Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: 2. August 2026 · Fassung 1.0

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die im Rahmen der Bereitstellung von TerminFlow anfällt — im Wesentlichen die Speicherung und Anzeige von Terminbuchungen, die Endkunden des Betriebs über dessen Buchungsseite vornehmen.

Die Verarbeitung dauert an, solange der Nutzungsvertrag besteht, und endet mit dessen Beendigung nach Maßgabe von § 9.

§ 2 Art und Zweck der Verarbeitung

Wir verarbeiten die Daten ausschließlich, um dem Betrieb die vereinbarte Leistung bereitzustellen: Entgegennahme von Terminanfragen, Speicherung, Anzeige im Kalender, Prüfung auf Doppelbuchungen sowie — sofern aktiviert — Versand von Bestätigungsnachrichten an die buchende Person.

Eine Nutzung für eigene Zwecke, insbesondere für Werbung, Profilbildung oder Weitergabe an Dritte, findet nicht statt.

§ 3 Art der Daten und betroffene Personen

Kategorien personenbezogener Daten:

• Name der buchenden Person
• Telefonnummer
• E-Mail-Adresse
• gebuchte Leistung sowie Datum und Uhrzeit des Termins
• Status des Termins (angefragt, bestätigt, abgesagt)
• technische Protokolldaten des Seitenaufrufs

Kategorien betroffener Personen: Kundinnen und Kunden des Betriebs.

Besondere Kategorien nach Art. 9 DSGVO: TerminFlow ist nicht auf die Verarbeitung von Gesundheitsdaten ausgelegt. Der Betrieb beachtet, dass bereits die Bezeichnung einer Leistung ein Gesundheitsdatum darstellen kann — etwa bei Heilbehandlungen. Beabsichtigt der Betrieb, solche Daten zu verarbeiten, informiert er uns vorab in Textform, damit die erforderlichen zusätzlichen Maßnahmen vereinbart werden können.

§ 4 Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Betriebs. Als Weisung gelten die im Nutzungsvertrag beschriebenen Funktionen sowie die Einstellungen, die der Betrieb im Studio selbst vornimmt. Weitergehende Weisungen bedürfen der Textform.

Sind wir der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weisen wir darauf hin und dürfen die Ausführung aussetzen.

Sind wir gesetzlich zu einer Verarbeitung verpflichtet, informieren wir den Betrieb vorab, sofern das Gesetz dies nicht verbietet.

§ 5 Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet. Vantage Software ist ein Einzelunternehmen; Zugriff hat derzeit ausschließlich der Inhaber. Werden künftig weitere Personen eingesetzt, werden diese vor Aufnahme der Tätigkeit entsprechend verpflichtet.

§ 6 Technische und organisatorische Maßnahmen

Wir treffen die in der Anlage beschriebenen Maßnahmen nach Art. 32 DSGVO. Wir dürfen sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

Der Betrieb stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• Supabase, Inc. — Datenbank, Anmeldung und Serverfunktionen. Speicherung in der Region EU (Frankfurt). Mit Supabase besteht ein Auftragsverarbeitungsvertrag.
• Vercel, Inc. — Auslieferung der Webseiten. Es fallen die unter § 3 genannten Protokolldaten an. Für Übermittlungen in die USA gelten die EU-Standardvertragsklauseln.
• Resend (Plus Five Five, Inc.) — Versand von E-Mails (Passwortwiederherstellung, Terminbestätigungen). Versand über die EU-Region. Für Übermittlungen in die USA gelten die EU-Standardvertragsklauseln.
• Stripe Payments Europe, Ltd. — Abwicklung der Abonnements der Betriebe. Sitz in Dublin, Irland. Betrifft nur die Betriebe selbst, nicht deren Endkunden.

Wir informieren den Betrieb mindestens vier Wochen vorab in Textform, bevor wir einen weiteren Unterauftragsverarbeiter einsetzen oder einen bestehenden austauschen. Der Betrieb kann der Änderung aus wichtigem, datenschutz­rechtlichem Grund widersprechen; kommt keine Einigung zustande, darf jede Seite den Nutzungsvertrag zum Zeitpunkt der Umstellung kündigen.

§ 8 Unterstützung des Verantwortlichen

Wir unterstützen den Betrieb im Rahmen des Zumutbaren bei der Erfüllung seiner Pflichten, insbesondere:

• bei Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit. Einen Großteil davon kann der Betrieb selbst im Studio erledigen — Termine lassen sich dort einsehen, ändern und löschen.
• bei der Meldung von Verletzungen des Schutzes personenbezogener Daten. Wird uns eine solche Verletzung bekannt, informieren wir den Betrieb unverzüglich, spätestens innerhalb von 24 Stunden, mit allen uns vorliegenden Informationen.
• bei einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde.

Wenden sich betroffene Personen unmittelbar an uns, leiten wir sie an den Betrieb weiter und informieren ihn.

§ 9 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löschen wir die verarbeiteten Daten nach Ablauf von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch des Betriebs löschen wir früher.

Der Betrieb kann seine Daten bis zum Ablauf dieser Frist über das Studio einsehen und über die Schaltfläche „Termine exportieren" im Studio als Tabelle (CSV) herunterladen.

§ 10 Nachweise und Kontrollen

Wir weisen die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in geeigneter Weise nach, insbesondere durch Auskunft und Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen.

Der Betrieb kann darüber hinaus nach vorheriger Ankündigung mit angemessener Frist Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Überprüfungen sind auf das Erforderliche zu beschränken und dürfen den Betriebsablauf nicht unangemessen beeinträchtigen.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen der AGB.

Anlage: Technische und organisatorische Maßnahmen

nach Art. 32 DSGVO

Vertraulichkeit

• Zugangskontrolle: Der Zugang zum Studio erfordert E-Mail und Passwort. Passwörter werden ausschließlich als kryptografischer Hash gespeichert. Bekannt gewordene Passwörter aus Datenlecks werden automatisch abgelehnt. Mindestlänge acht Zeichen.
• Zugriffskontrolle: Die Trennung der Betriebe wird auf Datenbankebene durchgesetzt (Row Level Security), nicht erst in der Anwendung. Ein Betrieb kann ausschließlich seine eigenen Daten lesen und ändern. Nicht angemeldete Besucher können Buchungsdaten technisch überhaupt nicht abrufen; auf der Buchungsseite werden nur belegte Zeitfenster ohne Namen angezeigt.
• Trennungskontrolle: Jeder Datensatz ist einem Betrieb fest zugeordnet; die Zuordnung wird bei jedem Zugriff geprüft.

Integrität

• Übertragung: Ausschließlich verschlüsselt über HTTPS/TLS.
• Eingabekontrolle: Buchungen werden serverseitig geprüft (Dauer, Zeitraum, Formate, Mengenbegrenzung). Änderungen an Terminen erfolgen nur durch den zugeordneten Betrieb.
• Zahlungsdaten: Kreditkarten- und Kontodaten werden von uns zu keinem Zeitpunkt verarbeitet oder gespeichert; sie liegen ausschließlich beim Zahlungsdienstleister Stripe.

Verfügbarkeit und Belastbarkeit

• Datensicherung: Tägliche automatische Sicherung der Datenbank durch den Unterauftragsverarbeiter Supabase (Pro-Plan). Die Sicherungen werden sieben Tage vorgehalten.
• Schutz vor Überlastung: Begrenzung gleichzeitiger Anfragen sowie Mengenbegrenzung für Buchungsanfragen je Adresse und Betrieb.

Verfahren zur Überprüfung

• Auftragskontrolle: Mit allen Unterauftragsverarbeitern bestehen Auftragsverarbeitungsverträge; für Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln.
• Überprüfung: Die Zugriffsregeln werden bei jeder Änderung am System gegen Testfälle geprüft. Sicherheitshinweise des Datenbankanbieters werden regelmäßig ausgewertet.
• Datenschutzfreundliche Voreinstellungen: Es werden keine Analyse- oder Werbedienste eingesetzt und keine Cookies zu solchen Zwecken gesetzt. Erhoben werden nur die für die Terminvereinbarung erforderlichen Angaben.