Vertragsparteien
Verantwortlicher: der Salon als Kunde des Dienstes (im Folgenden: Verantwortlicher).
Auftragsverarbeiter: REALDROPHUNT LABS LTD, eingetragen in England und Wales unter der Nummer 16830742, Sitz: 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich (im Folgenden: Auftragsverarbeiter).
1. Gegenstand
Der Auftragsverarbeiter verarbeitet personenbezogene Daten für den Verantwortlichen ausschließlich zur Erbringung des Dienstes Bookmellow (Online-Terminbuchung) gemäß den AGB und nach dokumentierten Weisungen des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen, die der Verantwortliche im Dienst wählt. Für eigene Zwecke verwendet der Auftragsverarbeiter die Daten nicht.
2. Beschreibung der Verarbeitung
| Betroffene | Kunden des Verantwortlichen; Mitarbeiter und Benutzer des Verantwortlichen |
| Datenarten | Vor- und Nachname, Telefon, E-Mail, optionale Anmerkung, Termine (Leistung, Zeit, Mitarbeiter, Status, Preis), Einwilligung in Werbung; bei Benutzern: Name, E-Mail, gehashtes Passwort |
| Besondere Kategorien | Der Dienst ist nicht für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO bestimmt, auch nicht für Gesundheitsdaten (z. B. Allergien). Bei den Anmerkungsfeldern steht ein Hinweis, solche Daten nicht einzutragen. Wird ein solches Datum dennoch eingetragen, löscht es der Verantwortliche; der Auftragsverarbeiter löscht es auf Anweisung oder wenn er es selbst bemerkt und informiert den Verantwortlichen. |
| Art der Verarbeitung | Erhebung (Buchungsformular, manuelle Eingabe, Import), Speicherung, Einsicht, Änderung, Weitergabe an Unterauftragsverarbeiter zum Versand von Benachrichtigungen, Export und Löschung |
| Zweck | Buchung, Bestätigung, Erinnerung, Stornierung und Verschiebung von Terminen; Führung von Kalender und Kundenliste des Verantwortlichen |
| Dauer | während der Laufzeit des Vertrags; danach 30 Tage für den Export (Punkt 7) |
| Ort der Verarbeitung | Hosting und Sicherungskopien in der Europäischen Union (Server in Deutschland, verschlüsselte Sicherungskopien in Polen). Der Auftragsverarbeiter ist ein Unternehmen im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der Europäischen Kommission gilt (bis 27.12.2031); die Daten werden von einer Person in Slowenien betreut. |
3. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter:
- verarbeitet die Daten nur nach dokumentierten Weisungen des Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer;
- informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Ansicht nach gegen Datenschutzvorschriften verstößt;
- stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
- trifft die technischen und organisatorischen Maßnahmen nach Punkt 6;
- unterstützt den Verantwortlichen bei Anfragen betroffener Personen: Export aller Daten und Löschung einer Kundin sind im Dienst eingebaut; für weitere Unterstützung schreibt der Verantwortliche an info@bookmellow.com, der Auftragsverarbeiter antwortet spätestens innerhalb von 5 Werktagen;
- unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO;
- meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, erstmals spätestens innerhalb von 48 Stunden nach Kenntnis, mit den zu diesem Zeitpunkt verfügbaren Angaben (Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene Maßnahmen, Kontakt), und ergänzt die Meldung laufend;
- verfährt nach Vertragsende gemäß Punkt 7;
- stellt dem Verantwortlichen die für den Nachweis der Einhaltung nötigen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang nach Ankündigung von mindestens 14 Tagen. Bei einer Datenschutzverletzung, auf Verlangen einer Aufsichtsbehörde oder bei begründetem Verdacht eines Verstoßes ist eine kürzere Ankündigung möglich.
4. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für folgende Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Zweck | Ort |
|---|---|---|
| OVH SAS | Hosting von Server und Datenbank; verschlüsselte Sicherungskopien | Deutschland und Polen (EU) |
| Brevo (Sendinblue SAS) | Versand von E-Mail-Benachrichtigungen an Kunden | Frankreich (EU) |
| Ms3 d.o.o. (SMSapi.si), Ulica miru 21, Ljubljana | Versand von SMS-Erinnerungen (nur Paket Pro) | Slowenien (EU) |
Der Auftragsverarbeiter schließt mit den Unterauftragsverarbeitern Verträge, die ihnen dieselben Datenschutzpflichten wie dieser Vertrag auferlegen, und haftet dem Verantwortlichen für die Erfüllung ihrer Pflichten.
Über eine beabsichtigte Hinzufügung oder Ersetzung informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage im Voraus; der Verantwortliche kann in dieser Zeit widersprechen und, wenn keine Einigung möglich ist, den Vertrag kündigen.
5. Pflichten des Verantwortlichen
Der Verantwortliche sorgt für die Rechtsgrundlage der Verarbeitung, informiert seine Kunden über die Verarbeitung (Datenschutzerklärung), trägt in Anmerkungen keine besonderen Kategorien von Daten ein und sendet Werbung nur auf Grundlage einer gesonderten ausdrücklichen Einwilligung.
6. Technische und organisatorische Maßnahmen
- verschlüsselte Verbindung (HTTPS/TLS) für den gesamten Datenverkehr;
- gehashte Passwörter; Kontosperre nach 5 fehlgeschlagenen Anmeldeversuchen; Rollen (Inhaber, Mitarbeiter);
- logische Trennung der Daten der Verantwortlichen in Anwendung und Datenbank;
- Datenbank aus dem Internet nicht erreichbar; Server-Anmeldung nur mit SSH-Schlüssel; Firewall; automatische Sicherheitsupdates;
- tägliche Sicherungskopien (Aufbewahrung 14 Tage), eine verschlüsselte Kopie auf einem getrennten Server (30 Tage) und Sicherungen des Hosting-Anbieters (7 Tage); die Wiederherstellung aus der verschlüsselten Kopie ist getestet;
- Datenminimierung (Endkunden registrieren sich nicht); Terminverwaltung über einen signierten, nicht erratbaren Link;
- Löschung einer Kundin auf Anfrage: Name, Telefon, E-Mail, Anmerkung der Kundin, Anmerkungen zu ihren Terminen und Empfängeradressen von Benachrichtigungen werden entfernt; künftige Termine werden storniert.
7. Vertragsende und Löschung
- Nach Vertragsende hat der Verantwortliche 30 Tage Zeit für den Export der Daten (Export mit einem Klick oder auf Anfrage).
- Danach löscht der Auftragsverarbeiter die Daten aus dem aktiven System, sofern keine gesetzliche Aufbewahrungspflicht besteht.
- Aus Sicherungskopien werden die Daten mit Ablauf ihrer Aufbewahrung gelöscht, spätestens 30 Tage nach der Löschung aus dem aktiven System (insgesamt also höchstens etwa 60 Tage nach Vertragsende).
- Muss das System aus einer Sicherungskopie wiederhergestellt werden, führt der Auftragsverarbeiter danach die seit Erstellung dieser Kopie vorgenommenen Löschungen erneut durch bzw. informiert den Verantwortlichen über den wiederhergestellten Zeitraum, damit er die Löschungen wiederholen kann.
8. Abschluss und Laufzeit
Der Vertrag ist geschlossen, wenn der Inhaber des Salons ihn in der Verwaltung des Dienstes bestätigt (bei der ersten Anmeldung) oder wenn der Verantwortliche ein Angebot annimmt, das auf diese Fassung (Datum der Änderung oben) verweist, per E-Mail oder durch Unterschrift. Der Auftragsverarbeiter bewahrt einen Nachweis der Bestätigung auf (Person, Datum und Uhrzeit, Fassung). Der Vertrag gilt, solange der Vertrag über die Nutzung von Bookmellow besteht. Die Pflichten zu Vertraulichkeit und Löschung gelten auch nach dessen Ende.