Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Auftragsverarbeitungsvertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer (Bogenfex) im Auftrag des Auftraggebers (Betreiber) im Rahmen der Nutzung der Bogenfex-Plattform.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag der Bogenfex-Plattform). Die Verarbeitung beginnt mit der Registrierung und endet mit der vollständigen Löschung aller Daten nach Vertragsende.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Verwaltung von Betreiber- und Besucherdaten
• Verarbeitung von Check-in-Daten und Statistiken
• Abrechnung und Rechnungsstellung
• Versand von E-Mail-Benachrichtigungen
• Bereitstellung von Push-Benachrichtigungen über die App

3. Art der personenbezogenen Daten

• Stammdaten (Name, E-Mail, Adresse)
• Nutzungsdaten (Check-ins, Bewertungen, Parcours-Besuche)
• Abrechnungsdaten (Zahlungsinformationen, Rechnungen)
• Kommunikationsdaten (Nachrichten, Support-Anfragen)
• Gerätedaten (Push-Tokens, App-Version)

4. Kategorien betroffener Personen

• Betreiber und deren Mitarbeiter
• Besucher der Bogenparcours

5. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer setzt folgende Maßnahmen um:

• Verschlüsselung der Datenübertragung (TLS 1.2+)
• Verschlüsselung der gespeicherten Daten (AES-256)
• Zugriffskontrolle durch Row Level Security (RLS)
• Regelmäßige Sicherheitsupdates und Penetrationstests
• Zugriffsprotokollierung (Audit Logs)
• Multi-Faktor-Authentifizierung für Administratoren
• Regelmäßige Backups mit georedundanter Speicherung
• Incident-Response-Prozess mit Benachrichtigung innerhalb von 72 Stunden

6. Subunternehmer

Der Auftragnehmer setzt folgende Subunternehmer ein. Der Auftraggeber stimmt dem Einsatz dieser Subunternehmer zu:

Für Subunternehmer mit Sitz in den USA gelten die EU-Standardvertragsklauseln (SCCs) bzw. das EU-US Data Privacy Framework, soweit anwendbar.

7. Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers
• Vertraulichkeitsverpflichtung aller Beschäftigten
• Unterstützung bei der Erfüllung der Betroffenenrechte
• Unterstützung bei Datenschutz-Folgenabschätzungen
• Unverzügliche Meldung von Datenschutzverletzungen

8. Löschpflichten

Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten wie folgt behandelt:

• Check-in-Daten: Löschung nach 90 Tagen
• Audit Logs: Löschung nach 1 Jahr
• Rechnungen: Aufbewahrung gemäß gesetzlicher Pflicht (7 Jahre)
• Alle übrigen Daten: Löschung innerhalb von 30 Tagen nach Vertragsende

Der Auftraggeber kann jederzeit eine vollständige Löschung seiner Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Kontrollrechte

Der Auftraggeber hat das Recht, die Einhaltung dieses AVV zu überprüfen. Der Auftragnehmer stellt hierfür die erforderlichen Informationen zur Verfügung und ermöglicht Audits.

Kontakt

Bei Fragen zum AVV wenden Sie sich bitte an: info@bogenfex.app