Auftragsverarbeitung

Vertrag nach Art. 28 DSGVO · Fassung 1.0 · Stand 24.10.2026

Wer einen WunschQR-Code aufstellt, sammelt über diesen Code Einträge von Gästen. Verantwortlich dafür ist der Betrieb. Wir speichern und zeigen diese Einträge nur in seinem Auftrag. Dieser Vertrag regelt genau das — ohne Zusatzvereinbarung, ohne Verhandlung, in der Form, die die DSGVO in Art. 28 Abs. 3 verlangt.

1. Wer mit wem

2. Wie der Vertrag zustande kommt

Mit dem Anlegen des ersten Codes nimmt der Betrieb diesen Vertrag an. Die Textform ist nach Art. 28 Abs. 9 DSGVO ausreichend; diese Seite ist der vollständige Vertragstext und bleibt unverändert abrufbar. Wer eine unterschriebene Fassung auf Papier braucht, schickt eine kurze Nachricht an die oben genannte Adresse — wir senden sie zu.

3. Gegenstand und Zweck

Gegenstand ist das Ausspielen der Seiten hinter den QR-Codes des Betriebs, die Entgegennahme und Anzeige der Einträge, die Zählung der Scans und — wenn der Betrieb es einschaltet — die Meldung neuer Einträge per Push und Tagesmail. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

4. Welche Daten und welche Personen

Verarbeitet werden:

1. Einträge von Gästen: der eingegebene Text, freiwillig Name und Kontakt, der Zeitpunkt sowie der Vermerk, ob der Betrieb den Eintrag gesehen hat.
2. Inhalte des Betriebs: Titel, Text, Links, Zieladresse und ein hochgeladenes Logo.
3. Nutzungszahlen: Anzahl der Scans und Zeitpunkt des letzten Scans je Code. Keine IP-Adresse, kein Gerät, kein Standort.
4. Kontodaten des Betriebs: Name, E-Mail-Adresse, Zugangslink, Einstellungen für Meldungen.
5. Meldungsgeräte: Push-Adresse, zwei Schlüssel, Gerätename, Zeitpunkte der Zustellung — nur wenn Meldungen eingeschaltet sind.

Betroffene Personen sind Gäste des Betriebs (und, soweit Kontaktdaten angegeben werden, diese Personen selbst) sowie die Personen, die im Kundenkonto eingetragen sind. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung; das Eingabefeld ist ein offener Text, der Betrieb weist seine Gäste darauf hin, dort nichts Sensibles einzutragen.

5. Weisungen

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Betriebs. Diese Vereinbarung und die Einstellungen im Kundenbereich (Code anlegen, Inhalt ändern, Eintrag löschen, Meldungen ein- oder ausschalten) sind solche Weisungen. Ist eine Weisung aus unserer Sicht rechtswidrig, sagen wir das unverzändert und führen sie nicht aus. Wir nutzen die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung oder Auswertungen.

6. Vertraulichkeit

Zugriff haben nur wir als Inhaber sowie — im technisch notwendigen Umfang — der Hosting-Anbieter. Alle Personen, die Daten einsehen können, sind zur Vertraulichkeit verpflichtet. Der Zugang zur Verwaltung ist passwortgeschätzt, der Kundenbereich über einen Zugangslink mit langer Zufallskennung.

7. Sicherheit der Verarbeitung (Art. 32 DSGVO)

1. Übertragung ausschließlich über HTTPS mit TLS, HSTS eingeschaltet.
2. Verwaltungszugang nur mit Passwort (als Hash gespeichert), Kundenbereich über einen zufälligen Zugangslink; Sitzungen laufen ab.
3. Datenbank nur vom Server aus erreichbar, eigener Datenbanknutzer mit Rechten auf die eine Datenbank.
4. Einträge werden nach 30 Tagen automatisch gelöscht; die Frist greift auch dann, wenn niemand den Bereich öffnet.
5. Keine Kopien auf privaten Geräten; Exporte nur auf Anforderung des Betriebs.
6. Der Betrieb kann seine Einträge jederzeit selbst löschen.

Einzelheiten zur Datenverarbeitung, zu Löschfristen und Empfängern stehen in der Datenschutzerklärung.

8. Unterauftragnehmer

Beauftragt ist die IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, für Betrieb und Speicherung der Server in Deutschland; mit ihr besteht ein Vertrag nach Art. 28 DSGVO. Weitere Unterauftragnehmer setzen wir nicht ein.

Push-Meldungen laufen über den Pushdienst des jeweiligen Browsers (Google, Mozilla, Apple oder Microsoft). Das ist kein Unterauftragnehmer im Sinne dieser Vereinbarung, sondern die technisch vorgegebene Zustellstrecke des Geräts; der Inhalt ist auf diesem Weg verschlüsselt und für den Dienst nicht lesbar. Der Betrieb entscheidet mit dem Einschalten der Meldungen, ob dieser Weg genutzt wird.

Wollen wir einen weiteren Unterauftragnehmer einsetzen, teilen wir das mindestens 30 Tage vorher mit. Der Betrieb kann widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt des Wechsels beenden.

9. Unterstützung bei Betroffenenrechten

Einträge lassen sich im Kundenbereich ansehen, beantworten und löschen. Anfragen von Betroffenen, die bei uns eingehen, geben wir unverzüglich an den Betrieb weiter, spätestens innerhalb von fünf Werktagen, und unterstützen ihn bei Auskunft, Berichtigung, Löschung und Einschränkung mit den gespeicherten Angaben.

10. Meldung bei Verletzungen

Stellen wir eine Verletzung des Schutzes personenbezogener Daten fest, melden wir sie dem Betrieb unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Daten und Personen, Folgen, getroffene Maßnahmen). Wir unterstützen den Betrieb bei dessen Meldung an die Aufsichtsbehörde und bei der Information der Betroffenen.

11. Ende des Vertrags und Löschung

Endet der Nutzungsvertrag, löschen wir Einträge, Codes und Kontodaten innerhalb von 30 Tagen, auch die Push-Anmeldungen. Auf Wunsch stellt der Betrieb vorher eine Tabelle mit seinen Daten zusammen; wir helfen dabei. Rechnungen und Buchhaltungsunterlagen bleiben davon unberührt — sie werden nach den gesetzlichen Fristen aufbewahrt und liegen nicht auf dem Webserver. Nach Art. 28 Abs. 3 lit. g DSGVO bleibt die Pflicht zur Löschung auch nach dem Ende bestehen.

12. Kontrolle und Nachweise

Wir geben dem Betrieb auf Anfrage Auskunft über die getroffenen Maßnahmen und legen Nachweise vor, etwa den Vertrag zur Auftragsverarbeitung mit dem Hosting-Anbieter. Eine Prüfung vor Ort ist nach rechtzeitiger Ankündigung möglich, in der Regel einmal im Jahr.

13. Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb der EU findet nicht statt, außer beim Push über Google, Apple oder Microsoft (USA) — und nur, wenn der Betrieb Meldungen eingeschaltet hat. Diese Anbieter stützen die Übermittlung auf die Standardvertragsklauseln der EU-Kommission, der Inhalt der Meldung ist dabei verschlüsselt.

14. Haftung und Rangfolge

Es gilt die DSGVO. Widerspricht eine Regel dieser Vereinbarung der DSGVO, gilt die DSGVO; im Übrigen bleibt die Vereinbarung wirksam. Die Haftung richtet sich nach Art. 82 DSGVO und nach dem Nutzungsvertrag.

15. Änderungen dieser Vereinbarung

Wir passen die Vereinbarung an, wenn sich die Verarbeitung ändert oder der Gesetzgeber es verlangt. Die neue Fassung gilt 30 Tage nach Bekanntgabe im Kundenbereich; das Datum oben wandert mit. Es gilt immer die Fassung auf dieser Seite.

Bei Fragen zu dieser Vereinbarung genügt eine Nachricht an info@sven-lietzau.de.