Auftragsverarbeitungsvertrag (DPA)

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Händler oder sonstigen Geschäftskunden, der HomeVisioner nutzt („Händler“), und Ayyüce Turan, handelnd unter HomeVisioner, Petersstr. 59-61, 47809 Krefeld, Deutschland („HomeVisioner“), geschlossen.

Dieser AVV ist Bestandteil der HomeVisioner-AGB und jeder anderen Vereinbarung über die Nutzung von HomeVisioner. Er gilt, soweit HomeVisioner personenbezogene Daten im Auftrag des Händlers verarbeitet. Bei Widersprüchen zur Hauptvereinbarung überwiegt dieser AVV hinsichtlich der Verarbeitung personenbezogener Daten.

„Anwendbares Datenschutzrecht“ umfasst die DSGVO und nationale Datenschutzgesetze sowie, soweit anwendbar, die australische Privacy Act 1988 (Cth), die Australian Privacy Principles und sonstige auf die Verarbeitung anwendbare Datenschutzgesetze.

Für über einen Händlershop verarbeitete Daten ist der Händler Verantwortlicher und HomeVisioner Auftragsverarbeiter. HomeVisioner verarbeitet diese Daten nur auf dokumentierte Weisung aus der Vereinbarung, diesem AVV, der Dienstkonfiguration und rechtmäßigen Supportanfragen.

Händlerkonto-, Abrechnungs-, Sicherheits-, Betrugspräventions- und Compliance-Daten kann HomeVisioner als eigenständig Verantwortlicher nach der HomeVisioner-Datenschutzerklärung verarbeiten. Diese Verarbeitung unterliegt nicht den Auftragsverarbeiterpflichten dieses AVV.

HomeVisioner informiert den Händler über eine nach eigener Einschätzung rechtswidrige Weisung, soweit dies rechtlich zulässig ist.

Der Händler ist verantwortlich für:

• rechtmäßige, faire und transparente Weisungen und eine geeignete Rechtsgrundlage;
• die erforderlichen Datenschutzinformationen gegenüber seinen Kunden;
• eine gesonderte und rechtmäßige optionale Marketingeinwilligung;
• den Hinweis, keine Bilder mit Personen, Kindern oder sensiblen Informationen hochzuladen; und
• die datenschutzkonforme Verwendung generierter Visualisierungen.

HomeVisioner wird:

• Daten nur auf dokumentierte Weisung und für vereinbarte Zwecke verarbeiten;
• befugte Personen zur Vertraulichkeit verpflichten;
• die Maßnahmen aus Anlage 2 umsetzen und aufrechterhalten;
• bei Betroffenenrechten, Sicherheitsanforderungen, Folgenabschätzungen und Behördenkonsultationen angemessen unterstützen;
• den Händler nach Bekanntwerden einer Verletzung personenbezogener Daten unverzüglich informieren;
• angemessene Compliance-Nachweise bereitstellen; und
• Händlerdaten nach Abschnitt 10 löschen oder zurückgeben.

HomeVisioner unterstützt angemessen bei Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Übertragbarkeitsanfragen. Soweit keine direkte Antwort gesetzlich erforderlich ist, verweist HomeVisioner die anfragende Person an den Händler.

Die Shopify-Integration kann anonym genutzt werden. Zur Identifizierung eines Bildes kann ein Share-Link, eine Job-Kennung oder eine andere verlässliche technische Kennung erforderlich sein. Name oder E-Mail-Adresse allein identifizieren einen anonymen Upload möglicherweise nicht.

HomeVisioner beschränkt den Zugriff auf befugte Personen und Dienstleister, die ihn für vereinbarte Zwecke benötigen, und wendet die Maßnahmen aus Anlage 2 an.

HomeVisioner verwendet Händlerdaten nicht zum Trainieren oder Verbessern von KI-Modellen und gestattet dies auch seinen Unterauftragsverarbeitern, einschließlich Google Cloud und Google-KI-Diensten, nicht.

Der Händler genehmigt allgemein die Unterauftragsverarbeiter aus Anlage 3. HomeVisioner verpflichtet sie schriftlich zu einem angemessenen Datenschutzniveau und bleibt für seine Auftragsverarbeiterpflichten verantwortlich.

HomeVisioner kann Anlage 3 aktualisieren. Soweit gesetzlich erforderlich, wird mit angemessenem Vorlauf über einen wesentlichen neuen Unterauftragsverarbeiter im Dienst, per E-Mail oder über die veröffentlichte Liste informiert. Begründete Einwände können an [email protected] gesendet werden.

Bei Übermittlungen außerhalb einer Rechtsordnung mit Übermittlungsvorgaben verwenden HomeVisioner und seine Unterauftragsverarbeiter einen zulässigen Mechanismus, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln mit ergänzenden Schutzmaßnahmen.

Werden australische personenbezogene Daten außerhalb Australiens verarbeitet, wendet HomeVisioner vertragliche, technische und organisatorische Schutzmaßnahmen an und unterstützt den Händler angemessen bei anwendbaren australischen Datenschutzpflichten.

Auf angemessene schriftliche Anfrage stellt HomeVisioner erforderliche Compliance-Informationen bereit. Reichen diese nicht aus, kann der Händler eine auf die relevante Verarbeitung beschränkte Prüfung verlangen. Es gelten angemessene Vorgaben zu Vorlauf, Vertraulichkeit, Sicherheit, Verhältnismäßigkeit und Kosten. Prüfungen dürfen keine Daten anderer Händler offenlegen oder die Servicesicherheit gefährden.

HomeVisioner löscht Bilddateien nach den Fristen der Datenschutzerklärung. Nach Ende des Dienstes oder auf wirksame Weisung löscht oder übergibt HomeVisioner Händlerdaten nach anwendbarem Datenschutzrecht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Geschützte Sicherungen werden nach dem geltenden Sicherungszyklus gelöscht.

Dieser AVV gilt, solange HomeVisioner Daten im Auftrag des Händlers verarbeitet. Rechtswahl- und Streitregelungen der Hauptvereinbarung gelten, ohne zwingende Datenschutzrechte einzuschränken.

Datenschutz- und AVV-Anfragen können an [email protected] gesendet werden.

• Gegenstand: HomeVisioner-Visualisierungsdienst für den Händler.
• Dauer: Dienstlaufzeit zuzüglich anwendbarer Speicher- und Löschfristen.
• Art: Erhebung, Übermittlung, Validierung, Speicherung, Abruf, KI-Verarbeitung, Generierung, Anzeige, Support, Sicherheitsüberwachung und Löschung.
• Zwecke: Produktvisualisierungen; Händlerfunktionen; optionale Lead-Erfassung; Analysen und Bestellzuordnung, soweit aktiviert; Support; Sicherheit und gesetzliche Pflichten.
• Betroffene: Händlerpersonal, Shopbesucher, Käufer, Kunden und Supportkontakte.
• Daten: Raum- und Produktbilder; Produktinformationen; generierte Visualisierungen; optionale E-Mail und Kundenkennung; Shop- und Kontodaten; Ereignis- und Bestellzuordnungsdaten; IP-Adresse, Browser, Gerät, Sprache, Zeitstempel, Authentifizierungs-, Sicherheits- und Fehlerprotokolle.
• Sensible Daten: Nicht gezielt angefordert. Keine Bilder mit Personen, Kindern oder sensiblen Informationen.
• Bildspeicherung: Automatische Löschung innerhalb der Datenschutzerklärungsfrist, derzeit höchstens 30 Tage.

• Private Objektspeicherung statt öffentlicher Bild-Buckets.
• Verschlüsselung bei Übertragung und anbieterseitig im Ruhezustand.
• Zeitlich begrenzte signierte URLs für autorisierten Bildzugriff.
• Serverseitige Zugangsdaten und authentifizierter Zugriff auf KI-Dienste.
• Rollenbasierte Zugriffe und Trennung zwischen Händler-Mandanten.
• Galeriebeschränkung auf generierte Ergebnisse, ohne ursprüngliche Raumfotos.
• Automatisierte Bildspeicher- und Löschkontrollen.
• Automatisierte Upload-Kontrollen zur Ablehnung bei erkanntem menschlichem Gesicht.
• Protokollierung, Überwachung, Missbrauchsprävention und Incident Response.
• Datenminimierung, Vertraulichkeit, Zugriffsprüfung und sichere Softwareänderungen.
• Dienstleisterprüfung und vertragliche Datenschutzgarantien.

Die automatisierte Gesichtserkennung ist eine präventive Sicherheitskontrolle. Sie dient nicht der Identifizierung, Gesichtswiedererkennung oder Erstellung biometrischer Merkmale und kann nicht jedes Gesicht oder identifizierende Detail erkennen.

• Google Cloud: KI-Verarbeitung, Anwendungs-Compute, Infrastruktur, Sicherheit und Betriebsprotokollierung. Die primäre Anwendungsinfrastruktur wird in EU-Regionen betrieben; weitere Verarbeitungsorte unterliegen den Google-Cloud-Bedingungen und Übermittlungsgarantien.
• Supabase: Datenbank, Authentifizierung und private Objektspeicherung. Das primäre Projekt wird in einer EU-Region betrieben.
• Resend: Transaktionale und servicebezogene E-Mail-Zustellung. Raumfotos sind nicht Bestandteil regulärer Händler-E-Mails.
• Crisp: Händlersupport. Raumfotos werden dort nur verarbeitet, wenn Nutzer oder Händler sie selbst in einer Supportunterhaltung bereitstellen.
• Cloudflare: Netzwerksicherheit, Schutz des Datenverkehrs und Inhaltsbereitstellung.
• Stripe: Zahlungen für direkte HomeVisioner-Dienste, soweit genutzt. Die Shopify-App-Abrechnung erfolgt über Shopify.

Shopify stellt Plattform und App-Umgebung im eigenen Vertragsverhältnis mit dem Händler bereit. Shopifys eigenständige Verarbeitung richtet sich nach der Vereinbarung mit dem Händler.

Stand: 25. August 2026.