Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Pflichten zwischen dem ZekaBooking-Geschäftskunden als Verantwortlichem und zekahub IT-Dienstleistungen als Auftragsverarbeiterin.
1. Vertragsparteien
Verantwortlicher: der im ZekaBooking-Geschäftskonto bezeichnete Betrieb.
Auftragsverarbeiter:Kadir Kavak
handelnd unter zekahub IT-Dienstleistungen
Aufenangerstraße 5
44229 Dortmund
E-Mail: info@zekabooking.com
2. Gegenstand und Dauer
Gegenstand ist die technische Bereitstellung und der Betrieb von ZekaBooking für den Geschäftskunden.
Die Auftragsverarbeitung beginnt mit Aktivierung des Geschäftskontos und endet mit Beendigung des Hauptvertrags und Abschluss der vereinbarten Rückgabe- oder Löschmaßnahmen.
3. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst insbesondere:
- Bereitstellung einer öffentlichen Buchungsseite,
- Erfassung und Speicherung von Terminen,
- Zuordnung von Leistungen und Mitarbeitern,
- Anzeige und Verwaltung freier Zeiten,
- Versand von Bestätigungen, Änderungen und Erinnerungen,
- Bereitstellung des Betriebsportals,
- Datensicherung, Wiederherstellung, Wartung und Support.
4. Kategorien betroffener Personen
- Endkunden und Interessenten des Geschäftskunden,
- Mitarbeiter und berechtigte Portalnutzer des Geschäftskunden,
- Ansprechpartner des Geschäftskunden,
- gegebenenfalls weitere Personen, die der Geschäftskunde zulässig in Termindaten einbezieht
5. Arten personenbezogener Daten
- Stamm- und Kontaktdaten, insbesondere Name, E-Mail und Telefon
- Termin-, Leistungs-, Mitarbeiter- und Zeitangaben
- vom Endkunden oder Geschäftskunden eingetragene Terminnotizen
- Status-, Stornierungs- und Verwaltungsdaten
- Portalrollen und betriebliche Berechtigungen
- technische Protokoll-, Sicherheits- und Sicherungsdaten
6. Weisungsrecht des Verantwortlichen
- Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Geschäftskunden.
- Die Nutzung der konfigurierbaren Plattformfunktionen gilt als dokumentierte Weisung.
- Weitere Weisungen können in Textform an den Support gerichtet werden.
- Hält die Auftragsverarbeiterin eine Weisung für datenschutzwidrig, informiert sie den Geschäftskunden unverzüglich und kann die Ausführung bis zur Klärung aussetzen.
7. Pflichten des Geschäftskunden
Der Geschäftskunde ist insbesondere verantwortlich für:
- Rechtmäßigkeit der Datenerhebung und Verarbeitung,
- Erfüllung der Informationspflichten gegenüber Endkunden und Mitarbeitern
- Richtigkeit und Aktualität seiner Weisungen,
- Vergabe und Entzug betrieblicher Zugriffsrechte,
- Bearbeitung von Betroffenenanfragen,
- Festlegung angemessener Lösch- und Aufbewahrungsfristen.
8. Vertraulichkeit
Personen mit Zugriff auf Auftragsdaten werden auf Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
Der Zugriff wird auf Personen beschränkt, die ihn für Betrieb, Wartung oder Support benötigen.
9. Technische und organisatorische Maßnahmen
Die Auftragsverarbeiterin setzt insbesondere folgende Maßnahmen ein:
- verschlüsselte Übertragung über HTTPS,
- sichere Passwortspeicherung,
- rollen- und mandantenbezogene Zugriffskontrollen,
- Schutz vor Cross-Site-Request-Forgery und unbefugten Anfragen,
- Protokollierung sicherheitsrelevanter Vorgänge,
- regelmäßige Datensicherungen und Wiederherstellungsverfahren,
- System-, Sicherheits- und Abhängigkeitsupdates,
- Beschränkung administrativer Zugänge,
- Verfahren zur Behandlung von Sicherheitsvorfällen.
Die Maßnahmen dürfen an technische Entwicklungen angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
10. Unterauftragsverarbeiter
Der Geschäftskunde erteilt eine allgemeine Genehmigung zur Beauftragung erforderlicher Unterauftragsverarbeiter.
Zum Zeitpunkt dieses AVV wird für Hosting und technische Infrastruktur insbesondere die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, eingesetzt.
Beabsichtigte wesentliche Änderungen bei Unterauftragsverarbeitern werden dem Geschäftskunden vorab in geeigneter Form mitgeteilt.
Der Geschäftskunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
Mit Unterauftragsverarbeitern werden die erforderlichen Datenschutzpflichten vertraglich vereinbart.
11. Unterstützungspflichten
Die Auftragsverarbeiterin unterstützt den Geschäftskunden angemessen bei:
- Auskunft, Berichtigung, Löschung und Datenübertragbarkeit,
- Einschränkung und Widerspruch,
- Bewertung und Meldung von Datenschutzverletzungen,
- Datenschutz-Folgenabschätzungen, soweit erforderlich,
- Nachweis der in diesem AVV vereinbarten Maßnahmen.
Anfragen betroffener Personen, die erkennbar die Verantwortlichkeit des Geschäftskunden betreffen, werden an diesen weitergeleitet, sofern keine gesetzliche Pflicht zu einer anderen Behandlung besteht.
12. Datenschutzverletzungen
Die Auftragsverarbeiterin informiert den Geschäftskunden unverzüglich über bekannt gewordene Verletzungen des Schutzes von Auftragsdaten.
Sie stellt die verfügbaren Informationen bereit, die der Geschäftskunde für Bewertung und gesetzliche Meldungen benötigt.
13. Kontrollen und Nachweise
Die Auftragsverarbeiterin stellt auf Anfrage geeignete Informationen zum Nachweis der Einhaltung dieses AVV bereit.
Prüfungen sind mit angemessener Vorankündigung sowie unter Wahrung von Sicherheit, Vertraulichkeit und Rechten anderer Kunden durchzuführen.
Unverhältnismäßige oder wiederholte Prüfungen können nach vorheriger Abstimmung kostenpflichtig sein.
14. Rückgabe und Löschung
Nach Ende des Hauptvertrags werden Auftragsdaten nach Wahl und Weisung des Geschäftskunden zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
Daten in Sicherungskopien werden bis zur turnusmäßigen Überschreibung geschützt aufbewahrt und nicht für andere Zwecke verarbeitet.
15. Datenverarbeitung außerhalb EU/EWR
Auftragsdaten werden grundsätzlich in der Europäischen Union beziehungsweise im Europäischen Wirtschaftsraum verarbeitet.
Eine Verarbeitung in einem Drittland erfolgt nur unter den gesetzlichen Voraussetzungen und nach Information des Geschäftskunden.
16. Haftung und Vorrang
Für die Haftung gelten die gesetzlichen Vorschriften und ergänzend der Hauptvertrag.
Bei Widersprüchen zwischen diesem AVV und anderen Datenschutzregelungen des Hauptvertrags geht dieser AVV für die Auftragsverarbeitung vor.
17. Vertragsschluss
Dieser AVV wird elektronisch abgeschlossen und ist Bestandteil des ZekaBooking-Vertrags.
Die im Geschäftskonto hinterlegten Angaben bezeichnen den Verantwortlichen.
Die aktuelle Fassung ist unter /avv abrufbar.