Anlage · Auftragsverarbeitungsvertrag (AVV)
Übersetzung zu Informationszwecken. Bei Abweichungen gilt die spanische Fassung.
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) regelt die Verarbeitung personenbezogener Daten zwischen ENES Estrategia Conjunta SL (nachfolgend „DEKKO“) und der unterzeichnenden Tauchbasis oder Tauchschule (nachfolgend „die Tauchbasis“) im Rahmen des zwischen beiden geschlossenen SaaS-Dienstleistungsvertrags. Er ist verbindliche Anlage zu den Allgemeinen Geschäftsbedingungen von DEKKO und wird durch die Datenschutzerklärung ergänzt. Grundlage: Standardvertragsklauseln gemäß Beschluss 2021/914/EU, angepasst an das Modell der gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) von DEKKO.
1 · Parteien und Begriffsbestimmungen
Die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „gemeinsam Verantwortliche (Joint Controllers)“, „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“ und „besondere Kategorien“ sind im Sinne der DSGVO (Verordnung (EU) 2016/679) auszulegen.
- DEKKO · ENES Estrategia Conjunta SL · Steuernummer (CIF) B22468284 · Partida Valls, s/n · 43350 Les Borges del Camp, Tarragona (Spanien) · privacidad@dekko.club
- Die Tauchbasis · die im gesonderten Vertrag bezeichnete natürliche oder juristische Person, die gewerblich im Bereich des Sport- oder technischen Tauchens tätig ist.
2 · Gegenstand und Art der Verarbeitung
Die Daten der Taucher (Endkunden der Tauchbasis) werden in gemeinsamer Verantwortlichkeit (Joint Controller · Art. 26 DSGVO) verarbeitet: Die Tauchbasis legt die betrieblichen Zwecke fest (Tauchgang, Kurs, Aktivität), und DEKKO legt die Zwecke des basisübergreifenden Dienstes (cross-club), des dauerhaften Taucherprofils und der statistischen Analyse fest, vorbehaltlich der ausdrücklichen Einwilligung des Tauchers.
- Die Daten des Betreibers der Tauchbasis verarbeitet DEKKO als alleiniger Verantwortlicher.
- Die Daten des übrigen Personals der Tauchbasis verarbeitet die Tauchbasis als Verantwortliche, mit DEKKO als Auftragsverarbeiter, soweit sie im Dashboard gespeichert werden.
3 · Kategorien von Daten und betroffenen Personen
Betroffene Personen: Taucher (Endkunden), Betreiber der Tauchbasis und Personal der Tauchbasis.
Verarbeitete Daten: Identifikationsdaten (Name, Personalausweis/Reisepass, Geburtsdatum), Kontaktdaten (E-Mail, Telefon, Anschrift), Tauchdaten (Brevet, Versicherung, Leihausrüstung, Tauchhistorie), wirtschaftliche Daten (Zahlungsmetadaten · die Zahlung wickelt Stripe ab), Kommunikationsdaten (WhatsApp, E-Mails, Bilder von Dokumenten) sowie besondere Kategorie (Art. 9 DSGVO): die medizinische Erklärung aus dem Fragebogen von SSI/PADI/RSTC und gegebenenfalls das ärztliche Attest.
4 · Verteilung der Verantwortlichkeiten
Die Tauchbasis ist hauptverantwortlich für: die Information des Tauchers über die Verarbeitung im gebuchten Dienst; die Einholung der Einwilligung über das erste Kontrollkästchen im Checkout; die Verarbeitung der Gesundheitsdaten zur Erbringung der Leistung; die Erfüllung der gesetzlichen Pflichten der Tätigkeit (Manifeste, Listen, lokale Vorschriften); Zahlungseinzug und Rechnungsstellung; sowie die Aufbewahrung der Rechnungen für 6 Jahre.
DEKKO ist hauptverantwortlich für: die Information über die basisübergreifende (cross-club) Verarbeitung; die Einholung der Opt-in-Einwilligung über das zweite Kontrollkästchen; die Pflege des Taucherprofils bei erteiltem Opt-in; die im Namen von DEKKO versandten Mitteilungen; sowie die technische Sicherheit der gemeinsamen Infrastruktur.
Beide Parteien sind gemeinsam verantwortlich für: die technischen und organisatorischen Maßnahmen; die Meldung von Datenpannen an die AEPD (<72 h) und gegebenenfalls an die betroffenen Personen; die Bearbeitung der Betroffenenrechte (<30 Tage); das Verzeichnis von Verarbeitungstätigkeiten; sowie die Datenschutz-Folgenabschätzungen (DSFA), soweit erforderlich.
5 · Zentrale Anlaufstelle für die betroffene Person
Die betroffene Person kann ihre Rechte gegenüber jeder der beiden Parteien geltend machen: per E-Mail an privacidad@dekko.club (oder an den Datenschutzbeauftragten unter dpo@dekko.club) oder an die E-Mail-Adresse der Tauchbasis. Die Partei, die den Antrag erhält, benachrichtigt die andere innerhalb von 48 Stunden, und beide stimmen sich ab, um innerhalb der gesetzlichen Frist eine einheitliche Antwort zu geben.
6 · Doppelte, granulare Opt-in-Einwilligung
Bei der ersten Buchung des Tauchers (öffentliche Website, WhatsApp-Agent oder Anmeldung) erteilt der Taucher zwei getrennte, granulare und NICHT vorausgewählte Einwilligungen: (1) verpflichtend, für die Abwicklung der Buchung und die gesetzlichen Pflichten der Tauchbasis; (2) optional, für das basisübergreifende (cross-club) DEKKO-Profil. Unverbrüchliche Regeln: nicht vorausgewählt, nicht gebündelt, nicht versteckt, und jede Einwilligung wird mit Zeitstempel, anonymisierter IP-Adresse, User-Agent, Dokumentversion und Kennung des Tauchers protokolliert.
7 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselung bei der Übertragung (TLS 1.3 · HSTS) und im Ruhezustand (AES-256).
- Mandantentrennung auf Datenbankebene (Row Level Security von PostgreSQL).
- Trennung der Datensätze zwischen den Betriebsdaten der Tauchbasis und dem DEKKO-Taucherprofil.
- Authentifizierung per Magic Link (keine gespeicherten Passwörter) und rollenbasierte Zugriffskontrolle.
- Überwachung der Zugriffe auf besondere Kategorien (Gesundheitsdaten) mit prüfbaren Protokollen über 12 Monate.
- Tägliche Backups auf EU-Infrastruktur mit 30 Tagen Aufbewahrung und dokumentiertem Wiederherstellungsplan.
- Benannter Datenschutzbeauftragter (dpo@dekko.club), jährliche Schulung des Personals und Verfahren zur Reaktion auf Sicherheitsvorfälle.
8 · Genehmigte Unterauftragsverarbeiter
DEKKO setzt folgende Unterauftragsverarbeiter ein, die alle einen AVV unterzeichnet haben. Die Tauchbasis genehmigt sie ausdrücklich mit der Unterzeichnung dieses AVV; Änderungen werden 30 Tage im Voraus mitgeteilt, und die Tauchbasis kann aus begründetem Anlass widersprechen.
| Unterauftragsverarbeiter | Funktion | Standort | Internationale Übermittlung |
|---|---|---|---|
| Supabase Inc. | Datenbank + Auth + Storage | Irland (EU) | Entfällt |
| Cloudflare Inc. | CDN, Hosting, DNS | USA + EU | SCC 2021/914 |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | Irland (EU) | Entfällt |
| Brevo (Sendinblue) | Transaktions- und Marketing-E-Mails | Frankreich (EU) | Entfällt |
| Manychat Inc. | Orchestrierung des WhatsApp-Bots | USA | SCC 2021/914 |
| Anthropic, PBC | Claude-API (KI des Bots) | USA | SCC 2021/914 |
| Netelip Telecom SL | VoIP-Telefonie | Spanien (EU) | Entfällt |
9 · Aufbewahrungsfristen
| Kategorie | Frist |
|---|---|
| Buchungs- und Zahlungsdaten | 6 Jahre (spanisches Handelsgesetzbuch) |
| Gesundheitsdaten | 30 Tage nach dem Tauchgang, außer bei Vorfällen |
| Basisübergreifendes DEKKO-Profil (Opt-in) | Bis zur Löschung auf Antrag der betroffenen Person |
| Sicherheitsprotokolle | 12 Monate |
| Protokoll ausgeübter Einwilligungen | Unbefristet (Rechtsverteidigung) |
10 · Rechte der betroffenen Person
Beide Parteien gewährleisten die Ausübung aller Rechte nach der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf) innerhalb von höchstens 30 Tagen, in komplexen Fällen um 2 Monate verlängerbar mit Mitteilung an die betroffene Person. Das Recht auf Löschung (Art. 17) ist unantastbar, außer bei gesetzlicher Aufbewahrungspflicht (Buchhaltungsdaten) oder zur Abwehr von Ansprüchen: In allen anderen Fällen wird es ohne Rechtsstreit umgesetzt, indem die Daten innerhalb von 30 Tagen aus der Produktivumgebung und innerhalb der folgenden 90 Tage aus den Backups gelöscht werden.
11 · Meldung von Datenpannen
Die Partei, die eine Datenpanne feststellt, benachrichtigt die andere unverzüglich, und beide stimmen sich ab, um die AEPD innerhalb von 72 Stunden zu benachrichtigen (Art. 33 DSGVO) und, sofern ein hohes Risiko besteht, die betroffenen Personen ohne unangemessene Verzögerung (Art. 34). Jede Datenpanne, auch eine nicht meldepflichtige, wird intern dokumentiert.
12 · Audit
Die Tauchbasis kann die Einhaltung dieses AVV einmal jährlich mit einer Vorankündigung von 30 Tagen und unter Wahrung der Vertraulichkeit anderer DEKKO-Kunden prüfen, und zwar durch einen Dokumentenfragebogen, einen externen Prüfer (auf ihre Kosten) oder die Einsicht in SOC2-/ISO27001-Berichte, sobald DEKKO diese erlangt.
13 · Beendigung
Mit Beendigung des SaaS-Vertrags gilt dieser AVV nicht mehr für neue Verarbeitungen; die Pflichten zu Vertraulichkeit, gesetzlicher Aufbewahrung, Bearbeitung von Betroffenenrechten und Meldung von Datenpannen in Bezug auf bereits vorhandene Daten bleiben jedoch bestehen. DEKKO übergibt der Tauchbasis innerhalb von höchstens 30 Tagen sämtliche Betriebsdaten als CSV oder strukturiertes JSON. Die Daten des basisübergreifenden DEKKO-Profils (bei erteiltem Opt-in) verbleiben gemäß der Einwilligung des Tauchers bei DEKKO, bis dieser sein Recht auf Löschung ausübt.
14 · Bereitstellung, Änderungen und anwendbares Recht
Gemäß Art. 26 Abs. 2 DSGVO wird das Wesentliche dieses AVV der betroffenen Person über die Datenschutzerklärung zur Verfügung gestellt. Dieser AVV kann im Einvernehmen der Parteien oder aufgrund regulatorischer Erfordernisse mit einer Ankündigungsfrist von 30 Tagen geändert werden. Er unterliegt spanischem Recht und der DSGVO; für Streitigkeiten unterwerfen sich die Parteien den Gerichten von Tarragona.