Vertrag zur Auftrags­verarbeitung

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und CDEC Versandhandel, Inhaber Christopher Deutz, Am Kropp 5A, 49124 Georgsmarienhütte, Anbieter der Marke QRweiser, als Auftragsverarbeiter (im Folgenden „QRweiser“ oder „wir“). Er wird mit jedem Vertrag über eine der unten genannten Leistungen Bestandteil des Vertrags (AGB Nummer 7). Wer ihn zusätzlich unterschrieben braucht, schreibt uns an info@qrweiser.de.

1. Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, soweit das für die Seiten nötig ist, die wir unter qrweiser.de bereitstellen: Link-Seite, Speisekarte, Visitenkarte, Feedback-Seite, Bilder, PDF-Dateien und App-Links, auch eingebunden auf der Website des Kunden.

Der Vertrag läuft so lange wie der Vertrag über die jeweilige Leistung.

2. Art der Daten und betroffene Personen

• Inhalte, die der Kunde einstellt oder uns gibt: zum Beispiel Namen, Telefonnummern und E-Mail-Adressen von Inhabern und Beschäftigten auf einer Visitenkarte oder Link-Seite, Fotos,
• Nachrichten, die Besucher über eine Feedback-Seite an den Kunden schicken, samt freiwilliger Kontaktangabe für eine Antwort,
• technisch notwendige Verbindungsdaten der Besucher dieser Seiten, etwa IP-Adresse und Zeitpunkt, die beim Ausliefern anfallen.

Betroffen sind Inhaber und Beschäftigte des Kunden, Personen, die er auf seinen Seiten nennt, Besucher dieser Seiten und Absender von Feedback-Nachrichten. Wir zählen auf diesen Seiten keine Aufrufe, setzen dort keine Cookies und legen keine eigenen Zugriffsprotokolle an.

3. Weisungen

Wir verarbeiten die Daten nur nach dokumentierter Weisung des Kunden. Die Weisungen ergeben sich aus dem Vertrag und aus dem, was der Kunde im Kundenbereich einstellt oder uns per E-Mail aufträgt. Halten wir eine Weisung für rechtswidrig, sagen wir das dem Kunden sofort. Eine Verarbeitung zu eigenen Zwecken findet nicht statt, außer ein Gesetz verlangt sie. Dann informieren wir den Kunden vorher, soweit das Gesetz es erlaubt.

4. Vertraulichkeit

Die Daten verarbeitet nur Christopher Deutz persönlich. Kommt eine weitere Person hinzu, verpflichten wir sie vorher schriftlich zur Vertraulichkeit.

5. Technische und organisatorische Maßnahmen

• Alle Seiten und der Kundenbereich laufen nur verschlüsselt über HTTPS.
• Der Kundenbereich hat kein Passwort, das gestohlen werden kann: Die Anmeldung läuft über einen Link per E-Mail, der nur einmal gilt. Links und Sitzungen speichern wir nur als Hashwert. Das Anmelde-Cookie ist auf qrweiser.de beschränkt und für Skripte nicht lesbar.
• Jeder Kunde sieht und ändert nur seine eigenen Daten. Das prüft der Server bei jeder Anfrage anhand der Anmeldung.
• Die Verwaltung ist zusätzlich hinter einer Zugangsprüfung von Cloudflare geschützt, die nur Christopher Deutz per E-Mail-Code durchlässt. Die Konten bei unseren Dienstleistern sind mit Zwei-Faktor-Anmeldung gesichert.
• Wiederholte Anmeldeversuche und Formulare bremsen wir automatisch.
• Vor Änderungen an der Datenbank legen wir eine Sicherung an.

6. Unterauftragsverarbeiter

Der Kunde ist mit diesen Unterauftragsverarbeitern einverstanden:

• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA: Auslieferung der Seiten, Datenbank, Speicher für Bilder und Dateien, Weiterleitung von E-Mails. Zertifiziert nach dem EU-US Data Privacy Framework, dazu Standardvertragsklauseln.
• Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA: Versand von E-Mails, etwa Feedback-Nachrichten an den Kunden. Zertifiziert nach dem EU-US Data Privacy Framework, dazu Standardvertragsklauseln.
• 1&1 Mail & Media GmbH (GMX), Elgendorfer Straße 57, 56410 Montabaur: unser Postfach für E-Mails des Kunden.

Einen neuen Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher per E-Mail an. Der Kunde kann in dieser Zeit aus wichtigem Grund widersprechen und die betroffene Leistung dann zum Wechsel kündigen.

7. Unterstützung des Kunden

Wir helfen dem Kunden, Anfragen von Betroffenen zu beantworten, etwa auf Auskunft oder Löschung, und bei seinen Pflichten aus Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage an den Kunden weiter.

8. Verletzungen des Schutzes

Erfahren wir von einer Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, melden wir sie ihm unverzüglich per E-Mail, mit allem, was wir zu dem Zeitpunkt wissen, damit er seine Meldefrist von 72 Stunden einhalten kann.

9. Löschen und Rückgabe

Endet eine Leistung, löschen wir die zugehörigen Inhalte spätestens 30 Tage danach. Auf Wunsch geben wir sie vorher in einem gängigen Format heraus. Seiteninhalte, Ziele und Feedback-Nachrichten kann der Kunde jederzeit im Kundenbereich als Datei herunterladen. Was wir aus gesetzlichen Gründen aufbewahren müssen, etwa Rechnungen, bleibt bis zum Ende der Frist gesperrt gespeichert.

10. Nachweise und Kontrollen

Wir geben dem Kunden auf Anfrage alle Informationen, die er zum Nachweis dieser Pflichten braucht. Prüfungen vor Ort stimmen wir mit angemessener Vorlaufzeit ab.

Stand: 19. Oktober 2026