Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wird zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der Simplify Data GmbH, Königsweg 48, 24114 Kiel, Deutschland (nachfolgend „Auftragsverarbeiterin“ oder „QRFlow“) geschlossen.

Der AVV ergänzt den Nutzungsvertrag über die SaaS-Plattform QRFlow. Er gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiterin im Auftrag des Verantwortlichen im Rahmen der Nutzung von QRFlow durchführt – insbesondere bei dynamischen QR-Codes, Scan-Tracking, Analytics, Exporten, Webhooks und E-Mail-Benachrichtigungen.

Kontakt des Auftragsverarbeiters: info@simplify-data.de

Gegenstand ist die Bereitstellung der QRFlow-Plattform zur Erstellung, Verwaltung und Auswertung von QR-Codes sowie die technische Durchführung von Weiterleitungen und Scan-Protokollierung im Auftrag des Verantwortlichen.

Die Verarbeitung beginnt mit Abschluss des Nutzungsvertrags bzw. Registrierung des Kontos und endet mit Beendigung des Vertragsverhältnisses. Nach Vertragsende werden personenbezogene Daten gemäß Ziff. 11 gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Die Verarbeitung erfolgt ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen von QRFlow. Zwecke sind insbesondere:

• Hosting und Betrieb der QR-Code-Weiterleitungen (Redirect-Dienst)
• Protokollierung und Auswertung von Scan-Ereignissen (Analytics)
• GeoIP-basierte Standortbestimmung zu statistischen Zwecken
• Bereitstellung von Exporten (CSV, Excel, PDF) und API-Zugang
• Versand transaktionaler E-Mail-Benachrichtigungen im Auftrag des Verantwortlichen
• Zustellung konfigurierter Webhook-Events an Systeme des Verantwortlichen
• Durchführung intelligenter Weiterleitungsregeln (Zeitplan, Geo, Gerät, A/B-Tests) – sofern vom Verantwortlichen aktiviert

Je nach Nutzung des Dienstes durch den Verantwortlichen können folgende Kategorien personenbezogener Daten verarbeitet werden:

• IP-Adressen der scannenden Endgeräte
• User-Agent-Daten (Gerätetyp, Browser, Betriebssystem, Modell)
• ungefährer Standort (Stadt, Region, Land, Koordinaten) per GeoIP
• Referrer-URL und UTM-Parameter (utm_source, utm_medium, utm_campaign, utm_term, utm_content)
• Bildschirmauflösung (nach clientseitiger Erfassung im Redirect-Schritt)
• Zeitpunkt des Scans sowie Status (weitergeleitet, blockiert)
• A/B-Test-Variante bei aktivierten Split-Tests
• Kontodaten des Verantwortlichen (E-Mail, Firmenname) – nicht Gegenstand der Scan-Verarbeitung, aber für Vertragsabwicklung erforderlich

Betroffene Personen sind in der Regel Endnutzer, die dynamische QR-Codes des Verantwortlichen scannen. Darüber hinaus können Mitarbeiter oder Beauftragte des Verantwortlichen betroffen sein, soweit diese das Dashboard nutzen oder in Audit-Logs erfasst werden.

Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, es sei denn, eine gesetzliche Verpflichtung erfordert eine andere Verarbeitung.

Der Auftragsverarbeiter gewährleistet, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen – soweit möglich – bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) und bei Datenschutz-Folgenabschätzungen.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, soweit zumutbar.

Der Verantwortliche ist allein dafür verantwortig, dass die Verarbeitung der Scan-Daten auf einer rechtmäßigen Grundlage erfolgt und dass betroffene Personen – soweit erforderlich – informiert werden (z. B. über Datenschutzhinweise auf der Zielseite).

Der Verantwortliche stellt sicher, dass die über QRFlow weitergeleiteten Ziel-URLs und Inhalte rechtmäßig sind und keine Rechte Dritter verletzen.

Der Verantwortliche erteilt Weisungen zur Verarbeitung über die Nutzung der QRFlow-Funktionen (Erstellung von QR-Codes, Konfiguration von Weiterleitungen, Exporte, Webhooks).

Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich über Beschwerden betroffener Personen oder behördliche Anfragen, soweit diese QRFlow betreffen.

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügung oder Ersetzung) und gibt dem Verantwortlichen die Möglichkeit, innerhalb angemessener Frist Widerspruch einzulegen.

Derzeit eingesetzte Unterauftragsverarbeiter (Auswahl):

• Stripe Payments Europe Ltd. / Stripe, Inc. – Zahlungsabwicklung für Premium-Abonnements (nur bei Nutzung des Checkout-Prozesses durch den Verantwortlichen)
• MaxMind, Inc. – Bereitstellung der GeoLite2-Datenbank zur lokalen GeoIP-Auswertung von Scan-Events
• ip-api.com – optionaler GeoIP-Fallback, sofern keine lokale Zuordnung möglich ist
• Hosting-/Infrastruktur-Dienstleister – Betrieb der Server und Datenbanken für QRFlow
• SMTP-E-Mail-Dienstleister – Versand transaktionaler E-Mails

Mit allen Unterauftragsverarbeitern werden Verträge gemäß Art. 28 Abs. 4 DSGVO geschlossen, die mindestens die gleichen Datenschutzpflichten vorsehen.

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Dazu gehören insbesondere:

• Verschlüsselte Datenübertragung (TLS/SSL) für Website, Dashboard und API
• Zugriffskontrolle auf Server und Datenbanken (Authentifizierung, rollenbasierte Berechtigungen)
• Passwortspeicherung als kryptografischer Hash (keine Klartext-Passwörter)
• Regelmäßige Sicherheitsupdates und Backups der Datenbank
• Protokollierung sicherheitsrelevanter Aktionen (Audit-Log für Premium-Nutzer)
• Rate-Limiting und Missbrauchsprävention bei Redirects und API-Zugriffen
• Physische und logische Trennung von Produktions- und Testumgebungen, soweit einschlägig

Eine detaillierte Beschreibung der TOMs kann auf Anfrage an info@simplify-data.de bereitgestellt werden.

Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch, die sich auf Scan-Daten eines QR-Codes des Verantwortlichen beziehen, sind in der Regel an den Verantwortlichen zu richten.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung solcher Anfragen, soweit technisch möglich und vertraglich vereinbart – insbesondere durch Bereitstellung exportierbarer Scan-Daten oder Löschung kontobezogener Daten auf Weisung.

Nach Beendigung des Nutzungsvertrags oder auf Weisung des Verantwortlichen löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Vor Löschung kann der Verantwortliche Scan-Daten über die Exportfunktionen (CSV, Excel, PDF) oder die API herunterladen. Server-Logfiles werden spätestens nach 14 Tagen gelöscht.

Backups werden rollierend aufbewahrt und nach Ablauf der konfigurierten Aufbewahrungsfrist überschrieben; eine vollständige Löschung aus Backups kann bis zur nächsten Backup-Rotation erfolgen.

Änderungen dieses AVV bedürfen der Textform. Der Auftragsverarbeiter kann den AVV anpassen, wenn sich Rechtslage, Dienst oder eingesetzte Unterauftragsverarbeiter ändern; wesentliche Änderungen werden registrierten Nutzern mitgeteilt.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist – soweit zulässig – Kiel.

Stand: Juni 2026 · Simplify Data GmbH, Königsweg 48, 24114 Kiel · info@simplify-data.de