Zuletzt aktualisiert 18. Oktober 2026

Auftragsverarbeitungsvertrag

Diese Übersetzung dient nur zur Orientierung. Weicht sie von der englischen Version ab, gilt die englische Version.

Entwurf zur Prüfung. Dieser Nachtrag ist eine Vorlage für den Betreiber dieser Website. Lass ihn von einem Anwalt prüfen und fülle die markierten Angaben aus, bevor du dich darauf verlässt.

Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Vereinbarung zwischen ScanMosaic, United Kingdom („wir“, der Auftragsverarbeiter) und dem Geschäftskunden, der ScanMosaic nutzt („du“, der Verantwortliche), bestehend aus unseren Nutzungsbedingungen und diesem AVV. Er gilt, wenn wir personenbezogene Daten für dich als dein Auftragsverarbeiter nach der UK-DSGVO, der EU-DSGVO oder ähnlichen Gesetzen verarbeiten. Er gilt nicht für Daten, die wir als Verantwortlicher für eigene Zwecke verarbeiten und die in unserer Datenschutzerklärung beschrieben sind, etwa deine Konto- und Rechnungsdaten.

Du akzeptierst diesen AVV, indem du einen kostenpflichtigen Plan für geschäftliche Zwecke nutzt oder bei [email protected] eine unterschriebene Kopie anforderst.

Gegenstand, Dauer, Art und Zweck

Wir hosten deine QR-Codes, Kurzlinks, gehosteten Seiten und Dateien, leiten Leute weiter, die sie scannen oder anklicken, zählen diese Besuche und stellen das Dashboard, Berichte und die API bereit. Wir verarbeiten personenbezogene Daten nur so lange, wie du den Dienst nutzt, sowie für die unten genannten Löschfristen.

Personenbezogene Daten und betroffene Personen

Personen, die deine Codes scannen oder deine Links anklicken: Uhrzeit, Land und Stadt (aus dem Netzwerk, nicht per GPS), Gerätetyp, Betriebssystem, Browser, Sprache, verweisende Website und ein Besucherschlüssel, der sich täglich ändert. Wir speichern keine IP-Adressen und setzen keine Cookies.
Personen, die deine gehosteten Formulare oder Feedback-Seiten ausfüllen: alles, was dein Formular abfragt.
In deinen Inhalten genannte Personen: zum Beispiel Kontaktdaten auf einer digitalen Visitenkarte oder Dateien, die du hochlädst.
Dein Team: E-Mail-Adressen und Rollen der Workspace-Mitglieder sowie das Aktivitätsprotokoll ihrer Änderungen.

Du darfst den Dienst nicht nutzen, um über gehostete Formulare besondere Kategorien von Daten (etwa Gesundheitsdaten) zu erheben, es sei denn, du hast eine Rechtsgrundlage und uns das schriftlich mitgeteilt.

Unsere Pflichten

Wir verarbeiten personenbezogene Daten nur auf deine dokumentierten Weisungen hin: diese Bedingungen, deine Einstellungen und deine Nutzung des Dienstes. Wir sagen dir Bescheid, wenn wir glauben, dass eine Weisung gegen das Datenschutzrecht verstößt.
Alle, die Zugriff auf deine personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet.
Wir unterstützen dich bei Anfragen von Personen, die ihre Rechte wahrnehmen. Das meiste lässt sich im Dashboard erledigen: Codes, Links, Formularantworten und Scan-Daten exportieren, bearbeiten und löschen.
Wir unterstützen dich bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden, soweit sie unseren Dienst betreffen.

Sicherheitsmaßnahmen

Der gesamte Datenverkehr nutzt HTTPS (TLS). Daten werden bei unserem Hosting-Anbieter gespeichert, der sie im Ruhezustand verschlüsselt.
Bei Scan-Daten werden keine IP-Adressen gespeichert; Ratenbegrenzungen und Zählungen eindeutiger Besucher nutzen verschlüsselte Einweg-Hashes, die sich nicht umkehren lassen.
Anmeldung ohne Passwort mit Einmalcodes; Sitzungen werden als Einweg-Hashes gespeichert und lassen sich auf jedem Gerät beenden.
Rollenbasierter Zugriff in jedem Workspace (Owner, Admin, Editor, Viewer), bei jeder Anfrage serverseitig geprüft. API-Schlüssel sind auf den Workspace beschränkt und werden gehasht gespeichert.
Geheimnisse von Drittanbietern, die du uns gibst, etwa API-Secrets von Integrationen, werden verschlüsselt und nie wieder angezeigt.
Ziele werden mit Google Web Risk abgeglichen; Seiten, die Inhalte deiner Nutzer zeigen, verwenden eine strikte Content Security Policy.
Der Zugriff auf Produktionssysteme ist auf die Personen beschränkt, die den Dienst betreiben.

Unterauftragsverarbeiter

Du ermächtigst uns, die auf unserer Seite der Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter einzusetzen. Wir verpflichten jeden vertraglich zu Datenschutzpflichten, die mindestens so schützend sind wie dieser AVV, und bleiben für sie verantwortlich. Einen neuen Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher per E-Mail an den Workspace-Owner an. Wenn du aus berechtigten Datenschutzgründen widersprichst und wir das nicht lösen können, kannst du den betroffenen Dienst beenden, und wir erstatten im Voraus bezahlte Gebühren für den verbleibenden Zeitraum.

Internationale Übermittlungen

Einige Unterauftragsverarbeiter verarbeiten Daten außerhalb des Vereinigten Königreichs und des EWR. Dabei stützen wir uns auf einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework und der UK-Erweiterung, wenn der Empfänger zertifiziert ist) oder auf die EU-Standardvertragsklauseln mit dem UK International Data Transfer Addendum, bei Bedarf zusammen mit ergänzenden Maßnahmen.

Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen dich unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten erfahren haben, die deine Daten betrifft. Wir teilen dir mit, was passiert ist, welche Daten und Personen voraussichtlich betroffen sind, welche Folgen wahrscheinlich sind und was wir dagegen tun, und halten dich auf dem Laufenden, sobald wir mehr wissen. Die Mitteilung senden wir an die E-Mail-Adresse des Workspace-Owners.

Löschung und Rückgabe

Du kannst deine Daten jederzeit unter „Datenschutz & Daten“ im Dashboard herunterladen und Codes, Links, Dateien und Antworten jederzeit löschen. Scan-Daten werden nach 13 Monaten automatisch gelöscht. Wenn du dein Konto oder deinen Workspace löschst oder 30 Tage nach Ende deiner Vereinbarung, löschen wir deine personenbezogenen Daten aus dem laufenden Dienst, sofern das Gesetz keine Aufbewahrung verlangt. Backups bei unserem Hosting-Anbieter werden danach innerhalb von 30 Tagen überschrieben.

Audits und Informationen

Wir stellen die Informationen bereit, die nötig sind, um unsere Einhaltung dieses AVV nachzuweisen, einschließlich Antworten auf angemessene Sicherheitsfragebögen einmal pro Jahr. Reicht das nicht aus, darfst du unsere Einhaltung einmal pro Jahr prüfen, mit mindestens 30 Tagen Vorankündigung, während der Geschäftszeiten, auf deine Kosten, unter Vertraulichkeit und ohne Zugriff auf Daten anderer Kunden. Prüfungen unserer Unterauftragsverarbeiter werden durch deren eigene Zertifizierungen und Berichte abgedeckt.

Haftung und Rangfolge

Die Haftung jeder Partei aus diesem AVV unterliegt den Grenzen unserer Nutzungsbedingungen, soweit das Gesetz nichts anderes vorschreibt. Widerspricht dieser AVV den Nutzungsbedingungen in Bezug auf personenbezogene Daten, gilt dieser AVV. Wenn die Standardvertragsklauseln anwendbar sind, haben sie Vorrang.

Kontakt

Fragen zu diesem AVV oder Anfragen für eine unterschriebene Kopie: [email protected].