Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO zwischen dem Kunden (Betrieb) als Verantwortlichem und der HM Digital GmbH, Curtigasse 6, 64823 Groß-Umstadt (Auftragsverarbeiter). Dieser AVV ist Bestandteil des Nutzungsvertrags über feedback.plus (AGB). Stand: Oktober 2026.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der Feedback-Funktionen von feedback.plus. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen
Zweck: Erhebung, Speicherung, Anzeige und Zustellung von Gäste-Feedback an den Verantwortlichen. Datenkategorien: Feedback-Inhalte, freiwillig angegebene Kontaktdaten der Gäste (z. B. Telefonnummer, E-Mail-Adresse), Zeitstempel sowie pseudonymisierte IP-Hashes (täglich wechselndes Salt, keine Klartext-IPs) zum Schutz vor Missbrauch. Betroffene Personen: Gäste des Verantwortlichen.
3. Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Software gemäß Leistungsbeschreibung gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
4. Vertraulichkeit
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft geeignete Maßnahmen nach Art. 32 DSGVO, insbesondere: Datenhaltung in einer EU-Datenbank (Supabase), Transportverschlüsselung (TLS), Zugriffsbeschränkung auf den jeweiligen Betrieb, Pseudonymisierung von IP-Adressen, rollenbasierte Zugriffe und regelmäßige Sicherheitsupdates.
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:
— Supabase, Inc. (Datenbank und Backend-Hosting; Datenhaltung in der EU)
— Vercel Inc., USA (Auslieferung von Website und Anwendung; EU-US Data Privacy
Framework / EU-Standardvertragsklauseln)
— Resend, Inc., USA (Versand von System-E-Mails; EU-Standardvertragsklauseln)
— Google Ireland Limited (Google Places API zur Verknüpfung des Unternehmenseintrags)
— Slack Technologies Limited, Irland / Salesforce, Inc., USA (optionale
Benachrichtigungen in den vom Verantwortlichen verbundenen Slack-Workspace; EU-US Data
Privacy Framework)
Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Auftragsverarbeiter in Textform; der Verantwortliche kann aus wichtigem Grund innerhalb von 14 Tagen widersprechen. Mit Unterauftragsverarbeitern werden Verträge nach Art. 28 Abs. 4 DSGVO geschlossen.
7. Unterstützungspflichten
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO.
8. Meldung von Verletzungen
Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich.
9. Nachweis und Kontrolle
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung und ermöglicht angemessene Überprüfungen, in der Regel durch aussagekräftige Dokumentation und Selbstauskünfte.
10. Löschung und Rückgabe
Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten innerhalb von 30 Tagen oder gibt sie auf Wunsch zuvor heraus, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
11. Schlussbestimmungen
Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV hinsichtlich des Datenschutzes vor.