Auftragsverarbeitungsvertrag (AVV)

Zwischen

Auftraggeber (Verantwortlicher): Sie als Business-Kunde von Scanery, identifiziert über das Konto in Ihrer Scanery-Instanz („Kunde" / „Verantwortlicher")

Auftragnehmer (Auftragsverarbeiter): Zarvat LLC, 30 Gould St, 82801 Sheridan, WY, USA — Betrieb der Scanery-Plattform („Anbieter" / „Auftragsverarbeiter")

1. Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich zum Zweck der Bereitstellung der Scanery-Software (Warteschlangen-Management, Check-ins, Mitarbeiter-Verwaltung, Marketing-Kommunikation, Bewertungen, Analytics). Die Laufzeit entspricht der Laufzeit des Hauptvertrags zwischen Kunde und Anbieter.

2. Art und Zweck der Verarbeitung

• Aufnahme, Speicherung und Anzeige von Check-in-Daten der Endkunden
• Erstellung und Versand von Marketing-Nachrichten an Endkunden
• Verwaltung von Mitarbeiter-Konten
• Speicherung von Bewertungen und CRM-Daten
• Zahlungsabwicklung über den Merchant of Record (Paddle)

3. Kategorien betroffener Personen

• Endkunden des Kunden (Gäste, Patienten, Besucher etc.)
• Mitarbeiter des Kunden
• Geschäftliche Kontakte des Kunden

4. Kategorien personenbezogener Daten

• Stammdaten (Name, E-Mail, Telefonnummer)
• Nutzungsdaten (Check-in-Zeitpunkt, Wartezeit, Service-Auswahl)
• Kommunikationsdaten (Nachrichten, Bewertungen)
• Mitarbeiterdaten (Name, E-Mail, Rolle, Arbeitszeiten)

5. Pflichten des Auftragnehmers

1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software gilt als generelle Weisung.
2. Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen.
3. Umsetzung geeigneter technischer und organisatorischer Maßnahmen (siehe Anlage 1).
4. Unterstützung des Kunden bei Betroffenenrechten (Art. 12-22 DSGVO).
5. Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung, spätestens innerhalb von 72 Stunden.
6. Nach Beendigung des Vertrags: Löschung oder Rückgabe aller personenbezogenen Daten nach Wahl des Kunden, vorbehaltlich gesetzlicher Aufbewahrungsfristen.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zur Einbindung folgender Unterauftragsverarbeiter:

• Supabase, Inc. (USA / EU-Region) — Datenbank, Authentifizierung, Storage
• Cloudflare, Inc. (global) — Hosting, CDN, DDoS-Schutz
• Paddle.com Market Ltd. (UK) — Zahlungsabwicklung als Merchant of Record
• Lovable.dev / Cogency AB (EU) — Anwendungs-Infrastruktur, E-Mail-Versand

Über Änderungen am Bestand der Unterauftragsverarbeiter wird der Kunde mindestens 30 Tage im Voraus per E-Mail informiert. Ein Widerspruchsrecht besteht aus wichtigem Grund.

7. Datenübermittlung in Drittländer

Sofern Daten in Länder außerhalb des EWR übermittelt werden (z. B. USA), erfolgt dies auf Grundlage von EU-Standardvertragsklauseln (SCC) oder eines gültigen Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework).

8. Rechte des Kunden / Kontrollrechte

Der Kunde hat das Recht, die Einhaltung dieses Vertrags durch geeignete Maßnahmen zu überprüfen, insbesondere durch Einholung von Auskünften oder anerkannten Zertifizierungen (z. B. SOC 2 der Unterauftragsverarbeiter).

9. Haftung

Es gilt Art. 82 DSGVO. Im Verhältnis untereinander haftet jede Partei für Schäden, die durch eigene Pflichtverletzungen verursacht wurden.

10. Schlussbestimmungen

Es gilt das Recht der USA / Wyoming, ergänzend findet die DSGVO Anwendung. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Technische und organisatorische Maßnahmen (TOM)

• Verschlüsselung in Transit (TLS 1.2+) und at Rest (AES-256)
• Row-Level-Security auf allen Mandantendaten
• Zugriff über rollenbasierte Berechtigungen (RBAC)
• Tägliche Backups, geografisch verteilt
• Audit-Logging für administrative Zugriffe
• Penetration-Tests durch automatisierte Security-Scanner
• Multi-Faktor-Authentifizierung für privilegierte Zugänge

Dieser AVV gilt als angenommen mit Ihrer Annahme der Allgemeinen Geschäftsbedingungen und Ihrer Nutzung der Scanery-Plattform für geschäftliche Zwecke. Bei Bedarf einer unterschriebenen Version wenden Sie sich an support@getscanery.com.