QR Code AI Auftragsverarbeitungsvertrag (AVV)

AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

Zuletzt aktualisiert am 2. März 2026

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Nutzungsbedingungen ("Vereinbarung") zwischen Supernovae, einem in Frankreich eingetragenen Unternehmen mit Sitz in 27 Rue Wurtz, Juvisy-sur-Orge 91260, USt-IdNr. FR67948452891 ("Auftragsverarbeiter", "wir", "uns"), und der Einheit, die diesem AVV zustimmt ("Verantwortlicher", "Sie"), gemeinsam die "Parteien".

Dieser AVV gilt, wenn wir personenbezogene Daten in Ihrem Auftrag im Zusammenhang mit unseren QR Code AI Services verarbeiten, einschließlich über die API.

1. DEFINITIONEN

• "Personenbezogene Daten" bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wie in Artikel 4(1) DSGVO definiert.
• "Verarbeitung" bezeichnet jeden Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie in Artikel 4(2) DSGVO definiert.
• "Betroffene Person" bezeichnet die identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen.
• "Unterauftragsverarbeiter" bezeichnet jeden Dritten, den der Auftragsverarbeiter einsetzt, um personenbezogene Daten im Auftrag des Verantwortlichen zu verarbeiten.
• "DSGVO" bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates.
• "UK GDPR" bezeichnet die DSGVO, wie sie durch den Data Protection Act 2018 in britisches Recht überführt wurde.
• "SCCs" bezeichnet die von der Europäischen Kommission genehmigten Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer.
• "Datenschutzverletzung" bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt.

2. GELTUNGSBEREICH UND ROLLEN

2.1 Verantwortlicher und Auftragsverarbeiter

Für die Zwecke dieses AVV gilt:

• Sie (Verantwortlicher): Sie bestimmen die Zwecke und Mittel der Verarbeitung personenbezogener Daten, wenn Sie unsere Services nutzen, insbesondere wenn Sie unsere API verwenden, um QR-Codes für Ihre eigenen Kunden zu generieren oder unsere Services in Ihre Produkte zu integrieren.
• Wir (Auftragsverarbeiter): Wir verarbeiten personenbezogene Daten in Ihrem Auftrag gemäß Ihren Weisungen, wie in diesem AVV und der Vereinbarung beschrieben.

2.2 Wann dieser AVV gilt

Dieser AVV gilt, wenn:

• Sie die QR Code AI API nutzen, um QR-Codes zu generieren, die Daten Ihrer Endnutzer verarbeiten (z. B. URLs mit personenbezogenen Informationen, vCard-Daten, Kontaktdaten, die in QR-Codes kodiert sind).
• Sie QR Code AI Funktionen zur Nachverfolgung und Analytics nutzen, die Scan-Daten Ihrer Endnutzer erfassen.
• jedes andere Szenario, in dem wir personenbezogene Daten in Ihrem Auftrag als Auftragsverarbeiter verarbeiten.

Wenn Sie QR Code AI als Einzelperson für eigene Zwecke nutzen, handeln wir als eigenständiger Verantwortlicher und unsere Datenschutzerklärung regelt die Datenverarbeitung.

3. DETAILS DER DATENVERARBEITUNG

3.1 Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten für die Dauer der Vereinbarung, um die QR Code AI Services bereitzustellen, einschließlich QR-Code-Generierung, Nachverfolgung, Analytics und zugehöriger Funktionen.

3.2 Art und Zweck der Verarbeitung

• Generierung von QR-Codes auf Basis der vom Verantwortlichen bereitgestellten Eingabedaten
• Nachverfolgung von QR-Code-Scans und Erfassung von Analytics-Daten
• Speicherung von QR-Code-Konfigurationen und zugehörigen Metadaten
• Verarbeitung von Anfragen für KI-generierte künstlerische QR-Codes
• Bereitstellung von Berichten und Analytics-Dashboards

3.3 Arten personenbezogener Daten

Die verarbeiteten Arten personenbezogener Daten können umfassen:

• Kontaktinformationen (Namen, E-Mail-Adressen, Telefonnummern), die in QR-Codes kodiert sind
• URLs und Webadressen
• Standortdaten aus QR-Code-Scans
• Geräteinformationen und IP-Adressen aus QR-Code-Scans
• Text-Prompts und Bilder, die für die KI-QR-Code-Generierung bereitgestellt werden
• alle weiteren Daten, die der Verantwortliche in QR-Codes kodieren möchte

3.4 Kategorien betroffener Personen

• Endnutzer, die vom Verantwortlichen erstellte QR-Codes scannen
• Personen, deren Kontaktinformationen in QR-Codes kodiert sind
• Nutzer der Produkte oder Services des Verantwortlichen, die mit QR-Codes interagieren

4. PFLICHTEN DES AUFTRAGSVERARBEITERS

4.1 Weisungen zur Verarbeitung

Wir verarbeiten personenbezogene Daten nur auf Grundlage Ihrer dokumentierten Weisungen, sofern wir nicht nach EU-Recht oder dem Recht eines Mitgliedstaats, dem wir unterliegen, dazu verpflichtet sind. In diesem Fall informieren wir Sie vor der Verarbeitung über diese rechtliche Anforderung, sofern das Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

4.2 Vertraulichkeit

Wir stellen sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4.3 Sicherheitsmaßnahmen

Wir setzen geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich:

• Verschlüsselung personenbezogener Daten bei der Übertragung (TLS/HTTPS) und im Ruhezustand
• Zugriffskontrollen und rollenbasierte Authentifizierung für interne Systeme
• regelmäßige Sicherheitsbewertungen und Schwachstellen-Scans
• Infrastruktur bei ISO 27001-zertifizierten Anbietern
• DDoS-Schutz und Web Application Firewall (Cloudflare)
• regelmäßige Backups mit verschlüsseltem Speicher
• Protokollierung und Überwachung von Zugriffen auf personenbezogene Daten

4.4 Unterauftragsverarbeiter

Wir nutzen die auf unserer Seite zu Unterauftragsverarbeitern aufgeführten Unterauftragsverarbeiter. Wir informieren Sie über beabsichtigte Änderungen bei Unterauftragsverarbeitern, indem wir diese Seite aktualisieren. Sie können einem neuen Unterauftragsverarbeiter widersprechen, indem Sie uns innerhalb von 30 Tagen nach der Aktualisierung unter [email protected] kontaktieren. Wenn Sie widersprechen und wir Ihren Widerspruch nicht in zumutbarer Weise berücksichtigen können, kann jede Partei den betroffenen Teil der Services kündigen.

Wir schließen mit allen Unterauftragsverarbeitern schriftliche Vereinbarungen, die Datenschutzpflichten enthalten, die mindestens ebenso schützend sind wie die in diesem AVV.

4.5 Rechte betroffener Personen

Wir unterstützen Sie bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte nach anwendbarem Datenschutzrecht ausüben (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Erhalten wir eine Anfrage direkt von einer betroffenen Person, leiten wir diese unverzüglich an Sie weiter, sofern wir nicht anders angewiesen werden.

4.6 Unterstützung bei der Compliance

Wir unterstützen Sie bei der Einhaltung Ihrer Pflichten nach den Artikeln 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen.

5. MELDUNG VON DATENSCHUTZVERLETZUNGEN

5.1 Meldefrist

Wir informieren Sie über eine Datenschutzverletzung unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem wir von der Verletzung Kenntnis erlangt haben. Die Benachrichtigung wird an die mit Ihrem Konto verknüpfte E-Mail-Adresse gesendet.

5.2 Inhalt der Meldung

Die Benachrichtigung enthält, soweit verfügbar:

• eine Beschreibung der Art der Datenschutzverletzung, einschließlich der Kategorien und der ungefähren Anzahl betroffener Personen und betroffener Datensätze.
• den Namen und die Kontaktdaten unseres Ansprechpartners für Datenschutz.
• eine Beschreibung der voraussichtlichen Folgen der Datenschutzverletzung.
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Datenschutzverletzung, einschließlich Maßnahmen zur Minderung möglicher nachteiliger Auswirkungen.

5.3 Laufende Zusammenarbeit

Wir arbeiten mit Ihnen zusammen und leisten angemessene Unterstützung bei der Untersuchung, Eindämmung und Behebung einer Datenschutzverletzung sowie bei Meldungen an Aufsichtsbehörden oder betroffene Personen, zu denen Sie verpflichtet sind.

6. INTERNATIONALE DATENÜBERMITTLUNGEN

6.1 Datenstandort

Personenbezogene Daten werden überwiegend in der Europäischen Union gespeichert und verarbeitet:

• Frankreich (EU) über Scaleway
• Niederlande (EU) über DigitalOcean

6.2 Übermittlungen außerhalb der EU/des EWR

Einige unserer Unterauftragsverarbeiter befinden sich außerhalb der EU/des EWR, überwiegend in den Vereinigten Staaten. Für diese Übermittlungen stützen wir uns auf:

• EU-US Data Privacy Framework: sofern anwendbar, für Übermittlungen an US-Anbieter, die unter dem Framework zertifiziert sind.
• Standardvertragsklauseln (SCCs): Wir integrieren die von der Europäischen Kommission genehmigten SCCs (Durchführungsbeschluss (EU) 2021/914 der Kommission) in unsere Vereinbarungen mit Unterauftragsverarbeitern außerhalb der EU/des EWR, sofern das Data Privacy Framework nicht anwendbar ist.

6.3 Transfer Impact Assessment

Wir führen Transfer Impact Assessments für Übermittlungen in Drittländer durch und setzen bei Bedarf ergänzende Maßnahmen um, um ein angemessenes Datenschutzniveau sicherzustellen.

7. AUDITS UND INSPEKTIONEN

7.1 Audit-Rechte

Sie haben das Recht, unsere Einhaltung dieses AVV zu prüfen. Wir stellen Ihnen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung nachzuweisen, und ermöglichen sowie unterstützen Audits, einschließlich Inspektionen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden.

7.2 Audit-Ablauf

Audits unterliegen den folgenden Bedingungen:

• Sie müssen mindestens 30 Tage vor einem Audit eine schriftliche Ankündigung machen.
• Audits dürfen höchstens einmal pro Jahr durchgeführt werden, es sei denn, eine Aufsichtsbehörde verlangt dies oder es liegt eine Datenschutzverletzung vor.
• Audits müssen während der üblichen Geschäftszeiten stattfinden und dürfen unseren Betrieb nicht unangemessen beeinträchtigen.
• Sie tragen die Kosten des Audits, es sei denn, das Audit stellt einen wesentlichen Verstoß gegen diesen AVV fest.
• Vertrauliche Informationen anderer Kunden dürfen während des Audits nicht offengelegt werden.

8. DATENSPEICHERUNG UND LÖSCHUNG

8.1 Während der Vereinbarung

Wir speichern personenbezogene Daten für die Dauer der Vereinbarung, soweit dies zur Bereitstellung der Services erforderlich ist.

8.2 Nach Beendigung

Nach Beendigung der Vereinbarung oder auf Ihre schriftliche Anfrage:

• löschen wir personenbezogene Daten aus unseren aktiven Systemen innerhalb von 30 Tagen.
• werden personenbezogene Daten in Backup-Archiven innerhalb von 6 Monaten gelöscht.
• dürfen wir personenbezogene Daten in dem Umfang aufbewahren, wie es nach anwendbarem Recht erforderlich ist (z. B. steuerliche oder buchhalterische Pflichten); in diesem Fall isolieren und schützen wir diese Daten und beschränken die weitere Verarbeitung auf das gesetzlich Erforderliche.

8.3 Bestätigung

Auf Ihre Anfrage stellen wir eine schriftliche Bestätigung bereit, dass personenbezogene Daten gemäß diesem Abschnitt gelöscht wurden.

9. HAFTUNG

Die Haftung jeder Partei nach diesem AVV unterliegt den in der Vereinbarung festgelegten Haftungsbeschränkungen. Nichts in diesem AVV beschränkt die Haftung einer Partei gegenüber betroffenen Personen oder Aufsichtsbehörden nach anwendbarem Datenschutzrecht.

10. ANWENDBARES RECHT

Dieser AVV unterliegt dem Recht Frankreichs. Für betroffene Personen in der EU gilt die DSGVO. Für betroffene Personen im Vereinigten Königreich gilt die UK GDPR. Streitigkeiten aus diesem AVV werden gemäß den Bestimmungen zur Streitbeilegung in der Vereinbarung gelöst.

11. WIE SIE DIESEN AVV ABSCHLIESSEN

Dieser AVV ist in die Nutzungsbedingungen integriert und Bestandteil davon. Durch die Nutzung der QR Code AI Services stimmen Sie diesem AVV zu.

Wenn Sie für Ihre Unterlagen eine separat unterzeichnete Ausfertigung dieses AVV benötigen, kontaktieren Sie uns bitte unter [email protected]. Wir stellen Ihnen diese innerhalb von 10 Werktagen zur Verfügung.

12. KONTAKT

Bei Fragen zu diesem AVV oder zu unseren Datenverarbeitungspraktiken:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Frankreich [email protected]