AUFTRAGSVERARBEITUNGSVERTRAG (DPA) — Art. 28 DSGVO

1. BEGRIFFSBESTIMMUNGEN

Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ haben die in Art. 4 DSGVO festgelegte Bedeutung.

2. ROLLEN

Für die über die Plattform verarbeiteten Daten von Salonkunden und -personal legt der Verantwortliche (Salon) die Zwecke und Mittel fest und ist der VERANTWORTLICHE; Primer verarbeitet diese Daten AUSSCHLIESSLICH im Auftrag des Verantwortlichen als AUFTRAGSVERARBEITER. Primer bleibt nur für Daten, die zu eigenen Plattformzwecken verarbeitet werden (Abrechnung des Abonnements, Sicherheit, Betrugsprävention, aggregierte Dienstverbesserung, eigene gesetzliche Pflichten), ein GESONDERTER VERANTWORTLICHER. Dieser Abschnitt gilt vorbehaltlich der in den Abschnitten 16 und 17 ausdrücklich vorgesehenen Ausnahmen, die Verarbeitungen beschreiben, in denen Primer als gemeinsam Verantwortlicher bzw. als Verantwortlicher im eigenen Namen handelt.

3. GEGENSTAND & DAUER [Art. 28(3)]

Gegenstand: die zur Bereitstellung der Primer-Plattform erforderliche Verarbeitung (Buchungen, Kommunikation, Salonverwaltung, KI-Assistent, vom Verantwortlichen initiiertes Marketing). Dauer = die Laufzeit des Hauptvertrags zuzüglich der Löschfrist gemäß Ziffer 11. Der in diesem Abschnitt festgelegte Gegenstand und die dort festgelegte Dauer betreffen die Verarbeitung, die Primer im Auftrag des Verantwortlichen als Auftragsverarbeiter durchführt. Die Abschnitte 16 und 17 beschreiben Verarbeitungen, in denen Primer nicht in dieser Eigenschaft handelt; ihre Dauer ist die in jenen Abschnitten angegebene.

4. ART & ZWECK [Art. 28(3)]

Art: Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung, Auslesen, Abfragen, Verwendung, Übermittlung an Unterauftragsverarbeiter, Offenlegung durch Verbreitung oder eine andere Form der Bereitstellung, soweit der Verantwortliche die Veröffentlichung über die Konfigurationen der Plattform anordnet — insbesondere die öffentliche Website des Verantwortlichen, die Buchungsseiten, die Vorstellung des Teams, die Galerie und der Leistungskatalog sowie die eigenen Inhalte des Verantwortlichen, die im Bewertungsregister veröffentlicht werden —, Einschränkung, Löschen und Vernichtung. Zweck: Verwaltung der Buchungen und der Kundenbeziehung des Salons, Versand von Benachrichtigungen/SMS/E-Mail, Zahlungsabwicklung, Berichterstattung, KI-Assistent-Funktionen, vom Verantwortlichen angewiesene Marketingkampagnen — streng nach den Weisungen des Verantwortlichen.

5. DATENARTEN & KATEGORIEN BETROFFENER PERSONEN [Art. 28(3)]

Betroffene Personen: Salonkunden, Website-Besucher, Salonpersonal/-mitarbeiter. Datenarten: Name, Telefon, E-Mail, Termin- und Leistungshistorie, Präferenzen, Notizen (einschließlich etwaiger freiwillig angegebener Allergie-/Kopfhautdaten — potenziell sensibel, nur auf Initiative des Verantwortlichen verarbeitet), tokenisierte Zahlungsdaten (über Stripe), Nutzungs-/Analysedaten, Werbe-Identifikatoren, sofern der Verantwortliche Marketing aktiviert. Primer fordert keine Daten besonderer Kategorien an; gibt der Verantwortliche solche ein, ist er für die Rechtsgrundlage verantwortlich. Zu den vorstehenden Datenarten treten als veröffentlichte Daten hinzu: der Inhalt der Bewertung, die Note, die vom Verfasser gewählte Art der Verfasserdarstellung, der Tag oder der Monat des Besuchs nach dieser Art, die Bezeichnung der Leistung und der angezeigte Name der Person, die sie erbracht hat, sowie die öffentliche Antwort des Verantwortlichen. Nach Abschnitt 17 bereitgestellte Daten: die interne Kennung der Buchung, deren örtlicher Kalendertag, deren Klasse und deren Status im Zeitpunkt der Versiegelung sowie die fünf in Abschnitt 17 Buchstabe (c) aufgezählten Zulässigkeitselemente; die entsprechenden betroffenen Personen sind die Kunden des Verantwortlichen, die eine Buchung über den Online-Kanal vorgenommen haben.

6. WEISUNGEN DES VERANTWORTLICHEN [Art. 28(3)(a)]

Primer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (einschließlich dieses DPA, des Hauptvertrags und der Konfiguration innerhalb der Plattform), auch bei internationalen Übermittlungen, es sei denn, das Recht der EU/eines Mitgliedstaats schreibt etwas anderes vor — in diesem Fall informiert Primer den Verantwortlichen vorab, sofern dieses Recht dies nicht verbietet. Primer informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO verstößt.

7. VERTRAULICHKEIT [Art. 28(3)(b)]

Primer stellt sicher, dass die zur Verarbeitung der Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, nach dem Grundsatz „Kenntnis nur bei Bedarf“.

8. SICHERHEIT [Art. 28(3)(c) mit Art. 32]

Primer setzt geeignete technische und organisatorische Maßnahmen um, darunter: Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand für sensible Daten; rollenbasierte Zugriffskontrolle und Authentifizierung; mandantenfähige Datenisolierung pro Salon; Tokenisierung von Kartendaten (an Stripe delegiert — Primer speichert keine PAN); Audit-Protokolle für Vorgänge zu Geld/Authentifizierung/Mandantendaten; Backups und Wiederherstellungsfähigkeit; regelmäßige Tests; Trennung der Dev-/Prod-Umgebungen; Verwaltung von Geheimnissen in Azure Key Vault; Ratenbegrenzung an sensiblen Endpunkten.

9. UNTERAUFTRAGSVERARBEITER [Art. 28(2) & 28(3)(d)]

Der Verantwortliche erteilt eine ALLGEMEINE GENEHMIGUNG für die Unterauftragsverarbeiter in Anhang 1. Primer erlegt jedem von ihnen vertraglich Datenschutzpflichten auf, die den im vorliegenden DPA festgelegten gleichwertig sind, und bleibt dem Verantwortlichen gegenüber voll verantwortlich. Primer kündigt mindestens 30 Tage im Voraus an, bevor ein Unterauftragsverarbeiter hinzugefügt/ersetzt wird; der Verantwortliche kann aus berechtigten Datenschutzgründen Einspruch erheben und, wenn keine Lösung gefunden wird, den betroffenen Dienst kündigen.

10. UNTERSTÜTZUNG [Art. 28(3)(e) & (f)]

(e) Primer unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). (f) Primer unterstützt den Verantwortlichen bei der Einhaltung der Art. 32–36: Sicherheit, Meldung von Verletzungen und DSFA/vorherige Konsultation. Verletzung: Primer benachrichtigt den Verantwortlichen OHNE UNGEBÜHRLICHE VERZÖGERUNG (Ziel: innerhalb von 48 Stunden nach Kenntniserlangung) und gibt die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen/Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen an, um die Meldung innerhalb von 72 Stunden gemäß Art. 33 zu ermöglichen.

11. LÖSCHUNG/RÜCKGABE [Art. 28(3)(g)]

Bei Beendigung der Dienste löscht oder gibt Primer nach Wahl des Verantwortlichen innerhalb von 30 Tagen alle personenbezogenen Daten zurück und löscht bestehende Kopien, es sei denn, das Recht der EU/eines Mitgliedstaats schreibt eine Aufbewahrung vor. Backup-Kopien werden im Rotationszyklus überschrieben.

12. AUDIT [Art. 28(3)(h)]

Primer stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 erforderlich sind, und ermöglicht und unterstützt Audits/Inspektionen durch den Verantwortlichen oder einen beauftragten Prüfer, mit angemessener Vorankündigung (mind. 30 Tage), höchstens einmal pro Jahr (oder bei einer bestätigten Verletzung / auf Anfrage der Behörde), während der Geschäftszeiten, ohne unverhältnismäßige Störung und unter Wahrung der Vertraulichkeit. Primer kann diese Pflicht auch durch Bereitstellung einschlägiger Zertifizierungen/Berichte erfüllen.

13. INTERNATIONALE ÜBERMITTLUNGEN

Für jede Übermittlung außerhalb des EWR stützen sich die Parteien auf die EU-Standardvertragsklauseln (SCC) (Beschluss 2021/914), das einschlägige Modul, durch Verweis einbezogen, sowie auf zusätzliche Maßnahmen, soweit erforderlich. Bestimmte Unterauftragsverarbeiter (z. B. Anthropic, Meta, Google) können Daten in den USA auf Grundlage der SCC und/oder des EU-US Data Privacy Framework verarbeiten.

14. HAFTUNG

Die Haftung jeder Partei folgt aus Art. 82 DSGVO. Die Haftungsbeschränkungen des Hauptvertrags gelten für diesen DPA auf aggregierter Basis, ohne die Haftung zu beschränken, die gesetzlich nicht ausgeschlossen werden kann. Jede Partei trägt die ihr zurechenbaren Geldbußen.

15. VORRANG

Im Falle eines Konflikts in Bezug auf den Datenschutz hat dieser DPA Vorrang vor dem Hauptvertrag.

16. GEMEINSAME VERANTWORTLICHKEIT FÜR DIE BEWERTUNGS-EINLADUNGSREGEL [Art. 26 DSGVO]

Abweichend von Abschnitt 2 sind die Parteien für EINEN Verarbeitungsabschnitt — die Regel, die bestimmt, WER nach einem abgeschlossenen Besuch die Einladung zur Bewertung erhält — GEMEINSAM VERANTWORTLICHE im Sinne von Art. 26 DSGVO. Der Grund ist tatsächlicher, nicht formaler Natur: Primer entscheidet einheitlich, plattformweit und pro Land über die Rechtsgrundlage und den eingeladenen Personenkreis (berechtigtes Interesse zuzüglich der Bestandskundenausnahme in den Ländern, deren Umsetzung von Art. 13(2) der Richtlinie 2002/58 geprüft wurde, ansonsten Einwilligung), und der Verantwortliche KANN NICHT davon abweichen — weder erweiternd noch einschränkend. Wer Zwecke und Mittel bestimmt, ist Verantwortlicher, wie immer der Vertrag ihn nennt. DIE VON ART. 26(1) VERLANGTE TRANSPARENTE AUFGABENVERTEILUNG: (a) Primer legt die Einladungsregel, die Häufigkeit (eine Einladung je zulässigem Besuch, eine Sperrfrist und eine Lebenszeitobergrenze) und den Inhalt der Einladung fest und veröffentlicht sie; die Einladung enthält keine Werbung; (b) der Verantwortliche ist der Händler im Sinne der Bestandskundenausnahme (Art. 13 Abs. 2 der Richtlinie 2002/58, in der Umsetzung seines Landes) — er hat die Leistung erbracht, er hat den Kontakt unmittelbar erhoben, und die Einladung ergeht in seinem Namen; (c) der Verantwortliche zeigt den Erhebungshinweis und bietet den Widerspruch im Moment der Kontakterhebung an, auf den von ihm betriebenen Wegen; (d) Primer gewährleistet das Widerspruchsrecht (Art. 21 DSGVO) in jeder Nachricht, in einem Schritt und kostenlos, und beachtet es dauerhaft, ohne dass der Verantwortliche es aufheben könnte; (e) Primer ist für die Information der betroffenen Personen über diese Verarbeitung (Art. 13-14) verantwortlich, über die von Primer veröffentlichte Bewertungs-Einladungsrichtlinie und über das öffentliche Dokument des Registers. DAS WESENTLICHE DIESER VEREINBARUNG WIRD DER BETROFFENEN PERSON nach Art. 26(2) über dieselbe veröffentlichte Richtlinie ZUR VERFÜGUNG GESTELLT. Unabhängig von der Aufgabenverteilung kann die betroffene Person ihre Rechte gegenüber jeder der Parteien geltend machen (Art. 26(3)); die Parteien leiten eingegangene Anfragen unverzüglich aneinander weiter. Für das öffentliche Bewertungsregister selbst — Veröffentlichung, kryptografische Verankerung und die Integritätsgarantie des Korpus — bleibt Primer EIGENSTÄNDIGER VERANTWORTLICHER und nicht gemeinsam Verantwortlicher.

17. DIE TÄGLICHE FESTLEGUNG ÜBER DIE BUCHUNGSMENGE [Art. 28(10) und Art. 6(1)(f) DSGVO]

Abweichend von Abschnitt 2 und in Fortführung des letzten Absatzes von Abschnitt 16 handelt Primer für die nachstehend als „die tägliche Festlegung“ bezeichnete Verarbeitung — die Berechnung eines kryptografischen Fingerabdrucks für jede Buchung der unten bestimmten Buchungsmenge, den Aufbau und die Veröffentlichung einer Tageswurzel über diese Fingerabdrücke, deren Verankerung in der Zeit, die Aufnahme des Kettenkopfes des Verantwortlichen als Blatt der täglichen Netzwurzel der Plattform, die Aufbewahrung des Öffnungsmaterials und die Erteilung von Zugehörigkeitsnachweisen — als VERANTWORTLICHER IM EIGENEN NAMEN und nicht als Auftragsverarbeiter des Verantwortlichen und auch nicht als gemeinsam mit ihm Verantwortlicher. (a) DER GRUND DIESER EINORDNUNG, DER TATSÄCHLICHER UND NICHT FORMALER NATUR IST. Primer bestimmt allein, einheitlich auf Ebene der Plattform und ohne Abweichungsrecht des Verantwortlichen, den Zweck dieser Verarbeitung und deren wesentliche Mittel: die Kategorien von Empfängern, die Art der abgeleiteten Werte, die berechnet und veröffentlicht werden, die Zulässigkeitsregel und ihre Version, die feste Größe des Baumes, die Uhrzeit der Versiegelung und die Dauer der Veröffentlichung. Nach Art. 28 Abs. 10 DSGVO gilt derjenige, der die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher, wie immer der Vertrag ihn nennt. Folglich findet Abschnitt 6 dieser Vereinbarung auf diese Verarbeitung keine Anwendung; die in Buchstabe (j) beschriebene Aktivierung der Funktion durch den Verantwortlichen stellt KEINE dokumentierte Weisung im Sinne von Art. 28 Abs. 3 Buchst. a DSGVO dar, sondern eine Bedingung, an die Primer seine eigene Verarbeitung knüpft. (b) DIE RECHTSGRUNDLAGE. Primer verarbeitet auf der Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Das verfolgte berechtigte Interesse besteht darin, dass die Menge der Buchungen, aus denen Bewertungseinladungen ergehen können, öffentlich festgelegt wird, bevor irgendeine Antwort existiert, damit die Aussage, dass daraus nachträglich nichts ausgewählt wurde, nicht nur behauptet, sondern überprüfbar ist; dieses Interesse ist das von Primer, das des Verantwortlichen und das der Personen, die die Bewertungen lesen. Erwägungsgrund 47 DSGVO erkennt die berechtigten Interessen eines Verantwortlichen als Rechtsgrundlage an, wobei die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen sind. Die Abwägung des berechtigten Interesses, mit der Erforderlichkeitsprüfung und der Interessenabwägung, wird vor der ersten Verarbeitung schriftlich erstellt und dem Verantwortlichen sowie der betroffenen Person auf Anfrage zur Verfügung gestellt. Die Einwilligung wird nicht verwendet: ein bereits verankerter Wert kann nicht zurückgenommen werden, und eine Grundlage, deren Widerruf nicht beachtet werden könnte, wäre schon der Konstruktion nach nicht rechtskonform. (c) WAS VERARBEITET WIRD. Die Menge eines Tages besteht aus den Buchungen des Verantwortlichen, die der Kunde über den Online-Kanal vorgenommen hat, deren örtlicher Kalendertag, bestimmt nach der Zeitzone des Standorts, spätestens dieser Tag ist und die in keine frühere Festlegung des Verantwortlichen eingegangen sind. Stornierte Buchungen, Nichterscheinen und Buchungen, die der Verantwortliche aus seinem eigenen Kalender entfernt hat, gehören zur Menge, mit ihrem festgehaltenen Status, und zwar gerade deshalb, damit die Menge nicht eingeschränkt werden kann, nachdem bekannt geworden ist, was folgt. Die Menge eines Tages hat demgegenüber zwei Kalenderränder, die hier genannt werden, damit das Fehlen einer Buchung in einer Festlegung niemals als Einschränkung gelesen werden kann: sie umfasst nicht die Buchungen, deren Tag vor der ersten veröffentlichten Festlegung des Verantwortlichen liegt, denn eine Festlegung kann nicht rückwirkend für einen Zeitraum getroffen werden, für den sie nicht bestand; und sie umfasst nicht die Buchungen, deren Tag älter ist als das in Buchstabe (h) vorgesehene Aufbewahrungsfenster, gerechnet ab dem versiegelten Tag, denn für jene Tage ist das Öffnungsmaterial bereits vernichtet, und eine in den heutigen Baum zurückgeholte Buchung würde behaupten, die heutige Menge habe einen Besuch von vor mehreren Monaten umfasst. Beide Ränder werden durch den Mechanismus durchgesetzt, in eben der Abfrage, die die Menge bildet, und keiner von ihnen liegt in der Reichweite des Verantwortlichen. Für jede Buchung der Menge wird ein Fingerabdruck von 32 Byte berechnet aus: einem Domänentrenner, der Version der Regel, der Kennung des Verantwortlichen, dem Kalendertag, einer maskierten Kennung der Buchung, die über eine schlüsselbasierte Funktion gewonnen wird, einer gesonderten Festlegung über einen Zulässigkeitsvektor von acht Byte mit fester Breite, sowie einem zufälligen Geheimnis von 32 Byte, das allein diesem Fingerabdruck zugehört. Der Zulässigkeitsvektor hält ausschließlich fest: ob eine Telefonnummer vorhanden ist, ob eine Kommunikationsgrundlage vorhanden ist, ob die Person auf der Sperrliste des Verantwortlichen steht, ob die Lebenszeitobergrenze für Einladungen erreicht ist, ob dieselbe Person bereits eine Bewertung bei dem Verantwortlichen hat, den Status der Buchung im Zeitpunkt der Versiegelung und die Klasse der Buchung. Die Fingerabdrücke werden an zufällig gewählten Positionen in einem Baum fester, an jedem Tag gleicher Größe abgelegt, in dem die verbleibenden Plätze Auffüll-Fingerabdrücke erhalten, die nach derselben Regel berechnet und von den echten nicht unterscheidbar sind. Übersteigen die Buchungen eines Tages die Größe des Baumes, so wird der Überschuss nicht ausgeschlossen, sondern aufgeschoben: jene Buchungen bleiben außerhalb jeder Festlegung und gehen in die Festlegung eines folgenden Tages ein — weshalb die Menge durch „spätestens dieser Tag” und nicht durch „genau dieser Tag” bestimmt wird. Dies ist der dritte und letzte Grund, aus dem eine Buchung in der Festlegung ihres eigenen Tages fehlen kann; die beiden anderen sind die beiden vorstehenden Kalenderränder, und alle drei werden hier gerade deshalb aufgezählt, damit ein Fehlen niemals als Einschränkung gelesen werden kann. (d) WAS ZU DIESEM ZWECK NIEMALS VERARBEITET WIRD. Die Uhrzeit der Buchung oder des Besuchs, die erbrachte Leistung oder deren Kategorie, der Preis, die Person des Personals, die die Leistung erbracht hat, der Standort, jede Kundenkennung und jedes aus einer Kundenkennung abgeleitete Element sowie jedes Element, das eine Bewertung betrifft. Diese Kategorien gehen nicht in den Fingerabdruck ein, gehen nicht in den Vektor ein und werden nicht veröffentlicht. (e) WAS VERÖFFENTLICHT WIRD. Veröffentlicht werden für jeden Kalendertag: der Tag, eine laufende Nummer, die pro Tag um genau eine Einheit steigt, die Version der Regel, die Größe des Baumes, die Tageswurzel, der Fingerabdruck des vorangegangenen Eintrags und der Fingerabdruck des laufenden Eintrags; gesondert der Kettenkopf des Verantwortlichen als Blatt der täglichen Netzwurzel der Plattform sowie deren zeitliche Verankerung. Ein Tag ohne jede Buchung erzeugt einen Eintrag, der sich von dem eines ausgelasteten Tages nicht unterscheidet. Das öffentliche Dokument trägt auch eine Beschreibung dessen, was die Festlegung beweist und was sie nicht beweist. (f) WAS NIEMALS VERÖFFENTLICHT WIRD. Kein Zugehörigkeitsnachweis; kein Geheimnis; keine maskierte Kennung; keine Position eines Fingerabdrucks im Baum; keine Buchungskennung; kein Zeitpunkt, der feiner wäre als der Kalendertag, weder für den Eintrag noch für irgendeines seiner Elemente; und keine Zahl, aus der hervorginge, wie viele Buchungen der Verantwortliche an jenem Tag hatte — die Festlegung enthält der Konstruktion nach keine solche Zahl, und die Größe des Baumes ist ein fester Parameter, auf den jeder Tag durch Auffüllen gebracht wird. (g) DER ZUGEHÖRIGKEITSNACHWEIS. Ein Nachweis, dass sich eine bestimmte Buchung in der Festlegung des Tages befand, wird auf Anfrage erteilt: der betroffenen Person, die die aus jener Buchung hervorgegangene Bewertung hinterlassen hat; einer Aufsichtsbehörde oder einem Gericht, im Rahmen eines Antrags oder eines Verfahrens; und einem beauftragten Prüfer unter Verschwiegenheitspflicht. Der Nachweis wird niemals veröffentlicht und erscheint in keinem öffentlichen Dokument, keinem Export, keiner Schnittstelle für Agenten und keiner Antwort des Assistenten. Der Zulässigkeitsvektor wird auf dem Weg, auf dem die betroffene Person ihren eigenen Nachweis erhält, NIEMALS geöffnet: dort trägt der Nachweis die Festlegung über den Vektor, nicht dessen Inhalt. Der Vektor wird ausschließlich auf ein ausdrückliches und begründetes Verlangen hin geöffnet, das über den Verwaltungs- und Prüfweg gestellt, als solches festgehalten und zusammen mit dem Grund aufgezeichnet wird; standardmäßig ist die Öffnung geschlossen, und ein Verlangen, das keinen Grund nennt, wird zurückgewiesen, bevor der Mechanismus irgendetwas vom Siegel öffnet oder liest: kein Blatt, kein Geheimnis, kein Vektor und kein Nachweis werden vor der Zurückweisung berührt, und eine zurückgewiesene Öffnung erzeugt keinen Nachweis. Die Erteilung des Nachweises ist durch die Frist in Buchstabe (h) begrenzt. Nach dem Aufbewahrungskollaps eines Tages kann nur noch der Zugehörigkeitsnachweis einer Buchung erteilt werden, aus der eine veröffentlichte Bewertung hervorgegangen ist und der vor dem Kollaps berechnet und aufbewahrt wurde. Für jede andere Buchung jenes Tages bleibt nichts mehr zu erteilen — weder auf Verlangen der betroffenen Person noch auf Verlangen einer Aufsichtsbehörde oder eines Gerichts noch auf Verlangen eines Prüfers — denn das Öffnungsmaterial existiert bei Primer nicht mehr. Eine nach Ablauf dieser Frist veröffentlichte Bewertung trägt daher keinerlei Zugehörigkeitsnachweis, und die Antwort sagt dies in eigenen Worten, statt zu behaupten, die Buchung sei nicht versiegelt worden. Primer hält jede Erteilung eines Nachweises fest, an allen Wegen, über die ein Nachweis erteilt wird, ebenso, ob der Vektor bei dieser Erteilung geöffnet wurde, und am Verwaltungs- und Prüfweg zusätzlich den angeführten Grund; ebenso hält Primer das berechtigte Verlangen fest, für das der Mechanismus nichts zu öffnen hatte — weil die Buchung nie versiegelt wurde, weil ihr Material auf Verlangen der betroffenen Person vernichtet wurde oder weil ihr Tag bereits vergessen worden war. Die Aufzeichnung einer Erteilung nennt den Tag, auf den sie sich bezog, nur so lange, wie das Öffnungsmaterial jenes Tages noch besteht, und beim Aufbewahrungskollaps nach Buchstabe (h) wird sie zusammen mit jenem Material vernichtet, in eben dem Vorgang, der es vernichtet; so überlebt keine Aufzeichnung, die einen Tag nennt, das, was jener Tag öffnen konnte. Jede andere Aufzeichnung nennt keinen Tag — das Verlangen, für das nichts geöffnet wurde, und die Erteilung eines Nachweises, der den Tag überlebt hat, aus dem er stammt — und wird 90 Tage nach dem Tag ihrer Niederschrift gelöscht. Die Aufzeichnung kann nachträglich nicht geändert werden, und ihre Löschung ist ausschließlich auf dem Vergessenspfad nach Buchstabe (h) und erst nach Ablauf jener Frist zulässig. Die Aufzeichnung ist keine Folge der Erteilung, sondern deren Bedingung: kann die Aufzeichnung nicht geschrieben werden, so wird der Nachweis nicht erteilt. Das Verlangen erhält dann eine Antwort vorübergehender Nichtverfügbarkeit mit der Einladung, wiederzukommen, und es wird ihm nichts übergeben. Die Regel ist so geschrieben, weil sonst das Versprechen des ersten Satzes nur dann wahr wäre, wenn die Plattform nicht ausgelastet ist, und ein nur manchmal wahres Versprechen nicht das Versprechen ist, das hier unterzeichnet wird. Das Verlangen, das Primer zurückweist, wird nirgends festgehalten, an keinem der Wege, und zwar nicht aus Versehen. Drei Gründe, jeder für sich tragend: an dem Weg, auf dem die betroffene Person ihren eigenen Nachweis erhält, erhält jeder nicht berechtigte Anfragende eine gleichlautende Antwort, die nicht offenbart, ob die verlangte Bewertung existiert, und eine auf eine namentlich benannte Bewertung geschriebene Zeile würde genau die Frage beantworten, die jene Antwort verweigert; die Zeile würde eine Person speichern, die nach der Annahme der Zurückweisung nicht die Verfasserin der Bewertung ist, die die Zeile nennt, was eine Verarbeitung ohne Erforderlichkeit wäre, entgegen Art. 5 Abs. 1 Buchst. c DSGVO; und es wäre ein unbegrenzter Schreibvorgang, ausgelöst von einem nicht authentifizierten Anfragenden. (h) DIE AUFBEWAHRUNG. Die Tageswurzel, die Fingerabdrücke der Einträge und deren Kette bleiben auf unbestimmte Zeit veröffentlicht und verankert: sie sind ein Register, dem nur hinzugefügt werden kann und dessen zeitliche Verankerung von keiner der Parteien zurückgenommen werden kann. Das Öffnungsmaterial — das Geheimnis des Fingerabdrucks, das Geheimnis des Vektors, der Vektor, die maskierte Kennung und die Verknüpfung mit der Buchung — wird gesondert von dem veröffentlichten Artefakt und unter eigenen technischen und organisatorischen Maßnahmen im Sinne von Art. 4 Nr. 5 DSGVO aufbewahrt, der verlangt, dass die zusätzlichen Informationen „gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“; die Trennung bemisst sich gegenüber dem veröffentlichten Artefakt, in dem das Öffnungsmaterial in keiner Form erscheint. Das Material wird nur so lange aufbewahrt, wie es dem Zweck in Buchstabe (b) dient, und die Fristen sind die folgenden. Für eine Buchung, aus der keine veröffentlichte Bewertung hervorgegangen ist: höchstens 90 Tage ab der Veröffentlichung der Festlegung des Tages, zu dem sie gehört. Mit Ablauf dieser Frist vernichtet ein täglich laufender automatischer Mechanismus — für den ganzen Tag auf einmal und in einem einzigen Vorgang, der entweder zur Gänze gelingt oder überhaupt keine Wirkung entfaltet — die Fingerabdruckzeile jeder solchen Buchung mit allem, was sie trägt: den Wert des Fingerabdrucks, seine Position, das Geheimnis des Fingerabdrucks, das Geheimnis des Vektors, den Vektor, die maskierte Kennung und die Verknüpfung mit der Buchung, sowie den Startwert, aus dem die Auffüll-Fingerabdrücke jenes Tages abgeleitet wurden. Von diesem Zeitpunkt an kann die Menge jenes Tages von niemandem mehr zusammengesetzt, geöffnet oder gezählt werden, Primer eingeschlossen. Für eine Buchung, aus der eine veröffentlichte Bewertung hervorgegangen ist: bis diese Bewertung nicht mehr veröffentlicht ist. Vor der oben beschriebenen Vernichtung wird die Folge von Fingerabdrücken, die den Fingerabdruck jener Buchung mit der Wurzel des Tages verbindet, berechnet und aufbewahrt, damit der Nachweis nach Buchstabe (g) den Kollaps überdauert, ohne dass sonst irgendetwas von jenem Tag zu diesem Zweck aufbewahrt würde. Die Frist von 90 Tagen ist eine Regel des Mechanismus und keine Frist zur Inbetriebnahme, und sie ist auch in der Datenbank als solche geschrieben: diese verweigert die Vernichtung eines Fingerabdrucks, dessen Tag sich noch im Fenster befindet, verweigert die Vernichtung eines Fingerabdrucks, den eine veröffentlichte Bewertung benennt, und verweigert jede derartige Vernichtung außerhalb des Vorgangs, der sie ausführt. Die Buchung selbst, die Primer auf ihrer eigenen Grundlage und mit ihrer eigenen Frist aufbewahrt, wird von diesem Vorgang nicht berührt. Der Fingerabdruck, der nach einer von der betroffenen Person verlangten Vernichtung verbleibt, tritt in die in Buchstabe (i) beschriebene Lage ein. (i) DIE LÖSCHUNG (Art. 17 DSGVO) — ERFÜLLUNG, KEINE ABWEICHUNG. Auf begründetes Verlangen einer betroffenen Person vernichtet Primer das Geheimnis des Fingerabdrucks, das Geheimnis des Vektors, den Inhalt des Vektors, die maskierte Kennung und die Verknüpfung zwischen dem Fingerabdruck und der Buchung und hält den Zeitpunkt der Vernichtung fest; die Vernichtung ist unumkehrbar und wird von der Datenbank verweigert, wenn sie nicht im Ganzen und auf einmal erfolgt. Damit entfällt der gesamte personenbezogene Inhalt, der dem Fingerabdruck eigen ist. Der Fingerabdruck einer Person und seine Position im Baum wurden NIEMALS veröffentlicht und werden nicht veröffentlicht: nach den Buchstaben (e) und (f) bleibt allein das veröffentlicht, was dort aufgezählt ist, nämlich die verankerte Tageswurzel, die den Fingerabdruck festlegt, ohne ihn preiszugeben. In den internen Aufzeichnungen von Primer verbleiben der Wert des Fingerabdrucks und seine Position, und sie verbleiben aus einem Grund, der andere Personen betrifft: ohne sie kann die Wurzel des Tages nicht mehr zusammengesetzt werden, und jede andere Person aus der Menge jenes Tages verliert ihren Nachweis. Hinsichtlich dieser beiden Elemente ist der Grund des Art. 17 Abs. 1 Buchst. a nicht erfüllt, solange sie für den Zweck in Buchstabe (b) erforderlich bleiben; und stützt sich das Verlangen auf einen Widerspruch nach Art. 21 Abs. 1, so sind auch die vorrangigen berechtigten Gründe im Sinne von Art. 17 Abs. 1 Buchst. c auf diese beiden Elemente begrenzt: die Unmöglichkeit, einen bereits verankerten Wert zurückzunehmen, und das Recht der übrigen Personen derselben Menge, ihren Nachweis zu behalten. Diese Erforderlichkeit hat ein kurzes, festes und geschriebenes Ende: bei einer Buchung, aus der keine veröffentlichte Bewertung hervorgegangen ist, überdauern der Wert des Fingerabdrucks und seine Position den Aufbewahrungskollaps nach Buchstabe (h) nicht — die Zeile wird im Ganzen gelöscht, spätestens 90 Tage nach dem versiegelten Tag, sodass der Rückstand für alle verschwindet, Primer eingeschlossen, ohne dass irgendein Verlangen gestellt werden müsste. Es bleibt allein die Wurzel des Tages, die eine Menge festlegt, die niemand mehr öffnen kann. Bei einer Buchung, aus der eine veröffentlichte Bewertung hervorgegangen ist, wird der Rückstand so lange aufbewahrt, wie jene Bewertung veröffentlicht ist, und der Grund ist der oben genannte: ohne ihn können der Nachweis jener Bewertung und die Nachweise der übrigen Bewertungen desselben Tages nicht mehr überprüft werden. Diese Beschränkung wird der Person mit ihren Gründen nach Art. 12 Abs. 4 DSGVO mitgeteilt; dem übrigen Verlangen wird uneingeschränkt entsprochen. Dies ist die Erfüllung des Rechts auf Löschung und keine Abweichung von ihm: Art. 4 Nr. 2 DSGVO zählt die Vernichtung zu den Verarbeitungsvorgängen, und Art. 17 verlangt, dass die Daten der Person nicht mehr zugeordnet werden können, nicht dass ein bestimmtes Byte aus einem öffentlichen Artefakt verschwindet. Gegenüber jedem anderen als Primer ist der in der veröffentlichten Wurzel festgelegte Fingerabdruck nicht zuordenbar: sein Urbild enthält 32 Byte kryptografisch erzeugter Entropie, die vernichtet wurden, und deren Rekonstruktion ist kein Mittel, das nach allgemeinem Ermessen wahrscheinlich von irgendjemandem genutzt wird, im Sinne des Erwägungsgrundes 26. Gegenüber Primer fügt das Verbleibende dem nichts hinzu, was die Buchung, die Primer ohnehin auf ihrer eigenen Grundlage und mit ihrer eigenen Frist aufbewahrt, bereits sagt: aus der in Buchstabe (c) veröffentlichten Regel folgt, dass jede Online-Buchung eines Tages Teil der Festlegung jenes Tages ist, was sich unmittelbar aus der Buchungsaufzeichnung lesen lässt, ohne jeden Fingerabdruck; mit dem Ende der Aufbewahrungsfrist der Buchung endet auch dieser Weg. Solange das Artefakt veröffentlicht bleibt, erhält Primer die Maßnahmen aufrecht, von denen die vorstehende Schlussfolgerung abhängt: die Fingerabdruckfunktion bleibt ungebrochen, und bei ihrer Schwächung wird eine neue Version der Regel ausgegeben, ohne die früheren neu zu schreiben; die Geheimnisse verlassen die Plattform nur in den Nachweisen nach Buchstabe (g); die Geheimnisse werden von einem kryptografischen Generator erzeugt und niemals aus einem Element der Person; und Primer verpflichtet sich, den Überschreibungszyklus der Sicherungskopien der Geheimnisse unterhalb der Frist für die Beantwortung eines Löschverlangens zu halten, ihn vor der ersten Versiegelung zu messen und ihn mindestens jährlich zu überprüfen. Das in Buchstabe (o) vorgesehene Widerspruchsrecht bleibt gesondert verfügbar und wirkt auf die Zukunft. (j) DIE AKTIVIERUNG, DIE ABSCHALTUNG UND DIE GRENZEN DES VERANTWORTLICHEN. Die Festlegung wird für den Verantwortlichen nur berechnet, wenn kumulativ erfüllt ist: das Bewertungsmodul ist vom Verantwortlichen eingeschaltet; der Verantwortliche hat diese Fassung der Vereinbarung oder eine spätere unterzeichnet; und die Plattform hält den Schlüssel, mit dem versiegelt wird — fehlt dieser, wird für keinen Verantwortlichen irgendein Fingerabdruck berechnet. Der Verantwortliche kann das Modul jederzeit abschalten, mit sofortiger Wirkung für die folgenden Tage. Der Verantwortliche KANN eine bereits veröffentlichte Festlegung NICHT ändern, zurücknehmen oder umordnen, kann keine Buchung aus einer bereits versiegelten Menge entfernen, kann keine hinzufügen und kann die Neuberechnung einer Wurzel nicht verlangen. Diese Grenzen sind kein Verhaltensversprechen, sondern werden vom Mechanismus selbst durchgesetzt: die Datenbank verweigert gegenüber jedermann die Änderung irgendeines der veröffentlichten Werte eines Eintrags — des Tages, der laufenden Nummer, der Version der Regel, der Größe des Baumes, der Wurzel, des Fingerabdrucks des vorangegangenen Eintrags und des Fingerabdrucks des laufenden Eintrags —, verweigert die Löschung eines Eintrags, verweigert die Leerung des Registers und verweigert jeden fehlenden Tag in der Kette. Die einzigen zulässigen späteren Schreibvorgänge sind die von Primer, sie sind abschließend aufgezählt, und keiner von ihnen berührt einen veröffentlichten Wert: die Eintragung der Zeitstempelung nach Buchstabe (l) zusammen mit der Verknüpfung zu der täglichen Netzwurzel, in die der Kettenkopf eingegangen ist — ein einziger Vorgang, je einmal für jeden Eintrag — und der Aufbewahrungskollaps nach Buchstabe (h), der den Auffüll-Startwert vernichtet und den Zeitpunkt festhält, ein einziges Mal. Nach jedem von beiden sind die veröffentlichten Bytes des Tages mit den vorherigen identisch. Die Abschaltung des Moduls nimmt die bereits veröffentlichten Festlegungen nicht zurück. (k) DIE BEREITSTELLUNG DER DATEN DURCH DEN VERANTWORTLICHEN. Mit der in Buchstabe (j) vorgesehenen Aktivierung stellt der Verantwortliche Primer, in dessen Eigenschaft als Verantwortlicher im eigenen Namen, die in Abschnitt 5 unter der Überschrift „nach Abschnitt 17 bereitgestellte Daten“ aufgeführten Daten bereit; der Verantwortliche steht dafür ein, dass für diese Bereitstellung eine eigene Grundlage besteht, die, mangels einer anderen schriftlich mitgeteilten Wahl, die des Art. 6 Abs. 1 Buchst. f DSGVO ist. Primer veröffentlicht in allen Sprachen der Plattform einen Musterabsatz, der die tägliche Festlegung beschreibt und auf die von Primer veröffentlichte Richtlinie verweist. Soweit der Verantwortliche eine eigene Information seiner Kunden nach Art. 13 DSGVO unterhält, nimmt er jenen Absatz darin auf, bei der ersten Aktualisierung dieser Information und spätestens innerhalb von 90 Tagen ab dem Datum des Inkrafttretens dieser Fassung. Die Information der betroffenen Personen über die Verarbeitung nach diesem Abschnitt bleibt Sache von Primer, das sie über seine veröffentlichte Richtlinie und über das öffentliche Dokument des Registers leistet. Der Verantwortliche leitet an Primer unverzüglich jedes von einer betroffenen Person erhaltene Verlangen weiter, das die tägliche Festlegung betrifft, und Primer leitet dem Verantwortlichen unter denselben Bedingungen die bei ihm eingehenden Verlangen weiter, die die Daten des Verantwortlichen betreffen. (l) DIE ZEITSTEMPELUNG. Die tägliche Netzwurzel der Plattform wird als ein einziger Wert von 32 Byte an ein öffentliches Zeitstempelnetz gesandt, damit später bewiesen werden kann, dass der Wert in jenem Zeitpunkt bestand. Dieser Wert ist das Ergebnis von mindestens dreizehn aufeinanderfolgenden Ebenen der Fingerabdruckbildung oberhalb des Fingerabdrucks jeder beliebigen Buchung und wird von nichts anderem begleitet; er bezieht sich für die Betreiber jenes Netzes nicht auf eine identifizierte oder identifizierbare natürliche Person, da diese die für eine Zuordnung erforderlichen zusätzlichen Informationen weder besitzen noch erlangen können. Folglich ist das Zeitstempelnetz ein ERKLÄRTER TECHNISCHER EMPFÄNGER dieses Wertes und kein Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 und 4 DSGVO, und es wird nicht in Anhang 1 aufgeführt. Primer erklärt dies in seinen öffentlichen Dokumenten. (m) DAS VERHÄLTNIS ZU ABSCHNITT 16. Die Regel, dass die Bewertungseinladung für eine Online-Buchung erst nach der Veröffentlichung der Festlegung des Tages jener Buchung versandt wird, ist ein Element der Einladungsregel, die Abschnitt 16 Buchstabe (a) bereits Primer zur Festlegung und Veröffentlichung zuweist und die Abschnitt 16 Buchstabe (e) hinsichtlich der Information der betroffenen Personen abdeckt. Dieser Abschnitt erweitert den Anwendungsbereich von Abschnitt 16 nicht und begründet für den Verantwortlichen keine zusätzlichen Pflichten hinsichtlich der Einladung. (n) KEINE BERÜHRUNG DER ÜBRIGEN KLAUSELN. Dieser Abschnitt ändert die Pflichten von Primer als Auftragsverarbeiter für die übrigen Verarbeitungen nicht und schmälert die Rechte des Verantwortlichen aus den Abschnitten 11 und 12 nicht, die weiterhin uneingeschränkt für die von Primer im Auftrag des Verantwortlichen durchgeführten Verarbeitungen gelten. (o) DER WIDERSPRUCH (Art. 21 Abs. 1 DSGVO). Die betroffene Person kann jederzeit aus Gründen, die sich aus ihrer besonderen Situation ergeben, der Aufnahme ihrer Buchungen in die täglichen Festlegungen widersprechen. Primer beachtet den Widerspruch, ohne vorrangige berechtigte Gründe geltend zu machen: ab dem Zeitpunkt seiner Erfassung geht keine spätere Buchung jener Person — bei dem Verantwortlichen oder bei irgendeinem anderen Verantwortlichen, der die Plattform nutzt — mehr in die Menge nach Buchstabe (c) ein, und das Öffnungsmaterial der bereits versiegelten Buchungen jener Person, bei irgendeinem dieser Verantwortlichen, wird nach Buchstabe (i) vernichtet. Diese Reichweite ist keine Höflichkeitsentscheidung, sondern die Folge der Einordnung in Buchstabe (a): der Widerspruch betrifft die von Primer im eigenen Namen durchgeführte Verarbeitung und nicht die Geschäftsbeziehung zu einem bestimmten Verantwortlichen, sodass er auf Ebene der Plattform erfasst wird und überall dort wirkt, wo jene Person Buchungen hat. Der Verantwortliche nimmt diese Wirkung durch die vorliegende Klausel zur Kenntnis: ein Widerspruch, der von einer Person erfasst wird, die zugleich Kundin eines anderen Verantwortlichen der Plattform ist, nimmt jene Person auch aus den Mengen des Verantwortlichen heraus. Umgekehrt kann der Verantwortliche einen Widerspruch weder erfassen noch aufheben noch einsehen, und es wird ihm zu diesem Zweck kein Weg eröffnet — ein Verantwortlicher, der seine eigenen Kunden aus der Menge heraus markieren könnte, hielte genau den Filter in Händen, den die Festlegung auszuschließen bestimmt ist, unter einem Namen des Datenschutzes. Die Tatsache eines Widerspruchs wird dem Verantwortlichen nicht mitgeteilt: der Status, den er für eine solche Buchung sieht, ist die Bezeichnung, die mehreren Sachverhalten ohne Bezug zu einem Widerspruch gemeinsam ist, und ein gesonderter Grund wird ihm nicht gezeigt. Die einzigen Elemente, auf die der Widerspruch nicht wirkt, sind der bereits in einer veröffentlichten und verankerten Wurzel festgelegte Fingerabdruckwert und dessen Position, aus den in Buchstabe (i) genannten Gründen; diese Gründe werden der Person mit ihrer Begründung mitgeteilt. Bereits veröffentlichte Festlegungen werden nicht zurückgenommen. Der Widerspruch kann über jeden der Kanäle ausgeübt werden, über die Primer Verlangen betroffener Personen entgegennimmt, auch mittels automatisierter Verfahren nach Art. 21 Abs. 5 DSGVO. Nach Art. 21 Abs. 4 DSGVO weist Primer die betroffene Person ausdrücklich und getrennt von allen anderen Informationen auf dieses Recht hin, spätestens im Zeitpunkt der ersten Mitteilung, die es an sie zur Verarbeitung nach diesem Abschnitt richtet; die veröffentlichte Richtlinie tritt nicht an die Stelle dieses Hinweises, sondern begleitet ihn. Primer beantwortet einen Widerspruch innerhalb der Frist des Art. 12 Abs. 3 DSGVO.

Anlage 1 — Unterauftragsverarbeiter