Vertrag zur Auftragsverarbeitung.

1. Parteien, Gegenstand und Dauer

Dieser Vertrag ergänzt die Vereinbarung über die geschäftliche Nutzung von Abendfrei. Auftraggeber und Verantwortlicher ist der bei der Bestätigung bezeichnete Studiobetreiber. Auftragnehmer und Auftragsverarbeiter ist Panagiotis Vakirtzis, body&face Perfection, Wilhelmstraße 74–76, 72764 Reutlingen, Deutschland. Kontakt für Datenschutz und Weisungen: info@bodyandface-perfection.de. Die bestätigende Person erklärt, den Studiobetreiber vertreten zu dürfen. Die im Konto gespeicherte Bestätigung mit Firma beziehungsweise Inhaber, Geschäftsanschrift, Konto-E-Mail, Datum und Fassung bezeichnet den konkreten Auftraggeber.

Gegenstand ist die Verarbeitung der vom Studio oder dessen Kunden für die Studioverwaltung bereitgestellten personenbezogenen Daten in Abendfrei. Sie umfasst Kundenverwaltung, Leistungen, Mitarbeitereinsatz und Termine sowie die jeweils aktivierten Funktionen für Buchungen, Terminmitteilungen, Warteliste, Wiederbesuch und Bewertungseinladungen. Der Auftrag beginnt mit der elektronischen Bestätigung und besteht für die Dauer der Nutzung einschließlich der anschließenden Rückgabe oder Löschung der Auftragsdaten. Ein kostenpflichtiges Abo wird hierdurch noch nicht bestellt.

Dieser Vertrag geht bei Widersprüchen zu Datenschutzpflichten den Abo-Bedingungen vor. Für eigene Vertrags-, Abrechnungs- und gesetzlich erforderliche Nachweisdaten handelt Abendfrei eigenverantwortlich; diese Verarbeitung ist in der Datenschutzerklärung beschrieben und nicht Gegenstand einer Weisung des Studios.

2. Art, Zweck, Daten und betroffene Personen (Anlage 1)

Verarbeitungsvorgänge sind Erheben, Speichern, Ordnen, Abrufen, Ändern, Abgleichen, Übermitteln, Sperren, Exportieren und Löschen. Zweck ist ausschließlich die Bereitstellung der vom Studio eingerichteten Funktionen und die dazu erforderliche Wartung, Unterstützung und Absicherung.

Betroffen sind Kunden und Buchungsinteressenten des Studios, planbare Mitarbeiter sowie Personen, die das Studio in Supportanfragen nennt. Datenkategorien sind Namen, E-Mail-Adressen und Telefonnummern; gewählte Leistungen, Termine, Zeiten, Mitarbeiterzuordnung und Terminstatus; Wartelistenwünsche; Einwilligungszwecke, Nachweistexte, Quellen und Widerrufe; Nachrichtenkanal, an die Telefonnummer gebundene WhatsApp-Einwilligungen, eingehende WhatsApp-Textnachrichten und STOP-Widerrufe; Nachrichteninhalte, Empfänger, Freigaben, Versand-, Lese- und Fehlerstatus; Studio- und Kalendereinstellungen sowie darin enthaltene personenbezogene Angaben.

Bei einer optionalen Kalenderverbindung werden die ausgewählte Kalenderkennung, Kalendername, Zuordnung, Verbindungsstatus, verschlüsselte Zugangsberechtigungen sowie externe Ereigniskennungen, Zeiträume und Synchronisationsstände verarbeitet. Externe Kalenderantworten können bei der Verarbeitung vorübergehend weitere Ereignisinhalte enthalten. In den importierten Belegtzeiten speichert Abendfrei keine fremden Termintitel oder Beschreibungen. Neue aus Abendfrei exportierte Termine erhalten eine allgemeine private Bezeichnung.

Besondere Kategorien nach Art. 9 DSGVO, insbesondere Gesundheitsdaten, Diagnosen, Befunde, Behandlungsdokumentation, Fotos und strafrechtliche Angaben, sind nicht vorgesehen. Das Studio darf sie nicht in Kunden-, Leistungs- oder Supportangaben eintragen und soll nur geeignete geschäftliche Kalender verbinden. Erkennt eine Partei solche Daten oder eine unzulässige Verarbeitung, informiert sie die andere Partei und stimmt Einschränkung oder Entfernung ab.

3. Weisungen und Verantwortung des Studios

Das Studio bestimmt die Zwecke und zulässigen Inhalte, stellt eine Rechtsgrundlage sicher, informiert betroffene Personen und erteilt erforderliche Einwilligungs- und Versandfreigaben nur nach einem tatsächlichen Nachweis. Die Funktionswahl, Eingaben und bestätigten Aktionen im Konto bilden dokumentierte Weisungen. Weitere Weisungen erteilt der vertretungsberechtigte Kontoinhaber in Textform über das Supportkonto oder die angegebene Kontaktadresse. Abendfrei dokumentiert gesonderte Weisungen und prüft die Berechtigung des Absenders.

Abendfrei verarbeitet Auftragsdaten nur auf dokumentierte Weisung, auch bei Übermittlungen außerhalb des Europäischen Wirtschaftsraums. Soweit Unions- oder Mitgliedstaatenrecht eine Verarbeitung verlangt, informiert Abendfrei das Studio vorab über die rechtliche Anforderung, sofern das Gesetz dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Hält Abendfrei eine Weisung für datenschutzwidrig, weist es das Studio unverzüglich darauf hin und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit erforderlich.

Auftragsdaten werden nicht verkauft, für eigene Werbung verwendet oder zum Training von KI-Modellen eingesetzt. Eine Offenlegung erfolgt nur zur Auftragserfüllung, auf dokumentierte Weisung oder aufgrund einer gesetzlichen Verpflichtung. Die bloße Bereitstellung einer Softwarefunktion ersetzt keine vom Studio benötigte Rechtsgrundlage.

4. Vertraulichkeit und Sicherheit

Abendfrei stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf die zur Aufgabenerfüllung notwendigen Personen und Daten begrenzt. Der Betreiber hält ein risikogerechtes Sicherheitsniveau nach Art. 32 DSGVO aufrecht und überprüft und verbessert seine technischen und organisatorischen Maßnahmen. Die in Anlage 2 beschriebenen Maßnahmen bilden den technischen Ausgangsstand; Anpassungen dürfen das vereinbarte Schutzniveau nicht verringern.

Das Studio schützt sein Konto, verwendet ein individuelles sicheres Passwort, gibt Zugänge nicht an Unbefugte weiter und meldet vermuteten Missbrauch. Kalenderberechtigungen können im Konto getrennt und zusätzlich beim Kalenderanbieter widerrufen werden. Ein Kalenderdienst, den das Studio selbst auswählt, kann bereits übermittelte Daten nach eigenen Regeln weiter speichern.

5. Unterauftragsverarbeiter und internationale Übermittlungen (Anlage 3)

Das Studio genehmigt allgemein den Einsatz der nachfolgend benannten Unterauftragsverarbeiter für die beschriebenen Zwecke und ihrer erforderlichen weiteren Unterauftragsverarbeiter gemäß den jeweils bereitgestellten Listen. Abendfrei vereinbart mit ihnen die nach Art. 28 DSGVO erforderlichen Pflichten und bleibt dem Studio für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter verantwortlich.

Vercel Inc., USA: Auslieferung der Website und Betrieb der Anwendung einschließlich technischer Protokolle. Die Anwendungsfunktionen sind für Frankfurt (fra1) konfiguriert; globale Auslieferungs-, Verwaltungs- und Supportsysteme können weitere Länder betreffen. Anbieterinformationen: https://vercel.com/legal/dpa und https://security.vercel.com.

Supabase Pte. Ltd., Singapur (laut veröffentlichtem Data Processing Addendum): Datenbank und Authentifizierung. Das Abendfrei-Datenbankprojekt ist in Frankfurt eingerichtet. Verwaltung, Support und weitere Dienstleister können außerhalb des EWR tätig sein. Anbieterinformationen: https://supabase.com/legal/customer-resources/data-processing-addendum und https://supabase.com/legal/customer-resources/subprocessor-list.

Plus Five Five, Inc. (Resend), USA: Übermittlung von Konto-, Sicherheits- und Kontakt-E-Mails sowie Verarbeitung ihrer Zustell- und Fehlerereignisse. Neue Kundenautomationen werden ausschließlich über das vom Studio verbundene WhatsApp-Konto versandt. Historische Studio-E-Mails und Zustellnachweise bleiben im Rahmen der Aufbewahrung nachvollziehbar. Für den Versand ist die europäische Anbieterregion vorgesehen; daraus folgt keine ausschließliche Speicherung oder Verarbeitung in der EU. Anbieterinformationen: https://resend.com/legal/dpa.

Vor einem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters informiert Abendfrei das Studio in Textform rechtzeitig, regelmäßig mindestens 30 Tage vorher. Das Studio kann aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen dann eine zumutbare Lösung; ist sie nicht möglich, kann das Studio die betroffene Leistung vor der Umstellung beenden. Dringende Änderungen aus Sicherheits- oder gesetzlichen Gründen werden unverzüglich mit Begründung mitgeteilt.

Verarbeitungen außerhalb des EWR setzen die Voraussetzungen der Art. 44 ff. DSGVO voraus. Abendfrei prüft hierfür die tatsächlich geltenden Anbietervereinbarungen, Empfänger, Länder und gegebenenfalls geeignete Garantien und zusätzliche Maßnahmen. Der Standort Frankfurt und eine öffentlich verfügbare Vertragsvorlage beweisen dies für sich allein nicht. Das Studio erhält auf Anfrage Informationen und verfügbare Nachweise zu den für seinen Auftrag eingesetzten Garantien. Dieser Vertrag behauptet weder bereits abgeschlossene Anbietervereinbarungen noch eine unabhängig geprüfte Transfergarantie.

Stripe verarbeitet die Zahlungs- und Vertragsdaten des Studio-Abos und ist kein Unterauftragsverarbeiter für Kundenstammdaten oder Terminlisten in dieser Anlage. Ein vom Studio verbundenes Google- oder Apple-Kalenderkonto ist ein vom Studio ausgewählter Empfänger und eigener Dienst des Studios. Dessen Vertrag und Zugriffsberechtigungen verantwortet das Studio; Abendfrei übermittelt Kalenderdaten nur für die aktivierte Verbindung. Bei WhatsApp verbindet das Studio sein eigenes WhatsApp Business Platform-Konto und bezahlt Meta direkt. Abendfrei übermittelt auf dessen Weisung Telefonnummern, Vorlageninhalte, relevante Terminangaben und Aktionslinks und empfängt Antworten sowie Zustellereignisse. Der vom Studio gewählte Dienst ist für Anbieter in der Europäischen Region WhatsApp Ireland Limited. Es gelten die tatsächlich vereinbarten WhatsApp Business Terms, Data Processing Terms und gegebenenfalls das Data Transfer Addendum. Anbieterinformationen: https://www.whatsapp.com/legal/business-terms und https://www.whatsapp.com/legal/business-data-processing-terms. Meta-Unternehmen und weitere Dienstleister können weltweit verarbeiten. Das Studio verantwortet seinen eigenen Vertrag und die zulässige Verbindung; Abendfrei bleibt für die Verarbeitung innerhalb seiner Anwendung verantwortlich.

6. Unterstützung, Datenschutzverletzungen und Kontrollen

Abendfrei unterstützt das Studio unter Berücksichtigung von Art und Umfang der Verarbeitung bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch durch die verfügbaren Funktionen und auf Anfrage. Bei direkt eingehenden Anfragen zu Auftragsdaten verweist Abendfrei an das Studio und leitet die Anfrage weiter; ohne Weisung erfolgt keine eigenständige inhaltliche Entscheidung, soweit keine gesetzliche Pflicht entgegensteht.

Abendfrei unterstützt das Studio unter Berücksichtigung der verfügbaren Informationen bei Sicherheitsmaßnahmen, Meldungen und Benachrichtigungen über Datenschutzverletzungen sowie gegebenenfalls Datenschutz-Folgenabschätzungen und vorheriger Konsultation nach Art. 32 bis 36 DSGVO. Wird eine Verletzung des Schutzes von Auftragsdaten bekannt, informiert Abendfrei das Studio unverzüglich. Die Information enthält, soweit verfügbar, Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und einen Ansprechpartner. Fehlende Informationen werden nachgereicht; Maßnahmen und Bearbeitung werden dokumentiert.

Abendfrei stellt dem Studio die zum Nachweis der Vertragserfüllung erforderlichen Informationen zur Verfügung und ermöglicht Kontrollen einschließlich Inspektionen durch das Studio oder einen von ihm beauftragten unabhängigen Prüfer. Die Parteien stimmen Art, Umfang und Zeitpunkt risikogerecht ab, schützen andere Kundendaten und berücksichtigen bestehende aussagekräftige Nachweise. Anlassbezogene und gesetzlich erforderliche Kontrollen dürfen dadurch nicht vereitelt werden. Die Zusammenarbeit mit zuständigen Aufsichtsbehörden bleibt unberührt.

7. Rückgabe, Löschung und Vertragsende

Das Studio kann seine Daten während der Nutzung über den Kontoexport abrufen. Der Export enthält die für das Studio vorgesehenen Datensätze; Passwörter, geheime Zugangsdaten und interne Anbieterprotokolle gehören nicht dazu. Bei einem für den Sofortdownload zu großen Bestand erfolgt die Bereitstellung auf Anfrage.

Nach Ende des Auftrags gibt Abendfrei personenbezogene Auftragsdaten nach Wahl des Studios zurück oder löscht sie und löscht vorhandene Kopien, sofern Unions- oder Mitgliedstaatenrecht keine weitere Speicherung vorschreibt. Die Parteien stimmen dafür den Rückgabeweg, den Umfang, eine angemessene Ausführungsfrist und den Umgang mit Sicherungskopien in Textform ab. Soweit Daten rechtlich aufbewahrt werden müssen, werden Zweck und Zugriff entsprechend beschränkt. Abendfrei bestätigt die durchgeführte Maßnahme auf Anfrage.

Die Kündigung eines Moduls oder Abos beendet die automatische Verarbeitung des nicht mehr verfügbaren Moduls, löscht aber nicht automatisch das Studio-Konto und sämtliche Daten. Eine Archivierung von Kunden ist ebenfalls keine endgültige Löschung. Lösch- und Rückgabeweisungen werden derzeit über Support oder die Kontaktadresse bearbeitet. Eingehende WhatsApp-Nachrichten im Posteingang werden durch den regelmäßigen Bereinigungslauf nach 90 Tagen entfernt, interne WhatsApp-Zustellereignisse nach 30 Tagen. Dokumentierte Einwilligungen und Widerrufe bleiben davon unberührt. Eine automatische Löschung aller übrigen Kunden-, Nachrichten-, Vertrags- oder Sicherungsdaten nach einer festen Frist wird nicht zugesagt.

8. Technische und organisatorische Maßnahmen (Anlage 2)

Zugang und Trennung: verifizierte Kontoanmeldung über Supabase Auth, serverseitige Sitzungs- und Berechtigungsprüfung sowie Datenbank-Zugriffsregeln je Studio. Vertragsbestätigungen und Abrechnung sind dem Kontoinhaber vorbehalten. Öffentliche Besucher erhalten keinen direkten Zugriff auf Studio-Datentabellen. Das aktuelle Produkt bietet einen persönlichen Inhaberzugang; planbare Mitarbeiter im Kalender sind keine zusätzlichen Benutzerkonten.

Übertragung und Geheimnisse: HTTPS für die Webanwendung und Anbieteranbindungen. WhatsApp-Zugriffsschlüssel, Google-OAuth-Tokens und iCloud-App-Passwörter werden in einem nicht öffentlich zugänglichen Datenbankschema mit authentifizierter AES-256-GCM-Verschlüsselung gespeichert; der Schlüssel liegt getrennt in der Serverkonfiguration. OAuth-Zustände und öffentliche Aktionslinks werden anhand zeitlich begrenzter oder widerrufbarer Berechtigungen geprüft. App-Passwörter und Tokens werden nicht im Kontoexport ausgegeben.

Integrität und Datenminimierung: Datenbankbeziehungen prüfen die Studiozuordnung, konkurrierende Buchungen werden auf Überschneidungen geprüft und wiederholte Anbieterereignisse dedupliziert. Stripe-, Resend- und WhatsApp-Webhooks benötigen eine gültige Signatur. Importierte Kalenderbelegungen speichern Zeiträume und Kennungen ohne fremde Titel; neue Exporte verwenden einen allgemeinen privaten Titel. Versandfreigaben, zweck- und kanalbezogene Einwilligungen und Widerrufe werden nachvollziehbar gespeichert. Für Anfragelimits werden gehashte Kennungen statt Klartext-IP-Adressen in einer privaten Tabelle verwendet.

Betrieb und Wiederherstellung: Der Betreiber beschränkt und überprüft administrative Berechtigungen, hält Geheimnisse aus Quelltext und normalen Protokollen heraus, pflegt Sicherheitsaktualisierungen und prüft die wesentlichen Zugriffs-, Buchungs- und Versandfunktionen. Er muss für den Produktivbetrieb angemessene Sicherungen und eine überprüfte Wiederherstellung organisieren sowie Vorfälle und Löschweisungen bearbeiten. Diese organisatorischen Verpflichtungen sind keine Behauptung, dass ein bestimmter Anbieterplan, ein bestimmtes Sicherungsintervall, eine Zertifizierung oder eine Wiederherstellungszeit bereits eingerichtet oder geprüft wurde.

9. Elektronische Bestätigung und Fassungen

Die Bestätigung erfolgt elektronisch durch den angemeldeten Kontoinhaber und wird mit Fassung 2026-09-06-v3, einem Prüffingerabdruck des Vertragstextes, Studiokennung, Konto-E-Mail, Auftraggeberangaben und Serverzeitpunkt gespeichert. Zugeordnete Abo-Bedingungen: 2026-09-06-v3; deren kostenpflichtiger Abschluss bleibt ein eigener Bestellschritt. Der Vertragstext und der Bestätigungsnachweis können im Konto gespeichert werden.

Spätere Änderungen dieses Vertrages werden gesondert dokumentiert. Eine bestätigte Fassung wird nicht durch stilles Überschreiben des Vertragstextes geändert. Änderungen der technischen Maßnahmen und Unterauftragsverarbeiter richten sich zusätzlich nach den obigen Abschnitten. Gesetzliche Rechte und Verantwortlichkeiten bleiben unberührt.