Datenverarbeitungszusatz (DPA)

Dieser Datenverarbeitungszusatz („DPA“) ist Bestandteil der Nutzungsbedingungen bzw. des Hauptvertrags zwischen dem Kunden („Verantwortlicher“) und Qiq LLC („Auftragsverarbeiter“ oder „Unternehmen“) bezüglich der Nutzung der SaaS-Plattform Qiq smart und zugehöriger Dienste (zusammen „Dienste“). Im Falle eines Widerspruchs haben die Bestimmungen dieses DPA Vorrang in allen Fragen des Datenschutzes.

1. Begriffsbestimmungen

Begriffe wie „Personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung gemäß der Verordnung (EU) 2016/679 („DSGVO“). „Vereinbarung“ bezeichnet den Hauptvertrag bzw. die Nutzungsbedingungen.

2. Anwendungsbereich & Rollen

Im Rahmen der Nutzung der Dienste handelt der Kunde als Verantwortlicher und Qiq LLC als Auftragsverarbeiter. Qiq LLC verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden und gemäß diesem DPA.

3. Dokumentierte Weisungen

• Qiq LLC verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden.
• Falls Qiq LLC der Ansicht ist, dass eine Weisung gegen geltendes Recht verstößt, wird der Kunde unverzüglich informiert.

4. Details der Verarbeitung (Anhang A)

Kategorien der betroffenen Personen, Arten der Daten, Zwecke, Dauer und Art der Verarbeitung sind in Anhang A beschrieben.

5. Sicherheit

Qiq LLC setzt geeignete technische und organisatorische Maßnahmen (TOM) um, einschließlich Verschlüsselung während der Übertragung und im Ruhezustand, Zugriffskontrollen (MFA, Minimalprivilegien), Trennung von Umgebungen, Logging/Monitoring, Backups und Verfahren zur Reaktion auf Sicherheitsvorfälle. Beispielhafte Maßnahmen sind in Anhang A3 aufgeführt.

6. Vertraulichkeit & Personal

Autorisiertes Personal unterliegt Vertraulichkeitsverpflichtungen und erhält geeignete Schulungen zum Datenschutz.

7. Unterauftragsverarbeiter

Der Kunde genehmigt die Nutzung der in Anhang B aufgeführten Unterauftragsverarbeiter. Qiq LLC informiert über wesentliche Änderungen (z. B. Ergänzungen/Ersetzungen) mit angemessener Vorankündigung (typischerweise 15–30 Tage), damit der Kunde Einspruch erheben kann.

8. Betroffenenrechte

Qiq LLC unterstützt den Kunden bei der Bearbeitung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie bei Informationspflichten, sofern erforderlich.

9. Verletzungen personenbezogener Daten

Qiq LLC benachrichtigt den Kunden unverzüglich über eine Verletzung personenbezogener Daten und stellt verfügbare Informationen bereit, einschließlich Art des Vorfalls, Kategorien/ungefähre Anzahl betroffener Daten, mögliche Folgen und ergriffene Maßnahmen.

10. Unterstützung bei DSFA & Zusammenarbeit

Qiq LLC leistet angemessene Unterstützung bei Datenschutz-Folgenabschätzungen (DSFA) und kooperiert mit Aufsichtsbehörden, sofern erforderlich.

11. Internationale Datenübermittlungen

Bei Übermittlungen außerhalb des EWR oder des Vereinigten Königreichs werden die Standardvertragsklauseln (SCC) sowie ergänzende Maßnahmen gemäß DSGVO angewendet. Qiq LLC gewährleistet ein gleichwertiges Schutzniveau.

12. Löschung oder Rückgabe der Daten

Nach Beendigung des Vertrags löscht oder gibt Qiq LLC die personenbezogenen Daten innerhalb von 30 Tagen zurück, es sei denn, eine gesetzliche Aufbewahrungspflicht besteht.

13. Audits & Informationen

Auf Anfrage und in angemessenen Abständen stellt Qiq LLC Informationen zur Verfügung, die die Einhaltung dieses DPA belegen, und erlaubt Audits/Inspektionen durch den Kunden oder einen benannten Prüfer – vorbehaltlich Vertraulichkeit und angemessener Grenzen.

14. Haftung

Die Haftung der Parteien in Bezug auf den Datenschutz richtet sich nach geltendem Recht und dem Vertrag. Jede Partei haftet für eigene Handlungen/Unterlassungen, die gegen dieses DPA oder die gesetzlichen Bestimmungen verstoßen.

15. Anwendbares Recht & Rangfolge

Dieses DPA unterliegt dem im Vertrag festgelegten anwendbaren Recht, vorbehaltlich der zwingenden Bestimmungen der DSGVO. Die SCC unterliegen dem darin vorgesehenen Recht. Im Konfliktfall hat das DPA Vorrang in Datenschutzangelegenheiten.

16. Mitteilungen & Kontakt

• Auftragsverarbeiter (Qiq LLC): 809 Cuesta Dr Ste B, Mountain View, CA 94040, USA — Email: info@qiq.one
• Rechtliche Form: Qiq LLC (Bundesstaat New Mexico, USA)
• Website: https://qiq.one

Anhang A — Verarbeitungsdetails & Sicherheitsmaßnahmen

A1. Betroffene Personen

• Endkunden der Geschäftskunden von Qiq (z. B. Personen, die Buchungen vornehmen).
• Nutzer / Mitarbeiter / Administratoren der Geschäftskunden.
• Fakturierungs- und Supportkontakte.

A2. Kategorien personenbezogener Daten

• Identifikations- & Kontaktdaten (Name, Email, Telefonnummer).
• Buchungs-/TerminDaten, Präferenzen, vom Kunden eingegebene Notizen.
• Technische/Nutzungsdaten (IP, User Agent, Logs, Zeitstempel).
• Abrechnungs-/Zahlungsdaten (Tokens/IDs des Zahlungsanbieters; keine Rohkartendaten).
• Supportinhalte (Tickets, Anhänge, Metadaten).

A3. Zweck & Art der Verarbeitung

• Bereitstellung und Betrieb der SaaS-Plattform Qiq smart.
• Transaktionale Kommunikation (z. B. Bestätigungen/Erinnerungen), Support, Wartung.
• Abrechnung/Zahlungen, Missbrauchsprävention, Sicherheit, Performance-Analytics.

A4. Dauer & Aufbewahrung

Für die gesamte Dauer des Vertrags und solange rechtlich erforderlich. Daten werden entsprechend den Vorgaben des Kunden oder auf Anfrage gelöscht/anonimisiert, sofern keine gesetzliche Aufbewahrungspflicht besteht.

A5. Technische & organisatorische Maßnahmen (TOM) — Beispielhaft

• Verschlüsselung während der Übertragung (TLS 1.2+) und im Ruhezustand (DB/Volumes, falls zutreffend).
• Zugriffskontrolle: MFA, RBAC, Minimalprivilegien, Trennung von Aufgaben.
• Schlüssel-/Geheimnisverwaltung, regelmäßige Patches, Schwachstellenscans.
• Ereignisprotokollierung/Monitoring, Alerting, Incident-Response-Pläne.
• Backups, Integritätsprüfungen, Wiederherstellungstests, DatenTrennung.
• Sicherer SDLC, Change Management, Code Reviews.

Anhang B — Genehmigte Unterauftragsverarbeiter

• Hetzner Online GmbH (EU — aktuell): Hosting, Rechen-, Speicher- und Netzwerkdienste.
• Pointer / pointer.gr (GR — aktuell): Reverse Proxy, DNS/Domain-Dienste sowie Betriebs-/Sicherheitsprotokolle.
• Resend (bedingt): Versand interner Lead-Benachrichtigungen, wenn konfiguriert.
• Stripe (zukünftig): Zahlung/Abonnement erst bei aktiviertem kostenpflichtigem Checkout.
• Amazon Web Services — SES/S3 (zukünftig/bedingt): E-Mail oder Objektspeicher nur bei Konfiguration.

Aktuelle und bedingte Anbieter gelten nur für Live-Komponenten, die sie nutzen. Zukünftige Anbieter erhalten vor Aktivierung keine Daten. Soweit für EWR/UK-Drittlandübermittlungen erforderlich, müssen das passende SCC-Modul 2021, Anhänge und Transfer Assessment ausgefüllt werden.

Dieser öffentliche DPA ist ein Rahmen und wird erst verbindlich, wenn er zusammen mit Dienstvertrag, Bestellung oder Kunden-Onboarding angenommen oder unterzeichnet wird.

Bei Widersprüchen zwischen der griechischen und der englischen Version hat die englische Version Vorrang.