Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Der Anbieter stellt dem Salon die App MyDigiWorker nach den Nutzungsbedingungen zur Verfügung und verarbeitet dabei personenbezogene Daten im Auftrag des Salons. Dieser Vertrag gilt, solange der Salon die App nutzt, und darüber hinaus, solange der Anbieter noch Daten des Salons verarbeitet.

2. Art, Zweck und Umfang der Verarbeitung

Zwecke: Terminverwaltung und Online-Buchung, Kundenverwaltung, Kommunikation mit der Kundschaft (WhatsApp, Instagram, Chat auf der Buchungsseite), Terminerinnerungen, Werbung und Bewertungsbitten mit Einwilligung, KI-Assistent und KI-Beratung, Instagram-Inhalte und Avatar-Storys, Einsatzplan und Zeiterfassung, Auswertungen. Welche Funktionen genutzt werden, entscheidet der Salon.

Betroffene Personen und Daten:

• Kundschaft des Salons: Name, Telefonnummer, E-Mail-Adresse, Geburtstag (wenn angegeben), Termine mit Leistungen und Preisen, Notizen und Haarprofil, Nachrichten, Fotos zur Beratung, Einwilligungen und deren Widerruf, Rückmeldungen nach dem Besuch.
• Beschäftigte des Salons: Name, Login-Daten, Arbeitszeiten und Einsatzplan, Zeiterfassung, Teamfotos (mit Einwilligung), beim eigenen Avatar Foto und Stimme (mit Einwilligung).
• Besucherinnen und Besucher der Buchungsseite: technische Daten des Browsers, Eingaben im Chat.

Besondere Kategorien von Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Salon trägt solche Angaben, etwa zur Gesundheit, nur ein, wenn es für die Leistung nötig ist und eine Rechtsgrundlage besteht.

3. Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Salons. Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Einstellungen, die der Salon in der App vornimmt. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Salon unverzüglich darauf hin. Eine Verarbeitung aufgrund gesetzlicher Pflichten teilt er vorher mit, sofern das Gesetz dies nicht verbietet.

4. Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Auf die Daten des Salons greift er nur zu, soweit es für Betrieb, Fehlerbehebung oder Support nötig ist; der Zugriff im Support ist in der App zu sehen (Abschnitt 6 der Anlage 2).

5. Sicherheit der Verarbeitung

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

• Der Salon genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter. Der Anbieter verpflichtet sie vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.
• Neue oder ersetzte Unterauftragsverarbeiter kündigt der Anbieter mindestens 14 Tage vorher in der App an. Der Salon kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Lösung nicht möglich, kann er den Nutzungsvertrag zu diesem Zeitpunkt kündigen.
• Übermittlungen in Länder außerhalb der EU erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder von Standardvertragsklauseln.
• Keine Unterauftragsverarbeiter dieses Vertrags sind: Meta (für WhatsApp schließt der Salon beim Verbinden selbst die Bedingungen von Meta ab; für Instagram und die WhatsApp-Business-App ist Meta selbst verantwortlich), Google (Unternehmensprofil und Bewertungen), die Push-Dienste der Browser (sie erhalten nur verschlüsselte Inhalte) sowie Zahlungsdienste für die Abrechnung zwischen Salon und Anbieter (dort ist der Anbieter selbst verantwortlich).

7. Unterstützung des Salons

Der Anbieter unterstützt den Salon bei Anfragen betroffener Personen (Art. 15 bis 22 DSGVO). Die App bietet dafür Auskunft und Export je Person, Berichtigung, Löschung (Anonymisierung) und den Widerruf von Einwilligungen. Er unterstützt den Salon außerdem bei Sicherheit, Meldungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 32 bis 36 DSGVO), soweit ihm Informationen dazu vorliegen.

8. Verletzungen des Schutzes

Der Anbieter meldet dem Salon eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Er ergreift sofort Maßnahmen, um den Schaden zu begrenzen.

9. Rückgabe und Löschung

Nach Ende der Nutzung kann der Salon seine Daten innerhalb von 30 Tagen exportieren. Danach löscht der Anbieter sie, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Sicherungen werden mit dem regulären Ablauf der Sicherungen gelöscht. Der Anbieter bestätigt die Löschung auf Wunsch in Textform.

10. Nachweise und Kontrollen

Der Anbieter stellt dem Salon die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen. Kontrollen vor Ort werden mit angemessener Frist abgestimmt; in der Regel genügen schriftliche Auskünfte, Nachweise der Unterauftragsverarbeiter und Zertifikate.

11. Schlussbestimmungen

• Der Vertrag wird elektronisch in der App abgeschlossen (Art. 28 Abs. 9 DSGVO). Die App speichert, wer ihn für den Salon in welcher Fassung wann angenommen hat.
• Bei Widersprüchen zu den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor.
• Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Anlage 1: Unterauftragsverarbeiter

• Supabase Pte. Ltd. (Singapur)

  Datenbank, Anmeldung, Dateiablage

  Daten: alle Daten der App

  Ort und Absicherung: Server in Frankfurt am Main (EU); Standardvertragsklauseln für Zugriffe aus Drittländern

• Vercel Inc. (USA)

  Betrieb (Hosting) der App

  Daten: alle Daten während der Verarbeitung, IP-Adressen

  Ort und Absicherung: Region Frankfurt am Main (EU); EU-US Data Privacy Framework und Standardvertragsklauseln

• Anthropic, PBC (USA)

  KI-Assistent, Textentwürfe, Auswertung von Fotos bei der KI-Beratung

  Daten: Inhalte von Gesprächen, Fotos zur Beratung, nötiger Kontext (z. B. Leistungen, freie Termine, Vornamen)

  Ort und Absicherung: USA; Standardvertragsklauseln; keine Nutzung der Daten zum Training

• Zernio Software SL (Spanien)

  Anbindung von WhatsApp, Instagram und Google-Unternehmensprofil

  Daten: Nachrichten, Telefonnummern und Profilkennungen, Bewertungen, Beiträge

  Ort und Absicherung: EU; eigene Unterauftragnehmer u. a. in den USA (EU-US Data Privacy Framework)

• HeyGen Technology Inc. (USA)

  Avatar-Videos für Instagram-Storys (nur mit dem Modul Instagram-Content)

  Daten: Sprechtexte (z. B. Vornamen des Teams, freie Termine), Bild der Figur; beim eigenen Avatar Foto und Stimme der Person (nur mit deren Einwilligung)

  Ort und Absicherung: Speicherung in den USA; EU-US Data Privacy Framework und Standardvertragsklauseln (Modul 2 und 3) laut Data Processing Addendum von HeyGen; Verarbeitung nur zur Erbringung der Leistung

Anlage 2: Technische und organisatorische Maßnahmen

1. Zutritt: Die App läuft ausschließlich in Rechenzentren der Unterauftragsverarbeiter (Datenbank in Frankfurt am Main). Der Anbieter betreibt keine eigenen Server.
2. Zugang: Persönliche Logins je Person; Passwörter mit mindestens 10 Zeichen, gespeichert nur als Hash; Zurücksetzen nur über ein Einmal-Passwort.
3. Zugriff: Rollen (Inhaberin/Inhaber, Manager, Mitarbeitende) mit abgestuften Rechten; die Daten der Salons sind in der Datenbank durch Zeilenschutz (Row Level Security) voneinander getrennt; Umsatzzahlen auf Wunsch zusätzlich mit PIN.
4. Trennung: Jeder Datensatz gehört genau einem Salon; ein Salon kann Daten anderer Salons weder lesen noch ändern. Die Zugriffsregeln werden bei jeder Änderung der App automatisch getestet.
5. Weitergabe: Übertragung nur verschlüsselt (TLS). Schlüssel zu angebundenen Diensten liegen nur auf dem Server. Eingehende Nachrichten von Diensten werden per Signatur geprüft. Push-Nachrichten sind Ende-zu-Ende verschlüsselt. Bestätigungen und Erinnerungen laufen über WhatsApp, nicht per E-Mail.
6. Support: Der Anbieter öffnet das Dashboard eines Salons nur für den Support, höchstens zwei Stunden am Stück; jeder Zugriff wird protokolliert und ist für den Salon in den Einstellungen sichtbar.
7. Eingabe und Nachweis: Einwilligungen und deren Widerruf werden mit Zeitpunkt protokolliert; Sperren („STOP“) bleiben erhalten.
8. Verfügbarkeit: Regelmäßige Sicherungen durch den Datenbankanbieter; Betrieb in einer EU-Region.
9. Datensparsamkeit und Löschung: Löschen bzw. Anonymisieren je Person; Fotos zur Beratung werden nach der vom Salon eingestellten Frist automatisch gelöscht; Sprachaufnahmen für den eigenen Avatar werden nach der Verarbeitung sofort gelöscht.
10. Überprüfung: Automatisierte Tests bei jeder Änderung; Prüfung der Unterauftragsverarbeiter und ihrer Verträge vor dem Einsatz.