Auftragsverarbeitung

Dieser Vertrag gilt zwischen dem Studio als Verantwortlichem und Filippos Kagkiouzis, Würzburger Straße 2, 60385 Frankfurt am Main („Bookry“) als Auftragsverarbeiter für alle personenbezogenen Daten, die das Studio über Bookry verarbeitet. Er wird mit der Registrierung eines Studios Bestandteil der Nutzungsbedingungen.

1. Gegenstand, Art und Zweck

Gegenstand ist der Betrieb einer Online-Terminbuchung für das Studio: Annahme und Verwaltung von Terminen, Versand von Bestätigungen, Erinnerungen und Stornohinweisen, Führung der Kundinnenkartei sowie Auswertungen für das Studio. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt; insbesondere werden die Kundinnen eines Studios nicht an andere Studios vermittelt und nicht für Werbung genutzt.

2. Dauer

Der Vertrag läuft, solange das Studio Bookry nutzt. Er endet mit dem Nutzungsvertrag.

3. Art der Daten und Kreis der Betroffenen

Kundinnen des Studios

Name, E-Mail-Adresse, Telefonnummer, gebuchte Leistungen, Termine, freiwillige Notizen, gewählte Sprache

Mitarbeiterinnen des Studios

Name, Arbeitszeiten, Abwesenheiten, Fähigkeiten, Zuordnung zu Terminen

Konto des Studios

Name, E-Mail-Adresse, Passwort als Hash, Anmeldezeitpunkte

Technische Daten

IP-Adresse für Zugriffsbegrenzung, Fehlerprotokolle, Sitzungskennungen

4. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich nach dokumentierter Weisung des Studios. Weisungen erfolgen über die Einstellungen der Software oder in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf die Ausführung aussetzen.

5. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Der Zugriff auf Studiodaten ist auf das Notwendige beschränkt.

6. Technische und organisatorische Maßnahmen (Art. 32)

Übertragung

Ausschließlich verschlüsselt über TLS; HSTS erzwungen

Passwörter

Nur als Hash gespeichert, nie im Klartext, nie im Protokoll

Mandantentrennung

Jede Datenbankabfrage wird automatisch auf das jeweilige Studio eingegrenzt; ein Studio kann die Daten eines anderen technisch nicht abrufen

Zugriffsbegrenzung

Zählwerk gegen automatisierte Zugriffe auf Anmeldung, Buchung und Warteliste

Serverstandort

Anwendung und Datenbank in Frankfurt am Main (EU). Die Unterauftragsverarbeiter haben ihren Sitz in den USA; eine Übermittlung dorthin ist durch EU-Standardvertragsklauseln und, soweit zertifiziert, das EU-US Data Privacy Framework abgesichert

Schriften und Skripte

Selbst ausgeliefert; keine Einbindung externer Anbieter auf den öffentlichen Seiten

Protokolle

Fehlerprotokolle ohne Klartextpasswörter, begrenzte Aufbewahrung

7. Unterauftragsverarbeiter

Das Studio stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Vor einem Wechsel oder einer Ergänzung informiert der Auftragsverarbeiter mindestens 30 Tage im Voraus per E-Mail; das Studio kann widersprechen und in diesem Fall kündigen.

Vercel Inc., USA

Betrieb der Anwendung; Rechenzentrum Frankfurt am Main

Neon, LLC (Databricks), USA

Speicherung der Studio- und Buchungsdaten; Rechenzentrum Frankfurt am Main (AWS eu-central-1)

Resend (Plus Five Five, Inc.), USA

Versand von Bestätigungen, Erinnerungen und Stornohinweisen; Sendeserver in der EU, Verarbeitung auch in den USA

8. Unterstützung des Studios

Der Auftragsverarbeiter unterstützt das Studio bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten. Wendet sich eine Kundin direkt an den Auftragsverarbeiter, wird sie an das Studio verwiesen und das Studio informiert.

9. Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Studio jede Verletzung unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, mit allen Angaben, die das Studio für seine Meldung nach Art. 33 DSGVO benötigt.

10. Löschung und Rückgabe

Nach Vertragsende kann das Studio seine Daten 30 Tage lang exportieren. Danach werden sie gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Ankündigung, soweit der Betrieb dadurch nicht beeinträchtigt wird.

12. Ansprechpartner

Fragen zur Auftragsverarbeitung: hello@bookry.de. Ein unterschriebenes Exemplar stellen wir auf Anfrage bereit.