law of the European Union or the Member States to which it is subject, CONTRIMA shall inform you of these legal requirements prior to processing.
2.2 Instructions to CONTRIMA must, as a general rule, be given by you in writing (email address: info@contrima.com).
2.3 If CONTRIMA considers that one of your instructions contravenes data protection regulations, CONTRIMA must inform you of this without delay. CONTRIMA is entitled to suspend the implementation of the instruction in question until it is confirmed or amended by the client.
3. CONTRIMA’s protective measures
3.1 CONTRIMA is obliged to comply with the statutory provisions on data protection and not to disclose the information obtained from you to third parties or to prevent them from accessing it. Data must be secured against unauthorised access, taking into account the state of the art.
3.2 Furthermore, CONTRIMA shall require all persons entrusted by CONTRIMA with the processing and performance of this contract (hereinafter referred to as ‘employees’) to undertake in writing to maintain confidentiality (Obligation of confidentiality, Article 28(3)(b) of the GDPR) and shall ensure compliance with this obligation with due care. CONTRIMA shall provide you with evidence of this upon request.
3.3 CONTRIMA shall organise its internal operations in such a way as to meet the specific requirements of data protection. CONTRIMA undertakes to implement all appropriate technical and organisational measures to ensure the adequate protection of the commissioned data in accordance with Article 32 of the GDPR, in particular the measures set out in Annex 1 to this contract, and to maintain these for the duration of the processing of the commissioned data.
3.4 CONTRIMA reserves the right to amend the technical and organisational measures put in place, whilst ensuring that the level of protection agreed in the contract is not compromised. CONTRIMA must inform you in writing without delay if there is reason to believe that the measures set out in Annex 1 are no longer sufficient, and will consult with you regarding further technical and organisational measures.
3.5 At your request, CONTRIMA shall demonstrate compliance with the technical and organisational measures set out in Annex 1 by providing appropriate evidence.
4. Obligations to provide information and support
4.1 In the event of disruptions, suspected data breaches or breaches of CONTRIMA’s contractual obligations, suspected security incidents or other irregularities in the processing of the contract data, whether by persons employed by CONTRIMA in the context of the contract or by third parties, CONTRIMA shall inform you without delay, but at the latest within 24 hours, in writing or by electronic means. The same applies to inspections of CONTRIMA by the data protection supervisory authority. Notifications pursuant to Section 4(1), first sentence, shall in each case contain at least the information specified in Article 33(3) of the GDPR.
4.2 In the event referred to in Section 4.1, CONTRIMA shall assist you, to the extent reasonably practicable, in fulfilling its relevant obligations to provide information, take remedial action and keep you informed. In particular, CONTRIMA shall immediately implement the necessary measures to secure the data and to mitigate any potential adverse consequences for the data subjects, and shall inform you accordingly.
4.3 CONTRIMA undertakes to provide you, upon your verbal or written request and within a reasonable period, with all information and evidence necessary to carry out an audit in accordance with § 7.1 of this contract. Furthermore, at your request, CONTRIMA will provide you with a comprehensive and up-to-date data protection and security policy for the processing of personal data, as well as a list of authorised access holders.
5. Other obligations of CONTRIMA
5.1 CONTRIMA is obliged to maintain a record of all categories of processing activities carried out on your behalf in accordance with Article 30(2) of the GDPR. This record must be made available to you upon request.
5.2 Should the data processed on your behalf at CONTRIMA be at risk due to attachment or seizure, insolvency or composition proceedings, or other events or measures taken by third parties, CONTRIMA must inform you of this without delay, provided this is not prohibited by a court or official order. In this context, CONTRIMA shall immediately inform all relevant authorities that decision-making authority over the data lies exclusively with the client as the ‘controller’ within the meaning of the GDPR.
6. Subcontracting
6.1 The contractually agreed services shall be performed with the involvement of the subcontractors listed in Annex 2. CONTRIMA is authorised, within the scope of its contractual obligations, to enter into subcontracting relationships with subcontractors (‘subcontracting relationship’). Before entering into any further subcontracting relationships, CONTRIMA shall inform you in writing or by electronic means in accordance with Article 28(2) of the GDPR, giving four weeks’ notice. You may object to the change within two weeks of receiving the aforementioned notification.
6.2 A subcontracting relationship within the meaning of these provisions does not exist if CONTRIMA commissions third parties to provide services that are to be regarded as purely ancillary services. These include, for example, postal or telecommunications services with no specific connection to the services CONTRIMA provides for you, as well as other measures to ensure the confidentiality, availability, integrity and resilience of the hardware and software of data processing systems.
7. Rights of inspection
7.1 You are entitled to verify, on a regular basis, compliance with the provisions of this contract, in particular the implementation of and compliance with the technical and organisational measures set out in clause 3.3 of this agreement. To this end, you may, for example, request information, ask to be provided with certifications or internal audit reports, or have CONTRIMA’s technical and organisational measures inspected yourself during normal business hours or by a competent third party, provided that such third party is not in competition with CONTRIMA.
7.2 You shall carry out inspections only to the extent necessary and shall take due account of CONTRIMA’s operational processes. The parties shall agree in good time on the timing and nature of the inspection.
7.3 You shall document the results of the audit and notify CONTRIMA thereof. In the event of errors or irregularities which you identify, in particular when auditing the results of orders, you shall inform CONTRIMA without delay.
8. Rights of data subjects
8.1 CONTRIMA shall, where possible, support you with appropriate technical and organisational measures in fulfilling your obligations under Articles 12 to 22 and Articles 32 to 36 of the GDPR. CONTRIMA shall provide you with the requested information regarding processing data without delay, but no later than within 7 working days, unless you already have the relevant information yourself.
8.2 If a data subject exercises their rights under Articles 16 to 18 of the GDPR, CONTRIMA is obliged, on your instructions, to rectify, erase or restrict the processing of the data without undue delay, and at the latest within 7 working days. CONTRIMA will provide you with written confirmation of the erasure, rectification or restriction of the data upon request.
8.3 If a data subject exercises rights – such as the right to access, rectification or erasure of their data – directly against CONTRIMA, CONTRIMA shall forward this request to you without delay and await your instructions. CONTRIMA shall not contact the data subject without specific instructions to do so.
9. Term and Termination
9.1 The term of this contract corresponds to the term of the main contract. In case of doubt, termination of the main contract shall also be deemed to be termination of this contract, and termination of this contract shall be deemed to be termination of the main contract.
9.2 You are entitled at any time to terminate this contract extraordinarily for good cause. Good cause shall be deemed to exist if CONTRIMA fails to fulfil its obligations under this contract, breaches provisions of the GDPR intentionally or through gross negligence, or is unable or unwilling to carry out an instruction. In the case of minor breaches – i.e. those that are neither intentional nor due to gross negligence – you shall first set CONTRIMA a reasonable period within which CONTRIMA may remedy the breach. Once this period has expired without result, you shall then be entitled to terminate this contract without notice.
10. Deletion and Return upon Termination of the Contract
10.1 Upon termination of the main contract or at any time upon request, CONTRIMA shall return to you all data provided to CONTRIMA or, upon request, delete it completely and irrevocably, provided that no statutory retention period applies. This also applies to copies of the order data held by CONTRIMA, such as data backups, but not to documentation serving as evidence of the proper and compliant processing of the order data. Such documentation must be retained by CONTRIMA for the duration of the statutory retention periods.
10.2 You have the right to verify, in an appropriate manner, that the data has been returned or deleted by CONTRIMA in full and in accordance with the contract.
10.3 CONTRIMA is obliged to treat as confidential any data that has come to its knowledge in connection with the main contract, even after the main contract has ended.
11. Liability
11.1 The liability of the parties is governed by Article 82 of the GDPR. This does not affect CONTRIMA’s liability towards you for any breach of obligations arising from this contract or the main contract.
11.2 Each party shall be exempt from liability if it proves that it is in no way responsible for the circumstance that caused the damage to a data subject. Section 11(2), first sentence, shall apply mutatis mutandis in the event of a fine being imposed on a party, whereby the indemnification shall apply to the extent that the other party bears a share of the responsibility for the infringement sanctioned by the fine.
12. Final Provisions
12.1 Any amendments or additions to this agreement must be made in writing in accordance with Article 28(9) of the GDPR. This also applies to any waiver of this formal requirement.
12.2 In the event of any doubt, the provisions of this Agreement shall take precedence over those of the main contract. Should any individual provisions of this Agreement prove to be wholly or partially invalid or unenforceable, or should they become invalid or unenforceable as a result of legislative changes following the conclusion of the Agreement, this shall not affect the validity of the remaining provisions. The invalid or unenforceable provision shall be replaced by a valid and enforceable provision that comes as close as possible to the meaning and purpose of the invalid provision.
12.3 This contract is governed by the law of the Federal Republic of Germany. CONTRIMA provides these terms and conditions in a variety of language versions for the sake of clarity. In the event of any discrepancies, the English version of this Data Processing Agreement shall prevail.
Appendix 1: Technical and organisational measures
1. Technical and Organisational Security Measures
CONTRIMA is obliged to implement appropriate technical and organisational measures to ensure that the processing of the commissioned data is carried out in accordance with the statutory requirements and that the rights of the data subject are adequately safeguarded.
2. Internal Organisation
CONTRIMA shall structure its internal organisation in such a way as to meet the specific requirements of data protection. In particular, measures must be taken that are appropriate to the nature of the data or categories of data to be protected.
3. Specification of individual measures
Specifically, the following measures are set out to implement the requirements of Article 32 of the GDPR:
| No. | Measure | Implementation of the measure |
|---|---|---|
| 1 | Access control | Productive data processing takes place exclusively in the AWS cloud; the physical data processing facilities there are secured by AWS (see AWS Terms of Service and certifications). Administration is carried out from an access-controlled workstation in lockable, non-publicly accessible rooms behind a firewall. There is no public access and no dedicated server rooms. |
| 2 | Access Control | System access is granted only via personal login with a username and password. Administrative and AWS accesses are protected by strong passwords and two-factor authentication. End devices are secured by operating system login, a firewall and disk encryption. |
| 3 | Access control | Role- and authorisation-based concept within the application, featuring centralised authorisation checks, server-side validation on all endpoints that modify data, protection against CSRF, and exclusively parameterised database access. At the infrastructure level, a minimum number of administrators (single-person operation) and the granting of rights in accordance with the principle of least privilege. |
| 4 | Segregation of duties | Multi-tenant logical separation of all data for each photographer via a unique owner assignment; separate production environment. Logical separation is sufficient. |
| 5 | Pseudonymisation / Data minimisation | Access for external parties via random, non-guessable tokens (permanent link). Only the data necessary for the respective purpose is collected (essentially the email address); identifying notes are deliberately kept brief and neutral. |
| 6 | Control of data disclosure | Transmission takes place exclusively via encrypted connections (TLS/HTTPS). Image and contract data are stored on encrypted object storage (S3 Server-Side Encryption). Data is transferred to subcontractors only to the extent necessary, on the basis of the Data Processing Agreement (DPA) or EU Standard Contractual Clauses. |
| 7 | Input control | Logging of audit-relevant operations at application level, in particular the acceptance of agreements and consents, including timestamps, IP addresses, device information and version hashes, as well as payment events. As the service is operated by a single person, every entry, modification and deletion can be traced back to a single individual. |
| 8 | Availability and Resilience | Database redundancy across multiple AWS zones or regions within the EU or the EEA; automated database snapshots as backups; code and server backups, as well as a pre-configured server image (AMI) for rapid recovery; additional local backup system; documented emergency and recovery plan. |
| 9 | Data Protection Management | The Managing Director of CONTRIMA GmbH is responsible. No data protection officer has been appointed, as there is no legal obligation to do so. Compliance with the information obligations under Article 13 of the GDPR during the activation process; an existing process for handling data subjects’ enquiries; and a register of processing activities maintained in accordance with Article 30 of the GDPR. |
| 10 | Incident Response Management | Firewall updated regularly; documented process for detecting and reporting data breaches in accordance with Articles 33 and 34 of the GDPR, including the immediate notification of the client. |
| 11 | Privacy-friendly default settings | Privacy by default: no data collected beyond what is necessary; image previews only with watermarks; original files provided only after authorisation has been granted; and the right to withdraw consent can be exercised easily via the user interface. |
| 12 | Contract management (sub-processors) | Careful selection; conclusion of data processing agreements or EU Standard Contractual Clauses (Module 3) with all sub-processors, with appropriate safeguards where third countries are involved; notification of the client prior to engaging or replacing sub-processors; ensuring data erasure upon termination of the contract. Currently used: Stripe (payment processing), Amazon Web Services (hosting/storage), DeepL (translation of advert copy). |
Appendix 2: Appointed Sub-processors
Sub-processors included under clause 6.1 of the agreement, to the use of whom you consent:
| Subcontractor (name, address or registered office) |
Scope of services within the framework of data processing |
|---|---|
| Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock , Dublin, D02 H210, Ireland (“Stripe”) |
Payment processing; in the event of a sale, the purchaser’s payment, identity and transaction data (see also clause 6 of Privacy Policy) |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg (“AWS”) |
Web and database hosting ; storage and processing of image data (originals, variants, archive, exports), including EXIF metadata. Email services (see also section 6 of Privacy Policy) |
| DeepL SE , Maarweg 165 , 50825 Cologne (“DeepL”) |
Where applicable, translation of the recognition note and, where applicable, the collection name into the language of the permanent link (see also 6. from Privacy Policy) |