Vertrag zur Auftragsverarbeitung TattooLeadz Chat

nach Art. 28 Abs. 3 DSGVO · Stand: 16.10.2026

§ 1 Gegenstand und Dauer

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch TattooLeadz im Auftrag des Studios bei der Bereitstellung der Software „TattooLeadz Chat“ (auch „Leadz Chat“, erreichbar unter tattooleadz-inbox.netlify.app sowie unter etwaigen Nachfolgeadressen) nach dem zwischen den Parteien geschlossenen Nutzungsvertrag (Nutzungsbedingungen und ggf. individueller Vertrag, zusammen „Hauptvertrag“).
2. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er gilt für alle Tätigkeiten, bei denen TattooLeadz, seine Beschäftigten oder Unterauftragsverarbeiter personenbezogene Daten des Studios verarbeiten.
3. Nicht Gegenstand dieses Vertrags ist die Verarbeitung von Daten, für die TattooLeadz selbst Verantwortlicher ist, insbesondere die Kontodaten der Studio-Nutzer, Protokolldaten zur Sicherheit der Plattform sowie Vertrags- und Abrechnungsdaten. Hierfür gilt die Datenschutzerklärung TattooLeadz Chat.
4. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet mit dem Hauptvertrag; die Pflichten nach § 12 und solche Pflichten, die ihrer Natur nach fortbestehen (insbesondere Vertraulichkeit), gelten darüber hinaus, solange TattooLeadz Daten des Studios verarbeitet.

§ 2 Art und Zweck, Datenarten, betroffene Personen

Art und Zweck der Verarbeitung

TattooLeadz stellt dem Studio ein gemeinsames Postfach für die Kommunikation mit seinen Kundinnen und Kunden über WhatsApp, Instagram und Facebook Messenger bereit. Die Verarbeitung umfasst insbesondere:

• Empfang von Nachrichten über die Schnittstellen von Meta, Speicherung und Anzeige im Postfach des Studios,
• Versand von Antworten und vom Studio freigegebenen Nachrichtenvorlagen (z. B. Terminbestätigungen, Erinnerungen, Zahlungslinks) über die Schnittstellen von Meta,
• Speicherung von Medien (z. B. Bilder, Sprachnachrichten, Videos, Dokumente),
• Verwaltung von Kontakten, Labels, Notizen und Zuweisungen innerhalb des Studio-Teams,
• automatische Abfragen durch vom Studio eingerichtete Bots,
• nur wenn vom Studio aktiviert: Antwortvorschläge oder automatische Antworten durch einen KI-Assistenten,
• nur wenn vom Studio aktiviert: Übergabe von Terminwünschen an den Studio-Kalender „Tattookalender“,
• Import von Kontakten und Verläufen aus früheren Systemen des Studios sowie Export auf Wunsch des Studios,
• Bereitstellung einer Programmierschnittstelle (API) und von Webhooks für vom Studio berechtigte Anwendungen,
• Benachrichtigungen über neue Nachrichten an die Geräte der Studio-Nutzer (Push-Benachrichtigungen),
• Löschung von Daten auf Weisung des Studios.

Zweck ist ausschließlich die Erbringung der Leistungen nach dem Hauptvertrag. TattooLeadz verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für eigene Werbung, nicht zum Training von KI-Modellen und nicht zum Verkauf an Dritte.

Arten personenbezogener Daten

• Kontaktdaten: Name bzw. Profilname, Telefonnummer (WhatsApp), Profilkennungen bei Instagram und Facebook, Profilbild, ggf. weitere vom Studio oder der betroffenen Person mitgeteilte Kontaktdaten (z. B. E-Mail-Adresse),
• Kommunikationsdaten: Inhalte von Nachrichten, Medien und Sprachnachrichten, Zeitstempel, Zustellstatus (gesendet, zugestellt, gelesen, fehlgeschlagen), Kennungen von Nachrichten,
• Auftrags- und Termindaten: Angaben zum Tattoo-Wunsch (z. B. Motiv, Körperstelle, Größe, Referenzbilder), Terminwünsche und Termine, Zahlungslinks und -status, soweit über die Software versandt,
• Verwaltungsdaten des Studios: Labels, Notizen, Zuweisungen, Antworten auf Bot-Abfragen, Einwilligungs- und Abmeldestatus (z. B. „STOP“),
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Gesundheitsangaben, die betroffene Personen in Freitext oder Bildern mitteilen oder die das Studio erfragt (z. B. Allergien, Hauterkrankungen, Medikamente, Schwangerschaft). TattooLeadz wertet solche Angaben nicht gesondert aus; sie werden wie alle Nachrichteninhalte verarbeitet und durch die Maßnahmen nach Anlage 1 geschützt. Die Rechtsgrundlage für ihre Erhebung und Verarbeitung (insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO) stellt das Studio sicher.

Kategorien betroffener Personen

• Kundinnen, Kunden und Interessenten des Studios, die dem Studio über WhatsApp, Instagram oder Messenger schreiben oder vom Studio angeschrieben werden – einschließlich etwaiger minderjähriger Interessenten,
• Dritte, die in Nachrichten genannt oder abgebildet sind (z. B. Begleitpersonen),
• Mitarbeitende des Studios, soweit sie in Unterhaltungen, Notizen oder Zuweisungen erscheinen.

§ 3 Weisungen

1. TattooLeadz verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Studios, auch in Bezug auf die Übermittlung in Drittländer, es sei denn, TattooLeadz ist durch das Recht der Union oder Deutschlands zur Verarbeitung verpflichtet. In diesem Fall teilt TattooLeadz dem Studio diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Weisungen des Studios ergeben sich abschließend aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die das Studio in der Software vornimmt (z. B. Verbinden von Konten, Aktivieren von Bots, des KI-Assistenten oder der Kalenderanbindung, Löschen von Unterhaltungen). Einzelweisungen erteilt das Studio in Textform (z. B. E-Mail an info@tattooleadz.de); mündliche Weisungen bestätigt das Studio unverzüglich in Textform.
3. Weisungsberechtigt sind der Inhaber bzw. die gesetzlichen Vertreter des Studios sowie Nutzer, denen das Studio in der Software die Rolle eines Administrators seines Arbeitsbereichs eingeräumt hat. Empfänger von Weisungen bei TattooLeadz ist Andy Neelsen, erreichbar unter info@tattooleadz.de.
4. Ist TattooLeadz der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er das Studio unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). TattooLeadz darf die Ausführung der Weisung aussetzen, bis das Studio sie bestätigt oder ändert.
5. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Antrag auf Leistungsänderung; ein angemessener Mehraufwand kann gesondert vergütet werden, soweit nicht § 9 Abs. 3 oder § 11 eingreift.

§ 4 Pflichten des Verantwortlichen

1. Das Studio ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Bestehen einer Rechtsgrundlage (Art. 6, Art. 9 DSGVO), die Information der betroffenen Personen (Art. 13, 14 DSGVO), Einwilligungen für Werbenachrichten (§ 7 Abs. 2 UWG) sowie die Beachtung von Abmeldungen.
2. Das Studio ist selbst Vertragspartner von Meta für seine WhatsApp-, Instagram- und Facebook-Konten und schließt die dafür von Meta vorgesehenen Bedingungen, einschließlich der Datenverarbeitungsbedingungen, selbst ab (siehe Anlage 2, Teil B).
3. Das Studio informiert TattooLeadz unverzüglich, wenn es Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
4. Das Studio legt fest, wie lange Unterhaltungen gespeichert werden, und löscht nicht mehr benötigte Daten in der Software selbst oder weist TattooLeadz dazu an.

§ 5 Vertraulichkeit

1. TattooLeadz gewährleistet, dass sich alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt auch nach Ende ihrer Tätigkeit fort.
2. Zugriff auf Daten des Studios erhalten bei TattooLeadz nur Personen, die ihn für den Betrieb, die Fehlerbehebung oder den Support benötigen, und nur im dafür erforderlichen Umfang.

§ 6 Technische und organisatorische Maßnahmen

1. TattooLeadz trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO). Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 1 beschrieben. Das Studio hat diese Maßnahmen geprüft und hält sie für die Risiken der übermittelten Daten, einschließlich etwaiger Gesundheitsangaben, für angemessen.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. TattooLeadz darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen dokumentiert TattooLeadz und teilt sie dem Studio auf Anfrage mit.

§ 7 Unterauftragsverarbeiter

1. Das Studio erteilt TattooLeadz die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2, Teil A aufgeführt und gelten als genehmigt.
2. TattooLeadz informiert das Studio mindestens 14 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform (z. B. per E-Mail an die hinterlegte Adresse oder durch Mitteilung in der Software). Das Studio kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Widerspricht es nicht, gilt die Änderung als genehmigt. Bei einem Widerspruch bemühen sich die Parteien um eine einvernehmliche Lösung; gelingt dies nicht, kann jede Partei den Hauptvertrag zum Zeitpunkt der geplanten Änderung außerordentlich kündigen.
3. Ist ein sofortiger Wechsel aus Gründen der Sicherheit, Verfügbarkeit oder wegen des Wegfalls eines Anbieters erforderlich, kann TattooLeadz den neuen Unterauftragsverarbeiter vorläufig einsetzen; die Information nach Abs. 2 erfolgt dann unverzüglich, und das Widerspruchsrecht bleibt bestehen.
4. TattooLeadz erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Bei großen Anbietern geschieht dies durch deren standardisierte Verträge zur Auftragsverarbeitung. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet TattooLeadz gegenüber dem Studio für dessen Pflichterfüllung nach Maßgabe von Art. 28 Abs. 4 Satz 2 DSGVO und § 14.
5. Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienstleister, die TattooLeadz nur als Nebenleistung in Anspruch nimmt (z. B. Telekommunikation, Internetzugang), sowie Empfänger, an die Daten auf Veranlassung des Studios gelangen, insbesondere Meta als Vertragspartner des Studios und vom Studio selbst eingerichtete Ziele wie Webhooks, API-Anwendungen oder eigene Automatisierungen (Anlage 2, Teil B). TattooLeadz trifft auch insoweit Vorkehrungen zum Schutz der Daten.

§ 8 Übermittlung in Drittländer

1. Die Datenbank und der Dateispeicher von TattooLeadz Chat befinden sich in einem Rechenzentrum in der Europäischen Union (Frankfurt am Main). Einzelne Unterauftragsverarbeiter haben ihren Sitz in den USA oder verarbeiten Daten dort (siehe Anlage 2). Ein Zugriff aus den USA ist auch bei Speicherung in der EU nicht ausgeschlossen.
2. Eine Übermittlung in ein Land außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, und im Übrigen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Modul 3 „Auftragsverarbeiter an Auftragsverarbeiter“), gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen.
3. Mit Abschluss dieses Vertrags weist das Studio TattooLeadz an, Daten im Rahmen von Abs. 2 an die in Anlage 2 genannten Empfänger zu übermitteln. Eine Kopie der jeweiligen Garantien stellt TattooLeadz auf Anfrage zur Verfügung.

§ 9 Unterstützung bei Betroffenenrechten

1. TattooLeadz unterstützt das Studio angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 22 DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Die Software ermöglicht dem Studio insbesondere, Kontakte und Unterhaltungen einzusehen, zu berichtigen, zu exportieren und zu löschen sowie Abmeldungen zu vermerken.
2. Wendet sich eine betroffene Person unmittelbar an TattooLeadz, leitet TattooLeadz das Anliegen unverzüglich an das Studio weiter und beantwortet es nicht selbst, es sei denn, das Studio weist ihn dazu an.
3. Die Unterstützung ist unentgeltlich, soweit sie über die Funktionen der Software erfolgt oder nur geringen Aufwand verursacht. Darüber hinausgehender Aufwand kann nach vorheriger Abstimmung angemessen vergütet werden, es sei denn, er beruht auf einem Pflichtverstoß von TattooLeadz.

§ 10 Unterstützung nach Art. 32 bis 36 DSGVO

TattooLeadz unterstützt das Studio unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Verletzungen des Schutzes personenbezogener Daten, bei einer etwaigen Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde. Hierzu stellt TattooLeadz die erforderlichen Informationen zur Software, zu den Unterauftragsverarbeitern und zu den Maßnahmen nach Anlage 1 bereit. § 9 Abs. 3 gilt entsprechend.

§ 11 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. TattooLeadz meldet dem Studio eine Verletzung des Schutzes personenbezogener Daten, die Daten des Studios betrifft, unverzüglich nach Bekanntwerden, möglichst innerhalb von 24 Stunden, in Textform (Art. 33 Abs. 2 DSGVO). Dies gilt auch für Verletzungen bei Unterauftragsverarbeitern, sobald TattooLeadz davon Kenntnis erlangt.
2. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen und eine Ansprechperson. Was noch nicht bekannt ist, reicht TattooLeadz unverzüglich nach.
3. TattooLeadz ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern, und stimmt sich dazu mit dem Studio ab. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt das Studio vor; TattooLeadz unterstützt es dabei.

§ 12 Löschung und Rückgabe nach Vertragsende

1. Nach Ende des Hauptvertrags kann das Studio innerhalb von 30 Tagen einen Export seiner Daten (Kontakte, Unterhaltungen, Medien) in einem gängigen, maschinenlesbaren Format verlangen. Die Verbindung zu den Meta-Konten des Studios wird mit Vertragsende getrennt.
2. Nach Ablauf dieser 30 Tage bzw. nach Bereitstellung des Exports löscht TattooLeadz alle Daten des Studios einschließlich aller Unterhaltungen und Medien, sofern nicht nach dem Recht der Union oder Deutschlands eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Auf Verlangen bestätigt TattooLeadz die Löschung in Textform.
3. Daten in Sicherungskopien des Hosters werden nicht gesondert gelöscht, sondern im regulären Sicherungszyklus überschrieben; bis dahin sind sie vor Zugriff geschützt und werden nicht mehr aktiv verarbeitet.
4. Bereits während der Vertragslaufzeit gelöschte Daten (z. B. durch Löschen einer Unterhaltung durch das Studio) werden aus dem aktiven Bestand entfernt; Abs. 3 gilt entsprechend.

§ 13 Nachweise und Kontrollrechte

1. TattooLeadz stellt dem Studio alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1, die Liste der Unterauftragsverarbeiter und – soweit vorhanden – deren Nachweise (z. B. Prüfberichte oder Zertifikate der Anbieter).
2. Das Studio kann die Einhaltung dieses Vertrags selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, der kein Wettbewerber von TattooLeadz ist. Vor-Ort-Kontrollen sind mindestens 14 Tage im Voraus anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Ein Zugriff auf Daten anderer Kunden ist ausgeschlossen. Bei konkretem Anlass (z. B. einer Datenschutzverletzung) ist eine kürzere Frist möglich.
3. Kontrollen bei Unterauftragsverarbeitern erfolgen in der Regel durch Vorlage der von diesen bereitgestellten Nachweise.
4. Jede Partei trägt ihre eigenen Kosten der Kontrolle. Kontrollen, die mehr als einmal pro Kalenderjahr ohne konkreten Anlass verlangt werden, kann TattooLeadz angemessen in Rechnung stellen.
5. Die Parteien arbeiten auf Anfrage mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO). TattooLeadz informiert das Studio unverzüglich über Kontrollen oder Maßnahmen einer Aufsichtsbehörde, soweit sie die Daten des Studios betreffen.

§ 14 Haftung

1. Für Schäden betroffener Personen haften die Parteien im Außenverhältnis nach Art. 82 DSGVO. TattooLeadz haftet danach nur, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung oder gegen die rechtmäßig erteilten Weisungen des Studios gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO).
2. Im Innenverhältnis trägt jede Partei den Schaden, soweit er auf ihre Verantwortung zurückgeht (Art. 82 Abs. 5 DSGVO). Hat eine Partei Schadensersatz geleistet, der im Innenverhältnis auf die andere Partei entfällt, kann sie insoweit Rückgriff nehmen.
3. Im Übrigen, insbesondere für Ansprüche der Parteien untereinander, gelten die Haftungsregelungen des Hauptvertrags (§ 9 der Nutzungsbedingungen), soweit gesetzlich zulässig. Bußgelder nach Art. 83 DSGVO trägt die Partei, gegen die sie verhängt werden.

§ 15 Vertragsschluss und Schlussbestimmungen

1. Dieser Vertrag wird mit der Annahme der Nutzungsbedingungen bzw. mit Abschluss des Hauptvertrags geschlossen und ist dessen Bestandteil. Er wird elektronisch geschlossen; dies genügt dem Formerfordernis des Art. 28 Abs. 9 DSGVO. Auf Wunsch stellt TattooLeadz dem Studio zusätzlich eine unterzeichnete Fassung zur Verfügung.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor. Haben die Parteien einen individuell unterzeichneten Vertrag zur Auftragsverarbeitung geschlossen, geht dieser vor.
3. Änderungen dieses Vertrags erfolgen nach dem Verfahren des § 14 der Nutzungsbedingungen; Änderungen der Anlagen nach § 6 Abs. 2 und § 7 bleiben unberührt. Änderungen und Ergänzungen bedürfen mindestens der Textform.
4. Werden Daten des Studios bei TattooLeadz durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert TattooLeadz das Studio unverzüglich und weist die Beteiligten darauf hin, dass die Verantwortung für die Daten beim Studio liegt.
5. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, München (§ 15 der Nutzungsbedingungen).
6. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen gelten für TattooLeadz Chat zum Stand dieses Vertrags. Die physische Sicherheit der Rechenzentren (Zutrittskontrolle, Brandschutz, Stromversorgung) wird von den Hostern nach Anlage 2 gewährleistet; TattooLeadz betreibt keine eigenen Server.

1. Vertraulichkeit

• Hosting: Datenbank, Anmeldung und Dateispeicher bei Supabase in einem Rechenzentrum in der EU (Frankfurt am Main); Anwendung und serverseitige Funktionen bei Netlify.
• Zugang: Anmeldung der Studio-Nutzer mit persönlichem Konto per E-Mail-Adresse und Passwort oder per Einmal-Anmeldelink an die hinterlegte E-Mail-Adresse. Passwörter werden nicht im Klartext, sondern nur als Hashwert gespeichert. Sitzungen sind an den angemeldeten Nutzer gebunden.
• Mandantentrennung: Die Daten jedes Studios liegen in einem eigenen Arbeitsbereich. Die Trennung wird in der Datenbank durch Zugriffsregeln auf Zeilenebene (Row Level Security) erzwungen, sodass Nutzer nur Daten der Arbeitsbereiche sehen, denen sie angehören.
• Rollenbasierte Zugriffe: Rollen „Administrator des Arbeitsbereichs“ und „Mitarbeiter“; Nutzer werden vom Studio eingeladen und entfernt. Zugriff durch TattooLeadz (Betreiber-Rolle) nur, soweit für Betrieb, Fehlerbehebung und Support erforderlich.
• Schutz von Zugangsschlüsseln: Zugriffsschlüssel von Meta und Webhook-Geheimnisse werden mit AES-256-GCM verschlüsselt gespeichert und ausschließlich auf dem Server entschlüsselt; sie werden nie an den Browser übermittelt. API-Schlüssel der Studios werden nur als Hashwert (SHA-256) gespeichert.
• Webhooks: Eingehende Nachrichten von Meta werden anhand der Signatur von Meta auf ihre Echtheit geprüft.
• Medien: Medien werden im Dateispeicher des Hosters abgelegt und nur angemeldeten, berechtigten Nutzern angezeigt.
• Push-Benachrichtigungen: Inhalte werden nach dem Web-Push-Standard verschlüsselt übertragen; die Push-Dienste der Browser- und Gerätehersteller erhalten keine lesbaren Inhalte.
• Organisation: Verpflichtung aller befugten Personen zur Vertraulichkeit; Zugänge zu den Konten bei den Hostern nur für berechtigte Personen.

2. Integrität

• Transportverschlüsselung: Alle Verbindungen zwischen Browser, Anwendung, Datenbank und den Schnittstellen von Meta und Anthropic erfolgen ausschließlich verschlüsselt über TLS (HTTPS).
• Protokollierung: Nachrichten werden mit Absenderart (Kontakt, Nutzer, Bot, KI-Assistent, API, System), Zeitstempel und Zustellstatus gespeichert; eingehende Webhook-Ereignisse und Bot-Abläufe werden protokolliert. Zusätzlich führen die Hoster Zugriffs- und Systemprotokolle.
• Eingabekontrolle: Änderungen an Daten sind nur über die Anwendung bzw. die freigegebenen Schnittstellen und nur für berechtigte Nutzer möglich.

3. Verfügbarkeit und Belastbarkeit

• Backups: Regelmäßige automatische Sicherungen der Datenbank durch den Hoster (Supabase) nach dessen Tarif.
• Infrastruktur: Betrieb auf der verteilten, redundant ausgelegten Infrastruktur der Hoster.
• Export: Export der Daten eines Studios auf Anfrage.

4. Verfahren zur regelmäßigen Überprüfung

• Änderungen an Datenbank und Zugriffsregeln nur über versionierte, nachvollziehbare Migrationen; automatisierte Tests der Anwendung.
• Prüfung der Sicherheitshinweise der Hoster und Aktualisierung von Abhängigkeiten.
• Überprüfung dieser Maßnahmen bei wesentlichen Änderungen der Software, mindestens einmal jährlich.
• Datenschutzfreundliche Voreinstellungen: KI-Assistent und Kalenderanbindung sind nur aktiv, wenn das Studio sie einschaltet; kein Analyse- oder Werbe-Tracking in der Software.

Eigene Zertifizierungen (z. B. ISO 27001) besitzt TattooLeadz nicht. Nachweise der Hoster stellt TattooLeadz nach § 13 Abs. 1 zur Verfügung, soweit diese sie veröffentlichen.

Anlage 2 – Unterauftragsverarbeiter und Abgrenzung zu Meta

Teil A: Genehmigte Unterauftragsverarbeiter

Teil B: Keine Unterauftragsverarbeiter von TattooLeadz

• Meta (WhatsApp Ireland Limited bzw. Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland): Das Studio nutzt die WhatsApp Business Platform (Cloud API) sowie die Nachrichten-Schnittstellen von Instagram und Messenger mit eigenen Konten und ist selbst Vertragspartner von Meta. Meta verarbeitet die Nachrichten auf Grundlage der Verträge zwischen Meta und dem Studio – für die Cloud API nach den WhatsApp-Business-Datenverarbeitungsbedingungen als Auftragsverarbeiter des Studios, im Übrigen teilweise in eigener Verantwortung. Meta ist daher kein Unterauftragsverarbeiter von TattooLeadz. TattooLeadz stellt lediglich die technische Anbindung an die Schnittstellen von Meta bereit und übermittelt Nachrichten auf Weisung des Studios an Meta bzw. empfängt sie von dort.
• Tattookalender: Aktiviert das Studio die Kalenderanbindung, übergibt TattooLeadz Chat Terminwünsche auf Weisung des Studios an dessen Studio-Kalender. Für die Verarbeitung im Tattookalender gilt der dafür geschlossene Vertrag.
• Vom Studio eingerichtete Empfänger: Ziele, die das Studio selbst einrichtet (z. B. Webhooks in Bots, Anwendungen mit API-Schlüssel des Studios, eigene Automatisierungen), sind Empfänger auf Weisung des Studios. Für deren Auswahl und die Verträge mit ihnen ist das Studio verantwortlich.