Auftragsverarbeitungsvertrag Fassung: 2026-10-16 (de) Dieser AVV ist Bestandteil der Nutzungsbedingungen und gilt, soweit QRinio personenbezogene Daten in deinem Auftrag verarbeitet. Abschluss bei der Registrierung Bei der Registrierung nimmst du die Nutzungsbedingungen einschließlich dieses AVV und seiner Dienstleisteranlage an. Eine gesonderte Unterschrift oder E-Mail ist nicht erforderlich. Die angenommene Vertragskopie mit Datum steht in deinen Kontoeinstellungen bereit. Bereits bestehende Konten ohne dokumentierte Annahme stimmen dort einmal zu. Auftragsverarbeiter BundS GmbH, Marburger Str. 17, 57223 Kreuztal, Deutschland. info@qrinio.com Verantwortlicher Die bei Annahme mit Name oder Firma und Konto-E-Mail bezeichnete Person oder Organisation. Die Annahme ist dem Konto zugeordnet; die Konto-E-Mail dient als Kontakt für Weisungen und Datenschutz. Wer für eine Organisation handelt, erklärt, zu ihrer Vertretung berechtigt zu sein. 1. Gegenstand und Dauer Die BundS GmbH verarbeitet Kundendaten zur Bereitstellung der vereinbarten QRinio-Funktionen für die Dauer ihrer Nutzung und der anschließenden Rückgabe oder Löschung. Der Kunde bestimmt Zwecke, Inhalte und Berechtigungen und ist für Rechtsgrundlagen sowie die Information betroffener Personen verantwortlich. Eigene Verarbeitungen von QRinio, etwa zur Kontoverwaltung, sind in der Datenschutzerklärung beschrieben. 2. Verarbeitung und Daten Erfasst sind Speichern, Bearbeiten, Bereitstellen, Veröffentlichen, Übermitteln, Auswerten und Löschen der vom Kunden gewählten Inhalte: QR-Codes, Kurzlinks, Kontakt- und Linkseiten sowie Dateien und zugehörige Aufrufstatistiken. Je nach Nutzung handelt es sich um Namen, berufliche Kontaktangaben, Bilder, Inhalts- und Verbindungsdaten von Beschäftigten, Kunden, Geschäftskontakten und Besuchern. Der konkrete Umfang ergibt sich aus den vom Kunden genutzten Funktionen und erteilten Weisungen. Daten nach Art. 9 oder 10 DSGVO sind nur nach gesonderter Vereinbarung erfasst. 3. Weisungen und Vertraulichkeit Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Kunden, auch bei Drittlandübermittlungen. Weisungen ergeben sich aus diesem Vertrag, den gewählten Einstellungen und Mitteilungen der benannten Kontaktperson an info@qrinio.com. Verpflichtet uns Unionsrecht oder nationales Recht zur Verarbeitung, informieren wir vorher, soweit rechtlich zulässig. Auf aus unserer Sicht rechtswidrige Weisungen weisen wir unverzüglich hin und setzen deren Ausführung bis zur Klärung aus. Zugriffsberechtigte Personen sind zur Vertraulichkeit verpflichtet. 4. Technische und organisatorische Maßnahmen Wir gewährleisten risikogerechte Maßnahmen nach Art. 32 DSGVO. Folgende Maßnahmen sind Vertragsbestandteil; Weiterentwicklungen dürfen das Schutzniveau nicht vermindern: - Verschlüsselte Übertragung und auf berechtigte Personen beschränkte Verwaltungszugänge. - Geschützte Passwörter, getrennte Konten und rollenabhängige Zugriffsrechte. - Regelmäßige Sicherungen auf getrenntem Speicher mit verschlüsselter Übertragung, beschränktem Zugriff und Wiederherstellungstests. - Begrenzte Protokollierung und Löschfristen, Prüfung sicherheitsrelevanter Änderungen und Updates sowie regelmäßige Überprüfung der Wirksamkeit der Maßnahmen. - Dokumentierte Bearbeitung von Weisungen, Betroffenenanfragen und Sicherheitsvorfällen; Zutrittsschutz der eingesetzten Rechenzentren durch die Hostinganbieter. 5. Weitere Auftragsverarbeiter Der Kunde genehmigt die Dienstleisterliste in der beigefügten Vertragsanlage allgemein. Über Hinzufügen oder Ersetzen informieren wir mindestens 30 Tage vorher per E-Mail und ermöglichen begründete Datenschutz-Einwände vor dem Einsatz. Lässt sich ein Einwand nicht beheben, kann der Kunde die betroffene Leistung vor der Änderung beenden. Wir vereinbaren gleichwertige Datenschutzpflichten und bleiben für deren Erfüllung verantwortlich. Übermittlungen außerhalb des EWR erfolgen nur nach dokumentierter Weisung und unter Einhaltung von Kapitel V DSGVO; die Grundlage steht beim jeweiligen Dienstleister. 6. Unterstützung und Datenschutzverletzungen Unter Berücksichtigung der Verarbeitung und unserer verfügbaren Informationen unterstützen wir den Kunden bei Betroffenenrechten sowie seinen Pflichten nach Art. 32 bis 36 DSGVO, einschließlich Folgenabschätzungen und Behördenkonsultationen. Anfragen betroffener Personen leiten wir unverzüglich weiter und beantworten sie nur auf Weisung oder gesetzliche Verpflichtung. Verletzungen des Schutzes der Kundendaten melden wir unverzüglich nach Bekanntwerden mit den verfügbaren Angaben zu Art, Folgen, Maßnahmen und Kontakt; fehlende Angaben reichen wir nach. 7. Nachweise und Kontrollen Wir stellen alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit und ermöglichen und unterstützen Überprüfungen einschließlich Inspektionen durch den Kunden oder einen beauftragten Prüfer. Die Durchführung wird unter Wahrung der Vertraulichkeit anderer Kunden abgestimmt; dringende oder gesetzlich erforderliche Kontrollen werden dadurch nicht verhindert. 8. Rückgabe und Löschung Nach Ende der Leistung geben wir die Kundendaten nach Wahl des Kunden zurück oder löschen sie und vorhandene Kopien, soweit keine gesetzliche Aufbewahrung vorgeschrieben ist. Die Rückgabe wird vor der Löschung abgestimmt. Sicherungskopien werden bis zum Ablauf der in der Anlage vereinbarten Aufbewahrung gesperrt und anschließend gelöscht; bei Wiederherstellung werden bereits erteilte Löschweisungen erneut angewendet. Gesetzlich aufzubewahrende Daten bleiben auf diesen Zweck beschränkt. Die Löschung bestätigen wir auf Anfrage. Anlage: Dienstleister und Aufbewahrung Die beim Vertragsabschluss beigefügte Liste ist Bestandteil des Vertrags. Die genannten Dienstleister sind insoweit Unterauftragsverarbeiter, wie sie Daten im Auftrag des Kunden verarbeiten. - Verbindungsprotokolle: Keine allgemeinen Zugriffsprotokolle. - Backups: Die letzten 30 Sicherungen werden aufbewahrt; neue Sicherungen ersetzen die ältesten. Hosting · Oracle Cloud Infrastructure Server in Frankfurt, Deutschland. Für Support und Betrieb ist auch eine Verarbeitung außerhalb des EWR möglich. Übermittlungen nutzen die verlinkten vertraglichen Garantien. Eine Kopie und Angaben zu ergänzenden Schutzmaßnahmen erhältst du über unseren Kontakt. Datenschutz: https://www.oracle.com/legal/privacy/services-privacy-policy/ Übermittlungsgarantien: https://www.oracle.com/contracts/cloud-services/ Transaktionsmails · Resend (Plus Five Five, Inc.) Mailversand aus Irland; Speicherung und weitere Verarbeitung in den USA. Übermittlungen nutzen die verlinkten vertraglichen Garantien. Eine Kopie und Angaben zu ergänzenden Schutzmaßnahmen erhältst du über unseren Kontakt. Datenschutz: https://resend.com/legal/privacy-policy Übermittlungsgarantien: https://resend.com/legal/dpa Backups · Cloudflare R2 (Cloudflare, Inc.) Gewählte Speicherregion Westeuropa. Eine Verarbeitung außerhalb des EWR, insbesondere in den USA, ist möglich. Übermittlungen nutzen die verlinkten vertraglichen Garantien. Eine Kopie und Angaben zu ergänzenden Schutzmaßnahmen erhältst du über unseren Kontakt. Datenschutz: https://www.cloudflare.com/privacypolicy/ Übermittlungsgarantien: https://www.cloudflare.com/cloudflare-customer-dpa/