Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung (AVV) regelt, wie StalliQ personenbezogene Daten im Auftrag von Stallbetreibern verarbeitet. Sie ist Bestandteil des Vertrags über die Nutzung von StalliQ für einen Stall, also der Testphase und des Stall-Abonnements (siehe AGB, Ziffern 4.3 und 4a).

1. Parteien und Rollen

• Verantwortlicher („Stallbetreiber"): der Unternehmer, der in StalliQ einen Stall angelegt oder ein Stall-Abonnement abgeschlossen hat.
• Auftragsverarbeiter („StalliQ"): StalliQ Labs, Inhaber Christian Sabel, Am Weyerbach 13, 56291 Norath, E-Mail: datenschutz@stalliq.de.

Diese AVV betrifft nur die Daten, die der Stallbetreiber in der Stallverwaltung verarbeitet. Für die Nutzerkonten und die übrigen Daten der einzelnen Nutzer ist StalliQ selbst Verantwortlicher; dafür gilt die Datenschutzerklärung.

2. Gegenstand, Art und Zweck der Verarbeitung

StalliQ stellt dem Stallbetreiber eine Software zur Stallverwaltung bereit (Software as a Service). Dabei verarbeitet StalliQ die in Ziffer 3 genannten Daten ausschließlich, um diese Funktionen bereitzustellen: Speicherung, Anzeige, Berechnung von Auswertungen, Versand von Benachrichtigungen an Mitglieder sowie technischer Betrieb, Datensicherung und Fehlerbehebung.

3. Art der Daten und Kategorien betroffener Personen

Betroffene Personen: Mitglieder des Stalls, Reitschüler und Einsteller, Reitlehrer und Mitarbeitende, verwaltete Personen (in der Regel Kinder von Mitgliedern) sowie Gäste ohne eigenes Konto.

Daten:

• Name und Anzeigename, Telefonnummer (sofern hinterlegt)
• Mitgliedschaft, Rolle und Niveaustufe
• Reitstunden, Serien-Buchungen, Wartelisten, Anwesenheiten und Stornierungen
• Stundenkarten, Kontingente und Transaktionen
• Hallenbelegung und Ressourcen-Buchungen
• Zahlungen und Belege (Belegnummer, Betrag, Datum, Name der zahlenden Person) sowie offene Beträge
• Statistiken und Finanzauswertungen des Stalls
• Ankündigungen des Stalls
• bei verwalteten Personen optional Geburtsdatum und Notizen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung.

4. Dauer

Die AVV gilt, solange StalliQ Daten für den Stall verarbeitet, also für die Dauer der Testphase bzw. des Stall-Abonnements und darüber hinaus, solange der Stall (auch schreibgeschützt) besteht.

5. Weisungen

StalliQ verarbeitet die Daten nur auf dokumentierte Weisung des Stallbetreibers, es sei denn, StalliQ ist nach dem Recht der EU oder Deutschlands zu einer Verarbeitung verpflichtet; in diesem Fall teilt StalliQ dem Stallbetreiber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Die Weisungen ergeben sich aus den AGB, dieser AVV und der Nutzung der Funktionen durch den Stallbetreiber. Weitere Weisungen erteilt der Stallbetreiber in Textform. Ist StalliQ der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert StalliQ den Stallbetreiber unverzüglich.

6. Vertraulichkeit

StalliQ stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Technische und organisatorische Maßnahmen

StalliQ trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen zur Sicherheit der Verarbeitung. Sie sind in Anlage 1 beschrieben. StalliQ darf die Maßnahmen weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

Der Stallbetreiber erteilt StalliQ die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

StalliQ informiert den Stallbetreiber mindestens vier Wochen im Voraus per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Stallbetreiber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann StalliQ den Unterauftragsverarbeiter nicht ersetzen, kann jede Partei das Stall-Abonnement zum Zeitpunkt der Änderung kündigen.

StalliQ verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieser AVV entsprechen. Bei Übermittlungen in Länder außerhalb der EU bzw. des EWR stellt StalliQ geeignete Garantien sicher, insbesondere einen Angemessenheitsbeschluss der EU-Kommission oder EU-Standardvertragsklauseln.

9. Unterstützung des Stallbetreibers

StalliQ unterstützt den Stallbetreiber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung). Wendet sich eine betroffene Person in einer Angelegenheit des Stalls direkt an StalliQ, leitet StalliQ die Anfrage unverzüglich an den Stallbetreiber weiter.

10. Verletzungen des Schutzes personenbezogener Daten

StalliQ meldet dem Stallbetreiber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie StalliQ bekannt geworden ist, und stellt die Informationen bereit, die der Stallbetreiber für eine Meldung nach Art. 33 DSGVO benötigt.

11. Löschung und Rückgabe nach Vertragsende

Löscht der Stallbetreiber den Stall, löscht StalliQ die Daten des Stalls endgültig. Vorher kann der Stallbetreiber verlangen, dass StalliQ ihm die Daten in einem gängigen, maschinenlesbaren Format herausgibt. Datensicherungen werden spätestens nach 7 Tagen überschrieben. Ausgenommen von der Löschung sind Daten, die StalliQ nach dem Recht der EU oder Deutschlands aufbewahren muss, insbesondere Belege über Zahlungen im Stall für die Dauer der gesetzlichen Aufbewahrungsfristen.

12. Nachweise und Kontrollen

StalliQ stellt dem Stallbetreiber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser AVV erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Stallbetreiber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen sind mit angemessener Frist, in der Regel vier Wochen, anzukündigen und finden während der üblichen Geschäftszeiten statt. Vorrangig erfolgt der Nachweis durch schriftliche Auskünfte und Dokumentation.

13. Haftung und Schlussbestimmungen

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO; im Verhältnis zwischen den Parteien gelten die Haftungsregeln der AGB. Bei Widersprüchen zwischen dieser AVV und den AGB geht in Fragen des Datenschutzes diese AVV vor. Es gilt deutsches Recht. Vertragssprache ist Deutsch; die englische und die niederländische Fassung dienen der Information, bei Abweichungen ist die deutsche Fassung maßgeblich.

Anlage 1: Technische und organisatorische Maßnahmen

• Hosting: Datenbank und Dateien bei Supabase in einem Rechenzentrum in Frankfurt am Main; Web-Portal auf einem Server der Hetzner Online GmbH in Deutschland.
• Verschlüsselung: Alle Datenübertragungen erfolgen über HTTPS/TLS.
• Zugriffskontrolle: Row-Level Security auf Datenbankebene; Nutzer sehen nur die Daten, für die sie im Stall berechtigt sind (Rollen Besitzer, Manager, Reitlehrer, Mitglied).
• Authentifizierung: Passwörter nur als kryptografischer Hash (bcrypt); alternativ Anmeldung über Apple oder Google.
• Eingabekontrolle: Alle Eingaben werden serverseitig validiert.
• Dateien: Dokumente sind nur über zeitlich begrenzte, signierte Links abrufbar.
• Verfügbarkeit: Tägliche Datensicherung, Aufbewahrung der Sicherungen 7 Tage.
• Fehlerüberwachung: Sentry erhält nur eine pseudonyme Nutzer-ID, keine Namen, E-Mail-Adressen oder Inhalte.
• Server-Schutz: Firewall und automatische Erkennung und Sperre von Angriffen (CrowdSec).
• Administration: Administrativer Zugriff nur für berechtigte Personen mit persönlichen Zugangsdaten.

Anlage 2: Unterauftragsverarbeiter