Auftragsverarbeitungsvertrag

Wer für welche Daten verantwortlich ist

• Wir sind Verantwortlicher für die Kontodaten aller Nutzer, Kunden wie Anbieter, und für den Betrieb des Marktplatzes: Suche, Buchungen, Bewertungen, Abrechnung der Mitgliedschaften, Sicherheit und unsere eigenen gesetzlichen Pflichten. Diese Verarbeitung beschreibt unsere Datenschutzerklärung.
• Wenn ein Kunde dich bucht, erhältst du seinen Namen, die Buchungsdetails und seine Nachrichten. Für diese Daten bist du eigenständiger Verantwortlicher, wenn du sie nutzt, um deine Leistung zu erbringen, dem Kunden eine Rechnung zu stellen oder deine eigenen gesetzlichen Pflichten zu erfüllen, und ebenso für jede Kopie, die du außerhalb von Bouncing Bison aufbewahrst.
• Als dein Auftragsverarbeiter handeln wir, wenn wir personenbezogene Daten für dein Geschäft nach deinen Weisungen speichern und verarbeiten: deine Buchungsunterlagen mit den darin enthaltenen Kundendaten, deine Unterhaltungen mit Kunden, deinen Kalender und die Notizen darin sowie die Kundenkontakte, die du mit der Einladungsfunktion importierst. Für diese Verarbeitung gilt dieser AV-Vertrag.

1. Gegenstand und Dauer

Wir speichern und verarbeiten die in Abschnitt 3 beschriebenen Daten, damit du Buchungen, Nachrichten, deinen Kalender und Kundeneinladungen über Bouncing Bison verwalten kannst. Die Verarbeitung dauert, solange du Anbieterfunktionen nutzt, und endet mit der Löschung deines Kontos nach Maßgabe von Abschnitt 5.

2. Art und Zweck

Speichern, Anzeigen, Ordnen, Übermitteln (in der App und per E-Mail) und Löschen von Daten, ausschließlich um dir die Buchungs-, Nachrichten-, Kalender- und Einladungsfunktionen des Dienstes bereitzustellen.

3. Personenbezogene Daten und betroffene Personen

Betroffene Personen sind deine Kunden, Personen, die dich buchen möchten, und Personen, die du einlädst. Die Daten sind ihre Namen und E-Mail-Adressen, Datum, Uhrzeit, Preis und Notizen der Buchungen, Nachrichteninhalte, Bewertungen zu deinen Inseraten und alles, was du in Kalendernotizen schreibst. Der Dienst fragt keine besonderen Kategorien personenbezogener Daten ab (Art. 9 DSGVO). Trage solche Daten nur dann in Notizen oder Nachrichten ein, wenn deine Leistung es erfordert und du eine Rechtsgrundlage hast.

4. Deine Pflichten und Rechte

Du bist dafür verantwortlich, dass für die Verarbeitung eine Rechtsgrundlage besteht, dass deine Kunden nach Art. 13 und 14 DSGVO informiert werden und für die Weisungen, die du uns erteilst. Die Art, wie du die Funktionen des Dienstes nutzt, bildet zusammen mit den Nutzungsbedingungen und diesem AV-Vertrag deine dokumentierten Weisungen. Weitere Weisungen kannst du per E-Mail an den Kontakt in Abschnitt 9 erteilen. Geht eine Weisung über das hinaus, was der Dienst leisten kann, dürfen wir sie ablehnen; du kannst dann deine Mitgliedschaft beenden.

5. Unsere Pflichten

• Wir verarbeiten die Daten nur auf deine dokumentierte Weisung, es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet uns zu etwas anderem. In diesem Fall teilen wir dir das vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet. Wir informieren dich unverzüglich, wenn wir eine Weisung für datenschutzwidrig halten.
• Alle Personen, die wir zur Verarbeitung der Daten befugen, sind zur Vertraulichkeit verpflichtet.
• Wir treffen die technischen und organisatorischen Maßnahmen aus der Anlage unten (Art. 32 DSGVO). Wir dürfen sie ändern, solange das Schutzniveau nicht sinkt.
• Du erteilst uns die allgemeine Genehmigung, die auf unserer Seite zu Unterauftragsverarbeitern aufgeführten Unterauftragsverarbeiter einzusetzen. Jede Hinzufügung oder Ersetzung kündigen wir dort mindestens 30 Tage im Voraus an. Du kannst in dieser Zeit aus berechtigten datenschutzrechtlichen Gründen widersprechen; können wir den Einwand nicht ausräumen, kannst du deine Mitgliedschaft vor dem Wirksamwerden der Änderung beenden. Wir verpflichten jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die denen dieses AV-Vertrags entsprechen, und haften dir gegenüber weiterhin für seine Arbeit.
• Wir unterstützen dich bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO, vor allem über die Funktionen des Dienstes. Wendet sich eine betroffene Person wegen Daten, die wir für dich verarbeiten, direkt an uns, verweisen wir sie an dich, es sei denn, der Antrag betrifft Daten, für die wir selbst verantwortlich sind.
• Wir unterstützen dich bei der Einhaltung deiner Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen.
• Wir benachrichtigen dich unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten betrifft, die wir für dich verarbeiten. Wir geben die in Art. 33 Abs. 3 DSGVO genannten Informationen an, soweit sie uns vorliegen, und reichen den Rest nach, sobald wir ihn kennen.
• Wird dein Konto gelöscht, löschen wir die Daten, die wir für dich verarbeiten, es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet uns zur Aufbewahrung oder wir halten dieselben Daten als Verantwortlicher (zum Beispiel eine Buchung, die dein Kunde noch benötigt). Bevor du dein Konto löschst, kannst du deine Daten auf der Seite „Datenschutz“ in deinem Konto herunterladen.
• Wir stellen dir die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind, und ermöglichen Überprüfungen einschließlich Inspektionen durch dich oder einen von dir beauftragten Prüfer und tragen dazu bei. Überprüfungen setzen eine angemessene Vorankündigung voraus, finden während der Geschäftszeiten statt und dürfen weder den Dienst stören noch Daten anderer Nutzer offenlegen. Jede Seite trägt ihre eigenen Kosten.

6. Internationale Übermittlungen

Unsere Anwendungsserver, die Datenbank und der Dateispeicher sind in der Europäischen Union eingerichtet. Verarbeitet ein Unterauftragsverarbeiter die Daten außerhalb des Europäischen Wirtschaftsraums, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission oder auf die Standardvertragsklauseln der Kommission, wie sie der jeweilige Unterauftragsverarbeiter anbietet. Die Seite zu Unterauftragsverarbeitern zeigt, wo jeder von ihnen Daten verarbeitet.

7. Haftung und Rangfolge

Die Haftung aus diesem AV-Vertrag richtet sich nach den Nutzungsbedingungen, soweit die DSGVO eine Haftungsbeschränkung zulässt. Widersprechen sich dieser AV-Vertrag und die Nutzungsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten, geht dieser AV-Vertrag vor.

8. Annahme und Änderungen

Du nimmst diesen AV-Vertrag an, wenn du eine Mitgliedschaft beginnst oder auf dieser Seite auf „Annehmen“ klickst. Wir speichern, welche Version du wann angenommen hast. Wesentliche Änderungen kündigen wir auf dieser Seite an, bevor sie wirksam werden, und bitten dich, die neue Version anzunehmen.

9. Kontakt

Für alle Fragen zu diesem AV-Vertrag, einschließlich Weisungen und Anfragen zu Überprüfungen, wende dich an den Betreiber:

Unternehmen

Technical Inside SRL

Handelsregisternummer

J2026044962009

Rumänische Steuer-ID (CUI)

55236387

E-Mail

[email protected]

Anlage: technische und organisatorische Maßnahmen (TOM)

Diese Maßnahmen wendet der Dienst derzeit an.

• Verschlüsselung bei der Übertragung: Die Website wird nur über HTTPS ausgeliefert. Unser Hoster terminiert TLS und leitet einfaches HTTP auf HTTPS um, und Browser werden angewiesen, weiter HTTPS zu verwenden (HSTS).
• Hosting: Die Anwendung und ihre PostgreSQL-Datenbank laufen bei Fly.io in Frankfurt. Die Anwendung erreicht die Datenbank über das private Netz von Fly.io, nicht über das öffentliche Internet.
• Passwörter werden nur als argon2id-Hashes gespeichert. Eine fehlgeschlagene Anmeldung dauert bei einer unbekannten E-Mail-Adresse genauso lange wie bei einem falschen Passwort, sodass die Antwortzeit nicht verrät, welche Konten existieren.
• Sitzungen nutzen Zufallstoken in Cookies mit den Attributen HttpOnly und SameSite=Lax, im Produktivbetrieb zusätzlich Secure. Eine Sitzung läuft nach 30 Tagen ab, und das Zurücksetzen des Passworts beendet alle anderen Sitzungen.
• Zugriffskontrolle: Jede Buchung, Nachricht, jeder Kalendereintrag und jede Kontoseite wird vor dem Anzeigen oder Ändern gegen den angemeldeten Nutzer geprüft. Wer an einer Buchung nicht beteiligt ist, erhält dieselbe Antwort wie bei einer Buchung, die nicht existiert. Die Admin-Seiten sind auf festgelegte Administratorkonten beschränkt.
• Schutz von Anfragen: Der Server lehnt datenändernde Anfragen ab, die von anderen Websites kommen (eine Origin- und Referer-Prüfung zusätzlich zu SameSite-Cookies). Eine Content Security Policy begrenzt die Skripte, Frames und Verbindungen, die eine Seite nutzen darf. Anmeldung, Registrierung, Passwort-Zurücksetzung und Kontolöschung sind pro IP-Adresse begrenzt, ebenso andere schreibende Aktionen und Datenexporte.
• Dateien: Hochgeladene Fotos liegen in privaten Cloudflare-R2-Buckets und werden nur über die Anwendung ausgeliefert. Uploads müssen Bilder sein, und Bilder mit übergroßen Abmessungen werden vor dem Dekodieren abgelehnt.
• Zahlungen: Kartendaten werden auf den gehosteten Seiten von Stripe eingegeben und erreichen unsere Server nie. Stripe-Webhooks werden nur mit gültiger Signatur angenommen.
• Nachweis der Annahme: Jede Annahme wird in die Datenbank geschrieben und in einen separaten privaten Speicher-Bucket kopiert.
• Protokollierung: Unsere Anfrageprotokolle enthalten Methode, Pfad, Status und Dauer jeder Anfrage. Sie enthalten keine IP-Adressen und keine Cookie-Werte.
• Sicherungen: Datenbanksicherungen sind die, die der Dienst Managed Postgres von Fly.io bereitstellt.
• Aufbewahrung: Abgelaufene Sitzungen und Links zum Zurücksetzen des Passworts, alte Webhook-Einträge und alte gelesene Benachrichtigungen werden automatisch nach den Fristen unserer Datenschutzerklärung gelöscht.
• Betroffenenrechte: Jeder Nutzer kann in seinen Kontoeinstellungen seine Daten herunterladen und sein Konto löschen.