Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

zwischen

[Name / Studioname des Artists], [Anschrift] — nachfolgend „Verantwortlicher" —

und

TODA Tattoo Solutions S.L., Carrer de Miquel Barceló 4, Bloque A2 Apt. 201, 07180 Calvià (Illes Balears), Spanien — nachfolgend „Auftragsverarbeiter" oder „TODA" —

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software-Plattform zur Verfügung, über die der Verantwortliche Anfragen seiner Endkundinnen und Endkunden entgegennimmt und verwaltet (Anfrage-Widget, Termin- und Kundenverwaltung, E-Mail-Kommunikation). Dabei verarbeitet TODA personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

(2) Dieser Vertrag gilt für die Dauer des zugrunde liegenden Nutzungsvertrags über die TODA-Plattform und endet mit diesem.

§ 2 Art, Zweck und Umfang der Verarbeitung; Art der Daten; betroffene Personen

(1) Zweck ist die Bereitstellung der genannten Plattform-Funktionen zur Bearbeitung von Tattoo-Anfragen und der zugehörigen Kunden- und Terminverwaltung.

(2) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Übermitteln (E-Mail-Versand), Löschen — im Rahmen der Plattform-Funktionen.

(3) Kategorien personenbezogener Daten:

• Kontakt- und Stammdaten der Endkunden (Vor-/Nachname, E-Mail, Telefon, Geburtsdatum);
• Angaben zum gewünschten Tattoo (Körperstelle, Stil-/Farbwünsche, Beschreibung) sowie hochgeladene Motiv-, Referenz- und Körperbilder;
• Kommunikations- und Termindaten (E-Mail-Verkehr, Termine, Zahlungs-/Anzahlungsstatus);
• besondere Kategorien nach Art. 9 DSGVO, soweit der Verantwortliche im internen Notizfeld gesundheitsbezogene Angaben (z. B. Allergien, Unverträglichkeiten) erfasst.

(4) Kreis der Betroffenen: die Endkundinnen und Endkunden des Verantwortlichen.

§ 3 Pflichten des Auftragsverarbeiters

(1) Weisungsbindung: TODA verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Verantwortlichen. Hält TODA eine Weisung für rechtswidrig, teilt sie dies mit.

(2) Vertraulichkeit: TODA stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.

(3) Sicherheit der Verarbeitung: TODA trifft die erforderlichen technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 2). Für die gesundheitsbezogenen Notizfelder gelten erhöhte Schutzanforderungen.

(4) Unterstützung: TODA unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 15–22) sowie bei den Pflichten nach Art. 32–36 DSGVO.

(5) Meldung von Verletzungen: TODA meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

(6) Nachweis und Überprüfung: TODA stellt dem Verantwortlichen die zur Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Rahmen.

(7) Löschung/Rückgabe: Nach Ende der Verarbeitung löscht TODA die Daten nach Wahl des Verantwortlichen oder gibt sie zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (§ 6).

§ 4 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter.

(2) TODA informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) und räumt ihm ein Einspruchsrecht ein.

(3) TODA verpflichtet jeden Unterauftragsverarbeiter auf ein Datenschutzniveau, das den Anforderungen dieses Vertrags entspricht.

§ 5 Drittlandübermittlung

Übermittlungen in Drittländer erfolgen nur auf Grundlage eines gültigen Übermittlungsinstruments nach Kapitel V DSGVO. Für die in Anlage 1 in den USA ansässigen Dienstleister gilt: für nach dem EU-US Data Privacy Framework zertifizierte Anbieter der Angemessenheitsbeschluss (Art. 45 DSGVO), im Übrigen Standardvertragsklauseln (Art. 46 DSGVO) nebst ergänzenden Maßnahmen.

§ 6 Löschung und Aufbewahrung

TODA verfügt über ein vollständiges Löschverfahren, das auf Anforderung sämtliche Datenbank-Einträge, das Nutzerkonto und gespeicherte Dateien eines Verantwortlichen entfernt. Daneben bestehen automatische Routinen (z. B. Entfernung nicht abgeschlossener Anmeldungen nach 14 Tagen, zugestellter System-Ereignisse nach 30 Tagen). Anträge im Zusammenhang mit verstorbenen betroffenen Personen (z. B. nach Art. 3 LOPDGDD) bildet das Löschverfahren ab. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 7 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten die Bestimmungen des zugrunde liegenden Nutzungsvertrags sowie Art. 82 DSGVO.

(2) Änderungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam.

Anlage 1 — Unterauftragsverarbeiter

Anlage 2 — Technisch-organisatorische Maßnahmen (Art. 32 DSGVO) — auf Basis Tomek-Bericht Runde 2 (2026-07-23)

• Verschlüsselung bei der Übertragung (TLS/HTTPS) für sämtliche Zugriffe auf die Plattform.
• Verschlüsselung im Ruhezustand (at rest): projektweiter Standard der Supabase-Plattform (laut Supabase-Sicherheitsdokumentation voreingestellt).
• Hosting der Primärdaten in der EU (Supabase, AWS Frankfurt, `eu-central-1`).
• Zugriffs- und Rollenkonzept: Der Zugriff auf Kundendaten ist über Datenbank-Zugriffsregeln (Row Level Security) auf den jeweiligen Verantwortlichen beschränkt; andere Nutzer und anonyme Besucher haben keinen Zugriff. Die Produktiv-Anwendung von TODA fragt die Kundenkartei nicht ab. Die gesundheitsbezogenen Notizfelder erscheinen nie in E-Mails, PDF-Ausgaben oder aggregierten Auswertungen.
• Datenminimierung besonderer Kategorien: Die gesundheitsbezogenen Notizfelder sind optional (standardmäßig deaktiviert) und werden ausschließlich innerhalb der Kundenkartei des jeweiligen Verantwortlichen verarbeitet.
• Löschbarkeit: verifiziertes vollständiges Löschverfahren mit Nachweis (§ 6).
• Organisatorische Zugriffskontrolle beim Auftragsverarbeiter: Der administrative Zugang zur Produktivdatenbank ist auf das notwendige Minimum beschränkt, mit Zwei-Faktor-Authentifizierung gesichert und durch eine interne Zugriffsregelung geregelt. (Konkrete Regelung wird von TODA beigefügt — offen als C10.)

Bewusst nicht umgesetzt (mit Begründung, zur anwaltlichen Bewertung):

• Keine feldspezifische Verschlüsselung der Gesundheits-Notizfelder: Das dafür vorgesehene Datenbank-Modul (pgsodium) ist vom Plattformanbieter abgekündigt und wird ausdrücklich nicht empfohlen; eine anwendungsseitige Verschlüsselung wäre ein erheblicher Umbau. Zu prüfen, ob die Plattform-Verschlüsselung at rest für Art. 9 genügt (P16 e).
• Kein feldbezogenes Zugriffsprotokoll: Ein solches Protokoll würde den Abfragetext — und damit potenziell die Gesundheitswerte selbst — in eine Log-Pipeline mit unklarem Drittland-Standort schreiben. Ob das besser oder schlechter ist als kein Protokoll, ist anwaltlich zu bewerten (P16 f).

Stand: Juli 2026