Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Nutzungsbedingungen zwischen dem Unternehmen, das Calmfill nutzt („Verantwortlicher“, „du“), und Matej Machajda, Trstená 02801 („Auftragsverarbeiter“, „wir“). Er gilt für jede Verarbeitung personenbezogener Daten in deinem Auftrag und erfüllt die Anforderungen von Art. 28 DSGVO. Bei Widersprüchen zu den Nutzungsbedingungen in Fragen des Datenschutzes geht dieser AVV vor.

• Gegenstand und Zweck: Bereitstellung des Buchungsdienstes Calmfill: Buchungsseiten, Verfügbarkeit, Kalender, Kundenkartei sowie E-Mails zu Buchungsbestätigung, Erinnerung und Änderung.
• Art: Erhebung über die Buchungsseite, Speicherung, Ordnung, Anzeige für dich und dein Team, E-Mail-Versand und Löschung.
• Dauer: für die Dauer deiner Nutzung des Dienstes zuzüglich der Löschfristen in Abschnitt 9.
• Betroffene Personen: deine Kunden und Personen, die über deine Buchungsseite buchen; deine Teammitglieder.
• Personenbezogene Daten: Namen, E-Mail-Adressen, Telefonnummern, Termindaten und -verlauf, von Kunden oder dir eingegebene Notizen sowie E-Mail-Zustellnachweise. Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht vorgesehen.

Wir verarbeiten personenbezogene Daten nur auf deine dokumentierte Weisung. Deine Weisungen sind diese Bedingungen, deine Einstellungen und die Aktionen, die du und dein Team im Dienst ausführen. Wir informieren dich, wenn eine Weisung unserer Ansicht nach gegen Datenschutzrecht verstößt. Anderweitig verarbeiten wir Daten nur, wenn das Recht der EU oder eines Mitgliedstaats dies verlangt, und informieren dich darüber, sofern dieses Recht es nicht verbietet.

Alle Personen, denen wir Zugriff auf personenbezogene Daten gewähren, sind zur Vertraulichkeit verpflichtet und greifen nur darauf zu, soweit es für Betrieb und Support des Dienstes nötig ist.

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, darunter:

• Verschlüsselung bei der Übertragung (HTTPS) und Speicherung bei Anbietern, die Daten verschlüsselt speichern;
• Trennung der Daten jedes Unternehmens mit rollenbasierter Zugriffsprüfung bei jeder Anfrage;
• gesalzenes scrypt-Passwort-Hashing, ablaufende Sitzungen und Begrenzung von Anfragen bei Anmeldung, Buchungen und E-Mails;
• Änderungsverlauf der Buchungen und automatische Löschung von Kundendaten nach deiner Aufbewahrungsfrist;
• regelmäßige Backups durch unseren Datenbankanbieter und Beschränkung unseres eigenen Zugriffs auf das für Support und Betrieb Erforderliche.

Du genehmigst den Einsatz der in unserer Datenschutzerklärung genannten Unterauftragsverarbeiter (Netlify für Hosting, Neon für die Datenbank, Resend für E-Mail). Wir verpflichten jeden von ihnen zu einem Datenschutzniveau, das diesem AVV mindestens entspricht, und haften für sie. Über die Hinzunahme oder den Austausch eines Unterauftragsverarbeiters informieren wir dich mindestens 14 Tage vorher per E-Mail; widersprichst du aus begründeten Datenschutzgründen, kannst du den Vertrag beenden und deine Daten löschen, bevor die Änderung wirksam wird.

Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums, stellen wir sicher, dass die Übermittlung durch die Standardvertragsklauseln der Europäischen Kommission oder das EU-US Data Privacy Framework abgedeckt ist.

Mit dem Dienst kannst du Kundendaten einsehen, berichtigen, exportieren und löschen und so Betroffenenanfragen selbst beantworten. Erreicht uns eine solche Anfrage, leiten wir sie unverzüglich an dich weiter. Unter Berücksichtigung der Art der Verarbeitung unterstützen wir dich angemessen bei Sicherheit, Datenschutz-Folgenabschätzungen und Konsultationen mit Behörden.

Über eine Verletzung des Schutzes personenbezogener Daten, die deine Daten betrifft, informieren wir dich unverzüglich und nach Möglichkeit innerhalb von 48 Stunden, nachdem sie uns bekannt wurde, mit den Informationen, die du für deine eigenen Meldepflichten brauchst.

Du kannst deine Kundendaten jederzeit exportieren. Wenn du Kunden, dein Unternehmen oder dein Konto löschst, werden die Daten sofort aus unserer Live-Datenbank gelöscht und aus Backups, sobald diese innerhalb von 30 Tagen überschrieben werden, sofern wir nicht gesetzlich zur Aufbewahrung verpflichtet sind.

Wir stellen die Informationen bereit, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und ermöglichen Überprüfungen, einschließlich Inspektionen durch dich oder einen von dir beauftragten, zur Vertraulichkeit verpflichteten Prüfer, nach angemessener schriftlicher Ankündigung, in der Regel höchstens einmal jährlich und auf deine Kosten, sofern nicht eine Datenpanne oder eine Behörde etwas anderes erfordert.

Kontakt in Datenschutzfragen: xtfmathew@gmail.com.