1. Parteien und Gegenstand
Verantwortlicher ist der Kunde, der mit dem Bauwagen eine Link-in-Bio-Seite betreibt und darüber Formulare, Kontakte und E-Mails nutzt („Kunde“). Auftragsverarbeiter ist die IQ Mediengruppe LLC, 30 N Gould St Ste N, 82801 Sheridan, WY, USA, vertreten durch Meik Frankenhauser, Bahnhofstr. 10A, 67059 Ludwigshafen, zugleich Vertreter in der Union nach Art. 27 DSGVO („wir“). Gegenstand ist die Bereitstellung der Seite, der Formulare, der Kontaktverwaltung und der Versandsteuerung über den Mailserver des Kunden. Dieser Vertrag gilt, solange der Tarif besteht, und wird mit der Buchung bzw. Nutzung geschlossen.
2. Art, Zweck und Betroffene
- Betroffene: Besucher der Seite, die ein Formular absenden; Kontakte und Interessenten des Kunden.
- Daten: Name, E-Mail-Adresse, Telefonnummer, weitere Formular-Angaben, Schlagworte und Notizen des Kunden, Nachweis der Einwilligung (Formular, Wortlaut, Zeitpunkt, Seite, Zeitpunkt der Bestätigung), Status (wartet, bestätigt, abgemeldet), Versandprotokoll der E-Mails. Für die Besucherstatistik werden keine personenbezogenen Daten gespeichert (nur Tageszähler ohne IP-Adresse).
- Zwecke: Entgegennahme von Anfragen und Anmeldungen, Double-Opt-in, Kontaktverwaltung und Export für den Kunden, Entgegennahme und Verwaltung von Terminbuchungen (inkl. Bestätigungs-, Erinnerungs- und Absagemails), Versand von Bestätigungsmails, automatischen Mails (z. B. Willkommens- und Folgemails) und Newslettern über den Mailserver des Kunden – Newsletter nur an Kontakte mit bestätigter Einwilligung –, Abmeldung.
3. Weisungen
Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kundes; als Weisung gelten die Einstellungen und Aktionen in der Plattform sowie schriftliche Weisungen. Halten wir eine Weisung für rechtswidrig, weisen wir darauf hin.
4. Pflichten des Auftragsverarbeiters
- Vertraulichkeit aller mit der Verarbeitung befassten Personen.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Abschnitt 5).
- Unterstützung bei Anfragen Betroffener (Auskunft, Löschung, Berichtigung, Export) – die Plattform stellt dafür Kontaktliste, Nachweis der Einwilligung, Export und Löschen bereit.
- Unterstützung bei Datenpannen: Meldung an den Kunde unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
- Nachweise über die Einhaltung dieses Vertrags auf Anfrage; Kontrollen nach Absprache.
5. Technische und organisatorische Maßnahmen
- Speicherung in Rechenzentren in Frankfurt am Main (Supabase/AWS eu-central-1), verschlüsselte Übertragung (TLS), Mailversand nur verschlüsselt (SSL/TLS bzw. STARTTLS).
- Zugriffsschutz auf Datenbankebene (Zeilenrechte): Jeder Kunde sieht nur seine eigenen Kontakte; auch das Backoffice der Fundament-Allianz hat in der Anwendung keinen Zugriff darauf.
- Zugangsdaten des Mailservers werden verschlüsselt gespeichert und nie wieder angezeigt; Bestätigungs-Codes werden nur als Hash gespeichert.
- Schutz vor Missbrauch (Begrenzung der Absendungen, unsichtbares Fangfeld), Versandgrenze je Stunde, Ein-Klick-Abmeldung.
- Regelmäßige Sicherungen durch den Hosting-Dienstleister; Zugriff des Anbieters auf die Datenbank nur, soweit für Betrieb und Support erforderlich.
6. Unterauftragsverarbeiter
Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- Supabase Inc. bzw. deren EU-Gesellschaft – Datenbank, Speicher, Hosting in Frankfurt am Main.
Den Mailserver wählt und beauftragt der Kunde selbst; dessen Anbieter ist Auftragsverarbeiter des Kunden, nicht unser Unterauftragsverarbeiter. Für die KI-Einrichtung der Seite (OpenAI) werden nur Profilangaben des Kunden verarbeitet, keine Kontakt- oder Formulardaten. Über neue Unterauftragsverarbeiter informieren wir vorab; der Kunde kann aus wichtigem Grund widersprechen.
7. Drittlandbezug
Die Daten werden in Frankfurt am Main gespeichert. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage von Standardvertragsklauseln. Kontakt- und Formulardaten werden nicht an KI-Dienste übermittelt.
8. Ende der Verarbeitung
Nach Ende des Tarifs wird die Seite offline genommen. Der Kunde kann seine Kontakte 30 Tage lang exportieren; danach löschen wir Kontakte, Formulare und Versandprotokolle, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im üblichen Rhythmus überschrieben.
9. Schlussbestimmungen
Es gelten die Leistungsbedingungen Bauwagen und deutsches Recht. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.