nach Art. 28 Abs. 3 DSGVO zwischen dem Sattler bzw. Hersteller, der Sattelpass nutzt (nachfolgend „Verantwortlicher“), und Reitsport-Rheinmain, Inhaber Magnus Wehrheim, Industriestraße 26, 69509 Mörlenbach (nachfolgend „Auftragsverarbeiter“).
Diese Vereinbarung ist Bestandteil der AGB (§ 5) und gilt mit der Registrierung bzw. Einrichtung des Zugangs als Sattler oder Hersteller als geschlossen. Auf Wunsch stellen wir sie zusätzlich als unterschriebenes Dokument bereit: info@reitsport-rheinmain.de.
§ 1 Gegenstand und Dauer
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dieser in Sattelpass Daten seiner Kunden erfasst, importiert, über Schnittstellen übermittelt oder erhält (z. B. über Terminanfragen). Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage 1.
(2) Die Vereinbarung gilt, solange der Auftragsverarbeiter Daten für den Verantwortlichen verarbeitet, also für die Dauer der Nutzung von Sattelpass und bis zur Löschung bzw. Rückgabe der Daten nach § 9.
(3) Nicht erfasst sind Verarbeitungen, für die der Auftragsverarbeiter selbst verantwortlich ist, insbesondere die Nutzerkonten von Reitern und Sattlern, die Abrechnung, die öffentliche Pass-Seite, die Sattelsuche, die Freischaltung der Chronik für Dritte, Diebstahlmeldungen, Checks aus dem Sattel-Checker und die Sicherheit der Plattform (siehe Datenschutzerklärung).
§ 2 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vorher mit, sofern das Recht dies nicht verbietet.
(2) Weisungen sind die AGB, diese Vereinbarung und die Einstellungen und Aktionen des Verantwortlichen in Sattelpass (z. B. Kunden anlegen, ändern, Einträge schreiben, Schnittstellen und Webhooks einrichten, Daten übermitteln). Weitere Weisungen erteilt der Verantwortliche in Textform an info@reitsport-rheinmain.de.
(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
§ 3 Vertraulichkeit
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt ihnen Zugriff nur, soweit es für die Leistung erforderlich ist.
§ 4 Sicherheit der Verarbeitung
Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
§ 5 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter. Die bei Abschluss eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 3 und gelten als genehmigt.
(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage im Voraus in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Einigung nicht möglich, kann jede Seite die Nutzung von Sattelpass zum Zeitpunkt der Änderung kündigen.
(3) Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern vertraglich im Wesentlichen dieselben Datenschutzpflichten auf. Erfolgt eine Verarbeitung außerhalb der EU/des EWR, stellt er ein angemessenes Schutzniveau nach Art. 44 ff. DSGVO sicher (z. B. Angemessenheitsbeschluss, EU-US Data Privacy Framework, Standardvertragsklauseln).
§ 6 Rechte der Betroffenen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener (Art. 12–23 DSGVO). Auskunft, Berichtigung und Löschung von Kunden kann der Verantwortliche selbst in Sattelpass umsetzen; einen Export seiner Kundendaten stellt der Auftragsverarbeiter auf Anfrage bereit. Wendet sich ein Betroffener direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.
§ 7 Weitere Unterstützungspflichten
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihm zur Verfügung stehenden Informationen.
(2) Verletzungen des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betreffen, meldet der Auftragsverarbeiter unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO.
§ 8 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten. Der Nachweis kann auch durch geeignete Zertifikate oder Berichte der Unterauftragsverarbeiter erbracht werden.
§ 9 Löschung und Rückgabe
(1) Nach Ende der Leistungen löscht der Auftragsverarbeiter die Kundendaten des Verantwortlichen oder gibt sie nach dessen Wahl zurück (z. B. als Export), sofern keine Pflicht zur Speicherung besteht. Wählt der Verantwortliche nicht innerhalb von 30 Tagen nach Vertragsende, werden die Daten gelöscht.
(2) Ausgenommen sind Einträge in Sattelpässen, die zur Sattelhistorie gehören und für die der Auftragsverarbeiter nach den AGB selbst verantwortlich ist (z. B. ausgeführte Arbeiten mit Datum und Betrieb). Personenbezogene Angaben zu Kunden (Name, Kontaktdaten, Anschrift) werden dabei entfernt.
(3) Daten in Sicherungskopien werden im Rahmen der üblichen Rotationszyklen überschrieben.
§ 10 Haftung, Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
(2) Bei Widersprüchen geht diese Vereinbarung den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen bedürfen der Textform. Es gilt deutsches Recht.
Anlage 1 – Gegenstand der Verarbeitung
Art und Zweck
Bereitstellung von Sattelpass zur Verwaltung der Kunden und Sättel des Verantwortlichen: Speichern, Anzeigen, Ändern, Archivieren und Löschen; Versand von Kontroll-Erinnerungen und Übergabe-Einladungen per E-Mail; Weiterleitung von Terminanfragen; Übermittlung an vom Verantwortlichen eingerichtete Systeme (Schnittstelle, Webhooks, KI-Assistenten); KI-gestütztes Auslesen von Belegen und Formulierungshilfen auf Veranlassung des Verantwortlichen.
Arten personenbezogener Daten
- Kundenstammdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Anschrift, Notizen
- Einstellungen: Erinnerungsintervall, Freigabe des Namens auf der Pass-Seite
- Zuordnung von Sätteln zum Kunden sowie Satteldaten, Fotos und Chronik-Einträge, soweit sie sich auf den Kunden beziehen
- Terminanfragen: Name, Kontaktdaten, Anschrift bzw. Postleitzahl, Nachricht, Angaben zu Pferd (Name, Rasse, Alter, Stockmaß) und Stall (Name, Anschrift, Telefon)
- Übergaben: Name und E-Mail-Adresse des neuen Besitzers
- Kennungen aus Fremdsystemen (externe Kunden-ID)
Betroffene
Kunden und Interessenten des Verantwortlichen (Reiter, Sattelbesitzer), neue Besitzer bei Übergaben, Absender von Terminanfragen.
Anlage 2 – Technische und organisatorische Maßnahmen
- Zutritts- und Zugangskontrolle: Betrieb ausschließlich in Rechenzentren der Unterauftragsverarbeiter (Anlage 3) mit deren physischen Sicherungen; Anmeldung mit Passwort (gehasht gespeichert) oder E-Mail-Link; Administratorzugänge nur für den Inhaber und beauftragte, verpflichtete Personen.
- Zugriffskontrolle: Rollen- und Zeilenrechte in der Datenbank (Row Level Security): Sattler sehen nur eigene Kunden und Sättel, Hersteller nur Sättel ihrer Marke; Verifizierung neuer Sattler vor Schreibzugriff; Fotos in einem nicht öffentlichen Speicher, Abruf nur über zeitlich begrenzte, signierte Links.
- Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS); API-Schlüssel nur als Hash gespeichert, mit Berechtigungen und Abrufbegrenzung; Webhooks mit Signatur (HMAC); Verschlüsselung der Datenbank und Sicherungen durch den Anbieter.
- Eingabekontrolle: Chronik-Einträge mit Autor und Zeitpunkt; Einträge werden archiviert statt gelöscht; Protokoll von Katalog-Änderungen; Protokoll der Schnittstellen-Aufrufe (90 Tage).
- Verfügbarkeit und Belastbarkeit: Datensicherungen und Wiederherstellung durch den Datenbank-Anbieter; verteilte Auslieferung; Begrenzung von Abrufen zum Schutz vor Missbrauch.
- Trennung: logische Mandantentrennung je Sattler bzw. Hersteller über Zeilenrechte; getrennte Test- und Live-Umgebung für Zahlungen.
- Überprüfung: Prüfung der Maßnahmen bei Änderungen der Plattform und anlassbezogen; Datenschutzverletzungen werden dokumentiert.
Anlage 3 – Unterauftragsverarbeiter
- Lovable Labs Sweden AB, Regeringsgatan 25, 111 53 Stockholm, Schweden – Hosting der Anwendung, E-Mail-Versand, KI-Gateway
- Cloudflare, Inc., USA – Auslieferung der Website (über Lovable)
- Supabase, Inc., USA – Datenbank, Anmeldung, Dateispeicher, serverseitige Funktionen
- Google LLC / Google Ireland Limited (Gemini, über das KI-Gateway von Lovable) – KI-Funktionen, nur wenn der Verantwortliche sie nutzt
Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.