Auftragsverarbeitungsvertrag (AVV)
Vereinbarung zur Verarbeitung personenbezogener Daten gemäß Art. 28 DSGVO.
Dieser AVV gilt nur bei Nutzung von TattooMate als gehostete SaaS-Lösung.
1. Gegenstand und Dauer
Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch FutureMate als Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung von TattooMate als SaaS-Lösung. Die Dauer der Verarbeitung richtet sich nach der Laufzeit des zugrunde liegenden Vertrags.
2. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt zum Zweck der Bereitstellung und Nutzung der TattooMate-Software. Dies umfasst insbesondere die Speicherung, Organisation, Anzeige und Verarbeitung von Kundendaten, Einwilligungen, Gesundheitsangaben, Unterschriften, Bildern und Dokumenten, die vom Studio erfasst werden.
3. Kategorien betroffener Personen
Betroffene Personen sind insbesondere: - Kunden des Studios - Erziehungsberechtigte (bei U18-Vorgängen) - Mitarbeiter und Artists des Studios
4. Arten personenbezogener Daten
Verarbeitet werden insbesondere: - Stammdaten (z. B. Name, Geburtsdatum) - Kontaktdaten - Gesundheitsangaben - Einwilligungen und Unterschriften - Bild- und Dokumentendaten (z. B. Ausweise, Behandlungsbilder)
5. Ort der Verarbeitung
Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Soweit im Rahmen der Bereitstellung des Dienstes Dienstleister mit Sitz oder Serverstandort außerhalb der EU/des EWR eingesetzt werden (z. B. für Content-Delivery- oder Sicherheitsdienste), erfolgt dies nur, wenn ein angemessenes Datenschutzniveau sichergestellt ist, etwa durch Standardvertragsklauseln der EU-Kommission oder einen Angemessenheitsbeschluss. Eine aktuelle Übersicht eingesetzter Dienstleister mit Verarbeitungsort außerhalb der EU/des EWR kann auf Anfrage bereitgestellt werden.
6. Verantwortlichkeit
Der Verantwortliche ist für die Rechtmäßigkeit der Datenerhebung und -verarbeitung verantwortlich. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit.
7. Vertraulichkeit
Der Auftragsverarbeiter verpflichtet alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Vertraulichkeit oder unterwirft sie einer angemessenen gesetzlichen Verschwiegenheitspflicht. Diese Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.
8. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich: - personenbezogene Daten vertraulich zu behandeln - geeignete technische und organisatorische Maßnahmen (TOM) umzusetzen - nur berechtigtes Personal mit der Verarbeitung zu betrauen - den Verantwortlichen bei Datenschutzanfragen zu unterstützen
9. Technische und organisatorische Maßnahmen
Zu den Maßnahmen gehören insbesondere: - Zugriffsbeschränkungen und Rollen-/Rechtesysteme - Verschlüsselte Verbindungen (TLS) - Getrennte Instanzen pro Studio - Schutz vor unbefugtem Zugriff Eine detaillierte Übersicht der TOM kann auf Anfrage bereitgestellt werden.
10. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten im Sinne von Art. 33 DSGVO, die im Rahmen der Auftragsverarbeitung aufgetreten sind. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, insbesondere die Art der Verletzung, die betroffenen Kategorien und ungefähre Anzahl betroffener Personen und Datensätze sowie die bereits ergriffenen oder vorgeschlagenen Maßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, seinen Melde- und Benachrichtigungspflichten gegenüber der Aufsichtsbehörde und betroffenen Personen (Art. 33, 34 DSGVO) nachzukommen.
11. Unterstützung bei Datenschutz-Folgenabschätzungen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen und Zumutbaren bei der Erstellung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie bei etwaigen vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO), sofern die Verarbeitung im Rahmen dieses Vertrags dafür relevant ist.
12. Unterauftragsverarbeiter
Der Einsatz von Unterauftragsverarbeitern (z. B. Hosting- oder Infrastruktur-Dienstleister) erfolgt nur, sofern diese vertraglich zur Einhaltung der DSGVO verpflichtet sind. Der Verantwortliche wird über die Hinzuziehung neuer Unterauftragsverarbeiter sowie über wesentliche Änderungen informiert und kann dieser innerhalb einer angemessenen Frist widersprechen, sofern ein wichtiger Grund vorliegt.
13. Rechte der betroffenen Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Wahrung der Rechte betroffener Personen (z. B. Auskunft, Löschung, Berichtigung, Datenübertragbarkeit), soweit dies technisch möglich ist. Wendet sich eine betroffene Person direkt mit einem entsprechenden Anliegen an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter, sofern eine eigene Bearbeitung nicht vereinbart ist.
14. Nachweis- und Kontrollrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. Der Verantwortliche ist berechtigt, sich in angemessenem Umfang und mit angemessener Vorankündigung von der Einhaltung dieser Pflichten zu überzeugen, etwa durch Einholung von Selbstauskünften oder Nachweisen des Auftragsverarbeiters. Umfassendere Vor-Ort-Kontrollen erfolgen nach vorheriger Absprache und unter Berücksichtigung der berechtigten Interessen des Auftragsverarbeiters, insbesondere im Hinblick auf den Schutz der Daten anderer Kunden.
15. Beendigung der Verarbeitung
Nach Beendigung des Vertrags werden personenbezogene Daten nach Wahl des Verantwortlichen gelöscht oder zur Herausgabe bereitgestellt, sofern keine gesetzliche Aufbewahrungspflicht besteht.
16. Haftung
Es gelten die Haftungsregelungen des Hauptvertrags. Die Haftung richtet sich nach den gesetzlichen Bestimmungen der DSGVO.
17. Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.