Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

Fassung vom 05.10.2026

Zwischen

dem Verantwortlichen (nachfolgend „Auftraggeber")

dem Betrieb, der dieser Vereinbarung in BookArgent zustimmt — mit Firma, Anschrift und vertretungsberechtigter Person, wie bei der Zustimmung angegeben

und dem Auftragsverarbeiter (nachfolgend „Auftragnehmer")

EJS-Solution — Elias Philip Strohbach und Jona Storch GbR
Fechenheimer Weg 35
63477 Maintal
vertreten durch die Gesellschafter Elias Philip Strohbach und Jona Storch
E-Mail: ejs-solution@outlook.de · Telefon: 0179 4554925

Präambel

Der Auftraggeber betreibt einen Dienstleistungsbetrieb und nutzt die Software „BookArgent" des Auftragnehmers zur Terminverwaltung, Kundenverwaltung, Personaleinsatzplanung und Nachrichtenbearbeitung.

Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers. Der Auftraggeber bleibt Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO; der Auftragnehmer ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Nicht Gegenstand dieser Vereinbarung sind die Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet: die Vertrags- und Rechnungsdaten des Auftraggebers selbst sowie dessen Zugangsdaten. Hierfür gilt die Datenschutzerklärung des Auftragnehmers.

§ 1 Gegenstand, Dauer und Beendigung

(1) Gegenstand. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Betrieb der Software BookArgent für den Auftraggeber, wie in Anlage 1 im Einzelnen beschrieben.

(2) Dauer. Die Vereinbarung beginnt mit der Zustimmung des Auftraggebers in BookArgent und läuft solange, wie der Hauptvertrag (Nutzungsvertrag über BookArgent) besteht. Sie endet automatisch mit dessen Beendigung.

(3) Kündigung aus wichtigem Grund. Der Auftraggeber kann diese Vereinbarung jederzeit fristlos kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen diese Vereinbarung vorliegt, der Auftragnehmer eine Weisung nicht ausführen kann oder will, oder der Auftragnehmer eine Kontrolle des Auftraggebers verweigert. Die Kündigung dieser Vereinbarung berechtigt den Auftraggeber zugleich zur Kündigung des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art, Umfang und Zweck der Verarbeitung, die Arten der verarbeiteten Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.

Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Ausgenommen hiervon sind die in Anlage 3 ausdrücklich genannten Verarbeitungen in Drittländern; für diese liegen die dort bezeichneten Garantien nach Kapitel V DSGVO vor.

§ 3 Weisungsgebundenheit

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen dieser Vereinbarung und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Form der Weisungen. Weisungen erfolgen in Textform, im Regelfall über die Supportfunktion in BookArgent oder per E-Mail an ejs-solution@outlook.de. Nachrichten über die Supportfunktion werden mit Zeitpunkt und Absender gespeichert und lassen sich über die Anwendung nachträglich nicht ändern. Mündlich erteilte Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Die Einstellungen, die der Auftraggeber in der Software selbst vornimmt — insbesondere Leistungen, Preise, Öffnungszeiten, Buchungsregeln und die Freischaltung optionaler Funktionen — gelten als dokumentierte Weisung. Nimmt der Auftragnehmer auf eine Supportanfrage oder eine andere Weisung in Textform hin Einstellungen für den Auftraggeber vor, gilt diese als dokumentierte Weisung; die Änderung wird nach Anlage 2 Abschnitt 2.2 protokolliert. Wird die Supportanfrage nach Anlage 1 Abschnitt 1.5 gelöscht, bleiben im Protokoll Anlass und Begründung erhalten, nicht die Anfrage selbst. Angaben zu Endkunden übermittelt der Auftraggeber über die Supportfunktion, nicht per E-Mail; das gilt auch für Antworten auf E-Mails des Auftragnehmers.

(3) Rechtswidrige Weisungen. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Auftraggeber unverzüglich mit. Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

(4) Weisungsberechtigte Personen.
Auftraggeber: die bei der Zustimmung angegebene vertretungsberechtigte Person, erreichbar über die E-Mail-Adresse des Kontos, mit dem zugestimmt wurde
Auftragnehmer, weisungsempfangend: Elias Philip Strohbach und Jona Storch, ejs-solution@outlook.de sowie über die Supportfunktion in BookArgent

§ 4 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

(1) Vertraulichkeit. Alle mit der Verarbeitung befassten Personen auf Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO) und sie über die einschlägigen Datenschutzvorschriften zu unterrichten. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(2) Sicherheit der Verarbeitung. Die technischen und organisatorischen Maßnahmen nach Anlage 2 einzuhalten und während der Vertragslaufzeit aufrechtzuerhalten. Änderungen sind zulässig, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen teilt der Auftragnehmer dem Auftraggeber vorab in Textform mit.

(3) Unterstützung. Den Auftraggeber bei der Erfüllung der Betroffenenrechte (§ 6), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Datenschutzverletzungen (§ 7) im gebotenen Umfang zu unterstützen.

(4) Kein Datenschutzbeauftragter. Der Auftragnehmer beschäftigt weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten und ist daher nach § 38 Abs. 1 BDSG nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Ansprechpartner in Datenschutzfragen sind die Gesellschafter unter ejs-solution@outlook.de. Der Auftragnehmer teilt dem Auftraggeber unverzüglich mit, wenn sich diese Einordnung ändert.

(5) Berichtigung, Einschränkung, Löschung. Daten nur nach Weisung des Auftraggebers zu berichtigen, zu löschen oder ihre Verarbeitung einzuschränken. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

(6) Verzeichnis. Ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO zu führen und dem Auftraggeber auf Anforderung vorzulegen.

(7) Trennung. Die Daten des Auftraggebers von den Daten anderer Auftraggeber getrennt zu verarbeiten (Mandantentrennung, siehe Anlage 2).

§ 5 Unterauftragsverarbeiter

(1) Genehmigte Unterauftragsverarbeiter. Der Auftraggeber stimmt dem Einsatz der in Anlage 3 namentlich aufgeführten Unterauftragsverarbeiter zu. Der Auftragnehmer hat mit jedem von ihnen die nach Art. 28 Abs. 4 DSGVO erforderlichen Verpflichtungen vereinbart.

(2) Änderungen. Der Auftragnehmer unterrichtet den Auftraggeber mindestens 30 Tage vorher in Textform, bevor er einen weiteren Unterauftragsverarbeiter hinzuzieht oder einen bestehenden ersetzt. Der Auftraggeber kann innerhalb von 14 Tagen ab Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, sind beide Seiten berechtigt, den Hauptvertrag mit einer Frist von einem Monat zu kündigen.

(3) Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Auftragnehmer als Hilfsleistung in Anspruch nimmt, etwa Telekommunikation, Post oder Reinigung. Für Wartungs- und Prüfleistungen an datenverarbeitenden Systemen schließt der Auftragnehmer jedoch eine Vereinbarung nach Art. 28 DSGVO.

(4) Haftung. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Verhalten wie für eigenes.

§ 6 Betroffenenrechte

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten.

(2) Selbstbedienung und Unterstützung. Auskunft über Termine kann der Auftraggeber eigenständig in der Software geben, Auskunft über die Kundenkartei, soweit sein Paket sie umfasst. Die Berichtigung von Name, Termin und Terminnotiz kann er dort eigenständig vornehmen, außer im Lesemodus nach Ziffer 6 der Nutzungsbedingungen. Die Berichtigung von E-Mail-Adresse und Telefonnummer, Auskünfte zu Einwilligungsnachweisen sowie Löschung und Export von Kunden- und Termindaten führt der Auftragnehmer auf Weisung des Auftraggebers in Textform aus; Funktionen dafür in der Software sind noch nicht umgesetzt. Ebenso auf Weisung erledigt er, was der Auftraggeber nach den Sätzen 1 und 2 nicht selbst vornehmen kann.

(3) Fristen. Ist eine Unterstützung durch den Auftragnehmer erforderlich, erfolgt sie unverzüglich, spätestens innerhalb von 7 Werktagen nach Zugang der Anforderung, sodass der Auftraggeber die Monatsfrist des Art. 12 Abs. 3 DSGVO einhalten kann.

(4) Kosten. Die Unterstützung ist unentgeltlich, soweit sie nicht auf einem Verschulden des Auftraggebers beruht und keinen außergewöhnlichen Aufwand verursacht.

§ 7 Verletzungen des Schutzes personenbezogener Daten

(1) Meldung. Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die in § 3 Abs. 4 benannte Person. Die Frist ist so bemessen, dass der Auftraggeber seine eigene 72-Stunden- Frist nach Art. 33 Abs. 1 DSGVO einhalten kann.

(2) Inhalt. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, den Zeitpunkt, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Sind nicht alle Angaben sofort verfügbar, erfolgt eine erste Meldung und danach eine Nachmeldung ohne unangemessene Verzögerung.

(3) Mitwirkung. Der Auftragnehmer unterstützt den Auftraggeber bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO). Meldungen an die Aufsichtsbehörde nimmt ausschließlich der Auftraggeber vor.

(4) Dokumentation. Der Auftragnehmer dokumentiert jede Verletzung einschließlich der ergriffenen Abhilfemaßnahmen und stellt die Dokumentation dem Auftraggeber auf Anforderung zur Verfügung.

§ 8 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung und der Maßnahmen nach Anlage 2 zu überprüfen.

(2) Nachweise. Der Auftragnehmer weist die Einhaltung in erster Linie nach durch die Vorlage der aktuellen Fassung der Anlage 2, durch Selbstauskünfte sowie durch Zertifikate und Prüfberichte seiner Unterauftragsverarbeiter, soweit ihm diese vorliegen. Die nach Anlage 2 Abschnitt 2.2 protokollierten lesenden Zugriffe und Änderungen des Auftragnehmers an den Daten seines Betriebs sieht der Auftraggeber in BookArgent unter Einstellungen, dort die jüngsten 100 Einträge; das vollständige Protokoll legt der Auftragnehmer auf Anforderung in Textform vor.

(3) Vor-Ort-Kontrolle. Reichen die Nachweise nicht aus, kann der Auftraggeber nach Anmeldung mit angemessener Frist, mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Prüfer darf kein Wettbewerber des Auftragnehmers sein.

(4) Häufigkeit und Kosten. Eine Kontrolle pro Kalenderjahr ist unentgeltlich. Weitere Kontrollen ohne konkreten Anlass kann der Auftragnehmer mit 90 Euro je angefangener Stunde berechnen. Bei einem konkreten Anlass — insbesondere nach einer Verletzung nach § 7 — sind Kontrollen jederzeit und unentgeltlich möglich.

(5) Aufsichtsbehörden. Kontrollrechte der zuständigen Aufsichtsbehörden nach Art. 58 DSGVO bleiben unberührt.

§ 9 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung des Auftrags löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück — nach Wahl des Auftraggebers. Trifft der Auftraggeber innerhalb von 14 Tagen nach Beendigung keine Wahl, wird gelöscht.

(2) Export. Der Auftraggeber erhält vor der Löschung auf Wunsch einen vollständigen Export seiner Daten im CSV-Format, den der Auftragnehmer erstellt.

(3) Frist. Die Löschung erfolgt innerhalb von 30 Tagen nach Beendigung des Auftrags.

(4) Sicherungskopien. Sicherungskopien werden ausschließlich zur Wiederherstellung vorgehalten und mit dem Auslaufen des jeweiligen Sicherungszyklus gelöscht, spätestens 30 Tage nach Beendigung des Auftrags. Bis dahin bleiben sie von jeder weiteren Verarbeitung ausgenommen.

(5) Gesetzliche Aufbewahrung. Unterliegen einzelne Daten einer gesetzlichen Aufbewahrungspflicht, bleiben sie bis zum Ablauf der Frist gespeichert; ihre Verarbeitung wird eingeschränkt. Der Auftragnehmer benennt diese Daten dem Auftraggeber. Das Protokoll der Support-Zugriffe und -Eingriffe nach Anlage 2 Abschnitt 2.2 bewahrt der Auftragnehmer zum Nachweis zwei Jahre nach dem jeweiligen Zugriff auf, auch über das Vertragsende hinaus. Es enthält den Namen des Betriebs, Anlass, Begründung sowie bei Änderungen den Zustand vorher und nachher; mit der Löschung des Betriebs werden Vornamen von Mitarbeitenden aus den Angaben zum Zustand vorher und nachher entfernt, nicht aus der Begründung. Begründungen nennen nach der Arbeitsanweisung des Auftragnehmers keine Endkunden. Das Protokoll seines Verwaltungszugangs (Anmeldungen und Aktionen der Gesellschafter, bei Aktionen zu einem Betrieb mit dessen Kennung und gegebenenfalls der Begründung) bewahrt der Auftragnehmer 400 Tage auf.

(6) Nachweis. Der Auftragnehmer bestätigt die Löschung in Textform.

§ 10 Haftung

(1) Für die Haftung im Außenverhältnis gilt Art. 82 DSGVO.

(2) Im Innenverhältnis haftet jede Partei für Schäden, die durch eine von ihr zu vertretende Verletzung dieser Vereinbarung oder der DSGVO entstehen. Hat eine Partei über ihren Verursachungsanteil hinaus geleistet, kann sie von der anderen Partei Ausgleich verlangen.

(3) Haftungsbeschränkungen des Hauptvertrags gelten nicht für Ansprüche nach Art. 82 DSGVO.

§ 11 Schlussbestimmungen

(1) Vorrang. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag oder den Allgemeinen Geschäftsbedingungen des Auftragnehmers geht diese Vereinbarung vor.

(2) Textform. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(3) Salvatorische Klausel. Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Recht und Gerichtsstand. Es gilt deutsches Recht. Gerichtsstand ist Maintal, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(5) Anlagen. Die Anlagen 1 bis 3 sind Bestandteil dieser Vereinbarung.

Abschluss

Diese Vereinbarung wird in einem elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO). Sie kommt zustande, indem der Auftraggeber ihr in BookArgent bei der Wahl seines Pakets zustimmt. Der Auftragnehmer speichert dazu die Kennung dieser Fassung, eine Prüfsumme ihres Textes, den Zeitpunkt der Zustimmung, das zustimmende Konto sowie die angegebene Firma, Anschrift und vertretungsberechtigte Person.

Die geltende Fassung ist jederzeit unter cutz.bookargent.com/avv abrufbar und lässt sich dort ausdrucken; ein angemeldeter Auftraggeber sieht dort auch seine gespeicherte Zustimmung. Änderungen der Anlagen 2 und 3 richten sich nach § 4 Abs. 2 und § 5 Abs. 2. Andere Änderungen legt der Auftragnehmer dem Auftraggeber in BookArgent zur Zustimmung vor; sie gelten erst mit dieser Zustimmung, bis dahin gilt die bisherige Fassung fort.

Anlage 1 — Gegenstand der Verarbeitung

1.1 Zweck

Betrieb der Software BookArgent für den Auftraggeber, konkret:

• Annahme und Verwaltung von Terminbuchungen über die öffentliche Buchungsseite des Betriebs sowie über die Eingabe im Dashboard
• Führung einer Kundenkartei mit Besuchshistorie
• Personaleinsatzplanung: Arbeitszeiten, Schichten, Abwesenheiten
• Versand von Eingangs-, Bestätigungs-, Absage- und Verlegungsnachrichten an Endkunden sowie, wenn der Auftraggeber sie einschaltet, von Terminerinnerungen am Vortag
• Bearbeitung eingehender E-Mails im Postfach des Betriebs, einschließlich KI-gestützter Einstufung eingehender Nachrichten (Anliegen wie Absage, Verlegung oder Beschwerde, Dringlichkeit, Wunsch nach persönlichem Kontakt), Übersetzung und Vorformulierung von Antwortentwürfen (Funktion „Vera")
• Versand von Marketingnachrichten an Endkunden, soweit vom Auftraggeber ausgelöst und auf gültiger Rechtsgrundlage
• Unterstützung des Auftraggebers bei Fragen und Störungen (Support) über die Supportfunktion in BookArgent, einschließlich protokollierter lesender Einsicht in die Daten des Betriebs und einzelner protokollierter Änderungen an seinen Einstellungen nach Anlage 2 Abschnitt 2.2
• Erkennung und Behebung technischer Fehler der Software, einschließlich automatischer Fehlerberichte nach Anlage 2 Abschnitt 2.4

1.2 Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten.

1.3 Kategorien betroffener Personen

1.4 Arten personenbezogener Daten

Endkunden

• Stammdaten: Vor- und Nachname, Telefonnummer, E-Mail-Adresse
• Termindaten: Datum, Uhrzeit, gebuchte Leistung, zugeordnete Mitarbeitende, Dauer, Preis, Status (angefragt, bestätigt, erledigt, abgesagt)
• Historie: frühere Termine, Besuchsfrequenz, Umsatzsumme
• Freitexte: Notizen, die der Auftraggeber zum Kunden erfasst, und Anmerkungen der Endkunden bei der Buchung
• Einwilligungen in Werbenachrichten mit Zeitpunkt, Quelle und Widerruf
• Kommunikationsdaten: Inhalte und Metadaten eingehender und ausgehender Nachrichten (E-Mail; bei freigeschalteter Funktion auch WhatsApp und Instagram)
• Technische Daten der Buchungsseite: IP-Adresse, Zeitstempel, Browserkennung

Beschäftigte

• Name, Rolle, E-Mail-Adresse, Telefonnummer, zugeordnete Leistungen, Profilbild (sofern hinterlegt)
• Arbeitszeiten, Schichtpläne, geplante Abwesenheiten mit Zeitraum, Status mit Zeitraum
• Provisionssatz und daraus berechneter Umsatz je Mitarbeitende
• Freitextnotizen zur Abwesenheit, zur Schicht und zur Person

Supportanfragen. Schreibt der Auftraggeber Angaben zu Endkunden oder Beschäftigten in eine Supportanfrage, werden sie im Auftrag verarbeitet. Die Supportfunktion bittet darum, nur Angaben zu machen, die zur Klärung nötig sind.

Fehlerberichte. Enthält ein automatischer Fehlerbericht (Anlage 2 Abschnitt 2.4) trotz der dort beschriebenen Maßnahmen Angaben zu Endkunden oder Beschäftigten, werden sie im Auftrag verarbeitet. Browser und Betriebssystem des angemeldeten Kontos verarbeitet der Auftragnehmer als eigener Verantwortlicher nach seiner Datenschutzerklärung.

Nicht verarbeitet werden im Auftrag: Zahlungsdaten der Endkunden. Die Bezahlung erfolgt außerhalb von BookArgent im Betrieb des Auftraggebers. BookArgent speichert lediglich den vom Auftraggeber erfassten Betrag.

1.5 Speicherdauer

Für die Dauer des Vertragsverhältnisses; danach nach § 9 dieser Vereinbarung. Abwesenheiten, Arbeitszeiten und Mitarbeitende kann der Auftraggeber selbst löschen, im Lesemodus nach Ziffer 6 der Nutzungsbedingungen auf Weisung durch den Auftragnehmer; der Name einer gelöschten Person bleibt in bestehenden Terminen, Arbeitszeiten und Abwesenheiten erhalten. Kunden- und Termindaten löscht der Auftragnehmer auf Weisung (§ 6 Abs. 2). Supportanfragen werden zwölf Monate nach ihrer Erledigung gelöscht, die eines Betriebs mit dem nächsten täglichen Löschlauf nach der Löschung seiner Daten nach § 9; Anfragen zur Abrechnung bewahrt der Auftragnehmer als Geschäftsbriefe sechs Jahre ab dem Ende des Jahres der letzten Nachricht auf. Das Protokoll der Support-Zugriffe und -Eingriffe wird zwei Jahre aufbewahrt (§ 9 Abs. 5). Automatische Fehlerberichte (Anlage 2 Abschnitt 2.4) werden 90 Tage nach dem letzten Auftreten des Fehlers gelöscht.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 30.09.2026. Diese Anlage beschreibt den tatsächlich umgesetzten Stand. Maßnahmen, die noch nicht umgesetzt sind, sind als solche gekennzeichnet — sie werden hier bewusst nicht als bestehend dargestellt.

2.1 Vertraulichkeit

Zutrittskontrolle (physisch). Die Daten werden in Rechenzentren der in Anlage 3 genannten Anbieter gespeichert. Der Auftragnehmer selbst betreibt keine Server; seine Arbeitsgeräte greifen zu Entwicklung und Wartung auf die Produktionsdatenbank zu (siehe Zugriffskontrolle). Abgefragt werden dabei nur der Aufbau der Datenbank und Zählungen, keine personenbezogenen Inhalte. Einsicht in die Daten eines bestimmten Betriebs zu Supportzwecken nehmen die Gesellschafter ausschließlich über den gesonderten Verwaltungszugang nach Abschnitt 2.2; auf personenbezogene Inhalte in der Datenbank selbst greifen sie nur zu, um Weisungen auszuführen, für die der Verwaltungszugang keine Funktion bietet (Abschnitt 2.2). Für die Rechenzentren gelten die Zutrittskontrollen der jeweiligen Anbieter (Amazon Web Services, Frankfurt am Main: ISO 27001, SOC 2 Typ II, ISO 27017/27018). Arbeitsgeräte des Auftragnehmers sind vollverschlüsselt (FileVault) und durch Kennwort sowie biometrische Merkmale gesperrt.

Zugangskontrolle (System).

• Anmeldung mit E-Mail-Adresse und Passwort, über ein Google-Konto mit derselben E-Mail-Adresse oder mit E-Mail-Adresse und vierstelliger PIN; nach fünf Fehlversuchen in Folge wird die PIN bis zur nächsten Anmeldung mit Passwort gesperrt. Passwörter und PINs werden mit bcrypt, Kostenfaktor 12 gespeichert, niemals im Klartext (zwei ältere interne Konten ohne Kundenbezug: Kostenfaktor 10).
• Sitzungen laufen als verschlüsselte Token mit einer Gültigkeit von 30 Tagen, die sich bei Nutzung verlängert. Bei Abmeldung wird das Token im Browser gelöscht.
• Noch nicht umgesetzt: eine serverseitige Sperre einzelner Sitzungen.
• Eine Ratenbremse begrenzt Anmeldeversuche, Passwort-Rücksetzungen und Buchungen über die öffentliche Buchungsseite je IP-Adresse sowie KI-Aufrufe je Betrieb.
• Sämtliche Verbindungen sind mit TLS 1.2 oder höher verschlüsselt; unverschlüsselte Aufrufe werden auf HTTPS umgeleitet (HSTS).
• Der Verwaltungszugang des Auftragnehmers ist eine gesonderte Anwendung unter eigener Adresse, beschränkt auf die beiden Gesellschafter. Er verlangt neben dem Passwort einen Einmalcode per E-Mail; zu Beginn einer Einsicht und für jede Änderung nach Abschnitt 2.2 darf dieser Code höchstens 15 Minuten alt sein.

Zugriffskontrolle (Berechtigung).

• Zugang zum Betrieb haben ausschließlich Inhaberkonten mit vollen Rechten. Daneben besteht der gesonderte Verwaltungszugang des Auftragnehmers (Zugangskontrolle, Trennungskontrolle (a), Abschnitt 2.2).
• Noch nicht umgesetzt: Zugänge für Mitarbeitende mit abgestuften Rechten; bis dahin gibt der Auftraggeber seine Zugangsdaten nicht weiter.
• Jede Datenabfrage wird serverseitig auf die Mandantenkennung des angemeldeten Kontos eingeschränkt; Konten ohne gültige Mandantenzuordnung werden abgewiesen.
• Zugangsdaten zu den Unterauftragsverarbeitern liegen als verschlüsselte Umgebungsvariablen beim Hosting-Anbieter und sind im Browser des Nutzers zu keinem Zeitpunkt verfügbar. Für Entwicklung und Wartung liegen sie zusätzlich auf den vollverschlüsselten Arbeitsgeräten der Gesellschafter.
• Zugriff auf die Produktionsdatenbank haben außer den Anwendungen des Auftragnehmers selbst nur die beiden Gesellschafter, mit Serverschlüsseln, die Row Level Security umgehen und Lese- und Schreibzugriff auf die Daten aller Betriebe geben. Setzen die Gesellschafter bei der Wartung KI-Werkzeuge ein, fragen diese nur den Aufbau der Datenbank und Zählungen ab, keine personenbezogenen Inhalte. Fehlerberichte erhalten diese KI-Werkzeuge nur in der Form nach Abschnitt 2.4.
• ⚠️ Offen: Die Zugangstoken zu einem angebundenen Google-Postfach oder -Kalender liegen derzeit unverschlüsselt in der Datenbank. Wer Zugriff auf die Datenbank hat, kann sie auslesen; das ist der im vorigen Punkt genannte Kreis. Eine Verschlüsselung dieser Felder im Ruhezustand ist bis 31.10.2026 vorgesehen. Bis dahin gilt: Die Postfachanbindung ist optional und standardmäßig abgeschaltet; der Auftraggeber kann sie jederzeit widerrufen, wodurch der Token gelöscht wird.

Trennungskontrolle (Mandantentrennung).

• Alle Datensätze tragen eine Mandantenkennung. Jede Abfrage und jede Änderung wird serverseitig gegen die Mandantenkennung der Sitzung geprüft. Ausgenommen sind (a) ein gesonderter Verwaltungszugang der Gesellschafter mit Anmeldung über einen zweiten Faktor: eine Übersicht aller Betriebe und je Betrieb eine Seite mit Name, Ort, Paket und Abo, Stand der Einrichtung und der Verbindungen, Konten (Name, E-Mail-Adresse, Rolle, letzte Anmeldung), AVV-Zustimmungen sowie Kennzahlen zu Terminen und KI-Nutzung ohne Daten einzelner Endkunden; dazu das Postfach für Supportanfragen aller Betriebe, die Liste automatisch erfasster technischer Fehler, protokollierte lesende Einsicht und einzelne protokollierte Änderungen an Einstellungen eines Betriebs nach Abschnitt 2.2, (b) Zugriffe ohne Sitzung über Betrieb, geheimes Token oder Signatur (Buchungsseite, Terminlinks, Abmeldelinks, Zahlungsmeldungen), und (c) tägliche Systemjobs: der Versand der Terminerinnerungen für den Folgetag bei Betrieben, die sie eingeschaltet haben, ein Selbsttest, der die Buchbarkeit der Buchungsseiten prüft und Meldungen, unbestätigte Anfragen zur Werbe-Einwilligung sowie nicht bestätigte WhatsApp-Nummern nach 30 Tagen löscht, und Löschläufe, die Fehlerberichte 90 Tage nach dem letzten Auftreten sowie Supportanfragen und Zugriffsprotokolle nach Ablauf ihrer Fristen löschen.
• Auf allen Tabellen ist Row Level Security ohne Freigaberegeln aktiv; ein Zugriff mit dem öffentlichen Schlüssel liefert keine Daten. Die Trennung zwischen den Mandanten beruht auf der serverseitigen Prüfung, da der Serverzugang Row Level Security umgeht.
• Produktions- und Vorführdaten sind getrennt: die öffentliche Vorführung („Showroom") läuft auf einer eigenen Auslieferung ohne Zugriff auf Kundendaten.

Pseudonymisierung. Nicht durchgeführt — die Verarbeitung setzt die Identifizierbarkeit voraus (Terminzuordnung, Ansprache des Kunden).

2.2 Integrität

Weitergabekontrolle. Transport ausschließlich über TLS. E-Mail-Versand über einen authentifizierten Anbieter mit SPF-, DKIM- und DMARC-Einträgen auf den eigenen Domains.

Eingabekontrolle.

• Termine tragen den Zeitpunkt ihrer Anlage und ihren aktuellen Status.
• Noch nicht umgesetzt: eine Änderungshistorie der Termine.
• Abgewiesene Anmeldungen und Zugriffe erscheinen als HTTP-Status in den Zugriffsprotokollen des Hosting-Anbieters (Aufbewahrung nach dessen Tarif); eine eigene Protokollierung ist noch nicht umgesetzt.
• Lesende Zugriffe des Auftragnehmers auf die Daten eines bestimmten Betriebs zu Supportzwecken erfolgen ausschließlich über den gesonderten Verwaltungszugang (Abschnitt 2.1). Ohne Einsicht zeigt dieser nur die in Abschnitt 2.1 (Trennungskontrolle, a) genannte Übersicht, das Postfach und die Fehlerliste. Für eine Einsicht speichert die Datenbank, bevor eine Ansicht angezeigt wird, welche Person auf welchen Betrieb zugreift, aus welchem Anlass (Supportanfrage, Weisung, Fehlerbehebung, Wartung oder Einrichtungshilfe), mit welcher Begründung, wann und welche Ansicht aufgerufen wird; erst nach diesem Eintrag liefert der Verwaltungszugang die Ansicht. Eine Einsicht endet spätestens 30 Minuten nach ihrem Beginn. Angezeigt werden Einstellungen, Leistungen, Team, Arbeitszeiten und Konten des Betriebs sowie Termine eines gewählten Zeitraums von höchstens 14 Tagen, dabei der Name der Endkunden nur als Initialen und ohne Kontaktdaten und Notizen; Meldungen nur als Anzahl. Kundenkartei, Einwilligungen der Endkunden und Nachrichteninhalte werden nicht angezeigt, der Gesundheitsstatus von Beschäftigten nur als ‚abwesend‘. Die Einträge lassen sich über den Zugang der Anwendung weder ändern noch vorzeitig löschen und werden zwei Jahre aufbewahrt. Der Auftraggeber sieht die Zugriffe auf seinen Betrieb in BookArgent unter Einstellungen (§ 8 Abs. 2). Außerhalb von Wartung und Fehlerbehebung erfolgt eine Einsicht nur auf Weisung des Auftraggebers in Textform, in der Regel über eine Supportanfrage; das gilt auch für Einrichtungshilfe. Nicht erfasst sind Zugriffe unmittelbar auf die Datenbank bei der Wartung (Abschnitt 2.1, Zugriffskontrolle) und bei der Ausführung von Weisungen nach dem letzten Punkt der Eingabekontrolle.
• Über den Verwaltungszugang kann der Auftragnehmer folgende Einstellungen eines Betriebs ändern: die öffentliche Buchungsseite ab- oder wieder einschalten, eine gesperrte Anmelde-PIN freigeben, den Bestätigungslink für die Konto-E-Mail-Adresse erneut versenden, eine Leistung aus dem mitgelieferten Katalog von der Buchungsseite nehmen sowie auf Weisung Leistungen anlegen, ändern oder deaktivieren, Mitarbeitende mit Vorname und Rolle anlegen, Arbeitszeiten setzen oder entfernen und einzeln vereinbarte Zusatzfunktionen frei- oder abschalten. Änderungen an Leistungen, Mitarbeitenden und Arbeitszeiten setzen eine laufende, protokollierte Einsicht voraus. Kunden- und Termindaten ändert der Auftragnehmer auf diesem Weg nicht. Jeder Eingriff wird in derselben Datenbanktransaktion mit Person, Zeitpunkt, Anlass, Begründung sowie dem Zustand vorher und nachher gespeichert. Die Einträge lassen sich über den Zugang der Anwendung weder ändern noch vorzeitig löschen, werden zwei Jahre aufbewahrt und sind für den Auftraggeber in BookArgent unter Einstellungen einsehbar (§ 8 Abs. 2).
• Weisungen, für die der Verwaltungszugang keine Funktion bietet — die Pause von Vera, das Zurücksetzen der Daten des Betriebs sowie Auskunft, Berichtigung, Löschung und Export nach § 6 Abs. 2 und § 9 Abs. 2 —, führen die Gesellschafter unmittelbar in der Datenbank aus und bestätigen die Ausführung in Textform, in der Regel im Verlauf der Anfrage. Diese Zugriffe sind nicht nach den vorigen Punkten protokolliert.

2.3 Verfügbarkeit und Belastbarkeit

• Die Anwendung wird auf einer verteilten Plattform betrieben; der Ausfall einer einzelnen Instanz führt nicht zum Verlust von Daten.
• Der Quellcode liegt versioniert in einem gesonderten Verwaltungssystem.
• ⚠️ Stand 30.09.2026: Die Datenbank läuft auf einem Tarif ohne wiederherstellbare Sicherung. Der Anbieter erstellt auf diesem Tarif keine für den Auftragnehmer abrufbare Sicherung, und ein Projekt ohne Zugriff wird nach einer Woche angehalten. Der Auftragnehmer wechselt vor der Aufnahme des Echtbetriebs mit Endkundendaten auf einen Tarif mit täglicher Sicherung und sieben Tagen Aufbewahrung und teilt dem Auftraggeber den Wechsel in Textform mit. Dieser Wechsel ist Voraussetzung für die Aufnahme des Echtbetriebs mit Endkundendaten (Art. 32 Abs. 1 lit. c DSGVO: Fähigkeit, die Verfügbarkeit rasch wiederherzustellen).
• Noch nicht umgesetzt: dokumentierte, regelmäßig geprobte Wiederherstellung. Geplant bis 30.11.2026.

2.4 Verfahren zur Überprüfung und Bewertung

• Datenschutz-Management. Die Gesellschafter überprüfen diese Maßnahmen mindestens einmal jährlich und nach jeder wesentlichen Änderung der Software.
• Auftragskontrolle. Unterauftragsverarbeiter werden vor dem Einsatz auf ihre Datenschutzzusagen geprüft; mit allen bestehen Auftragsverarbeitungsverträge oder gleichwertige Vertragsbedingungen.
• Datenschutz durch Voreinstellung. Neue Konten starten ohne Beispieldaten. Postfachanbindung, Kalenderanbindung und Marketingversand sind standardmäßig abgeschaltet und werden erst durch eine ausdrückliche Handlung des Auftraggebers aktiviert. Mit der Postfachanbindung laufen die KI-Funktionen nach Abschnitt 2.5.
• Vorfallreaktion. Meldewege und Fristen nach § 7 dieser Vereinbarung.
• Fehlererfassung. Technische Fehler im Dashboard und auf den Servern der Anwendung werden automatisch erfasst, um sie zu beheben: Seite ohne Such- und Zugangsparameter, Fehlermeldung mit technischem Ablauf, die zuletzt aufgerufenen Seiten und Schnittstellen der Anwendung, Browser mit Hauptversion und Betriebssystem, Zeitpunkt, Kennung des Betriebs und Softwarestand. Bei Fehlern beim Aufruf einer Buchungsseite werden nur Seite, Fehlermeldung mit technischem Ablauf, Zeitpunkt, Softwarestand und Betrieb gespeichert, Browser und Betriebssystem nur, wenn dabei ein Konto des Betriebs angemeldet ist. Die Erfassung liest keine Formulareingaben, keine IP-Adressen und keine Inhalte von Terminen, Kundenkartei oder Nachrichten. E-Mail-Adressen, Telefonnummern, längere Ziffernfolgen, Kennungen einzelner Datensätze und Zugangsschlüssel in Links werden vor dem Speichern automatisch unkenntlich gemacht; Namen lassen sich dabei nicht zuverlässig erkennen, deshalb nennen die Fehlertexte der Anwendung keine. Die Berichte liegen in der Datenbank (Anlage 3 Nr. 1), sind im Verwaltungszugang des Auftragnehmers einsehbar und werden 90 Tage nach dem letzten Auftreten des Fehlers gelöscht. Zur Fehlersuche mit KI-Werkzeugen wird ein Bericht nur ohne personenbezogene Inhalte weitergegeben: nochmals automatisch unkenntlich gemacht und vor der Weitergabe von Hand durchgesehen; der Betrieb erscheint darin nur als technische Kennung.

2.5 Besondere Maßnahmen zur KI-Funktion („Vera")

• Die KI-Funktionen laufen erst, wenn der Auftraggeber sein Postfach anbindet und sein Paket das Postfach mit Vera umfasst (ab Starter). Ab dann wird jede geöffnete Nachricht automatisch auf Dringlichkeit und den Wunsch nach persönlichem Kontakt eingestuft; dafür geht ihr Text (bis 2.000 Zeichen) an den KI-Anbieter. Solange BookArgent in einem sichtbaren Fenster geöffnet ist, werden zusätzlich höchstens alle fünf Minuten bis zu acht ungelesene Nachrichten der letzten zwei Tage aus dem Posteingang nach ihrem Anliegen eingestuft; dabei gehen nur Betreff und ein Auszug von bis zu 600 Zeichen raus, zuvor um erkannte E-Mail-Adressen und Telefonnummern bereinigt. Nicht als wichtig eingestufte Nachrichten können bei späteren Durchläufen erneut übermittelt werden; als wichtig erkannte Meldungen werden 30 Tage gespeichert. Dieser Abgleich ist voreingestellt aktiv und unter „Wichtige Meldungen" abschaltbar. Antwortentwürfe und Übersetzungen entstehen nur auf Knopfdruck.
• Der Auftragnehmer hat mit dem KI-Anbieter vereinbart, dass die übermittelten Inhalte nicht zum Training von Modellen verwendet werden.
• Vera erzeugt Antwortentwürfe. Ob ein Entwurf abgeschickt wird, entscheidet derzeit ausschließlich ein Mensch beim Auftraggeber. Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.
• E-Mail-Antworten, die zu mindestens der Hälfte aus einem höchstens 24 Stunden alten Vera-Entwurf bestehen, tragen einen Transparenzhinweis nach Art. 50 der Verordnung (EU) 2024/1689 (KI-Verordnung).
• Für einen Antwortentwurf übermittelt werden Absendername und -adresse, Betreff und Text der Nachricht sowie Name und Notiz des Betriebs für Vera, nicht die Kundenkartei.

Anlage 3 — Unterauftragsverarbeiter

Stand 30.09.2026. Diese Liste ist abschließend.

Nicht Unterauftragsverarbeiter im Sinne dieser Vereinbarung: Stripe Payments Europe Ltd. wickelt die Zahlung des Auftraggebers an den Auftragnehmer ab. Dabei werden keine Daten der Endkunden des Auftraggebers verarbeitet. Stripe ist insoweit eigener Verantwortlicher.