Rechtliches Legal

Auftragsverarbeitungsvertrag Data Processing Agreement

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Kunden (Studio) als Verantwortlichem und

Marvin Fitzner, Inksights (Einzelunternehmen)
Rudolf-Schwander-Straße 15
34117 Kassel, Deutschland
E-Mail: info@inksights.app

als Auftragsverarbeiter („Anbieter“). Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird bei der Anlage des Studios zusammen mit diesen akzeptiert. Er gilt für entgeltliche und unentgeltliche Nutzung gleichermaßen.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter bei der Bereitstellung der Studioverwaltungs-Software Inksights (platform.inksights.app) für den Kunden.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages einschließlich der Zeit des lesenden Zugriffs und der Löschung nach § 9 dieses Vertrages.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Organisation des Studiobetriebs, insbesondere Termin- und Kalenderverwaltung, Kundenverwaltung, Projektbeschreibungen, Versand transaktionaler E-Mails an die Kunden des Studios, öffentliche Buchungsanfragen und Terminvorschlags-Links, Arbeitsplatzplanung sowie interne Kommunikation im Studio.

(2) Arten von Daten:

  • Stammdaten der Kunden des Studios: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Instagram-Name
  • Termindaten: Datum, Uhrzeit, Dauer, zugeordneter Tätowierer, Status, Notizen
  • Projektdaten: Beschreibungen, Referenzbilder, Körperstelle, Größe, Budget; diese können Gesundheitsdaten im Sinne des Art. 9 DSGVO enthalten (z. B. Hautzustand, Allergien)
  • Buchungsanfragen über öffentliche Formulare einschließlich Einwilligungszeitpunkt und gekürztem Hash der IP-Adresse
  • Protokoll versendeter E-Mails und Zugriffsprotokolle
  • Daten der Studio-Mitglieder, soweit sie vom Kunden eingegeben werden (Name, Rolle, Arbeitszeiten, Arbeitsplätze, Chat-Nachrichten)

(3) Kategorien betroffener Personen: Kunden und Interessenten des Studios sowie Mitarbeiter, Gast-Tätowierer und sonstige Mitglieder des Studios.

(4) Die Verarbeitung findet ausschließlich in der Europäischen Union statt. Eine Verlagerung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Funktionen der Software durch den Kunden; Einzelweisungen erteilt der Kunde in Textform.

(2) Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

(3) Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nicht statt; insbesondere werden die Daten nicht für Werbung, nicht zum Training von KI-Modellen und nicht zur Weitergabe an Dritte genutzt. Unberührt bleibt eine Verarbeitung, zu der der Anbieter gesetzlich verpflichtet ist; hierüber informiert er den Kunden vorab, soweit dies zulässig ist.

§ 4 Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Kundendaten erfolgt nur, soweit dies zur Erbringung der Leistung, zur Fehlerbehebung oder zur Sicherheit erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere:

  • Transportverschlüsselung mit TLS für alle Verbindungen;
  • Mandantentrennung je Studio auf Datenbankebene (Row-Level Security) zusätzlich zur serverseitigen Rechteprüfung;
  • rollenbasierte Zugriffsrechte; Tätowierer mit eingeschränkter Rolle sehen nur die für ihre Arbeit nötigen Daten;
  • privilegierter Datenbankzugriff ausschließlich über serverseitige Routen, niemals aus dem Browser;
  • Speicherung von Passwörtern ausschließlich als Hash;
  • nicht öffentliche Speicherbereiche für Anhänge und Chat-Bilder mit kurzlebigen, signierten Links; Entfernung von Bildmetadaten einschließlich GPS-Koordinaten beim Upload;
  • Protokollierung von Zugriffen auf Kundendatensätze (Bearbeiten, Löschen, Exportieren) für 365 Tage;
  • Kalender-Feeds über rotierbare Token mit automatischem Ablauf nach 90 Tagen ohne Nutzung und minimalem Inhalt (Vorname, Zeitpunkt, Status);
  • Schutz öffentlicher Eingabepunkte durch unsichtbare Zusatzfelder und Begrenzung der Anfragen;
  • Wiederherstellungsfenster für gelöschte Kundendaten und automatische Endlöschung;
  • regelmäßige Datensicherung durch den Hosting-Dienstleister.

Der Anbieter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

  • Supabase Inc. – Datenbank, Authentifizierung, Dateispeicher; Verarbeitung in der EU-Region eu-west-1 (Irland).
  • Vercel Inc. – Hosting der Webanwendung; Verarbeitung in einer EU-Region (Frankfurt am Main).
  • Resend Inc. – Versand transaktionaler E-Mails an die Kunden des Studios; Verarbeitung in der EU.

(2) Mit jedem Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO; soweit ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann, sind Standardvertragsklauseln vereinbart.

(3) Der Anbieter informiert den Kunden mindestens vier Wochen vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters in Textform. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Anbieter den Widerspruch nicht ausräumen, kann jede Partei den Vertrag zum Zeitpunkt der Änderung kündigen.

(4) Keine Unterauftragsverarbeitung in diesem Sinne sind Dienste, die der Kunde oder seine Mitglieder selbst wählen (etwa der Kalenderanbieter beim Abonnieren des Kalender-Feeds), sowie die Push-Dienste der Browser-Anbieter, die Benachrichtigungen nur Ende-zu-Ende verschlüsselt zustellen.

§ 7 Unterstützung bei Betroffenenrechten

Der Anbieter unterstützt den Kunden bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Die Software stellt hierfür insbesondere Export (Auskunft, Datenübertragbarkeit), Bearbeitung (Berichtigung), Löschung und Einschränkung bereit. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.

§ 8 Meldung von Verletzungen und weitere Unterstützung

(1) Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden in Textform, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

(2) Der Anbieter unterstützt den Kunden im Rahmen des Zumutbaren bei Datenschutz-Folgenabschätzungen und der Konsultation der Aufsichtsbehörde (Art. 35, 36 DSGVO).

§ 9 Löschung und Rückgabe nach Vertragsende

Nach Ende des Nutzungsvertrages steht dem Kunden die Software 90 Tage lesend zur Verfügung; in dieser Zeit kann er alle Daten über die Exportfunktionen sichern. Danach löscht der Anbieter nach vorheriger Erinnerung per E-Mail sämtliche Daten des Kunden, soweit keine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien werden im Rahmen des regulären Rotationszyklus überschrieben. Der Kunde kann die Löschung seines Studios auch jederzeit selbst in der Software auslösen.

§ 10 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses Vertrages erforderlichen Informationen zur Verfügung. Der Kunde kann Kontrollen nach rechtzeitiger Anmeldung (in der Regel vier Wochen), während der üblichen Geschäftszeiten und ohne Störung des Betriebs durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, höchstens einmal pro Kalenderjahr, sofern kein konkreter Anlass besteht. Vorrangig sind aktuelle Nachweise der Unterauftragsverarbeiter (etwa Zertifizierungen oder Prüfberichte) heranzuziehen.

§ 11 Schlussbestimmungen

(1) Die Haftung richtet sich nach Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen gehen die Regelungen dieses Vertrages zum Datenschutz den AGB vor. Änderungen bedürfen der Textform; für Änderungen dieses Vertrages gilt § 15 der AGB entsprechend.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist – soweit gesetzlich zulässig – Kassel.

Note: the binding version of this agreement is the German one. This English text is provided for convenience only.

Agreement on the processing of personal data on behalf pursuant to Art. 28 GDPR between the Customer (studio) as controller and

Marvin Fitzner, Inksights (sole proprietorship)
Rudolf-Schwander-Straße 15
34117 Kassel, Germany
Email: info@inksights.app

as processor (the “Provider”). This agreement forms part of the Terms and Conditions and is accepted together with them when the studio is created. It applies equally to paid and free use.

§ 1 Subject matter and duration

(1) The subject matter is the processing of personal data by the Provider when providing the studio management software Inksights (platform.inksights.app) to the Customer.

(2) The duration corresponds to the term of the usage contract, including the read-only period and deletion under § 9 of this agreement.

§ 2 Nature, purpose and scope of processing

(1) Purpose: organisation of the studio, in particular appointment and calendar management, client management, project descriptions, sending transactional emails to the studio's clients, public booking enquiries and slot suggestion links, workstation planning and internal communication within the studio.

(2) Types of data:

  • master data of the studio's clients: first and last name, email address, phone number, Instagram handle
  • appointment data: date, time, duration, assigned artist, status, notes
  • project data: descriptions, reference images, body placement, size, budget; this may include health data within the meaning of Art. 9 GDPR (such as skin condition, allergies)
  • booking enquiries via public forms, including the time of consent and a truncated hash of the IP address
  • log of sent emails and access logs
  • data of studio members, insofar as entered by the Customer (name, role, working hours, workstations, chat messages)

(3) Categories of data subjects: clients and prospective clients of the studio, as well as employees, guest artists and other members of the studio.

(4) Processing takes place exclusively within the European Union. Any transfer to a third country only takes place subject to Art. 44 et seq. GDPR.

§ 3 Instructions

(1) The Provider processes the data only on documented instructions from the Customer. The instructions follow from this agreement, the Terms and the Customer's use of the software's functions; the Customer gives individual instructions in text form.

(2) If the Provider considers that an instruction infringes data protection law, it informs the Customer without undue delay. It may suspend carrying out the instruction until it is confirmed or changed.

(3) The Provider does not process the data for its own purposes; in particular, the data is not used for advertising, for training AI models or for disclosure to third parties. Processing that the Provider is legally obliged to carry out remains unaffected; it informs the Customer of this in advance where permitted.

§ 4 Confidentiality

The Provider only uses persons who are bound to confidentiality or subject to a statutory duty of secrecy. Client data is accessed only where necessary to provide the service, to fix errors or for security reasons.

§ 5 Technical and organisational measures

The Provider takes the measures required under Art. 32 GDPR, in particular:

  • TLS transport encryption for all connections;
  • tenant separation per studio at database level (row-level security) in addition to server-side permission checks;
  • role-based access rights; artists with a restricted role only see the data they need for their work;
  • privileged database access exclusively through server-side routes, never from the browser;
  • passwords are stored as hashes only;
  • non-public storage areas for attachments and chat images with short-lived signed links; removal of image metadata including GPS coordinates on upload;
  • logging of access to client records (edit, delete, export) for 365 days;
  • calendar feeds via rotatable tokens that expire automatically after 90 days without use, with minimal content (first name, time, status);
  • protection of public input endpoints through hidden extra fields and request limits;
  • recovery window for deleted client data and automatic final erasure;
  • regular backups by the hosting provider.

The Provider may develop these measures further as long as the level of protection is not reduced.

§ 6 Sub-processors

(1) The Customer consents to the use of the following sub-processors:

  • Supabase Inc. — database, authentication, file storage; processing in the EU region eu-west-1 (Ireland).
  • Vercel Inc. — hosting of the web application; processing in an EU region (Frankfurt am Main).
  • Resend Inc. — delivery of transactional emails to the studio's clients; processing in the EU.

(2) An agreement pursuant to Art. 28 (4) GDPR is in place with each sub-processor; where access from a third country cannot be ruled out, standard contractual clauses have been agreed.

(3) The Provider informs the Customer in text form at least four weeks before engaging a new sub-processor or replacing one. Within this period the Customer may object to the change for good cause under data protection law. If the Provider cannot resolve the objection, either party may terminate the contract with effect from the date of the change.

(4) Services chosen by the Customer or its members themselves (such as the calendar provider when subscribing to the calendar feed) and the push services of browser providers, which deliver notifications end-to-end encrypted only, are not sub-processing in this sense.

§ 7 Support with data subject rights

The Provider supports the Customer in fulfilling the rights of data subjects (Art. 12 to 22 GDPR). For this, the software provides in particular export (access, data portability), editing (rectification), deletion and restriction. If a data subject contacts the Provider directly, the Provider forwards the request to the Customer without undue delay.

§ 8 Notification of breaches and further support

(1) The Provider notifies the Customer in text form of a personal data breach without undue delay after becoming aware of it, with the information under Art. 33 (3) GDPR insofar as available to it.

(2) The Provider supports the Customer, within reason, with data protection impact assessments and consultation of the supervisory authority (Art. 35, 36 GDPR).

§ 9 Deletion and return after the contract ends

After the usage contract ends, the software remains available to the Customer read-only for 90 days; during this time the Customer can save all data using the export functions. After that, following a reminder by email, the Provider deletes all of the Customer's data unless there is a legal obligation to store it. Backups are overwritten as part of the regular rotation cycle. The Customer can also trigger the deletion of its studio itself in the software at any time.

§ 10 Evidence and audits

On request, the Provider makes available to the Customer the information necessary to demonstrate compliance with this agreement. The Customer may carry out audits, or have them carried out by an auditor bound to confidentiality, after timely notice (usually four weeks), during normal business hours and without disrupting operations, at most once per calendar year unless there is a specific reason. Current evidence from the sub-processors (such as certifications or audit reports) is to be relied on first.

§ 11 Final provisions

(1) Liability is governed by Art. 82 GDPR; otherwise the liability rules of the Terms apply.

(2) In the event of conflict, the provisions of this agreement on data protection take precedence over the Terms. Changes require text form; § 15 of the Terms applies accordingly to changes to this agreement.

(3) The law of the Federal Republic of Germany applies. The place of jurisdiction is — to the extent legally permissible — Kassel.

Stand:Last updated: Oktober 2026October 2026