Vorabcheck und Auftragsverarbeitung
1. Parteien, Abschluss und kostenloser Vorabcheck
Vertragspartner sind das im Formular mit Unternehmensnamen und Anschrift bezeichnete Unternehmen (Auftraggeber und Verantwortlicher) und der oben bezeichnete Anbieter (Auftragnehmer und Auftragsverarbeiter). Die absendende Person erklärt, für das Unternehmen vertretungsberechtigt zu sein. Der Anbieter bietet den Abschluss dieser Bedingungen einschließlich der folgenden Vereinbarung zur Auftragsverarbeitung und ihrer Anlagen an. Das Unternehmen nimmt dieses Angebot durch das nicht vorausgewählte Bestätigungsfeld und Absenden des Formulars an. Vertragsfassung, Zeitpunkt und Unternehmensangaben werden als Nachweis gespeichert.
Der Vorabcheck dient der Prüfung, ob die gewünschten Fragestellungen anhand der verfügbaren Daten bearbeitet werden können. Er ist kostenlos. Das Absenden bestellt keine kostenpflichtige Analyse und verpflichtet nicht zur Annahme eines späteren Angebots. Eine entgeltliche Analyse kommt erst durch gesonderte Angebotsannahme zustande. Die nachfolgenden Datenschutzbedingungen gelten bereits für die Übermittlung und Prüfung personenbezogener Betriebsdaten im Vorabcheck und anschließend für vereinbarte Analysen und Erfolgskontrollen.
2. Gegenstand, Zweck, Art und Dauer der Auftragsverarbeitung
Im Auftrag werden bereitgestellte Betriebsdaten entgegengenommen, gespeichert, auf Eignung geprüft, bereinigt, strukturiert, pseudonymisiert, miteinander verglichen, wirtschaftlich ausgewertet und in Berichten aufbereitet. Zweck ist die Beantwortung der vom Auftraggeber benannten betrieblichen Fragen und gegebenenfalls der Vergleich mit einem späteren Zeitraum. Die Anfrage konkretisiert Betrieb, Standorte, Fragen und Zeitraum; Erweiterungen werden dokumentiert vereinbart. Die Verarbeitung dauert vom Eingang der Daten bis zur Rückgabe oder Löschung nach Anlage 3.
Betroffene Personen können Beschäftigte einschließlich ehemaliger Beschäftigter und Aushilfen, Inhaber, betriebliche Ansprechpartner sowie nur soweit erforderlich Lieferanten und Geschäftskontakte sein. Datenarten sind Namen zur erstmaligen Zuordnung, anschließend Mitarbeiterkennungen, Tätigkeitsbereiche, Beschäftigungsumfang, Arbeits- und Schichtzeiten, notwendige Personalkosten, standort- oder bereichsbezogene Zuordnungen sowie personenbezogene Angaben in erforderlichen kaufmännischen Unterlagen.
Gästedaten sollen nur als zusammengefasste Reservierungs- und Verkaufszahlen ohne Namen oder Kontaktdaten übermittelt werden. Gesundheitsdaten, Krankheitsgründe, sonstige besondere Kategorien nach Art. 9 DSGVO, strafrechtliche Angaben, Ausweiskopien, Bank- und Zahlungszugangsdaten sind nicht Gegenstand des Auftrags. Werden solche nicht erforderlichen Daten erkannt, wird ihre Verwendung gestoppt und die Bereinigung mit dem Auftraggeber abgestimmt.
3. Weisungen und Verantwortung
Der Auftraggeber entscheidet über Zwecke und Zulässigkeit der Verarbeitung, wahrt die Rechte der betroffenen Personen und stellt nur erforderliche, rechtmäßig verarbeitbare Daten bereit. Diese Bedingungen und die dokumentierte Anfrage sind die anfängliche Weisung. Ergänzende Weisungen können in Textform an a2y@thereelthing.studio erteilt werden; mündliche Weisungen werden dokumentiert bestätigt. Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung. Eine gesetzlich vorgeschriebene abweichende Verarbeitung wird dem Auftraggeber vorab mitgeteilt, soweit das Gesetz die Mitteilung erlaubt. Bei einer für rechtswidrig gehaltenen Weisung informiert der Auftragnehmer unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus.
Daten dürfen nicht für eigene Werbung, Veröffentlichung, fremde Aufträge oder das Training allgemeiner Modelle verwendet werden. Die Verarbeitung ist auf EU und EWR beschränkt. Eine Verlagerung in andere Staaten erfordert vorherige dokumentierte Weisung und die Voraussetzungen des Kapitels V DSGVO.
4. Vertraulichkeit und Sicherheit
Der Auftragnehmer stellt sicher, dass nur befugte und zur Vertraulichkeit verpflichtete Personen Zugang erhalten. Er trifft risikogerechte Maßnahmen nach Art. 32 DSGVO. Die vereinbarten Maßnahmen sind in Anlage 1 beschrieben und gelten auch nach Beendigung des Auftrags, solange Daten vorhanden sind. Änderungen dürfen das vereinbarte Schutzniveau nicht absenken. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage nachgewiesen.
5. Unterstützung und Datenschutzvorfälle
Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Verarbeitung und verfügbarer Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und sonstigen Betroffenenrechten sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Direkt eingehende Betroffenenanfragen werden unverzüglich weitergeleitet; inhaltliche Antworten erfolgen nur auf Weisung oder gesetzliche Pflicht.
Bekannt gewordene Verletzungen des Schutzes personenbezogener Daten werden dem Auftraggeber unverzüglich gemeldet. Die Meldung enthält, soweit bekannt, Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, Ansprechperson sowie ergriffene oder geplante Abhilfemaßnahmen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. Der Auftragnehmer unterstützt die Aufklärung, Eindämmung und erforderliche Benachrichtigungen; die Meldeentscheidung des Verantwortlichen bleibt unberührt.
6. Nachweise und Kontrollen
Der Auftragnehmer stellt die zur Prüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen bereit. Der Auftraggeber oder ein zur Vertraulichkeit verpflichteter Prüfer kann angemessene Kontrollen einschließlich Inspektionen durchführen; der Auftragnehmer ermöglicht diese und wirkt mit. Regelkontrollen werden so abgestimmt, dass Betriebsabläufe und Daten anderer Kunden geschützt bleiben. Anlassbezogene dringende Kontrollen und gesetzliche Prüfungsrechte bleiben unbeschränkt. Behördliche Maßnahmen, die diese Verarbeitung betreffen, werden dem Auftraggeber mitgeteilt, soweit rechtlich zulässig.
7. Unterauftragnehmer
Die in Anlage 2 benannten Unterauftragnehmer werden für die dort genannten Zwecke genehmigt. Vor Hinzuziehung oder Austausch weiterer Unterauftragnehmer informiert der Auftragnehmer mindestens 14 Tage im Voraus in Textform. Innerhalb dieser Frist kann der Auftraggeber aus datenschutzbezogenen Gründen widersprechen. Bis zur Klärung erfolgt keine Weitergabe an den beanstandeten neuen Anbieter. Ist keine datenschutzgerechte Alternative möglich, kann die betroffene Verarbeitung beendet werden.
Unterauftragnehmer werden vertraglich zu gleichwertigen Datenschutzpflichten verpflichtet; ihre Eignung und Schutzmaßnahmen werden geprüft. Der Auftragnehmer bleibt für deren Erfüllung gegenüber dem Auftraggeber verantwortlich. Der Auftraggeber erhält auf Anfrage die erforderlichen Informationen und Nachweise, gegebenenfalls unter Schwärzung nicht relevanter Geschäftsgeheimnisse.
8. Ende der Verarbeitung und Vorrang
Rückgabe und Löschung richten sich nach Anlage 3 und dokumentierten Weisungen. Bei erheblichen oder fortdauernden Datenschutzverstößen kann der Auftraggeber die betroffene Verarbeitung aussetzen und bei fehlender Abhilfe beenden. Diese Vereinbarung hat bei Widersprüchen in Datenschutzfragen Vorrang vor allgemeinen Leistungsbedingungen. Ansprechpartner für Weisungen und Datenschutzangelegenheiten ist Jascha Kopf über die oben genannte E-Mail-Adresse. Die Verarbeitung von Vertrags-, Kontakt- und Rechnungsdaten zur eigenen Geschäftsabwicklung ist hiervon getrennt; hierzu informiert die Datenschutzerklärung.
Anlage 1 · Schutzmaßnahmen
Anlage 1: Technische und organisatorische Maßnahmen
Lokale Arbeitsrechner und Sicherungskopien sind verschlüsselt. Auf die lokalen Arbeitsrechner hat ausschließlich Jascha Kopf Zugriff. Zugangsdaten für Server, Speicher und Schnittstellen werden nicht in öffentlichen Webseiten oder Formularen bereitgestellt. Zugriffe werden auf die jeweils erforderlichen Aufgaben begrenzt.
Die Übertragung über Website und Uploadbereich erfolgt verschlüsselt. Pro Anfrage wird ein eigener Uploadordner mit einer separaten Freigabe eingerichtet. Der kundenseitige Link erlaubt das Hochladen, nicht das Auflisten oder Herunterladen fremder Dateien. Die Freigabe läuft standardmäßig nach 30 Tagen ab. Die Freigaberechte werden vor dem Versand kontrolliert. Der Ablauf eines Links ersetzt nicht die Löschung der Dateien.
Daten unterschiedlicher Aufträge werden getrennt zugeordnet. Für die Aufbereitung werden Namen durch Kennungen ersetzt und Zuordnungsschlüssel getrennt geschützt verwahrt. Die erforderlichen Rollen, Zeiten und Kosten bleiben für den vereinbarten Vergleich erhalten. Lokale Software einschließlich Llama und Qwen unterstützt die Datenaufbereitung. Kundeninhalte werden dafür nicht an externe Modelldienste übertragen. Fachliche Bewertung und Empfehlungen erfolgen persönlich.
Anfragen und Verarbeitungsschritte werden nachvollziehbar zugeordnet. Unklare Schnittstellen-Schreibvorgänge oder Versandvorgänge werden nicht ungeprüft wiederholt, sondern zur manuellen Prüfung angehalten. Interne A2Y-Eingangsmeldungen über Telegram enthalten keine Kundenangaben.
Der Auftragnehmer hält Systeme aktuell, überprüft Zugriffsrechte und Schutzmaßnahmen regelmäßig sowie nach relevanten Änderungen und dokumentiert festgestellte Mängel und deren Behebung. Verschlüsselte Sicherungen dienen der Wiederherstellbarkeit; Wiederherstellung und anschließende Anwendung bereits fälliger Löschungen werden überprüft. Löschungen umfassen lokale Arbeitskopien, Uploadspeicher und Sicherungskopien; ihre Durchführung wird dokumentiert. Diese organisatorischen Pflichten gelten unabhängig davon, ob der jeweilige Schritt manuell oder automatisiert erfolgt.
Anlage 2 · Unterauftragnehmer
Anlage 2: Genehmigte Unterauftragnehmer
Hetzner Online GmbH, Deutschland, hetzner.com: Storage Share als geschützter Upload- und Dateispeicher einschließlich zugehöriger technischer Betriebsleistungen.
netcup GmbH, Deutschland, netcup.com: VPS-Hosting für Website, Formularverarbeitung, Anfrageverwaltung und technische Dokumentation.
IONOS SE, Deutschland, ionos.de: geschäftliche E-Mail-Kommunikation einschließlich Anfragebestätigung, organisatorischer Rückfragen und Vertragsunterlagen. Analyse-Rohdaten sollen über den Uploadbereich und nicht per E-Mail geliefert werden.
Für diese Anbieter bestehen Vereinbarungen zur Auftragsverarbeitung. Eingesetzt werden Leistungen innerhalb von EU und EWR entsprechend Ziffer 3. Anbieterbezogene Unterauftragnehmer und Sicherheitsnachweise sind Bestandteil der jeweiligen Dienstleistervereinbarungen und werden auf Anfrage für die konkrete Leistung nachgewiesen. Weitere Empfänger werden durch diese Liste nicht pauschal genehmigt. Lexware dient der eigenen Kunden- und Belegverwaltung; personenbezogene Analyse-Rohdaten sind für diese Buchhaltungsfunktion nicht vorgesehen.
Anlage 3 · Rückgabe und Löschung
Anlage 3: Rückgabe und Löschung
Der Auftraggeber kann die Rückgabe seiner Daten oder ihre Löschung verlangen. Nach Rückgabe werden verbleibende Kopien gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Ohne abweichende Weisung gelten folgende vereinbarte Fristen:
Ohne Analyseauftrag werden Uploads 30 Tage nach Absage oder abgeschlossenem Vorabcheck gelöscht; bei ausbleibender Rückmeldung 60 Tage nach der letzten Kommunikation. Laufende Abstimmungen werden berücksichtigt.
Bei beauftragten Analysen werden erforderliche Arbeitsdaten drei Monate nach dem letzten vereinbarten Termin gelöscht. Bei der Gastro-Analyse ist dies regelmäßig der Folgetermin, bei der Einzelanalyse das Ergebnisgespräch. Für eine direkt mitgebuchte Erfolgskontrolle bleiben der ursprüngliche Bericht, die notwendige Vergleichsgrundlage, die Importstruktur und erforderliche getrennt geschützte Zuordnungsschlüssel bis zu deren Ergebnisgespräch erhalten und werden drei Monate danach gelöscht. Entfällt die Erfolgskontrolle, gilt die Frist ab diesem Zeitpunkt. Rohdateien werden nur so lange aufbewahrt, wie sie hierfür erforderlich sind.
Die Löschfristen gelten auch für Sicherungskopien. Bis zur Löschung dürfen gesicherte Restdaten nur zur Wiederherstellung im Störungsfall verwendet werden; fällige Löschungen werden vor erneuter produktiver Verwendung wieder angewendet. Gesetzlich erforderliche Vertrags- und Rechnungsnachweise werden getrennt aufbewahrt und dürfen nicht zur weiteren Analyse genutzt werden. Eine gesetzliche Belegfrist rechtfertigt keine pauschale Aufbewahrung aller hochgeladenen Daten. Die Löschung oder Rückgabe wird auf Anfrage bestätigt. Der Auftraggeber bewahrt seinen übergebenen Bericht selbst auf.