Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch WhaleByte Technologies (Auftragsverarbeiter, „WhaleByte“) im Auftrag des Studios (Verantwortlicher, „Studio“) bei der Nutzung von cita. (vormals TerminPilot), paloma. und TeamPilot.

Er gilt für die Dauer des Nutzungsvertrags und endet automatisch mit diesem. Bei Widersprüchen zum Nutzungsvertrag hat dieser Vertrag in Fragen des Datenschutzes Vorrang.

2. Art, Zweck und Umfang der Verarbeitung

cita.: Online-Terminbuchung, Terminverwaltung, Erinnerungen, Bewertungen, Kalender-Abgleich und digitale Stempelkarte.

cita., E-Mails an Bestandskunden: Bewertungsanfragen und vom Studio aktivierte Hinweise auf ähnliche Leistungen einschließlich Widerspruchsverwaltung und Versandprotokoll. Das Studio bleibt dafür verantwortlich, dass die Voraussetzungen des § 7 UWG erfüllt sind.

paloma.: Erstellung und Versand von E-Mail-Newslettern einschließlich Double-Opt-In und Einwilligungsnachweis.

TeamPilot: Verwaltung von Mitarbeitern, Abwesenheiten und Arbeitszeiten.

WhaleByte verarbeitet die Daten ausschließlich zur Erbringung dieser Leistungen und nicht für eigene Zwecke.

3. Art der Daten und Kreis der Betroffenen

Betroffene: Kunden und Interessenten des Studios, Newsletter-Empfänger, Mitarbeiter des Studios.

Daten: Name, E-Mail-Adresse, Telefonnummer, Geburtstag (falls erfasst), Termine und gebuchte Leistungen, Notizen, Bewertungen, Treuepunkte, Einwilligungsnachweise (Zeitpunkt, IP-Adresse, Browser), Arbeitszeiten und Abwesenheiten.

Besondere Kategorien (Art. 9 DSGVO) verarbeitet WhaleByte nur, wenn das Studio sie selbst eingibt, etwa in Notizen oder als Abwesenheitsart „Krankheit“. Das Studio stellt sicher, dass dafür eine Rechtsgrundlage besteht, und erfasst keine Diagnosen.

4. Weisungen

WhaleByte verarbeitet die Daten nur auf dokumentierte Weisung des Studios. Die Einstellungen und Aktionen des Studios in der Software gelten als Weisung; weitere Weisungen erteilt das Studio in Textform an info@whalebyte.de.

Hält WhaleByte eine Weisung für rechtswidrig, weist es das Studio unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

5. Vertraulichkeit

Alle Personen, die bei WhaleByte Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Der Zugriff ist auf das für die Leistungserbringung, den Support und die Fehlerbehebung Notwendige beschränkt.

6. Technische und organisatorische Maßnahmen

WhaleByte trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere: verschlüsselte Übertragung (TLS), Verschlüsselung gespeicherter Daten beim Datenbankanbieter, strikte Trennung der Daten je Studio, rollenbasierte Zugriffskontrolle, Begrenzung öffentlicher Schnittstellen, tägliche Datensicherungen, automatische Löschfristen und regelmäßige Sicherheitsprüfungen.

WhaleByte darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Das Studio stimmt dem Einsatz der unten aufgeführten Unterauftragsverarbeiter zu. WhaleByte hat mit jedem einen Vertrag nach Art. 28 Abs. 4 DSGVO geschlossen.

Über neue oder geänderte Unterauftragsverarbeiter informiert WhaleByte mindestens 30 Tage vorher per E-Mail oder im Dashboard. Das Studio kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Einigung nicht möglich, darf es den Nutzungsvertrag außerordentlich kündigen.

Eine Verarbeitung außerhalb der EU erfolgt nur mit geeigneten Garantien nach Art. 44 ff. DSGVO (EU-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln).

8. Unterstützung des Studios

WhaleByte unterstützt das Studio bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), soweit das Studio diese nicht selbst über die Software erledigen kann. Anfragen, die direkt bei WhaleByte eingehen, leitet WhaleByte unverzüglich an das Studio weiter.

WhaleByte unterstützt das Studio außerdem bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit Aufsichtsbehörden.

9. Datenschutzverletzungen

WhaleByte meldet dem Studio eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Die Meldung an die Aufsichtsbehörde obliegt dem Studio.

10. Löschung und Rückgabe nach Vertragsende

Nach Ende des Nutzungsvertrags kann das Studio seine Daten 30 Tage lang exportieren. Danach löscht WhaleByte sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Datensicherungen werden im regulären Turnus überschrieben.

Während der Laufzeit gelten die automatischen Löschfristen der Software; das Studio kann Daten jederzeit selbst löschen.

11. Nachweise und Kontrollen

WhaleByte stellt dem Studio auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung (mindestens 14 Tage) zu den üblichen Geschäftszeiten möglich, sofern schriftliche Nachweise nicht ausreichen.

12. Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach dem Nutzungsvertrag. Änderungen dieses Vertrags bedürfen der Textform; das Studio stimmt einer neuen Fassung im Dashboard zu.

Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.

Anlage: Unterauftragsverarbeiter