§ 5 Unterauftragsverarbeiter

(1) Der Artist erteilt tatme die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die in Anlage 3 genannten Unternehmen sind bei Vertragsschluss eingesetzt und genehmigt.

(2) tatme informiert den Artist mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters per E-Mail oder in der App.

(3) Der Artist kann der Änderung bis zum Ablauf dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, kann der Artist sein Konto bzw. die betroffenen Leistungen ohne Einhaltung einer Frist kündigen. Bereits gezahlte Entgelte für Zeiträume nach Wirksamwerden der Kündigung erstattet tatme anteilig. Ohne fristgerechten Widerspruch gilt die Änderung als genehmigt.

(4) In Notfällen, zum Beispiel bei Sicherheitsvorfällen oder dem Ausfall eines Anbieters, kann tatme einen Unterauftragsverarbeiter ohne Vorlauf ersetzen. Die Information folgt dann unverzüglich. Das Widerspruchsrecht nach Abs. 3 bleibt bestehen.

(5) tatme verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO). tatme haftet für ihn wie für eigenes Handeln.

§ 6 Verarbeitungsort und Drittländer

(1) Die Datenbank und der Dateispeicher liegen in der EU (Supabase, Region Frankfurt am Main). Die Server-Funktionen laufen in Frankfurt am Main (Vercel, Region fra1). Einzelne Dienste verarbeiten Daten auch außerhalb der EU, insbesondere die KI-Funktionen über Google Gemini (ohne Festlegung des Verarbeitungsorts), die SMS-Verifizierung über Twilio Verify und Push-Benachrichtigungen über OneSignal (jeweils USA). Einzelheiten stehen in Anlage 3.

(2) Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (etwa einer Zertifizierung des Empfängers unter dem EU-U.S. Data Privacy Framework) oder von EU-Standardvertragsklauseln.

§ 6a Meta Pixel und Conversions API

(1) Meta Pixel und Meta Conversions API sind eine Zusatzleistung, die tatme auf Wunsch des Artists für seine Artist-Seite aktiviert. Ohne Aktivierung werden keine Daten an Meta übermittelt.

(2) Die Erhebung auf der Buchungsseite und die Übermittlung an Meta Platforms Ireland Limited erfolgen in eigener Verantwortung von tatme, gemeinsam mit Meta (Art. 26 DSGVO), auf Grundlage der Nutzungsbedingungen von Meta für Business-Tools einschließlich des Controller Addendum von Meta. Sie erfolgen nur, wenn die Kundin bzw. der Kunde zuvor eingewilligt hat. Insoweit gilt dieser Vertrag nicht.

(3) Der Artist erhält aus dieser Funktion nur zusammengefasste Auswertungen bzw. Kampagnenergebnisse.

(4) Gehören das verwendete Pixel oder das Werbekonto dem Artist, ist der Artist für die Verarbeitung in seinem eigenen Werbekonto selbst verantwortlich.

(5) Meta ist kein Unterauftragsverarbeiter von tatme und ist nicht in Anlage 3 aufgeführt.

(6) Der Artist kann die Funktion jederzeit in Textform an info@tatme.com abbestellen. tatme deaktiviert sie dann unverzüglich.

§ 7 Nachweise und Kontrollen

(1) tatme weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch Anlage 2, Selbstauskünfte und, soweit vorhanden, Zertifikate oder Prüfberichte der Unterauftragsverarbeiter.

(2) Kontrollen vor Ort sind nach rechtzeitiger Anmeldung (mindestens 4 Wochen), während der Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal im Kalenderjahr möglich, es sei denn, es besteht ein konkreter Anlass. Die Kontrolle führt der Artist selbst oder eine zur Verschwiegenheit verpflichtete prüfende Person durch, die nicht im Wettbewerb mit tatme steht. Jede Partei trägt ihre eigenen Kosten.

§ 8 Pflichten des Artists

(1) Der Artist ist für die Zulässigkeit der Verarbeitung gegenüber seinen Kundinnen und Kunden verantwortlich, insbesondere für

• die Rechtsgrundlage der Verarbeitung,
• die ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO),
• die Information der Kundinnen und Kunden nach Art. 13 und 14 DSGVO (tatme stellt dafür eine Vorlage bereit, die der Artist prüft und ergänzt),
• Einwilligungen in Werbung, zum Beispiel für Geburtstags-Mails und Bewertungs-SMS,
• die Einhaltung seiner eigenen Aufbewahrungspflichten.

(2) Der Artist informiert tatme unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 9 Rückgabe und Löschung nach Vertragsende

(1) Der Artist kann seine Daten jederzeit über die Plattform herunterladen, im Plan Free auch nach Erreichen der Session-Grenze. Zur Verfügung stehen Einzel-Downloads:

• Einverständniserklärungen als PDF-Datei je Formular,
• Termine als Kalenderdatei (ICS),
• Referenzbilder einzeln als Bilddatei.

(2) Auf Verlangen des Artists unterstützt tatme ihn bei der Rückgabe der Auftragsdaten nach Vertragsende innerhalb von 30 Tagen nach Eingang der Anforderung, zum Beispiel durch Bereitstellung der Daten in einem gängigen Dateiformat.

(3) Verlangt der Artist die Löschung seines Kontos oder einzelner Auftragsdaten oder endet der Vertrag, löscht tatme die betroffenen Auftragsdaten einschließlich der gespeicherten Dateien und der Kontaktdaten von Kundinnen und Kunden spätestens 30 Tage nach Eingang der Löschweisung bzw. nach Vertragsende. Die Löschung des Kontos erfolgt auf Antrag des Artists (formlos an info@tatme.com) in einem dokumentierten Verfahren nach Freigabe durch die Geschäftsführung und wird protokolliert. Die Kündigung eines Abonnements ist keine Löschweisung; das Konto wird dann im Plan Free mit allen Daten fortgeführt. Dateien, die sich technisch keinem Konto mehr zuordnen lassen, löscht tatme in gesonderten Bereinigungsläufen. Datensicherungen werden im Rahmen der regulären Rotation des Hosting-Anbieters überschrieben.

(4) Von der Löschung nach Abs. 3 ausgenommen sind a) unterschriebene oder widerrufene Einverständniserklärungen samt Nachweisdaten, die der Artist selbst aufbewahren muss; tatme speichert sie im Auftrag des Artists gesperrt weiter, zusammen mit den für Zuordnung und Herausgabe nötigen Angaben zum Artist (Kennung, Name, E-Mail-Adresse), bis der Artist sie abgerufen hat und ihre Löschung verlangt, längstens 10 Jahre nach der Unterzeichnung, b) Dokumente im persönlichen Konto von Kundinnen und Kunden nach § 2 Abs. 1 b, soweit sie diesem Konto über die Kontaktdaten zugeordnet sind, c) Daten, für die tatme eine eigene gesetzliche Aufbewahrungspflicht hat, d) das unveränderliche Änderungsprotokoll zu Einverständniserklärungen (Zeitpunkt, Statuswechsel, IP-Adresse und Browserkennung), auch zu nicht unterschriebenen Erklärungen; tatme bewahrt es zum Nachweis der Unversehrtheit der Erklärungen gesperrt auf, längstens 10 Jahre nach dem jeweiligen Eintrag. Der Artist sollte Einverständniserklärungen vor der Löschung seines Kontos herunterladen (Abs. 1).

§ 10 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen Artist und tatme gelten im Übrigen die Haftungsregeln der AGB.

§ 11 Schlussbestimmungen

(1) Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem der Artist bei der Registrierung, beim Abschluss eines Abos oder bei der erstmaligen Bestätigung in der App zustimmt. tatme stellt die jeweils gültige Fassung auf tatme.com zum Abruf bereit.

(2) Änderungen dieses Vertrags kündigt tatme mindestens 30 Tage vorher in Textform an. Für Unterauftragsverarbeiter gilt § 5.

(3) Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleiben die übrigen Bestimmungen wirksam.

Anlage 1: Gegenstand, Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Zweck: Bereitstellung der Plattform für die Organisation des Tattoo-Studios des Artists. Dazu gehören: