Vereinbarung zur Auftragsverarbeitung

Vertragsparteien

Auftraggeber / Verantwortlicher
[Vollständiger rechtlicher Name bzw. Inhaber des Barbershops]
Geschäftsbezeichnung: Der Gentleman
[Anschrift]
Vertreten durch: [Name / Funktion, falls erforderlich]
Datenschutz- und Weisungskontakt: [Name, E-Mail, Telefon für dringende Vorfälle]

Auftragnehmer / Auftragsverarbeiter
[Vollständiger rechtlicher Name bzw. Inhaber]
Geschäftsbezeichnung: Noirtech
[Anschrift]
Datenschutz- und Weisungskontakt: [Name, E-Mail, Telefon für dringende Vorfälle]

Besuvo bezeichnet das bereitgestellte Softwareprodukt. Die Geschäftsbezeichnung allein ersetzt nicht die Identität der Vertragspartei. Bei einem Einzelunternehmen ist die natürliche Person als Inhaber anzugeben.

§ 1 Gegenstand und Laufzeit

Diese Vereinbarung ergänzt die Leistungsvereinbarung [Bezeichnung, Datum, gegebenenfalls Pilotvereinbarung]. Gegenstand ist der weisungsgebundene technische Betrieb und Support einer digitalen Stempelkarte des Auftraggebers mit Browserkarte, Mitarbeiterzugängen, Buchungsjournal, Gesamtstatistik, Wiederherstellung, lokalen Sicherungen und Kartenlöschung.

Beginn: [Datum]. Laufzeit bis zum Ende der zugrunde liegenden Leistung, einschließlich der erforderlichen Rückgabe- und Löschphase nach § 10. Der derzeit vorgesehene Pilot läuft ausschließlich lokal am in Anlage 1 bezeichneten Rechner. Eine Erweiterung auf Hosting, NFC oder Wallet ist vor Aufnahme der Verarbeitung nach § 11 zu dokumentieren.

Art, Zwecke, Datenarten, betroffene Personen und Verarbeitungsorte ergeben sich aus Anlage 1. Die Anlagen sind Vertragsbestandteil. Bei Widersprüchen zu allgemeinen Leistungsbedingungen gehen die Datenschutzregelungen dieser Vereinbarung vor, soweit die Auftragsverarbeitung betroffen ist.

§ 2 Verantwortung und Weisungen

Der Auftraggeber bestimmt die Zwecke der Verarbeitung, die Teilnahme- und Prämienregeln, die Rechtsgrundlagen, die notwendigen Informationen für Betroffene und die zulässigen Aufbewahrungsfristen. Er ist für deren Rechtmäßigkeit verantwortlich und erteilt nur rechtmäßige Weisungen. Noirtech darf personenbezogene Programmdaten nicht für eigene Werbung, eigene Kundenprofile, Modelltraining oder einen Weiterverkauf verwenden.

Noirtech verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich etwaiger Übermittlungen in Drittländer. Zur Verarbeitung verpflichtendes Unions- oder nationales Recht bleibt unberührt; über eine solche Verpflichtung informiert Noirtech den Auftraggeber vorab, soweit das Recht dies gestattet. Die hier festgelegte Leistung und Anlage 1 bilden die initiale Weisung.

Weisungen erfolgen in Textform über die benannten Kontakte. Dringende mündliche Weisungen werden unverzüglich dokumentiert und bestätigt. Noirtech informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und setzt die beanstandete Verarbeitung bis zur Klärung aus, soweit dies rechtlich zulässig und zur Vermeidung des Verstoßes erforderlich ist.

§ 3 Vertraulichkeit und Zugangsberechtigung

Noirtech setzt ausschließlich befugte und auf Vertraulichkeit verpflichtete oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegende Personen ein. Zugriff erhalten sie nur im erforderlichen Umfang. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus. Aufgaben- und Berechtigungsänderungen werden zeitnah umgesetzt; nicht mehr erforderliche Zugänge werden entzogen.

Produktivdaten dürfen nicht in unkontrollierte Entwicklungs-, KI-, Ticket- oder Kommunikationsdienste kopiert werden. Für Entwicklung und Vorführungen werden synthetische Daten verwendet. Jede abweichende Einbindung eines Dienstleisters bedarf einer vorangehenden Rollen-, Vertrags- und Sicherheitsprüfung nach § 7.

§ 4 Technische und organisatorische Maßnahmen

Noirtech trifft die nach Art. 32 DSGVO erforderlichen, dem Risiko angemessenen Maßnahmen unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung. Der Ausgangsstand sowie zwingend vor Echtbetrieb zu ergänzende Maßnahmen sind in Anlage 2 beschrieben. Eine bloß geplante Maßnahme gilt nicht als bereits umgesetzt.

Maßnahmen dürfen dem technischen Fortschritt angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen und verbleibende Risiken werden dokumentiert und dem Auftraggeber mitgeteilt. Erforderliche Maßnahmen für einen sicheren Echtbetrieb sind vor dessen Aufnahme nachzuweisen und freizugeben. Solange dies nicht geschehen ist, bleibt der Einsatz auf fiktive lokale Testdaten beschränkt.

§ 5 Unterstützung bei Betroffenenrechten

Noirtech unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen nach Kapitel III DSGVO. Eingehende Anträge, die diese Verarbeitung betreffen, leitet Noirtech unverzüglich an den Auftraggeber weiter. Eine eigenständige inhaltliche Beantwortung oder Herausgabe erfolgt nur auf Weisung oder bei eigener gesetzlicher Pflicht.

Zur Zuordnung werden vorrangig die bestehende Kartensitzung oder ein gültiger Wiederherstellungscode genutzt. Eine Karten-ID allein gilt nicht als ausreichender Besitznachweis. Zusätzliche Identifikationsdaten werden nur erhoben, wenn und soweit erforderlich. Der Auftraggeber entscheidet über Ausnahmen von Löschung, Einschränkung und Nachweispflichten; die Software trifft keine automatische rechtliche Einzelfallentscheidung.

Noirtech stellt erforderliche Informationen für Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit bereit oder unterstützt deren manuelle Umsetzung. Die Kartenlöschung ist technisch vorbereitet; ein vollständiger selbstbedienter Auskunfts- oder Datenübertragbarkeitsprozess ist noch nicht implementiert. Fristen und Verantwortlichkeiten sind vor Echtbetrieb organisatorisch festzulegen.

§ 6 Sicherheitsvorfälle, Zusammenarbeit und Nachweise

Noirtech meldet dem Auftraggeber jede bekannt gewordene Verletzung des Schutzes der verarbeiteten personenbezogenen Daten unverzüglich. Als vereinbarter Entwurfsstandard ist eine erste Meldung innerhalb von 24 Stunden nach Bekanntwerden vorgesehen; Erreichbarkeit und Ablauf vor Vertragsannahme bestätigen. Eine Meldung kann schrittweise ergänzt werden und darf nicht durch eine noch laufende Untersuchung verzögert werden.

Sie enthält, soweit verfügbar: Art und Umfang des Vorfalls, betroffene Daten und Personenanzahl, Ansprechpartner, wahrscheinliche Folgen sowie bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen. Noirtech sichert erforderliche Nachweise, begrenzt Schäden und unterstützt den Auftraggeber bei dessen Pflichten nach Art. 32–36 DSGVO, insbesondere Meldungen, Benachrichtigungen, Datenschutz-Folgenabschätzung und gegebenenfalls Konsultation. Die Entscheidung über Behörden- und Betroffenenmeldungen trifft der Auftraggeber, soweit das Gesetz nichts anderes bestimmt.

Noirtech unterrichtet den Auftraggeber über einschlägige behördliche Anfragen, Prüfungen oder Beschlagnahmen, soweit rechtlich zulässig, und arbeitet im erforderlichen Umfang mit ihm und der zuständigen Aufsicht zusammen.

§ 7 Unterauftragsverarbeitung und Drittlandtransfers

Die Beauftragung eines weiteren Auftragsverarbeiters für diese Daten setzt eine vorherige gesonderte schriftliche Genehmigung des Auftraggebers voraus. Aktuell genehmigte Unternehmen und Tätigkeiten werden in Anlage 3 geführt. Nicht aufgeführte Hosting-, Backup-, Support- oder Analysedienste sind nicht durch diese Vereinbarung freigegeben. Eine Marke oder ein bloßer Anbieterwunsch ersetzt weder die genaue Vertragspartei noch die Genehmigung.

Noirtech legt dem weiteren Auftragsverarbeiter durch Vertrag mindestens dieselben einschlägigen Datenschutzpflichten auf und prüft dessen hinreichende Garantien. Noirtech bleibt dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich. Informationen und geeignete Nachweise zu dessen Maßnahmen werden auf Anfrage bereitgestellt.

Verarbeitung außerhalb des EWR ist in diesem lokalen Pilot nicht vorgesehen. Sie bedarf einer dokumentierten Weisung bzw. Genehmigung und der Erfüllung der Anforderungen aus Kapitel V DSGVO einschließlich Prüfung tatsächlicher Zugriffsmöglichkeiten und erforderlicher ergänzender Maßnahmen. Diese Vereinbarung allein legitimiert keinen Drittlandtransfer.

§ 8 Kontrollrechte

Noirtech stellt alle Informationen bereit, die zum Nachweis der Einhaltung dieser Vereinbarung und von Art. 28 DSGVO erforderlich sind. Es ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer und wirkt daran mit. Geeignete Dokumentationen, Prüfberichte und technische Nachweise können vorrangig genutzt werden, ohne erforderliche eigene Prüfungen auszuschließen.

Regelmäßige Prüfungen werden mit angemessener Vorankündigung abgestimmt. Bei konkretem Sicherheitsvorfall, begründetem Verdacht auf Verstöße oder behördlicher Anforderung ist eine kurzfristige Prüfung zu ermöglichen. Vertraulichkeit anderer Kunden und die Sicherheit des Betriebs bleiben zu schützen. Etwaige Vergütungsregelungen dürfen gesetzlich erforderliche Kontrollen nicht faktisch verhindern. Beanstandungen werden dokumentiert und risikogerecht behoben.

§ 9 Löschung im laufenden Betrieb

Noirtech setzt dokumentierte Löschweisungen nach Anlage 4 um. Eine authentifizierte, im Programm vorgesehene Selbstlöschung eines Kunden gilt im Umfang der freigegebenen Funktion als vorab autorisierter Ablauf des Auftraggebers. Eine Inhaberlöschung setzt eine geprüfte berechtigte Kundenanfrage voraus. Mitarbeitende ohne Inhaberrolle erhalten diese Verwaltungsbefugnis nicht.

Die aktive Karte, Guthaben, zugehörige Buchungen, Sitzungen, Wiederherstellungsprüfwerte, Wallet-Registrierungen und entsprechende personenbezogene technische Verknüpfungen werden entfernt. Gesamtstatistiken werden neu berechnet. Dieses Programm führt keine steuerrechtlichen Kassenaufzeichnungen; andere gesetzliche Unterlagen des Auftraggebers werden durch diese Funktion nicht gelöscht.

Bestehende verschlüsselte Backups können die Daten während der begrenzten Restlaufzeit noch enthalten. Sie werden nicht regulär ausgewertet. Das getrennte Löschregister wird bei jedem unterstützten Restore und beim Serverstart angewandt. Karten dürfen nicht aus alten Sicherungen reaktiviert werden. Eine sofortige kryptografische Einzellöschung innerhalb bestehender Vollbackups ist nicht implementiert. Das zugrunde liegende Sicherungskonzept und etwaige gesetzlichen Ausnahmen sind vor Echtbetrieb rechtlich zu bestätigen.

§ 10 Ende der Verarbeitung

Nach Abschluss der Leistungen gibt Noirtech nach Wahl des Auftraggebers alle personenbezogenen Daten in einem abgestimmten, nutzbaren Format zurück oder löscht sie. Bestehende Kopien werden gelöscht, soweit Unions- oder nationales Recht keine weitere Speicherung verlangt. Eine gesetzliche Ausnahme wird mit Grundlage, Umfang und Frist dokumentiert; entsprechende Daten bleiben gesperrt und werden nicht für andere Zwecke verwendet.

Der Auftraggeber erteilt seine Wahl und die erforderlichen Übergabeanweisungen vor Vertragsende. Der Entwurfsstandard sieht die Rückgabe bzw. Löschung des aktiven Bestands innerhalb von 14 Tagen nach Abschluss und geklärter Weisung vor, Frist bestätigen. Backups werden spätestens nach ihrer verbleibenden Laufzeit gemäß Anlage 4 entfernt; für diesen Abschluss wird ein laufender Bereinigungsprozess sichergestellt. Schlüssel, Wiederherstellungsbestand, etwaige Arbeitskopien und das Löschregister werden erst nach sicherer Abarbeitung der zugehörigen Sicherungen und Weisungen geordnet entfernt bzw. übergeben.

Noirtech bestätigt die Durchführung in Textform mit Datum, Umfang und noch bestehenden gesetzlich erforderlichen Ausnahmen. Die Vertraulichkeits- und erforderlichen Nachweispflichten bleiben bestehen.

§ 11 Änderungen und Abschluss

Änderungen dieser Vereinbarung und ihrer Anlagen erfolgen dokumentiert in Textform. Vor Änderungen an Datenkategorien, Verarbeitungszwecken, Verarbeitungsorten oder Unterauftragnehmern wird die Vereinbarung aktualisiert. Sicherheits- oder Datenschutzfreigaben entstehen nicht allein durch eine technische Aktivierung.

Die allgemeinen gesetzlichen Verantwortungs- und Haftungsregelungen, insbesondere Art. 82 DSGVO, bleiben unberührt. Mit Annahme bestätigen die Parteien die ausgefüllten Angaben sowie die tatsächliche Umsetzung der als verbindlich vereinbarten Maßnahmen. Nicht erfüllte Freigabebedingungen bleiben einer Verarbeitung echter Kundendaten entgegenstehend.

Verarbeitungsbeschreibung und initiale Weisung

Technische und organisatorische Maßnahmen

Der Status beschreibt den lokalen Softwarestand, nicht eine Prüfung des tatsächlichen Geräts oder aller organisatorischen Abläufe.

Weitere Auftragsverarbeiter und besondere Dienste

Aktuell für diesen lokalen Dienst genehmigt: keine externen Unterauftragsverarbeiter. Dieser Status ist vor Vertragsannahme anhand des tatsächlichen Betriebs zu bestätigen. Bereits anderweitig bestehende Website-Verträge des Auftraggebers beziehen sich nicht automatisch auf Besuvo.

Für jede spätere Aufnahme ausfüllen und gesondert genehmigen:

Apple-/Google-Wallet oder andere Plattformdienste sind zusätzlich hinsichtlich ihrer tatsächlichen Rolle zu prüfen; nicht jeder Empfänger ist automatisch ein Unterauftragsverarbeiter. Im lokalen Pilot sind diese Übermittlungen nicht aktiviert.

Lösch-, Sicherungs- und Wiederherstellungsweisung

1. Aktive Karten nur für das vereinbarte Programm verwenden. Löschung auf berechtigten Wunsch oder entsprechende Weisung; eine automatische Inaktivitätsfrist ist noch nicht eingerichtet und muss vor Echtbetrieb festgelegt werden.
2. Die Selbstlöschung erfordert die gültige Kundensitzung, passende Karten-ID, ausdrückliche Bestätigung und den Text „KARTE LÖSCHEN“. Vor Inhaberlöschung ist die Berechtigung der Anfrage zu prüfen. Ohne Zuordnung keine Löschung allein auf Basis einer fremden Karten-ID.
3. Vor dem Entfernen aus der Datenbank wird der geschützte Löschfingerabdruck im unabhängigen verschlüsselten Bestand gespeichert. Ein Fehler nach diesem Schritt gilt nicht als bestätigter Gesamtabschluss; der Vermerk bleibt bestehen und wird beim nächsten Start bzw. Prüfzyklus abgearbeitet. Erfolg wird erst nach vollständiger Bestätigung angezeigt.
4. Die aktuelle Karte und ihre Verknüpfungen werden aus dem aktiven Bestand entfernt. Normale Buchungsrouten behalten ihre Unveränderlichkeit; eine Löschung ist kein nachträgliches Umschreiben einzelner Buchungen. Die zugehörigen Statistikwerte entfallen.
5. Backups werden nur zur Wiederherstellung genutzt. Maximales Alter 30 Tage; innerhalb dieses Fensters letzte 48 plus tägliche Sicherungen. Bei abgeschaltetem Rechner erfolgt der fällige Löschlauf beim nächsten Start; der Betreiber muss die zeitnahe Ausführung sicherstellen.
6. Jeder unterstützte Restore benötigt das aktuelle Lösch-/Wiederherstellungsregister samt Schlüssel. Gelöschte Karten werden entfernt, bevor eine restaurierte Datenbank regulär verwendet wird. Restores mehr als 30 Tage alter Backups werden abgewiesen. Ohne aktuellen unabhängigen Bestand keine Freigabe eines Restores für den Betrieb.
7. Löschfingerabdrücke und zugehörige Löschereignisse werden nach 31 Tagen im nächsten laufenden Prüfzyklus entfernt. Die Kennungen sind pseudonymisierte Kontrollinformationen, keine garantiert anonymen Daten. Unkontrollierte, alte Kopien außerhalb des vorgesehenen Restorewegs sind nicht zulässig.
8. Temporäre Dateien, heruntergeladene Wiederherstellungscodes, CSV-Exporte, lokale Browserkopien und gegebenenfalls bereits installierte Wallet-Karten müssen gemäß ihrer tatsächlichen Verfügbarkeit gesondert berücksichtigt werden. Noirtech hat keinen automatischen Zugriff auf private Geräte oder unkontrollierte Kopien des Auftraggebers.
9. Gesetzliche Aufbewahrungs-/Sperrgründe sind vor Ausführung einer Weisung durch den Auftraggeber zu prüfen. Buchhaltungsunterlagen gehören nicht zum lokalen Treuekartenjournal. Für etwaige Fälle mit echtem Aufbewahrungsbedarf ist ein separater, zweckgebundener Sperrprozess festzulegen.
10. Betroffenenanträge, Weisungen und Erledigungsbestätigungen werden mit angemessener, zweckgebundener Nachweisfrist dokumentiert. Frist und Ablage außerhalb des lokalen Kartenregisters: [festlegen; keine unbegrenzten Kundenakten].