Vereinbarung zur Auftragsverarbeitung

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (Salon) als Verantwortlichem (nachfolgend „Auftraggeber“) und Aperic, Inhaber Chris Georg Lukas, Hauptstraße 122a, 64678 Lindenfels, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“). Sie ist Bestandteil des Vertrags über die Nutzung der Plattform „Aperic Salon“ (Hauptvertrag) und gilt mit dessen Abschluss.

1. Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die Plattform „Aperic Salon“ nach dem Hauptvertrag bereitzustellen. Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage 1.

(2) Die Vereinbarung gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

2. Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung und der Nutzung der Plattform durch den Auftraggeber (z. B. Anlegen von Terminen, Versenden von Nachrichten, Starten einer KI-Vorschau). Weitere Weisungen erteilt der Auftraggeber in Textform.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

3. Pflichten des Auftragnehmers

(1) Vertraulichkeit: Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

(3) Betroffenenrechte: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO), insbesondere über die Export- und Löschfunktionen der Plattform. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(4) Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der ihm vorliegenden Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen (z. B. für den KI-Stylist) und Meldungen von Datenschutzverletzungen.

(5) Datenschutzverletzungen: Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(6) Ort der Verarbeitung: Die Daten werden in der EU gespeichert. Übermittlungen in Drittländer erfolgen nur über die in Anlage 2 genannten Unterauftragsverarbeiter und nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, also auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3: Auftragsverarbeiter an Unterauftragsverarbeiter). Auf Anfrage stellt der Auftragnehmer dem Auftraggeber die Informationen zur Verfügung, die dieser für eine eigene Bewertung der Drittlandübermittlungen (Transfer Impact Assessment) benötigt, insbesondere die Standardvertragsklauseln und die Bewertungen der Unterauftragsverarbeiter.

(7) Zweckbindung: Der Auftragnehmer verwendet die Daten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen.

4. Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der betroffenen Personen (Art. 13, 14 DSGVO) und für erforderliche Einwilligungen, z. B. für die Verarbeitung von Fotos im KI-Stylist und für werbliche Nachrichten.

(2) Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5. Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters in Textform (z. B. per E-Mail oder Hinweis im Dashboard). Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieser Vereinbarung im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO), und haftet gegenüber dem Auftraggeber für deren Einhaltung.

(4) Keine Unterauftragsverarbeitung im Sinne dieser Ziffer sind Dienste, die der Auftraggeber selbst mit eigenem Vertrag anbindet (z. B. sein Gmail-Konto, sein SumUp-Händlerkonto, eigene Automatisierungs-Workflows) sowie reine Transportdienste (z. B. Push-Dienste der Browser-Hersteller).

6. Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO), z. B. eine Beschreibung der Maßnahmen, Nachweise der Unterauftragsverarbeiter oder deren Zertifikate.

(2) Der Auftraggeber kann Kontrollen, auch vor Ort, nach rechtzeitiger Anmeldung (in der Regel 30 Tage) während der Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, ohne den Betrieb unverhältnismäßig zu stören. Kontrollen bei Unterauftragsverarbeitern erfolgen in der Regel über deren Prüfberichte und Zertifikate.

7. Löschung und Rückgabe

Nach Ende der Leistungen löscht der Auftragnehmer alle Daten des Auftraggebers nach 30 Tagen, sofern nicht eine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht (Art. 28 Abs. 3 lit. g DSGVO). Vor Vertragsende kann der Auftraggeber seine Daten über die Exportfunktion abrufen. Datensicherungen beim Datenbankanbieter werden im Rahmen der regulären Rotation überschrieben, spätestens 30 Tage nach der Löschung im Live-System; bis dahin sind sie vor Zugriff geschützt und werden nicht wiederhergestellt, außer zur Behebung eines Datenverlusts.

8. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in Datenschutzfragen vor.

(3) Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1: Gegenstand der Verarbeitung

Art und Zweck: Bereitstellung der Plattform: Speichern und Verwalten von Terminen, Kunden- und Mitarbeiterdaten; Versand von Terminerinnerungen, Bestätigungen und Wartelisten-Angeboten per SMS, WhatsApp und E-Mail; KI-Assistentin Nala; KI-Stylist (Frisuren- und Farbvorschauen); Foto-Upload per QR-Code; Look-Abstimmung; Kartenzahlungen über angebundene Terminals; Kalender-Abos; Auswertungen und Berichte für den Salon.

Betroffene Personen: Kundinnen und Kunden des Salons sowie Interessenten (z. B. auf der Warteliste); Mitarbeitende des Salons; Personen, die an einer Look-Abstimmung teilnehmen.

Datenarten:

• Stamm- und Kontaktdaten (Name, Telefonnummer, E-Mail-Adresse)
• Termin- und Leistungsdaten (gebuchte Leistungen, Zeiten, Mitarbeitende, Absagen, Warteliste)
• Notizen, Präferenzen und Farbrezepturen, die der Salon erfasst
• Fotos und daraus erzeugte Vorschaubilder; auf Fotos können besondere Kategorien nach Art. 9 DSGVO erkennbar sein (z. B. gesundheitsbezogene Merkmale, religiöse Kopfbedeckung)
• Kommunikationsdaten (Inhalt und Zeitpunkt von Nachrichten, Antworten)
• Zahlungsdaten (Betrag, Zahlungsart, Status; keine Kartendaten)
• Daten der Mitarbeitenden (Name, Kontaktdaten, Schichten, Rolle, Zugangsdaten)

Anlage 2: Unterauftragsverarbeiter

Twilio, Meta und Murf werden nur eingesetzt, wenn der Auftraggeber die jeweilige Funktion nutzt.

Anlage 3: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Hosting in zertifizierten Rechenzentren in der EU (Hetzner, AWS Frankfurt über Supabase) mit physischer Zutrittskontrolle durch die Betreiber
• Verschlüsselte Übertragung (TLS) für alle Verbindungen; Verschlüsselung der Datenbank im Ruhezustand durch den Datenbankanbieter
• Mandantentrennung: Jeder Salon sieht nur seine eigenen Daten (Zugriffsregeln auf Datenbankebene, Row Level Security)
• Rollen- und Berechtigungskonzept (Salonleitung, Mitarbeitende); Mitarbeitende sehen nur die für sie freigegebenen Bereiche
• Passwörter nur als Hash gespeichert; Zugangsdaten zu Drittdiensten (z. B. Gmail-Token) nur serverseitig
• Administrative Zugänge nur für den Inhaber des Auftragnehmers, geschützt durch starke Passwörter bzw. Schlüssel

Integrität

• Protokollierung sicherheitsrelevanter Vorgänge ohne Inhalte personenbezogener Daten (keine Prompts, Nachrichten oder Kundendaten in Server-Logs)
• Eingabeprüfung und Begrenzung von Anfragen (Rate Limiting) an öffentlichen Schnittstellen
• Schreibende Aktionen der KI-Assistentin erst nach Bestätigung durch den Nutzer

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherungen durch den Datenbankanbieter
• Überwachung der Dienste; Wiederherstellung nach Störungen im Rahmen der Sicherungen

Verfahren zur regelmäßigen Überprüfung

• Datenschutzfreundliche Voreinstellungen (z. B. keine Speicherung von Chatverläufen, KI-Verarbeitung in der EU, wo verfügbar)
• Automatische Löschfristen (z. B. Foto-Uploads nach 24 Stunden, geteilte Looks nach 7 Tagen, Kundendaten 30 Tage nach Vertragsende)
• Prüfung neuer Dienstleister vor dem Einsatz (Vertrag nach Art. 28 DSGVO, Ort der Verarbeitung, Drittlandgarantien)