Auftragsverarbeitung

Bei ausschließlich persönlicher oder familiärer Nutzung kann für das Paar die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO greifen. Die Datenschutzpflichten von klick-ja bleiben unberührt. Fehlt die Ausnahme, müssen die tatsächlichen Rollen trotzdem gesondert geprüft werden; daraus folgt nicht automatisch eine Auftragsverarbeitung.

Verantwortlicher: Verantwortlicher im Sinne dieses AVV ist der bei der Registrierung angegebene Account-Inhaber (Name und verifizierte E-Mail-Adresse), ergänzt durch die im Kundenkonto hinterlegte Anschrift. Während der 14-tägigen Testphase werden Name und verifizierte E-Mail-Adresse als Identifikation verwendet; eine Anschrift wird bei kostenpflichtigem Paket- oder Domainkauf verpflichtend im Checkout erhoben und nach erfolgreichem Abschluss in den Kundenstammdaten bei klick-ja gespeichert.

Auftragsverarbeiter: Martina Ribisch, klick-ja, Fabrikstraße 32, 4020 Linz, Österreich, E-Mail: office@klick-ja.at.

Diese Vereinbarung soll den SaaS-Nutzungsvertrag ergänzen und gilt nur für personenbezogene Daten, die klick-ja für den Verantwortlichen verarbeitet. Für Kundenkonto, eigene Abrechnung und eigene gesetzliche Pflichten kann klick-ja selbst Verantwortliche sein.

Gegenstand ist die Bereitstellung von Hochzeits-Website, Gästemanagement, RSVP, Planungs- und gegebenenfalls Foto-Funktionen. Verarbeitungen können Erheben, Erfassen, Ordnen, Speichern, Auslesen, Bereitstellen, Ändern, Übermitteln und Löschen umfassen.

Die Verarbeitung beginnt mit der ersten tatsächlichen Verarbeitung personenbezogener Daten im Auftrag und dauert für die Vertragslaufzeit. Nach Vertragsende gibt klick-ja die Daten nach Weisung zurück oder löscht sie nach Anlage C, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Je nach aktivierten Funktionen können Namen, Kontaktdaten, RSVP-Antworten, Teilnahme- und Essensauswahl, frei eingegebene Angaben, Website-Inhalte, Fotos und technische Kennungen von eingeladenen Gästen und Personen im Kundenkonto verarbeitet werden.

Besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, sollen nicht eingegeben werden, außer die Verarbeitung wurde vom Verantwortlichen gesondert geprüft, rechtmäßig dokumentiert und mit geeigneten zusätzlichen Schutzmaßnahmen versehen.

Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel der Gästedatenverarbeitung, stellt Gästen die vorgeschriebenen Informationen bereit und sorgt für eine Rechtsgrundlage. Er bleibt für die Rechtmäßigkeit und Richtigkeit der übermittelten Daten sowie für die Beantwortung von Betroffenenanfragen verantwortlich.

klick-ja verarbeitet die Daten ausschließlich auf dokumentierte Weisung, soweit keine gesetzliche Verpflichtung entgegensteht. Die Nutzung der gebuchten Funktionen und diese Vereinbarung bilden die anfänglichen Weisungen.

• Verarbeitung nur nach dokumentierter Weisung und für den vereinbarten Zweck;
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit;
• angemessene technische und organisatorische Sicherheitsmaßnahmen;
• Unterstützung bei Betroffenenrechten, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und erforderlichen Behördenkonsultationen im gesetzlich vorgesehenen Umfang;
• Mitteilung einer Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung nach Bekanntwerden;
• nach Vertragsende Rückgabe oder Löschung der Daten nach Weisung, soweit keine gesetzliche Aufbewahrungspflicht besteht;
• Bereitstellung angemessener Informationen zum Nachweis der Einhaltung dieser Vereinbarung.

Der Auftragsverarbeiter setzt die in Anlage B für die jeweiligen Funktionen genannten Unterauftragsverarbeiter ein. Er verpflichtet diese auf die für ihre Verarbeitung geltenden Datenschutz- und Sicherheitsanforderungen und bleibt für die Erfüllung seiner Pflichten aus dieser Vereinbarung verantwortlich.

Der Auftragsverarbeiter informiert den Verantwortlichen rechtzeitig vor dem Einsatz eines neuen oder ersetzenden Unterauftragsverarbeiters. Der Verantwortliche kann aus Datenschutzgründen innerhalb angemessener Frist Einwände erheben; die Parteien stimmen in diesem Fall eine geeignete Lösung ab. Übermittlungen personenbezogener Daten außerhalb des EWR erfolgen nur unter Einhaltung der Anforderungen des Kapitels V DSGVO.

Die in Anlage A beschriebenen technischen und organisatorischen Maßnahmen sind Bestandteil dieser Vereinbarung. Der Auftragsverarbeiter hält sie während der Vertragslaufzeit aufrecht und überprüft sie regelmäßig auf ihre Wirksamkeit.

• Transportverschlüsselung: Die gehostete Anwendung und die verwendeten Supabase- und R2-Endpunkte werden über HTTPS/TLS angesprochen.
• Datenbankzugriff: Row Level Security und eingeschränkte Tabellen-/Funktionsrechte schützen die dafür konfigurierten Supabase-Tabellen. Privilegierte Service-Zugriffe sind serverseitig gekapselt; RLS ersetzt dabei nicht die erforderlichen Berechtigungsprüfungen in der Anwendung.
• Berechtigungskonzept: Serverseitige Prüfungen ordnen Kundenkonto und Hochzeit einander zu. Geschützte Gästezugänge und Dateiabrufe berücksichtigen den gewählten Zugangsmodus und die jeweiligen Nutzungsrechte. Öffentliche Seiten geben die vom Paar dafür bereitgestellten Inhalte entsprechend der Zugangseinstellung aus.
• Sitzungsschutz: Cookies für eingeschränkte und individuelle Einladungszugänge sind HttpOnly, SameSite=Lax und im Produktionsmodus Secure. Diese Aussage gilt nicht pauschal für die Supabase-Authentifizierungs-Cookies des Kundenkontos, die auch vom Browser-Client verwendet werden.
• Dateizugriff: R2 verwendet getrennte private Buckets für Gäste- und Templatebilder. Die Anwendung verlangt bei aktiviertem R2 die EU-Jurisdiction und prüft Zugriffe vor der Ausgabe zeitlich begrenzter signierter URLs.
• Missbrauchsbegrenzung: Anwendungsseitige Rate-Limits begrenzen unter anderem Kontakt-, RSVP- und Einladungsanfragen.
• Nachweise und Umgebungen: Registrierungs- und Kaufnachweise werden serverseitig mit Textfassungen, Versionen und Zeitpunkten gespeichert. Lokale Entwicklung verwendet getrennte lokale Datenbankziele; Staging und Produktion sind getrennte Projekte.
• Sicherungen: Supabase Pro erstellt tägliche Datenbankbackups mit einer verfügbaren Historie von sieben Tagen. Diese Backups enthalten keine in Cloudflare R2 gespeicherten Dateien. Die verfügbare Historie ist keine Frist für die endgültige Löschung aller Datenkopien.

Der Auftragsverarbeiter beschränkt administrative Zugriffe auf befugte Personen, verpflichtet diese auf Vertraulichkeit, behandelt und dokumentiert Sicherheitsvorfälle und überprüft die Wirksamkeit der Maßnahmen regelmäßig.

Die nachstehend genannten Anbieter werden für die jeweils beschriebenen Funktionen eingesetzt, soweit diese Funktionen für das Kundenkonto aktiviert sind. Die Angaben zu Unternehmenssitz und Verarbeitungsort unterscheiden sich; eine regionale Speicherung einzelner Datenarten schließt weitere Verarbeitungsorte nicht aus.

• easyname GmbH, Fernkorngasse 10, 1100 Wien, Österreich: Registrierung und DNS-Verwaltung der Domain `klick-ja.at` sowie Hosting des Support-Postfachs. Dabei können Domain- und Kontaktdaten, technische DNS-Daten sowie Absender-, Empfänger-, Nachrichten- und Mailmetadaten verarbeitet werden.
• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: Hosting, Edge-Netzwerk und Bereitstellung der Anwendung. Die Verarbeitung von Kundeninhalten erfolgt im Rahmen der Hosting-Leistung; Vercel und seine Unterauftragnehmer können Daten in den USA und weiteren Ländern verarbeiten.
• Supabase Pte. Ltd., Singapur: Authentifizierung, Datenbank und Metadaten. Die primäre Datenbank ist in Frankfurt (eu-central-1) eingerichtet. Support und Unterauftragnehmer können weitere Verarbeitungsorte umfassen.
• Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA: Versand transaktionaler E-Mails, insbesondere Konto- und Passwortnachrichten, RSVP-Bestätigungen, Kontaktanfragen und Vertragsmitteilungen. Die Versandregion ist Irland (eu-west-1); Konto-, E-Mail-Metadaten-, Protokoll- und API-Daten können in den USA verarbeitet werden.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA: Cloudflare R2 für private Foto- und Dateispeicherung sowie die Verarbeitung von ZIP-Archiven. Die EU-Jurisdiction von R2 bezieht sich auf gespeicherte R2-Objekte; sie umfasst nicht automatisch Worker-, Protokoll-, Support- oder Kontodaten.

Die jeweils geltenden Unterauftragnehmerlisten der genannten Anbieter ergänzen diese Übersicht. Der Auftragsverarbeiter hält die für die konkrete Verarbeitung anwendbaren Vertragsbedingungen und Übermittlungsgrundlagen ein und stellt dem Verantwortlichen die erforderlichen Informationen auf Anfrage bereit. Stripe verarbeitet Zahlungs- und Bestelldaten im Checkout und ist nicht allein deshalb Unterauftragsverarbeiter für Gästedaten.

Website-Inhalte und zugehörige Gästedaten werden spätestens 30 Tage nach Ende des gebuchten Pakets gelöscht. Daten unbezahlter Testkonten werden spätestens 30 Tage nach Ende der Testphase gelöscht. Rechtzeitig bestätigte Verlängerungen verschieben den jeweiligen Löschzeitpunkt.

Eigenständige Foto-Galerien und die darin gespeicherten Fotos werden spätestens 90 Tage nach Ende der Galerie gelöscht. Erstellte ZIP-Archive werden spätestens 24 Stunden nach ihrer Erstellung gelöscht.

Nach Vertragsende gibt der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie. Die Löschung umfasst Datenbankeinträge, Originaldateien, Bildvarianten, Uploadreste und ZIP-Exporte, soweit diese dem Auftragsverarbeiter zugänglich sind und keine gesetzliche Aufbewahrungspflicht entgegensteht. Vertrags-, Rechnungs- und sonstige gesetzlich aufzubewahrende Nachweise werden getrennt und nur für die jeweils erforderliche Dauer gespeichert.

Supabase Pro erstellt tägliche Datenbankbackups mit einer verfügbaren Historie von sieben Tagen. Diese Backups enthalten keine in Cloudflare R2 gespeicherten Dateien. Die sieben Tage bezeichnen die verfügbare Backup-Historie und sind keine Zusage, dass einzelne Daten spätestens nach sieben Tagen aus allen Kopien gelöscht sind.

E-Mail-Transaktionsdaten bei Resend werden 30 Tage aufbewahrt. Konto- und Nutzerdaten des E-Mail-Dienstes werden nach Beendigung des Resend-Kontos innerhalb von bis zu 90 Tagen gelöscht.

Für Customer Data bei Vercel gelten die Löschregelungen des anwendbaren Providervertrags. Die öffentliche DPA-Fassung sieht für die Löschung nach Vertragsende eine „commercially reasonable timeframe“ vor, ohne eine feste Tagesfrist zu nennen. Service-Generated Data und Contact Data können nach den dafür geltenden Providerregelungen weiter aufbewahrt werden.

Für Sicherungskopien, Protokolle und weitere Dienstmetadaten gelten zusätzlich die jeweiligen Aufbewahrungs- und Löschzyklen der Anbieter. Diese Kopien können über die Löschung aktiver Produktivdaten hinaus bestehen; eine einheitliche feste Löschfrist für sämtliche Anbieter und Datenarten wird nicht zugesagt.

Nach einer Wiederherstellung aus Sicherungskopien berücksichtigt der Auftragsverarbeiter zuvor wirksam gewordene Löschungen und führt erforderliche Löschungen erneut durch, bevor wiederhergestellte Daten erneut bereitgestellt oder genutzt werden.

Der Verantwortliche kann die Einhaltung der Vereinbarung durch angemessene Nachweise prüfen. Prüfungen sind nach angemessener Vorankündigung, unter Wahrung von Sicherheits- und Geheimhaltungsinteressen und ohne unangemessene Störung des Betriebs durchzuführen.

Abschluss: Die Parteien schließen diese Vereinbarung elektronisch oder in Textform ab. Der Abschlusszeitpunkt, die akzeptierte Fassung und die zustimmende Person sind zu dokumentieren.

Bei elektronischem Abschluss werden die zustimmende Vertragspartei, der Zeitpunkt, die akzeptierte AVV-Version und der vollständige Vertragstext einschließlich Anlagen dokumentiert. Der Registrierungs- oder Kaufnachweis ordnet die AVV der angenommenen AGB-Fassung zu.

Im Kunden-Dashboard kann der Verantwortliche den aktuellen, personalisierten AVV-Ausdruck mit den Kontodaten abrufen. Für einen bereits dokumentierten Abschluss bleibt die gespeicherte Annahmefassung einschließlich Version und Anlagen maßgeblich. Bestehenden Konten wird kein rückwirkender AVV-Abschluss zugeschrieben.