nach Art. 28 DSGVO

zwischen der Mandantin als Verantwortlicher und der Tapcoat GmbH als Auftragsverarbeiterin

Tapcoat GmbH
Hanauer Landstraße 204
60314 Frankfurt am Main
HRB 141281, Amtsgericht Frankfurt am Main
Vertreten durch: Tim Hoh, Lutz Bischoff (Geschäftsführung)
Stand: Mai 2026

Dieser AVV gilt mit Akzeptanz im Dashboard durch eine vertretungsberechtigte Person der Verantwortlichen. Die Anlagen 1 (TOM) und 2 (Empfänger personenbezogener Daten) sind Bestandteil dieses Vertrags.

Präambel

Tapcoat stellt der Verantwortlichen eine cloudbasierte Garderoben-Software auf Basis der zwischen den Parteien geltenden AGB (abrufbar unter tapcoat.com/agb) zur Verfügung („Hauptvertrag“). Im Rahmen der Nutzung verarbeitet Tapcoat personenbezogene Daten im Auftrag der Verantwortlichen. Dieser AVV konkretisiert die datenschutzrechtlichen Verpflichtungen nach Art. 28 DSGVO.

§ 1 Gegenstand, Dauer und Beendigung

(1) Gegenstand der Verarbeitung ist die Bereitstellung der Tapcoat-Plattform zur digitalen Verwaltung von Garderobenprozessen einschließlich aller damit verbundenen Funktionen (Check-in, Wallet-Pass, Zahlungsfunktionen, Reporting, Push-Benachrichtigungen, Branding etc.).

(2) Dauer: Dieser AVV gilt für die Dauer des Hauptvertrags und endet automatisch mit dessen Beendigung.

(3) Nach Beendigung gelten die Regelungen zu Datenpflichten aus § 11.

§ 2 Art und Zweck der Verarbeitung

(1) Art: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Abfragen, Verwenden, Offenlegen, Bereitstellen, Übermitteln, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten — jeweils ausschließlich auf Weisung der Verantwortlichen.

(2) Zweck: Bereitstellung und Betrieb der Garderoben-Software, insbesondere:

Erfassung und Zuordnung von Garderobenstücken zu Hängeplatz
Ausstellung digitaler Garderobenpässe (Apple Wallet, Google Wallet)
Identifikation von Gästen über QR-Codes, NFC-Identifier, externe Tickets oder Namensliste
Abwicklung von Zahlungsvorgängen (optional, über Frisbii)
Versand von Push-Benachrichtigungen und Remarketing-Nachrichten (optional)
Reporting und Auswertungen für die Verantwortliche

§ 3 Kategorien personenbezogener Daten

(1) Daten der Mitarbeitenden der Verantwortlichen (Manager, User):

Name, E-Mail-Adresse, Telefonnummer (optional)
Account-Daten (Passwort als bcrypt-Hash, Login-Zeiten, IP-Adresse, Gerätedaten)
Rolle, Berechtigungen, zugewiesene Events
Aktivitätsprotokolle (Audit-Log)

(2) Daten der Endkund:innen (Gäste der Verantwortlichen):

Identifikationsmerkmale (Wallet-Pass-ID, QR-Code, NFC-Tag, externe Ticket-ID)
Optional: Name, Sitzplatz, E-Mail-Adresse, Telefonnummer (sofern von der Verantwortlichen erhoben)
Garderobenstück-Daten (Hängeplatz, Annahmezeit, Abholzeit, Item-Typ, optional Foto)
Bei kostenpflichtiger Garderobe: verschlüsselte Zahlungs-Token (via Frisbii), Transaktionsstatus, Betrag, Zeitstempel
Push-Notification-Tokens (sofern aktiviert)
Geräte- und Browser-Daten der Endkunden-Landingpage (IP-Adresse, User Agent)

(3) Besondere Datenkategorien (Art. 9 DSGVO) werden nicht planmäßig verarbeitet. Möchte die Verantwortliche solche einbringen, bedarf dies einer gesonderten schriftlichen Vereinbarung.

§ 4 Kategorien betroffener Personen

Mitarbeitende der Verantwortlichen (Manager:innen, User:innen, Garderobenpersonal)
Endkund:innen (Gäste, die Garderobenleistungen an Standorten der Verantwortlichen in Anspruch nehmen)
Ggf. Ansprechpartner:innen Dritter (z. B. bei Lost & Found)

§ 5 Pflichten der Auftragsverarbeiterin (Tapcoat)

(1) Weisungsbindung: Tapcoat verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen. Weisungen ergeben sich aus diesem AVV, dem Hauptvertrag und der Nutzung der Software (Konfigurationsweisungen). Zusätzliche Weisungen müssen in Textform erfolgen (E-Mail genügt).

(2) Information bei unzulässiger Weisung: Hält Tapcoat eine Weisung der Verantwortlichen für rechtswidrig, informiert Tapcoat die Verantwortliche unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

(3) Vertraulichkeit: Tapcoat stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(4) Sicherheit (Art. 32 DSGVO): Tapcoat trifft angemessene technische und organisatorische Maßnahmen gemäß Anlage 1 (TOM).

(5) Unterauftragsverarbeiter: Tapcoat darf Unterauftragsverarbeiter einsetzen gemäß § 7 und Anlage 2.

(6) Unterstützung: Tapcoat unterstützt die Verantwortliche bei Anfragen betroffener Personen (Art. 12–22 DSGVO), Datensicherheit (Art. 32), Datenpannen (Art. 33–34) und Datenschutz-Folgenabschätzungen (Art. 35–36). Leistungen über den vertraglichen Funktionsumfang hinaus können gesondert vergütungspflichtig sein.

(7) Meldung von Datenpannen: Tapcoat informiert die Verantwortliche unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, über Datenschutzverletzungen und stellt alle Informationen bereit, die die Verantwortliche für ihre Meldepflicht nach Art. 33 DSGVO benötigt.

(8) Datenpflichten: Tapcoat handelt nach Vertragsende gemäß § 11.

(9) Nachweispflichten: Tapcoat stellt alle zum Nachweis nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Audits gemäß § 9.

(10) Datenschutzbeauftragter: Tapcoat hat aktuell keinen Datenschutzbeauftragten benannt, soweit gesetzlich nicht erforderlich. Datenschutzanfragen sind an datenschutz@tapcoat.com zu richten.

§ 6 Pflichten der Verantwortlichen

(1) Die Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich, insbesondere für Rechtsgrundlage, Informationspflichten gegenüber Gästen und Personal sowie für das Einholen erforderlicher Einwilligungen.

(2) Die Verantwortliche stellt sicher, dass hochgeladene Daten rechtmäßig erhoben wurden und Betroffene ordnungsgemäß informiert sind.

(3) Die Verantwortliche benennt eine Datenschutz-Ansprechperson und hinterlegt deren Kontaktdaten im Dashboard.

(4) Die Verantwortliche überprüft die TOM (Anlage 1) vor Vertragsschluss auf Angemessenheit und hat die Pflicht zur regelmäßigen Kontrolle der Auftragsverarbeitung.

§ 7 Unterauftragsverarbeiter

(1) Allgemeine Genehmigung: Die Verantwortliche erteilt Tapcoat eine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Sub-Prozessoren sowie zum Einsatz künftiger Sub-Prozessoren nach den folgenden Regelungen.

(2) Ankündigung: Tapcoat informiert die Verantwortliche mindestens 30 Tage vor dem Einsatz oder Austausch eines Sub-Prozessors in Textform.

(3) Widerspruchsrecht: Die Verantwortliche kann dem Einsatz eines neuen Sub-Prozessors innerhalb von 30 Tagen nach Mitteilung aus wichtigem Grund widersprechen.

(4) Folgen eines Widerspruchs: Einigen sich die Parteien nicht innerhalb von 30 Tagen, kann jede Partei den Hauptvertrag mit 30-tägiger Frist außerordentlich kündigen.

(5) Haftung: Tapcoat schließt mit jedem Sub-Prozessor einen gleichwertigen AVV und haftet für dessen Einhaltung wie für eigenes Handeln.

§ 8 Drittlandtransfer

(1) Alle Verarbeitungen finden grundsätzlich in der Europäischen Union statt. Das Hosting der Plattform erfolgt in Rechenzentren in Deutschland (DigitalOcean FRA1, Frankfurt am Main; Hetzner, Falkenstein/Nürnberg). Unterauftragsverarbeiter mit Drittlandbezug sind in Anlage 2 ausgewiesen.

(2) Drittlandtransfers finden nur statt, soweit in Anlage 2 ausgewiesen, und erfolgen auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (insbesondere EU-Standardvertragsklauseln, Angemessenheitsbeschluss, EU-US Data Privacy Framework).

§ 9 Kontrollrechte und Audit

(1) Die Verantwortliche hat das Recht, die Einhaltung dieses AVV zu überprüfen. Die Überprüfung erfolgt vorrangig auf Basis bereitgestellter Dokumente: TOM-Anlage, Sub-Prozessorliste, Zertifikate, schriftliche Selbstauskünfte.

(2) Schriftliche Anfragen beantwortet Tapcoat innerhalb von 30 Werktagen. Die Verantwortliche beschränkt Anfragen auf höchstens eine pro Kalenderjahr, sofern kein konkreter Anlass eine zusätzliche erfordert.

(3) Vor-Ort-Prüfung ist ausnahmsweise zulässig bei konkretem dokumentiertem Anlass, mindestens 30 Werktage Vorankündigung, während üblicher Geschäftszeiten und auf Kosten der Verantwortlichen.

(4) Externe Auditoren müssen schriftlich zur Vertraulichkeit verpflichtet sein und nachweislich keine Wettbewerber:innen von Tapcoat sein.

§ 10 Datenschutzverletzungen

(1) Tapcoat informiert die Verantwortliche unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, über Datenschutzverletzungen.

(2) Die Meldung enthält: Beschreibung der Verletzung, wahrscheinliche Folgen, ergriffene Gegenmaßnahmen sowie Kontaktdaten der Ansprechperson bei Tapcoat.

§ 11 Beendigung, Rückgabe und Löschung

(1) Nach Beendigung des Hauptvertrags stellt Tapcoat die Daten 30 Tage lang in einem maschinenlesbaren Format zum Export bereit (Datenportabilität gemäß EU Data Act).

(2) Nach Ablauf der 30 Tage löscht Tapcoat sämtliche personenbezogenen Daten einschließlich Backup-Kopien, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

(3) Gesetzliche Aufbewahrung: Zahlungs- und Buchungsdaten werden gemäß §§ 257 HGB und 147 AO bis zu 10 Jahre aufbewahrt. Sie sind während dieser Zeit ausschließlich zur Erfüllung gesetzlicher Pflichten gesperrt.

(4) Tapcoat bestätigt die Löschung auf Anfrage in Textform.

§ 12 Haftung

(1) Für die Haftung gelten die Regelungen des Hauptvertrags (AGB) entsprechend.

(2) Im Verhältnis zu Betroffenen haften Tapcoat und die Verantwortliche als Gesamtschuldner nach Art. 82 DSGVO. Im Innenverhältnis richtet sich die Haftung nach den Verschuldensanteilen.

§ 13 Schlussbestimmungen

(1) Dieser AVV gilt mit Akzeptanz im Dashboard durch eine vertretungsberechtigte Person der Verantwortlichen. Bei Widersprüchen geht dieser AVV in Bezug auf Auftragsverarbeitung dem Hauptvertrag vor.

(2) Änderungen bedürfen der Textform.

(3) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand: Frankfurt am Main.

(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlagen:

Auftragsverarbeitungsvertrag (AVV)