Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Pflichten zwischen dem ZekaBooking-Geschäftskunden als Verantwortlichem und zekahub IT-Dienstleistungen als Auftragsverarbeiterin.
1. Vertragsparteien
Verantwortlicher: der im ZekaBooking-Geschäftskonto bezeichnete Betrieb.
Auftragsverarbeiter:Abdulkadir Kavak
handelnd unter zekahub IT-Dienstleistungen
Aufenangerstraße 5
44229 Dortmund
E-Mail: info@zekabooking.com
2. Gegenstand und Dauer
Gegenstand ist die technische Bereitstellung und der Betrieb von ZekaBooking für den Geschäftskunden.
Die Auftragsverarbeitung beginnt mit Aktivierung des Geschäftskontos und endet mit Beendigung des Hauptvertrags und Abschluss der vereinbarten Rückgabe- oder Löschmaßnahmen.
3. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst insbesondere:
- Bereitstellung einer öffentlichen Buchungsseite,
- Erfassung und Speicherung von Terminen,
- Zuordnung von Leistungen und Mitarbeitern,
- Anzeige und Verwaltung freier Zeiten,
- Versand von Bestätigungen, Änderungen und Erinnerungen,
- optionale Kommunikation über vom Geschäftskunden aktivierte externe Kommunikationsdienste, insbesondere die WhatsApp Business Platform, einschließlich Versand und Empfang von Nachrichten sowie Verarbeitung von Zustell- und Nachrichtenstatus,
- Bereitstellung des Betriebsportals,
- Datensicherung, Wiederherstellung, Wartung und Support.
4. Kategorien betroffener Personen
- Endkunden und Interessenten des Geschäftskunden,
- Mitarbeiter und berechtigte Portalnutzer des Geschäftskunden,
- Ansprechpartner des Geschäftskunden,
- gegebenenfalls weitere Personen, die der Geschäftskunde zulässig in Termindaten einbezieht
5. Arten personenbezogener Daten
- Stamm- und Kontaktdaten, insbesondere Name, E-Mail und Telefon
- Termin-, Leistungs-, Mitarbeiter- und Zeitangaben
- vom Endkunden oder Geschäftskunden eingetragene Terminnotizen
- Status-, Stornierungs- und Verwaltungsdaten
- Kommunikationsdaten, insbesondere Telefonnummern, Nachrichteninhalte, Absender- und Empfängerangaben sowie Nachrichten- und Zustellstatus, soweit der Geschäftskunde Kommunikationsfunktionen aktiviert
- technische Integrationsdaten, insbesondere WhatsApp-Business-Account-ID, Phone-Number-ID, verifizierter Anzeigename sowie geschützte technische Autorisierungsdaten und Access Tokens
- Portalrollen und betriebliche Berechtigungen
- technische Protokoll-, Sicherheits- und Sicherungsdaten
6. Weisungsrecht des Verantwortlichen
- Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Geschäftskunden.
- Die Nutzung der konfigurierbaren Plattformfunktionen gilt als dokumentierte Weisung.
- Weitere Weisungen können in Textform an den Support gerichtet werden.
- Hält die Auftragsverarbeiterin eine Weisung für datenschutzwidrig, informiert sie den Geschäftskunden unverzüglich und kann die Ausführung bis zur Klärung aussetzen.
7. Pflichten des Geschäftskunden
Der Geschäftskunde ist insbesondere verantwortlich für:
- Rechtmäßigkeit der Datenerhebung und Verarbeitung,
- Erfüllung der Informationspflichten gegenüber Endkunden und Mitarbeitern
- Richtigkeit und Aktualität seiner Weisungen,
- Vergabe und Entzug betrieblicher Zugriffsrechte,
- Bearbeitung von Betroffenenanfragen,
- Festlegung angemessener Lösch- und Aufbewahrungsfristen,
- Einholung und Dokumentation erforderlicher Einwilligungen oder Opt-ins für aktivierte Kommunikationskanäle, insbesondere WhatsApp, sowie Beachtung der hierfür geltenden kanal- und anbieterbezogenen Regeln.
8. Vertraulichkeit
Personen mit Zugriff auf Auftragsdaten werden auf Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
Der Zugriff wird auf Personen beschränkt, die ihn für Betrieb, Wartung oder Support benötigen.
9. Technische und organisatorische Maßnahmen
Die Auftragsverarbeiterin setzt insbesondere folgende Maßnahmen ein:
- verschlüsselte Übertragung über HTTPS,
- sichere Passwortspeicherung,
- rollen- und mandantenbezogene Zugriffskontrollen,
- Schutz vor Cross-Site-Request-Forgery und unbefugten Anfragen,
- Protokollierung sicherheitsrelevanter Vorgänge,
- regelmäßige Datensicherungen und Wiederherstellungsverfahren,
- System-, Sicherheits- und Abhängigkeitsupdates,
- Beschränkung administrativer Zugänge,
- Verfahren zur Behandlung von Sicherheitsvorfällen.
Die Maßnahmen dürfen an technische Entwicklungen angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
10. Unterauftragsverarbeiter
Der Geschäftskunde erteilt eine allgemeine Genehmigung zur Beauftragung erforderlicher Unterauftragsverarbeiter.
Zum Zeitpunkt dieses AVV wird für Hosting und technische Infrastruktur insbesondere die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, eingesetzt.
Für eine vom Geschäftskunden optional aktivierte WhatsApp-Business-Integration können WhatsApp Ireland Limited als in der Europäischen Region vertragsschließende WhatsApp-Rechtspersönlichkeit sowie Meta Platforms Ireland Limited insbesondere für Distribution, Meta Embedded Signup und technische Plattformleistungen eingebunden sein. Die konkrete datenschutzrechtliche Rolle richtet sich nach dem gewählten Bereitstellungsweg und den jeweils anwendbaren WhatsApp-/Meta-Bedingungen. Soweit diese Anbieter Auftragsdaten im Auftrag des Geschäftskunden bzw. als Unterauftragsverarbeiter innerhalb der Leistungskette verarbeiten, erfolgt die Einbindung nach Maßgabe dieses Abschnitts und der anwendbaren WhatsApp Business- Datenverarbeitungsbedingungen. Soweit ein Anbieter für einzelne Verarbeitungen eigenständig verantwortlich ist oder unmittelbar aufgrund eines eigenen Vertragsverhältnisses mit dem Geschäftskunden tätig wird, handelt es sich insoweit nicht um Unterauftragsverarbeitung durch ZekaBooking.
Zur technischen Durchsetzung vereinbarter Funktionskontingente kann ZekaBooking Versand- und Statusereignisse zählen. Soweit diese Zählung ausschließlich der Ausführung der Weisungen des Geschäftskunden dient, fällt sie unter diesen AVV. Soweit ZekaBooking Nutzungsmetadaten für die eigene Vertrags-, Tarif-, Abrechnungs- oder Missbrauchskontrolle verarbeitet, erfolgt diese Verarbeitung in eigener datenschutzrechtlicher Verantwortlichkeit und nicht auf Weisung des Geschäftskunden. Für die reine Kontingentberechnung ist keine inhaltliche Auswertung von Nachrichten erforderlich.
Beabsichtigte wesentliche Änderungen bei Unterauftragsverarbeitern werden dem Geschäftskunden vorab in geeigneter Form mitgeteilt.
Der Geschäftskunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
Mit Unterauftragsverarbeitern werden die erforderlichen Datenschutzpflichten vertraglich vereinbart.
11. Unterstützungspflichten
Die Auftragsverarbeiterin unterstützt den Geschäftskunden angemessen bei:
- Auskunft, Berichtigung, Löschung und Datenübertragbarkeit,
- Einschränkung und Widerspruch,
- Bewertung und Meldung von Datenschutzverletzungen,
- Datenschutz-Folgenabschätzungen, soweit erforderlich,
- Nachweis der in diesem AVV vereinbarten Maßnahmen.
Anfragen betroffener Personen, die erkennbar die Verantwortlichkeit des Geschäftskunden betreffen, werden an diesen weitergeleitet, sofern keine gesetzliche Pflicht zu einer anderen Behandlung besteht.
12. Datenschutzverletzungen
Die Auftragsverarbeiterin informiert den Geschäftskunden unverzüglich über bekannt gewordene Verletzungen des Schutzes von Auftragsdaten.
Sie stellt die verfügbaren Informationen bereit, die der Geschäftskunde für Bewertung und gesetzliche Meldungen benötigt.
13. Kontrollen und Nachweise
Die Auftragsverarbeiterin stellt auf Anfrage geeignete Informationen zum Nachweis der Einhaltung dieses AVV bereit.
Prüfungen sind mit angemessener Vorankündigung sowie unter Wahrung von Sicherheit, Vertraulichkeit und Rechten anderer Kunden durchzuführen.
Unverhältnismäßige oder wiederholte Prüfungen können nach vorheriger Abstimmung kostenpflichtig sein.
14. Rückgabe und Löschung
Nach Ende des Hauptvertrags werden Auftragsdaten nach Wahl und Weisung des Geschäftskunden zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
Daten in Sicherungskopien werden bis zur turnusmäßigen Überschreibung geschützt aufbewahrt und nicht für andere Zwecke verarbeitet.
15. Datenverarbeitung außerhalb EU/EWR
Auftragsdaten werden grundsätzlich in der Europäischen Union beziehungsweise im Europäischen Wirtschaftsraum verarbeitet.
Eine Verarbeitung in einem Drittland erfolgt nur unter den gesetzlichen Voraussetzungen und nach Information des Geschäftskunden.
16. Haftung und Vorrang
Für die Haftung gelten die gesetzlichen Vorschriften und ergänzend der Hauptvertrag.
Bei Widersprüchen zwischen diesem AVV und anderen Datenschutzregelungen des Hauptvertrags geht dieser AVV für die Auftragsverarbeitung vor.
17. Vertragsschluss
Dieser AVV wird elektronisch abgeschlossen und ist Bestandteil des ZekaBooking-Vertrags.
Die im Geschäftskonto hinterlegten Angaben bezeichnen den Verantwortlichen.
Die aktuelle Fassung ist unter /avv abrufbar.