QR Code AI Auftragsverarbeitungsvertrag (AVV)

AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

Zuletzt aktualisiert am 2. März 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen („Vertrag“) zwischen Supernovae, einem in Frankreich unter der Anschrift 27 Rue Wurtz, Juvisy-sur-Orge 91260 registrierten Unternehmen mit der Umsatzsteuer-Identifikationsnummer FR67948452891 („Auftragsverarbeiter“, „wir“, „uns“), und der Stelle, die diesem AVV zustimmt („Verantwortlicher“, „Sie“), gemeinsam als „Parteien“ bezeichnet.

Dieser AVV gilt, wenn wir im Zusammenhang mit unseren QR Code AI-Diensten, einschließlich über die API, personenbezogene Daten in Ihrem Auftrag verarbeiten.

1. BEGRIFFSBESTIMMUNGEN

• „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, im Sinne von Artikel 4 Nummer 1 DSGVO.
• „Verarbeitung“ bezeichnet jeden Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten im Sinne von Artikel 4 Nummer 2 DSGVO.
• „Betroffene Person“ bezeichnet die identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen.
• „Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den der Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen beauftragt.
• „DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates.
• „UK GDPR“ bezeichnet die Datenschutz-Grundverordnung des Vereinigten Königreichs in ihrer nach britischem Recht geltenden Fassung, die zusammen mit dem Data Protection Act 2018 zu lesen ist.
• „SCC“ bezeichnet die von der Europäischen Kommission genehmigten Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer.
• „Datenschutzverletzung“ bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von personenbezogenen Daten oder zum unbefugten Zugang zu ihnen führt.

2. GELTUNGSBEREICH UND ROLLEN

2.1 Verantwortlicher und Auftragsverarbeiter

Für die Zwecke dieses AVV gilt:

• Sie (Verantwortlicher): Sie bestimmen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bei der Nutzung unserer Dienste, insbesondere wenn Sie unsere API verwenden, um QR-Codes für Ihre eigenen Kunden zu erstellen, oder unsere Dienste in Ihre Produkte integrieren.
• Wir (Auftragsverarbeiter): Wir verarbeiten personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen, wie in diesem AVV und im Vertrag beschrieben.

2.2 Anwendungsfälle dieses AVV

Dieser AVV gilt, wenn:

• Sie die API von QR Code AI nutzen, um QR-Codes zu erstellen, die Daten Ihrer Endnutzer verarbeiten (z. B. URLs mit personenbezogenen Informationen, vCard-Daten oder in QR-Codes codierte Kontaktdaten).
• Sie die Tracking- und Analysefunktionen von QR Code AI nutzen, die Scandaten Ihrer Endnutzer erfassen.
• Wir in einem anderen Fall als Auftragsverarbeiter personenbezogene Daten in Ihrem Auftrag verarbeiten.

Wenn Sie QR Code AI als einzelner Nutzer für eigene Zwecke verwenden, handeln wir als eigenständiger Verantwortlicher. Für die Datenverarbeitung gilt dann unsere Datenschutzerklärung.

3. ANGABEN ZUR DATENVERARBEITUNG

3.1 Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten während der Laufzeit des Vertrags, um die QR Code AI-Dienste bereitzustellen, einschließlich der Erstellung von QR-Codes, des Trackings, der Analysen und der damit verbundenen Funktionen.

3.2 Art und Zweck der Verarbeitung

• Erstellung von QR-Codes anhand der vom Verantwortlichen bereitgestellten Eingabedaten
• Erfassung von QR-Code-Scans und Erhebung von Analysedaten
• Speicherung von QR-Code-Konfigurationen und zugehörigen Metadaten
• Bearbeitung von Anfragen zur KI-gestützten Erstellung künstlerischer QR-Codes
• Bereitstellung von Berichten und Analyse-Dashboards

3.3 Arten personenbezogener Daten

Zu den verarbeiteten personenbezogenen Daten können gehören:

• In QR-Codes codierte Kontaktdaten (Namen, E-Mail-Adressen, Telefonnummern)
• URLs und Webadressen
• Standortdaten aus QR-Code-Scans
• Geräteinformationen und IP-Adressen aus QR-Code-Scans
• Texteingaben und Bilder für die KI-gestützte Erstellung von QR-Codes
• Sonstige Daten, die der Verantwortliche in QR-Codes codieren möchte

3.4 Kategorien betroffener Personen

• Endnutzer, die vom Verantwortlichen erstellte QR-Codes scannen
• Personen, deren Kontaktdaten in QR-Codes codiert sind
• Nutzer der Produkte oder Dienste des Verantwortlichen, die mit QR-Codes interagieren

4. PFLICHTEN DES AUFTRAGSVERARBEITERS

4.1 Weisungen zur Verarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich auf Ihre dokumentierte Weisung, es sei denn, wir sind nach dem Recht der EU oder eines Mitgliedstaats, dem wir unterliegen, zur Verarbeitung verpflichtet. In diesem Fall informieren wir Sie vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Wir informieren Sie unverzüglich, wenn wir der Auffassung sind, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzbestimmungen der EU oder der Mitgliedstaaten verstößt.

4.2 Vertraulichkeit

Wir stellen sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4.3 Sicherheitsmaßnahmen

Wir setzen geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören:

• Verschlüsselung personenbezogener Daten bei der Übertragung (TLS/HTTPS) sowie Verschlüsselung sensibler gespeicherter Informationen im Ruhezustand
• Zugriffskontrollen und rollenbasierte Authentifizierung für interne Systeme
• Regelmäßige Sicherheitsbewertungen und Schwachstellenscans
• Von Scaleway und DigitalOcean gehostete Infrastruktur mit Sicherheits- und Compliance-Maßnahmen, die vom jeweiligen Anbieter und Hostingdienst abhängen
• DDoS-Schutz und Web Application Firewall (Cloudflare)
• Regelmäßige Sicherungskopien mit verschlüsselter Speicherung
• Protokollierung und Überwachung von Zugriffen auf personenbezogene Daten

4.4 Unterauftragsverarbeiter

Wir setzen die auf unserer Seite Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter ein. Über jede beabsichtigte Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters werden wir Sie aktiv schriftlich benachrichtigen. Ab dieser Mitteilung haben Sie 30 Tage Zeit, vor Wirksamwerden der Änderung zu widersprechen. Dazu können Sie uns innerhalb dieser Frist unter [email protected] kontaktieren. Wenn Sie widersprechen und wir Ihrem Widerspruch nicht in zumutbarer Weise Rechnung tragen können, kann jede Partei den betroffenen Teil der Dienste kündigen.

Wir beauftragen einen Unterauftragsverarbeiter nur auf der Grundlage eines schriftlichen Vertrags, einschließlich anwendbarer elektronischer Vertragsbedingungen, mit der Verarbeitung personenbezogener Daten in Ihrem Auftrag. Dieser Vertrag muss die nach Artikel 28 Absatz 4 DSGVO erforderlichen Datenschutzpflichten auferlegen. Wir bleiben nach Maßgabe dieses Artikels für unsere Unterauftragsverarbeiter verantwortlich.

4.5 Rechte betroffener Personen

Wir unterstützen Sie bei der Beantwortung von Anträgen betroffener Personen, die ihre Rechte nach geltendem Datenschutzrecht ausüben (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Geht ein Antrag direkt bei uns ein, verweisen wir die betroffene Person umgehend an Sie, sofern Sie uns keine anderslautende Weisung erteilt haben.

4.6 Unterstützung bei der Einhaltung von Pflichten

Unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen unterstützen wir Sie bei der Einhaltung Ihrer Pflichten nach den Artikeln 32 bis 36 DSGVO.

5. MELDUNG VON DATENSCHUTZVERLETZUNGEN

5.1 Benachrichtigungsfrist

Wir informieren Sie über eine Datenschutzverletzung unverzüglich, in jedem Fall innerhalb von 72 Stunden, nachdem wir davon Kenntnis erlangt haben. Die Mitteilung senden wir an die mit Ihrem Konto verknüpfte E-Mail-Adresse.

5.2 Inhalt der Benachrichtigung

Die Benachrichtigung enthält, soweit verfügbar:

• Eine Beschreibung der Art der Datenschutzverletzung, einschließlich der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze.
• Den Namen und die Kontaktdaten unserer Ansprechstelle für Datenschutz.
• Eine Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung.
• Eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Datenschutzverletzung, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

5.3 Laufende Zusammenarbeit

Wir arbeiten mit Ihnen zusammen und leisten angemessene Unterstützung bei der Untersuchung, Eindämmung und Behebung von Datenschutzverletzungen sowie bei den Mitteilungen an Aufsichtsbehörden oder betroffene Personen, zu denen Sie verpflichtet sind.

6. INTERNATIONALE DATENÜBERMITTLUNGEN

6.1 Datenstandorte

Personenbezogene Daten werden überwiegend in der Europäischen Union gespeichert und verarbeitet:

• Frankreich (EU) über Scaleway
• Niederlande (EU) über DigitalOcean

6.2 Übermittlungen außerhalb der EU bzw. des EWR

Einige unserer Unterauftragsverarbeiter befinden sich außerhalb der EU bzw. des EWR, hauptsächlich in den Vereinigten Staaten. Für diese Übermittlungen stützen wir uns auf:

• EU-US Data Privacy Framework: Soweit anwendbar, für Übermittlungen an Anbieter in den USA, die nach diesem Rahmen zertifiziert sind.
• Standardvertragsklauseln (SCC): Soweit das Data Privacy Framework nicht gilt, nehmen wir die von der Europäischen Kommission genehmigten SCC (Durchführungsbeschluss (EU) 2021/914 der Kommission) in unsere Verträge mit Unterauftragsverarbeitern außerhalb der EU bzw. des EWR auf.

6.3 Bewertung der Auswirkungen von Datenübermittlungen

Wir bewerten die Auswirkungen von Datenübermittlungen an Drittländer und ergreifen erforderlichenfalls ergänzende Maßnahmen, um ein angemessenes Datenschutzniveau zu gewährleisten.

7. AUDITS UND INSPEKTIONEN

7.1 Auditrecht

Sie sind berechtigt zu prüfen, ob wir diesen AVV einhalten. Wir stellen Ihnen alle zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglichen Audits, einschließlich Inspektionen, die Sie oder ein von Ihnen beauftragter Prüfer durchführen, und wirken daran mit.

7.2 Auditverfahren

Die folgenden Regelungen gelten für Audits nur, soweit sie keine Rechte oder Pflichten nach geltendem Datenschutzrecht einschränken:

• Sie müssen jedes Audit mindestens 30 Tage im Voraus schriftlich ankündigen.
• Audits dürfen höchstens einmal jährlich stattfinden, es sei denn, eine Aufsichtsbehörde verlangt ein Audit oder es erfolgt nach einer Datenschutzverletzung.
• Audits müssen während der üblichen Geschäftszeiten stattfinden und dürfen unseren Betrieb nicht unangemessen beeinträchtigen.
• Sie tragen die Kosten des Audits, es sei denn, das Audit ergibt einen wesentlichen Verstoß gegen diesen AVV.
• Vertrauliche Informationen unserer anderen Kunden dürfen beim Audit nicht offengelegt werden.

8. AUFBEWAHRUNG UND LÖSCHUNG VON DATEN

8.1 Während der Vertragslaufzeit

Wir bewahren personenbezogene Daten während der Vertragslaufzeit auf, soweit dies für die Bereitstellung der Dienste erforderlich ist.

8.2 Bei Vertragsbeendigung

Bei Beendigung des Vertrags oder auf Ihre schriftliche Aufforderung:

• löschen wir nach Ihrer Wahl die personenbezogenen Daten oder geben sie an Sie zurück und löschen die verbleibenden Kopien innerhalb von 30 Tagen aus unseren aktiven Systemen.
• werden personenbezogene Daten in Sicherungsarchiven innerhalb von 6 Monaten gelöscht. Bis dahin bleiben sie geschützt und werden nicht für andere Zwecke verwendet, es sei denn, geltendes Recht verlangt etwas anderes.
• dürfen wir personenbezogene Daten aufbewahren, soweit geltendes Recht dies verlangt (z. B. steuerliche oder buchhalterische Pflichten). In diesem Fall trennen und schützen wir diese Daten und beschränken die weitere Verarbeitung auf das gesetzlich Erforderliche.

8.3 Löschbestätigung

Auf Wunsch bestätigen wir Ihnen schriftlich, dass die personenbezogenen Daten gemäß diesem Abschnitt gelöscht wurden.

9. HAFTUNG

Für die Haftung jeder Partei aus diesem AVV gelten die im Vertrag festgelegten Haftungsbeschränkungen. Dieser AVV beschränkt nicht die Haftung einer Partei gegenüber betroffenen Personen oder Aufsichtsbehörden nach geltendem Datenschutzrecht.

10. ANWENDBARES RECHT

Für diesen AVV gilt französisches Recht. Die DSGVO und die UK GDPR gelten, soweit die Verarbeitung in ihren jeweiligen rechtlichen Anwendungsbereich fällt. Streitigkeiten aus diesem AVV werden nach den Bestimmungen des Vertrags zur Streitbeilegung behandelt.

11. ABSCHLUSS DIESES AVV

Dieser AVV ist in die Nutzungsbedingungen einbezogen und Bestandteil derselben. Durch die Nutzung der QR Code AI-Dienste stimmen Sie diesem AVV zu.

Wenn Sie für Ihre Unterlagen eine gesondert unterzeichnete Ausfertigung dieses AVV benötigen, schreiben Sie uns an [email protected]. Wir stellen sie Ihnen innerhalb von 10 Geschäftstagen zur Verfügung.

12. KONTAKT

Bei Fragen zu diesem AVV oder zu unserer Datenverarbeitung:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Frankreich [email protected]