Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Rollen

In diesem AVV ist das Tourunternehmen (Kunde) der Verantwortliche (Controller); es bestimmt die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten seiner eigenen Guides und Tourteilnehmer.

First Point (Your Next Tours) ist der Auftragsverarbeiter (Processor); er verarbeitet personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen und nach dessen Weisungen.

Kontaktadresse des Auftragsverarbeiters: contact@firstpoint.com.tr. Der offizielle Firmenname, die Anschrift und die Registerdaten werden kundenspezifisch in den Unterschriftsanhängen (Annex) ergänzt.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Die für die Erbringung des Dienstes Your Next Tours (telefonbasierte Konto-, Konfigurations-, Sitzungs- und Bewertungsfunktionen im Zusammenhang mit der Offline-Audioübertragung während der Tour) erforderliche Verarbeitung personenbezogener Daten.

Dauer: Die Verarbeitung wird für die Dauer der Gültigkeit des Hauptdienstvertrags fortgesetzt und mit dem Ablauf oder der Kündigung des Vertrags gemäß Artikel 9 beendet.

Art und Zweck: Die Daten werden zum Zweck der Erstellung und Verwaltung des Kontos, der Konfiguration von Tourvorlagen und WiFi/Wallet, der Vorab-Anwesenheitserfassung vor der Tour, der Speicherung und Berichterstattung von Sitzungs- und Bewertungsdaten sowie der Bereitstellung von Support auf automatisierte Weise verarbeitet.

3. Kategorien betroffener Personen und Kategorien personenbezogener Daten

Kategorien betroffener Personen: Reiseleiter/Personal des Verantwortlichen und Tourteilnehmer.

Kontodaten: E-Mail-Adresse, Anzeigename, Organisationsname (Firma), Sprachpräferenz und Profilbild (Avatar).

Nutzungsdaten: Tour-Sitzungen und deren Dauer, Teilnehmerzahlen, Bewertungspunkte und -kommentare sowie der vom Teilnehmer eingegebene Anzeigename.

Konfigurationsdaten: Krypto-Wallet-Adressen (Netzwerk und Adresse), WiFi-Profildaten (SSID und Passwort) und Tourvorlagen.

Support-Daten sowie Check-in-Daten vor der Tour: der vom Teilnehmer eingegebene Name, das Telefonmodell, der Kopfhörer-/Powerbank-Status und freie Notizen.

Die Verarbeitung besonderer Kategorien (sensibler) Daten ist nicht vorgesehen; der Verantwortliche ist verpflichtet, solche Daten nicht in den Dienst einzugeben.

4. Pflichten des Verantwortlichen

Der Verantwortliche sichert zu, dass die von ihm erteilten Weisungen und die vorgenommenen Verarbeitungen bezüglich der betroffenen Personen rechtmäßig sind, dass er die erforderliche Information geleistet und, sofern erforderlich, die ausdrückliche Einwilligung eingeholt hat.

Der Verantwortliche ist für die dem Auftragsverarbeiter erteilten dokumentierten Weisungen sowie für die Richtigkeit und Rechtmäßigkeit der in den Dienst hochgeladenen Daten verantwortlich.

5. Pflichten des Auftragsverarbeiters und dokumentierte Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich nach den dokumentierten Weisungen des Verantwortlichen; diese DPA und der Hauptvertrag bilden die Grundlage dieser Weisungen. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

Er verpflichtet Personen mit Zugriff auf die Daten zur Vertraulichkeit (vertraglich oder gesetzlich). Der Zugriff auf Daten wird nur im erforderlichen Umfang gewährt.

Der Auftragsverarbeiter nutzt, verkauft oder teilt personenbezogene Daten außerhalb der Erbringung des Dienstes nicht für eigene Zwecke oder mit Dritten.

6. Sicherheitsmaßnahmen (DSGVO Artikel 32)

Der Auftragsverarbeiter setzt dem Risiko angemessene technische und organisatorische Maßnahmen um. Diese umfassen im Wesentlichen: angemessene Verschlüsselung/Schutz bei der Übertragung und im Ruhezustand, Zugriffskontrolle und das Prinzip der geringsten Rechte, Authentifizierung, Protokollierung/Überwachung, Backups und regelmäßige Überprüfungspraktiken.

Die Audioübertragung WÄHREND der Tour läuft über ein tragbares lokales WiFi-Netzwerk, ohne das Internet zu erreichen; diese Live-Kommunikation läuft nicht über das Cloud-Backend. Live-Übersetzung ist die einzige Opt-in-Ausnahme: Wenn der Reiseführer diese explizit aktiviert und das Zustimmungsdialogfeld bestätigt, wird die Stimme des Reiseführers – niemals das Mikrofon eines Teilnehmers – zu unserem Backend und zu Google Gemini für die Echtzeitübersetzung gestreamt und wird nicht auf unseren Servern gespeichert. Diese Architektur minimiert die Übertragung von Teilnehmerdaten während der Tour.

In diesem Dokument wird keine bestimmte Zertifizierung (z. B. ISO 27001) beansprucht; Einzelheiten und eine aktuelle Liste der umgesetzten Kontrollen können kundenspezifisch in einem Sicherheitsanhang (Annex) angegeben werden.

7. Unterauftragsverarbeiter

Der Verantwortliche ermächtigt den Auftragsverarbeiter allgemein, für die Erbringung des Dienstes Unterauftragsverarbeiter (z. B. Hosting- und Infrastrukturanbieter) einzusetzen.

Die aktuelle Liste der Unterauftragsverarbeiter wird dem Kunden bereitgestellt (Annex). Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter schriftlich zu Datenschutzpflichten, die dieser DPA gleichwertig sind, und haftet für dessen Handlungen.

Der Auftragsverarbeiter informiert den Verantwortlichen vor dem Hinzufügen oder Wechsel eines Unterauftragsverarbeiters und räumt dem Verantwortlichen eine angemessene Widerspruchsfrist ein.

8. Rechte der betroffenen Personen, Verletzungsmeldung und Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang mit geeigneten technischen/organisatorischen Maßnahmen, damit dieser auf die Ausübung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Widerspruch gegen die Verarbeitung, Übertragbarkeit) reagieren kann.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, und stellt die Informationen bereit, die der Verantwortliche zur Erfüllung seiner gesetzlichen Meldepflichten benötigt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei den Pflichten gemäß DSGVO Artikel 32-36 (Sicherheit, Verletzungsmeldung und Datenschutz-Folgenabschätzung).

9. Löschung oder Rückgabe der Daten

Nach Beendigung der Verarbeitungstätigkeit löscht oder retourniert der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen und vernichtet vorhandene Kopien innerhalb einer angemessenen Frist, sofern keine gesetzliche Vorschrift zur Aufbewahrung verpflichtet.

Der Verantwortliche kann einen Teil des Kontos und der Daten während der Vertragslaufzeit auch über das Panel löschen.

10. Audits

Der Auftragsverarbeiter stellt dem Verantwortlichen in angemessenem Umfang die erforderlichen Informationen zur Verfügung, um die Einhaltung der Pflichten dieser DPA nachzuweisen.

Der Verantwortliche kann mit angemessener Ankündigung und innerhalb der Geschäftszeiten, unter Beachtung von Vertraulichkeits- und Sicherheitsbeschränkungen und ohne den Dienst übermäßig zu beeinträchtigen, ein Audit/eine Prüfung verlangen. Einzelheiten können kundenspezifisch vereinbart werden.

11. Internationale Übermittlungen

Soweit personenbezogene Daten außerhalb der Türkei oder des Europäischen Wirtschaftsraums übermittelt werden, kommen im Rahmen von KVKK und DSGVO gültige Übermittlungsmechanismen und geeignete Schutzmaßnahmen (z. B. Standardvertragsklauseln) zur Anwendung.

Die Länder, in die übermittelt wird, und die angewandten Schutzmaßnahmen werden bei Bedarf im Unterauftragsverarbeiter-Anhang (Annex) angegeben.