Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der Plattform für den Verantwortlichen: Online-Buchungen, Zahlungsauslösung und Stornoabwicklung, Wartelisten, Gutscheine, Kund:innen- und Terminverwaltung sowie — je nach Tarif — Dienstplanung für das Team des Verantwortlichen. Die Verarbeitung beginnt mit der Einrichtung des Studios und endet mit der Beendigung des Nutzungsvertrags; § 11 regelt Löschung und Rückgabe.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Speichern, Verändern, Übermitteln (an die in § 7 genannten Unterauftragsverarbeiter), Bereitstellen und Löschen personenbezogener Daten — ausschließlich zum Zweck des Betriebs der Plattform für den Verantwortlichen und nur im Rahmen dieses Vertrags und der Weisungen des Verantwortlichen (§ 4). Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Kategorien betroffener Personen und Datenarten

Betroffene Personen sind die Gäste/Kund:innen des Verantwortlichen sowie dessen Mitarbeitende. Verarbeitete Datenarten sind insbesondere: Stammdaten (Name, E-Mail-Adresse, ggf. Telefonnummer), Buchungs- und Termindaten, Zahlungsstatus- und Erstattungsdaten (Zahlungsmitteldaten selbst verbleiben beim Zahlungsdienstleister), Gutschein- und Wartelistendaten, Kommunikationsdaten (versandte Transaktionsmails) sowie — im Workforce-Tarif — Schicht-, Abwesenheits- und Arbeitszeitdaten der Mitarbeitenden. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Plattform; der Verantwortliche verpflichtet sich, solche Daten nicht in Freitextfelder einzugeben.

4. Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattform-Funktionen durch den Verantwortlichen und seine Einstellungen (z. B. Storno-Regeln, Mailversand, Löschaktionen) gelten als dokumentierte Weisungen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

5. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass sie die Daten nur auf Weisung verarbeiten.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft dem Stand der Technik entsprechende Maßnahmen, insbesondere:

• Strikte Mandantentrennung: jede Datenbankzeile ist einem Studio zugeordnet und durch Row-Level-Security auf Datenbankebene isoliert; die Trennung wird durch eine automatisierte Testsuite bei jeder Änderung geprüft.
• Verschlüsselung der Daten bei der Übertragung (TLS) und im Ruhezustand (at rest).
• Rollenbasierte Zugriffskontrolle (Inhaber:in, Manager:in, Mitarbeitende) mit Standort-Scoping; privilegierte Systemzugriffe laufen über eine einzige, protokollierte Zugriffsschicht.
• Selbstverwaltungs-Links für Gäste werden ausschließlich verschlüsselt gespeichert.
• Hosting und Datenhaltung in Rechenzentren in der Europäischen Union.
• Regelmäßige, automatische Datenbank-Backups mit Punkt-in-Zeit-Wiederherstellung.
• Härtungs- und Sicherheitskopfzeilen (u. a. HSTS, CSP, Clickjacking-Schutz) auf allen Seiten.

7. Unterauftragsverarbeiter

Der Verantwortliche genehmigt allgemein den Einsatz der folgenden Unterauftragsverarbeiter. Bei Übermittlungen in Drittländer bestehen EU-Standardvertragsklauseln (SCC) bzw. ein Angemessenheitsbeschluss (EU-US Data Privacy Framework). Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informiert der Auftragsverarbeiter vorab in Textform; der Verantwortliche kann aus wichtigem Grund widersprechen. Aktuelle Liste:

• Vercel Inc. (USA) — Hosting und Auslieferung der Anwendung; Serverstandort EU; SCC/DPF.
• Supabase, Inc. (USA) — Datenbank und Authentifizierung; Projektregion EU; SCC/DPF.
• Stripe Payments Europe, Ltd. (Irland) — Zahlungsabwicklung und Abrechnung; Zahlungen der Gäste fließen direkt an das Stripe-Konto des Verantwortlichen.
• Plus Five Five, Inc. („Resend“, USA) — Versand von Transaktions-E-Mails; SCC/DPF.
• Functional Software, Inc. („Sentry“, USA) — technische Fehlerdiagnose; SCC/DPF.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) — die Plattform stellt dafür u. a. Auskunfts-, Export- und Löschfunktionen in der Kund:innenverwaltung bereit — sowie bei den Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit ihn dies betrifft.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Bekanntwerden und unterstützt ihn bei seinen Melde- und Benachrichtigungspflichten aus Art. 33 und 34 DSGVO mit den dafür erforderlichen Informationen.

10. Nachweis und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Der Verantwortliche kann Kontrollen in der Regel durch Auskünfte, geeignete Nachweise und Dokumentation ausüben; Vor-Ort-Kontrollen sind nach angemessener Vorankündigung während üblicher Geschäftszeiten möglich, ohne den Geschäftsbetrieb unverhältnismäßig zu stören.

11. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die Daten auf Wunsch in einem gängigen Format zur Verfügung und löscht sie anschließend, spätestens 90 Tage nach Vertragsende — soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Aus Backups werden die Daten mit dem regulären Backup-Zyklus entfernt.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Nutzungsvertrags (AGB). Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Dieser AVV wird digital akzeptiert; Version und Zeitpunkt der Annahme werden revisionssicher gespeichert und sind im Studio-Bereich einsehbar.