Auftragsverarbeitungsvertrag
Art. 28 DSGVO
1. Parteien und Abschluss
Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen dem Studio, das sich auf app.we-are-inked.in registriert (der „Verantwortliche"), und
WE ARE INKED — INKED.in (der „Auftragsverarbeiter")
E-Mail: [email protected]
(Ladungsfähige Anschrift und Unternehmensangaben werden ergänzt.)
Der AVV wird elektronisch geschlossen, indem der Verantwortliche im Registrierungsprozess die entsprechende Zustimmung erteilt. Zeitpunkt und Dokumentversion werden protokolliert. Er ergänzt die Nutzungsbedingungen und geht diesen bei Widersprüchen in datenschutzrechtlichen Fragen vor.
2. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Plattform INK ONE OS einschließlich der Module INK ONE+ OS, INK ARTIST und INK+. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
3. Art, Zweck, Datenarten, Betroffene
Zweck: Betrieb der Studio-Software (Anfragen, Terminverwaltung, digitale Einverständniserklärungen, Kundenkartei, Artist-Verwaltung, Auswertungen, Kundenbindung INK+, Kommunikation).
Datenarten insbesondere:
- Stammdaten von Kundinnen und Kunden (Name, Kontaktdaten, Geburtsdatum)
- Termin-, Projekt- und Kommunikationsdaten
- Einverständnis- und Dokumentationsdaten inkl. Ausweisdaten und Unterschrift, soweit das Studio die digitale Einverständniserklärung nutzt
- Gesundheitsangaben im Rahmen der Einverständniserklärung (Art. 9 DSGVO — die Einwilligung holt das Studio ein)
- Foto-Dokumentation von Tätowierungen
- Treue- und Programmdaten (INK+: Punkte, Pässe, Empfehlungen)
- Daten von Artists und Beschäftigten des Studios (Konten, Rollen, Termine)
Kategorien betroffener Personen: Kundinnen und Kunden sowie Interessenten des Studios, Artists und Beschäftigte des Studios, Teilnehmerinnen und Teilnehmer des INK+-Programms.
4. Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — regelmäßig vermittelt über die Funktionen der Plattform —, sofern nicht eine gesetzliche Pflicht zur Verarbeitung besteht; in diesem Fall wird der Verantwortliche vor der Verarbeitung informiert, soweit rechtlich zulässig. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
5. Vertraulichkeit
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen und entwickelt sie entsprechend dem Stand der Technik fort, ohne das Schutzniveau abzusenken.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 30 Tagen widersprechen. Mit jedem Unterauftragsverarbeiter werden Verpflichtungen entsprechend diesem AVV vereinbart; bei Drittlandübermittlungen werden geeignete Garantien nach Kapitel V DSGVO (insbesondere EU-Standardvertragsklauseln) sichergestellt.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung). Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich.
9. Löschung und Rückgabe
Nach Abschluss der Erbringung der Verarbeitungsleistungen werden alle personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben (Export in einem gängigen Format), sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Ohne anderslautende Weisung erfolgt die Löschung spätestens 90 Tage nach Vertragsende.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung und ermöglicht angemessene Überprüfungen. Kontrollen vor Ort erfolgen nach Ankündigung zu üblichen Geschäftszeiten und in einem verhältnismäßigen Umfang.
11. Haftung, Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO sowie ergänzend die Haftungsregelung der Nutzungsbedingungen. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Anlage 1 — Technische und organisatorische Maßnahmen
- Zutritts- und Zugangskontrolle: Betrieb ausschließlich in zertifizierten Rechenzentren der Unterauftragsverarbeiter (EU-Region für Datenbank und Speicher); Zugang zu Systemen nur mit personalisierten Konten und Multi-Faktor-Authentifizierung.
- Zugriffskontrolle: Rollen- und Rechtekonzept auf der Plattform (mandantengetrennte Datenbereiche pro Studio, Row-Level-Security, abgestufte Rollen), Least-Privilege-Prinzip für Administrationszugriffe.
- Trennungskontrolle: Strikte Mandantentrennung — die Daten jedes Studios liegen in einem eigenen, logisch getrennten Datenbereich.
- Übertragungskontrolle: Transportverschlüsselung (TLS) für sämtliche Verbindungen; Verschlüsselung gespeicherter Daten auf Infrastrukturebene.
- Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge und administrativer Zugriffe; Aktivitätsprotokoll auf Plattformebene.
- Verfügbarkeitskontrolle: Tägliche, verschlüsselte Datensicherungen mit getrennter Aufbewahrung; dokumentiertes Wiederherstellungsverfahren.
- Datenminimierung: Sprach-/Audiodaten aus KI-Funktionen werden nicht dauerhaft gespeichert; besondere Kategorien werden nur verarbeitet, soweit die jeweilige Funktion es erfordert.
- Organisatorisches: Vertraulichkeitsverpflichtung der beteiligten Personen, regelmäßige Überprüfung der Maßnahmen, Auswahl der Unterauftragsverarbeiter nach Art. 28 Abs. 1 DSGVO.
Anlage 2 — Unterauftragsverarbeiter
| Dienstleister | Leistung | Ort der Verarbeitung / Garantien |
|---|---|---|
| Supabase | Datenbank, Authentifizierung, Dateispeicher | Hosting in der EU; AVV nach Art. 28 DSGVO |
| Cloudflare | Hosting, Auslieferung (CDN), Schutz vor Angriffen | EU/weltweit; EU-Standardvertragsklauseln, EU-US Data Privacy Framework |
| Resend | Versand transaktionaler E-Mails | USA/EU; EU-Standardvertragsklauseln |
| Stripe | Zahlungsabwicklung (nur kostenpflichtige Tarife) | EU/USA; EU-Standardvertragsklauseln, EU-US Data Privacy Framework |
| Apple / Google | Wallet-Pässe (nur bei aktiviertem INK+, auf Wunsch der betroffenen Person) | EU/USA; EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss |
| Anthropic | KI-gestützte Textauswertung (nur bei vom Studio aktivierten KI-Funktionen) | USA; EU-Standardvertragsklauseln; keine dauerhafte Speicherung von Audio |