Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Auftragsverarbeitungsvertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer — APEX Studios GmbH, Waidach 270, 5421 Adnet, Österreich (Betreiberin der Marke Bogenfex) — im Auftrag des Auftraggebers (Betreiber) im Rahmen der Nutzung der Bogenfex-Plattform.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag der Bogenfex-Plattform). Die Verarbeitung beginnt mit der Registrierung und endet mit der vollständigen Löschung aller Daten nach Vertragsende.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Verwaltung von Betreiber- und Besucherdaten
• Verarbeitung von Check-in-Daten und Statistiken
• Abrechnung und Rechnungsstellung
• Versand von E-Mail-Benachrichtigungen
• Bereitstellung von Push-Benachrichtigungen über die App

3. Art der personenbezogenen Daten

• Stammdaten (Name, E-Mail, Adresse)
• Nutzungsdaten (Check-ins, Bewertungen, Parcours-Besuche)
• Abrechnungsdaten (Zahlungsinformationen, Rechnungen)
• Kommunikationsdaten (Nachrichten, Support-Anfragen)
• Gerätedaten (Push-Tokens, App-Version)

4. Kategorien betroffener Personen

• Betreiber und deren Mitarbeiter
• Besucher der Bogenparcours

5. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer setzt folgende Maßnahmen um:

• Verschlüsselung der Datenübertragung (TLS 1.2+)
• Verschlüsselung der gespeicherten Daten (AES-256)
• Zugriffskontrolle durch Row Level Security (RLS)
• Regelmäßige Sicherheitsupdates und Penetrationstests
• Zugriffsprotokollierung (Audit Logs)
• Multi-Faktor-Authentifizierung für Administratoren
• Regelmäßige Backups mit georedundanter Speicherung
• Incident-Response-Prozess mit Benachrichtigung innerhalb von 72 Stunden

6. Subunternehmer

Der Auftragnehmer setzt folgende Subunternehmer ein. Der Auftraggeber stimmt dem Einsatz dieser Subunternehmer zu:

Für Subunternehmer mit Sitz in den USA gelten die EU-Standardvertragsklauseln (SCCs) bzw. das EU-US Data Privacy Framework, soweit anwendbar.

7. Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers
• Vertraulichkeitsverpflichtung aller Beschäftigten
• Unterstützung bei der Erfüllung der Betroffenenrechte
• Unterstützung bei Datenschutz-Folgenabschätzungen
• Unverzügliche Meldung von Datenschutzverletzungen

8. Löschpflichten

Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten wie folgt behandelt:

• Check-in-Daten: Anonymisierung — nur der Tag des Besuchs bleibt, ohne Kontobezug (siehe unten)
• Audit Logs: Löschung nach 1 Jahr
• Rechnungen: Aufbewahrung gemäß gesetzlicher Pflicht (7 Jahre)
• Alle übrigen Daten: Löschung innerhalb von 30 Tagen nach Vertragsende — mit den unten genannten Ausnahmen

Runden, Scores, Ausrüstung, Favoriten, Bewertungen und Chat-Verläufe werden dabei entfernt. Drei Gruppen bleiben bewusst erhalten: 1. Der Nachweis deiner Einwilligungen (bis zu 3 Jahre), weil er belegt, dass wir deine Daten rechtmäßig verarbeitet haben, und um mögliche Ansprüche abzuwehren. 2. Rechnungen, die wir dir selbst gestellt haben — etwa für einen Betreiber-Tarif — sieben Jahre lang, weil das Gesetz uns dazu verpflichtet (§ 132 BAO). Kaufst du dagegen etwas im App Store oder bei Google Play, stellt dort Apple bzw. Google die Rechnung aus, nicht wir. Aus der Kaufbestätigung speichern wir an deinem Konto das gekaufte Produkt und das Ablaufdatum, damit die App weiß, ob dein Abonnement gilt; beides wird mit deinem Konto gelöscht. Zusätzlich speichern wir die Kennung der Transaktion mit Produkt, Plattform und dem Zeitpunkt, an dem wir sie zum ersten Mal gesehen haben (damit ein Kaufbeleg nur ein Konto freischaltet). Löschst du dein Konto, löschen wir die Verknüpfung dieser Angaben zu deinem Konto; die Angaben selbst bewahren wir wegen der gesetzlichen Aufbewahrungspflicht für Buchungsbelege (§ 212 UGB, § 132 BAO) sieben Jahre lang auf, gerechnet ab dem Ende des Kalenderjahres, in dem wir die Transaktion zum ersten Mal gesehen haben, und löschen sie danach. Legst du später mit demselben Konto beim App Store oder Google Play ein neues Konto bei uns an und läuft der Kauf noch, kann er diesem neuen Konto wieder zugeordnet werden. 3. Inhalte, an denen andere Nutzer hängen — etwa deine Check-ins oder von dir angelegte Turniere oder Kurse —, werden anonymisiert: dein Name, deine E-Mail und deine Nutzer-Kennung werden entfernt, Turnier- und Kursnamen durch Codes ersetzt. Andere sehen ihre Ergebnisse weiter, dich kann niemand mehr erkennen. Bei Check-ins bleibt nur der Tag deines Besuchs für den Betreiber des Parcours erhalten, ohne Bezug zu deinem Konto.

Der Auftraggeber kann jederzeit eine vollständige Löschung seiner Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Kontrollrechte

Der Auftraggeber hat das Recht, die Einhaltung dieses AVV zu überprüfen. Der Auftragnehmer stellt hierfür die erforderlichen Informationen zur Verfügung und ermöglicht Audits.

Kontakt

Bei Fragen zum AVV wenden Sie sich bitte an: info@bogenfex.app

Dieser AVV wurde zuletzt am 25. Oktober 2026 aktualisiert.