Vertrag zur Auftragsverarbeitung

Verantwortlicher

Das Studio, das INKPLAN nutzt (Firma und Anschrift laut Einzelvertrag) – „Auftraggeber“

Auftragsverarbeiter

INKternational GmbH, Hohe Straße 16, 46483 Wesel, vertreten durch den Geschäftsführer Yashar Mehdizade – „Auftragnehmer“

Dieser Vertrag gilt für alle Tätigkeiten, bei denen der Auftragnehmer im Rahmen des Vertrags über die Nutzung von INKPLAN (Hauptvertrag) personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.

Gegenstand ist die Bereitstellung und der Betrieb von INKPLAN als Software as a Service einschließlich Datenspeicherung, Datensicherung, Wartung und Fehlerbehebung. Die Laufzeit entspricht der Laufzeit des Hauptvertrags; Pflichten zur Löschung, Rückgabe und Vertraulichkeit gelten darüber hinaus fort.

Der Auftragnehmer verarbeitet die Daten ausschließlich, um dem Auftraggeber die Funktionen von INKPLAN bereitzustellen:

• Speichern, Anzeigen, Ändern und Archivieren von Daten, die der Auftraggeber und seine Nutzer eingeben oder hochladen
• Erzeugen von Dokumenten und Auswertungen (z. B. Einverständnis-PDFs, Kassenabschlüsse, Buchhaltungspakete)
• Entgegennahme von Einverständniserklärungen über das öffentliche Formular im Namen des Auftraggebers
• Anmeldung, Sitzungen, Arbeitsplatzbindung, Rechteprüfung und Protokollierung
• auf Veranlassung des Auftraggebers: Abgleich von Agentur-Terminen mit Google Kalendern
• Datensicherung und Wiederherstellung, Fehleranalyse im Betrieb

• Kundendaten: Name, Geburtsdatum, Kontakt- und Anschriftsdaten, Notizen, Termine, Projekte, Preise, Zahlungen, Gutscheine
• Gesundheitsdaten (Art. 9 DSGVO) aus Einverständniserklärungen und Kundenakten, z. B. Allergien, Medikamente, Vorerkrankungen, Schwangerschaft, sowie Unterschriften
• Bilder und Dokumente: Referenzbilder, Skizzen, Ergebnisfotos, Kundendokumente, Belege
• Daten von Mitarbeitenden: Stammdaten, Kontakt- und Anschriftsdaten, Rolle, Studiozuordnung, Vergütungsregeln, Zeiterfassung, Leistungs- und Finanzübersichten
• Daten von Artists und Piercern: Stammdaten, Kontaktdaten, Aufenthalte, Abwesenheiten, Motive, Vergütung und Produktion, Unterlagen wie Ausweis- oder Passkopien
• Nutzungs- und Protokolldaten: Benutzerkonten, Sitzungen, IP-Adressen, Browserkennungen, Änderungs- und Aktivitätsprotokolle
• Finanzdaten: Kassenbewegungen, Abschlüsse, Ausgaben, Bankeinzahlungen, Buchhaltungs- und Steuerberaterunterlagen

• Kundinnen und Kunden des Auftraggebers sowie Interessenten
• Beschäftigte des Auftraggebers
• Artists und Piercer, die für den Auftraggeber tätig sind
• Personen bei beauftragten Stellen (z. B. Buchhaltung, Steuerberatung) und Agenturen
• beschenkte Personen bei Gutscheinen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und der Nutzung der Funktionen von INKPLAN durch den Auftraggeber (z. B. Anlegen, Ändern, Archivieren); weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt, soweit er nicht gesetzlich dazu verpflichtet ist.

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugriff auf Daten des Auftraggebers nur, soweit dies für den Betrieb und die Fehlerbehebung erforderlich ist.

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO. In INKPLAN umgesetzt sind insbesondere:

Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

Cloudflare, Inc.

Betrieb der Anwendung (Cloudflare Workers), Dateispeicher (R2, EU-Jurisdiktion), DNS und TLS, Betriebsprotokolle

Neon (Datenbankdienst)

PostgreSQL-Datenbank, Region Frankfurt am Main (AWS eu-central-1)

Google: Aktiviert der Auftraggeber die Anbindung von Agentur-Kalendern, greift INKPLAN über ein Dienstkonto im Google-Cloud-Projekt des Auftragnehmers auf die Google Calendar API zu und liest bzw. schreibt Termine in den Kalender der vom Auftraggeber benannten Agentur. Ob Google dabei als Unterauftragsverarbeiter des Auftragnehmers einzuordnen ist oder die Daten auf Weisung des Auftraggebers an die Agentur übermittelt werden, ist im Einzelfall zu prüfen; diese Anbindung ist optional und standardmäßig nicht aktiv.

Über beabsichtigte Änderungen bei Unterauftragsverarbeitern informiert der Auftragnehmer den Auftraggeber vorab in Textform. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb einer angemessenen Frist widersprechen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

Die Daten werden in der EU gespeichert (siehe Abschnitt 8). Soweit Unterauftragsverarbeiter mit Sitz in Drittländern, insbesondere in den USA, im Rahmen ihrer Dienste Zugriff erhalten können, erfolgt dies nur auf Grundlage der Art. 44 ff. DSGVO (EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln).

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO. Wenden sich betroffene Personen direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, und stellt die Informationen bereit, die der Auftraggeber für seine Meldung nach Art. 33 und 34 DSGVO benötigt.

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung und während der üblichen Geschäftszeiten.

Nach Ende des Hauptvertrags löscht der Auftragnehmer die Daten des Auftraggebers oder gibt sie nach dessen Wahl zurück, soweit nicht eine gesetzliche Pflicht zur Speicherung besteht. Daten in den Datensicherungen werden mit deren regulärem Ablauf entfernt.

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; dies gilt auch für Weisungen. Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags zum Datenschutz vor. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.