Auftragsverarbeitungsvertrag

Diese Vereinbarung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Nutzung der Plattform Inkboard nach Maßgabe der Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag") zwischen

dem Kunden – dem jeweiligen Studio, das einen Inkboard-Account nutzt – als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher")

und

Luka Nico Holtzmann, Holtzmann Automation

Hauptstraße 186, 77966 Kappel-Grafenhausen, Deutschland

als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter").

Der Verantwortliche entscheidet allein über Zweck und Mittel der Verarbeitung der von ihm in die Plattform eingestellten personenbezogenen Daten. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich für den Verantwortlichen.

Nicht Gegenstand dieses AVV ist die Verarbeitung von Daten, für die der Auftragsverarbeiter selbst Verantwortlicher ist – insbesondere Account-Stammdaten des Studios, Abrechnungsdaten sowie Nutzungs- und Protokolldaten zum Betrieb der Plattform. Hierfür gilt die Datenschutzerklärung.

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Software-as-a-Service-Plattform Inkboard zur Organisation des Studiobetriebs sowie die damit zwangsläufig verbundene Verarbeitung personenbezogener Daten der in § 3 genannten Personengruppen.

Dauer: Die Vereinbarung beginnt mit ihrer Annahme und läuft für die Dauer des Hauptvertrages. Sie endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten nach § 11 (Löschung und Rückgabe) sowie die Vertraulichkeitspflichten nach § 5 bestehen über das Vertragsende hinaus fort.

Der Verantwortliche kann diese Vereinbarung jederzeit kündigen, wenn und soweit er den Hauptvertrag kündigt. Eine isolierte Kündigung dieses AVV bei fortbestehendem Hauptvertrag ist nicht möglich, da die Leistung ohne Verarbeitung nicht erbracht werden kann.

Die Verarbeitung erfolgt ausschließlich zur Erbringung der im Hauptvertrag beschriebenen Leistungen. Sie umfasst insbesondere folgende Verarbeitungstätigkeiten:

a) Anfragen- und Kundenverwaltung: Erfassung, Speicherung, Strukturierung und Auswertung von Anfragen (Webformular, Buchungsseite, Nachrichtenkanäle) sowie Pflege von Kundenprofilen und Verlaufsdaten.

b) Termin- und Buchungsverwaltung: Anlage, Änderung, Absage und Erinnerung von Terminen; Verfügbarkeitsberechnung; optionale Synchronisation mit einem vom Verantwortlichen verbundenen Kalender.

c) Einverständniserklärungen und Dokumentation: Bereitstellung digitaler Formulare, Erfassung von Angaben und Unterschriften, revisionssichere Ablage der zum Zeitpunkt der Unterzeichnung geltenden Erklärungstexte sowie Dokumentation durchgeführter Behandlungen.

d) Kommunikation: Versand von Transaktions- und Benachrichtigungs-E-Mails im Namen des Verantwortlichen sowie – soweit aktiviert – Empfang und Versand von Nachrichten über verbundene Nachrichtenkanäle.

e) Automatisierte Vorbewertung von Anfragen: Erstellung von Einschätzungen und Antwortentwürfen mittels KI-gestützter Verfahren. Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt; die Ergebnisse sind Vorschläge und werden vom Verantwortlichen geprüft.

f) Kundenbindung und Abrechnungsvorbereitung: Verwaltung von Gutscheinen, Treuepunkten und Belohnungen sowie Aufbereitung bestätigter Umsätze für die Buchhaltung des Verantwortlichen.

g) Betrieb, Sicherung und Support: Hosting, Datensicherung, Fehleranalyse und Support. Ein Zugriff auf Klardaten erfolgt dabei nur, soweit dies zur Störungsbeseitigung erforderlich ist.

Kategorien betroffener Personen:

– Interessentinnen und Interessenten des Verantwortlichen (Anfragen);
– Kundinnen und Kunden des Verantwortlichen;
– gesetzliche Vertreterinnen und Vertreter minderjähriger Kundinnen und Kunden;
– Beschäftigte und mitarbeitende Artists des Verantwortlichen, soweit sie als Nutzer angelegt sind.

Arten der verarbeiteten Daten:

– Stamm- und Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, ggf. Anschrift, ggf. Messenger-Kennungen);
– Geburtsdatum und daraus abgeleitete Altersangaben;
– Termin-, Sitzungs- und Verlaufsdaten (Datum, Dauer, Leistung, zuständige Person);
– Inhalte von Anfragen und Nachrichten einschließlich übermittelter Referenzbilder;
– Angaben aus Einverständniserklärungen einschließlich Unterschriftenbild;
– Behandlungs- und Dokumentationsdaten (z. B. verwendete Materialien, Pflegehinweise, Fotos der behandelten Körperstelle);
– umsatzbezogene Angaben zu erbrachten Leistungen sowie Gutschein- und Treuedaten;
– Nutzungs- und Protokolldaten, soweit sie zur Erbringung der Leistung anfallen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Den Parteien ist bewusst, dass im Rahmen von Einverständniserklärungen und Behandlungsdokumentationen Gesundheitsangaben (z. B. Angaben zu Vorerkrankungen, Allergien, Medikamenteneinnahme, Schwangerschaft) sowie Aufnahmen der behandelten Körperstelle verarbeitet werden können. Diese Daten unterliegen einem erhöhten Schutzniveau.

Der Verantwortliche stellt sicher, dass für die Verarbeitung solcher Daten eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt, insbesondere eine ausdrückliche Einwilligung der betroffenen Person. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich im Rahmen der technischen Leistungserbringung und wertet sie nicht inhaltlich aus.

Daten Minderjähriger: Soweit der Verantwortliche Minderjährige behandelt, werden auch deren Daten sowie Daten der gesetzlichen Vertretung verarbeitet. Die Prüfung des Alters, der Identität und der Vertretungsbefugnis obliegt allein dem Verantwortlichen; die Plattform stellt hierfür lediglich Dokumentationsfunktionen bereit.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Erstweisung ergibt sich aus dem Hauptvertrag und diesem AVV. Weitergehende Weisungen erteilt der Verantwortliche in Textform an die in § 13 genannte Kontaktadresse. Die Nutzung der Konfigurationsmöglichkeiten der Plattform durch den Verantwortlichen gilt ebenfalls als Weisung.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis diese bestätigt oder geändert wird.

Der Auftragsverarbeiter verarbeitet die Daten vertraulich. Er stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und dass sie mit den einschlägigen Datenschutzbestimmungen vertraut sind.

Der Kreis der zugriffsberechtigten Personen ist auf das für die Leistungserbringung erforderliche Minimum beschränkt.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Zum Zeitpunkt des Vertragsschlusses sind dies insbesondere:

a) Vertraulichkeit und Zugriffskontrolle. Zugang zur Plattform nur nach Authentifizierung. Rollenbasierte Rechtevergabe (Inhaber, Artist, Administration). Mandantentrennung auf Datenbankebene durch zeilenbasierte Sicherheitsregeln („Row Level Security"), sodass ein Account grundsätzlich nur auf die Daten des eigenen Studios zugreifen kann. Administrative Schlüssel werden ausschließlich serverseitig verwendet und gelangen nicht in den Browser.

b) Verschlüsselung. Transportverschlüsselung (TLS) für sämtliche Verbindungen. Verschlüsselung der Daten im Ruhezustand auf Ebene der eingesetzten Infrastruktur. Zugangstokens verbundener Drittdienste werden zusätzlich anwendungsseitig verschlüsselt gespeichert (AES-256-GCM).

c) Schutz besonders sensibler Inhalte. Kunden- und Dokumentationsfotos werden in nicht öffentlich zugänglichen Speicherbereichen abgelegt und ausschließlich über kurzlebige, signierte Links ausgeliefert.

d) Verfügbarkeit und Belastbarkeit. Betrieb auf redundanter Cloud-Infrastruktur mit automatisierter, regelmäßiger Datensicherung und der Möglichkeit der Wiederherstellung.

e) Datenlokalisierung. Die Datenbank, die Dateiablage und die Automatisierungsumgebung werden in Rechenzentren innerhalb der Europäischen Union betrieben (Datenbank und Dateiablage: Frankfurt am Main; Automatisierung: Nürnberg).

f) Trennungskontrolle. Trennung von Produktiv- und Testdaten; Testkonten sind als solche gekennzeichnet und von Auswertungen ausgenommen.

g) Protokollierung und Nachvollziehbarkeit. Protokollierung sicherheitsrelevanter Vorgänge. Ein Support-Zugriff auf einen Studio-Account ist nur über ein zeitlich befristetes, einmalig verwendbares und protokolliertes Verfahren möglich; er ist standardmäßig lesend ausgestaltet.

h) Fehler- und Störungserkennung. Technische Fehler werden systematisch erfasst, um stille Fehlfunktionen erkennbar zu machen.

Der Auftragsverarbeiter ist berechtigt, die Maßnahmen weiterzuentwickeln, solange das Schutzniveau nicht unterschritten wird. Eine jeweils aktuelle Darstellung wird dem Verantwortlichen auf Anfrage zur Verfügung gestellt.

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO, die nachstehenden Unterauftragsverarbeiter einzusetzen. Mit jedem von ihnen bestehen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen.

Supabase Pte. Ltd – Datenbank, Authentifizierung, Dateispeicher, Echtzeitsynchronisation. Verarbeitet sämtliche in der Plattform gespeicherten Daten. Verarbeitungsort: Frankfurt am Main (EU).

Vercel Inc. – Hosting und Auslieferung der Anwendung. Verarbeitet Verbindungs- und Protokolldaten sowie die im Rahmen von Anfragen übermittelten Inhalte. Sitz USA; zertifiziert nach dem EU-US Data Privacy Framework.

Elestio limited – Betrieb der Automatisierungsumgebung (n8n). Verarbeitet diejenigen Daten, die im jeweiligen automatisierten Ablauf erforderlich sind (z. B. Name und Kontaktdaten für den Versand einer Terminerinnerung). Das Hosting erfolgt über den Unterauftragsverarbeiter netcup GmbH; Verarbeitungsort: Nürnberg (Deutschland, EU).

Plus Five Five, Inc. (Resend) – Versand von Transaktions- und Benachrichtigungs-E-Mails. Verarbeitet E-Mail-Adresse, Name und Inhalt der jeweiligen Nachricht. Sitz USA; Übermittlung auf Grundlage geeigneter Garantien nach Art. 46 DSGVO.

OpenAI Ireland Limited – KI-gestützte Vorbewertung von Anfragen und Erstellung von Antwortentwürfen. Verarbeitet den Inhalt der jeweiligen Anfrage einschließlich darin enthaltener Kontaktangaben. Die Daten werden nicht zum Training der Modelle verwendet. Übermittlung auf Grundlage geeigneter Garantien nach Art. 46 DSGVO.

Google Ireland Limited (optional). Nur wenn der Verantwortliche die Kalendersynchronisation aktiviert. In den Google-Kalender des Verantwortlichen werden Termindaten geschrieben: die Bezeichnung des Termins mit Leistungsart und Namen der betroffenen Person, Beginn und Ende sowie der zugeordnete Artist als Teilnehmer; bei Online-Buchungen zusätzlich die E-Mail-Adresse der betroffenen Person als Teilnehmer (ohne Benachrichtigung durch Google) und deren Freitextangabe zum gewünschten Motiv; bei im Studio angelegten Terminen der Text der Anfrage, die KI-Zusammenfassung, Beratungsnotizen und ein genanntes Preisangebot als Terminbeschreibung. Umgekehrt liest die Synchronisation aus diesem Kalender Termine mit externen Teilnehmern (E-Mail-Adresse, Anzeigename, Terminbezeichnung), um Selbstbuchungen als Anfrage zu übernehmen.

WhatsApp Ireland Limited (optional). Nur wenn der Verantwortliche den Nachrichtenkanal WhatsApp aktiviert. Verarbeitet die über diesen Kanal ausgetauschten Nachrichteninhalte und Kennungen (insbesondere die Telefonnummer).

Meta Platforms Ireland Limited (optional). Nur wenn der Verantwortliche den Nachrichtenkanal Instagram aktiviert. Verarbeitet die über diesen Kanal ausgetauschten Nachrichteninhalte und Kennungen (insbesondere die Instagram-Kennung und den öffentlichen Benutzernamen).

Nicht als Unterauftragsverarbeiter gilt der Zahlungsdienstleister Stripe: Er verarbeitet ausschließlich die Abrechnungsdaten des Verantwortlichen gegenüber dem Auftragsverarbeiter, nicht jedoch Daten, die im Auftrag des Verantwortlichen verarbeitet werden. Insoweit ist der Auftragsverarbeiter selbst Verantwortlicher.

Änderungen: Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Beauftragung eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Im Fall eines berechtigten Widerspruchs, der eine Leistungserbringung unmöglich macht, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung zu kündigen.

Die Kernverarbeitung (Datenbank, Dateispeicher, Automatisierung) findet innerhalb der Europäischen Union statt. Soweit einzelne Unterauftragsverarbeiter Daten außerhalb der EU bzw. des EWR verarbeiten, erfolgt dies ausschließlich auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO – insbesondere Standardvertragsklauseln der Europäischen Kommission oder einer gültigen Angemessenheitsentscheidung.

Werden Push-Benachrichtigungen genutzt, wird der Benachrichtigungstext technisch notwendigerweise über den Push-Dienst des jeweiligen Betriebssystem- bzw. Browserherstellers ausgeliefert. Der Verantwortliche kann die Push-Funktion deaktivieren.

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von dessen Pflichten.

a) Betroffenenrechte (Art. 12–23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst. Die Plattform stellt dem Verantwortlichen Funktionen zur Auskunft, Berichtigung, Löschung und Datenübertragbarkeit bereit, insbesondere einen Export der studiobezogenen Daten in einem gängigen Format.

b) Datenschutzverletzungen (Art. 33, 34 DSGVO). Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten.

c) Datenschutz-Folgenabschätzung (Art. 35, 36 DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen die ihm vorliegenden Informationen zur Verfügung, die dieser für eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation der Aufsichtsbehörde benötigt.

d) Sicherheit (Art. 32 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Gewährleistung der Sicherheit der Verarbeitung im Rahmen der in § 6 beschriebenen Maßnahmen.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung zu überprüfen. Die Überprüfung erfolgt vorrangig durch Einholung von Auskünften sowie durch Vorlage einer aktuellen Beschreibung der technischen und organisatorischen Maßnahmen oder – soweit vorhanden – geeigneter Zertifizierungen und Prüfberichte.

Soweit dies zur Erfüllung gesetzlicher Prüfpflichten erforderlich ist, kann der Verantwortliche nach rechtzeitiger Ankündigung in angemessener Frist während der üblichen Geschäftszeiten eine Überprüfung vor Ort vornehmen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Auftragsverarbeiter im Wettbewerb stehenden Prüfer vornehmen lassen. Der Betriebsablauf darf dadurch nicht unangemessen beeinträchtigt werden. Für einen über den gesetzlich geschuldeten Umfang hinausgehenden Aufwand kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück.

Der Verantwortliche kann seine Daten bis zum Vertragsende jederzeit selbst über die Exportfunktion der Plattform beziehen. Nach Vertragsende stellt der Auftragsverarbeiter den Export für einen Zeitraum von 30 Tagen auf Anfrage bereit. Nach Ablauf dieser Frist werden die Daten innerhalb von weiteren 90 Tagen aus den Produktivsystemen gelöscht; Datensicherungen werden im Rahmen der regulären Sicherungszyklen überschrieben.

Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese werden für die Dauer der Aufbewahrungsfrist gesperrt und ausschließlich zu diesem Zweck verarbeitet.

Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er stellt insbesondere sicher, dass:

– für die in die Plattform eingestellten Daten eine tragfähige Rechtsgrundlage besteht, bei besonderen Kategorien personenbezogener Daten insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO;
– die betroffenen Personen ordnungsgemäß nach Art. 13, 14 DSGVO informiert werden;
– bei Minderjährigen die Einwilligung der gesetzlichen Vertretung eingeholt und deren Vertretungsbefugnis geprüft wird;
– Zugangsdaten und Nutzerrechte innerhalb seines Betriebs sorgfältig vergeben und entzogen werden;
– vor Vertragsende erforderliche Datenexporte vorgenommen werden.

Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten für die eigene Verarbeitung; der Auftragsverarbeiter führt das Verzeichnis nach Art. 30 Abs. 2 DSGVO für die Verarbeitung im Auftrag.

Für die Haftung gelten die Regelungen des Hauptvertrages sowie Art. 82 DSGVO. Eine Haftung des Auftragsverarbeiters für Schäden, die durch eine rechtswidrige Weisung oder eine fehlende Rechtsgrundlage auf Seiten des Verantwortlichen entstehen, ist ausgeschlossen.

Kontakt für datenschutzrechtliche Anliegen und Weisungen: luka@holtzmann-automation.de

Änderungen dieser Vereinbarung bedürfen der Textform. Erforderliche Anpassungen aufgrund geänderter Rechtslage oder aufsichtsbehördlicher Vorgaben teilt der Auftragsverarbeiter rechtzeitig mit; die Regelung des Hauptvertrages zur Änderung von Vertragsbedingungen gilt entsprechend.

Im Verhältnis zum Hauptvertrag gehen die Regelungen dieses AVV bei datenschutzrechtlichen Fragen vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.