Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO)

Version 1.7

Zwischen
[Ihre Hundeschule – wird bei Vertragsschluss ergänzt]
[Anschrift – wird bei Vertragsschluss ergänzt]
– nachfolgend „Verantwortlicher“ genannt –

und
Joos Soft Solutions
Listweg 4, 72581 Dettingen an der Erms
– nachfolgend „Auftragsverarbeiter“ genannt –

1. Gegenstand und Dauer des Vertrages

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Dienstleistungen im Bereich Software-as-a-Service (SaaS). Gegenstand dieses Vertrages ist die Bereitstellung einer App zur Verwaltung von Hundeschulen, Kunden, Hunden, Terminen, Zahlungen und der In-App-Kommunikation (Chat) sowie der vom Verantwortlichen aktivierten Module (insbesondere Shop, E-Mail-Marketing/Newsletter, Link-Seiten, Hundeschulen-Verzeichnis und Akademie für Online-Kurse) gemäß dem geschlossenen Hauptvertrag (AGB des Auftragsverarbeiters für Hundeschulen).

(2) Die Dauer dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages einschließlich des Übergangszeitraums nach § 6a der AGB. Bei Widersprüchen zwischen dem Hauptvertrag und diesem Vertrag geht für die Verarbeitung personenbezogener Daten im Auftrag dieser Vertrag vor.

2. Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Die Verarbeitung umfasst das Erheben, Speichern, Auslesen, Abfragen, Verwenden, Übermitteln und Löschen von Daten durch die vom Auftragsverarbeiter bereitgestellte Cloud-Infrastruktur.

(2) Zweck der Verarbeitung: Bereitstellung der Software-Funktionalitäten (Terminbuchung, Kundenverwaltung, Zahlungsabwicklung, Rechnungsstellung, Chat-Kommunikation, Push-Benachrichtigungen, Versand von Newslettern und automatischen Nachrichten des Verantwortlichen, Link-Seiten, Bereitstellung und Verkauf von Online-Kursen) für die Kunden und Trainer des Verantwortlichen.

(3) Nicht Gegenstand dieses Vertrages ist die Verarbeitung, für die der Auftragsverarbeiter selbst Verantwortlicher ist, insbesondere die Verwaltung des Vertragsverhältnisses mit dem Verantwortlichen, die Konten der Lernenden in der Akademie (Registrierung, Anmeldung, Sicherheit), der eigene Newsletter des Auftragsverarbeiters und die Bearbeitung von Meldungen nach dem Digital Services Act. Hierüber informiert die Datenschutzerklärung des Auftragsverarbeiters.

(4) Regelbasierte Funktionen, die der Verantwortliche selbst konfiguriert – etwa die automatische Freischaltung von Akademie-Kursen anhand von Level, Abo oder Kursteilnahme seiner Kunden, Erinnerungen, Wartelisten oder die Veröffentlichung seines Verzeichniseintrags –, führt der Auftragsverarbeiter ausschließlich als Weisung des Verantwortlichen und nur innerhalb von dessen Mandanten aus. Eine Zusammenführung mit Daten anderer Hundeschulen findet nicht statt; die Funktionen treffen keine Entscheidungen mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO.

(5) Die gesetzlich vorgeschriebenen Funktionen für Verbraucherverträge des Verantwortlichen (Widerrufsfunktion nach § 356a BGB, Kündigungsschaltfläche nach § 312k BGB) verarbeiten die dafür erforderlichen Angaben (Name, Vertragsbezeichnung, E-Mail-Adresse, Zeitpunkt des Zugangs) auf Weisung des Verantwortlichen; der Auftragsverarbeiter versendet die gesetzlich vorgesehenen Eingangsbestätigungen im Namen des Verantwortlichen.

3. Art der personenbezogenen Daten und Kategorien Betroffener

(1) Art der Daten:

• Stammdaten (Vorname, Nachname, E-Mail-Adresse, Telefonnummer, verschlüsselte Passwörter/Auth-IDs)
• Hundedaten (Name, Rasse, Geburtsdatum, Chipnummer, Trainingslevel, Bilder)
• Vertrags- und Buchungsdaten (gebuchte Kurse, Termine, Anwesenheiten, Trainingsstände/Achievements)
• Kommunikationsdaten (Inhalte von Chat-Nachrichten zwischen Trainern und Kunden)
• Finanzdaten (Transaktionshistorie, Guthaben, Rechnungsnummern, Stripe-IDs)
• Technische Daten (Geräte-IDs/Push-Tokens, IP-Adressen für System-Logs)
• Marketingdaten (Einwilligungen in Newsletter und Werbung mit Zeitpunkt, Wortlaut und IP-Adresse, Abmeldungen, Versandstatus; keine Öffnungs- oder Klickverfolgung einzelner Empfänger)
• Akademie-Daten (Bestellungen, Rechnungsadressen, Zugänge, Lernfortschritt und Wiedergabeposition)
• Dokumente und Uploads (z. B. Impfnachweise, unterschriebene Dokumente, Hausaufgaben-Videos und -Bilder)
• Trainingsberichte (Texte, Fotos und Videos aus dem Training, Übungsbewertungen, Hausaufgaben) und Check-in-Daten (Zeitpunkt und erfassende Person beim QR-Check-in)
• Beschäftigtendaten des Verantwortlichen (Zugangsdaten und Berechtigungen, erfasste Arbeitszeiten, Fahrten, Kilometer und Kilometersätze, Monatsabschlüsse)

(2) Kategorien betroffener Personen:

• Kunden des Verantwortlichen (Hundehalter)
• Mitarbeiter/Trainer des Verantwortlichen
• Interessenten und Newsletter-Abonnenten des Verantwortlichen
• Käufer und Teilnehmende von Online-Kursen des Verantwortlichen
• Personen, die auf vom Verantwortlichen hochgeladenen Fotos oder Videos abgebildet sind (z. B. Begleitpersonen im Training, auch Minderjährige)

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Verantwortliche stellt sicher, dass solche Daten nicht in Freitextfelder, Chats oder Dokumente eingegeben werden, sofern dies nicht zwingend erforderlich ist.

4. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den dokumentierten Weisungen des Verantwortlichen.

(2) Der Auftragsverarbeiter bestätigt, dass er die Vorgaben der Art. 28 bis 33 DSGVO einhält. Er gewährleistet insbesondere die Umsetzung angemessener technischer und organisatorischer Maßnahmen (TOMs) gemäß Art. 32 DSGVO (siehe Anlage 1).

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (z. B. Auskunft, Berichtigung, Löschung). (Hinweis: Durch die App-Funktionalität ist die Löschung/Bearbeitung von Nutzerdaten direkt durch den Verantwortlichen oder Betroffenen gewährleistet).

(4) Prüfrechte des Verantwortlichen (Art. 28 Abs. 3 lit. h DSGVO): Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen. Er ermöglicht dem Verantwortlichen oder einem von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer Überprüfungen (Audits) und trägt zu diesen bei. Der Nachweis kann vorrangig durch aktuelle Auskünfte, Dokumentation der technisch-organisatorischen Maßnahmen und Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate, Prüfberichte) erbracht werden. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung (in der Regel 14 Tage) während der üblichen Geschäftszeiten und ohne Störung des Betriebs durchzuführen; bei Rechenzentren von Unterauftragsverarbeitern treten deren Nachweise an die Stelle einer eigenen Kontrolle.

(5) Meldepflichten bei Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich (in der Regel binnen 24 Stunden), spätestens jedoch nach 48 Stunden, jegliche Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses Vertrages verarbeitet werden. Die Meldung muss alle für die Meldepflicht der Hundeschule (gem. Art. 33 DSGVO) relevanten Informationen enthalten.

(6) Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO): Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass diese Personen personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten.

(7) Unterstützung nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Datenschutzverletzungen, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation der Aufsichtsbehörde.

(8) Weisungen (Art. 28 Abs. 3 lit. a und Abs. 3 UAbs. 2 DSGVO): Weisungen erteilt der Verantwortliche grundsätzlich durch die Nutzung und Konfiguration der Software (z. B. Aktivieren eines Moduls, Löschen von Daten) sowie in Textform. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen. Ist der Auftragsverarbeiter gesetzlich zu einer Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet.

(9) Übermittlungen in Drittländer erfolgen nur auf dokumentierte Weisung des Verantwortlichen – die mit diesem Vertrag für die in Ziffer 5 genannten Unterauftragsverarbeiter erteilt wird – und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder EU-Standardvertragsklauseln). Stützt sich eine Übermittlung auf Standardvertragsklauseln, hat der Auftragsverarbeiter eine Transfer-Folgenabschätzung durchgeführt und stellt sie dem Verantwortlichen auf Anfrage zur Verfügung. Entfällt eine Übermittlungsgrundlage (etwa durch eine Entscheidung des Europäischen Gerichtshofs zum Data Privacy Framework), stellt der Auftragsverarbeiter unverzüglich auf eine andere zulässige Grundlage oder einen Dienstleister in der EU um und informiert den Verantwortlichen.

(10) Daten, die der Verantwortliche über eine von ihm aktivierte Schnittstelle an Dritte übermittelt (z. B. Buchhaltungsprogramme wie sevDesk oder lexoffice, eigene Webhooks oder die API), werden auf seine Weisung an diese von ihm gewählten Empfänger übermittelt; diese sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Für die Rechtsgrundlage und gegebenenfalls erforderliche Verträge mit diesen Empfängern ist der Verantwortliche verantwortlich.

(11) Ansprechpartner des Auftragsverarbeiters für Datenschutzfragen und Meldungen nach Absatz 5 ist Mika Joos, E-Mail: info@pfotencard.de. Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht beim Auftragsverarbeiter derzeit nicht.

5. Einschaltung von Unterauftragsverarbeitern (Sub-Dienstleister)

(1) Der Verantwortliche stimmt der Einschaltung der nachfolgend aufgeführten Unterauftragsverarbeiter zu. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser Vertrag (Art. 28 Abs. 4 DSGVO), und haftet gegenüber dem Verantwortlichen für deren Einhaltung.

Aktuell eingesetzte Unterauftragsverarbeiter:

• Supabase (Backend as a Service, Datenbank-Hosting, Authentifizierung) – Serverstandort: Dublin, Irland (AWS EU).
• Vercel Inc. (Frontend/App-Hosting, API-Server) – Serverstandorte in der EU: Frankfurt am Main, Deutschland (Websites und Apps) und Dublin, Irland (API-Server); soweit Vercel Inc. (USA) im Rahmen von Support oder Betrieb auf Daten zugreift, abgesichert durch das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln.
• Resend Inc. (E-Mail-Versand für System-Mails) – Datenverarbeitung ggf. in Drittländern (USA), abgesichert durch den Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework) sowie durch EU-Standardvertragsklauseln.
• Stripe Payments Europe, Ltd. (Zahlungsabwicklung) – Datenverarbeitung ggf. in Drittländern (USA), abgesichert durch den Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework) sowie durch EU-Standardvertragsklauseln. Hinweis: Für die Zahlungsabwicklung selbst, die Betrugsprävention und die gesetzlich vorgeschriebene Identitätsprüfung (KYC) handelt Stripe nach seinen eigenen Bedingungen als eigenständig Verantwortlicher gegenüber dem Verantwortlichen (Stripe-Connect-Vertrag); als Unterauftragsverarbeiter wird Stripe nur insoweit tätig, als der Auftragsverarbeiter Zahlungsdaten über die Stripe-Schnittstelle abruft und anzeigt.
• Browserless (Erzeugung von PDF-Dokumenten wie Urkunden, Zertifikaten und Rechtstext-Anhängen über einen externen Browser-Dienst; Anbieter mit Sitz in den USA) – kurzzeitige Verarbeitung der im Dokument enthaltenen Angaben (z. B. Name des Kunden und des Hundes) ohne dauerhafte Speicherung; Übermittlung auf Grundlage von EU-Standardvertragsklauseln.
• OpenStreetMap Foundation (Nominatim), Cambridge, Vereinigtes Königreich (Adressvervollständigung bei der Adresseingabe; Übermittlung von Sucheingabe und IP-Adresse) – Vereinigtes Königreich mit Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
• Functional Software, Inc. (Sentry) (Fehlerüberwachung der App; technische Fehlerberichte ohne Session-Aufzeichnung; Serverstandort EU) – ggf. Datenübertragung in Drittländer (USA), abgesichert durch EU-Standardvertragsklauseln bzw. den Angemessenheitsbeschluss (EU-US Data Privacy Framework).
• Google Ireland Limited, Dublin, Irland (optionale Anmeldung/Registrierung „Mit Google anmelden“ über Supabase Auth; Übermittlung von E-Mail-Adresse, Name und Google-Konto-ID nur, wenn der Nutzer diese Anmeldeart wählt) – Datenübertragung in die USA auf Basis des EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln.
• BunnyWay d.o.o. (bunny.net), Ljubljana, Slowenien (Speicherung, Umwandlung und Auslieferung der Videos der Akademie sowie der Hilfevideos zur Bedienung der Software über ein Auslieferungsnetzwerk; Hilfevideos werden erst abgerufen, wenn eine Person sie abspielt; dabei Verarbeitung von IP-Adresse, Zeitpunkt und Gerätedaten der abrufenden Personen) – Sitz in der EU; die Auslieferung kann über Server des Auslieferungsnetzwerks außerhalb der EU erfolgen, abgesichert durch EU-Standardvertragsklauseln bzw. Angemessenheitsbeschlüsse.

Web-Push-Dienste: Für Push-Benachrichtigungen übergibt die Software die Benachrichtigung an den Push-Dienst, den der Browser bzw. das Betriebssystem des Endgeräts vorgibt (z. B. Google Firebase Cloud Messaging, Mozilla Push Service, Apple Push Notification Service, Microsoft Windows Push Notification Service). Der Inhalt ist nach dem Web-Push-Standard Ende-zu-Ende-verschlüsselt; der Push-Dienst erhält nur die Geräteadresse und Metadaten der Zustellung. Die Dienste können Daten in die USA übermitteln (soweit zertifiziert: EU-US Data Privacy Framework). Push-Benachrichtigungen werden nur an Nutzer gesendet, die sie auf ihrem Gerät aktiviert haben.

(2) Wechselt der Auftragsverarbeiter einen Unterauftragsverarbeiter oder fügt einen neuen hinzu, informiert er den Verantwortlichen mindestens 30 Tage vorher in Textform (z. B. per E-Mail oder im Betreiber-Portal); bei Gefahr im Verzug (z. B. Ausfall eines Dienstleisters) kann die Frist kürzer sein. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen; eine Pflicht des Auftragsverarbeiters, auf den Unterauftragsverarbeiter zu verzichten, besteht nicht. Wartungs- und Prüfleistungen sowie reine Nebenleistungen (z. B. Telekommunikation) sind keine Unterauftragsverhältnisse.

6. Rückgabe und Löschung der Daten

(1) Nach Abschluss der vertraglichen Arbeiten oder nach Kündigung des Hauptvertrages hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten personenbezogenen Daten, Dokumente und Verarbeitungs- und Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, nach Wahl des Verantwortlichen datenschutzgerecht zu löschen oder zurückzugeben, sofern keine gesetzlichen Aufbewahrungspflichten bestehen (Art. 28 Abs. 3 lit. g DSGVO).

(2) Die Rückgabe erfolgt über die Exportfunktion (ZIP-Archiv mit JSON- und CSV-Dateien) während der Vertragslaufzeit und des Übergangszeitraums von 30 Tagen nach Vertragsende (§ 6a AGB). Nach Ablauf des Übergangszeitraums löscht der Auftragsverarbeiter die Daten aus den Produktivsystemen; in Datensicherungen verbleibende Kopien werden im Rahmen des regulären Sicherungszyklus überschrieben und bis dahin nicht weiter verarbeitet. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

7. Interne Nutzungsstatistiken und Produktverbesserung

(1) Der Auftragsverarbeiter ist berechtigt, aus den im Rahmen dieses Vertrages verarbeiteten Daten aggregierte und anonymisierte Nutzungsstatistiken zu erstellen und intern auszuwerten (z. B. Anzahl genutzter Module, hochgeladener Hausaufgaben, versendeter Chat-Nachrichten, gebuchter Termine, Shop-Bestellungen, ausgestellter Zertifikate, konfigurierter Level-Systeme und Branding-Einstellungen), um die Software weiterzuentwickeln, Fehler zu analysieren, den Support zu verbessern und den sicheren Betrieb der Plattform zu gewährleisten.

(2) Diese Auswertungen erfolgen ausschließlich in aggregierter Form (Zahlen/Kennzahlen je Hundeschule bzw. plattformweit). Ein Rückschluss auf einzelne betroffene Personen (insbesondere Kunden/Hundehalter des Verantwortlichen) ist dabei ausgeschlossen; Namen, Nachrichteninhalte, Kontaktdaten oder sonstige personenbezogene Einzeldaten werden für diesen Zweck weder ausgewertet noch dargestellt oder exportiert.

(3) Da es sich um anonymisierte, aggregierte Informationen ohne Personenbezug handelt, dient diese Auswertung der Erfüllung der eigenen vertraglichen Pflicht des Auftragsverarbeiters zur Bereitstellung, Wartung und Weiterentwicklung der Software gemäß Art. 28 Abs. 3 S. 2 DSGVO und stellt keine Verarbeitung entgegen den Weisungen des Verantwortlichen dar. Ein Zugriff auf Einzeldaten betroffener Personen erfolgt ausschließlich im Rahmen von Ziffer 8.

8. Support- und Fernzugriff auf Daten des Verantwortlichen

(1) Im Rahmen von Support, Fehleranalyse und Missbrauchsbearbeitung kann es erforderlich sein, dass Mitarbeitende des Auftragsverarbeiters auf Einzeldaten (z. B. Nutzerkonten, Buchungen, Bestellungen) des Verantwortlichen zugreifen oder sich in die Mandantenumgebung des Verantwortlichen einloggen (Impersonation des Administrator-Kontos). Der Verantwortliche erteilt hierfür die Weisung, dass ein solcher Zugriff nur erfolgen darf (a) auf Anfrage des Verantwortlichen im konkreten Supportfall, (b) zur Bearbeitung einer Missbrauchsmeldung nach den Nutzungsbedingungen bzw. dem Digital Services Act oder (c) soweit dies zur Abwehr einer konkreten Gefahr für die Sicherheit der Plattform erforderlich ist. Der Auftragsverarbeiter wählt dabei die mildeste ausreichende Form: Vorrangig erfolgt der Zugriff über eine Nur-Lese-Ansicht, in der Namen, Kontaktdaten und Anschriften von Kunden durch Kennzeichen ersetzt (pseudonymisiert) und Nachrichteninhalte ausgeblendet sind; der Zugang ist auf 60 Minuten begrenzt. Ein Einloggen in das Administrator-Konto erfolgt nur, wenn der Supportfall anders nicht gelöst werden kann.

(2) Zur Betreuung des Verantwortlichen, zur Fehleranalyse und zum sicheren Betrieb kann der Auftragsverarbeiter die Einstellungen und Inhalte des Verantwortlichen ohne Personenbezug in einer Nur-Lese-Ansicht einsehen (insbesondere Design, Texte, Leistungen und Preise, Level-System, aktivierte Module, Rechtstexte, Termine ohne Angaben zu Teilnehmenden und Trainern sowie Anzahlen, jedoch ohne Geldbeträge). Personenbezogene Angaben zu Kunden, Mitarbeitenden und Trainern werden dabei vor der Anzeige auf dem Server technisch entfernt, insbesondere Namen, Kontaktdaten und Anschriften aller Nutzerkonten, Zuordnungen von Teilnehmenden und Trainern, Nachrichten sowie einzelne Kunden- und Mitarbeiterdatensätze. Sollten in frei formulierten Texten des Verantwortlichen vereinzelt Angaben mit Personenbezug verbleiben, die nicht als solche erkennbar sind, werden diese weder ausgewertet noch gespeichert oder weitergegeben. Diese Ansicht ist kein Zugriff auf Einzeldaten betroffener Personen im Sinne von Absatz 1 und wird nicht einzeln protokolliert.

(3) Jeder Zugriff nach Absatz 1 wird vom Auftragsverarbeiter mit Zeitpunkt, handelnder Person, Anlass, Referenz (bei Anfragen des Verantwortlichen) und Begründung im Audit-Protokoll des jeweiligen Mandanten festgehalten. Der Verantwortliche kann die Protokolle jederzeit im Betreiber-Portal unter „Abo & Zahlungen“ › „Auftragsverarbeitung (AVV)“ › „Support-Zugriffe“ einsehen bzw. beim Auftragsverarbeiter anfordern. Die Protokolle werden für die Dauer des Hauptvertrages aufbewahrt.

(4) Darüber hinausgehende Zugriffe auf Einzeldaten betroffener Personen – insbesondere mandantenübergreifende Auswertungen mit Personenbezug – finden nicht statt.

9. Haftung und Schlussbestimmungen

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregelungen des Hauptvertrages, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

(2) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Der Auftragsverarbeiter weist jede Fassung mit einer Versionsnummer aus; eine neue Fassung wird erst mit Bestätigung durch den Verantwortlichen wirksam, bis dahin gilt die zuletzt bestätigte Fassung fort.

(3) Sollte eine Bestimmung dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Technisch-organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter hat folgende Maßnahmen zur Datensicherheit implementiert gemäß Art. 32 DSGVO:

1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Transportverschlüsselung: Sämtliche Datenübertragungen zwischen der App (Frontend) und den Servern (Backend) erfolgen zwingend TLS/SSL-verschlüsselt (HTTPS / WSS).
• Verschlüsselung at Rest: Die Datenbanken auf den Supabase-Servern (AWS) sind auf Speicherebene (Festplattenverschlüsselung) standardmäßig verschlüsselt. Passwörter werden niemals im Klartext, sondern durch starke Hashing-Algorithmen gesichert verarbeitet.

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Die Server werden in Rechenzentren der Hosting-Anbieter in der EU (Dublin, Irland, und Frankfurt am Main) betrieben, deren Zutrittskontrollen durch die Sicherheitsnachweise der Anbieter (z. B. ISO 27001/SOC 2) belegt sind.
• Zugangskontrolle: Administratoren des Auftragsverarbeiters nutzen starke Passwörter und Zwei-Faktor-Authentifizierung (2FA) für den Zugriff auf die Hosting-Dashboards (Supabase/Vercel). Der Verwaltungsbereich des Auftragsverarbeiters (Super-Admin) ist ebenfalls nur mit Passwort und Zwei-Faktor-Anmeldung über eine Authenticator-App erreichbar; die Sitzung endet spätestens nach 12 Stunden. Für die Konten des Verantwortlichen und seiner Mitarbeitenden kann der Verantwortliche ebenfalls eine Zwei-Faktor-Anmeldung über eine Authenticator-App aktivieren; ist sie aktiv, akzeptiert der Server Anfragen dieses Kontos nur nach bestätigtem Code.
• Support-Zugriffe (Ziffer 8): Die Support-Ansichten des Auftragsverarbeiters sind ausschließlich lesend und zeitlich auf 60 Minuten begrenzt. Die Betreuungsansicht entfernt personenbezogene Angaben vor der Anzeige auf dem Server; die Datenansicht ist nur nach Angabe von Anlass und Begründung erreichbar, pseudonymisiert Kunden, blendet Nachrichteninhalte, Anhänge und Dateien aus und wird im Audit-Protokoll des Mandanten festgehalten. Zugang haben nur ausdrücklich berechtigte Personen des Auftragsverarbeiters.
• Zugriffskontrolle (Mandantentrennung): Die Datenbankarchitektur verwendet strikte Row Level Security (RLS) Policies (Sicherheitsregeln auf Zeilenebene). Es ist technisch durch Datenbankregeln (Verifizierung der tenant_id) ausgeschlossen, dass ein Nutzer oder Trainer des Verantwortlichen auf Daten eines anderen Mandanten (einer anderen Hundeschule) zugreifen kann.

3. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Eingabekontrolle: Es wird durch relationale Datenbank-Strukturen und Logging-Tabellen (z. B. transactions) lückenlos nachvollziehbar gemacht, wann und durch wen Daten (z. B. Zahlungen, Buchungen) eingegeben oder verändert wurden.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Durch die Nutzung moderner Cloud-Architekturen (Vercel, Supabase) ist eine hohe Verfügbarkeit und Skalierbarkeit gewährleistet.
• Regelmäßige automatisierte Backups der Datenbank durch den Hosting-Provider schützen vor versehentlichem Datenverlust.
• Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO): Daten können aus den Sicherungen des Hosting-Providers wiederhergestellt werden; Anwendungscode ist versioniert und kann auf einen früheren Stand zurückgesetzt werden.
• Missbrauchsschutz: Begrenzung der Anfragen je Zeitraum (Rate-Limits) an öffentlichen Schnittstellen und Formularen, Tageslimits beim Newsletter-Versand.

5. Trennungs- und Auftragskontrolle

• Trennungskontrolle: Daten verschiedener Hundeschulen werden logisch über die Mandantenkennung (tenant_id) und Row Level Security getrennt; Test- und Produktivsysteme sind getrennt.
• Auftragskontrolle: Unterauftragsverarbeiter werden nach ihren Datenschutz- und Sicherheitsnachweisen ausgewählt und vertraglich nach Art. 28 Abs. 4 DSGVO verpflichtet; Zugriffe des Supports erfolgen nur nach Ziffer 8 und werden protokolliert.
• Datensparsamkeit: Keine Öffnungs- oder Klickverfolgung einzelner Newsletter-Empfänger; Link-Seiten zählen Aufrufe und Klicks nur insgesamt; Zahlungsdaten (Kartennummern) werden ausschließlich von Stripe verarbeitet.

6. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Die Maßnahmen werden bei wesentlichen Änderungen der Software sowie mindestens jährlich überprüft und bei Bedarf angepasst; Sicherheitsupdates von Abhängigkeiten werden laufend eingespielt.