Vertrag zur Auftragsverarbeitung

Stand: 2026-09-04

Erhebt eine Organisation mit Jackpoll personenbezogene Daten — etwa die Antworten von Umfrage-Teilnehmenden —, ist sie dafür Verantwortliche und die Quavon UG (haftungsbeschränkt) ist Auftragsverarbeiterin. Dieser Vertrag regelt dieses Verhältnis nach Art. 28 Abs. 3 DSGVO. Er gilt für die von uns betriebene Instanz unter app.jackpoll.org und ist Bestandteil der Nutzung; einer gesonderten Unterzeichnung bedarf es nur, wenn der Verantwortliche sie verlangt.

Für eine selbst gehostete Installation gilt er nicht: dort verarbeitet Quavon nichts und ist nicht Auftragsverarbeiterin.

1. Gegenstand, Dauer, Art und Zweck

(1) Gegenstand ist die Bereitstellung der gehosteten Umfrage- und Abstimmungsanwendung Jackpoll. (2) Art und Zweck sind das Erheben, Speichern, Anzeigen, Auswerten, Exportieren, Sichern und Löschen der Daten, die der Verantwortliche und die Teilnehmenden seiner Umfragen erzeugen, sowie der zum Betrieb erforderlichen Metadaten. (3) Die Dauer entspricht der Nutzungsdauer zuzüglich der in Ziffer 10 geregelten Fristen. (4) Die Verarbeitung und Speicherung findet ausschließlich auf Servern in Deutschland statt; die einzige Ausnahme sind die optionalen Push-Dienste nach Ziffer 6.

2. Kategorien betroffener Personen und Daten

Betroffene Personen sind die Teilnehmenden an den Umfragen des Verantwortlichen sowie die Personen, denen er Zugang zu seinem Konto gibt. Die Datenkategorien sind: Konto- und Kontaktdaten der Nutzenden (Name, E-Mail-Adresse, Rolle), die Inhalte der Umfragen einschließlich der vom Verantwortlichen selbst gestellten Fragen, die Antworten der Teilnehmenden einschließlich hochgeladener Dateien, sowie Nutzungs- und Sicherheitsdaten (Sitzungen, IP-Adressen, Protokolleinträge).

Welche Daten eine Umfrage erhebt, bestimmt allein der Verantwortliche. Fragt er besondere Kategorien nach Art. 9 DSGVO ab — etwa Gesundheits- oder Gewerkschaftsdaten —, so ist das seine Entscheidung und seine Rechtsgrundlage; Jackpoll erzwingt sie nicht und kann sie nicht verhindern.

3. Weisungen

(1) Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen der Anwendung — das Anlegen einer Umfrage, das Festlegen einer Aufbewahrungsfrist, ein Export, eine Löschung — stellt eine solche Weisung dar. (2) Weisungen darüber hinaus erfolgen in Textform an contact@quavon.de. (3) Halten wir eine Weisung für rechtswidrig, teilen wir das unverzüglich mit und dürfen die Ausführung bis zur Bestätigung aussetzen.

4. Vertraulichkeit

Wir verpflichten alle zur Verarbeitung befugten Personen auf Vertraulichkeit und unterweisen sie in den Pflichten des Datenschutzrechts. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus fort.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir treffen die nachstehenden Maßnahmen und halten sie während der Nutzung aufrecht. Sie dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der folgenden Unterauftragsverarbeiter: des Anbieters der Server-Infrastruktur in Deutschland, des SMTP-Anbieters für den E-Mail-Versand sowie der Mollie B.V. (Amsterdam, Niederlande) für die Abwicklung freiwilliger Unterstützungszahlungen. Identitätsverwaltung (Keycloak) und Objektspeicher (MinIO/S3) betreiben wir selbst; sie sind keine Dritten.

(2) Push-Benachrichtigungen werden nur zugestellt, wenn die betroffene Person sie auf ihrem Gerät aktiviert. Zugestellt wird über den Browser-Push-Dienst des Geräteherstellers oder den vom Nutzenden selbst gewählten UnifiedPush-Verteiler; nur in der Google-Play-Variante der App kann ersatzweise ein eingebetteter Google-FCM-Verteiler genutzt werden. Die Inhalte sind dabei Ende-zu-Ende verschlüsselt. Eine Übermittlung in ein Drittland kommt allein hier in Betracht und beruht auf dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework, hilfsweise auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

(3) Wir unterrichten den Verantwortlichen mindestens 30 Tage vor der Beauftragung eines weiteren oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen; lässt sich der Widerspruch nicht ausräumen, kann er die Nutzung zum Zeitpunkt der beabsichtigten Änderung beenden. (4) Wir verpflichten jeden Unterauftragsverarbeiter auf Pflichten, die den hier vereinbarten entsprechen, und haften für dessen Verhalten wie für eigenes.

7. Unterstützung des Verantwortlichen

(1) Wir unterstützen den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO. Ein Großteil davon ist in der Anwendung selbst abgebildet: Export, Löschung einzelner Antworten und die Löschung eines Kontos kann der Verantwortliche ohne uns ausführen. Wendet sich eine betroffene Person unmittelbar an uns, verweisen wir sie an den Verantwortlichen und unterrichten diesen unverzüglich. (2) Wir unterstützen bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung. (3) Anfragen beantworten wir innerhalb von zehn Arbeitstagen, dringende unverzüglich.

8. Meldung von Datenschutzverletzungen

(1) Wir unterrichten den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft. (2) Die Meldung beschreibt Art und Umfang der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen; nicht sofort verfügbare Angaben reichen wir nach. (3) Meldungen und Rückfragen laufen über contact@quavon.de.

9. Nachweise und Überprüfungen

(1) Wir stellen dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlich sind, und beantworten einmal je Kalenderjahr einen Fragebogen zur Auftragskontrolle. (2) Weitergehende Überprüfungen erfolgen vorrangig anhand von Dokumentation und schriftlichen Auskünften; eine Überprüfung vor Ort setzt einen konkreten Anlass, eine Ankündigung von 30 Tagen und die Vertraulichkeitsverpflichtung der prüfenden Personen voraus. Der Prüfende darf kein Wettbewerber sein.

(3) Wir halten keine Zertifizierung nach ISO 27001, SOC 2 oder einem vergleichbaren Standard und haben keine externe Sicherheitsprüfung durchlaufen. Diese Feststellung ist Bestandteil der Auskunft. Der Quellcode ist quelloffen und kann eingesehen werden, was eine Prüfung erleichtert, aber keine ersetzt.

10. Löschung und Rückgabe

(1) Der Verantwortliche kann seine Daten jederzeit über die Exportfunktion vollständig herunterladen, auch nach Beendigung der Nutzung, solange sein Konto besteht. (2) Löscht er sein Konto, löschen wir die zugehörigen Daten; Sicherungen werden längstens 30 Tage vorgehalten und laufen danach aus. (3) Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht — insbesondere Rechnungen nach § 147 Abs. 3 AO und § 14b Abs. 1 UStG; sie werden für andere Zwecke gesperrt und nach Fristablauf gelöscht. Auf Verlangen bestätigen wir die Löschung in Textform.

11. Ansprechpartner und Schlussbestimmungen

(1) Ansprechpartner für Datenschutzfragen: contact@quavon.de. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 Abs. 1 BDSG und des Art. 37 Abs. 1 DSGVO liegen nicht vor. Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach. (2) Widersprechen sich dieser Vertrag und die übrigen Bedingungen hinsichtlich der Verarbeitung personenbezogener Daten, geht dieser Vertrag vor. (3) Die Haftung richtet sich nach Art. 82 DSGVO. (4) Es gilt deutsches Recht. Änderungen bedürfen der Textform.