Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Gegenstand ist die Bereitstellung der Software „HeyTermin“ zur Terminverwaltung, einschließlich der öffentlichen Buchungsseite, der Benachrichtigungen per E-Mail und — soweit genutzt — der Website des Betriebs.

(2) Verantwortlicher im Sinne der DSGVO ist der Kunde (der Betrieb). Auftragsverarbeiter ist Ralf Heßlinger, Abt-Knittel-Allee 35, 97922 Lauda-Königshofen, E-Mail info@heytermin.de.

(3) Die Dauer entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf.

§ 2 Art und Zweck der Verarbeitung

Art, Umfang und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1. Umfasst sind auch Gesundheitsdaten (Art. 9 DSGVO), soweit sie sich aus den Leistungen, dem Tätigkeitsfeld des Betriebs oder den Notizen ergeben.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software durch den Verantwortlichen gilt als Weisung; darüber hinausgehende Weisungen erfolgen in Textform.

(2) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

(3) Eine Verarbeitung außerhalb der Weisungen erfolgt nur, soweit Unionsrecht oder deutsches Recht es verlangt; in diesem Fall wird der Verantwortliche vorab unterrichtet, sofern das Recht dies nicht verbietet.

§ 4 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit. Zur Verarbeitung eingesetzte Personen werden zur Vertraulichkeit verpflichtet, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Sicherheit der Verarbeitung. Der Auftragsverarbeiter trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

(3) Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen sowie bei Datenschutz-Folgenabschätzungen und der Zusammenarbeit mit Aufsichtsbehörden.

(4) Keine Nutzung für eigene Zwecke. Die im Auftrag verarbeiteten Daten werden nicht für eigene Zwecke ausgewertet, insbesondere nicht für Werbung, Profilbildung oder das Training von KI-Systemen.

(5) Berufsgeheimnis. Unterliegt der Verantwortliche einer beruflichen Schweigepflicht nach § 203 StGB, wirkt der Auftragsverarbeiter an dessen beruflicher Tätigkeit mit. Er verpflichtet sich zur Verschwiegenheit über alle fremden Geheimnisse, die ihm dabei bekannt werden, nimmt von ihnen nur Kenntnis, soweit dies für die Leistung erforderlich ist, und ist darüber belehrt, dass ihre unbefugte Offenbarung nach § 203 Abs. 4 StGB strafbar ist. Eigene Beschäftigte setzt er derzeit nicht ein; würde er Personen zur Mitwirkung heranziehen, verpflichtet er sie vorher in Textform zur Verschwiegenheit. Die Unterauftragsverarbeiter (Anlage 2) sind über ihre Verträge zur Vertraulichkeit verpflichtet.

§ 5 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Datenerhebung — bei Gesundheitsdaten auch für die Voraussetzungen des Art. 9 Abs. 2 DSGVO — und für die Information der betroffenen Personen.

(2) Der Verantwortliche trägt in Notizfeldern nur ein, was für die Terminvergabe erforderlich ist. Befunde, Diagnosen und Behandlungsdokumentation gehören nicht in HeyTermin.

(3) Er benennt eine Ansprechperson für Datenschutzfragen und hält seine Zugangsdaten geheim. Zugänge ausgeschiedener Beschäftigter sind unverzüglich zu entziehen.

(4) Trägt er eigene Inhalte in die Software ein — etwa Texte oder Angaben für die Website —, stellt er sicher, dass er die erforderlichen Rechte besitzt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Weitere Unterauftragsverarbeiter werden mindestens 14 Tage vorher in Textform angekündigt. Der Verantwortliche kann aus wichtigem, datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf er den Hauptvertrag außerordentlich kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 7 Rechte betroffener Personen

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(2) Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Beantwortung nötigen Daten bereit, insbesondere für Auskunft (Art. 15), Berichtigung (Art. 16) und Löschung (Art. 17 DSGVO).

§ 8 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach, insbesondere durch Vorlage der aktuellen Fassung von Anlage 3 sowie der Nachweise seiner Unterauftragsverarbeiter.

(2) Vor-Ort-Kontrollen sind nach Ankündigung mit angemessener Frist, während üblicher Geschäftszeiten und ohne Störung des Betriebsablaufs möglich.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis — so früh, dass der Verantwortliche seine eigene Frist von 72 Stunden gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) halten kann.

(2) Die Meldung enthält Art der Verletzung, betroffene Datenkategorien, das ungefähre Ausmaß, wahrscheinliche Folgen und ergriffene Maßnahmen.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen heraus oder löscht sie.

(2) Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit. Ohne Rückmeldung werden die Daten nach Ablauf von 90 Tagen gelöscht; auf diese Frist wird vorher gesondert hingewiesen.

(3) Nicht erfasst sind bereits versandte E-Mails im Postfach der Empfänger sowie Versandprotokolle des E-Mail-Dienstleisters; hierauf wird ausdrücklich hingewiesen.

§ 11 Schlussbestimmungen

(1) Änderungen bedürfen der Textform.

(2) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Datenschutzfragen vor.

Anlage 1 — Übersicht der Verarbeitung

Zweck: Verwaltung und Vermittlung von Terminen zwischen dem Betrieb und seiner Kundschaft, Versand der zugehörigen Benachrichtigungen sowie — falls genutzt — Betrieb der Website des Betriebs und Versand einer Bewertungsbitte an Kundinnen und Kunden, die eingewilligt haben.

Betroffene Personen: Kundinnen und Kunden des Betriebs; Beschäftigte des Betriebs; Inhaberin und Mitarbeitende mit eigenem Zugang.

Kundschaft: Name, E-Mail-Adresse, Telefonnummer, Notizen zur Person, Wunsch nach SMS-Benachrichtigung, Einwilligung in eine Bewertungsbitte.

Termine: Datum und Uhrzeit, Leistung, zugeordnete Mitarbeiter:in, Status, Preis, Höhe einer Anzahlung, Notiz zum Termin, Zeitpunkte versandter Nachrichten, Einträge auf der Warteliste.

Beschäftigte: Name, Arbeitszeiten, Zuordnung zu Leistungen.

Konten: E-Mail-Adresse, Zeitpunkte von Registrierung und Anmeldung.

Website (optional): vom Betrieb eingegebene Texte und Angaben, einschließlich Impressumsdaten.

Besondere Kategorien (Art. 9 DSGVO): Bei Betrieben aus dem Gesundheitsbereich — etwa Physiotherapie, Osteopathie, Heilpraktik oder Hebammenhilfe — lassen schon der Termin und die gebuchte Leistung Rückschlüsse auf die Gesundheit zu. Diese Daten sind vom Auftrag umfasst; § 4 Abs. 5 und § 5 Abs. 1 und 2 gelten.

Nicht verarbeitet werden: Zahlungsdaten der Kundschaft. Zahlungen der Kundschaft an den Betrieb laufen nicht über HeyTermin.

Ort der Verarbeitung: Die Kundendaten werden in der Europäischen Union gespeichert und verarbeitet (Datenbank und Anwendung in Frankfurt am Main). Zu Übermittlungen an Unterauftragsverarbeiter mit Sitz außerhalb der EU siehe Anlage 2.

Anlage 2 — Unterauftragsverarbeiter

Supabase, Inc. (USA) — Datenbank und Anmeldung. Speicherung in der Region Frankfurt am Main (EU). Vertrag zur Auftragsverarbeitung (DPA) mit EU-Standardvertragsklauseln.

Vercel Inc. (USA) — Hosting. Die Anwendung läuft in einem Rechenzentrum in Frankfurt am Main; statische Inhalte werden über ein weltweites Netzwerk ausgeliefert. Vertrag zur Auftragsverarbeitung (DPA) mit EU-Standardvertragsklauseln.

Brevo SAS (Paris, Frankreich) — Versand der E-Mails zu Buchung, Erinnerung, Absage, Warteliste, Bewertungsbitte und der Benachrichtigung an den Betrieb. Vertrag zur Auftragsverarbeitung als Anhang der Nutzungsbedingungen.

SMS-Versand: derzeit kein Dienstleister im Einsatz. Vor einer Aktivierung wird diese Anlage ergänzt und der Verantwortliche nach § 6 Abs. 2 informiert.

Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Liste beschreibt den tatsächlichen Stand. Was noch nicht umgesetzt ist, steht als offener Punkt darin.

Zutrittskontrolle: Es werden keine eigenen Server betrieben. Der physische Schutz der Rechenzentren obliegt den Unterauftragsverarbeitern (Anlage 2) und ist über deren Zertifizierungen nachgewiesen.

Zugangskontrolle: Zugang zur Anwendung nur über ein persönliches Konto mit bestätigter E-Mail-Adresse oder Google-Anmeldung. Sitzungen laufen über signierte Token mit begrenzter Gültigkeit, die serverseitig bei jedem Aufruf geprüft werden.

Zugriffskontrolle: Mandantentrennung auf Datenbankebene durch Row Level Security — jede Abfrage ist auf den eigenen Betrieb begrenzt, unabhängig vom Anwendungscode. Zusätzlich spaltenweise Rechte auf besonders schutzwürdigen Feldern, die nur der serverseitige Dienstzugang lesen kann.

Trennungskontrolle: Alle Datensätze tragen eine Betriebskennung; Abfragen filtern zusätzlich ausdrücklich darauf.

Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS). Die Datenbank speichert verschlüsselt. Datenbankverbindungen erfolgen serverseitig.

Eingabekontrolle: Termine tragen Zeitstempel ihrer Anlage sowie den Zeitpunkt versandter Nachrichten. Statusänderungen sind in der Datenbankabfrage auf zulässige Ausgangszustände begrenzt. Offen: Ein vollständiges Änderungsprotokoll (wer hat wann was geändert) besteht nicht.

Verfügbarkeit: Betrieb auf einer Plattform mit automatischer Skalierung. Ratenbegrenzung der öffentlichen Buchungsseite auf Netzwerkebene und in der Anwendung. Offen: Die Wiederherstellbarkeit hängt an den Standardsicherungen des Datenbankanbieters; eine punktgenaue Wiederherstellung und ein geprobter Wiederanlauf sind nicht eingerichtet. Laufzeitprotokolle werden nur rund einen Tag vorgehalten.

Datenschutz durch Technikgestaltung: Keine Werbenetzwerke, keine Einbettungen fremder Server und keine Profilbildung. Eine cookiefreie Reichweitenmessung zählt Seitenaufrufe ohne seitenübergreifende Wiedererkennung; die Websites der Betriebe werden nicht gemessen, Zugangsschlüssel aus Absage-Links werden vor der Messung entfernt. Für eine Buchung werden nur Name, E-Mail-Adresse und optional die Telefonnummer erhoben; ein Kundenkonto ist nicht erforderlich. Eine Bewertungsbitte geht nur nach ausdrücklicher Einwilligung (Voreinstellung aus).

Verfahren zur Überprüfung: Änderungen an Datenbankstruktur und Rechten erfolgen als versionierte Skripte. Sicherheitsrelevante Regeln sind mehrfach abgesichert (Oberfläche, Serverfunktion, Datenbankbedingung). Abhängigkeiten werden bei Aktualisierungen auf bekannte Schwachstellen geprüft. Offen: Ein festes Prüfintervall und eine schriftliche Dokumentation der Prüfungen bestehen noch nicht.