Vertrag zur Auftragsverarbeitung

zwischen

dem Betrieb, der die Betriebssoftware nutzt, mit den Angaben aus seinem Impressum in der Plattform — als Verantwortlicher, nachfolgend „Auftraggeber“ —

und

SavePaperwork, Inhaber Andreas Gerum, Höfatsstraße 16, 86163 Augsburg — als Auftragsverarbeiter, nachfolgend „Auftragnehmer“. Kontaktstelle für Weisungen und Datenschutz ist die im Impressum genannte E-Mail-Adresse.

Präambel

(1) Der Auftragnehmer stellt dem Auftraggeber eine Software-as-a-Service-Plattform zur Verwaltung seines Betriebs bereit, je nach gebuchtem Produkt und Tarif mit den in § 1 Abs. 3 genannten Funktionen. Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers. Der Auftraggeber ist dafür Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

(2) Dieser Vertrag ist Bestandteil des Nutzungsvertrags über die Plattform (Hauptvertrag, AGB). Bei Widersprüchen geht er in Fragen des Datenschutzes vor, auch den Regeln der AGB zur Löschung nach Vertragsende.

(3) Nicht unter diesen Vertrag fallen die folgenden Verarbeitungen; für sie ist der Auftragnehmer selbst Verantwortlicher, und seine Datenschutzerklärung beschreibt sie:

1. Vertrags-, Abrechnungs- und Zahlungsdaten des Auftraggebers und seiner Nutzer:innen gegenüber dem Auftragnehmer (Abonnement, Zusatzleistungen, SMS-Guthaben);
2. das plattformweite Kundenkonto (§ 2 Abs. 4);
3. die Reichweitenmessung und Nutzungsanalyse auf den Seiten der Plattform, auch auf Website, Buchungsseite und Kundenportal des Auftraggebers und in seinem Verwaltungsbereich (Anlage 3 Nr. 2 und 3);
4. Kontakt-, Feedback- und Supportanfragen an den Auftragnehmer.

Der Auftragnehmer nennt diese Verarbeitungen in Anlage 3, damit der Auftraggeber seine Kund:innen und Beschäftigten zutreffend informieren kann.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand ist die Bereitstellung und der Betrieb der Plattform und die damit verbundene Verarbeitung personenbezogener Daten für die Termin-, Kunden-, Fahrzeug-, Auftrags-, Personal- und Abrechnungsverwaltung des Auftraggebers.

(2) Art: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung (an berechtigte Nutzer:innen des Auftraggebers, an die betroffene Person selbst und an die in Anlage 2 und 3 genannten Stellen), Abgleichen, Verknüpfen, Einschränken, Anonymisieren und Löschen, jeweils automatisiert im Rahmen der Plattform.

(3) Zweck ist ausschließlich die Erbringung der vereinbarten Leistungen, soweit der Auftraggeber sie nutzt:

Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers — insbesondere Werbung, Profilbildung, Weitergabe an Dritte zu deren Zwecken und Training von KI-Modellen — findet mit den Daten dieses Vertrags nicht statt. Präambel Abs. 3 bleibt unberührt.

(4) Dauer: Laufzeit des Hauptvertrags. Der Vertrag endet nicht, bevor die Pflichten aus § 9 erfüllt sind.

§ 2 Betroffene Personen und Datenkategorien

(1) Betroffene Personen

• Kund:innen des Auftraggebers: Personen, die einen Termin buchen, anfragen oder wahrnehmen, in der Kartei stehen, ein Fahrzeug bringen, einen Kostenvoranschlag freigeben oder eine Rechnung erhalten;
• Halter:innen und Fahrer:innen von Fahrzeugen, soweit sie nicht selbst Kund:in sind;
• Beschäftigte des Auftraggebers (als Kalender-Ressource, ausführende oder prüfende Person, Inhaber:in eines Mitarbeiterzugangs);
• Bewerbende;
• Bewertende (Google-Bewertungen des Betriebs, die auf der Website angezeigt werden);
• Dritte, die der Auftraggeber im Freitext erfasst (z. B. Begleitpersonen).

(2) Datenkategorien — alle Produkte

(3) Datenkategorien — nur Werkstattsystem

Zeiterfassung, Qualitätskontrolle und Arbeitspositionen sind Beschäftigtendaten mit Leistungsbezug. Ob und wie der Auftraggeber sie auswertet, verantwortet er; der Auftragnehmer wertet sie nicht aus.

(4) Das Kundenkonto. Ein Kundenkonto (E-Mail, Passwort-Hash, Vor- und Nachname, Telefon, Sprache, Profilbild, Bestätigungs- und Reset-Kennungen, Zeitpunkt der Einwilligung, Termine bei Praxen in „Meine Termine“ zu zeigen) gilt plattformweit: Dieselbe Anmeldung gilt bei jedem Betrieb, und jedes Kundenportal zeigt nur die Daten des jeweiligen Betriebs. Für das Kundenkonto selbst ist der Auftragnehmer Verantwortlicher (Präambel Abs. 3 Nr. 2). Die Kundenkarte und die Termine, Fahrzeuge, Aufträge und Rechnungen beim Auftraggeber sind Auftragsverarbeitung nach diesem Vertrag. Die Verknüpfung zwischen Konto und Kundenkarte entsteht mit der ersten Buchung und nur bei bestätigter E-Mail-Adresse.

(5) Besondere Kategorien (Art. 9 DSGVO) und Angaben nach Art. 10 DSGVO

a) Gesundheitsstufe. Kein Feld der Plattform ist für Gesundheitsdaten der Kund:innen bestimmt. Bei einem Auftraggeber einer Branche nach Anlage 4 (Praxen der Heilberufe) ist aber bereits die Tatsache, dass eine Person einen Termin vereinbart hat, ein Gesundheitsdatum (Art. 9 Abs. 1 DSGVO), ebenso die gewählte Leistung und die behandelnde Person. Für die Terminvergabe stützt sich der Auftraggeber in der Regel auf Art. 6 Abs. 1 lit. b in Verbindung mit Art. 9 Abs. 2 lit. h DSGVO; Erinnerungen und Bewertungsbitten deckt diese Grundlage nicht (§ 5 Nr. 6). Für Auftraggeber nach Anlage 4 gilt, änderbar in den Buchungseinstellungen:

1. Erinnerungen und Bewertungsbitten sind ausgeschaltet, bis der Auftraggeber sie einschaltet, nachdem er die Einwilligung seiner Patient:innen eingeholt hat. Wer nicht eingewilligt hat oder widerruft, wird an der Kundenkarte als „keine Erinnerungen und Bewertungsbitten“ vermerkt und erhält keine.
2. Erinnerungen per E-Mail und SMS nennen keine Leistung.
3. Abgeschlossene Termine werden nach der Frist gelöscht, nicht anonymisiert (§ 9 Abs. 4).
4. Auf Website, Buchungsseite, Kundenportal und Verwaltungsbereich des Auftraggebers läuft keine Sitzungsaufzeichnung (Anlage 3 Nr. 3); die cookielose Reichweitenmessung (Anlage 3 Nr. 2) bleibt.
5. Im plattformweiten Kundenkonto erscheinen Termine des Auftraggebers nur, wenn die Person dort ausdrücklich eingewilligt hat. Die Einwilligung wird mit Zeitpunkt gespeichert und kann dort widerrufen werden.
6. Das Buchungsformular nennt den Auftraggeber als Verantwortlichen und den Auftragnehmer als den, der die Termine in seinem Auftrag verwaltet.

b) Freitexte. In Kartei-, Termin-, Anfrage-, Fahrzeug- und Schadensnotizen können Angaben wie Allergien, Hautverträglichkeit, Schwangerschaft oder Medikamente landen, in Werkstattnotizen etwa Angaben zu einem Unfallhergang oder einem Strafverfahren. Ob er solche Angaben erfasst, entscheidet der Auftraggeber; er braucht dafür eine eigene Rechtsgrundlage (bei Art. 9 DSGVO in der Regel die ausdrückliche Einwilligung). Die Plattform bietet keinen feldbezogenen Sonderschutz: Wer eine Kundenkarte oder einen Termin sehen darf, sieht auch den Freitext.

c) Krankheit von Beschäftigten. Die Abwesenheitsart „Krankheit“ und die Herkunft „Krankmeldung“ halten die Tatsache einer Erkrankung fest. Rechtsgrundlage und Zugriffsregelung verantwortet der Auftraggeber. Ein Krankheitsgrund ist kein Feld und soll nicht in den Freitext geschrieben werden.

d) Minderjährige. Die Plattform fragt kein Alter ab. Ob der Auftraggeber Buchungen Minderjähriger annimmt, entscheidet er.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich Übermittlungen in Drittländer (§ 7). Grundweisung sind Hauptvertrag, Leistungsbeschreibung und dieser Vertrag.

(2) Als dokumentierte Einzelweisung gelten die Einstellungen, die der Auftraggeber in der Plattform setzt, insbesondere: Aufbewahrungsfristen für Termine und Bewerbungen (§ 9 Abs. 4 und 5), Erinnerungen und Bewertungsbitten, SMS-Erinnerungen je Stufe, Nutzung des KI-Assistenten (§ 7 Abs. 2) und der Kennzeichenabfrage (§ 7 Abs. 4), Einrichtung eines Betriebspostfachs, Anzeige der Google-Bewertungen, Veröffentlichung von Stellenanzeigen, Folgetermin-Erinnerung je Leistung, Einsatzgebiet und Anfahrtszeit für Termine bei Kund:innen.

(3) Weitere Weisungen erteilt der Auftraggeber in Textform an die Kontaktstelle des Auftragnehmers. Weisungsberechtigt sind die Kontoinhaber:in und die Personen, die der Betrieb dafür benennt; in der Plattform sind das außerdem Zugänge mit der Rolle „Leitung“, soweit sie Einstellungen ändern können.

(4) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Pflichten des Auftragnehmers

Der Auftragnehmer

1. verarbeitet die Daten nur nach § 3;
2. verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen;
3. trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und hält sie aktuell; wesentliche Verschlechterungen sind ausgeschlossen;
4. hält die Bedingungen für Unterauftragsverarbeiter nach § 6 ein;
5. unterstützt den Auftraggeber bei Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Die Plattform erlaubt dem Auftraggeber, Kundenkarten, Termine, Fahrzeuge und Bewerbungen einzusehen, zu berichtigen und zu löschen. Einen vollständigen maschinenlesbaren Export je Person erstellt der Auftragnehmer auf Anforderung binnen 14 Tagen als CSV-Datei. Wendet sich eine betroffene Person an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter; betrifft sie das Kundenkonto (§ 2 Abs. 4), beantwortet er sie selbst;
6. unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO;
7. meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, spätestens binnen 48 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar, und ergänzt sie laufend;
8. benennt als Ansprechperson für den Datenschutz Andreas Gerum, erreichbar über die Kontaktstelle, und, soweit gesetzlich vorgeschrieben, eine:n Datenschutzbeauftragte:n;
9. stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung (§ 8);
10. informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Vertrag betreffen, und über Auskunftsersuchen von Behörden zu den Daten des Auftraggebers, soweit das rechtlich zulässig ist.

§ 4a Berufsgeheimnis (§ 203 StGB)

(1) Anwendungsbereich. Dieser Paragraf gilt, wenn der Auftraggeber oder eine bei ihm tätige Person zu den in § 203 Abs. 1 oder 2 StGB genannten Personen gehört — insbesondere Ärzt:innen, Zahnärzt:innen, Tierärzt:innen und Angehörige eines Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert (z. B. Physiotherapie, Ergotherapie, Logopädie, Podologie).

(2) Mitwirkende Person. Der Auftragnehmer wirkt an der beruflichen Tätigkeit des Auftraggebers im Sinne von § 203 Abs. 3 Satz 2 StGB mit. Er verpflichtet sich, alle fremden Geheimnisse geheim zu halten, die ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit für den Auftraggeber bekannt werden, auch über das Ende dieses Vertrags hinaus. Ihm ist bekannt, dass er sich nach § 203 Abs. 4 Satz 1 StGB strafbar macht, wenn er ein solches Geheimnis unbefugt offenbart.

(3) Kenntnis nur, soweit erforderlich. Der Auftragnehmer verschafft sich Kenntnis von fremden Geheimnissen nur, soweit das für die Erfüllung dieses Vertrags erforderlich ist, etwa für eine vom Auftraggeber angeforderte Fehlerbehebung.

(4) Eigene Personen. Der Auftragnehmer verpflichtet jede Person, die bei ihm Zugang zu den Daten erhält, vor Aufnahme der Tätigkeit in Textform zur Geheimhaltung und belehrt sie über die Strafbarkeit nach § 203 Abs. 4 StGB.

(5) Unterauftragsverarbeiter. Zieht der Auftragnehmer Unterauftragsverarbeiter hinzu (§ 6, Anlage 2), sorgt er dafür, dass sie zur Geheimhaltung verpflichtet sind und ihrerseits ihre Personen und weitere Unterauftragnehmer verpflichten (§ 203 Abs. 4 Satz 2 Nr. 2 StGB). Der Hosting-Anbieter (Anlage 2 Nr. 1 und 2) und der SMS-Anbieter (Nr. 3) setzen nach ihren Verträgen nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Beim Objektspeicher (Nr. 4) liegen keine Daten von Patient:innen. Der KI-Assistent (Nr. 5 bis 7) steht Auftraggebern nach Abs. 1 nicht zur Verfügung.

(6) Meldung. Hat der Auftragnehmer Grund zu der Annahme, dass ein Geheimnis unbefugt offenbart wurde, informiert er den Auftraggeber unverzüglich; § 4 Nr. 7 gilt entsprechend.

§ 5 Pflichten des Auftraggebers

Der Auftraggeber

1. ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage für E-Mail- und SMS-Erinnerungen, Service- und Prüfterminerinnerungen, Bewertungsbitten, Folgetermin-Erinnerungen und die Erfassung von Freitexten nach § 2 Abs. 5;
2. informiert seine Kund:innen, Beschäftigten und Bewerbenden nach Art. 13 und 14 DSGVO, auch über die Empfänger nach Anlage 2 und 3 und, wenn er die Kennzeichenabfrage nutzt, darüber, dass Fahrzeugmerkmale aus einem öffentlichen Register stammen;
3. setzt in der Plattform die Aufbewahrungsfristen (§ 9 Abs. 4 und 5), die seinem Löschkonzept entsprechen; solange er keine Terminfrist setzt, bleiben Termine gespeichert — außer bei Auftraggebern nach Anlage 4 (§ 9 Abs. 4);
4. vergibt Mitarbeiterzugänge und Rollen nach dem Erforderlichkeitsprinzip und entzieht sie beim Ausscheiden;
5. meldet dem Auftragnehmer unverzüglich Fehler oder Unregelmäßigkeiten, die er bei der Prüfung der Ergebnisse feststellt;
6. holt — nur nach Anlage 4 — für Erinnerungen per E-Mail oder SMS und für Bewertungsbitten die Einwilligung der Patient:innen ein und kann sie nachweisen. Die Plattform fragt in der Online-Buchung nicht danach; sie sendet Erinnerungen und Bewertungsbitten erst, wenn der Auftraggeber sie in den Buchungseinstellungen einschaltet. Eine Vorlage für die Einwilligung am Empfang liegt in seiner Verwaltung (Konfiguration, Abschnitt „Angaben für Dein Impressum“). Wer nicht eingewilligt hat oder widerruft, vermerkt der Auftraggeber an der Kundenkarte;
7. überträgt — nur nach Anlage 4 — dokumentationspflichtige Inhalte in seine Behandlungsdokumentation. Kalender, Kundenkarte und Freitexte der Plattform sind keine Behandlungsdokumentation;
8. nennt — nur nach Anlage 4 — den Auftragnehmer in seiner Datenschutzinformation als Empfänger und bietet neben der Online-Buchung einen anderen Weg zum Termin an, etwa per Telefon. Eine Vorlage für diesen Text liegt in seiner Verwaltung (Konfiguration, Abschnitt „Angaben für Dein Impressum“).

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

(1) Allgemeine Genehmigung. Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter und erteilt eine allgemeine schriftliche Genehmigung für weitere. Der Auftragnehmer informiert über jede beabsichtigte Hinzuziehung oder Ersetzung mindestens 30 Tage vorher in Textform, per E-Mail an die Kontoadresse und durch einen Hinweis in der Plattform.

(2) Einspruch. Der Auftraggeber kann binnen dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Findet sich keine Lösung, kann er den Hauptvertrag hinsichtlich der betroffenen Leistung zum Zeitpunkt der Änderung außerordentlich kündigen; im Voraus gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(3) Vertragliche Weitergabe. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf wie dieser Vertrag, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Er haftet gegenüber dem Auftraggeber für deren Erfüllung.

(4) Keine Unterauftragsverarbeiter sind Dienstleistungen, die der Auftragnehmer als Nebenleistung in Anspruch nimmt (z. B. Telekommunikation, Post), und die in Anlage 3 genannten Stellen, die Daten als eigene Verantwortliche oder als öffentliche Datenquelle erhalten.

§ 7 Ort der Verarbeitung, Drittländer, besondere Empfänger

(1) Kernverarbeitung. Anwendung, Datenbank, Dateien und E-Mail laufen bei einem Hosting-Anbieter in Deutschland (Anlage 2 Nr. 1 und 2, Rechenzentrum in Frankfurt am Main), der Daten und E-Mails täglich sichert. Bewerbungsanhänge sowie Website-, Galerie- und Bewertungsbilder liegen bei einem Objektspeicher-Anbieter in Frankfurt am Main, dessen Konzern seinen Sitz in den USA hat (Anlage 2 Nr. 4). Den Videodienst eines Online-Termins wählt der Auftraggeber; der Auftragnehmer übermittelt diesem nichts, sondern zeigt nur den Link des Auftraggebers in Mails und im Kundenportal.

(2) Drittlandübermittlungen. Eine Übermittlung in ein Land außerhalb der EU und des EWR findet nur beim KI-Assistenten statt, auf Grundlage der Art. 44 ff. DSGVO:

• Im Verwaltungsbereich von Salon Wizard steht ein KI-Assistent zur Verfügung; der Funktionsumfang hängt am Tarif. Der Assistent beantwortet eine Eingabe, soweit möglich, aus festen Regeln ohne einen Dritten. Nur eine Eingabe, die keine feste Regel beantwortet, wird zur Zuordnung an den Modellanbieter nach Anlage 2 Nr. 5 übermittelt. Antwortet dieser nicht, endet seine Nutzung an einer Kosten- oder Ratengrenze oder ist für ihn kein Zugang eingerichtet, beantwortet der Assistent die Eingabe aus festen Regeln; ein anderer Anbieter wird nicht gefragt. Der Anbieter verarbeitet in den USA.
• Übermittelt werden die Eingabe in maskierter Form, die Sprache der Oberfläche, das Datum, der geöffnete Bereich und, nach einer zuvor angezeigten Liste, Kennungen ohne Namen. Nicht übermittelt werden nachgeschlagene Daten (Kundenkartei, Termine, Abwesenheiten, Umsätze), Kontaktdaten aus der Datenbank sowie frühere Eingaben und Antworten.
• Maskiert heißt: Vor der Übermittlung ersetzt der Auftragnehmer in der Eingabe E-Mail-Adressen, Telefonnummern und die Namen, die der Auftraggeber in der Plattform führt (Mitarbeitende, Mitarbeiterzugänge, Kund:innen und deren bestätigte Kundenkonten, Namen aus Terminen und Terminanfragen der letzten 90 Tage und aus künftigen Terminen, Bewerbende), durch Platzhalter. Gelingt das nicht, wird die Eingabe an keinen Anbieter übermittelt. Die Maskierung ist keine Anonymisierung: Namen, die der Auftraggeber nicht führt, Spitznamen, gebeugte oder falsch geschriebene Namen, Namen, die zugleich Alltagswörter sind, sehr kurze Namensteile, Telefonnummern mit Punkten oder weniger als acht Ziffern und alle sonstigen Angaben, die eine Person in ihre Eingabe schreibt, werden unverändert übermittelt. Der Auftraggeber weist seine berechtigten Personen an, keine Gesundheitsangaben und keine anderen besonderen Kategorien personenbezogener Daten in den Assistenten einzugeben.
• Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und, soweit ein Anbieter nach dem EU-US Data Privacy Framework zertifiziert ist, der Angemessenheitsbeschluss dazu (Art. 45 DSGVO), jeweils nach Anlage 2.
• Der Auftragnehmer selbst speichert zum Assistenten je Betrieb und je Nutzer:in Zähler, Kosten und Zeitpunkte, weder Eingaben noch Antworten.

Der SMS-Anbieter wird über seine EU-Plattform genutzt; dabei findet keine Drittlandübermittlung statt.

(3) Andere Drittlandübermittlungen finden nicht statt. Künftige erfolgen nur nach § 6 Abs. 1 und den Art. 44 ff. DSGVO.

(4) Kennzeichenabfrage (nur Werkstattsystem, nur niederländische Kennzeichen). Nutzt der Auftraggeber die Abfrage im Fahrzeugformular oder den nächtlichen Abgleich der Prüftermine, übermittelt der Auftragnehmer nur das Kennzeichen an das offene Fahrzeugregister der niederländischen Zulassungsbehörde und übernimmt die Fahrzeugmerkmale in die Fahrzeugakte. Mit dem Register besteht kein Vertrag; es ist Datenquelle und Empfänger im Sinne von Anlage 3.

(5) Kartenzahlung über das Stripe-Konto des Auftraggebers (nur Betriebe mit Sitz in Deutschland). Verbindet der Auftraggeber sein eigenes Stripe-Konto und löst eine berechtigte Person eine Kartenzahlung aus, übermittelt der Auftragnehmer auf diese Weisung an den Zahlungsdienstleister des Auftraggebers Betrag, Währung, die Bezeichnung der Leistung mit der Buchungsnummer und interne Kennungen, bei einer Zahlung nach Positionen außerdem je Position Bezeichnung, Menge und Einzelpreis — nicht den Namen, die E-Mail-Adresse oder die Telefonnummer der Kund:in. Die Bezeichnung einer eigenen Position ist freier Text des Auftraggebers; er trägt dort keine Angaben zu Kund:innen ein. Die Karte gibt die Kund:in dem Zahlungsdienstleister selbst. Zurück erhält der Auftragnehmer den Ausgang der Zahlung und die in § 2 Abs. 2 genannten Angaben zur Karte. Der Zahlungsdienstleister ist Vertragspartner des Auftraggebers und kein Unterauftragsverarbeiter des Auftragnehmers; das Geld fließt unmittelbar auf das Konto des Auftraggebers (Anlage 3 Nr. 10). Zu einer bezahlten Kartenzahlung erstellt der Auftragnehmer einen Beleg; hat die Kund:in mit einem Kundenkonto mit bestätigter E-Mail-Adresse gebucht, sendet er ihr den Beleg dorthin, solange sie das nicht abgewählt hat.

(6) Empfänger ohne Auftragsverarbeitung (u. a. Webanalyse, Karten, Geokodierung, Schriftarten in E-Mails) nennt Anlage 3.

§ 8 Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung dieses Vertrags vorrangig durch die aktuelle Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 1), Nachweise der Unterauftragsverarbeiter und, soweit vorhanden, Zertifikate nach (Art. 28 Abs. 3 lit. h DSGVO).

(2) Reicht das nicht, kann der Auftraggeber Kontrollen, auch vor Ort, selbst oder durch eine zur Verschwiegenheit verpflichtete prüfende Person durchführen, nach Anmeldung mit 14 Tagen Vorlauf, während der Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs. Rechenzentren der Unterauftragsverarbeiter werden über deren Nachweise geprüft.

(3) Die Kosten trägt jede Partei selbst. Für jede weitere Kontrolle im selben Kalenderjahr kann der Auftragnehmer seinen nachgewiesenen Aufwand berechnen.

§ 9 Aufbewahrung, Löschung und Rückgabe

(1) Nach Vertragsende löscht der Auftragnehmer alle Daten dieses Vertrags oder gibt sie zurück, nach Wahl des Auftraggebers, und löscht vorhandene Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Auf Verlangen stellt er binnen 30 Tagen nach Vertragsende einen Export bereit und löscht danach binnen weiterer 30 Tage; Sicherungskopien folgen mit der Rotation des Hosters. Die Löschung bestätigt er auf Verlangen in Textform.

(2) Sofortlöschung durch den Auftraggeber. Entfernt der Auftraggeber das Produkt in seinem Konto, werden die hochgeladenen Dateien sofort und endgültig gelöscht und mit dem Produkt seine Einstellungen und Betriebsdaten. Einen Export erstellt der Auftragnehmer auf Anforderung binnen 14 Tagen als CSV-Datei; einzeln abrufbar sind u. a. Rechnungen und Auswertungen.

(3) Handels- und steuerrechtliche Aufbewahrung ist Sache des Auftraggebers. Für Bücher, Aufzeichnungen und Buchungsbelege gilt § 147 AO. Der Auftragnehmer ist nicht das gesetzliche Archiv des Auftraggebers; vor einer Löschung nach Abs. 1 oder 2 sichert der Auftraggeber die aufbewahrungspflichtigen Unterlagen selbst.

(4) Aufbewahrungsfrist für Termine. Der Auftraggeber kann eine Frist von 90 bis 3.650 Tagen setzen; ohne Einstellung ist sie aus. Ein täglicher Lauf leert bei abgeschlossenen Terminen, deren Ende die Frist zurückliegt, die Freitexte, die bei der Buchung angegebenen Kontaktdaten sowie die Adresse bei Terminen bei Kund:innen und vermerkt den Zeitpunkt. Datum, Leistung, Mitarbeiter:in, Preis, Buchungsnummer und die Verknüpfung zur Kundenkarte bleiben erhalten. Derselbe Lauf leert bei beantworteten Terminanfragen Kommentar, Ablehnungsgrund und angegebene Kontaktdaten, sobald die Frist seit der Antwort abgelaufen ist, und entfernt im SMS-Protokoll die Rufnummer zu diesen Terminen. Eine offene Anfrage wird nie angetastet. Für Auftraggeber nach Anlage 4 gilt ohne eigene Einstellung eine Frist von fünf Jahren; nach ihrem Ablauf löscht der Lauf den abgeschlossenen Termin samt der beantworteten Anfrage dazu, statt ihn zu anonymisieren, und entfernt vorher die Rufnummer im SMS-Protokoll. An der Kundenkarte bleibt das Datum des letzten wahrgenommenen Termins. Einträge auf der Warteliste eines Kurses werden gelöscht, sobald sein Beginn vorbei ist.

(5) Aufbewahrungsfrist für Bewerbungen. Standard 180 Tage, einstellbar von 30 bis 365 Tagen. Bewerbungen mit abschließendem Status werden nach Ablauf samt Dateianhängen gelöscht.

(6) Keine automatische Frist gibt es für Kundenkarten, Fahrzeuge, Aufträge, Kostenvoranschläge, Zeiterfassung, Reifeneinlagerung, SMS-Protokolle und Abwesenheiten. Sie bleiben bis zur Löschung durch den Auftraggeber oder bis zum Vertragsende gespeichert.

(7) Sicherungskopien werden im Rahmen der regulären Rotation des Hosters gelöscht (Anlage 1).

§ 10 Haftung, Änderungen, Schlussbestimmungen

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

(2) Der Auftragnehmer kann diesen Vertrag ändern, soweit Gesetz, Rechtsprechung, Aufsichtsbehörden oder eine Änderung der Leistungen es erfordern. Er kündigt Änderungen an wie Änderungen der AGB (AGB § 11 Abs. 1 und 2); für neue Unterauftragsverarbeiter gilt § 6. Andere Änderungen bedürfen der Textform.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Augsburg. Für einen Auftraggeber im Vereinigten Königreich gelten Verweise auf die DSGVO als Verweise auf die UK GDPR.

(5) Maßgeblich ist diese deutsche Fassung. Die Fassungen in anderen Sprachen sind Übersetzungen.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen des Hosters stammen aus seinem Vertrag zur Auftragsverarbeitung. Der Auftragnehmer selbst betreibt keine Server.

1. Vertraulichkeit

• Zutritt zu den Servern (Hoster, Rechenzentrum in Frankfurt am Main): elektronisches Zutrittskontrollsystem mit Protokollierung, Hochsicherheitszaun, durchgehend besetzter Leitstand, Werkschutzpersonal, Videoüberwachung der Ein- und Ausgänge, organisatorisch getrennte Vergabe der Zutrittsrechte.
• Zugang zur Anwendung: Passwörter liegen nur als Hash vor. Inhaber- und Betreiberkonten können sich mit einem zweiten Faktor oder einem Passkey anmelden. Alle Anmeldungen sind durch ein Rechen-Captcha geschützt; die öffentlichen Buchungsformulare begrenzen Anfragen je IP-Adresse und je E-Mail-Adresse. Sitzungs-Cookies werden nur verschlüsselt übertragen; Mitarbeiter- und Kundenkonten bleiben höchstens sieben Tage angemeldet. Nach fünf falschen Passwörtern innerhalb einer Minute ist die Anmeldung kurz gesperrt.
• Zugriff innerhalb der Anwendung: Alle Betriebsdaten hängen an einem Betrieb, und jede Abfrage ist an ihn gebunden. Betreiber und Inhaber, Mitarbeitende und Kund:innen melden sich in getrennten Bereichen an. Mitarbeiterzugänge haben die Rollen Mitarbeiter:in, Empfang oder Leitung, jeweils beschränkt auf zugewiesene Standorte; Krankheitsgründe von Kolleg:innen sieht nur die Leitung. Das plattformweite Kundenkonto zeigt je Betrieb nur dessen Daten; die betriebsübergreifende Liste „Meine Termine“ zeigt Termine bei Praxen nur nach Einwilligung der Person.
• Trennung: Automatische Tests laufen auf eigenen, leeren Datenbanken. Eingaben in den KI-Assistenten gehen nur maskiert an den Modellanbieter (§ 7 Abs. 2).
• Personen: Jede Person, die beim Auftragnehmer Zugang zu den Daten erhält, wird vorher auf Vertraulichkeit und Verschwiegenheit verpflichtet (§ 4a Abs. 4). Hoster und SMS-Anbieter setzen nur Beschäftigte ein, die auf Vertraulichkeit verpflichtet sind.

2. Integrität

• Alle Seiten und Schnittstellen nur über TLS; E-Mail-Versand und Postfach-Abruf nur verschlüsselt; SMS über die HTTPS-Schnittstelle des SMS-Anbieters auf dessen EU-Plattform.
• Postfach-Passwörter der Betriebe liegen verschlüsselt.
• Anwendungsprotokolle enthalten Kennungen, keine Inhalte, und rotieren; Datensätze tragen Anlage- und Änderungszeitpunkte.

3. Verfügbarkeit und Belastbarkeit

• Beim Hoster: tägliche Sicherung von Webspace, Datenbanken und E-Mail; Festplattenspiegelung, Netzersatzanlage und unterbrechungsfreie Stromversorgung; Firewalls und dauerhafter Schutz vor Überlastungsangriffen; Wiederherstellung von Datenbanken und Dateien.
• Beim Auftragnehmer: Kritische Fehler alarmieren den Betreiber sofort; Code-Releases lassen sich zurückrollen.

4. Löschen und Datensparsamkeit

• Löschfristen für Termine, Terminanfragen und Bewerbungen nach § 9 Abs. 4 und 5; Sofortlöschung beim Entfernen des Produkts nach § 9 Abs. 2.
• Voreinstellungen für Auftraggeber nach Anlage 4 (Art. 25 DSGVO) nach § 2 Abs. 5 lit. a.

5. Auftragskontrolle und Überprüfung

• Jeder Empfänger ist verzeichnet (Anlage 2 und 3); neue Unterauftragsverarbeiter werden 30 Tage vorher angekündigt (§ 6).
• Jede Änderung der Software läuft vor dem Release durch eine automatische Prüfung mit Tests, statischer Analyse und Abhängigkeitsprüfung. Projektregeln zu Gesundheitsdaten, Löschung und Empfängern gelten bei jeder Änderung.
• Diese Anlage wird bei jeder Änderung an Hoster, Empfängern oder Schutzmaßnahmen nachgezogen, mindestens jährlich.

Anlage 2 — Unterauftragsverarbeiter

Anlage 3 — Empfänger, die keine Unterauftragsverarbeiter sind

Zur Information des Auftraggebers, damit er seine Informationspflichten erfüllen kann (§ 5 Nr. 2).

Anlage 4 — Gesundheitsstufe

Branchen, deren Auftraggeber der Gesundheitsstufe angehören (§ 2 Abs. 5 lit. a, § 5 Nr. 6 bis 8), und Branchen, für die § 4a in der Regel gilt. Maßgeblich ist die in der Plattform gewählte Branche; § 4a gilt außerdem immer, wenn sein Abs. 1 zutrifft.