Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Kunden der Plattform „Kalemio“ – nachfolgend „Verantwortlicher“ –

und

[Vorname Nachname], [Straße Hausnummer], [PLZ Ort], E-Mail: [E-Mail-Adresse] – nachfolgend „Auftragsverarbeiter“.

Dieser Vertrag kommt zustande, indem der Verantwortliche ihn in der Plattform annimmt oder schriftlich unterzeichnet. Er ergänzt den Nutzungsvertrag (AGB bzw. Pilotvereinbarung) und hat bei Widersprüchen zum Datenschutz Vorrang.

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter stellt dem Verantwortlichen eine Online-Software zur Terminbuchung bereit (Software as a Service). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. 2. Der Vertrag gilt für die Dauer der Nutzung der Plattform und endet automatisch mit dem Nutzungsvertrag.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

1. Zweck: Bereitstellung der Online-Terminbuchung – Anzeige freier Zeiten, Entgegennahme und Verwaltung von Buchungen, Versand von Bestätigungen und Erinnerungen, optional Warteliste, Check-in vor Ort, Kalenderabgleich und Übertragung an vom Verantwortlichen gewählte Systeme. 2. Art der Daten: Name, E-Mail-Adresse, optional Telefonnummer, Termin (Datum, Uhrzeit, Leistung, Ort), Antworten auf vom Verantwortlichen festgelegte Fragen, ggf. Gäste, Verwaltungs- und Protokolldaten (z. B. Versandstatus von E-Mails, Check-in-Zeitpunkt). 3. Betroffene Personen: Kunden und Interessenten des Verantwortlichen (Bucher), Mitarbeiter des Verantwortlichen, die die Plattform nutzen. 4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags, sofern nicht gesondert schriftlich vereinbart.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag, die Einstellungen in der Plattform sowie Weisungen in Textform. 2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. 3. Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Ausgenommen ist die Verarbeitung, zu der der Auftragsverarbeiter gesetzlich verpflichtet ist; darüber informiert er vorher, soweit zulässig.

§ 4 Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. 2. Sicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken. 3. Unterstützung: Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) – insbesondere durch Export- und Löschfunktionen in der Plattform – sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten. 4. Datenpannen: Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar. 5. Nachweise: Er stellt dem Verantwortlichen auf Anfrage die Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen nach vorheriger Ankündigung mit angemessener Frist, zu üblichen Geschäftszeiten und ohne Störung des Betriebs.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. 2. Der Auftragsverarbeiter informiert den Verantwortlichen vorab in Textform über beabsichtigte Änderungen. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Nutzungsvertrag außerordentlich kündigen. 3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. 4. Nutzt der Verantwortliche selbst Anbindungen an Dritte (z. B. Google- oder Microsoft-Kalender, Webhooks, eigene Mailserver, Google Analytics), erfolgt diese Übermittlung in seiner Verantwortung.

§ 6 Ort der Verarbeitung

Die Daten werden in einem Rechenzentrum in [Land] verarbeitet. Eine Übermittlung in Drittländer erfolgt nur, soweit in Anlage 2 angegeben und unter Einhaltung der Art. 44 ff. DSGVO (z. B. EU-US Data Privacy Framework oder Standardvertragsklauseln).

§ 7 Löschung und Rückgabe

1. Nach Ende des Vertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen spätestens nach [30] Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Vorher kann der Verantwortliche seine Daten selbst exportieren. 2. Daten in Sicherungskopien werden mit dem regulären Ablauf der Sicherungen gelöscht (spätestens nach [30] Tagen). 3. Die Löschung wird auf Anfrage in Textform bestätigt.

§ 8 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Nutzungsvertrags.

§ 9 Schlussbestimmungen

1. Änderungen dieses Vertrags bedürfen der Textform. Neue Fassungen werden in der Plattform zur Annahme vorgelegt. 2. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist [Ort des Auftragsverarbeiters], soweit gesetzlich zulässig. 3. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit: - Server in einem gesicherten Rechenzentrum des Hosting-Anbieters [Name] mit Zutrittskontrolle - Server-Zugang nur per SSH-Schlüssel, kein Passwort-Login; Firewall öffnet nur die nötigen Ports - Datenbank nicht aus dem Internet erreichbar - Passwörter nur als bcrypt-Hash gespeichert; Zugangsschlüssel zu Kalendern und Mailservern mit AES-256-GCM verschlüsselt - Zwei-Faktor-Anmeldung per Authenticator-App, auf Wunsch verpflichtend - Begrenzung von Anmeldeversuchen; Sitzungen in sicheren, nur per HTTPS übertragenen Cookies - Rollen- und Rechtekonzept: Inhaber, Firmen-Admin, Mitarbeiter; Daten verschiedener Kunden logisch getrennt

Integrität: - Alle Verbindungen per TLS (HTTPS) verschlüsselt, HSTS aktiv - Protokollierung sicherheitsrelevanter Aktionen (z. B. Anmeldung, Rechteänderungen, Zugriff durch den Anbieter-Support) - Prüfung aller Eingaben; Schutz vor Zugriffen auf interne Netzadressen bei Webhooks und Mailservern

Verfügbarkeit und Belastbarkeit: - Tägliche automatische Datensicherung, Aufbewahrung bis zu [30] Tage - Überwachung des Systems mit automatischer Alarmierung - Regelmäßige Sicherheitsupdates der eingesetzten Software

Verfahren zur regelmäßigen Überprüfung: - Automatisierte Tests vor jeder Aktualisierung - Sicherung der Datenbank vor jeder Aktualisierung - Datenschutzfreundliche Voreinstellungen: keine Tracking-Cookies, automatische Löschfristen einstellbar

Anlage 2: Unterauftragsverarbeiter

- Hosting: [Name des Hosting-Anbieters, Anschrift] – Rechenzentrum in [Land] - E-Mail-Versand: Sendinblue GmbH (Brevo), Köpenicker Straße 126, 10179 Berlin – Deutschland/EU - [nur falls genutzt] SMS/WhatsApp-Versand: [Brevo (siehe oben) / Twilio Ireland Limited, 25–28 North Wall Quay, Dublin 1, Irland – ggf. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework]

Stand: [TT.MM.JJJJ]