Auftragsverarbeitungsvertrag

1. Parteien und Abschluss

Auftragsverarbeiter ist WHITESPACE AS, Sævarevegen 30, 5628 Herand, Norwegen, Org.-Nr. 916 934 424. Kunde ist der geschäftlich im eigenen Namen handelnde Nutzer oder die von ihm wirksam vertretene Organisation, für deren Verarbeitung QR Report eingesetzt wird. Ein Workspace ist eine technische Organisationseinheit und nicht zwingend eine eigene juristische Person. Die Zuordnung ergibt sich aus den Konto- und Organisationsangaben sowie dem elektronischen Vertragsnachweis. Bei agenturverwalteten Kundenworkspaces ist die Agentur unser Vertragspartner; ihre Beauftragung durch den Kunden und die erforderlichen Genehmigungen bleiben notwendig.

Dieser AVV und seine Anlagen werden mit den Nutzungsbedingungen bei der entsprechend gekennzeichneten Registrierung gemeinsam angenommen. Eine zusätzliche Checkbox oder gesonderte Unterschrift ist nicht erforderlich. Die Annahme umfasst später berechtigt eingerichtete und dem Vertragsverhältnis zugeordnete Workspaces; bei deren Anlegen ist keine erneute Annahme erforderlich. Eine andere Organisation wird nur bei wirksamer Vertretung oder entsprechender Beauftragung gebunden. Eine Einladung oder Mitgliedschaft allein ersetzt diese Berechtigung nicht.

Die genau bezeichneten Fassungen sind vor Annahme einsehbar und herunterladbar und bleiben anschließend im Vertragsbereich des Nutzerkontos zugänglich. Der Nachweis enthält Nutzerkennung, E-Mail-Adresse, Zeitpunkt, Registrierungs- bzw. Bestätigungsweg, Sprache und Vertragsversion. Die E-Mail-Verifizierung wird gesondert dokumentiert. Zugeordnete Workspaces werden mit Kennung, damaligem Namen, anlegender oder berechtigter verantwortlicher Person und Zuordnungszeitpunkt dokumentiert. Die E-Mail des zugeordneten Vertragskontos dient zunächst als Kontakt für Datenschutz und Änderungen der Unterauftragnehmer; Änderungen teilt der Kunde uns mit. Eine individuell vereinbarte Fassung geht vor. Bei Datenschutzfragen geht dieser AVV den übrigen Nutzungsbedingungen vor.

Für bestehende Kunden setzt die Geltung dieser Fassung einen wirksamen Abschluss und die Zuordnung zum jeweiligen Vertragsverhältnis voraus. Eine technische Bestandsausnahme ersetzt keine Annahme und begründet allein keine neuen Löschregeln.

2. Rollen und Weisungen

Für Daten nach Anlage 1 ist der Kunde Verantwortlicher und WHITESPACE AS Auftragsverarbeiter. Handelt der Kunde als Auftragsverarbeiter für einen weiteren Verantwortlichen, ist WHITESPACE AS Unterauftragsverarbeiter; der Kunde stellt die erforderliche Beauftragung und Genehmigung dieser Kette sicher. Eigene Konto-, Abrechnungs-, Support- und Sicherheitsverarbeitungen von WHITESPACE AS richten sich gesondert nach der Datenschutzerklärung.

Wir verarbeiten Kundendaten nur auf dokumentierte Weisung, einschließlich zu Übermittlungen. Weisungen ergeben sich aus diesem Vertrag, der Produktkonfiguration und dokumentierten ergänzenden Anweisungen an support@qrreport.app. Eine gesetzlich vorgeschriebene Verarbeitung teilen wir vorab mit, sofern das Gesetz dies nicht untersagt. Halten wir eine Weisung für datenschutzwidrig, informieren wir den Kunden unverzüglich und setzen die betroffene Weisung bis zur Klärung aus.

3. Pflichten des Kunden

Der Kunde bestimmt rechtmäßige Zwecke und Rechtsgrundlagen, erfüllt Informationspflichten gegenüber Scannern und anderen Betroffenen und erteilt nur rechtmäßige Weisungen. Er begrenzt Inhalte, Empfänger und Zugriffsrechte auf das Erforderliche. QR-Ziele dürfen ohne gesonderte Vereinbarung keine besonderen Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen enthalten. Die bloße Verlinkung einer fremden Website bedeutet nicht, dass wir deren Inhalte hosten oder verarbeiten.

4. Vertraulichkeit und Sicherheit

Wir verpflichten zur Verarbeitung befugte Personen auf Vertraulichkeit oder stellen eine entsprechende gesetzliche Verpflichtung sicher. Wir treffen angemessene Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Kundendaten werden nicht für Werbung, Verkauf von Daten oder das Training eigener KI-Modelle verwendet.

5. Unterstützung und Datenschutzvorfälle

Wir unterstützen den Kunden unter Berücksichtigung der Verarbeitung und verfügbarer Informationen bei Betroffenenrechten und bei seinen Pflichten nach Art. 32–36 DSGVO, einschließlich Sicherheit, Meldungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Direkt eingehende Anfragen zu Auftragsdaten leiten wir unverzüglich an den Kunden weiter, soweit keine andere Weisung oder gesetzliche Pflicht gilt.

Eine Verletzung des Schutzes von Kundendaten melden wir dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, per E-Mail an den vereinbarten Vertragskontakt. Wir teilen soweit verfügbar Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, Gegenmaßnahmen und einen Kontakt mit; fehlende Informationen reichen wir ohne unnötige Verzögerung nach. Die Erstmeldung erfolgt auch bei laufender Untersuchung innerhalb dieser Frist und wartet nicht auf deren Abschluss. Die gesetzlichen Meldefristen des Kunden werden nicht verlängert.

6. Nachweise und Kontrollen

Wir stellen alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereit und ermöglichen sowie unterstützen Prüfungen einschließlich Inspektionen durch den Kunden oder beauftragte unabhängige Prüfer. Vertraulichkeit, Sicherheit und angemessene Terminabstimmung sind zu berücksichtigen; sie dürfen das Prüfungsrecht nicht vereiteln. Eine Zertifizierung von QR Report wird mit diesem Vertrag nicht zugesagt.

Regelprüfungen werden grundsätzlich 30 Tage vorher abgestimmt und sollen einmal jährlich stattfinden, soweit geeignete Nachweise nicht ausreichen. Anlassbezogene oder behördlich verlangte Prüfungen sowie zwingende Rechte sind davon nicht begrenzt. Jede Partei trägt grundsätzlich ihre eigenen Kosten; zusätzliche Vergütung wird nur vorher vereinbart und darf das Prüfungsrecht nicht vereiteln. Kosten bei festgestelltem Pflichtverstoß richten sich nach den gesetzlichen Ansprüchen.

7. Unterauftragnehmer und Übermittlungen

Der Kunde genehmigt die in Anlage 3 genannten Unterauftragnehmer allgemein. Über beabsichtigte Ergänzungen oder Ersetzungen informieren wir den im Abschlussnachweis benannten Kontakt mindestens 30 Tage im Voraus direkt per E-Mail. Der Kunde kann innerhalb dieser Frist aus Datenschutzgründen widersprechen. Wir suchen eine geeignete Lösung; gelingt diese nicht, kann der Kunde den betroffenen Leistungsteil vor Einsatz des neuen Anbieters beenden. Eine stille Änderung der Liste ersetzt die Mitteilung nicht.

Wir vereinbaren mit Unterauftragnehmern dieselben einschlägigen Datenschutzpflichten und bleiben für deren Erfüllung verantwortlich. Übermittlungen außerhalb des EWR erfolgen nur bei Erfüllung von Kapitel V DSGVO. Wir dokumentieren Empfänger, Übermittlungsgrundlage und erforderliche zusätzliche Maßnahmen und stellen diese Informationen bereit. Dieser Vertrag erklärt Norwegen nicht zum Drittland und ersetzt keine erforderlichen, vollständig ausgefüllten Übermittlungsvereinbarungen.

8. Aufbewahrung, Löschung und Datenrückgabe

Der AVV gilt während der Auftragsverarbeitung einschließlich der vereinbarten Aufbewahrung zur Reaktivierung und darüber hinaus, soweit für Rückgabe, Löschung und Vertraulichkeit erforderlich. Das Ende eines Abonnements allein löst daher noch keine sofortige Löschung aus. Endet auch die beauftragte Aufbewahrung oder verlangt der Kunde vorher die Löschung, löschen wir die Scan-Daten nach dem Absatz zu Rückgabe und Löschung weiter unten in diesem Abschnitt; eine gesonderte allgemeine Scan-Altersfrist besteht nicht.

Scan-Daten werden während der Vertragslaufzeit gespeichert, solange der Kunde keine kürzere Speicherung anweist. Der Kunde ist für die Erforderlichkeit und Speicherbegrenzung verantwortlich; eigene gesetzliche Pflichten von WHITESPACE AS bleiben unberührt. Eine feste allgemeine Höchstfrist für einzelne Scans wird nicht vereinbart. Auf Weisung löschen wir auch Scans einzelner Zeiträume, beispielsweise alle Scans vor einem Stichtag. Die Weisung erfolgt derzeit per E-Mail an support@qrreport.app; eine Funktion in der App kann folgen. Endet der Tarif- oder Testzugang, gelten vorbehaltlich einer früheren Löschweisung die folgenden Organisationsregeln; die hierfür vereinbarte Aufbewahrung ist Teil der Auftragsverarbeitung. Mit dem Ende dieser Verarbeitung werden die Scan-Daten nach dem Absatz zu Rückgabe und Löschung weiter unten in diesem Abschnitt gelöscht.

Scan-Ereignisse werden gespeichert, um die vereinbarten Auswertungen bereitzustellen. Nach Ende eines Abonnements bleiben die Organisation und ihre Scans zunächst für eine Reaktivierung erhalten. Ein aktives Abonnement umfasst auch die Abrechnung über eine Agentur. Solange eine Organisation mit einem geschenkten Tarif (comped im Sinne von AGB §1) kostenlos freigeschaltet ist, erfolgt keine automatische Löschung wegen Inaktivität oder fehlender Zahlung.

Nach bezahlter Nutzung werden Organisationen ohne aktives Abonnement und ohne aktive kostenlose Freischaltung einschließlich aller Scans nach einer Aufbewahrungsfrist von zwölf Monaten gelöscht; die Löschung wird zuvor per E-Mail angekündigt. Als bezahlte Nutzung gelten hierbei auch per Gutschein eingelöste Einmal-Codes, einschließlich Einlösungen mit 100 % Rabatt. Die Frist knüpft an das Ende des Abonnements an; bei Organisationen mit ausschließlich Einmal-Codes (auch per Gutschein eingelöst) an den Ablauf des letzten Codes. Nur nach bezahlter Nutzung kann der Kunde die Aufbewahrung durch eine aktive Erklärung kostenlos jeweils um weitere zwölf Monate verlängern. Die aktive Erklärung zur kostenlosen Verlängerung kann per E-Mail an support@qrreport.app erfolgen; wir bestätigen das neue Aufbewahrungsende.

Organisationen ohne bisherige bezahlte Nutzung im vorstehenden Sinne, für die keine kostenlose Freischaltung aktiv ist, werden einschließlich aller Scans nach einer Aufbewahrungsfrist von 30 Tagen gelöscht. Ausgangspunkt ist das Ende der Testphase oder, wenn keine Testphase besteht, das Anlegen der Organisation. Die Löschung wird zuvor per E-Mail angekündigt. Für diese Organisationen gibt es keine kostenlose Verlängerung; die Daten können nur durch Abschluss eines Abonnements über diese Frist hinaus erhalten bleiben.

Beide Organisationsfristen beginnen frühestens mit Inkrafttreten dieser Vertragsfassung am 01.10.2026. Für den Fristbeginn ist jeweils der spätere Zeitpunkt maßgeblich: der oben genannte Ausgangspunkt (Testende oder ohne Testphase das Anlegen der Organisation; nach bezahlter Nutzung das Abonnementende beziehungsweise der Ablauf des letzten Codes) oder das Inkrafttreten dieser Vertragsfassung. Frühere Enddaten führen damit nicht zu rückwirkend bereits abgelaufenen Fristen.

Löscht der Kunde die Organisation, werden die zugehörigen Scans im Live-System unmittelbar mitgelöscht. Die Organisationsfristen sind keine Altersfristen einzelner Scans. Eine weitere Reduzierung älterer Daten bleibt vorbehalten; eine spätere Verdichtung oder Anonymisierung wird nicht zugesagt.

Nach Ende der beauftragten Verarbeitung geben wir personenbezogene Kundendaten nach Wahl des Kunden vor ihrer Löschung in einem gängigen elektronischen Format zurück oder löschen sie einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Export und Löschung können über support@qrreport.app angefordert werden. Eine erforderliche eingeschränkte Aufbewahrung wird dem Kunden erläutert.

Live-Löschung und Sicherungskopien sind zu unterscheiden: vorhandene Datenbank-Backups können gelöschte Daten bis zum regulären Auslaufen der Sicherung enthalten. Sie dienen nur der Wiederherstellung und nicht weiteren Auswertungen; eine sofortige physische Einzelbereinigung aller Backups wird nicht zugesagt. Bei Wiederherstellung sind bereits erteilte Löschweisungen erneut anzuwenden, bevor die betroffenen Daten wieder regulär verarbeitet werden. Sicherungsumfang und bestätigter technischer Stand stehen in Anlage 2.

9. Haftung und Recht

Die Regelungen der Nutzungsbedingungen gelten nur, soweit zwingendes Datenschutzrecht nicht entgegensteht. Rechte betroffener Personen und Befugnisse der Aufsicht bleiben unberührt. Änderungen des AVV werden dokumentiert; wesentliche Änderungen des Verarbeitungsumfangs bedürfen einer wirksamen Vereinbarung. Die deutsche Fassung ist maßgeblich.

Anlage 1 Einzelheiten der Verarbeitung

Gegenstand und Zweck: Bereitstellung von QR-Code-Verwaltung, Weiterleitung, Scan-Auswertung, Organisationszugriffen und beauftragtem Berichtversand. Vorgänge: Erheben, Speichern, Ordnen, Auswerten, Bereitstellen, Übermitteln und Löschen. Dauer: aktive Nutzung zuzüglich der in Abschnitt 8 vereinbarten Aufbewahrung und Rückgabe- und Löschphase.

Betroffene Personen: Scanner, vom Kunden berechtigte Nutzer und Berichtsempfänger sowie Personen, deren Daten der Kunde in gespeicherten Inhalten übermittelt. Datenarten: QR-Zieladressen und Inhalte, Namen und E-Mail-Adressen soweit beauftragt, Organisationszuordnungen, Scan-Zeitpunkte, pseudonyme Tageskennungen, Geräte-/Browser-/Betriebssystemkategorien, verweisende Hostnamen und IP-abgeleitete Standortdaten einschließlich auf eine Nachkommastelle gerundeter Koordinaten. Für Altdaten gelten die in Anlage 2 beschriebenen Maßnahmen für frühere IP-Hashes und vollständige Browserkennungen. IP-Adressen und Browserkennungen werden zur technischen Verbindung und Kennungsbildung verarbeitet; neue Scan-Datensätze speichern weder IP-Adresse noch IP-Hash oder vollständigen User-Agent.

Speicherung und Löschung: Scan-Daten während der Vertragslaufzeit, soweit der Kunde keine kürzere Speicherung anweist; auch Löschung einzelner Zeiträume auf E-Mail-Weisung an support@qrreport.app. Bei Ende der beauftragten Verarbeitung erfolgt die Löschung nach §8. Die maßgeblichen Aufbewahrungs-, Rückgabe- und Löschregeln einschließlich Vertragsende stehen ausschließlich in §8. Technische Einzelheiten der Tageskennung stehen in Anlage 2.

Anlage 2 Technische und organisatorische Maßnahmen

Übertragung über HTTPS/TLS, Supabase Auth, organisationsbezogene Datenbankrichtlinien und serverseitige Rollenprüfungen. Privilegierte Datenbank-Schlüssel werden serverseitig eingesetzt. Laut Betreiberbestätigung sind die administrativen Konten bei Vercel, Supabase und AhaSend sowie das Verwaltungs-/Recovery-E-Mail-Konto mit MFA geschützt.

Die Kennung wechselt täglich um 00:00 UTC. Sie dient zur Schätzung eindeutiger Besucher innerhalb desselben Tages und derselben Organisation, auch über mehrere Codes und Kampagnen hinweg. Werte über mehrere Tage summieren tägliche Schätzungen; sie zählen keine verlässlich identifizierten Personen. Gemeinsame Netzwerke oder Gerätewechsel können die Schätzung verzerren.

Gespeichert werden außerdem Gerätekategorien, verweisende Domain und verfügbare IP-abgeleitete Standortangaben (Land, Region, Stadt, Zeitzone und auf eine Nachkommastelle gerundete Koordinaten). Das ist keine feste Kilometer- oder Stadtgenauigkeitsgarantie. Diese Daten werden nicht pauschal als anonym behandelt.

Die Kennung wird serverseitig aus Organisation, IP-Adresse sowie Browser-, Betriebssystem- und Gerätekategorie mit einem geheimen, unabhängig erzeugten Tagesschlüssel gebildet. Die Berechnung protokolliert diese Eingaben und den Schlüssel nicht. Neue Scans speichern keinen zusätzlichen IP-Hash und keinen vollständigen User-Agent. Der verweisende URL wird auf den Hostnamen begrenzt. Koordinaten werden auf eine Nachkommastelle gerundet; Genauigkeit und Aussagekraft variieren.

Kampagnenwerte folgen der aktuellen Code-Zuordnung. Organisationswerte werden innerhalb des UTC-Tages über alle Codes dedupliziert und sind nicht die Summe einzelner Kampagnen. Gleiche Tageskennungen bleiben mit den gespeicherten Scans verknüpfbar. Der Schlüsselwechsel löscht keine Ereignisse und macht sie nicht automatisch anonym.

Ein stündlicher Lauf zur Minute 10 entfernt Schlüssel vergangener UTC-Tage aus der aktiven Datenbank, regulär erstmals um 00:10 UTC des Folgetags, bei Fehlläufen beim nächsten erfolgreichen Lauf. Der Anwendungscache nutzt einen Schlüssel ab Tagesende zuzüglich zehn Minuten nicht mehr; abgelaufene Einträge werden beim nächsten Zugriff entfernt. Eine physische Speicherlöschung zu einem exakten Zeitpunkt wird nicht zugesagt. Schlüsselkopien können bis zum Auslaufen der Datenbank-Backups bestehen.

Für ältere Scans bereinigt der tägliche Bestandslauf nach 30 Tagen frühere IP-Hashes und vollständige User-Agents. Er löscht keine neuen Tageskennungen oder gerundeten Koordinaten. Diese technische Altlastenbereinigung ist keine allgemeine Scan-Altersfrist und kein zugesagtes zukünftiges Verdichtungsverfahren.

Supabase erstellt täglich ein physisches Datenbank-Backup mit regulär sieben Tagen Wiederherstellungshistorie. Diese Backups enthalten Storage-Metadaten, aber keine hochgeladenen Dateien/Logos. Eine zusätzliche automatisierte Datei-/Logo-Sicherung ist derzeit nicht eingerichtet; aus den Datenbank-Backups lassen sich gelöschte Dateien nicht wiederherstellen. Kunden sollten Originaldateien zusätzlich aufbewahren.

Anlage 3 Unterauftragnehmer

Die folgende Tabelle benennt Unterauftragnehmer für beauftragte Verarbeitung. Öffentliche Anbieterbedingungen: Vercel DPA, Supabase DPA, AhaSend DPA.

Plausible verarbeitet unsere eigene Website-Statistik, Polar Kauf-/Rechnungsdaten in eigener Verantwortung. Google OAuth betrifft die Anmeldung. Diese Dienste sind nicht pauschal Unterauftragnehmer für Kunden-Scans; ihre Rollen und Drittlandfragen stehen in der Datenschutzerklärung.