Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Geltung

Dieser Auftragsverarbeitungsvertrag („AVV“) gilt zwischen

• dir als Betrieb, der TERme als Anbieter nutzt („Verantwortlicher“ oder „du“), und
• Mikail Kilic, Bundesstraße 9, 6116 Weer, Österreich, als Betreiber von TERme („Auftragsverarbeiter“ oder „TERme“).

Der AVV erfüllt die Anforderungen von Art. 28 der Datenschutz-Grundverordnung (DSGVO). Er ist Bestandteil der AGB für Anbieter („Hauptvertrag“) und wird mit ihnen bei der Registrierung elektronisch abgeschlossen; die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). Begriffe wie „personenbezogene Daten“, „Verarbeitung“ oder „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach Art. 4 DSGVO.

In allen Fragen des Datenschutzes geht dieser AVV den AGB für Anbieter und sonstigen Vereinbarungen zwischen dir und TERme vor.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand

Gegenstand ist die Bereitstellung des Anbieterbereichs von TERme, mit dem du Termine, Kund:innen, Mitarbeitende, Kommunikation und Werbe-E-Mails deines Betriebs verwaltest, einschließlich Hosting, Dateispeicherung und E-Mail-Versand.

Art der Verarbeitung

Erheben, Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln (etwa per E-Mail an deine Kund:innen oder an verbundene Kalender), Abgleichen, Einschränken und Löschen personenbezogener Daten.

Zwecke

TERme verarbeitet die Daten ausschließlich, um dir folgende Funktionen bereitzustellen:

• Kalender und Terminverwaltung, einschließlich Terminen, die du selbst einträgst,
• Kundenkartei mit Buchungsverlauf und internen Notizen zu Kund:innen und Terminen,
• Nachrichten zwischen dir und deinen Kund:innen zu einem Termin, einschließlich Anhängen,
• eigene Formulare, einschließlich hochgeladener Dateien und Unterschriften,
• Werbe-E-Mails, die du über TERme versendest (einmalige und automatische E-Mails, Bitten um Bewertungen, persönliche Gutscheine), einschließlich der Verwaltung von Einwilligungen und Abmeldungen,
• Rabatte, Gutscheine und Guthaben, die du deinen Kund:innen gewährst,
• Verwaltung deines Teams, einschließlich Arbeitszeiten, Abwesenheiten, Rollen und Rechten,
• Abgleich mit Kalendern, die du oder deine Mitarbeitenden verbinden,
• Auswertungen zu deinem Betrieb im Anbieterbereich,
• Support, wenn du uns um Hilfe bittest.

Abgrenzung: Verarbeitung durch TERme als eigener Verantwortlicher

Nicht unter diesen AVV fallen Verarbeitungen, für die TERme selbst verantwortlich ist und die in der Datenschutzerklärung beschrieben sind, insbesondere:

• die Benutzerkonten von Kund:innen und Mitarbeitenden für die Anmeldung bei TERme,
• das öffentliche Verzeichnis, die Suche und die Shop-Seiten,
• die Vermittlung von Buchungen gegenüber Kund:innen, deren Buchungsbestätigungen und Kundenkonto, die Abwicklung von Widerrufen und die Entgegennahme von Online-Zahlungen samt Buchhaltung,
• Bewertungen und ihre Moderation, Meldungen von Inhalten nach dem Digital Services Act,
• die Sicherheit der Plattform, die Missbrauchsabwehr, zusammengefasste Statistiken über die Plattform und die Erfüllung gesetzlicher Pflichten.

Bucht eine Kundin oder ein Kunde über TERme bei dir, verarbeitet TERme die Buchungsdaten daher zum Teil als eigener Verantwortlicher (für die Vermittlung und das Kundenkonto) und zum Teil in deinem Auftrag (in deinem Kalender und deiner Kundenkartei).

3. Kategorien betroffener Personen

• deine Kund:innen, auch solche, die du selbst im Anbieterbereich anlegst,
• Interessent:innen, etwa Personen mit einer begonnenen oder nicht abgeschlossenen Buchung,
• deine Mitarbeitenden und sonstigen Teammitglieder,
• weitere Personen, deren Daten du oder deine Kund:innen in Notizen, Nachrichten oder Formularen angeben.

4. Kategorien personenbezogener Daten

• Stammdaten: Name, Kundenreferenz, gegebenenfalls Profilbild.
• Kontaktdaten: E-Mail-Adresse, Telefonnummer und weitere Angaben, die du erfasst.
• Termindaten: Datum, Uhrzeit, Standort, Leistungen und Zusatzleistungen, zugewiesene Mitarbeitende, Preise, Status, Absagen, Nichterscheinen, Verlauf.
• Notizen: interne Notizen zu Kund:innen und Terminen.
• Nachrichten: Inhalte von Nachrichten zu Terminen und Anhänge.
• Formulardaten: Antworten, hochgeladene Dateien und Unterschriften.
• Werbedaten: Einwilligungen, Widersprüche und Abmeldungen, Zugehörigkeit zu Zielgruppen und Automationen, Versandverlauf, persönliche Gutscheine.
• Zahlungsstatus: gewählte Zahlungsart, Beträge, Zahlungs- und Erstattungsstatus. Kartendaten oder Bankdaten deiner Kund:innen verarbeitet TERme nicht.
• Gutscheine und Guthaben: Ausgabe, Stand und Einlösung.
• Daten deines Teams: Name, Titel, Foto, Kontaktdaten, Arbeitszeiten, Abwesenheiten, Rollen und Rechte, Terminzuordnungen, Status von Kalenderverbindungen.
• Protokolldaten: wer im Anbieterbereich wann welche Änderung vorgenommen hat.

Besondere Kategorien

In Formularen, Notizen oder Nachrichten können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO vorkommen, etwa Gesundheitsdaten wie Allergien, Hautbefunde oder Vorerkrankungen bei Praxen oder Kosmetikbetrieben. Solche Daten verarbeitet TERme nur, wenn du sie erhebst. Du erhebst sie nur, soweit das für deine Leistung nötig ist und eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht, etwa eine ausdrückliche Einwilligung.

5. Weisungen

• TERme verarbeitet die Daten nur auf deine dokumentierte Weisung, auch bei einer Übermittlung in ein Drittland. Dokumentierte Weisungen sind dieser AVV, die AGB für Anbieter sowie deine Einstellungen und Handlungen im Anbieterbereich, etwa angelegte Formulare, ausgewählte Zielgruppen, aktivierte Automationen oder verbundene Kalender.
• Weitere Weisungen erteilst du per E-Mail an hi@ter-me.at. Weisungsberechtigt sind die Betriebsadmins deines Betriebs.
• Gehen Weisungen über den vereinbarten Leistungsumfang hinaus, kann TERme sie ablehnen, wenn sie technisch nicht umsetzbar oder unzumutbar sind, oder einen angemessenen Aufwandsersatz verlangen. Lehnen wir eine Weisung ab, kannst du den Hauptvertrag kündigen.
• Ist TERme nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt TERme dir das vorher mit, sofern das Gesetz eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
• Ist TERme der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert TERme dich unverzüglich. TERme darf die Ausführung aussetzen, bis du die Weisung bestätigt oder geändert hast.

6. Deine Pflichten als Verantwortlicher

• Du bist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlagen, für Werbe-E-Mails an deine Kund:innen und für besondere Kategorien von Daten.
• Du informierst deine Kund:innen und Mitarbeitenden über deine Verarbeitung (Art. 13 und 14 DSGVO).
• Du vergibst Zugänge im Anbieterbereich nur an Personen, die sie für ihre Arbeit brauchen, und entziehst sie, wenn sie nicht mehr nötig sind.
• Du informierst TERme unverzüglich, wenn du Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellst.

7. Vertraulichkeit

TERme setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und hält das Datengeheimnis nach § 6 Datenschutzgesetz ein. Diese Pflicht gilt auch nach dem Ende ihrer Tätigkeit weiter. Personen, die für TERme tätig sind, greifen auf deine Daten nur zu, soweit das für den Betrieb, den Support, die Sicherheit oder die Prüfung von Meldungen nötig ist.

8. Sicherheit der Verarbeitung

TERme trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 (Abschnitt 18) beschrieben sind. TERme darf die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert TERme in dieser Anlage.

9. Unterauftragsverarbeiter

• Du erteilst TERme die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die beim Abschluss dieses AVV eingesetzten Unterauftragsverarbeiter stehen in der Liste der Unterauftragsverarbeiter und gelten als genehmigt.
• Will TERme einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiert TERme dich mindestens 30 Tage vorher per E-Mail an die Betriebsadmins deines Betriebs und aktualisiert die Liste.
• Du kannst der Änderung innerhalb dieser Frist per E-Mail an hi@ter-me.at aus datenschutzrechtlichen Gründen widersprechen. Wir suchen dann gemeinsam eine Lösung. Gelingt das nicht, kannst du den Hauptvertrag zum Zeitpunkt der Änderung kündigen; bereits bezahlte Entgelte für die Zeit danach erstatten wir anteilig.
• TERme verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem AVV festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. TERme wählt Unterauftragsverarbeiter sorgfältig aus und haftet dir gegenüber dafür, dass sie ihre Pflichten erfüllen.
• Keine Unterauftragsverarbeiter sind Dienstleister, die nur Nebenleistungen erbringen, etwa Telekommunikation oder Bankdienstleistungen, sowie Stripe, das für Zahlungen eigenverantwortlich tätig ist. Richten du oder deine Mitarbeitenden ein Kalender-Abo in einer eigenen Kalender-App ein, ruft der jeweilige Kalenderdienst die Termine auf deine Veranlassung ab; er wird dadurch nicht Unterauftragsverarbeiter von TERme.

10. Übermittlung in Drittländer

TERme und die Unterauftragsverarbeiter verarbeiten die Daten grundsätzlich in der Europäischen Union. Eine Übermittlung in ein Land außerhalb der EU oder des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, etwa auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission, einschließlich des EU-US Data Privacy Framework für zertifizierte Unternehmen, oder von Standardvertragsklauseln der Europäischen Kommission. Wo das der Fall sein kann, ist in der Liste der Unterauftragsverarbeiter angegeben.

11. Unterstützung bei Rechten betroffener Personen

• Viele Anfragen kannst du direkt im Anbieterbereich erledigen, etwa indem du Daten einsiehst, berichtigst, Formularantworten exportierst oder löschst, soweit die Funktionen das ermöglichen.
• Darüber hinaus unterstützt dich TERme mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 12 bis 22 DSGVO).
• Wendet sich eine betroffene Person mit einem Anliegen, das deine Verarbeitung betrifft, direkt an TERme, leitet TERme es unverzüglich an dich weiter und beantwortet es nicht selbst, außer du weist uns dazu an. Betrifft das Anliegen zugleich die Verarbeitung durch TERme als eigener Verantwortlicher, beantwortet TERme diesen Teil selbst.
• Die Unterstützung ist kostenlos, solange sie keinen unverhältnismäßigen Aufwand verursacht.

12. Unterstützung bei weiteren Pflichten

TERme unterstützt dich unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung deiner Pflichten nach Art. 32 bis 36 DSGVO, also bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei einer vorherigen Konsultation der Datenschutzbehörde. Dafür stellt TERme insbesondere die Beschreibung der Maßnahmen in Anlage 1 und die Liste der Unterauftragsverarbeiter bereit und beantwortet deine Fragen.

13. Meldung von Datenschutzverletzungen

• Erfährt TERme von einer Verletzung des Schutzes personenbezogener Daten, die deine Daten betrifft, informiert TERme dich unverzüglich, spätestens 48 Stunden nachdem TERme davon erfahren hat, per E-Mail an die Betriebsadmins deines Betriebs.
• Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen sowie eine Kontaktmöglichkeit. Was noch nicht bekannt ist, reicht TERme ohne unangemessene Verzögerung nach.
• TERme ergreift sofort die nötigen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern, und dokumentiert die Verletzung.
• Die Meldung an die Datenschutzbehörde und die Benachrichtigung betroffener Personen nach Art. 33 und 34 DSGVO sind deine Aufgabe; TERme unterstützt dich dabei und gibt Meldungen in deinem Namen nur auf deine Weisung ab.

14. Löschung und Rückgabe

• Während der Vertragslaufzeit kannst du Daten im Anbieterbereich berichtigen und, soweit die Funktionen das ermöglichen, löschen oder exportieren.
• Bis zum Ende des Hauptvertrags und innerhalb von 14 Tagen danach erhältst du auf Anfrage per E-Mail eine Kopie der personenbezogenen Daten, die TERme in deinem Auftrag verarbeitet, in einem gängigen, maschinenlesbaren Format.
• Spätestens 30 Tage nach dem Ende des Hauptvertrags löscht TERme diese Daten, außer das Recht der Europäischen Union oder eines Mitgliedstaats verpflichtet TERme zur Aufbewahrung. Solche Daten werden bis zum Ende der Aufbewahrungspflicht gesperrt und für nichts anderes verwendet.
• Soweit Daten in Sicherungskopien enthalten sind, werden sie mit dem Überschreiben oder Löschen dieser Kopien gelöscht; bis dahin sind sie für jede andere Verwendung gesperrt.
• Auf Wunsch bestätigt TERme dir die Löschung schriftlich per E-Mail.
• Daten, die TERme als eigener Verantwortlicher verarbeitet (Abschnitt 2), sind von dieser Löschung nicht erfasst; für sie gelten die Fristen der Datenschutzerklärung.

15. Nachweise und Kontrollen

• TERme stellt dir alle Informationen zur Verfügung, die nötig sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen. Dazu gehören dieser AVV mit Anlage 1, die Liste der Unterauftragsverarbeiter und auf Anfrage weitere Auskünfte und Unterlagen.
• Reichen diese Informationen nachweislich nicht aus, kannst du Überprüfungen einschließlich Inspektionen durchführen oder durch eine zur Verschwiegenheit verpflichtete Prüferin oder einen Prüfer durchführen lassen, die oder der nicht im Wettbewerb mit TERme steht. Überprüfungen meldest du mindestens 14 Tage vorher per E-Mail an. Sie finden zu üblichen Geschäftszeiten, ohne Störung des Betriebs und grundsätzlich höchstens einmal im Kalenderjahr statt, außer bei einem konkreten Anlass wie einer Datenschutzverletzung oder einer Anordnung der Datenschutzbehörde.
• Die Rechenzentren gehören den Unterauftragsverarbeitern; dort kann TERme keine Vor-Ort-Prüfung ermöglichen. Für sie gelten deren Nachweise und Prüfberichte, die TERme dir auf Anfrage zur Verfügung stellt, soweit sie TERme vorliegen.
• Jede Seite trägt ihre eigenen Kosten. Für Überprüfungen, die über das Bereitstellen von Unterlagen und Auskünften hinausgehen, kann TERme einen angemessenen Ersatz seines Aufwands verlangen, außer die Überprüfung ergibt einen wesentlichen Verstoß von TERme.
• TERme unterstützt Prüfungen der zuständigen Datenschutzbehörde.

16. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen dir und TERme trägt jede Seite den Schaden in dem Umfang, in dem sie für den Umstand verantwortlich ist, durch den er eingetreten ist (Art. 82 Abs. 4 und 5 DSGVO). Im Übrigen gilt die Haftungsregelung der AGB für Anbieter.

17. Laufzeit und Schlussbestimmungen

• Dieser AVV gilt so lange wie der Hauptvertrag und endet mit ihm. Die Pflichten zur Vertraulichkeit, Rückgabe und Löschung gelten weiter, solange TERme Daten in deinem Auftrag verarbeitet.
• Änderungen dieses AVV kündigt TERme wie Änderungen der AGB für Anbieter an, mindestens 15 Tage vorher per E-Mail mit Kündigungsrecht. Für Änderungen der Unterauftragsverarbeiter gilt Abschnitt 9.
• Ist eine Bestimmung dieses AVV unwirksam, bleiben die übrigen wirksam; an ihre Stelle tritt die Regelung, die den Anforderungen von Art. 28 DSGVO entspricht.
• Es gilt österreichisches Recht. Gerichtsstand ist der in den AGB für Anbieter vereinbarte.
• Fragen zum Datenschutz richtest du an hi@ter-me.at.

18. Anlage 1: Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die Maßnahmen, mit denen TERme die Sicherheit der Verarbeitung gewährleistet (Art. 32 DSGVO). TERme betreibt keine eigenen Rechenzentren; physische Sicherheit, Stromversorgung und Netzanbindung stellen die Unterauftragsverarbeiter nach ihren eigenen Maßnahmen sicher.

Vertraulichkeit

• Zutritt: Die Server stehen in Rechenzentren der Unterauftragsverarbeiter in der Europäischen Union. TERme führt keine Kundendaten in Papierform.
• Zugang zu Servern: Nur der Betreiber von TERme hat administrativen Zugang zu den Servern, über verschlüsselte Verbindungen mit persönlichen Zugangsdaten.
• Zugang zum Anbieterbereich: Jede Person hat ein eigenes Konto. Passwörter werden nur als Hash mit dem anerkannten Verfahren Argon2 gespeichert, nie im Klartext. Registrierung und Zurücksetzen des Passworts erfordern einen Code, der an die E-Mail-Adresse gesendet wird. Alternativ ist die Anmeldung über Google, Apple oder Facebook möglich.
• Zugriffsrechte: Rollen und Rechte (Betriebsadmin, Standortleitung, Mitarbeitende mit festgelegten Rechten) werden bei jeder Anfrage auf dem Server geprüft. Jede Person sieht nur die Daten des Betriebs und der Standorte, für die sie berechtigt ist; Mitarbeitende je nach Rechten nur die eigenen Termine.
• Trennung: Die Daten verschiedener Betriebe und Standorte werden auf dem Server logisch getrennt; jede Abfrage ist an den berechtigten Betrieb und Standort gebunden. Entwicklung und Tests erfolgen mit Testdaten, nicht mit echten Kundendaten.
• Zugriffe durch TERme: Administrator:innen von TERme sehen Inhalte von Nachrichten nur über einen eigenen Zugang, der eine dokumentierte Begründung verlangt und jeden Zugriff unveränderbar protokolliert.
• Geschützte Dateien: Formular-Uploads und Belege sind nicht öffentlich abrufbar. Sie werden nur nach einer Berechtigungsprüfung über kurzlebige, geschützte Links ausgeliefert.

Integrität

• Übertragung: Verbindungen zu Website, App und Schnittstellen sind mit TLS verschlüsselt. Der E-Mail-Versand an den E-Mail-Dienst und der Zugriff auf den Dateispeicher erfolgen ebenfalls verschlüsselt.
• Eingabekontrolle: Wichtige Vorgänge werden mit Person und Zeitpunkt protokolliert, etwa Änderungen an Terminen, Rollen und Rechten, Einstellungen, Erstattungen, Moderationsentscheidungen und der Versand von Werbe-E-Mails.
• Datenminimierung: Für Kalenderverbindungen fordert TERme nur Berechtigungen für Kalendertermine an. Welche Angaben in verbundene Kalender übertragen werden, legen die Nutzer:innen in den Einstellungen fest; die E-Mail-Adresse von Kund:innen nur, wenn sie das ausdrücklich auswählen. Interne Notizen, Formularantworten und Zahlungsdaten werden nicht in Kalender übertragen.
• Keine Tracker: TERme bindet keine Werbe- oder Analyse-Tracker Dritter ein und verwendet in Werbe-E-Mails keine Zählpixel.

Verfügbarkeit und Belastbarkeit

• Dateispeicher: Dateien liegen im Speicher des Unterauftragsverarbeiters in Deutschland; öffentliche Bilder werden über Standorte in Europa ausgeliefert. Zugriffsprotokolle des Auslieferungsnetzes werden nur mit gekürzter IP-Adresse geführt.
• Missbrauchsschutz: Öffentliche Formulare und Schnittstellen sind gegen massenhafte Anfragen begrenzt.
• Zuverlässige Verarbeitung: Hintergrundaufgaben wie E-Mail-Versand, Erstattungen oder Kalenderabgleich werden dauerhaft in der Datenbank vorgemerkt und bei vorübergehenden Fehlern kontrolliert wiederholt, ohne doppelte Ausführung.

Regelmäßige Überprüfung

• Datenschutz durch Voreinstellungen: Nur nötige Daten werden erhoben; optionale Funktionen wie Kalenderverbindungen, Online-Zahlungen oder Werbe-E-Mails müssen aktiv eingerichtet werden. Optionale Dienste Dritter im Browser werden erst nach Einwilligung geladen.
• Aktualisierung: Software und Abhängigkeiten werden laufend aktualisiert. Die Maßnahmen dieser Anlage werden bei wesentlichen Änderungen am System und mindestens einmal jährlich überprüft.
• Vorgehen bei Zwischenfällen: Für Datenschutzverletzungen gibt es ein festgelegtes Vorgehen mit Prüfung, Eindämmung, Dokumentation und Meldung an dich innerhalb von 48 Stunden.
• Auftragskontrolle: Mit jedem Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 DSGVO. TERme prüft vor dem Einsatz, ob ausreichende Garantien bestehen.