Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (AV-Vertrag) gemäß Art. 28 DSGVO

⚠️ Hinweis (ENTWURF – keine Rechtsberatung, anwaltlich prüfen lassen)
Dieser Text ist ein unverbindlicher Entwurf und stellt keine Rechtsberatung dar. Er beruht auf den vom Anbieter mitgeteilten technischen Fakten und muss vor Verwendung anwaltlich geprüft werden. Die TOMs (Anlage 2) müssen der tatsächlichen Umsetzung entsprechen und bei Änderungen aktualisiert werden.
Noch offen: [ANSCHRIFT – ladungsfähige Anschrift ergänzen]; [MONITORING – Tool/Prozess]; [AUFBEWAHRUNG OUTBOX]; mit [bestätigen] bzw. [prüfen] markierte Angaben (Admin-Zugang, Arbeitsgeräte, Brevo-Unterauftragsverarbeiter).
Entschieden: Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, insb. Gesundheitsdaten) sind in Kundennotizen nicht zulässig und nicht Gegenstand der Auftragsverarbeitung.

zwischen

dem Kunden (Salon) gemäß Registrierung bzw. Hauptvertrag
– nachfolgend „Verantwortlicher“ oder „Auftraggeber“ –

und

Linus Petersen, Salonoir (Einzelunternehmen), [ANSCHRIFT – ladungsfähige Anschrift ergänzen], E-Mail: kontakt@salonoir.de
– nachfolgend „Auftragsverarbeiter“ oder „Auftragnehmer“ –

§ 1 Gegenstand, Dauer und Anwendungsbereich

(1) Der Auftragnehmer erbringt für den Auftraggeber Leistungen auf Grundlage des Nutzungsvertrags über die Software „Salonoir“ einschließlich der AGB (nachfolgend „Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten, für die der Auftraggeber Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien.

(2) Gegenstand, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

(3) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet nicht vor Abschluss der Löschung bzw. Rückgabe der Daten nach § 10.

(4) Nicht Gegenstand dieses Vertrags ist die Verarbeitung der Konto- und Vertragsdaten des Auftraggebers (z. B. Registrierungsdaten, Abonnement- und Abrechnungsdaten, Zahlungsabwicklung über Stripe, Sicherheitsprotokolle zum Schutz der Plattform), für die der Auftragnehmer selbst Verantwortlicher ist (siehe Datenschutzerklärung). Der Zahlungsdienstleister Stripe erhält ausschließlich solche Konto- und Abrechnungsdaten (z. B. Salonname, E-Mail-Adresse der Inhaberin bzw. des Inhabers, Rechnungsanschrift, ggf. USt-IdNr., Zahlungsdaten), jedoch keine Daten von Endkunden des Auftraggebers; Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags.

(5) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

§ 2 Weisungsbefugnis

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen werden durch den Hauptvertrag, diesen Vertrag sowie die Konfiguration und Nutzung der Software durch den Auftraggeber (z. B. Anlegen, Ändern, Exportieren, Löschen von Daten, Aktivieren von SMS-Benachrichtigungen) erteilt. Darüber hinausgehende Weisungen erfolgen in Textform an kontakt@salonoir.de. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er ist berechtigt, die Durchführung der Weisung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

(4) Der Auftragnehmer verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung oder zum Training von Modellen, und gibt sie nicht an Dritte weiter, außer an genehmigte Unterauftragsverarbeiter (§ 7) oder aufgrund gesetzlicher Pflicht.

(5) Ausschluss besonderer Kategorien personenbezogener Daten. Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO (insbesondere Gesundheitsdaten wie Allergien oder Unverträglichkeiten) sowie von Daten im Sinne von Art. 10 DSGVO ist nicht Gegenstand dieses Vertrags und nicht von den Weisungen des Auftraggebers umfasst. Eine Eingabe solcher Daten durch den Auftraggeber oder seine Benutzer stellt keine Weisung zu deren Verarbeitung dar. Der Auftragnehmer ist zu einer anlasslosen Kontrolle der Inhalte nicht verpflichtet. Erlangt er Kenntnis von solchen Daten, informiert er den Auftraggeber unverzüglich; der Auftraggeber löscht die Daten unverzüglich. Im Übrigen gilt § 6 Abs. 5 der AGB (Löschung durch den Auftragnehmer nach fruchtlosem Fristablauf, Sperrung der Notizfunktion). Die Verpflichtungen des Auftragnehmers zur Vertraulichkeit und zu den TOMs nach diesem Vertrag gelten für solche Daten bis zu ihrer Löschung gleichwohl.

§ 3 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, die Erfüllung der Informationspflichten gegenüber den betroffenen Personen und die Wahrung der Betroffenenrechte verantwortlich.

(2) Der Auftraggeber stellt insbesondere sicher, dass
a) SMS-Benachrichtigungen nur an Endkunden mit wirksamer Einwilligung versandt werden und die Einwilligung im System dokumentiert ist;
b) keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (insb. keine Gesundheitsdaten wie Allergien, Unverträglichkeiten, Hauterkrankungen oder Schwangerschaft) und keine Daten nach Art. 10 DSGVO in Notizen oder andere Freitextfelder eingegeben werden; er weist seine Benutzer entsprechend an;
c) Notizen sachlich und auf das für Terminplanung und Dienstleistung Erforderliche beschränkt bleiben.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

§ 4 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort. Derzeit hat ausschließlich der Inhaber Linus Petersen administrativen Zugriff. [bei Einstellung von Mitarbeitenden/Freelancern anpassen]

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs) gemäß Anlage 2 (Art. 28 Abs. 3 lit. c DSGVO).

(2) Die TOMs unterliegen dem technischen Fortschritt. Der Auftragnehmer darf alternative, gleichwertige Maßnahmen umsetzen; das Sicherheitsniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt.

§ 6 Unterstützungspflichten

(1) Betroffenenrechte: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Hierzu stellt die Software insbesondere bereit:
a) Export der Daten einer Kundin / eines Kunden im maschinenlesbaren Format JSON (Auskunft, Art. 15; Datenübertragbarkeit, Art. 20 DSGVO);
b) Bearbeitungsfunktionen (Berichtigung, Art. 16 DSGVO);
c) eine Funktion zur Löschung bzw. Anonymisierung einer Kundin / eines Kunden (Art. 17 DSGVO); vergangene Termine bleiben dabei ohne Personenbezug (anonymisiert) für Buchhaltungszwecke des Auftraggebers erhalten;
d) Dokumentation und Widerruf der SMS-Einwilligung.
Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, sofern nicht anders angewiesen.

(2) Art. 32–36 DSGVO: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherigen Konsultation (Art. 28 Abs. 3 lit. f DSGVO).

(3) Datenpannen: Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die im Konto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; Informationen können schrittweise nachgereicht werden. Der Auftragnehmer ergreift unverzüglich Maßnahmen zur Eindämmung und Behebung.

(4) Für Unterstützungsleistungen, die über die Standardfunktionen der Software hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer eine angemessene Vergütung nach Aufwand verlangen, die vorab in Textform mitgeteilt wird.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 4 Wochen vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform (z. B. per E-Mail oder Hinweis im Konto). Der Auftraggeber kann der Änderung innerhalb dieser Frist in Textform widersprechen. Im Fall des Widerspruchs ist der Auftraggeber berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen (Sonderkündigungsrecht); im Voraus gezahlte Vergütung für Zeiträume danach wird anteilig erstattet. In dringenden Fällen (z. B. Ausfall eines Dienstleisters) kann die Frist verkürzt werden; das Kündigungsrecht bleibt unberührt.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet gegenüber dem Auftraggeber für deren Einhaltung.

(4) Eine Verarbeitung außerhalb der EU/des EWR durch den Auftragnehmer oder seine Unterauftragsverarbeiter erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die netcup GmbH (Server) und die OVH GmbH (verschlüsselte Backups) verarbeiten die Daten ausschließlich in Rechenzentren in Deutschland. [prüfen: Unterauftragsverarbeiter von Brevo, insb. SMS-Netzbetreiber/-Aggregatoren]

(5) An den E-Mail-/SMS-Dienstleister (Anlage 3 Nr. 2) werden ausschließlich die für den Versand der jeweiligen Nachricht erforderlichen Daten übermittelt. Kundennotizen und No-Show-Vermerke werden niemals an den E-Mail-/SMS-Dienstleister übermittelt und sind nicht Bestandteil von Nachrichteninhalten oder -vorlagen. Die Nachrichtenvorlagen enthalten keine Platzhalter für Notizen oder No-Show-Vermerke; dies ist durch automatisierte Tests abgesichert.

(6) Nicht als Unterauftragsverhältnisse gelten Nebenleistungen wie Telekommunikationsdienste (reine Durchleitung), Post- oder Reinigungsdienste.

§ 8 Kontrollrechte und Nachweise

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Auftraggeber oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann vorrangig erbracht werden durch eine aktuelle Selbstauskunft, die Dokumentation der TOMs, Nachweise/Zertifikate der Unterauftragsverarbeiter (z. B. ISO/IEC 27001 der netcup GmbH bzw. der OVH GmbH) oder geeignete Prüfberichte.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorlaufzeit von mindestens 4 Wochen anzukündigen, erfolgen während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und in der Regel nicht häufiger als einmal jährlich, sofern kein konkreter Anlass besteht. Daten anderer Kunden sowie Geschäftsgeheimnisse sind zu schützen. Der Auftragnehmer kann für seinen Aufwand eine angemessene Vergütung verlangen, sofern die Prüfung keinen wesentlichen Verstoß ergibt. Rechenzentren von Unterauftragsverarbeitern können nur im Rahmen von deren Prüfbedingungen kontrolliert werden.

§ 9 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht. [anwaltlich prüfen]

§ 10 Datenrückgabe, Schreibschutz und Löschung

(1) Rückgabe. Der Auftraggeber kann die im Auftrag verarbeiteten Daten während der gesamten Vertragslaufzeit sowie während des Schreibschutzes (Abs. 2) jederzeit selbst über die Exportfunktion abrufen (insb. Kundendaten im Format JSON). Damit erfüllt der Auftragnehmer seine Pflicht zur Rückgabe der Daten (Art. 28 Abs. 3 lit. g DSGVO). Weitergehende Rückgabeformate können gesondert vereinbart werden (§ 6 Abs. 4 gilt entsprechend).

(2) Schreibschutz und Aufbewahrung. Endet die Testphase ohne Abonnement, endet das Abonnement oder ist eine Zahlung nach Ablauf der Kulanzfrist weiterhin offen, wechselt das Konto nach § 5 Abs. 5 der AGB in den Nur-Lese-Modus (Schreibschutz). Der Auftragnehmer bewahrt die Daten ab Beginn des Schreibschutzes 90 Tage auf und verarbeitet sie in diesem Zeitraum nur noch zur Speicherung, zur Bereitstellung des Exports, zur Durchführung der im Schreibschutz zulässigen Aktionen des Auftraggebers (z. B. Absage von Terminen, Löschung/Anonymisierung von Endkundendaten) und zum Versand von Benachrichtigungen zu bestehenden Terminen. Schließt der Auftraggeber in diesem Zeitraum ein Abonnement ab bzw. begleicht er die offene Zahlung, wird die Verarbeitung nach diesem Vertrag uneingeschränkt fortgesetzt.

(3) Löschung. Nach Ablauf der Frist nach Abs. 2 wird das Konto zur Löschung vorgemerkt. Ist der Hauptvertrag beendet, löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten endgültig innerhalb von 30 Tagen nach Ablauf der 90 Tage (Art. 28 Abs. 3 lit. g DSGVO), sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Pflicht zur Speicherung besteht. Auf Weisung des Auftraggebers in Textform löscht der Auftragnehmer die Daten bereits früher. Daten in Backups werden im Rahmen des regulären Backup-Zyklus spätestens nach 30 Tagen überschrieben bzw. gelöscht; bis dahin sind sie von der aktiven Verarbeitung ausgeschlossen. [Betrieb: Die Vormerkung erfolgt automatisch, die Löschung derzeit manuell durch den Auftragnehmer – 30-Tage-Frist im Betriebsprozess einhalten.]

(4) Gespeicherte Nachrichten im Versandpuffer (Outbox) und beim E-Mail-/SMS-Dienstleister werden nach [AUFBEWAHRUNG OUTBOX] bzw. nach den Aufbewahrungsfristen des Dienstleisters gelöscht, spätestens jedoch mit der Löschung nach Abs. 3. [Outbox-Aufbewahrung festlegen und technisch umsetzen; Fristen bei Brevo prüfen]

(5) Die Löschung wird auf Anfrage in Textform bestätigt.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Für Änderungen der Anlagen gelten §§ 5 Abs. 2 und 7 Abs. 2.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(3) Es gilt deutsches Recht. Gerichtsstand richtet sich nach dem Hauptvertrag.

(4) Dieser Vertrag wird elektronisch mit Akzeptanz bei der Registrierung abgeschlossen (Art. 28 Abs. 9 DSGVO: elektronisches Format zulässig). Zeitpunkt, Version und Prüfsumme der akzeptierten Fassung werden protokolliert; die jeweils gültige Fassung ist unter salonoir.de/avv abrufbar.

Anlage 1 – Gegenstand, Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

1. Gegenstand und Zweck
Bereitstellung der SaaS-Lösung „Salonoir“ zur Online-Terminbuchung und Terminverwaltung für Friseur- und Kosmetiksalons, einschließlich: Online-Buchung durch Endkunden, Erfassung von Terminen durch Personal, Kundenverwaltung, Versand von Terminbestätigungen, Erinnerungen, Verschiebungs- und Absagemitteilungen per E-Mail und SMS, Bereitstellung persönlicher Selbstbedienungs-Links zur Absage/Verschiebung, Datenexport und Löschung/Anonymisierung, Hosting und Datensicherung.

2. Art der Verarbeitung
Erheben, Erfassen, Speichern (PostgreSQL-Datenbank), Organisieren, Anpassen, Abfragen, Verwenden, Übermitteln an E-Mail-/SMS-Dienstleister, Bereitstellen (Export), Einschränken, Anonymisieren, Löschen.

3. Kategorien betroffener Personen
a) Endkundinnen und Endkunden des Auftraggebers (Personen, die online buchen oder vom Personal erfasst werden);
b) Benutzer des Auftraggebers (Inhaber und Mitarbeitende), soweit deren Daten in Terminen erscheinen (z. B. zugeordnete Mitarbeiterin).

4. Kategorien personenbezogener Daten

5. Ausgeschlossene Datenkategorien (Art. 9, Art. 10 DSGVO)
Besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO – insbesondere Gesundheitsdaten (z. B. Allergien, Unverträglichkeiten, Hauterkrankungen, Schwangerschaft, Medikamente) – sowie Daten nach Art. 10 DSGVO sind nicht Gegenstand der Auftragsverarbeitung. Ihre Eingabe ist dem Auftraggeber untersagt (§ 3 Abs. 2 lit. b); ihre Verarbeitung ist nicht von den Weisungen umfasst (§ 2 Abs. 5). Die Software weist an den Notizfeldern auf das Verbot hin.

6. Übermittlung an den E-Mail-/SMS-Dienstleister
An Brevo werden ausschließlich Empfängerdaten (Name, E-Mail-Adresse bzw. Telefonnummer) und der Nachrichteninhalt (Termindaten, Leistung, Salonname, Selbstbedienungs-Link) übermittelt. Notizen und No-Show-Vermerke werden niemals an Brevo übermittelt.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 08.10.2026. Nur tatsächlich umgesetzte Maßnahmen aufführen; mit [bestätigen] markierte Punkte vor Veröffentlichung bestätigen oder streichen.

1. Vertraulichkeit

a) Zutrittskontrolle (physisch)

• Hosting ausschließlich in Rechenzentren in Deutschland: Server bei der netcup GmbH (Nürnberg), verschlüsselte Backups bei der OVH GmbH (Limburg); physische Sicherheit gemäß Nachweisen der Anbieter (z. B. ISO/IEC 27001). [Zertifikate zur Dokumentation ablegen]
• Kein Betrieb eigener Server in Büroräumen; Arbeitsgeräte des Auftragnehmers mit Festplattenverschlüsselung und Bildschirmsperre. [bestätigen]

b) Zugangskontrolle (Systeme)

• Passwörter der Benutzer werden ausschließlich als kryptografischer Hash gespeichert (bcrypt, Kostenfaktor 12).
• Rate Limiting von Anmelde- und sensiblen Endpunkten anhand von IP-Adresse und E-Mail-Adresse (nur als Hashwert gespeichert) zum Schutz vor Brute-Force- und Credential-Stuffing-Angriffen.
• Serverseitige Sitzungen, in der Datenbank gespeichert (nur Hashwert der Sitzungskennung), Ablauf nach spätestens 30 Tagen; Session-Cookie __Host-salon_session mit den Attributen HttpOnly, Secure, SameSite=Lax; Schutz vor Cross-Site-Request-Forgery durch serverseitige Prüfung der Herkunft (Origin/Referer) von Anfragen.
• Benutzer können ihre aktiven Sitzungen einsehen und beenden.
• Administrativer Zugang zu Servern nur per SSH-Schlüssel; Kundenkonten bei netcup und OVHcloud mit Zwei-Faktor-Authentisierung. [bestätigen]

c) Zugriffskontrolle (Berechtigungen)

• Rollenbasiertes Berechtigungskonzept innerhalb jedes Salon-Kontos (z. B. Inhaber/Admin, Mitarbeitende).
• Mandantentrennung: Jeder Datensatz ist einem Salon (Mandanten) zugeordnet; sämtliche Abfragen werden serverseitig auf den Mandanten des angemeldeten Benutzers beschränkt.
• Selbstbedienungs-Links für Endkunden enthalten einen zufälligen, nicht erratbaren und kryptografisch signierten Token; in der Datenbank wird nur der Hashwert des Tokens gespeichert. Der Link ist an den jeweiligen Termin gebunden und erlaubt nur dessen Absage/Verschiebung innerhalb der vom Salon festgelegten Fristen; bei Neuausstellung wird der bisherige Link ungültig.
• Datenbankzugriff nur über die Anwendung und durch den Administrator; keine öffentliche Erreichbarkeit der Datenbank. [bestätigen]

d) Trennungskontrolle

• Logische Mandantentrennung (s. o.); Trennung von Produktions- und Entwicklungs-/Testumgebung; keine Verwendung von Echtdaten in Tests. [bestätigen]

e) Pseudonymisierung / Anonymisierung

• Bei Löschung einer Kundin / eines Kunden werden personenbezogene Daten entfernt; vergangene Termine bleiben nur anonymisiert erhalten.

2. Integrität

a) Weitergabekontrolle

• Sämtliche Verbindungen zwischen Browser und Server sowie zu Unterauftragsverarbeitern (Brevo-API) per TLS verschlüsselt (TLS 1.2 oder höher; HSTS). [bestätigen]
• Backups werden verschlüsselt übertragen und gespeichert.
• Datenexport (JSON) nur für berechtigte Benutzer des jeweiligen Salons; Export wird im Audit-Log protokolliert.

b) Eingabekontrolle

• Audit-Log sicherheitsrelevanter und datenschutzrelevanter Vorgänge (u. a. Anmeldungen, fehlgeschlagene Anmeldungen, Rechteänderungen, Exporte, Löschungen) mit Zeitpunkt, Benutzer, Aktion und IP-Adresse; Aufbewahrung 180 Tage, danach automatische Löschung.
• Dokumentation der SMS-Einwilligung mit Zeitstempel.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung: nächtliche verschlüsselte Backups der Datenbank in den Objektspeicher der OVH GmbH – anderer Anbieter und anderer Standort als der Produktivserver (Limburg, Deutschland), vor der Übertragung verschlüsselt; Aufbewahrung 30 Tage, danach automatische Löschung.
• Monatlicher Wiederherstellungstest der Backups mit Dokumentation des Ergebnisses.
• Rate Limiting schützt zusätzlich vor Überlastung.
• Zeitnahe Installation von Sicherheitsupdates für Betriebssystem, Datenbank und Abhängigkeiten. [bestätigen: Prozess, z. B. automatische Sicherheitsupdates und Dependency-Updates]
• Monitoring der Verfügbarkeit: [MONITORING – Tool/Prozess]. [bei Einsatz eines externen Monitoring-Dienstes ggf. als Unterauftragsverarbeiter prüfen]

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Überprüfung dieser TOMs mindestens jährlich sowie bei wesentlichen Änderungen.
• Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): keine Tracking-/Analyse-Cookies, nur erforderliche Pflichtfelder, SMS-Versand nur mit dokumentierter Einwilligung, Hinweis am Notizfeld auf das Verbot besonderer Kategorien personenbezogener Daten.
• Datenminimierung beim Versand: Nachrichtenvorlagen enthalten keine Notizen oder No-Show-Vermerke (durch automatisierte Tests abgesichert).
• Incident-Response-Prozess für Datenpannen inkl. Meldung an den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
• Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO (Anlage 3).

Anlage 3 – Genehmigte Unterauftragsverarbeiter

An Brevo werden übermittelt: Empfänger-E-Mail-Adresse bzw. Telefonnummer, Name, Nachrichteninhalt (Termindaten, Salonname, Selbstbedienungs-Link). Notizen und No-Show-Vermerke werden niemals an Brevo übermittelt (§ 7 Abs. 5).

Hinweis zu Stripe: Der Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd. / Stripe Technology Europe, Ltd., Irland) wird für die Abrechnung der Abonnements des Auftraggebers eingesetzt. Er verarbeitet ausschließlich Konto- und Abrechnungsdaten des Auftraggebers, für die der Auftragnehmer selbst Verantwortlicher ist, und erhält keine Endkundendaten. Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags und nicht in dieser Liste aufgeführt (siehe § 1 Abs. 4). Sollten künftig Endkundendaten an Stripe übermittelt werden (z. B. Online-Anzahlungen durch Endkunden), ist diese Anlage nach § 7 Abs. 2 zu ergänzen.

Stand: 11.10.2026 · Version 2026-10-11-entwurf-4