Vereinbarung zur Auftragsverarbeitung (AVV)

nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden (Verantwortlicher) und SUPERMATT agency (Auftragsverarbeiter) für die Nutzung der QR-Code-Plattform supermatt-qr.

1. Gegenstand und Dauer

Gegenstand ist der Betrieb dynamischer QR-Codes samt Weiterleitung, gehosteter Inhaltsseiten und Scan-Statistik. Die Vereinbarung gilt für die Laufzeit des Hauptvertrags.

2. Art, Zweck und Umfang der Verarbeitung

Weiterleitung von Scan-Aufrufen auf die vom Verantwortlichen definierten Ziele
Pseudonyme Reichweitenmessung (siehe TOMs, Ziffer 6)
Hosting von Inhalten des Verantwortlichen (z. B. Kontaktdaten, PDF-Dateien)
Bereitstellung eines Auswertungs-Portals für den Verantwortlichen

3. Kategorien betroffener Personen

Personen, die QR-Codes des Verantwortlichen scannen
Vom Verantwortlichen benannte Portal-Nutzer
Personen, deren Kontaktdaten der Verantwortliche hinterlegt (z. B. vCard)

4. Kategorien personenbezogener Daten

Scan-Ereignisse: Zeitpunkt, grober Standort (Land/Region/Stadt), Gerätetyp, Betriebssystem, Browser, Verweisquelle, Kampagnen-Parameter — ohne gespeicherte IP-Adressen, mit täglich wechselndem Pseudonym
Portal-Nutzer: E-Mail-Adresse, Anmeldezeitpunkte
Vom Verantwortlichen eingestellte Inhalte (z. B. Visitenkarten-Daten)

5. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung; Vertraulichkeitsverpflichtung aller befassten Personen; Unterstützung bei Betroffenenrechten und bei Melde-/Nachweispflichten (Art. 32–36 DSGVO); Löschung oder Rückgabe aller Daten nach Vertragsende; Duldung und Unterstützung von Überprüfungen.

6. Technische und organisatorische Maßnahmen (TOMs)

Datensparsamkeit by design: keine Cookies, keine gespeicherten IP-Adressen; pseudonymer, täglich rotierender Prüfwert (gesalzener SHA-256)
Mandantentrennung: Zugriff auf Datenbank-Ebene durch Row-Level-Security strikt auf den jeweiligen Kunden begrenzt
Zugriffskontrolle: rollenbasierte Rechte (Agentur / Kunde, nur-lesend), Anmeldung per Magic-Link, keine geteilten Konten
Transportverschlüsselung: TLS für sämtliche Verbindungen
Verfügbarkeit: Cache- und Fallback-Mechanismen, damit gedruckte Codes auch bei Störungen nicht ins Leere laufen

7. Unterauftragsverarbeiter

Vercel Inc. — Hosting und Auslieferung
Supabase Inc. — Datenbank, Authentifizierung, Datei-Speicher
Upstash Inc. — Weiterleitungs-Cache, Missbrauchsschutz

Der Verantwortliche stimmt diesen Unterauftragsverarbeitern zu. Über beabsichtigte Änderungen wird er vorab informiert und kann widersprechen. Verarbeitungen außerhalb der EU erfolgen auf Grundlage von EU-Standardvertragsklauseln.

8. Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit im Übrigen unberührt.

Stand: Juli 2026. Vorlage — die unterschriftsfähige Fassung mit vollständigen Vertragsparteien stellen wir auf Anfrage bereit; vor Abschluss juristisch prüfen lassen.