Auftragsverarbeitung

1. Parteien und Geltung

Verantwortlicher ist die Kundin oder der Kunde, die oder der eine Einladung bei NRANI anlegt („ihr“). Auftragsverarbeiter ist Armen Safarjan, NRANI, Marklandstraße 110, 42279 Wuppertal („wir“).

Dieser Vertrag kommt mit dem Vertragsschluss nach unseren AGB zustande und gilt, solange wir Gästedaten für euch verarbeiten. Er ergänzt die AGB; bei Widersprüchen zu Fragen der Auftragsverarbeitung geht dieser Vertrag vor.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der NRANI-Plattform, soweit dabei personenbezogene Daten eurer Gäste verarbeitet werden: Gästeliste, persönliche Links, Zu- und Absagen, Begleitpersonen, Menüwahl, Nachrichten an euch, der Zeitpunkt des ersten Öffnens sowie optional hinterlegte E-Mail-Adressen für Erinnerungen.

Die Verarbeitung endet mit der Löschung nach Abschnitt 9, spätestens zwölf Monate nach dem Veranstaltungsdatum.

3. Art, Zweck und Kategorien

Art der Verarbeitung: Erheben, Speichern, Anzeigen, Ordnen, Auswerten für eure Übersicht, Versenden von Erinnerungen auf euren Anstoß, Löschen.

Zweck: Durchführung eurer Einladung und Organisation eurer Feier.

Kategorien betroffener Personen: eure Gäste und deren Begleitpersonen.

Kategorien personenbezogener Daten: Name oder Familienname, Anrede, bevorzugte Sprache, Anzahl der Plätze, Zu- oder Absage, Namen von Begleitpersonen, Menüwahl, freie Nachricht, optional E-Mail-Adresse, Zeitpunkt des ersten Öffnens.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Legt Menüoptionen bitte so an, dass daraus keine Angaben über Gesundheit oder Religion entstehen.

4. Weisungen

Wir verarbeiten die Daten ausschließlich auf eure dokumentierten Weisungen. Als Weisung gelten dieser Vertrag, die AGB sowie jede Einstellung, die ihr im Builder und im Dashboard vornehmt, etwa das Anlegen von Gästen, das Aktivieren persönlicher Links oder das Auslösen einer Erinnerung.

Einzelweisungen darüber hinaus richtet ihr in Textform an info@nrani.com. Halten wir eine Weisung für rechtswidrig, weisen wir euch darauf hin und dürfen ihre Ausführung aussetzen.

Eine Verarbeitung für eigene Zwecke findet nicht statt. Davon unberührt bleiben die Verarbeitungen, für die wir selbst Verantwortliche sind: Betrieb, Sicherheit, Missbrauchsabwehr, Abrechnung und die Erfüllung eigener gesetzlicher Pflichten. Diese sind nicht Gegenstand dieses Vertrags und in unserer Datenschutzerklärung beschrieben.

5. Vertraulichkeit

Alle Personen, die auftragsgemäß auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet und über die einschlägigen Vorgaben des Datenschutzes unterwiesen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

6. Technische und organisatorische Maßnahmen (Art. 32)

Verschlüsselung: Alle Verbindungen sind mit TLS verschlüsselt; Datenbank und Dateispeicher sind im Ruhezustand verschlüsselt.

Zugriffskontrolle: Die Datenbank setzt zeilenweise Berechtigungen durch, sodass jede Kundin und jeder Kunde ausschließlich die eigenen Daten sieht. Hochgeladene Dateien liegen in einem nicht öffentlichen Speicher und werden nur über kurzlebige, signierte Adressen ausgeliefert.

Anmeldung ohne Passwort: Der Zugang erfolgt über einen sechsstelligen Code oder einen einmaligen Link mit zehn Minuten Gültigkeit. Es gibt keine Passwortdatenbank.

Schutz der Einladung: nicht erratbare Adressen, Ausschluss aus Suchmaschinen, optionaler PIN-Schutz mit gehashter Speicherung (bcrypt) und Sperre nach fünf Fehlversuchen in zehn Minuten, jederzeit widerrufbare persönliche Gast-Links.

Datenminimierung: Bilder werden serverseitig verkleinert und in ein anderes Format umgewandelt, wobei enthaltene Metadaten einschließlich Standortangaben entfernt werden. Aus IP-Adressen bilden wir nur gekürzte Prüfsummen. Wie oft eine Einladung geöffnet wird, zählen wir nicht.

Trennung: Produktion und Entwicklung laufen in getrennten Umgebungen; Entwicklungsdaten sind erfunden.

Verfügbarkeit: Die Datenbank wird durch unseren Anbieter regelmäßig gesichert, Wiederherstellung ist auf einen Zeitpunkt möglich.

Nachvollziehbarkeit: Sicherheitsrelevante Vorgänge werden protokolliert, darunter Veröffentlichung, Bestellung, Zustimmung und Löschung.

7. Unterauftragsverarbeiter

Ihr stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

Supabase — Datenbank, Anmeldung und Dateispeicher, Projektregion Frankfurt am Main. Vercel Inc. — Betrieb und Auslieferung der Anwendung, Region Frankfurt am Main. ALL-INKL.COM — Neue Medien Münnich — Versand unserer E-Mails.

Mit jedem bestehen Verträge nach Art. 28 DSGVO mit Pflichten, die diesem Vertrag entsprechen. Wechsel oder Ergänzungen teilen wir euch mindestens vier Wochen vorher per E-Mail mit; ihr könnt aus wichtigem Grund widersprechen. Widersprecht ihr, dürfen wir den Vertrag zum Zeitpunkt der Umstellung beenden und erstatten anteilig.

Stripe ist kein Unterauftragsverarbeiter dieses Vertrags: Zahlungsdaten betreffen euch als Kundin oder Kunde, nicht eure Gäste.

8. Unterstützung und Mitteilungspflichten

Wir unterstützen euch mit geeigneten Maßnahmen dabei, Anträge eurer Gäste auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Vieles davon erledigt ihr selbst im Dashboard: Gäste bearbeiten, löschen, Links widerrufen, Liste exportieren.

Wendet sich ein Gast direkt an uns, leiten wir das Anliegen unverzüglich an euch weiter und antworten nicht eigenständig in der Sache.

Wir unterstützen euch bei euren Pflichten nach Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten melden wir euch unverzüglich nach Kenntnis mit den uns vorliegenden Angaben, damit ihr eure Fristen wahren könnt.

9. Löschung und Rückgabe

Ihr könnt Gäste und deren Antworten jederzeit im Dashboard löschen und die Liste vorher als CSV exportieren.

Zwölf Monate nach dem Veranstaltungsdatum löschen wir automatisch alle Inhalte der Einladung sowie sämtliche Gästedaten und machen den Einladungslink ungültig. Erhalten bleibt allein der kaufmännische Vorgang zwischen euch und uns, den wir nach Handels- und Steuerrecht aufbewahren müssen; er enthält keine Gästedaten.

Auf Verlangen löschen wir früher, soweit dem keine gesetzliche Pflicht entgegensteht.

10. Nachweise und Kontrolle

Wir stellen euch auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere die Beschreibung der Maßnahmen nach Abschnitt 6 und die Verträge mit den Unterauftragsverarbeitern in geeigneter Form.

Kontrollen finden nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs statt. Bescheinigungen anerkannter Prüfer oder Berichte unserer Anbieter können eine Vor-Ort-Kontrolle ersetzen.

11. Haftung und Schlussbestimmungen

Es gilt die Haftungsregelung unserer AGB sowie Art. 82 DSGVO.

Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.