Tattookalender
Pakete

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Kunden („Studio“, Verantwortlicher) und der DSX Media Solutions UG (haftungsbeschränkt), Am Weingarten 9, 96117 Memmelsdorf („wir“, Auftragsverarbeiter). Stand: 28. Oktober 2026. Er gilt zusammen mit den AGB und wird mit dem Vertrag über den Tattookalender Bestandteil; mit der Bestellung stimmt das Studio ihm zu.

1. Gegenstand und Dauer

Wir verarbeiten im Tattookalender personenbezogene Daten im Auftrag des Studios. Der Vertrag gilt, solange wir Daten für das Studio verarbeiten, und endet mit dem Hauptvertrag.

2. Art, Zweck, Daten und Betroffene

Zweck ist der Betrieb des Tattookalenders für das Studio: Kalender, Kundenkartei, Online-Buchung, Anfragen, Einwilligung und Aufklärung, Zahlungen, Nachrichten und Kasse, je nach gebuchtem Paket. Daten, Betroffene und Löschfristen stehen in Anlage 1. Das Studio verarbeitet Gesundheitsangaben (Art. 9 DSGVO) nur mit ausdrücklicher Einwilligung der Kundin oder des Kunden.

3. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Studios (Hauptvertrag, Einstellungen in der App, Weisungen in Textform). Halten wir eine Weisung für rechtswidrig, sagen wir das unverzüglich. Pflichten zur Verarbeitung nach EU-Recht oder dem Recht eines Mitgliedstaats bleiben unberührt; wir teilen sie dem Studio vorher mit, soweit das erlaubt ist.

4. Vertraulichkeit

Wer bei uns Zugriff auf die Daten hat, ist zur Vertraulichkeit verpflichtet. Der Zugriff ist auf das Nötige für Support und Betrieb beschränkt.

5. Sicherheit der Verarbeitung

Wir setzen die Maßnahmen aus Anlage 2 um und entwickeln sie weiter.

6. Unterstützung des Studios

Wir unterstützen das Studio bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Export), bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden, soweit uns die Informationen vorliegen. Anfragen Betroffener leiten wir unverzüglich weiter.

7. Verletzungen des Schutzes personenbezogener Daten

Wir melden dem Studio eine Datenschutzverletzung unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den uns bekannten Angaben (Art, betroffene Daten, mögliche Folgen, ergriffene Maßnahmen).

8. Unterauftragsverarbeiter

Das Studio genehmigt die Unterauftragsverarbeiter aus Anlage 3. Änderungen teilen wir mindestens vier Wochen vorher in Textform mit. Das Studio kann aus wichtigem datenschutzrechtlichem Grund widersprechen; dann können beide Seiten den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen. Unterauftragsverarbeiter verpflichten wir auf Pflichten, die diesem Vertrag entsprechen.

9. Drittländer

Eine Übermittlung außerhalb der EU/des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, etwa das EU-US Data Privacy Framework, oder Standardvertragsklauseln). Anlage 3 nennt das je Dienstleister.

10. Nachweise und Kontrolle

Wir stellen dem Studio auf Anfrage die Informationen bereit, die es für den Nachweis seiner Pflichten braucht. Prüfungen sind nach Voranmeldung (mindestens 14 Tage) und zu den üblichen Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören. Die Kosten trägt das Studio, außer wir haben Pflichten verletzt.

11. Löschung und Rückgabe

Nach Vertragsende stellen wir dem Studio auf Wunsch innerhalb von 30 Tagen einen Export seiner Daten bereit. Danach löschen wir die Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien laufen spätestens nach sieben Tagen aus. Übergebene Umzugsdateien löschen wir wie in § 17 der AGB beschrieben, einschließlich aller Kopien.

12. Haftung und Schluss

Gegenüber Betroffenen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gilt § 15 der AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um personenbezogene Daten geht. Es gilt deutsches Recht; der Gerichtsstand folgt den AGB.

Anlage 1: Daten und Betroffene

  • Betroffene: Kundinnen und Kunden des Studios, Interessenten, Mitarbeitende und Artists.
  • Datenarten: Name, Kontaktdaten, Geburtsdatum, Termine, Notizen, Fotos, Zahlungsangaben, Chatnachrichten, Einwilligungen mit Unterschrift, IP-Adresse und Gerät als Nachweis der Einwilligung, Gesundheitsangaben (Art. 9 DSGVO).
  • Löschfristen: Das Studio stellt sie in der App ein. Standard: Einwilligungen und Angaben zu Farbe und Charge 10 Jahre, Zugriffsprotokoll 3 Jahre. Das Studio prüft diese Fristen für sich.

Anlage 2: Technische und organisatorische Maßnahmen

  • Datenbank bei Supabase in Frankfurt am Main (Region eu-central-1), Studios sind per Zeilenschutz (RLS) streng getrennt.
  • Rollenrechte je Person (Inhaber, Studioleitung, Rezeption, Artist). Gesundheitsangaben aus der Einwilligung sehen nur Inhaber, Studioleitung und der Artist des jeweiligen Termins; jeder Abruf über die App wird protokolliert.
  • Eine unterschriebene Einwilligung lässt sich nicht mehr ändern (Prüfsumme). Zugriffe und Änderungen an Terminen, Zahlungen und Einwilligungen werden im Prüfprotokoll festgehalten.
  • Verschlüsselte Übertragung (TLS). Dateien liegen in privatem Speicher. Schlüssel für Zahlungs- und Chat-Anbindungen liegen verschlüsselt und werden nicht wieder angezeigt.
  • Technische Zugangsdaten (Integrationen, Zahlungs-Technik) sieht nur der Entwickler bei uns.
  • Der KI-Assistent (nur wenn aktiviert) bekommt nur Chattext und Namen, keine Telefonnummer, Notizen, Gesundheitsangaben oder Bilder.
  • Automatische Löschung nach der eingestellten Aufbewahrungsfrist; tägliche Sicherungen der Datenbank (7 Tage).

Anlage 3: Unterauftragsverarbeiter

  • Supabase (Datenbank, Dateien, Login): Rechenzentrum Frankfurt am Main, EU.
  • Netlify, Inc. (Hosting, App-Funktionen): Die Funktionen laufen in Frankfurt am Main (eu-central-1); statische Dateien liefert ein weltweites Netz aus. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
  • Resend, Inc. (E-Mail-Versand, sobald eingerichtet): USA, Standardvertragsklauseln.
  • Anbieter des WhatsApp-Postfachs (Superchat GmbH oder das TattooLeadz-Chat-Postfach) und Meta Platforms Ireland Ltd. (WhatsApp, Instagram, Facebook): nur im Paket „Komplett“ und nur, wenn genutzt.
  • Anthropic (KI-Antwortvorschläge): nur wenn der KI-Assistent aktiviert ist, nur mit den Angaben aus Anlage 2.
  • fiskaly GmbH (TSE für die Kasse): nur im Paket „Komplett“ und nur, wenn die Kasse mit TSE genutzt wird.
  • Google Ireland Ltd. (Google Tabellen): nur beim Abgleich von Kampagnen-Anfragen aus einer Tabelle des Studios, wenn das Studio das nutzt.
  • Stripe: Das Studio verbindet sein eigenes Stripe-Konto und schließt den Vertrag mit Stripe selbst (AGB § 10 Abs. 1). Stripe ist deshalb kein Unterauftragsverarbeiter von uns.

DSX Media Solutions UG (haftungsbeschränkt), Am Weingarten 9, 96117 Memmelsdorf. Fragen zum Datenschutz: info@dsxmediasolutions.de.