Vertrag zur Auftragsverarbeitung

Vertragsparteien

Verantwortlicher: das Studio, das Terminvo nach den AGB nutzt (im Folgenden „Studio“).

Auftragsverarbeiter: Terminvo, betrieben von:

Abschluss des Vertrags: [Platzhalter: Form des Abschlusses festlegen, etwa elektronisch bei der Registrierung oder unterschrieben]

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Studios bei der Bereitstellung von Terminvo nach dem Hauptvertrag (AGB).
2. Der Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus, bis alle Daten gelöscht oder zurückgegeben sind.

§ 2 Art und Zweck der Verarbeitung

Speichern, Anzeigen, Ändern, Durchsuchen, Versenden per E-Mail, Exportieren und Löschen von Daten, damit das Studio Termine, Kunden, Verträge und Zahlungen verwalten kann. Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke.

§ 3 Arten der Daten und Kategorien Betroffener

Arten der Daten

• Stammdaten: Name, Geburtsdatum, Anschrift
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Termin- und Buchungsdaten, Anmerkungen, Check-ins
• Vertragsdaten: Tarif, Laufzeit, Ruhezeiten, Kündigung
• Zahlungsdaten: Zahler, IBAN, BIC, Kontoinhaber, SEPA-Mandate, Forderungen, Lastschriften
• Notizen des Studios, die Angaben zur Gesundheit enthalten können
• Daten der Mitarbeiter: Name, Arbeitszeiten, Abwesenheiten (auch Krankheit), Zugänge und Rollen
• Zugangsdaten zum Kundenbereich und Zustimmungen zu Texten des Studios

Kategorien Betroffener

• Kunden und Interessenten des Studios
• Zahler, zum Beispiel Eltern von Mitgliedern
• Mitarbeiter und Nutzer des Studios

Besondere Kategorien nach Art. 9 DSGVO verarbeitet der Auftragsverarbeiter nur, soweit das Studio sie eingibt, etwa als Abwesenheit wegen Krankheit oder in Notizen.

§ 4 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Studios. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung von Terminvodurch das Studio. Weitere Weisungen erteilt das Studio in Textform.
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Studio unverzüglich mit. Er darf die Ausführung bis zur Klärung aussetzen.
3. Eine Verarbeitung ohne Weisung ist nur zulässig, wenn das Recht der EU oder Deutschlands sie verlangt. Dann informiert der Auftragsverarbeiter das Studio vorher, soweit das Gesetz es nicht verbietet.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Pflicht zur Verschwiegenheit unterliegen. [Platzhalter: Liste der Personen mit Zugriff, heute nur der Inhaber]

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie anpassen, wenn das Schutzniveau nicht sinkt.

§ 7 Unterauftragsverarbeiter

1. Das Studio stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
2. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter das Studio vorher in Textform. Das Studio kann innerhalb von [Platzhalter: Frist] aus wichtigem Datenschutzgrund widersprechen. Bei Widerspruch kann jede Seite den Hauptvertrag kündigen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Bei Übermittlungen in Drittländer sorgt er für geeignete Garantien nach Art. 44 ff. DSGVO.

§ 8 Unterstützung des Studios

1. Der Auftragsverarbeiter unterstützt das Studio mit geeigneten Maßnahmen bei Anfragen Betroffener nach Art. 12 bis 23 DSGVO. Erreicht ihn eine solche Anfrage, leitet er sie unverzüglich an das Studio weiter.
2. Er unterstützt das Studio bei den Pflichten nach Art. 32 bis 36 DSGVO, etwa bei einer Datenschutz-Folgenabschätzung.
3. Vergütung für Unterstützung, die über den üblichen Umfang hinausgeht: [Platzhalter: regeln]

§ 9 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Studio eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt wird. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen. [Platzhalter: Meldefrist, etwa 24 oder 48 Stunden, und Meldeweg festlegen]

§ 10 Löschung und Rückgabe

Nach Ende des Hauptvertrags gibt der Auftragsverarbeiter die Daten nach Wahl des Studios zurück oder löscht sie, soweit keine Pflicht zur Speicherung besteht. Frist und Format: [Platzhalter: Frist festlegen. Ein allgemeiner Datenexport ist noch nicht umgesetzt] Kopien in Datensicherungen werden nach [Platzhalter: Frist] überschrieben.

§ 11 Kontrollrechte

Der Auftragsverarbeiter stellt dem Studio alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Er ermöglicht Überprüfungen einschließlich Inspektionen durch das Studio oder einen beauftragten Prüfer nach rechtzeitiger Anmeldung und während der Geschäftszeiten. [Platzhalter: Ankündigungsfrist und Kosten regeln]

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regeln zur Haftung in den AGB. [Platzhalter: Verhältnis zu Art. 82 DSGVO prüfen]

§ 13 Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um Datenschutz geht. Im Übrigen gelten die Schlussbestimmungen der AGB.

Anlage 1: Technische und organisatorische Maßnahmen

Hosting und Übertragung

• Server der App bei Hetzner in Deutschland (Nürnberg).
• Datenbank und Anmeldung bei Supabase in der EU (Irland). [Platzhalter: Region bestätigen]
• Alle Verbindungen über HTTPS mit TLS. HTTP wird automatisch auf HTTPS umgeleitet.
• Nach außen sind nur die Ports 80 und 443 offen. App und Webserver laufen in einem privaten Netz, die App als eigener Benutzer ohne Administratorrechte.
• Sicherheits-Header, unter anderem eine Content Security Policy, und keine Weitergabe der Adresse an fremde Seiten.

Mandantentrennung, Zugriff und Rechte

• Jedes Studio ist ein eigener Mandant. Alle fachlichen Daten tragen die Kennung des Studios (organization_id). Verknüpfungen zwischen Daten verschiedener Studios verhindert die Datenbank.
• Row Level Security in der Datenbank: Jede Abfrage sieht nur Daten des eigenen Studios und nur mit passender Berechtigung.
• Rollen mit festen Rechten (Inhaber, Leitung, Mitarbeiter). Die Rechte prüfen Server und Datenbank, nicht nur die Oberfläche. Mitarbeiter sehen nur, was ihre Rolle erlaubt.
• Anmeldung mit E-Mail und Passwort (mindestens 10 Zeichen). Fehlermeldungen verraten nicht, ob ein Konto existiert.
• Zwei-Faktor-Anmeldung für alle Konten mit Zugriff auf Server, Code und Datenbank (Hetzner, GitHub, Supabase).
• Ein privilegierter Schlüssel wird nur an einer Stelle für die Aktivierung von Einladungen genutzt, nie im Browser.

Verschlüsselung und Schutz von Zahlungsdaten

• IBAN der Zahler verschlüsselt in der Datenbank (pgcrypto, AES-256). Der Schlüssel liegt getrennt im Vault von Supabase.
• Die Oberfläche zeigt nur die letzten vier Stellen. Das Anzeigen der vollen IBAN braucht ein eigenes Recht und wird protokolliert.
• Lastschriftdateien werden nicht auf dem Server gespeichert.
• Mandate, Verträge, Forderungen und Lastschriften können nicht gelöscht werden, ihre Historie wird nur ergänzt.

Protokolle und Überwachung

• Kein Zugriffsprotokoll des Webservers. Fehlerprotokolle enthalten nur Arbeitsschritt und Fehlercode, keine Namen, E-Mail-Adressen, IBAN oder Suchbegriffe.
• Fehlerüberwachung mit Sentry in der EU, mit Filter für personenbezogene Daten, ohne Sitzungsaufzeichnung.
• Prüfung der Erreichbarkeit von außen mit Alarm.

Verfügbarkeit und Wiederherstellung

• Automatische Rückkehr zur vorigen Version, wenn ein Update den Gesundheitstest nicht besteht.
• Datensicherung: [Platzhalter: tägliche Backups mit Supabase Pro sind geplant, Umfang und Aufbewahrung eintragen]
• Offline-Kopie der Schlüssel für die IBAN-Verschlüsselung: [Platzhalter: Stand prüfen]

Organisatorische Maßnahmen

• Änderungen an der Datenbank nur über versionierte Migrationen, geprüft vor dem Einsatz.
• Jede Änderung am Code durchläuft automatische Tests vor der Auslieferung.
• Löschkonzept und regelmäßige Überprüfung der Maßnahmen: [Platzhalter: ergänzen]

Anlage 2: Unterauftragsverarbeiter