Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Parteien und Vertragsschluss

1. Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen dem Team-Inhaber im Sinne von Ziffer 5 der AGB („Verantwortlicher") und Alec Winter, Blumenau 89, 22089 Hamburg, Deutschland („Auftragsverarbeiter").
2. Der AVV ist Bestandteil des Vertrags über den Team-Tarif und kommt mit der Buchung des Team-Tarifs zustande. Er wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO).
3. Bei Widersprüchen geht dieser AVV den AGB in Fragen des Datenschutzes vor.

2. Gegenstand und Dauer

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um den Team-Tarif bereitzustellen: Erstellung, Speicherung und Veröffentlichung digitaler Visitenkarten über Teammitglieder des Verantwortlichen, eine Firmenseite und Team-Statistiken.
2. Der AVV gilt, solange der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen im Rahmen des Team-Tarifs verarbeitet, und endet mit der Löschung dieser Daten.

3. Art und Zweck der Verarbeitung

Speicherung, Organisation, Veröffentlichung im Internet unter den vom Verantwortlichen gewählten Adressen, Zusammenfassung von Besuchsstatistiken und Löschung personenbezogener Daten, jeweils ausschließlich zur Bereitstellung des Team-Tarifs.

4. Art der personenbezogenen Daten

• Kontaktdaten (Name, Titel, Telefonnummer, E-Mail-Adresse, Website)
• Adressdaten, sofern der Verantwortliche sie einer Karte hinzufügt
• Weitere Angaben, die der Verantwortliche einer Karte hinzufügt (zum Beispiel Sprachen, Biografie, Social-Media-Links)
• Profilbilder und Kartenbilder
• Zugangscodes privater Karten
• Besuchsstatistiken der Karten (Land, Gerätetyp, Browsertyp, Zeitpunkt des Aufrufs; keine IP-Adressen)

5. Kategorien betroffener Personen

• Mitarbeitende, Kolleginnen und Kollegen, Mitglieder und andere Personen, die der Verantwortliche auf Karten darstellt
• Besucher dieser Karten und der Firmenseite (nur über die Besuchsstatistiken)

6. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen dies vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht verbietet.
2. Der Verantwortliche erteilt Weisungen in erster Linie durch die Nutzung der Funktionen der Plattform (zum Beispiel Erstellen, Bearbeiten, Veröffentlichen oder Löschen von Karten). Weitere Weisungen erfolgen in Textform an contact@helllo.me.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

7. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

8. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Verschlüsselte Datenübertragung (TLS)
• Primäre Datenbank und Bildspeicher in der EU-Projektregion Stockholm
• Anmeldung per Magic Link oder Google; es werden keine Passwörter gespeichert
• Berechtigungsprüfung in der Anwendung, bei der jede Abfrage auf die Daten des Kontoinhabers beschränkt ist, sowie standardmäßig sperrende Row-Level-Security für direkte Datenbankrollen
• Administrativer Zugriff nur durch den Auftragsverarbeiter; Geheimnisse und Dienstschlüssel werden nie an Browser ausgeliefert
• Rate Limiting gegen Brute-Force-Versuche auf private Karten
• Serverseitige Prüfung hochgeladener Dateien (Typ, Signatur, Größe)
• Regelmäßige Sicherheitsupdates und Sicherungen durch die Hosting-Anbieter

Die Maßnahmen werden an den technischen Fortschritt angepasst; das hier beschriebene Schutzniveau darf dabei nicht unterschritten werden.

9. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz folgender Unterauftragsverarbeiter:
   • Vercel Inc. (USA): Hosting und Auslieferung; EU-U.S. Data Privacy Framework und Standardvertragsklauseln
   • Supabase Inc. (USA): Datenbank und Bildspeicher, Projektregion Stockholm (AWS)
   • Brevo (Sendinblue, Frankreich): transaktionale E-Mails an den Verantwortlichen
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Team-Tarif zum Zeitpunkt der Änderung kündigen.
3. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern Datenschutzpflichten auf, die diesem AVV gleichwertig sind.
4. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.

10. Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Anträge, die betroffene Personen an den Auftragsverarbeiter richten, leitet er unverzüglich an den Verantwortlichen weiter.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

11. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Bekanntwerden und stellt die Informationen bereit, die der Verantwortliche für seine eigene Meldung nach Art. 33 und 34 DSGVO benötigt.

12. Löschung und Rückgabe

1. Der Verantwortliche kann alle Kartendaten jederzeit im Dashboard einsehen, bearbeiten und löschen.
2. Löscht der Verantwortliche Karten, die Organisation oder das Konto, löscht der Auftragsverarbeiter die entsprechenden Daten, vorbehaltlich der Sicherungszyklen der Hosting-Anbieter und gesetzlicher Aufbewahrungspflichten.
3. Besuchsstatistiken werden zusammen mit der Karte oder dem Konto gelöscht.

13. Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, vorrangig durch Dokumentation und schriftliche Auskünfte.
2. Vor-Ort-Kontrollen sind nach angemessener Vorankündigung, zu den üblichen Geschäftszeiten, höchstens einmal pro Kalenderjahr und auf Kosten des Verantwortlichen möglich, sofern keine konkreten Anhaltspunkte für einen Verstoß vorliegen.

14. Schlussbestimmungen

1. Die Haftung richtet sich nach Art. 82 DSGVO und den Haftungsregeln der AGB.
2. Änderungen dieses AVV bedürfen der Textform.
3. Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach den AGB.

---

Kontakt: Alec Winter, Blumenau 89, 22089 Hamburg, Deutschland · contact@helllo.me