DUBHCORE — Auftragsverarbeitungsvertrag (AVV/DPA)

Vereinbarung zur Verarbeitung personenbezogener Daten gemäß Art. 28 DSGVO

Version 1.0 — Datum: 30. August 2026 — Endfassung Gilt, wenn das Studio/der Fachbetrieb Verantwortlicher und DUBHCORE Auftragsverarbeiter der über die Plattform verarbeiteten Daten der Studiokunden ist.

• Verantwortlicher: das Studio/der Fachbetrieb (Identifikationsdaten im Konto).
• Auftragsverarbeiter: DUBHCORE — Gelsi Andrea (Einzelunternehmen), USt-IdNr. (P.IVA) 02826520211, Sitz Via Auen 3, 39031 Brunico (BZ), Italien, info@dubhcore.com.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten im Auftrag des Verantwortlichen allein zum Zweck der Erbringung des Dienstes, für die Dauer des Dienstvertrags und bis zur Rückgabe/Löschung der Daten.

2. Art und Zweck der Verarbeitung

Hosting, Speicherung, Verarbeitung und Bereitstellung der Verwaltungsfunktionen (Anfragen, Termine, Kalender, Messaging, Dokumente/Unterschriften, Zahlungen/Anzahlungen, Benachrichtigungen) zur Verwaltung der Tätigkeit des Verantwortlichen.

3. Betroffene Personen und Datenkategorien

• Betroffene Personen: Kunden des Studios (einschließlich Minderjähriger und der jeweiligen Eltern/Erziehungsberechtigten), Mitarbeiter.
• Kategorien: Stammdaten/Kontakte; Tattoo-/Piercing-Anfragen und Körperposition; Bilder; Termine; Nachrichten; Dokumente/Einwilligungen/Unterschriften; Zahlungs-/Anzahlungsdaten.
• Besondere Kategorien (Art. 9): Gesundheitsdaten in den Abläufen Tattoo (Feld „Narben") und Piercing (Metallallergien, Reizungen/Infektionen des Bereichs, Vernarbung, Medikamente/Bedingungen, Schwangerschaft/Stillzeit). Die umgesetzte Bedingung gemäß Art. 9 ist die ausdrückliche Einwilligung — Art. 9 Abs. 2 lit. a, vom Verantwortlichen bestimmt (nicht Art. 9 Abs. 2 lit. h; DUBHCORE ist kein Gesundheitsdienst). Das PMU sieht heute keine Erhebung strukturierter Gesundheitsdaten vor.
• Daten von Minderjährigen/Erziehungsberechtigten: verarbeitet gemäß dem Ablauf der doppelten Unterschrift im Studio; bei Minderjährigen wird die Einwilligung in die Gesundheitsdaten im Studio vom Elternteil/Erziehungsberechtigten abgegeben und mit der konkreten Behandlung verknüpft (siehe Datenschutzerklärung §4-bis).

4. Dokumentierte Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (einschließlich der über die Nutzung der Dienstfunktionen und diese AGB/diesen AVV erteilten), vorbehaltlich gesetzlicher Pflichten.

5. Vertraulichkeit

Das autorisierte Personal des Auftragsverarbeiters ist zur Vertraulichkeit verpflichtet.

6. Sicherheit (Art. 32)

Der Auftragsverarbeiter trifft die in Anlage B beschriebenen technischen/organisatorischen Maßnahmen (geprüfte Maßnahmen).

7. Zugriffskontrolle und Isolierung

Rollenbasierter Zugriff (RBAC) und Mandantentrennung pro Studio; Zugangsdaten/Geheimnisse werden nicht im Klartext offengelegt.

8. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der in Anlage C aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern gleichwertige Datenschutzpflichten auf.

9. Änderungen der Unterauftragsverarbeiter

Der Auftragsverarbeiter informiert den Verantwortlichen über Änderungen der Unterauftragsverarbeiter mit angemessener Vorankündigung und ermöglicht einen etwaigen begründeten Widerspruch.

10. Internationale Übermittlungen

Übermittlungen außerhalb der EU erfolgen mit angemessenen Garantien. Geprüft: Die Infrastruktur der Produktionsdatenbank, des Speichers und der Backups befindet sich in den Vereinigten Staaten; die Übermittlungen sind durch den AVV/DPA von Emergent Labs Inc. abgedeckt, der die Standardvertragsklauseln (Beschluss EU 2021/914) einbezieht, soweit anwendbar. Rollen: Der Kunde (DUBHCORE/Studio) handelt als Verantwortlicher und Emergent als Auftragsverarbeiter; handelt der Kunde seinerseits als Auftragsverarbeiter für einen anderen Verantwortlichen, handelt Emergent als Unterauftragsverarbeiter. Der AVV von Emergent soll die Anforderungen des Art. 28 DSGVO erfüllen.

11. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich, bei der Beantwortung der Anfragen der betroffenen Personen (Art. 15–22) und bei den Pflichten gemäß Art. 32–36 (Sicherheit, Datenschutzverletzung, DSFA, vorherige Konsultation).

12. Datenschutzverletzung

Der Auftragsverarbeiter meldet dem Verantwortlichen Datenschutzverletzungen ohne unangemessene Verzögerung, nachdem er davon Kenntnis erlangt hat, und stellt die verfügbaren nützlichen Informationen bereit.

13. DSFA

Der Auftragsverarbeiter wirkt, soweit anwendbar, an der Datenschutz-Folgenabschätzung (DSFA) und der vorherigen Konsultation mit.

14. Zusammenarbeit mit den Behörden

Der Auftragsverarbeiter arbeitet im gesetzlichen Rahmen mit der zuständigen Aufsichtsbehörde zusammen.

15. Rückgabe/Löschung

Nach Beendigung des Vertrags gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen zurück oder löscht sie, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Die unterzeichneten Dokumente werden gemäß dem Dienst als unveränderliche Snapshots aufbewahrt.

16. Audit und Informationen

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 erforderlich sind, und ermöglicht angemessene Audits mit vereinbarten Modalitäten und Vorankündigung.

17. Pflichten des Verantwortlichen

Der Verantwortliche gewährleistet die Rechtmäßigkeit der Verarbeitung (für Gesundheitsdaten ist die umgesetzte Bedingung gemäß Art. 9 die ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 lit. a, über die Plattformfunktion vor den strukturierten Gesundheitsdaten eingeholt), stellt die Informationen bereit und holt die Einwilligungen gegenüber seinen Kunden ein (einschl. Handhabung Minderjähriger mit im Studio vom Erziehungsberechtigten abgegebener Einwilligung), erteilt rechtmäßige Weisungen und konfiguriert die Zugänge seines Personals korrekt.

18. Haftung

Jede Partei haftet gemäß der DSGVO und dem anwendbaren Recht, in den Grenzen ihrer jeweiligen Rollen.

19. Kontakt

DUBHCORE — info@dubhcore.com.

ANLAGE A — Beschreibung der Verarbeitung

• Zwecke: operative Verwaltung der Tätigkeit des Studios über den Dienst.
• Arten der Verarbeitung: Erhebung, Erfassung, Organisation, Speicherung, Abfrage, Nutzung, Weitergabe an Empfänger/Unterauftragsverarbeiter, Löschung.
• Betroffene Personen: Kunden (einschl. Minderjähriger), Eltern/Erziehungsberechtigte, Mitarbeiter des Studios.
• Datenkategorien: siehe §3 (einschl. Gesundheitsdaten für Piercing und Daten von Minderjährigen/Erziehungsberechtigten).
• Dauer: Vertragsdauer; Aufbewahrung gemäß dem Data Retention Schedule V1 von DUBHCORE.

ANLAGE B — Technische und organisatorische Maßnahmen (im Code GEPRÜFT)

• Passwörter mit bcrypt; Authentifizierung mit JWT.
• RBAC (Rollenkontrolle) und Mandantentrennung pro Studio.
• Least Privilege bei Gesundheitsdaten (Art. 9) — serverseitig: Die strukturierten Gesundheitsantworten der Behandlung werden von der API nur an Inhaber/Manager, zugewiesene Fachkraft und betroffenen Kunden zurückgegeben; gegenüber Rezeption, nicht zugewiesenen Fachkräften, anderen Studios und anderen Kunden redigiert (nicht übermittelt). Die operative Zusammenfassung des Piercings wird von den Gesundheitsantworten getrennt gehalten.
• Verschlüsselung (Fernet) der Google-Token und der Zahlungsdaten.
• Privater Object Storage mit Zugriffskontrolle (keine öffentlichen URLs; keine offengelegten Pfade).
• Rate-Limiting an den öffentlichen Endpunkten (Schlüssel nach realer IP).
• Audit-Logging der Aktionen (Urheber/Aktion/Objekt/Zeitstempel).
• Unveränderliche Snapshots der unterzeichneten Dokumente.
• Normalisierung der E-Mail bei Login/Registrierung.
• Infrastruktur-Backups (von Emergent verwaltet — geprüft): Produktionsdatenbank mit automatischen rotierenden Backups (stündlich 7 Tage, täglich 7 Tage, wöchentlich 4 Wochen, monatlich 12 Monate, jährlich 1 Jahr) und kontinuierlichem Point-in-Time-Recovery der letzten 7 Tage; Speicherung in den Vereinigten Staaten.
• Regionen (geprüft): Produktionsdatenbank, Speicher und Backups in den Vereinigten Staaten.

ANLAGE C — Unterauftragsverarbeiter (nur tatsächlich eingesetzte Dienste)

Hinweis: Expo/EAS wird ausschließlich für Build/Distribution der Mobil-App verwendet und verarbeitet die personenbezogenen Daten der Endnutzer nicht im normalen Gebrauch: nicht als Laufzeit-Unterauftragsverarbeiter aufgeführt. Apple Calendar erfolgt auf dem Gerät (kein Unterauftragsverarbeiter). Die AVV werden per Online-Annahme perfektioniert (keine gesonderte handschriftliche Unterschrift). Dauer der Infrastruktur-Logs: vom Anbieter nicht mitgeteilt oder bestätigt (von Emergent im Rahmen der eigenen Infrastruktur verwaltet; keine nicht verifizierte numerische Frist angegeben).

Revision Anlage C (geprüftes Audit): Die aktuellen Dienste sind Stripe, Google, Emergent (Infrastrukturkette: MongoDB Atlas, AWS/Amazon SES in den USA und Cloudflare (Edge/verteilt, Region nicht verifiziert) via Emergent — AVV Emergent + SCC EU 2021/914). Stripe kann als eigenständiger Verantwortlicher für bestimmte Verarbeitungen von Zahlung/Compliance/Betrugsprävention handeln (kein einfacher Unterauftragsverarbeiter); Google ist auf OAuth + Calendar beschränkt. Die AVV werden per Online-Annahme perfektioniert (keine gesonderte handschriftliche Unterschrift). Expo/EAS = Build-/Distributionswerkzeug, kein Laufzeit-Unterauftragsverarbeiter der Kundendaten. Apple Calendar erfolgt auf dem Gerät (kein Unterauftragsverarbeiter). Google Fonts und Unsplash sind NICHT enthalten (lokalisierte Assets). Dauer der Infrastruktur-Logs: vom Anbieter nicht mitgeteilt oder bestätigt (keine nicht verifizierte numerische Frist angegeben).