Vertrag zur Auftragsverarbeitung
Fassung vom 8. August 2026
zwischen
dem Salonunternehmen, das Salonary nutzt, mit dem bei der Registrierung angegebenen vollständigen rechtlichen Namen, der Rechtsform, der Geschäftsbezeichnung und der Anschrift, vertreten durch die bei der Registrierung angegebene handelnde Person
- nachfolgend "Verantwortlicher" -
und
Altunay, Bezhan & Illarionov GbR
Kolonnenstraße 8
10827 Berlin
E-Mail: info@salonary.de
- nachfolgend "Auftragsverarbeiter" -
- gemeinsam nachfolgend "Parteien" -
§ 1 Gegenstand und Rangfolge
(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen nach dem Nutzungsvertrag über die Software "Salonary" (nachfolgend "Hauptvertrag"). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien für diese Verarbeitung.
(2) Dieser Vertrag geht dem Hauptvertrag vor, soweit sich Regelungen zur Verarbeitung personenbezogener Daten widersprechen.
(3) Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich.
(4) Dieser Vertrag wird elektronisch geschlossen. Der Verantwortliche gibt bei der Registrierung in einer gesonderten, nicht vorausgewählten Erklärung an, dass er diesen Vertrag einschließlich seiner Anlagen im Namen des angegebenen Unternehmens abschließt. Der Auftragsverarbeiter speichert die Fassung dieses Vertrages und den Zeitpunkt der Erklärung und hält die vereinbarte Fassung im Kundenkonto dauerhaft abrufbar. Die elektronische Form genügt dem Dokumentationserfordernis des Artikels 28 Absatz 9 der Datenschutz-Grundverordnung.
§ 2 Gegenstand, Art, Zweck und Dauer der Verarbeitung
(1) Gegenstand der Verarbeitung ist die Bereitstellung einer über das Internet nutzbaren Software zur Verwaltung von Terminen, Leistungen, Mitarbeitenden und Kundendaten eines Salonbetriebs sowie zur Entgegennahme von Terminanfragen über eine öffentliche Buchungsseite.
(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln durch Bereitstellung, Einschränken, Löschen und Vernichten.
(3) Zweck der Verarbeitung ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet im Rahmen dieses Vertrages nicht statt.
(4) Die Verarbeitung findet in den Mitgliedstaaten der Europäischen Union statt. Eine Verarbeitung in einem Drittland findet nur unter den Voraussetzungen des § 7 statt.
(5) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages, ergänzt um die Fristen nach § 10.
§ 3 Kategorien betroffener Personen und Arten personenbezogener Daten
(1) Betroffene Personen sind:
a) Kundinnen und Kunden des Verantwortlichen, die einen Termin buchen oder für die ein Termin angelegt wird,
b) Mitarbeitende des Verantwortlichen, die in der Software angelegt sind oder Zugang zu ihr haben.
(2) Verarbeitet werden folgende Arten personenbezogener Daten:
a) Stamm- und Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer sowie, soweit vom Verantwortlichen erfasst, Geschlecht und Geburtsdatum,
b) Termin- und Buchungsdaten: Leistung, Datum, Uhrzeit, Dauer, zugeordnete Mitarbeitende, Preise, Rabatte, Währung, Buchungsquelle, Buchungsstatus, Zahlungsstatus, Stornierungen, Nichterscheinen, Stornierungsgründe, Wiederholungen und Buchungshistorie,
c) frei ausfüllbare Kunden- und Terminnotizen,
d) bei Tierpflegebetrieben zusätzlich Angaben zum Tier, insbesondere Name, Tierart, Rasse, Größe und Besonderheiten,
e) Kommunikations- und Nachweisdaten: versandte Bestätigungs-, Erinnerungs-, Stornierungs- und Verifizierungsnachrichten, Buchungsreferenzen sowie technisch notwendige Bestätigungs- und Stornierungscodes,
f) vom Verantwortlichen gepflegte Angaben zur werblichen Ansprache,
g) Angaben zu Teammitgliedern: Name, Rolle, Kurzbeschreibung, Foto, Aktivstatus, Anzeigereihenfolge, zugeordnete Leistungen, Arbeitszeiten, Verfügbarkeiten, Abwesenheiten, zugeordnete Termine und Bewertungsangaben,
h) Zugangs- und Nutzungsdaten der Personen mit Zugang zum Verwaltungsbereich: Anmeldename, gespeicherter Hashwert des Kennworts, Anmeldezeitpunkte, Berechtigungen sowie technische Kennungen und Schlüssel registrierter Push-Endgeräte,
i) technische Verbindungs-, Sicherheits- und Protokolldaten, insbesondere IP-Adresse, aufgerufene Adresse, Zeitpunkt, Statuscode und auslösende Benutzer- oder Systemkennung.
Ein Profil eines Teammitglieds nach Buchstabe g ist kein Benutzerkonto. Eigene Benutzerkonten für Teammitglieder nach Buchstabe h werden nur verarbeitet, soweit eine entsprechende Zugangsfunktion tatsächlich eingerichtet ist.
(3) Der Verantwortliche kann in den Feldern nach Absatz 2 Buchstabe c und d Angaben eintragen, die zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 der Datenschutz-Grundverordnung zählen, insbesondere Hinweise auf Allergien, Unverträglichkeiten oder Erkrankungen. Der Auftragsverarbeiter sieht dafür kein eigenes Datenfeld vor und wertet diese Angaben nicht aus. Trägt der Verantwortliche solche Angaben ein, stellt er sicher, dass ein Erlaubnistatbestand nach Artikel 9 Absatz 2 der Datenschutz-Grundverordnung vorliegt, in der Regel eine ausdrückliche Einwilligung der betroffenen Person. Der Auftragsverarbeiter wendet auf diese Daten dieselben Schutzmaßnahmen an wie auf die übrigen Daten dieses Vertrages.
(4) Nicht Gegenstand dieses Vertrages sind Zahlungsdaten des Verantwortlichen selbst, die bei der Abrechnung seines eigenen Tarifs anfallen. Für diese ist der Auftragsverarbeiter eigener Verantwortlicher; Einzelheiten stehen in seiner Datenschutzerklärung.
§ 4 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für die Übermittlung in ein Drittland, es sei denn, der Auftragsverarbeiter ist dazu nach dem Recht der Union oder eines Mitgliedstaats verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Der Hauptvertrag und dieser Vertrag einschließlich seiner Anlagen sind die Erstweisung. Die Bedienung der Software durch den Verantwortlichen und die von ihm vorgenommenen Einstellungen gelten als Weisung.
(3) Weitergehende Einzelweisungen erteilt der Verantwortliche in Textform an info@salonary.de. Der Auftragsverarbeiter bestätigt den Eingang. Weisungen, deren Umsetzung einen Aufwand verursacht, der über die vertraglich geschuldete Leistung hinausgeht, setzt der Auftragsverarbeiter erst nach einer Verständigung über die Vergütung um; er weist den Verantwortlichen darauf unverzüglich hin.
(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.
(5) Der Auftragsverarbeiter greift auf die Daten nur zu, soweit dies zur Erbringung der Leistung, zur Behebung einer Störung oder zur Erfüllung einer Weisung erforderlich ist.
§ 5 Vertraulichkeit
(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach dem Ende ihrer Tätigkeit fort.
(2) Der Auftragsverarbeiter macht die eingesetzten Personen mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut und erteilt Zugang nur in dem Umfang, der für die jeweilige Aufgabe erforderlich ist.
§ 6 Technische und organisatorische Maßnahmen
(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Artikel 32 der Datenschutz-Grundverordnung. Der Verantwortliche hat sie vor Vertragsschluss zur Kenntnis genommen und hält sie für das Schutzniveau angemessen.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie ändern, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er dem Verantwortlichen in Textform mit.
(3) Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig.
§ 7 Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und werden hiermit ausdrücklich genehmigt.
(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er, ohne dass eine für beide Seiten zumutbare Lösung gefunden wird, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.
(3) Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich auf Datenschutzpflichten, die den Pflichten dieses Vertrages entsprechen. Er haftet gegenüber dem Verantwortlichen für deren Verhalten wie für eigenes.
(4) Findet eine Verarbeitung in einem Drittland statt, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Artikel 44 bis 49 der Datenschutz-Grundverordnung erfüllt sind. Die für die einzelnen Unterauftragsverarbeiter herangezogene Grundlage ist in Anlage 2 angegeben.
(5) Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt, etwa Telekommunikationsleistungen oder die Wartung von Endgeräten. Der Auftragsverarbeiter trifft auch hier angemessene Schutzvorkehrungen.
§ 8 Unterstützung des Verantwortlichen
(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach den Artikeln 12 bis 22 der Datenschutz-Grundverordnung zu beantworten, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Die Software stellt dem Verantwortlichen dafür Funktionen zum Einsehen, Ändern und Löschen der Daten bereit. Soweit die Software nicht ausreicht, unterstützt der Auftragsverarbeiter auf Anfrage manuell.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Artikel 32 bis 36 der Datenschutz-Grundverordnung, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei einer Datenschutz-Folgenabschätzung. Er berücksichtigt dabei die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen.
(4) Für Unterstützungsleistungen, die nicht auf einem Umstand beruhen, den der Auftragsverarbeiter zu vertreten hat, und die über einen geringen Aufwand hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen. Er weist den Verantwortlichen vorher darauf hin.
§ 9 Verletzungen des Schutzes personenbezogener Daten
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis, in Textform an die im Kundenkonto hinterlegte Adresse.
(2) Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sind die Angaben nicht sofort vollständig verfügbar, meldet der Auftragsverarbeiter zunächst das ihm Bekannte und ergänzt unverzüglich.
(3) Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Eindämmung und dokumentiert den Vorfall.
(4) Meldungen an eine Aufsichtsbehörde nach Artikel 33 und Benachrichtigungen betroffener Personen nach Artikel 34 der Datenschutz-Grundverordnung nimmt allein der Verantwortliche vor.
§ 10 Löschung und Rückgabe nach Beendigung
(1) Nach Beendigung des Hauptvertrages stellt der Auftragsverarbeiter dem Verantwortlichen die im Auftrag verarbeiteten Daten auf dessen Anfrage in einem gängigen, maschinenlesbaren Format zur Verfügung. Die Anfrage muss innerhalb von 30 Tagen nach Beendigung des Hauptvertrages eingehen.
(2) Fordert der Verantwortliche innerhalb von 30 Tagen nach Beendigung des Hauptvertrages die Bereitstellung der Daten an, löscht der Auftragsverarbeiter die Produktivdaten nach erfolgter Bereitstellung. Erfolgt innerhalb der Frist keine Anfrage, beginnt die Löschung nach Ablauf der 30 Tage. Die Löschung wird jeweils innerhalb weiterer 30 Tage abgeschlossen und umfasst die beim Auftragsverarbeiter und seinen Unterauftragsverarbeitern vorhandenen Produktivbestände.
(3) Verschlüsselte Sicherungskopien sind vom normalen Zugriff gesperrt und werden ausschließlich für eine erforderliche Wiederherstellung verwendet. Sie werden spätestens 14 Tage nach ihrer Erstellung gelöscht; dies gilt auch für Sicherungen am externen Speicherort. Wird eine Sicherung wiederhergestellt, werden zwischenzeitlich ausgeführte Löschungen vor einer erneuten produktiven Nutzung nachvollzogen.
(4) Eine Aufbewahrung darüber hinaus findet nur statt, soweit das Recht der Union oder eines Mitgliedstaats sie vorschreibt. Der Auftragsverarbeiter teilt dem Verantwortlichen in diesem Fall den Grund und die Dauer mit.
(5) Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage in Textform.
§ 11 Nachweise und Überprüfungen
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Artikel 28 der Datenschutz-Grundverordnung erforderlich sind.
(2) Der Nachweis erfolgt vorrangig durch die Vorlage der Beschreibung der technischen und organisatorischen Maßnahmen, durch eine schriftliche Selbstauskunft oder durch Zertifikate und Prüfberichte, auch solche der Unterauftragsverarbeiter.
(3) Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht der Auftragsverarbeiter dem Verantwortlichen oder einem von ihm beauftragten und zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragsverarbeiters sein darf, eine Überprüfung. Sie wird mindestens vier Wochen vorher angekündigt, findet zu den üblichen Geschäftszeiten statt, stört den Betrieb nicht unangemessen und erfolgt höchstens einmal je Kalenderjahr. Bei einem konkreten Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde, sind eine kürzere Frist und weitere Überprüfungen zulässig.
(4) Jede Partei trägt die ihr durch die Überprüfung entstehenden eigenen Kosten. Ergibt die Überprüfung keinen Verstoß und geht der Aufwand des Auftragsverarbeiters über einen Arbeitstag hinaus, kann er den darüber hinausgehenden Aufwand angemessen in Rechnung stellen.
(5) Der Auftragsverarbeiter wirkt an Überprüfungen durch Aufsichtsbehörden mit, die sich an den Verantwortlichen richten.
§ 12 Verzeichnis, Ansprechpartner und Datenschutzbeauftragter
(1) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag durchführt, nach Artikel 30 Absatz 2 der Datenschutz-Grundverordnung.
(2) Ansprechpartner beim Auftragsverarbeiter für alle Fragen zu diesem Vertrag: info@salonary.de.
(3) Der Auftragsverarbeiter prüft fortlaufend, ob die Voraussetzungen für die Benennung eines Datenschutzbeauftragten nach Artikel 37 der Datenschutz-Grundverordnung und § 38 des Bundesdatenschutzgesetzes vorliegen. Sind sie erfüllt, benennt er einen Datenschutzbeauftragten, veröffentlicht dessen Kontaktdaten und teilt sie dem Verantwortlichen mit.
§ 13 Haftung
(1) Für die Haftung gilt Artikel 82 der Datenschutz-Grundverordnung.
(2) Im Innenverhältnis der Parteien gelten ergänzend die Haftungsregelungen des Hauptvertrages, soweit Artikel 82 der Datenschutz-Grundverordnung dem nicht entgegensteht.
§ 14 Schlussbestimmungen
(1) Dieser Vertrag beginnt mit dem Hauptvertrag und endet mit ihm; die Pflichten nach den §§ 5, 10 und 11 bestehen darüber hinaus fort, solange der Auftragsverarbeiter Daten aus dem Auftrag besitzt.
(2) Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Abbedingung dieses Formerfordernisses.
(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem verfolgten Zweck am nächsten kommt.
(4) Es gilt das Recht der Bundesrepublik Deutschland.
(5) Anlage 1 und Anlage 2 sind Bestandteil dieses Vertrages.
Anlage 1 — Technische und organisatorische Maßnahmen nach Artikel 32 DSGVO
Stand: 8. August 2026
1. Vertraulichkeit
1.1 Zutrittskontrolle Der Auftragsverarbeiter betreibt keine eigenen Serverräume. Die Systeme laufen in einem Rechenzentrum des in Anlage 2 genannten Hosting-Dienstleisters in Frankfurt am Main. Für die physische Sicherheit gelten dessen Maßnahmen und Zertifizierungen. Arbeitsplatzrechner der Gesellschafter sind festplattenverschlüsselt und passwortgeschützt.
1.2 Zugangskontrolle Der Zugang zur Anwendung erfolgt über eine persönliche Anmeldung mit Benutzername und Kennwort. Kennwörter werden nicht im Klartext gespeichert, sondern als Hashwert mit einem für diesen Zweck vorgesehenen, iterierten Verfahren mit Zufallssalz. Die Sitzung wird über ein Cookie geführt, das ausschließlich über eine verschlüsselte Verbindung übertragen wird, für Skripte im Browser nicht lesbar ist und nicht an fremde Websites gesendet wird. Anmelde- und Wiederherstellungsversuche sind zahlenmäßig begrenzt. Der administrative Zugriff auf den Server erfolgt ausschließlich über Schlüsselverfahren; eine Anmeldung mit Kennwort ist deaktiviert.
1.3 Zugriffskontrolle Innerhalb der Anwendung sind die Daten je Salonbetrieb getrennt; ein Zugriff auf Daten eines anderen Betriebs ist nicht möglich. Mitarbeitende erhalten nur die Rechte, die ihre Aufgabe erfordert. Der administrative Zugriff auf die Datenbank ist auf die Gesellschafter beschränkt und erfolgt nur zur Störungsbehebung.
1.4 Trennungskontrolle Produktiv-, Test- und Entwicklungsumgebung sind getrennt. In der Entwicklung werden keine echten Kundendaten verwendet, sondern erzeugte Testdaten.
1.5 Datenminimierung in Protokollen Protokolle sind nicht anonym. Sie enthalten IP-Adressen und aufgerufene Adressen und damit personenbezogene beziehungsweise personenbeziehbare Daten. Der Umfang ist auf das für Betrieb und Sicherheit Erforderliche beschränkt:
- Inhalte von Nachrichten werden nicht protokolliert.
- E-Mail-Adressen erscheinen ausschließlich maskiert; das gilt auch für Fehlerfälle und für die Antworten des Versanddienstleisters.
- Die Abfrageparameter "q", "email" und "token" werden im Zugriffsprotokoll des vorgelagerten Servers vor der Aufzeichnung entfernt.
- Cookie- und Autorisierungs-Kopfzeilen werden dort gar nicht erst aufgezeichnet.
- Inhalte von Notizfeldern werden nicht protokolliert.
Bekannte Einschränkung: Der Stornierungslink enthält seinen Zugangscode im Pfad der Adresse, nicht in der Abfragezeichenfolge. Der vorstehende Filter entfernt ihn deshalb nicht aus dem Zugriffsprotokoll. Der Code wird entwertet, sobald der zugehörige Termin begonnen hat; bis dahin ist er in Protokollen enthalten. Diese Einschränkung ist dokumentiert und wird behoben.
2. Integrität
2.1 Weitergabekontrolle Der gesamte Verkehr zwischen Endgerät und Anwendung ist mit TLS verschlüsselt; unverschlüsselte Aufrufe werden umgeleitet. Die Zertifikate werden automatisch bezogen und erneuert. Sicherungskopien werden vor dem Verlassen des Systems mit AES-256 verschlüsselt; ein unverschlüsselter Datenbankauszug wird zu keinem Zeitpunkt auf einem Datenträger abgelegt.
2.2 Eingabekontrolle Buchungen, Änderungen und Stornierungen werden mit Zeitstempel und auslösender Stelle gespeichert. Änderungen am Datenbankschema erfolgen ausschließlich über versionierte, nachvollziehbare Migrationsschritte.
2.3 Schutz vor unbefugter Veränderung Formularübermittlungen sind gegen Anfragen von fremden Websites abgesichert. Die Anwendung setzt eine Content-Security-Policy, die das Nachladen fremder Inhalte beschränkt. Schriften und Bilder werden vom eigenen Server ausgeliefert; eine Verbindung zu Google Fonts oder vergleichbaren Diensten besteht nicht.
Eine Ausnahme ist der Bezahlvorgang: Startet der Verantwortliche ihn bewusst, werden die dafür erforderlichen Komponenten von Stripe geladen. Diese Verbindung betrifft ausschließlich die Abrechnung des eigenen Tarifs des Verantwortlichen; Daten seiner Kundinnen und Kunden sind daran nicht beteiligt.
3. Verfügbarkeit und Belastbarkeit
3.1 Verfügbarkeitskontrolle Der Datenbestand wird über ein Sicherungsskript gesichert. Der Datenbankauszug wird unmittelbar in eine Verschlüsselung mit AES-256 geleitet; ein unverschlüsselter Auszug wird zu keinem Zeitpunkt auf einem Datenträger abgelegt. Ohne hinterlegte Passphrase bricht das Skript ab. Auf dem Produktivsystem werden die Sicherungen rotiert; die Anzahl der aufbewahrten Läufe ist konfigurierbar und beträgt standardmäßig vierzehn.
Das Verfahren zur Wiederherstellung ist dokumentiert und erprobt. Der Wiederherstellungslauf bricht bei einem Fehler ab, statt einen Erfolg zu melden. Nach einer Wiederherstellung werden die zwischenzeitlich ausgeführten Löschungen erneut angewendet, damit ein wiederhergestellter Bestand keine bereits gelöschten Daten zurückbringt.
Externe Kopien: Ist ein externer Speicherort konfiguriert, legt das Skript dort zusätzlich eine verschlüsselte Kopie ab. Es löscht dort nichts. Die Aufbewahrung am externen Speicherort richtet sich ausschließlich nach der dort eingerichteten Aufbewahrungsregel.
3.2 Rasche Wiederherstellbarkeit Die Anwendung läuft in Containern und kann aus einem versionierten Abbild innerhalb kurzer Zeit neu ausgebracht werden. Der überwiegende Teil des Zustands liegt in der Datenbank. Hochgeladene Bilddateien werden außerhalb der Datenbank abgelegt und sind daher gesondert zu sichern und wiederherzustellen.
3.3 Belastbarkeit Die Anzahl der Anfragen je Aufrufer ist begrenzt. Der Umfang der Protokolldaten ist je Container nach Dateigröße und Anzahl begrenzt. Eine zusätzliche zeitbasierte Rotation begrenzt die Aufbewahrung auf vierzehn Tage; sie wird über eine Konfigurationsdatei auf dem Produktivsystem eingerichtet.
4. Verfahren zur regelmäßigen Überprüfung
4.1 Auftragskontrolle Unterauftragsverarbeiter werden vor dem Einsatz auf ihre Datenschutzmaßnahmen geprüft und vertraglich verpflichtet. Anlage 2 wird bei jeder Änderung fortgeschrieben.
4.2 Überprüfung und Bewertung Jede Änderung an der Software durchläuft vor der Übernahme eine automatisierte Prüfstrecke, die die Anwendung baut und die vorhandenen Tests ausführt. Eine Änderung wird über einen Änderungsantrag übernommen, der von einer zweiten Person freigegeben wird. Sicherheitsrelevante Aktualisierungen von Fremdbibliotheken werden eingespielt, sobald sie bekannt werden.
4.3 Zugriffsvergabe und -beendigung Zugänge werden einzeln vergeben und beim Ausscheiden einer Person entzogen. Der administrative Zugriff auf Server und Datenbank ist auf die Gesellschafter beschränkt. Der Kreis der Zugangsberechtigten wird bei jeder personellen Veränderung überprüft.
4.4 Schlüsselverwaltung Die Passphrase der Datensicherung wird getrennt vom Produktivsystem und getrennt von den Umgebungsvariablen der Anwendung aufbewahrt und ist ausschließlich für den Systemverwalter lesbar. Ohne sie sind die Sicherungen nicht wiederherstellbar.
4.5 Behandlung von Sicherheitsvorfällen Für Meldung, Eindämmung, Dokumentation und Benachrichtigung gilt § 9 dieses Vertrages. Der Ablauf ist in der Betriebsdokumentation festgehalten.
4.6 Löschkonzept Ein wiederkehrender Vorgang entfernt Verifizierungscodes frühestens 24 Stunden nach ihrem Ablauf und entwertet Stornierungslinks, sobald der zugehörige Termin begonnen hat. Der Vorgang läuft in Abständen von sechs Stunden; die genannten Fristen sind daher Mindestfristen, keine Höchstfristen.
Protokolldaten werden nach vierzehn Tagen gelöscht. Maßgeblich ist das Datum, nicht die Anzahl der Rotationsläufe, damit ein Container, der zwischenzeitlich nichts schreibt, seine letzten Einträge nicht dauerhaft behält.
Buchungs- und Kundendaten unterliegen der Weisung des Verantwortlichen und werden von diesen Vorgängen nicht berührt.
Anlage 2 — Unterauftragsverarbeiter
Stand: 8. August 2026
1. DigitalOcean, LLC 105 Edgeview Drive, Suite 425, Broomfield, CO 80021, USA Leistung: Betrieb der Server und des Speichers, auf denen die Anwendung und die Datenbank laufen, sowie Ablage der verschlüsselten Sicherungskopien Ort der Verarbeitung: Rechenzentrum Frankfurt am Main, Deutschland Zugriff aus einem Drittland: nur im Rahmen von Support und Wartung Grundlage für die Übermittlung: EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln Auftragsverarbeitungsvereinbarung: Bestandteil der Nutzungsbedingungen
2. Plus Five Five, Inc. ("Resend") 2261 Market Street, San Francisco, CA 94114, USA Leistung: Versand der Bestätigungs-, Erinnerungs- und Verifizierungsnachrichten an die Kundinnen und Kunden des Verantwortlichen Verarbeitete Daten: E-Mail-Adresse, Name, Inhalt der jeweiligen Nachricht Ort der Verarbeitung: Vereinigte Staaten von Amerika Grundlage für die Übermittlung: EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln Auftragsverarbeitungsvereinbarung: Bestandteil der Nutzungsbedingungen
Keine Unterauftragsverarbeiter im Sinne dieses Vertrages
Push-Infrastruktur der Browser- und Betriebssystemhersteller
Aktiviert eine Person im Verwaltungsbereich Push-Benachrichtigungen, wird die Zustellung über die Push-Infrastruktur abgewickelt, die ihr Browser oder ihr Betriebssystem vorgibt. In Betracht kommen insbesondere Dienste von Google, Mozilla und Apple.
Der Auftragsverarbeiter wählt diese Betreiber nicht aus, beauftragt sie nicht und hat mit ihnen keine Vereinbarung nach Artikel 28 der Datenschutz-Grundverordnung. Die Auswahl ergibt sich allein aus der Konfiguration des jeweiligen Endgeräts. Der Auftragsverarbeiter bezeichnet sie deshalb nicht als Unterauftragsverarbeiter, sondern als technische Zustellinfrastruktur.
Übermittelt werden der technische Endpunkt des Endgeräts, die verschlüsselten Nutzdaten und technische Metadaten wie Zeitpunkt und Umfang der Zustellung. Die Nutzdaten sind so verschlüsselt, dass nur das Endgerät sie entschlüsseln kann; der Betreiber der Zustellinfrastruktur kann sie nicht lesen. Der Inhalt ist auf Anlass, Name der Kundin oder des Kunden, Leistung und Zeitpunkt des Termins beschränkt. Notizen, Angaben nach Artikel 9, Telefonnummern, E-Mail-Adressen sowie Bestätigungs- oder Stornierungscodes werden nicht übertragen.
Die Verarbeitung kann außerhalb der Europäischen Union stattfinden. Die betroffene Person entscheidet über die Aktivierung selbst und kann sie jederzeit im Kundenkonto widerrufen; der gespeicherte Endpunkt wird dabei gelöscht.
Stripe Payments Europe, Ltd., Dublin, Irland
Der Zahlungsdienstleister verarbeitet ausschließlich Daten, die bei der Abrechnung des Tarifs des Verantwortlichen selbst anfallen: Salonname, E-Mail-Adresse der zahlenden Person, interne Kennung des Salonkontos, Stripe-Kunden- und Abonnementkennung, Abonnementstatus sowie Webhook-Informationen. Daten der Kundinnen und Kunden des Verantwortlichen erreichen ihn nicht. Er ist deshalb kein Unterauftragsverarbeiter im Rahmen dieses Vertrages.
Ort, Datum Ort, Datum
_______________________________ _______________________________ Der Verantwortliche Altunay, Bezhan & Illarionov GbR