Wie wir mit den Daten deiner Liste umgehen.

1. Parteien und Gegenstand

Dieser Vertrag gilt zwischen dem Unternehmen, das Waitlisted nutzt („Kunde“, Verantwortlicher), und der Grido AB, c/- Dockplatsen 16, 211 19 Malmö, Schweden, Org.-Nr. 559480-1945, support@waitlisted.me („wir“, Auftragsverarbeiter).

Wir stellen Waitlisted (waitlisted.me) bereit: gehostete Wartelisten-, Anmelde- und Rückmeldeseiten, das Dashboard zu ihrer Verwaltung und die E-Mails an die Personen darauf. Wenn sich Personen auf den Seiten des Kunden eintragen oder antworten, verarbeiten wir ihre personenbezogenen Daten im Auftrag des Kunden. Dieser Vertrag regelt diese Verarbeitung und ist Teil des Abonnements des Kunden. Bei Widersprüchen zu anderen Bedingungen geht er in Fragen des Datenschutzes vor.

2. Art, Zweck und Dauer

Wir speichern, zeigen, ordnen und versenden personenbezogene Daten per E-Mail, damit der Kunde Wartelisten führen, Plätze anbieten, Rückmeldungen sammeln und die betroffenen Personen kontaktieren kann. Die Verarbeitung dauert so lange wie das Abonnement des Kunden und endet wie in Abschnitt 3 beschrieben.

Betroffene Personen: Personen, die sich auf eine Warteliste des Kunden eintragen oder eine Rückmeldeseite des Kunden absenden; Personen, die der Kunde aus eigenen Listen importiert; Admins, die der Kunde zur Mitarbeit an einer Warteliste einlädt.

Personenbezogene Daten: E-Mail-Adresse; Name (optional); Antworten auf die Fragen des Kunden; Platz in der Reihe und Status (wartet, Platz angeboten, angenommen, raus); Texte von Rückmeldungen; Aufzeichnung gesendeter E-Mails (Art, Betreff, Datum); Zustellstatus von E-Mails (zugestellt, unzustellbar, Spam-Meldung); technische Daten zur Auslieferung der Seiten (IP-Adresse, Browser, Zeitpunkt).

Besondere Kategorien: nicht vorgesehen. Der Kunde darf keine Daten nach Art. 9 DSGVO (zum Beispiel Gesundheitsdaten) abfragen, es sei denn, er hat eine Rechtsgrundlage und hat uns schriftlich informiert.

Speicherdauer: bis der Kunde den Eintrag, die Warteliste oder sein Konto löscht. E-Mail-Verlauf und Zustellungsdaten werden nach 90 Tagen gelöscht; eine Adresse, die unzustellbar war oder Spam gemeldet hat, bleibt auf einer Sperrliste, damit sie nicht erneut angeschrieben wird.

3. Unsere Pflichten

Weisungen: Wir verarbeiten die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden. Seine Einstellungen und Aktionen in Waitlisted sowie dieser Vertrag sind diese Weisungen. Wir weisen den Kunden darauf hin, wenn eine Weisung unserer Ansicht nach gegen Datenschutzrecht verstößt.

Vertraulichkeit: Alle bei uns, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet.

Sicherheit: Wir treffen die technischen und organisatorischen Maßnahmen aus Anlage 1 (Art. 32 DSGVO) und dürfen sie verbessern, solange das Schutzniveau nicht sinkt.

Anfragen betroffener Personen: Wir unterstützen den Kunden bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Widerspruch). Die meisten lassen sich direkt im Dashboard erledigen (Export, Bearbeiten, Entfernen). Erreicht eine Anfrage uns, leiten wir sie unverzüglich an den Kunden weiter.

Weitere Unterstützung: Wir unterstützen den Kunden, soweit zumutbar, bei Sicherheit, Meldungen von Datenpannen, Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörden (Art. 32–36 DSGVO).

Verzeichnis und Kontakt: Wir führen ein Verzeichnis der Verarbeitungstätigkeiten. Unser Kontakt für Datenschutz ist support@waitlisted.me.

Ende des Dienstes: Endet das Abonnement, kann der Kunde seine Listen als CSV exportieren. Wir löschen die personenbezogenen Daten innerhalb von 30 Tagen nach Löschung des Kontos, sofern uns kein Gesetz zur Aufbewahrung verpflichtet. Backups werden im normalen Zyklus überschrieben.

Kontrollen: Wir stellen dem Kunden die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Der Kunde darf mit angemessener Vorankündigung selbst prüfen oder durch einen zur Vertraulichkeit verpflichteten Prüfer prüfen lassen, höchstens einmal im Jahr, außer nach einer Datenpanne. Jede Partei trägt ihre eigenen Kosten.

4. Unterauftragsverarbeiter und Übermittlungen

Der Kunde genehmigt allgemein die Unterauftragsverarbeiter aus Anlage 2. Neue oder ersetzte Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher per E-Mail an die Kontoadresse an. Der Kunde kann aus berechtigten Datenschutzgründen widersprechen; findet sich keine Lösung, kann er das Abonnement vor der Änderung beenden. Wir verpflichten jeden Unterauftragsverarbeiter zu denselben Datenschutzpflichten, die dieser Vertrag uns auferlegt, und bleiben für ihn verantwortlich.

Personenbezogene Daten der betroffenen Personen werden in der EU gespeichert. Kann ein Unterauftragsverarbeiter von außerhalb der EU oder des EWR auf Daten zugreifen, ist die Übermittlung durch einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework) oder die EU-Standardvertragsklauseln abgesichert.

5. Datenpannen

Wir informieren den Kunden unverzüglich und innerhalb von 48 Stunden, nachdem wir davon erfahren, über eine Verletzung des Schutzes seiner Daten. Die Meldung nennt, was passiert ist, welche Daten und wie viele Personen voraussichtlich betroffen sind, die wahrscheinlichen Folgen und was wir getan haben oder vorschlagen. Weitere Einzelheiten reichen wir nach, sobald sie bekannt sind.

6. Haftung, Laufzeit und Recht

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Zwischen den Parteien gelten die Haftungsregeln des Waitlisted-Abonnements.

Dieser Vertrag gilt, solange wir personenbezogene Daten für den Kunden verarbeiten. Änderungen bedürfen der Textform (E-Mail genügt). Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.

Es gilt schwedisches Recht; Gerichtsstand ist Malmö, unbeschadet der Rechte der betroffenen Personen nach der DSGVO.

7. Geltung

Dieser Vertrag gilt, sobald der Kunde Waitlisted abonniert oder seine Bedingungen annimmt, ohne gesonderte Unterschrift (Art. 28 Abs. 9 DSGVO erlaubt das elektronische Format). Die aktuelle Fassung steht auf dieser Seite. Wer für seine Unterlagen ein unterschriebenes Exemplar braucht, kann es unter support@waitlisted.me anfordern.

Anlage 1: Technische und organisatorische Maßnahmen

Verschlüsselung: gesamter Datenverkehr über HTTPS (TLS); Daten werden von den Datenbank- und E-Mail-Anbietern verschlüsselt gespeichert.

Zugriff auf Kundendaten: Zeilenbasierte Zugriffsrechte in der Datenbank, sodass jedes Konto nur seine eigenen Wartelisten sieht. Eingeladene Admins sehen nur die eine Warteliste, zu der sie eingeladen wurden, und der Kunde kann sie jederzeit entfernen.

Öffentliche Seiten: Wartelisten-, Status- und Rückmeldeseiten lesen nie direkt aus Tabellen, sondern über feste Datenbankfunktionen, die nur liefern, was die Seite braucht. Statusseiten nutzen lange Zufallslinks.

Schutz vor Missbrauch: Begrenzung der Anfragen auf öffentlichen Formularen (zum Beispiel 300 Rückmeldungen pro Minute je Rückmeldeseite).

Anmeldung: passwortlos per E-Mail-Link und Code oder mit Google oder Apple. Wir speichern keine Passwörter.

Zugriff durch Mitarbeitende: Zugang zur Produktivumgebung nur für die Personen, die den Dienst betreiben, mit persönlichen Konten.

Verfügbarkeit: Hosting auf verwalteter Infrastruktur in der EU mit regelmäßigen Datenbank-Backups.

Datensparsamkeit: Name auf Wartelisten-Seiten optional; keine Analyse oder Verfolgung auf Wartelisten-, Status- und Rückmeldeseiten oder in E-Mails; E-Mail-Verlauf 90 Tage.

Löschung: Kunden können im Dashboard Personen entfernen und Wartelisten schließen, archivieren und löschen; mit der Löschung des Kontos werden die Daten gelöscht (Abschnitt 3).

E-Mail: Jede Nachricht eines Kunden an seine Liste enthält einen Abmeldelink; unzustellbare Adressen und Spam-Meldungen werden gesperrt.

Anlage 2: Unterauftragsverarbeiter

Supabase Inc.: Datenbank und Anmeldung. Daten gespeichert in der Region EU (Irland); Standardvertragsklauseln für einen etwaigen Zugriff aus den USA.

Vercel Inc.: Hosting und Auslieferung der Seiten, über ein Netz in der EU und weltweit. EU-US Data Privacy Framework und Standardvertragsklauseln.

Amazon Web Services EMEA SARL (Amazon Simple Email Service): Versand von E-Mails über Server in der EU.

Cloudflare, Inc. (Turnstile): Prüfung, dass ein Formular auf einer öffentlichen Seite von einem Menschen gesendet wird, anhand von IP-Adresse und Browsermerkmalen der Besucher (nie der Antworten). EU-US Data Privacy Framework und Standardvertragsklauseln.

Resend Inc. (USA): Versand von E-Mails, nur während unseres Wechsels zu Amazon Simple Email Service. EU-US Data Privacy Framework und Standardvertragsklauseln.

Stripe (Zahlungen) und PostHog (Analyse) sind keine Unterauftragsverarbeiter nach diesem Vertrag: Sie erhalten nie Daten über Personen auf den Listen des Kunden.