Auftragsverarbeitungsvertrag (DPA)

1. Parteien und Abschluss

Dieser Auftragsverarbeitungsvertrag (der „DPA“) wird zwischen dem Salon als Verantwortlichem und dem Betreiber von SalonGo als Auftragsverarbeiter nach Art. 28 Verordnung (EU) 2016/679 (DSGVO) geschlossen.

Der DPA ist Bestandteil der AGB und wird mit der Registrierung des Salons geschlossen. Er gilt für die Dauer der Nutzung und bis zur Löschung der Daten nach Abschnitt 10.

2. Gegenstand, Art und Zweck

Der Auftragsverarbeiter speichert und verarbeitet die vom Salon eingegebenen personenbezogenen Daten zur Erbringung des Dienstes: Kalender und Buchungen, Kundenverwaltung, Kasse und Belege, Lohnberechnung, Berichte, Erinnerungen und Nachrichten an Kunden auf Weisung des Salons, Sicherungen und Support.

3. Kategorien betroffener Personen und Daten

Betroffene: Kunden, Mitarbeiter und freie Mitarbeiter des Salons.

Daten: Name, Telefon, E-Mail, Geburtsdatum, Buchungs- und Leistungshistorie, Zahlungen und Belege, Notizen, Fotos, Treuedaten; bei Mitarbeitern zudem Rolle, Umsatz, Provision, Lohn und Trinkgeld.

Besondere Kategorien (z. B. Gesundheitsdaten wie Allergien) nur, wenn der Salon sie eingibt. Der Salon ist für eine Rechtsgrundlage nach Art. 9 DSGVO verantwortlich.

4. Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Salons: dieser DPA, die AGB sowie die Einstellungen und Aktionen des Salons im Dienst.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Salon.

Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke, darf aber anonymisierte, aggregierte Statistiken erstellen, die keine personenbezogenen Daten sind.

5. Vertraulichkeit und Sicherheit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

Der Auftragsverarbeiter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere: verschlüsselte Übertragung (HTTPS/TLS), gehashte Passwörter, logische Trennung der Salondaten, rollenbasierte Zugriffe, minimaler Betreiberzugriff, regelmäßige Sicherungen, Zugriffsprotokolle und regelmäßige Software-Updates.

6. Unterauftragsverarbeiter

Der Salon erteilt eine allgemeine Genehmigung für Unterauftragsverarbeiter. Aktuelle Liste:

• Vercel Inc. – Hosting (EU, Frankfurt),
• Neon Inc. – Datenbank (AWS, Frankfurt),
• Resend (Plus Five Five Inc.) – E-Mails an Kunden und Nutzer,
• Google Ireland Ltd. / Firebase Cloud Messaging – Push-Mitteilungen,
• Functional Software Inc. (Sentry) – Fehlerberichte,
• Stripe Payments Europe Ltd. – Zahlungen (falls der Salon Zahlungen über den Dienst nutzt).

Über die Hinzunahme oder den Austausch eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter mindestens 14 Tage vorher per E-Mail oder in der App. Der Salon kann aus berechtigten Gründen widersprechen; kommt keine Einigung zustande, kann der Salon kündigen und erhält den anteiligen Betrag des bezahlten Zeitraums.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter zu gleichwertigem Datenschutz und haftet für deren Einhaltung.

Übermittlungen außerhalb der EU erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von Standardvertragsklauseln.

7. Unterstützung bei Betroffenenrechten

Der Dienst ermöglicht dem Salon, Daten zu suchen, zu berichtigen, zu exportieren und zu löschen. Kann der Salon eine Anfrage nicht selbst erledigen, unterstützt der Auftragsverarbeiter auf Anfrage in angemessenem Umfang.

Erhält der Auftragsverarbeiter eine Anfrage direkt, leitet er sie an den Salon weiter und bearbeitet sie nicht selbst, sofern der Salon ihn nicht beauftragt.

8. Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Salon eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO, damit der Salon seiner Meldepflicht nachkommen kann.

9. Weitere Unterstützung und Kontrollen

Der Auftragsverarbeiter unterstützt den Salon angemessen bei Datenschutz-Folgenabschätzungen (DSFA) und vorherigen Konsultationen der Aufsichtsbehörde.

Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit. Kontrollen (Audits) sind mit 30 Tagen schriftlicher Vorankündigung, höchstens einmal jährlich, zu Geschäftszeiten, ohne Betriebsstörung und ohne Zugriff auf Daten anderer Salons möglich; die Kosten trägt der Salon, sofern keine wesentliche Verletzung festgestellt wird.

10. Vertragsende: Rückgabe und Löschung

Nach Vertragsende kann der Salon seine Daten innerhalb von 30 Tagen exportieren oder in einem gängigen maschinenlesbaren Format anfordern. Danach löscht der Auftragsverarbeiter die Daten; Sicherungen werden spätestens innerhalb weiterer 90 Tage bereinigt, sofern keine gesetzliche Aufbewahrungspflicht besteht.

11. Haftung und anwendbares Recht

Die Haftung richtet sich nach Art. 82 DSGVO und den AGB.

Dieser DPA unterliegt tschechischem Recht. Bei Widersprüchen zu den AGB in Datenschutzfragen hat dieser DPA Vorrang.