Vertrag zur Auftragsverarbeitung (AVV)

Nutzt ein Betrieb PlaxuDesk, um personenbezogene Daten seiner eigenen Kunden zu verarbeiten, ist der Betrieb Verantwortlicher und PlaxuDesk Auftragsverarbeiter. Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO wird zwischen dem nutzenden Betrieb („Verantwortlicher“) und Nico Goldmann (PlaxuDesk), Am Berge 10, 34225 Baunatal, Deutschland („Auftragsverarbeiter“) geschlossen.

§ 1 Gegenstand, Art und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Bereitstellung der Software PlaxuDesk gemäß dem zugrunde liegenden Nutzungsvertrag. (2) Art und Zweck: Speicherung, Organisation, Bereitstellung und Übermittlung von Termin-, Kunden- und Buchungsdaten sowie der Versand terminbezogener E-Mails im Auftrag des Verantwortlichen. (3) Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art der Daten und Kategorien betroffener Personen

(1) Verarbeitet werden insbesondere: Kontakt- und Stammdaten (Name, E-Mail-Adresse, Telefonnummer, optional Anschrift), Termin- und Buchungsdaten, branchenspezifische Zusatzangaben (z. B. Fahrzeugdaten: Kennzeichen, Marke, Modell, Kilometerstand) sowie Storno- und No-Show-Historie. (2) Kategorien betroffener Personen: Kunden und Interessenten des Verantwortlichen. (3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; der Verantwortliche gibt solche Daten nicht in die freien Textfelder ein.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Softwarefunktionen durch den Verantwortlichen gilt als solche Weisung. (2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter unterhält insbesondere:

• mandantengetrennte Datenhaltung mit Zugriffskontrolle auf Datenbankebene (Row-Level-Security);
• verschlüsselte Datenübertragung (TLS/HTTPS);
• Passwort-Hashing;
• rollen- und rechtebasierte Zugriffskontrolle;
• Protokollierung sicherheitsrelevanter Vorgänge mit Zeitpunkt, handelnder Person und IP-Adresse;
• Geräte- und Sitzungsverwaltung mit Widerrufsmöglichkeit;
• abgesicherte Zahlungs- und Webhook-Verarbeitung mit Signaturprüfung;
• signierte Zugriffs-Token mit hoher Entropie für öffentliche Storno- und Wartelistenlinks;
• atomare Terminbuchung zum Schutz vor Doppelbuchungen.

Die Maßnahmen werden dem Stand der Technik entsprechend fortentwickelt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase – Datenbank, Authentifizierung und Datei-Speicher; Serverstandort Vereinigtes Königreich (Region London, eu-west-2).
• Vercel Inc. – Hosting und Bereitstellung; USA, auf Grundlage von Standardvertragsklauseln.
• Checkdomain GmbH – E-Mail-Versand und -Empfang; Deutschland.

(2) Stripe wird ausschließlich für die Abrechnung zwischen Auftragsverarbeiter und Verantwortlichem eingesetzt und verarbeitet keine Endkundendaten des Verantwortlichen; Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags. (3) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter rechtzeitig; der Verantwortliche kann berechtigt widersprechen. (4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau.

§ 7 Ort der Verarbeitung / Drittland

Die Datenbank und der Datei-Speicher werden im Vereinigten Königreich betrieben. Das Vereinigte Königreich ist ein Drittland, für das ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO besteht; die Übermittlung ist damit zulässig. Für Dienstleister außerhalb der EU/des EWR ohne Angemessenheitsbeschluss (insbesondere Vercel in den USA) bestehen geeignete Garantien nach Art. 44 ff. DSGVO, insbesondere Standardvertragsklauseln.

§ 8 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei Melde- und Benachrichtigungspflichten (Art. 33, 34) und Datenschutz-Folgenabschätzungen (Art. 35, 36).

§ 9 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis.

§ 10 Löschung und Rückgabe

Nach Beendigung des Auftrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 11 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.

§ 12 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Abschluss

Betriebe, die diesen Auftragsverarbeitungsvertrag abschließen möchten, wenden sich an support@plaxudesk.com. Wir stellen den Vertrag zur verbindlichen Bestätigung bereit.