Vereinbarung zur Auftragsverarbeitung

Auftragsverarbeiter ist Georg Tomme. Er verarbeitet personenbezogene Daten der Teilnehmer im Auftrag des Kunden, um die von diesem beauftragte Kampagne durchzuführen und den Besuchsnachweis zu erbringen.

Die Verarbeitung dauert so lange wie das Vertragsverhältnis über die Nutzung der Plattform.

Betroffene sind die Teilnehmer der Kampagnen des Kunden. Verarbeitet werden:

• Kontodaten: Benutzername und E-Mail-Adresse
• Teilnahmedaten: welche Kampagne, welcher Fundort, wann besucht, welche Aufgaben gelöst
• Standortdaten: die Position im Moment einer Prüfung; gespeichert wird das Ergebnis der Prüfung, nicht die Wegstrecke
• Zustimmungen: welcher Fassung wann zugestimmt oder widerrufen wurde

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch bei einer Übermittlung in ein Drittland — es sei denn, er ist rechtlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dies vorab mit, soweit das Recht es zulässt.

Die Einstellungen, die der Kunde in der Konsole vornimmt, sind Weisungen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit.

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen.

• Übertragung ausschließlich verschlüsselt (TLS)
• Verschlüsselung der Daten im Ruhezustand beim Rechenzentrumsbetreiber
• Zugriff auf Daten nur über den Anwendungsserver; Schreibvorgänge sind durchgängig ein Urteil des Servers, nicht des Clients
• Trennung der Daten nach Mandant auf Ebene der Datenbank
• Nachweise über Zustimmungen und Besuche werden nur angefügt, nie überschrieben

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter. Vor einer Änderung wird er informiert und kann widersprechen.

• Supabase — Datenbank, Anmeldung und Dateispeicher; Serverstandort eu-central-1 (Frankfurt am Main). Übermittlung auf Grundlage von Standardvertragsklauseln.
• Railway — Betrieb der Anwendung; Serverstandort Amsterdam, Niederlande.
• Stripe — Bezahlvorgänge der Auftraggeber; Serverstandort Vereinigte Staaten. Übermittlung auf Grundlage des Angemessenheitsbeschlusses (EU) 2023/1795 (EU-U.S. Data Privacy Framework).
• Brevo — Versand der E-Mails im Melde- und Abhilfeverfahren; Serverstandort Europäische Union.

Den Unterauftragsverarbeitern werden dieselben Datenschutzpflichten auferlegt. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für deren Pflichtverletzungen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Kapitel III DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

Teilnehmer können ihr Konto in der Anwendung selbst löschen. Dabei werden ihre Teilnahmedaten auf Zahlen ohne Personenbezug verdichtet, die dem Verantwortlichen als Nachweis erhalten bleiben.

Nach Ende der Leistungserbringung löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie zurück — nach Wahl des Verantwortlichen —, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Kunde kann die Ergebnisse seiner Kampagnen jederzeit selbst exportieren.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen. Sie sind mit angemessener Frist anzukündigen und dürfen den Betrieb nicht unangemessen beeinträchtigen.