Rechtliches

Auftragsverarbeitungs-Vertrag (AVV)

Stand: 5. August 2026 · Fassung 2026-08-05

Vertrag nach Art. 28 DSGVO

Der AVV regelt die Verarbeitung personenbezogener Daten deiner Kundinnen und Kunden durch Calendio in deinem Auftrag. Als Salon bist du nach der DSGVO verpflichtet, mit jedem eingesetzten Dienstleister einen AVV abzuschließen — auch mit Calendio.

AVV als PDF herunterladen

AVV elektronisch annehmen

Zum elektronischen Annehmen melde dich mit dem Calendio-Konto deines Salons an — deine Vertragsdaten werden dann aus deinem Konto vorbelegt, und die Annahme wird mit Zeitstempel und Fassung dokumentiert.

Anmelden und AVV annehmen

Alternativ genügt eine formlose Bestätigung per E-Mail an kontakt@calendio.pro mit dem Wortlaut „AVV in der Fassung vom 5. August 2026 akzeptiert“.

Präambel

Der Verantwortliche nutzt die vom Auftragsverarbeiter betriebene Software-as-a-Service-Plattform „Calendio“ (nachfolgend „Plattform“) auf Grundlage der zwischen den Parteien geschlossenen Nutzungsvereinbarung einschließlich der Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag“). Im Rahmen dieser Nutzung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.

§ 1Gegenstand und Dauer

(1) Gegenstand des Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zur Erbringung der im Hauptvertrag vereinbarten Leistungen (Betrieb einer Online-Plattform für die Verwaltung von Friseur- und Beautysalons: Terminplanung und Online-Buchung, Kundenkartei einschließlich Behandlungsnotizen, Leistungs- und Preisverwaltung, Schicht- und Arbeitszeitverwaltung, Gutscheine, Zahlungen sowie zugehörige Benachrichtigungen und Auswertungen).
(2) Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Der Vertrag endet automatisch mit Beendigung des Hauptvertrages, ohne dass es einer gesonderten Kündigung bedarf.

§ 2Art und Zweck der Verarbeitung, Datenkategorien und betroffene Personen

(1) Art und Zweck der Verarbeitung sowie die Kategorien der personenbezogenen Daten und der betroffenen Personen ergeben sich aus Anhang 1 zu diesem Vertrag.
(2) Der Auftragsverarbeiter darf die überlassenen Daten ausschließlich zu den in Anhang 1 festgelegten Zwecken verarbeiten.

§ 3Rechte und Weisungen des Verantwortlichen

(1) Der Verantwortliche bleibt allein Herr der Daten im Sinne der DSGVO. Er ist berechtigt, dem Auftragsverarbeiter jederzeit ergänzende Weisungen zu Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Weisungen können in Textform (z. B. per E-Mail) erfolgen und werden vom Auftragsverarbeiter dokumentiert.
(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag und dieser Vertrag gelten als solche dokumentierte Weisung.
(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist berechtigt, die Ausführung der betreffenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.

§ 4Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit. Der Auftragsverarbeiter verpflichtet alle Personen, die zur Verarbeitung der Daten befugt sind, schriftlich zur Vertraulichkeit oder stellt sicher, dass diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung des Vertrages fort.
(2) Technische und organisatorische Maßnahmen. Der Auftragsverarbeiter trifft die in Art. 32 DSGVO geforderten technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus. Die konkret umgesetzten Maßnahmen ergeben sich aus Anhang 2. Der Auftragsverarbeiter darf die Maßnahmen im Laufe der Zeit weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
(3) Unterstützung bei Betroffenenrechten. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO. Die Plattform stellt hierfür insbesondere eine Auskunftsfunktion je Kundin und Kunde, einen Datenexport und eine Anonymisierung bereit. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.
(4) Unterstützung bei sonstigen Pflichten. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
(5) Meldung von Verletzungen des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm nachweislich bekannt gewordene, hinreichend belegte Verletzung des Schutzes personenbezogener Daten, die im Rahmen der auftragsgemäßen Verarbeitung erfolgt und die Daten des Verantwortlichen konkret betrifft, in Textform. Die Meldung erfolgt so bald wie unter den Umständen zumutbar, spätestens innerhalb von 72 Stunden nach eigener bestätigter Kenntnisnahme. Sie enthält die in Art. 33 Abs. 3 DSGVO genannten Angaben in dem Umfang, in dem sie dem Auftragsverarbeiter zum Zeitpunkt der Meldung bekannt sind; ergänzende Informationen werden nachgereicht, sobald sie verfügbar sind. Verletzungen im Verantwortungsbereich der Unter-Auftragsverarbeiter werden weitergegeben, sobald der Auftragsverarbeiter von diesen selbst informiert wurde; eine eigene Ermittlungspflicht bei Unter-Auftragsverarbeitern besteht nicht.
(6) Löschung und Rückgabe nach Vertragsende. Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter alle in seinem Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern und soweit nicht eine gesetzliche Aufbewahrungspflicht (insbesondere nach § 257 HGB, § 147 AO) einer Löschung entgegensteht. Für die Dauer solcher Aufbewahrungspflichten wird die Verarbeitung eingeschränkt. Vor der Löschung räumt der Auftragsverarbeiter dem Verantwortlichen eine Frist von 30 Kalendertagen zur eigenständigen Datensicherung ein; der Hauptvertrag sieht hierfür einen Export in einem gängigen, maschinenlesbaren Format vor. Die Frist beginnt mit dem Wirksamwerden der Vertragsbeendigung. Wünscht der Verantwortliche eine darüber hinausgehende Datenrückgabe, trägt er den hierdurch entstehenden angemessenen Aufwand. Sicherungskopien werden durch die reguläre Rotation überschrieben; eine sofortige, außerplanmäßige Löschung einzelner Sicherungskopien ist ausgeschlossen. Der Auftragsverarbeiter bestätigt die erfolgte Löschung auf Verlangen in Textform.

§ 5Unter-Auftragsverarbeiter

(1) Der Auftragsverarbeiter darf zur Erfüllung seiner Leistungen weitere Auftragsverarbeiter („Unter-Auftragsverarbeiter“) einsetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unter-Auftragsverarbeiter sind in Anhang 3 aufgeführt. Der Verantwortliche stimmt deren Einsatz mit Abschluss dieses Vertrages zu.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Unter-Auftragsverarbeitern mindestens 30 Kalendertage im Voraus in Textform (z. B. per E-Mail an die im Konto hinterlegte Adresse oder durch Benachrichtigung in der Plattform). Der Verantwortliche kann einem Wechsel innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.
(3) Im Fall eines berechtigten Widerspruchs sind die Parteien verpflichtet, eine einvernehmliche Lösung zu suchen. Kommt eine solche nicht zustande, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht des Hauptvertrages zu.
(4) Der Auftragsverarbeiter bindet die eingesetzten Unter-Auftragsverarbeiter datenschutzrechtlich nach Maßgabe von Art. 28 Abs. 4 DSGVO. Dies erfolgt nach seiner Wahl durch (a) Abschluss eines individuellen Auftragsverarbeitungsvertrages, (b) Zugrundelegung der vom jeweiligen Unter-Auftragsverarbeiter angebotenen Standard-Datenschutzbedingungen, sofern diese den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen, oder (c) Zugrundelegung von Standardvertragsklauseln der Europäischen Kommission bei Drittlandtransfers. Der Auftragsverarbeiter wählt Unter-Auftragsverarbeiter aus, die hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen bieten.

§ 6Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, sich vom Auftragsverarbeiter die Einhaltung der Pflichten aus diesem Vertrag nachweisen zu lassen. Der Auftragsverarbeiter stellt hierfür alle erforderlichen Informationen bereit.
(2) Der Nachweis erfolgt in der Regel durch:
- Selbstauskunft des Auftragsverarbeiters in Textform,
- die Dokumentation der umgesetzten technischen und organisatorischen Maßnahmen (Anhang 2),
- die Liste der eingesetzten Unter-Auftragsverarbeiter (Anhang 3),
- öffentlich verfügbare Testate, Zertifikate oder Prüfberichte der Unter-Auftragsverarbeiter, soweit vorhanden.
(3) Die vertraglichen Vereinbarungen des Auftragsverarbeiters mit seinen Unter-Auftragsverarbeitern — einschließlich ihres Wortlauts und aller Vertragsauszüge — sind Geschäftsgeheimnisse im Sinne des GeschGehG und werden dem Verantwortlichen nicht offengelegt. Die Zusicherung nach § 5 Abs. 4 sowie die Angaben in Anhang 3 gelten als hinreichende Information im Sinne von Art. 28 Abs. 3 lit. h DSGVO.
(4) Reichen die Nachweise nach Absatz 2 im Einzelfall nicht aus, kann der Verantwortliche ergänzende Auskünfte in Textform verlangen. Der Auftragsverarbeiter beantwortet berechtigte, schriftliche Fragen zur Einhaltung dieses Vertrages innerhalb von 30 Kalendertagen. Der Auftragsverarbeiter betreibt keine eigene physische IT-Infrastruktur; sämtliche Datenverarbeitung findet ausschließlich bei den in Anhang 3 aufgeführten Unter-Auftragsverarbeitern statt. Vor-Ort-Kontrollen sind daher nicht Gegenstand der ordentlichen Überprüfung und nur bei konkreten, dokumentierten Anhaltspunkten für einen wesentlichen Datenschutzverstoß gegen den Auftragsverarbeiter selbst zulässig; sie bedürfen einer gesonderten Vereinbarung in Textform. Überprüfungen bei Unter-Auftragsverarbeitern sind ausgeschlossen; diese liegen in der Verantwortung des Auftragsverarbeiters. Ordentliche Auskunftsverlangen sind auf einmal pro Kalenderjahr beschränkt. Sämtliche Kosten der Überprüfung einschließlich eines angemessenen Aufwandsersatzes trägt der Verantwortliche.

§ 7Datenübermittlung in Drittländer

(1) Eine Übermittlung personenbezogener Daten in Drittländer außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
(2) Rechtsgrundlage der Übermittlung ist eine oder mehrere der folgenden Alternativen, jeweils ergänzt um die nach der Rechtsprechung erforderlichen zusätzlichen Maßnahmen:
- ein Angemessenheitsbeschluss der Europäischen Kommission, insbesondere das EU-US Data Privacy Framework für zertifizierte US-Unternehmen,
- Standardvertragsklauseln der Europäischen Kommission gemäß Durchführungsbeschluss (EU) 2021/914,
- die Zustimmung des Verantwortlichen zu den Standard-Datenschutzbedingungen des jeweiligen Unter-Auftragsverarbeiters, die die vorgenannten Rechtsgrundlagen umsetzen.
(3) Die Speicherung und Verarbeitung der Salondaten findet in Rechenzentren innerhalb der Europäischen Union statt (Anhang 3). Mit Annahme dieses Vertrages stimmt der Verantwortliche etwaigen dort aufgeführten Drittlandbezügen zu.
(4) Sollte ein Angemessenheitsbeschluss nach Vertragsschluss aufgehoben oder für unwirksam erklärt werden, greifen für die betroffenen Übermittlungen unmittelbar die Standardvertragsklauseln als Rechtsgrundlage, sofern der jeweilige Unter-Auftragsverarbeiter diese anbietet. Der Auftragsverarbeiter informiert den Verantwortlichen über solche Änderungen; ein Widerspruchsrecht besteht nach § 5 Abs. 2 und 3.

§ 8Haftung

(1) Für die Haftung gegenüber betroffenen Personen aus der Verletzung von Datenschutzvorschriften gelten die Regelungen des Art. 82 DSGVO.
(2) Im Innenverhältnis zwischen den Parteien haftet der Auftragsverarbeiter dem Verantwortlichen für Schäden aus der Verletzung dieses Vertrages nach den folgenden Grundsätzen: (a) unbeschränkt für Vorsatz und grobe Fahrlässigkeit, für die Verletzung von Leben, Körper oder Gesundheit sowie in sonstigen Fällen zwingender gesetzlicher Haftung; (b) für die Verletzung wesentlicher Vertragspflichten bei leichter Fahrlässigkeit beschränkt auf den vertragstypisch vorhersehbaren Schaden; (c) im Übrigen ist die Haftung ausgeschlossen.
(3) Die Haftungsbeschränkung gilt für alle Ansprüche unabhängig vom Rechtsgrund, insbesondere aus unerlaubter Handlung. Sie gilt nicht für Ansprüche nach dem Produkthaftungsgesetz oder für die Verletzung ausdrücklich übernommener Garantien.
(4) Werden gegen eine Partei Ansprüche einer betroffenen Person geltend gemacht, informiert diese die andere Partei unverzüglich, damit eine gemeinsame Verteidigung koordiniert werden kann. Ein Vergleich oder Anerkenntnis darf nur nach vorheriger Abstimmung mit der jeweils anderen Partei geschlossen werden.
(5) Regressansprüche zwischen den Parteien nach Art. 82 Abs. 5 DSGVO richten sich nach dem tatsächlichen Verantwortungsbeitrag; im Verhältnis zwischen den Parteien wird vermutet, dass die Verantwortungsanteile den in Art. 4 Nr. 7 und 8 DSGVO festgelegten Rollen entsprechen.

§ 9Höhere Gewalt

(1) Ereignisse höherer Gewalt oder vergleichbare, außerhalb der Sphäre des Auftragsverarbeiters liegende Störungen (insbesondere Ausfälle bei Unter-Auftragsverarbeitern, großflächige Netz- oder Internet-Störungen, Cyber-Angriffe auf die Infrastruktur eines Unter-Auftragsverarbeiters trotz angemessener Schutzmaßnahmen, hoheitliche Maßnahmen, Pandemien) befreien den Auftragsverarbeiter für die Dauer der Störung von den betroffenen Leistungspflichten. Fristen aus diesem Vertrag verlängern sich entsprechend.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über solche Ereignisse und die voraussichtliche Dauer der Beeinträchtigung.

§ 10Verjährung

(1) Ansprüche des Verantwortlichen gegen den Auftragsverarbeiter aus oder im Zusammenhang mit diesem Vertrag verjähren, soweit gesetzlich zulässig, in zwölf Monaten ab Kenntnis des Verantwortlichen von den anspruchsbegründenden Umständen und der Person des Anspruchsgegners, spätestens jedoch drei Jahre nach Entstehung des Anspruchs. Gesetzliche Ausnahmen, insbesondere für Vorsatz und die Verletzung von Leben, Körper und Gesundheit, bleiben unberührt.

§ 11Änderungsvorbehalt für Anhänge

(1) Der Auftragsverarbeiter ist berechtigt, die Anhänge 2 und 3 einseitig zu aktualisieren, sofern und soweit hierdurch das vertraglich vereinbarte Schutzniveau nicht wesentlich verringert wird und die Aktualisierung durch technische, wirtschaftliche oder rechtliche Entwicklungen sachlich gerechtfertigt ist.
(2) Wesentliche Änderungen, insbesondere Wechsel oder Hinzuziehung von Unter-Auftragsverarbeitern, werden dem Verantwortlichen nach § 5 Abs. 2 mitgeteilt; das dort geregelte Widerspruchsrecht bleibt unberührt. Nicht wesentliche Aktualisierungen werden auf der Plattform dokumentiert.

§ 12Vertragsdauer und Beendigung

(1) Der Vertrag beginnt mit seiner Annahme durch den Verantwortlichen und läuft für die Dauer des Hauptvertrages.
(2) Der Vertrag endet automatisch mit Beendigung des Hauptvertrages, unabhängig vom Grund der Beendigung.
(3) Nach Beendigung gelten die Pflichten aus § 4 Abs. 6 (Löschung und Rückgabe) sowie § 4 Abs. 1 (Vertraulichkeit) fort.

§ 13Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Abbedingung dieses Textformerfordernisses. Der Änderungsvorbehalt nach § 11 für die Anhänge 2 und 3 bleibt hiervon unberührt.
(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem beabsichtigten wirtschaftlichen und rechtlichen Zweck möglichst nahekommt.
(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
(4) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.
(5) Im Fall von Widersprüchen zwischen den Regelungen dieses Vertrages und den Regelungen des Hauptvertrages gehen die Regelungen dieses Vertrages vor, soweit sie den Datenschutz betreffen.

Anhang 1 — Art, Zweck, Datenkategorien und betroffene Personen

1. Zweck der Verarbeitung

Betrieb einer Online-Plattform für die Verwaltung von Friseur- und Beautysalons, einschließlich:

Anlage und Verwaltung von Kundinnen und Kunden, Leistungen, Preisen und Öffnungszeiten
Terminplanung: Kalender, Arbeitsplätze, Abläufe mit Einwirkzeiten, Schichten und Abwesenheiten
Online-Buchung durch Kundinnen und Kunden über die öffentliche Buchungsseite und das Buchungsfenster auf der Website des Salons
Kundenkartei einschließlich Behandlungsnotizen, Farbformeln und Fotos
Warteliste, Stornierung und Ausfallgebühren
Gutscheine und Treueprogramm
Terminbestätigungen, Erinnerungen und Marketing-Nachrichten des Salons
Bewertungen nach wahrgenommenen Terminen
Auswertungen zu Umsatz, Auslastung, Leistungen und Mitarbeitern
Fehleranalyse und Sicherstellung des Plattformbetriebs

Optionales Zahlungsmodul: Die Plattform ermöglicht dem Verantwortlichen, Karten- und SEPA-Zahlungen seiner Kundinnen und Kunden über sein EIGENES Stripe-Konto abzuwickeln. Karten- und Kontodaten der Zahlenden werden ausschließlich von Stripe erhoben und verarbeitet; sie werden dem Auftragsverarbeiter weder übermittelt noch sind sie ihm zugänglich. Der Auftragsverarbeiter verarbeitet insoweit ausschließlich Zahlungs-Metadaten. Der Verantwortliche schließt mit Stripe einen eigenen Vertrag.

2. Art der Verarbeitung

Erheben, Speichern, Auslesen, Anzeigen, Verwenden, Übermitteln (an vom Verantwortlichen berechtigte Empfänger und an Unter-Auftragsverarbeiter gemäß Anhang 3), Sichern, Wiederherstellen, Anonymisieren, Löschen.

3. Kategorien personenbezogener Daten

Stammdaten der Kundinnen und Kunden
Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Anschrift soweit erhoben, Geburtstag soweit erhoben, Kundennummer, Merkmale und Notizen des Salons

Konto- und Zugangsdaten
Benutzerkennung, E-Mail-Adresse, Anmeldezeitpunkte, Sitzungskennungen — Passwörter ausschließlich als kryptographischer Hash beim Anmeldedienst, nie in der Plattform-Datenbank

Termindaten
Gebuchte, wahrgenommene, verschobene und abgesagte Termine, gewählte Leistungen, zugeordnete Mitarbeiterinnen, Antworten auf den Fragenkatalog des Salons, Wartelisteneinträge

Behandlungsdaten
Behandlungsnotizen, Farbformeln, Vorher-Nachher-Fotos, Angaben zu Allergien, Unverträglichkeiten, Hautzustand oder Schwangerschaft, soweit der Verantwortliche sie erhebt

Zahlungs-Metadaten
Zahlungsstatus, Beträge, Zahlungsart, Stripe-Kennungen, Zeitpunkt der Zahlung, Rechnungs- und Gutscheindaten — KEINE Karten- oder Kontodaten

Gutscheindaten
Angaben zur kaufenden und zur beschenkten Person, persönliche Nachricht, Code, Wert und Einlösungen

Kommunikationsdaten
Versendete E-Mails und deren Versandprotokoll, erteilte und widerrufene Einwilligungen, gesperrte Empfängeradressen

Mitarbeiterdaten des Verantwortlichen
Name, E-Mail-Adresse, Rolle und Berechtigungen, Qualifikationen, Schichten, Arbeitszeiten und Abwesenheiten, Umsatzzuordnung

Technische Daten
Gehashte Herkunft für die Missbrauchsabwehr, Geräte- und Browserangaben, Zeitstempel — soweit zur Sicherstellung des Betriebs erforderlich

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) KÖNNEN Gegenstand der Verarbeitung sein. Behandlungsnotizen, Farbformeln und Fotos können Angaben zum Gesundheitszustand enthalten. Der Verantwortliche entscheidet, ob und in welchem Umfang er solche Angaben erhebt, und ist für eine tragfähige Rechtsgrundlage — in der Regel die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO — sowie für deren Dokumentation allein verantwortlich. Der Auftragsverarbeiter nutzt diese Angaben nicht zu eigenen Zwecken, nicht für Werbung und nicht für Auswertungen.

4. Kategorien betroffener Personen

Kundinnen und Kunden des Verantwortlichen, einschließlich Minderjähriger
Personen, die als beschenkte Person eines Gutscheins benannt werden
Mitarbeiterinnen und Mitarbeiter des Verantwortlichen
Interessentinnen und Interessenten, die über die Plattform Kontakt aufnehmen

Anhang 2 — Technische und organisatorische Maßnahmen (TOM)

Gemäß Art. 32 DSGVO trifft der Auftragsverarbeiter die folgenden technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus.

1.1 Zutrittskontrolle

Kein physischer Serverbetrieb durch den Auftragsverarbeiter. Alle Datenverarbeitungssysteme werden bei zertifizierten Unter-Auftragsverarbeitern in EU-Rechenzentren betrieben (Anhang 3). Diese verfügen über eigene Zutrittskontrollen.

1.2 Zugangskontrolle

Zugriff ausschließlich über verschlüsselte Verbindungen (TLS)
persönliche, individuelle Zugangsdaten für jede Person mit Systemzugriff
Zwei-Faktor-Authentisierung für die administrativen Zugänge zu Hosting, Datenbank, Quellcode und E-Mail-Versand
Zwei-Faktor-Authentisierung für Salonkonten verfügbar, mit einmalig verwendbaren Wiederherstellungscodes, die nur als Hashwert gespeichert werden
Passwörter der Plattform-Nutzer ausschließlich als kryptographischer Hash beim Anmeldedienst
Verschlüsselung ruhender Daten bei den Hosting-Unter-Auftragsverarbeitern

1.3 Zugriffskontrolle

Mandantentrennung in der Datenbank selbst: Jede Tabelle mit Salondaten trägt eine Salonkennung, und der Zugriff wird durch Regeln auf Zeilenebene erzwungen. Die Standardregel ist „kein Zugriff“; Zugriff wird gezielt geöffnet.
rollenbasierte Berechtigungen: Inhaber, Empfang, Mitarbeiter und Auszubildende sehen jeweils nur den für ihre Rolle bestimmten Bereich
Kundenkonten und die öffentliche Buchungsstrecke arbeiten mit einer eigenen, getrennten Sitzung ohne Zugriff auf Salondaten
automatisierte Tests prüfen die Mandantentrennung und die Rechte jeder Rolle vor jeder Veröffentlichung

1.4 Support-Zugriff des Auftragsverarbeiters

jeder Zugriff setzt die Angabe eines Grundes voraus
Beginn, Ende, handelnde Person, betroffener Salon und jede vorgenommene Änderung werden protokolliert
das Protokoll ist für den Verantwortlichen einsehbar
während des Zugriffs erscheint in der Software durchgehend ein sichtbarer Hinweis
die Support-Sitzung endet automatisch spätestens nach 60 Minuten

1.5 Pseudonymisierung

Interne Kennungen (UUID) statt sprechender Kennzeichen. Die Herkunft von Anfragen wird zur Missbrauchsabwehr ausschließlich als gesalzener Hashwert gespeichert, nicht als IP-Adresse.

2. Integrität

verschlüsselte Übertragung sämtlicher Daten zwischen Endgerät, Anwendung, Datenbank und E-Mail-Versand
Protokollierung sicherheitsrelevanter Änderungen
Datenintegrität durch Regeln in der Datenbank selbst, unter anderem Ausschlussregeln gegen Doppelbelegungen von Mitarbeitern und Arbeitsplätzen
Versionierung aller Software-Änderungen
eine Sicherheitsrichtlinie im Browser mit Einmalwert je Antwort, die fremde Skripte blockiert

3. Verfügbarkeit und Belastbarkeit

Betrieb auf redundanter Cloud-Infrastruktur in EU-Rechenzentren
automatische tägliche Datenbank-Sicherungen, verschlüsselt gespeichert
Überwachung der Systemverfügbarkeit durch die Infrastruktur-Anbieter

4. Verfahren zur regelmäßigen Überprüfung

automatisierte Prüfungen vor jeder Veröffentlichung: Typprüfung, statische Analyse, Logiktests und Browser-Tests
fortlaufende Sicherheits-Aktualisierung der eingesetzten Systeme und Bibliotheken
Dokumentation der Verarbeitungstätigkeiten
Sicherheitsvorfälle werden dokumentiert und ausgewertet

5. Auftragskontrolle

Bindung aller Unter-Auftragsverarbeiter über deren Standard-Datenschutzbedingungen, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen
Prüfung der Datenschutz-Dokumentation der Unter-Auftragsverarbeiter vor Beauftragung

6. Datenschutzbeauftragter

Der Auftragsverarbeiter ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet (Art. 37 DSGVO, § 38 BDSG): Es sind nicht mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung befasst, und die Kerntätigkeit besteht weder in umfangreicher systematischer Überwachung noch in umfangreicher Verarbeitung besonderer Datenkategorien. Datenschutzanfragen sind an kontakt@calendio.pro zu richten.

Anhang 3 — Liste der Unter-Auftragsverarbeiter

Der Auftragsverarbeiter setzt zum Zeitpunkt des Vertragsschlusses die folgenden Unter-Auftragsverarbeiter ein. Die Bindung erfolgt gemäß § 5 Abs. 4 dieses Vertrages.

Vercel Inc., Walnut, CA, USA
Hosting und Ausführung der Web-Anwendung. Ort der Verarbeitung: EU (Frankfurt am Main, fra1) für die Ausführung; Auslieferung statischer, nicht personenbezogener Inhalte über ein weltweites Auslieferungsnetz. Bindung: Standard-Datenschutzbedingungen des Anbieters mit konfigurierter EU-Region; EU-US Data Privacy Framework; ergänzend Standardvertragsklauseln.

Supabase Inc., Wilmington, DE, USA
Datenbank (PostgreSQL), Benutzerverwaltung und Dateiablage. Ort der Verarbeitung: EU (Frankfurt am Main, eu-central-1). Bindung: Standard-Datenschutzbedingungen des Anbieters; EU-Verarbeitung; ergänzend Standardvertragsklauseln.

Resend (Plus Five Five, Inc.), San Francisco, CA, USA
Versand transaktionaler E-Mails. Ort der Verarbeitung: EU (Irland, eu-west-1). Bindung: Standard-Datenschutzbedingungen des Anbieters; EU-US Data Privacy Framework; ergänzend Standardvertragsklauseln.

Stripe Payments Europe, Ltd., Dublin, Irland
Optionales Zahlungsmodul: Zahlungsabwicklung über das eigene Stripe-Konto des Verantwortlichen. Ort der Verarbeitung: EU (Irland). Stripe verarbeitet Karten- und Kontodaten der Zahlenden als eigener Verantwortlicher; sie sind dem Auftragsverarbeiter nicht zugänglich. Bindung: eigener Vertrag des Verantwortlichen mit Stripe.

Kein Unter-Auftragsverarbeiter: Google

Verknüpft der Verantwortliche sein Google-Unternehmensprofil, ruft der Auftragsverarbeiter die dort öffentlich vorhandenen Rezensionen ab und zeigt sie auf der Buchungsseite an. Dabei werden keine Daten des Verantwortlichen oder seiner Kundinnen und Kunden an Google übermittelt; der Abruf ist ein reiner Lesevorgang öffentlich zugänglicher Inhalte.

Google verarbeitet dabei keine Daten im Auftrag des Auftragsverarbeiters und ist deshalb kein Unter-Auftragsverarbeiter im Sinne dieses Vertrages. Für die bei Google veröffentlichten Rezensionen ist Google Ireland Limited eigener Verantwortlicher. Übermittelt wird allein die IP-Adresse der Seitenbesucher, und zwar erst beim Laden der Profilbilder der schreibenden Personen; die Einzelheiten stehen in der Datenschutzerklärung.

Änderungen dieser Liste werden dem Verantwortlichen gemäß § 5 Abs. 2 dieses Vertrages mitgeteilt. Die jeweils aktuelle Liste ist in der Datenschutzerklärung auf www.calendio.pro einsehbar und kann in Textform beim Auftragsverarbeiter angefragt werden.