Vertrag zur Auftragsverarbeitung

Nach Art. 28 DSGVO, zwischen dem Studio als Verantwortlichem und BookingRocket als Auftragsverarbeiter. Im Konto abrufbar und mit einem Klick abgeschlossen.

1 Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten im Auftrag des Studios, soweit dies zur Erbringung der in den AGB beschriebenen Leistung erforderlich ist. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2 Weisungsgebundenheit

Wir verarbeiten die Daten ausschließlich nach dokumentierten Weisungen des Studios. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen die Ausführung aussetzen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

3 Art der Daten und Kreis der Betroffenen

Verarbeitet werden Stammdaten (Name, Kontaktdaten), Termindaten, Aktendaten der jeweiligen Branche, Nachrichten- und Abrechnungsdaten sowie Fotos, soweit das Studio sie speichert.

Betroffen sind Kundinnen und Kunden des Studios sowie dessen Mitarbeiterinnen und Mitarbeiter. Enthalten Aktendaten Gesundheitsangaben (etwa Allergien oder Gegenanzeigen), gelten die besonderen Anforderungen des Art. 9 DSGVO; die Rechtsgrundlage schafft das Studio.

4 Technische und organisatorische Maßnahmen

Wir treffen die Maßnahmen nach Art. 32 DSGVO, im Einzelnen beschrieben in Anlage 1. Dazu gehören:

Betrieb in Rechenzentren in Irland (Anwendung: Vercel, Region Dublin; Datenbank und Dateien: Supabase, Region eu-west-1), Zutrittskontrolle durch die jeweiligen Rechenzentrumsbetreiber Verschlüsselung im Transport (TLS) und der Datenträger im Ruhezustand Rollen- und Rechtekonzept, Zwei-Faktor-Anmeldung für Studiokonten Protokollierung von Zugriffen auf Aktendaten Verschlüsselte Sicherungen, Wiederherstellung getestet, Aufbewahrung 30 Tage Trennung von Test- und Produktivsystem, keine echten Daten in Testumgebungen

5 Unterauftragnehmer

Das Studio stimmt dem Einsatz der in Anlage 2 genannten Unterauftragnehmer zu — derzeit Supabase (Datenbank, Anmeldung und Dateien, Region Irland), Vercel (Betrieb der Anwendung, Region Dublin), Stripe (Zahlungen), Resend (E-Mail-Versand), Meta (WhatsApp-Versand, nur bei aktivierter WhatsApp-Funktion) sowie Anthropic PBC (USA) für die KI-Assistenz „Sally“ im Dashboard. Wechsel oder Ergänzungen teilen wir mindestens vier Wochen vorher mit; das Studio kann widersprechen und in diesem Fall kündigen. Betrieb und Speicherung finden in der EU statt (Irland); die Übermittlung an Anthropic stützt sich auf die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, und Anthropic trainiert keine Modelle mit diesen Daten. Bei den übrigen Anbietern sind Zugriffe aus Drittländern nach den jeweiligen Verträgen nach Art. 28 DSGVO samt Standardvertragsklauseln nicht ausgeschlossen.

6 Mitwirkung und Meldepflichten

Wir unterstützen das Studio bei Auskunfts-, Berichtigungs- und Löschbegehren betroffener Personen und stellen dafür Funktionen in der Software bereit. Von einer Verletzung des Schutzes personenbezogener Daten unterrichten wir das Studio unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den nach Art. 33 DSGVO nötigen Angaben.

7 Löschung und Rückgabe

Nach Ende des Vertrags stellen wir die Daten auf Wunsch als maschinenlesbare Datei bereit und löschen sie anschließend, spätestens nach 30 Tagen, einschließlich der Sicherungen im Rahmen der Aufbewahrungszyklen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

8 Kontrollrechte

Das Studio darf die Einhaltung dieses Vertrags kontrollieren. In der Regel genügt dafür unsere aktuelle Dokumentation der Maßnahmen; eine Kontrolle vor Ort ist nach Ankündigung und zu üblichen Geschäftszeiten möglich.