Auftragsverarbeitungsvertrag

nach Art. 28 DSGVO

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung des Portals mybeautykey.de (nachfolgend „Portal") und der damit verbundenen Zusatzleistungen (insbesondere Bibliothek-Einrichtungsservice). Einzelheiten zu Art, Zweck und Kategorien der Verarbeitung ergeben sich aus Anlage 1.

(2) Der Vertrag beginnt mit Zustimmung durch die Verantwortliche und endet mit Beendigung des zugrunde liegenden Nutzungsvertrags über das Portal (Hauptvertrag). Eine gesonderte Kündigung dieses AVV ist ausgeschlossen; das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt (§ 13).

§ 2 Konkretisierung des Auftragsinhalts

(1) Der Auftragsverarbeiter verarbeitet die in Anlage 1 näher bezeichneten personenbezogenen Daten ausschließlich zu den dort genannten Zwecken und ausschließlich auf dokumentierte Weisung der Verantwortlichen. Die Erbringung der vertraglich geschuldeten Leistungen des Portals gilt als dokumentierte Weisung im Sinne des Art. 28 Abs. 3 lit. a DSGVO.

(2) Einzelweisungen können im Portal, in Textform (z. B. E-Mail) oder auf sonstige nachweisbare Art erteilt werden. Der Auftragsverarbeiter informiert die Verantwortliche unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

(3) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt, es sei denn, sie erfolgt durch einen in Anlage 3 genannten Unterauftragsverarbeiter unter Einhaltung der Voraussetzungen nach Kapitel V DSGVO.

§ 3 Rechte und Pflichten der Verantwortlichen

(1) Die Verantwortliche ist im Rahmen dieses Vertrags allein für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich (Art. 4 Nr. 7, Art. 24 DSGVO).

(2) Die Verantwortliche stellt sicher, dass die von ihr eingegebenen bzw. hochgeladenen Daten rechtmäßig erhoben wurden und dass die betroffenen Personen (insbesondere Endkundinnen) über die Verarbeitung durch den Auftragsverarbeiter entsprechend Art. 13, 14 DSGVO informiert worden sind.

(3) Die Verantwortliche ist verpflichtet, den Auftragsverarbeiter unverzüglich zu informieren, wenn sie Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung ihrer Daten feststellt.

§ 4 Weisungsberechtigte Personen

(1) Weisungsberechtigt aufseiten der Verantwortlichen ist die bei Vertragsschluss im Portal registrierte Inhaberin des Kontos (Kontakt- bzw. Login-E-Mail-Adresse) sowie von ihr autorisierte Vertreter. Änderungen sind dem Auftragsverarbeiter in Textform mitzuteilen.

(2) Weisungsempfänger aufseiten des Auftragsverarbeiters ist info@mybeautykey.de.

§ 5 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung der Verantwortlichen, es sei denn, er ist zu einer anderweitigen Verarbeitung durch Unionsrecht oder das Recht eines Mitgliedstaates verpflichtet.

(2) Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

(3) Der Auftragsverarbeiter ergreift die in Anlage 2 beschriebenen technisch-organisatorischen Maßnahmen (TOMs) nach Art. 32 DSGVO. Er ist berechtigt, die Maßnahmen weiterzuentwickeln, sofern das Schutzniveau der vereinbarten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

(4) Der Auftragsverarbeiter unterstützt die Verantwortliche nach Art. 32 bis 36 DSGVO, soweit dies erforderlich und dem Auftragsverarbeiter mit vertretbarem Aufwand möglich ist.

(5) Der Auftragsverarbeiter benennt derzeit keinen Datenschutzbeauftragten, da weder die Voraussetzungen des Art. 37 Abs. 1 DSGVO (keine Kerntätigkeit mit umfangreicher regelmäßiger Überwachung oder umfangreicher Verarbeitung besonderer Kategorien nach Art. 9) noch die des § 38 Abs. 1 BDSG (in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt — der Auftragsverarbeiter ist Einzelunternehmen ohne Angestellte) vorliegen. Ansprechpartner für Datenschutzanfragen ist die in § 4 Abs. 2 genannte Adresse.

(6) Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten im Sinne von Art. 30 Abs. 2 DSGVO.

§ 6 Anfragen betroffener Personen

(1) Wenden sich betroffene Personen (insbesondere Endkundinnen) direkt mit Anfragen nach Art. 15 bis 22 DSGVO an den Auftragsverarbeiter, so leitet dieser die Anfrage unverzüglich an die Verantwortliche weiter, sofern eine Zuordnung möglich ist. Der Auftragsverarbeiter beantwortet solche Anfragen nicht selbstständig.

(2) Der Auftragsverarbeiter unterstützt die Verantwortliche durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung ihrer Pflicht zur Beantwortung der Anfragen.

§ 7 Technisch-organisatorische Maßnahmen

Der Auftragsverarbeiter setzt die in Anlage 2 dokumentierten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO um. Diese Maßnahmen entsprechen dem Stand der Technik und werden regelmäßig überprüft und – soweit erforderlich – angepasst.

§ 8 Unterauftragsverhältnisse

(1) Der Einsatz weiterer Auftragsverarbeiter durch den Auftragsverarbeiter ist zulässig. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt; die Verantwortliche stimmt ihrem Einsatz zu.

(2) Der Auftragsverarbeiter informiert die Verantwortliche über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO) mit einer Frist von 30 Tagen in Textform (z. B. per E-Mail oder Hinweis im Portal). Die Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Widerspricht sie nicht, gilt die Zustimmung als erteilt. Bei begründetem Widerspruch steht dem Auftragsverarbeiter das Recht zur außerordentlichen Kündigung des Hauptvertrags zu, wenn die Änderung für die Leistungserbringung erforderlich ist.

(3) Der Auftragsverarbeiter verpflichtet den Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Pflichten aus diesem AVV entsprechen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber der Verantwortlichen für die Einhaltung der Pflichten.

(4) Nicht als Unterauftragsverarbeitung im Sinne dieses AVV gelten Nebenleistungen wie Telekommunikations-, Post-, Reinigungs- und Wachdienste sowie Bankdienstleistungen.

§ 9 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert die Verantwortliche unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO), die die im Rahmen dieses Vertrags verarbeiteten Daten betreffen. Die kurze Frist stellt sicher, dass die Verantwortliche ihrer eigenen 72-Stunden- Meldefrist gegenüber der Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) nachkommen kann.

(2) Die Meldung enthält – soweit zum Meldezeitpunkt bekannt – eine Beschreibung der Art der Verletzung, der Kategorien und der ungefähren Zahl betroffener Personen und Datensätze, die voraussichtlichen Folgen sowie die ergriffenen bzw. vorgeschlagenen Maßnahmen zur Behebung. Soweit einzelne Informationen zum Zeitpunkt der Erstmeldung noch nicht vorliegen, werden diese ohne unangemessene Verzögerung, spätestens jedoch innerhalb von weiteren 48 Stunden, nachgereicht.

(3) Meldungen erfolgen an die bei Vertragsschluss hinterlegte Konto-E-Mail-Adresse der Verantwortlichen.

§ 10 Kontrollrechte der Verantwortlichen

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem AVV in geeigneter Weise nach. Nachweise können insbesondere durch Vorlage von Zertifikaten, Testaten oder Berichten anerkannter Prüfstellen (z. B. TÜV, ISO 27001, SOC 2) sowie durch Vorlage aktualisierter TOMs erbracht werden.

(2) Reichen die Nachweise nach Absatz 1 im Einzelfall nicht aus, ist die Verantwortliche berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist (mindestens 14 Tage) und während der üblichen Geschäftszeiten in zumutbarem Umfang von der Einhaltung der Pflichten zu überzeugen. Vor-Ort-Kontrollen erfolgen ohne Beeinträchtigung des Geschäftsbetriebs des Auftragsverarbeiters. Der Auftragsverarbeiter kann eine angemessene Vergütung des durch die Kontrolle entstehenden Aufwands verlangen, es sei denn, die Kontrolle erfolgt anlassbezogen aufgrund eines konkreten Vorfalls, den der Auftragsverarbeiter zu vertreten hat.

(3) Kontrollen dürfen die Betriebsabläufe des Auftragsverarbeiters nur in dem für die Prüfung notwendigen Umfang beeinträchtigen und dürfen keine Betriebs- oder Geschäftsgeheimnisse Dritter (insbesondere anderer Kundinnen des Auftragsverarbeiters) offenlegen.

§ 11 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die verarbeiteten Daten auf Wahl der Verantwortlichen entweder in einem gängigen maschinen­lesbaren Format heraus oder löscht sie unwiderruflich.

(2) Die Verantwortliche erteilt dem Auftragsverarbeiter mit Abschluss dieses Vertrags bereits jetzt die Weisung, sämtliche im Rahmen der Auftragsverarbeitung verarbeiteten Daten spätestens 30 Tage nach Beendigung des Hauptvertrags zu löschen, sofern die Verantwortliche innerhalb dieser Frist keine abweichende Wahl (insbesondere Export nach Absatz 1) trifft. Während der 30-Tage-Frist hält der Auftragsverarbeiter die Daten für den Datenexport bereit; ein aktiver Zugriff der Verantwortlichen auf das Portal ist in dieser Zeit lesend möglich. Die Löschung erfolgt vollautomatisch; die Verantwort­ liche erhält 2 Tage vor der Löschung eine Erinnerung an die im Konto hinterlegte E-Mail-Adresse.

(2a) Erklärt die Verantwortliche im Kündigungs-Prozess aus­ drücklich, dass ihre Daten sofort mit Vertragsende gelöscht werden sollen, wird auf die 30-Tage-Frist verzichtet und die Löschung erfolgt am Tag des Vertragsendes.

(3) Für Backup-Datenträger und System-Logfiles gelten revisions­sichere Aufbewahrungs- und Löschzyklen des jeweiligen Unterauftragsverarbeiters. Die automatischen Sicherungs­kopien der Datenbank (Point-in-Time Recovery bei Supabase) werden nach längstens 7 Tagen überschrieben.

(4) Von der Löschung ausgenommen sind Daten, deren Aufbewahrung gesetzlichen Pflichten unterliegt (insbesondere §§ 147 AO, 257 HGB). Für die Dauer der gesetzlichen Aufbewahrungsfrist werden diese Daten gesperrt und nur zur Erfüllung der Aufbewahrungspflicht verarbeitet.

§ 12 Haftung

(1) Für die Haftung gelten die Regelungen des Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gilt ergänzend die Haftungsregelung des Hauptvertrags entsprechend, soweit sie mit zwingenden gesetzlichen Vorgaben vereinbar ist.

(2) Die Parteien stellen sich im Innenverhältnis nach den Grundsätzen des § 254 BGB von Ansprüchen frei, soweit sie den eingetretenen Schaden verursacht haben.

§ 13 Laufzeit und Kündigung

(1) Der AVV endet automatisch mit Beendigung des Hauptvertrags (§ 1 Abs. 2).

(2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt beiden Parteien unbenommen. Ein wichtiger Grund liegt insbesondere vor bei schwerwiegender oder wiederholter Verletzung datenschutzrechtlicher Pflichten durch den Auftragsverarbeiter, die trotz Aufforderung nicht beseitigt wird.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Abbedingung dieses Textform-Erfordernisses.

(2) Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt die gesetzliche Regelung.

(3) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit sie datenschutz­ rechtliche Sachverhalte betreffen.

(4) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist – soweit gesetzlich zulässig – der Sitz des Auftragsverarbeiters.

(5) Aus Gründen der besseren Lesbarkeit wird in diesem AVV durchgehend die weibliche Sprachform verwendet. Sämtliche Regelungen gelten unabhängig vom Geschlecht in gleicher Weise für alle Vertragspartner und Vertragspartnerinnen sowie sonstige natürliche und juristische Personen.

Anlage 1 – Konkretisierung der Verarbeitung

1. Gegenstand und Zweck der Verarbeitung

Bereitstellung des SaaS-Portals mybeautykey.de für die Durchführung von Haar- und Pflegeberatungen durch die Verantwortliche, einschließlich der Erhebung, Speicherung und Auswertung von Fragebogen-Antworten der Endkundinnen, der automatisierten Produkt-Empfehlung sowie der Verwaltung von Endkundinnen-Stammdaten, Notizen und Verlaufs­historie im integrierten Kundinnen-Bereich (CRM-Funktionalität). Zusätzlich – sofern gebucht – die einmalige Einpflege der von der Verantwortlichen übermittelten Produktdaten in die Portal- Bibliothek (Bibliothek-Einrichtungsservice).

Der Auftragsverarbeiter verarbeitet die Endkundinnen-Daten der Verantwortlichen ausschließlich zu diesen Zwecken und wertet sie nicht kontenübergreifend für eigene Zwecke aus. Aggregierte, anonymisierte Nutzungs-Statistiken zur Produktverbesserung (z. B. Nutzungs­häufigkeit einzelner Portal-Funktionen) sind davon nicht berührt, da hierbei kein Personenbezug entsteht.

Zum Portal-Umfang gehört auch die Möglichkeit für Verantwortliche mit Pro-Tarif, ihre Produkt-Bibliothek per Freigabe-Code an andere Verantwortliche des Portals weiterzugeben (Bibliothek- Teilen). Bei diesem Vorgang werden ausschließlich Produkt- Metadaten (Produktnamen, Beschreibungen, Bilder) übertragen — keine Endkundinnen-Daten. Die weitergebende Verantwortliche steht für die Rechtmäßigkeit der geteilten Inhalte ein (vgl. AGB § 11 Abs. 4).

Verantwortliche mit Basic- oder Pro-Tarif können darüber hinaus einen eigenen Fragebogen mit selbst definierten Fragen (Single- Choice, Multi-Choice, Freitext) erstellen und ihren Endkundinnen zur Verfügung stellen. Für Inhalt, Formulierung und Rechtmäßigkeit der eigenen Fragen ist ausschließlich die Verantwortliche zuständig. Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (insbesondere Gesundheits-, religiöse, politische, ethnische oder sexuelle Angaben) dürfen im eigenen Fragebogen nicht abgefragt werden; für die Einhaltung dieser Vorgabe ist die Verantwortliche selbst zuständig.

2. Art der Verarbeitung

• Erheben, Erfassen, Ordnen, Speichern
• Verändern, Auslesen, Abfragen, Verwenden
• Offenlegen durch Übermittlung, Verbreiten oder eine andere Form der Bereitstellung
• Abgleichen oder Verknüpfen, Einschränken, Löschen

3. Kategorien betroffener Personen

• Endkundinnen der Verantwortlichen, die den Beratungs-Fragebogen über den individuellen Beratungs-Link ausfüllen
• Mitarbeiterinnen der Verantwortlichen, die im Portal Accounts nutzen (soweit die Verantwortliche solche einrichtet)
• Ggf. Kontaktpersonen in Produkt-Datenblättern, die von der Verantwortlichen für den Einrichtungsservice übermittelt werden

4. Kategorien personenbezogener Daten

• Stammdaten der Endkundinnen: Vor- und Nachname/Kürzel, E-Mail (optional)
• CRM-Kontakt- und Zusatzdaten (jeweils optional, von der Verantwortlichen im Portal ergänzt oder von der Endkundin im Fragebogen angegeben): Telefonnummer, Instagram-Handle, Postanschrift, Geburtsdatum, Kategorisierungs-Tags (z. B. Kundensegment, Status), Follow-up-Termine
• Freie Notizen der Verantwortlichen zur Kundinnen­beziehung (Freitext­feld). Der Umfang und Inhalt liegt allein in der Verantwortung der Verantwortlichen; besondere Kategorien personen­bezogener Daten (Art. 9 DSGVO – Gesundheits-, Religions-, ethnische Herkunftsangaben etc.) sollen dort nicht gespeichert werden und werden durch einen sichtbaren Warnhinweis im Notizfeld ausgeschlossen
• Beratungs-relevante Daten: Angaben zu Haarstruktur, Kopfhaut­zustand, Pflege­gewohnheiten, Pflegezielen, Produktvorlieben
• Optional: von der Endkundin im Fragebogen freiwillig hochgeladenes Foto ihrer Haare zur Beratungs­vorbereitung. Die Endkundin bestätigt beim Upload aktiv, dass auf dem Bild kein Gesicht erkennbar ist — biometrische Daten im Sinne des Art. 9 DSGVO werden dadurch nicht verarbeitet. Sollte im Einzelfall dennoch ein Gesicht enthalten sein, löscht die Verantwortliche das Bild unverzüglich nach Sichtung im Cockpit.
• Optional: Datei-Anhänge zu freien Notizen der Verantwortlichen (Freitextfeld), die die Verantwortliche zur internen Dokumentation der Kundinnen­beziehung im Cockpit hinterlegt (z. B. Screenshots versendeter Warenkörbe, Produktfotos, exportierte Kommunikations­verläufe). Umfang, Auswahl und Inhalt liegen allein in der Verantwortung der Verantwortlichen; besondere Kategorien personen­bezogener Daten (Art. 9 DSGVO) sowie Ausweis-, Rezept- oder Gesundheits­unterlagen sollen dort nicht abgelegt werden. Die Anhänge sind ausschließlich für die Verantwortliche selbst im Cockpit sichtbar; die betroffene Endkundin erhält keinen automatischen Zugriff.
• Analyse-Ergebnisse und Verlauf: Empfehlungs­sätze, Passungs-Scores, Beraterin-Anpassungen an System- Empfehlungen, Bestellstatus zu einzelnen empfohlenen Produkten (bestellt / offen / storniert)
• Metadaten: Zeitpunkt der Analyse und der Konto-Aktivitäten, Beratungs-Link (Slug), technische Session-Informationen
• Im Einrichtungsservice übermittelte Inhalte (Produktlisten, Kataloge, Regal-Fotos) – nur ausnahmsweise personen­bezogene Daten Dritter enthaltend

Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO werden grundsätzlich nicht verarbeitet. Sollte die Verantwortliche solche Daten dennoch übermitteln oder im Freitext­feld ablegen, geschieht dies ausschließlich auf ihre Weisung und Verantwortung.

5. Dauer der Verarbeitung

Für die Dauer des Hauptvertrags zzgl. der in § 11 dieses AVV geregelten Nachlauf- und Löschfristen. Analyse-Datensätze werden von der Verantwortlichen selbst gesteuert (Erstellung, Anpassung, Löschung im Portal).

Anlage 2 – Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt folgende Maßnahmen nach Art. 32 DSGVO um. Die Maßnahmen entsprechen dem Stand der Technik und werden regelmäßig überprüft.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Die Verarbeitung findet ausschließlich in zertifizierten Rechenzentren der eingesetzten Cloud-Anbieter statt (siehe Anlage 3). Diese verfügen über gängige Zertifizierungen (ISO 27001, SOC 2 oder gleichwertig). Ein physischer Zutritt des Auftragsverarbeiters zu den Servern besteht nicht.

Zugangskontrolle

• Authentifizierung der Nutzerinnen über E-Mail + Passwort mit Passwort-Hashing (bcrypt/argon2 durch Supabase Auth)
• HTTPS/TLS 1.2+ für alle Verbindungen zum Portal
• Zwei-Faktor-Authentifizierung für administrative Zugänge des Auftragsverarbeiters (Supabase-Cockpit, Vercel-Cockpit, GitHub)
• Passwortschutz aller Administrator-Konten mit hinreichender Länge/Komplexität

Zugriffskontrolle

• Row-Level-Security (RLS) in der Postgres-Datenbank stellt sicher, dass jede Verantwortliche nur ihre eigenen Datensätze sehen und verändern kann
• Storage-Buckets sind privat konfiguriert; Datei-Zugriff ausschließlich über signierte URLs mit begrenzter Gültigkeit
• Minimales Berechtigungsprinzip für administrative Zugänge
• Support-Zugriff auf Konten der Verantwortlichen („Impersonation") nur durch das autorisierte Admin-Konto des Anbieters. Während der Sitzung ist ein deutlich sichtbares Banner „Support-Modus aktiv" im Cockpit eingeblendet. Der Zugriff wird über die von Supabase automatisch geführten Auth-Protokolle (Login-Zeitstempel, IP-Adresse, Session-ID) nachvollziehbar dokumentiert; ein zusätzliches internes Audit-Log wird nicht geführt, da der Anbieter ein Einzel­ unternehmen mit einem einzigen Admin-Konto ist. Support- Sitzungen enden spätestens automatisch nach 8 Stunden.

Trennungskontrolle

• Logische Mandantentrennung durch RLS-Policies pro Verantwortlicher
• Getrennte Verarbeitung von Produktions- und Test-Umgebungen

Pseudonymisierung

Endkundinnen-Daten werden in der Datenbank ausschließlich mit technischen IDs referenziert; die Klartext-Zuordnung erfolgt nur in den Anzeigefeldern der Verantwortlichen.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

• Verschlüsselte Übertragung aller Daten über TLS
• Interne API-Kommunikation zwischen den Diensten ebenfalls TLS-verschlüsselt
• Keine Weitergabe von Daten an Dritte außerhalb der in Anlage 3 genannten Unterauftragsverarbeiter

Eingabekontrolle

• Automatische Protokollierung von Login-Vorgängen (Zeitstempel, IP-Adresse)
• Protokollierung von Datenbank-Änderungen durch Standard- Timestamps (created_at, updated_at) auf allen relevanten Tabellen

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Redundante Speicherung der Datenbank durch Supabase (Point-in- Time Recovery)
• Tägliche automatische Backups der Datenbank; Aufbewahrung gemäß Anbieter-Vorgaben (mind. 7 Tage)
• Automatische Skalierung der Hosting-Infrastruktur (Vercel Edge / Supabase Cloud)
• Notfall- und Wiederanlaufkonzept über die redundanten Rechenzentren der Cloud-Anbieter

4. Ergänzende technische Maßnahmen

• Verschlüsselung ruhender Daten (at rest): Datenbank und Storage-Buckets werden von Supabase mit AES-256 verschlüsselt gespeichert; Vercel-Deployments und Build-Artefakte ebenfalls verschlüsselt.
• EXIF-Metadaten-Bereinigung: Fotos werden vor dem Upload client-seitig neu enkodiert und dabei um sämtliche EXIF-Metadaten (insbesondere GPS-Koordinaten, Kameramodell, Aufnahmezeitpunkt) bereinigt.
• Upload-Validierung: Storage-Buckets prüfen server- seitig MIME-Typ und Dateiendung anhand einer Whitelist (Bilder: JPEG/PNG/WebP; Audio: gängige Audio-Formate; Video/Aufzeichnungen: MP4/WebM/QuickTime/VTT; Einrichtungs- Uploads: PDF, Bilder, Word, Text/CSV; CRM-Notiz-Anhänge: JPEG/PNG/WebP, ZIP, TXT — max. 10 MB pro Datei). Uploads außerhalb der Whitelist werden vom Storage-Backend abgewiesen.
• Nachweis der Löschung: Konto-Löschungen (Trial-Ende, Abo-Ende, Selbstlöschung) werden in einer separaten pseudonymisierten Lösch-Historie (SHA-256 der E-Mail, Stripe-Referenz, Grund, Zeitpunkt) für 3 Jahre dokumentiert (Rechenschaftspflicht Art. 5 Abs. 2 DSGVO).
• Rate-Limiting: Für Authentifizierungs-Endpunkte (Registrierung, Login, Passwort-Reset, OTP-Verifikation) gelten die Standard-Rate-Limits von Supabase Auth. Ein über diese Standard-Limits hinausgehendes eigenes Rate-Limiting im Anwendungscode wird nicht betrieben.
• Anwendungs-Audit-Log: Ein separates internes Audit-Log über Konto-Zugriffe wird nicht geführt. Zugriffe der einzigen Admin-Person (Impersonation, direkte DB-Abfragen) sind über die automatischen Supabase-Auth- und Datenbank-Protokolle nachvollziehbar.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Überprüfung der eingesetzten Bibliotheken auf Sicherheitslücken (automatisiertes Dependency-Monitoring)
• Zeitnahes Einspielen von Sicherheitsupdates
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO) bei wesentlichen Änderungen der Verarbeitungstätigkeit
• Auftragskontrolle: Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern gemäß Art. 28 DSGVO

Anlage 3 – Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt zum Zeitpunkt des Vertragsschlusses die nachfolgend aufgeführten Unterauftragsverarbeiter ein. Mit jedem der genannten Dienstleister besteht ein AV-Vertrag nach Art. 28 DSGVO.

Über Änderungen an dieser Liste wird die Verantwortliche gemäß § 8 Abs. 2 dieses AVV informiert.

Gültig ab: 31.08.2026

Frühere Fassungen dieses AVV sind auf Anfrage per E-Mail an info@veradex.de erhältlich.