Auftragsverarbeitung

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die iqmeta GmbH, Am Sonnenhang 24, 71111 Waldenbuch („Auftragsverarbeiter“ oder „iqmeta“) im Auftrag der Organisation, die Getränkeliste.de bzw. drinklist.app nutzt – etwa ein Verein, ein Unternehmen oder eine Gruppe („Verantwortlicher“ oder „Kunde“).

Der Vertrag wird mit Annahme der AGB Bestandteil des Nutzungsvertrags und gilt für den kostenlosen Tarif ebenso wie für kostenpflichtige Abos. Eine von iqmeta unterschriebene Fassung als PDF erhaltet ihr auf Anfrage an support@getraenkeliste.de.

§ 1 Gegenstand, Dauer und Zweck

1. Gegenstand ist die Bereitstellung der Getränkeliste als Online-Dienst und App: Speicherung und Verarbeitung der Daten, die der Kunde und seine Nutzer dort erfassen – insbesondere Konten, Buchungen, Kasse, Abrechnungen, Zahlungen, Lager, Nachrichten, Auswertungen und Schnittstellen.
2. Zweck der Verarbeitung ist ausschließlich die Erbringung dieser Leistungen einschließlich Betrieb, Support, Datensicherung und Fehlerbehebung.
3. Die Verarbeitung dauert so lange wie der Nutzungsvertrag. Die Regelungen zur Löschung und Rückgabe (§ 9) gelten darüber hinaus.

§ 2 Art der Daten und Kreis der Betroffenen

Betroffene Personen

• Mitglieder, Mitarbeitende und sonstige Kontoinhaber der Organisation
• Nutzer mit Rollen in der Organisation (z. B. Inhaber, Verwalter, Kassierer, Leser)
• Gäste, etwa bei Gastlisten oder QR-Bestellungen
• Ansprechpartner des Kunden

Datenkategorien

• Stammdaten: Name oder Anzeigename, Kontonummer, Gruppen, optional E-Mail-Adresse, Geburtsdatum mit Prüfvermerk (für den Jugendschutz), Profilbild und vom Kunden festgelegte Zusatzfelder
• Zugangsdaten: PINs, Einladungen, Geräteverknüpfungen – verschlüsselt gespeichert
• Buchungs- und Abrechnungsdaten: Buchungen, Stornos, Salden, Kontoauszüge, Abrechnungen, Mahnungen, Kassenvorgänge
• Zahlungsdaten: Betrag, Zahlungsart, Referenz und Status (keine Kartennummern)
• Kommunikationsdaten: Nachrichten der Organisation, Lesestatus, versandte E-Mails, Support-Anfragen
• Protokolldaten: Zeitpunkt, handelnder Nutzer, IP-Adresse und Browserkennung bei sicherheitsrelevanten Aktionen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für die Getränkeliste nicht vorgesehen und sollen vom Kunden nicht erfasst werden.

§ 3 Weisungen

1. iqmeta verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, sofern iqmeta nicht gesetzlich zu einer Verarbeitung verpflichtet ist. In diesem Fall teilt iqmeta dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, soweit das Gesetz dies nicht verbietet.
2. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen und Aktionen des Kunden in der Getränkeliste. Weitere Weisungen erteilt der Kunde in Textform an support@getraenkeliste.de.
3. Ist iqmeta der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist iqmeta den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich – insbesondere für die Information seiner Mitglieder, eine tragfähige Rechtsgrundlage und die Vergabe von Rollen und Berechtigungen an seine Nutzer. Stellt er Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er iqmeta unverzüglich.

§ 5 Vertraulichkeit

iqmeta setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Sie greifen auf Daten des Kunden nur zu, soweit es für Betrieb, Support oder Fehlerbehebung erforderlich ist; solche Zugriffe werden protokolliert.

§ 6 Technische und organisatorische Maßnahmen

iqmeta trifft Maßnahmen nach Art. 32 DSGVO, die ein dem Risiko angemessenes Schutzniveau gewährleisten, und entwickelt sie weiter. Das Schutzniveau darf dabei nicht sinken. Derzeit gelten insbesondere:

§ 7 Unterauftragsverarbeiter

1. Der Kunde erteilt iqmeta die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. iqmeta verpflichtet diese vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag.
2. Über beabsichtigte Änderungen informiert iqmeta den Kunden mindestens 30 Tage im Voraus per E-Mail oder in der Getränkeliste. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.
3. Derzeit eingesetzte Unterauftragsverarbeiter:

   Unternehmen	Leistung	Ort der Verarbeitung
   Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen	Rechenzentrum und Server (Hosting)	Nürnberg, Deutschland

   E-Mails versendet iqmeta über einen eigenen Mailserver; dafür wird kein weiterer Dienstleister eingesetzt.
4. Keine Unterauftragsverarbeiter sind Dienste, die der Kunde selbst auswählt und mit eigenem Vertrag einbindet – etwa Stripe, PayPal oder SumUp für Zahlungen seiner Mitglieder – sowie Anmeldedienste wie Google, Apple oder Microsoft, die Nutzer selbst wählen. Für diese gilt deren eigene Verantwortung.

§ 8 Unterstützung des Kunden

1. Rechte der Betroffenen: Die Getränkeliste bietet dem Kunden selbst Funktionen für Auskunft, Berichtigung, Export (CSV, Excel, PDF) und Löschung bzw. Anonymisierung. Wenden sich Betroffene direkt an iqmeta, leitet iqmeta die Anfrage unverzüglich an den Kunden weiter.
2. Datenpannen: iqmeta informiert den Kunden unverzüglich, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt wird, und stellt die Informationen bereit, die der Kunde für eine Meldung nach Art. 33 und 34 DSGVO benötigt.
3. iqmeta unterstützt den Kunden außerdem bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde, soweit die Informationen bei iqmeta vorliegen.

§ 9 Löschung und Rückgabe

1. Der Kunde kann seine Daten jederzeit selbst als CSV, Excel oder PDF exportieren.
2. Nach Ende des Vertrags löscht iqmeta die Daten des Kunden, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch geschieht das bereits vorher. Aus Datensicherungen verschwinden die Daten mit dem regulären Überschreiben der Sicherungen.
3. Rechnungen von iqmeta an den Kunden bewahrt iqmeta nach den handels- und steuerrechtlichen Fristen auf.
4. Ergänzend löscht iqmeta die Daten einer Organisation, die nach § 9 der AGB als verlassene Testumgebung gilt, nach vorheriger Ankündigung an den Kunden (Inhaber und Administratoren, mindestens 30 Tage vorher, Erinnerung 7 Tage vor der Sperre). Der Kunde kann der Löschung bis zur endgültigen Löschung jederzeit durch Klick auf den Link in der Ankündigung oder durch Nutzung widersprechen. Gesperrte Organisationen bleiben 30 Tage wiederherstellbar. Die Löschung wird ohne personenbezogene Daten protokolliert (Kennung, Grund, Anzahl gelöschter Datensätze je Tabelle). Daten mit gesetzlicher Aufbewahrungspflicht (Rechnungen, TSE-Daten) sind ausgenommen; Organisationen mit solchen Daten werden nicht gelöscht.

§ 10 Nachweise und Kontrollen

iqmeta stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten durchführen. Kontrollen dürfen den Betrieb und die Vertraulichkeit der Daten anderer Kunden nicht beeinträchtigen.

§ 11 Ort der Verarbeitung

Die Verarbeitung findet in Deutschland statt. Eine Verlagerung in ein Land außerhalb der EU oder des EWR erfolgt nur mit vorheriger Zustimmung des Kunden und wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 12 Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam.

Kontakt

iqmeta GmbH
Am Sonnenhang 24
71111 Waldenbuch
Deutschland
E-Mail: support@getraenkeliste.de

Wie wir Daten in eigener Verantwortung verarbeiten, erklärt unsere Datenschutzerklärung.