Auftragsverarbeitungsvertrag - kosmetikerin.org

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Fassung 1.0 · Stand: Juli 2026

Dieser Vertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der Buchungs- und Verwaltungsfunktionen von kosmetikerin.org. Er gilt ergänzend zu den AGB und den Nutzungsbedingungen.

Vertragsparteien

Verantwortlicher (nachfolgend „Auftraggeber") ist das Kosmetikstudio bzw. die Inhaberin des jeweiligen Nutzerkontos mit den im Konto hinterlegten Angaben.

Auftragsverarbeiter (nachfolgend „Auftragnehmer") ist:
sdWebdesign, Inhaber Steffen Fasselt
Hannah-Arendt-Str. 29
60438 Frankfurt am Main
E-Mail: [email protected]

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Der Auftragnehmer stellt dem Auftraggeber eine Software zur Terminverwaltung und Studioorganisation bereit. Im Rahmen dieser Leistung verarbeitet er personenbezogene Daten der Endkundinnen und Endkunden des Auftraggebers ausschließlich in dessen Auftrag.

(2) Art und Zweck der Verarbeitung ergeben sich aus Anlage 1. Die Verarbeitung umfasst insbesondere das Erheben, Speichern, Anzeigen, Verändern, Übermitteln (E-Mail-Versand an die betroffene Person) und Löschen der in Anlage 1 genannten Daten.

(3) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt, soweit in Anlage 3 nichts Abweichendes ausgewiesen ist.

(4) Nicht Gegenstand dieses Vertrages sind Verarbeitungen, für die der Auftragnehmer selbst Verantwortlicher ist – etwa der öffentliche Verzeichnis-Eintrag des Studios, die Vertragsabwicklung mit dem Auftraggeber und die Reichweitenmessung der eigenen Website. Hierfür gilt die Datenschutzerklärung.

§ 2 Dauer

Dieser AVV beginnt mit der Zustimmung des Auftraggebers und läuft, solange der Auftraggeber die Buchungs- oder Verwaltungsfunktionen nutzt. Er endet mit der Beendigung des Nutzungsverhältnisses. Ein Recht zur Kündigung dieses AVV unabhängig vom Hauptvertrag besteht nicht.

§ 3 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Funktionen der Software durch den Auftraggeber sowie dessen Einstellungen im Konto gelten als Weisung.

(2) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, bedürfen der Textform (E-Mail genügt) an die oben genannte Adresse.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(4) Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Zulässig bleibt die Auswertung anonymisierter oder aggregierter Daten zur Sicherstellung des Betriebs und zur Weiterentwicklung des Dienstes, sofern kein Personenbezug hergestellt werden kann.

(5) Ist der Auftragnehmer aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet, informiert er den Auftraggeber vor der Verarbeitung, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(6) Übermittlung in Drittländer: Eine Übermittlung personenbezogener Daten in ein Land außerhalb der EU bzw. des EWR erfolgt nur, soweit die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind – insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln nebst erforderlicher zusätzlicher Schutzmaßnahmen. Die betroffenen Dienstleister und die jeweilige Grundlage sind in Anlage 3 ausgewiesen. Darüber hinausgehende Übermittlungen bedürfen einer gesonderten Weisung des Auftraggebers.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(2) Die eingesetzten Personen werden über die einschlägigen datenschutzrechtlichen Anforderungen unterrichtet.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage 2 beschrieben und unter kosmetikerin.org/tom abrufbar.

(2) Der Auftragnehmer darf die Maßnahmen fortentwickeln und anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und unter kosmetikerin.org/unterauftragsverarbeiter abrufbar.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vor der Beauftragung eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen.

(3) Widerspricht der Auftraggeber, kann der Auftragnehmer die betroffene Leistung nach billigem Ermessen ohne den Unterauftragsverarbeiter erbringen oder das Nutzungsverhältnis mit angemessener Frist beenden. Bereits gezahlte Entgelte werden anteilig erstattet.

(4) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem AVV entspricht, und wählt sie sorgfältig aus.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass dabei ein Zugriff auf die Daten des Auftraggebers erforderlich ist (z. B. Telekommunikationsdienste, Wartung).

§ 7 Unterstützung bei Betroffenenrechten

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen nach Kapitel III DSGVO nachzukommen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Der Auftraggeber kann die betreffenden Daten jederzeit selbst über die Funktionen der Software einsehen, berichtigen, exportieren und löschen. Soweit dies genügt, entsteht kein weiterer Unterstützungsaufwand.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und erteilt keine eigenständige Auskunft.

§ 8 Unterstützung bei Sicherheitsvorfällen und Folgenabschätzung

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen nach Art. 33 und 34 DSGVO und bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

(2) Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung in Textform. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

(3) Die Meldepflicht gegenüber der Aufsichtsbehörde und den betroffenen Personen obliegt dem Auftraggeber.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung des Nutzungsverhältnisses löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Auftraggebers zurück.

(2) Der Auftraggeber kann seine Daten während der Vertragslaufzeit und für 30 Tage nach Beendigung jederzeit selbst über die Exportfunktion des Kontos abrufen. Nach Ablauf dieser Frist werden die Daten gelöscht.

(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Daten, die einer solchen Pflicht unterliegen, werden bis zum Ablauf der Frist in der Verarbeitung eingeschränkt statt gelöscht.

(4) Sicherungskopien werden im Rahmen der regulären Rotation überschrieben; sie werden nicht gesondert bereinigt.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Nachweis kann durch aktuelle Selbstauskünfte, die Dokumentation der Maßnahmen nach Anlage 2 oder durch Zertifikate und Prüfberichte anerkannter Stellen erbracht werden.

(3) Genügen diese Nachweise im Einzelfall nicht, ermöglicht der Auftragnehmer Überprüfungen vor Ort. Diese sind mit angemessener Vorlaufzeit von mindestens vier Wochen anzukündigen, auf die üblichen Geschäftszeiten zu legen und dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Aufwand kann nach Aufwand vergütet werden, sofern die Prüfung nicht durch einen konkreten Anlass beim Auftragnehmer veranlasst ist.

§ 11 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Der Auftraggeber ist verpflichtet, seine Endkundinnen und Endkunden nach Art. 13 und 14 DSGVO über die Verarbeitung zu informieren.

(3) Der Auftraggeber gibt in Freitextfeldern der Software keine Gesundheitsdaten oder sonstigen Daten besonderer Kategorien nach Art. 9 DSGVO ein, soweit die Software hierfür keine ausdrücklich vorgesehene Funktion bereitstellt. Bei der Online-Terminbuchung steht Endkundinnen kein Freitextfeld zur Verfügung.

(4) Der Auftraggeber führt das nach Art. 30 Abs. 1 DSGVO erforderliche Verzeichnis von Verarbeitungstätigkeiten selbst.

§ 12 Haftung

(1) Für die Haftung der Parteien untereinander gelten die Regelungen der AGB.

(2) Im Außenverhältnis gilt Art. 82 DSGVO.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform.

(2) Bei Widersprüchen zwischen diesem AVV und den AGB oder Nutzungsbedingungen gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Gegenstand der Verarbeitung

Kategorien betroffener Personen

Endkundinnen und Endkunden des Auftraggebers, die einen Termin buchen oder vom Auftraggeber erfasst werden
Mitarbeiterinnen und Mitarbeiter des Auftraggebers, soweit sie als Teammitglieder angelegt sind

Art der personenbezogenen Daten

Bei Nutzung des Terminkalenders (auch im kostenlosen Konto):

Name der Endkundin
E-Mail-Adresse
Telefonnummer (optional)
Termindaten: Datum, Uhrzeit, gebuchte Leistung, zugeordnetes Teammitglied, Status des Termins
Technische Daten der Buchung: Zeitpunkt, Herkunft der Buchung (Widget oder Studio-Profil)

Zusätzlich bei Nutzung der Pro-Funktionen:

Kundenstammdaten aus der digitalen Kundenakte, einschließlich vom Auftraggeber erfasster Notizen
Behandlungs- und Terminhistorie
Zahlungsbezogene Daten bei Anzahlungen (Betrag, Status, Zahlungsreferenz; Zahlungsmittel selbst werden ausschließlich vom Zahlungsdienstleister verarbeitet)

Nicht Gegenstand dieses Vertrages sind Daten, die die iPad-App ausschließlich lokal auf dem Endgerät des Auftraggebers und in dessen eigenem iCloud-Konto speichert – insbesondere Anamnesebögen, Einwilligungen mit Unterschrift, Hautanalysen und Behandlungsdokumentation. Diese Daten werden nicht an den Auftragnehmer übermittelt.

Zweck der Verarbeitung

Entgegennahme, Verwaltung und Bestätigung von Terminbuchungen
Versand transaktionaler E-Mails an Endkundinnen (Buchungsbestätigung, Terminänderung, Stornierung) und an den Auftraggeber
Versand von Terminerinnerungen, sofern der Auftraggeber diese Funktion nutzt (nur Pro)
Abwicklung von Anzahlungen, sofern der Auftraggeber diese Funktion nutzt (nur Pro)
Führung der digitalen Kundenakte (nur Pro)

Besondere Kategorien personenbezogener Daten

Eine Verarbeitung von Daten nach Art. 9 DSGVO ist nicht vorgesehen. Bei der Online-Terminbuchung wird Endkundinnen bewusst kein Freitextfeld angeboten, damit keine Gesundheitsangaben erhoben werden. Trägt der Auftraggeber gleichwohl solche Daten in Freitextfelder ein, geschieht dies auf seine Verantwortung (§ 11 Abs. 3).

Anlage 2 – Technische und organisatorische Maßnahmen

Siehe kosmetikerin.org/tom. Die dort beschriebenen Maßnahmen sind Bestandteil dieses Vertrages.

Anlage 3 – Unterauftragsverarbeiter

Siehe kosmetikerin.org/unterauftragsverarbeiter. Die dort geführte Liste ist Bestandteil dieses Vertrages.

Hinweis: Dieser Vertragstext wird als Vorlage bereitgestellt und befindet sich in anwaltlicher Prüfung. Er ersetzt keine individuelle Rechtsberatung.

Auftragsverarbeitungsvertrag (AVV)