Auftragsverarbeitungsvereinbarung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und gemäß den schriftlichen (einschließlich elektronischen) Weisungen des Verantwortlichen, mit dem Zweck, frei gewordene Termine zu erkennen und Endkundinnen und -kunden zu kontaktieren und neu zu buchen (der Dienst). Diese Vereinbarung gilt für die Dauer des Hauptvertrags zwischen den Parteien und endet automatisch mit dessen Beendigung, unbeschadet Abschnitt 10.

Art: automatisierte Verarbeitung von Kontakt- und Termindaten zum Versand und zur Bearbeitung von Wiederbesetzungsnachrichten.

Zweck: die Neubesetzung frei gewordener Termine im Auftrag des Verantwortlichen.

• Datenkategorien: Name, Telefonnummer, E-Mail-Adresse, Terminhistorie (Leistung, Zeitpunkt, Wert), Einwilligungs-/Abmeldestatus, Inhalt des Nachrichtenaustauschs, soweit für die Abwicklung eines Termins nötig.
• Ausdrücklich AUSGESCHLOSSEN: besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO, einschließlich Gesundheitsdaten. Der Auftragsverarbeiter ist nicht für deren Verarbeitung eingerichtet, und der Verantwortliche stellt diese nicht bereit.
• Betroffene Personen: die Kundinnen und Kunden des Verantwortlichen, die einen Termin haben oder hatten und für die eine Einwilligung/Rechtsgrundlage zur Kontaktaufnahme besteht.

Der Auftragsverarbeiter verarbeitet die Daten nur auf Grundlage dokumentierter Weisungen des Verantwortlichen, es sei denn, eine unionsrechtliche oder mitgliedstaatliche Bestimmung verpflichtet ihn zur Verarbeitung; in diesem Fall teilt er dem Verantwortlichen dies vor der Verarbeitung mit, sofern das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Die Funktionalität des Dienstes (Pflichtfelder, genutzte Kanäle, die Grenzen aus Abschnitt 6 der AGB) gilt als vorab erteilte Weisung.

Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und nur Zugang zu den für ihre Aufgabe erforderlichen Daten haben.

Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen um, darunter: Verschlüsselung der Daten bei der Übertragung (TLS) und im Ruhezustand; Zugriffskontrolle nach dem Need-to-know-Prinzip; kryptografische Verifikation von Webhook- und API-Verkehr zur Verhinderung von Fälschungen; Protokollierung von Aktionen an sensiblen Daten; getrennte Umgebungen für Entwicklung und Produktion; sowie ein Verfahren zur Erkennung und Behandlung von Sicherheitsvorfällen.

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Einbindung folgender Unterauftragsverarbeiter:

• Twilio Inc., Versand von SMS und (später) Sprachanrufen. Verarbeitung außerhalb der EU; Standardvertragsklauseln anwendbar.
• Meta Platforms Ireland Ltd., Versand von WhatsApp-Nachrichten über die WhatsApp Business Cloud API.
• Supabase Inc., Datenbank-Hosting, EU-Region.
• Vercel Inc., Hosting von Anwendung und Website, weltweites Edge-Netzwerk; Standardvertragsklauseln anwendbar für Nicht-EU-Knoten.
• Stripe Payments Europe, Ltd., Zahlungsabwicklung zwischen Revenaro und dem Kunden (nicht Zahlungen von Endkunden an den Kunden).

Möchte der Auftragsverarbeiter einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiert er den Verantwortlichen mindestens 14 Tage im Voraus. Der Verantwortliche kann innerhalb dieser Frist aus konkreten datenschutzrechtlichen Gründen begründet widersprechen; die Parteien stimmen sich dann nach Treu und Glauben über eine Lösung ab. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jedes Unterauftragsverarbeiters verantwortlich, wie es Art. 28 Abs. 4 DSGVO verlangt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge auf Ausübung der Rechte betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Eine Abmeldung per „STOP“ wird vom Auftragsverarbeiter automatisch und unverzüglich verarbeitet, unabhängig davon, über welchen Kanal sie eingeht.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten zu Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörde.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er dies dem Verantwortlichen unverzüglich und spätestens innerhalb von 48 Stunden, mit den zu diesem Zeitpunkt verfügbaren Informationen über Art der Verletzung, betroffene Kategorien und Anzahl der Personen, wahrscheinliche Folgen, sowie ergriffene oder vorgeschlagene Maßnahmen.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle vernünftigerweise erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Audits und Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, bei angemessener Vorankündigung und in einer Weise, die den Betrieb und die Sicherheit anderer Kundinnen und Kunden des Auftragsverarbeiters nicht unverhältnismäßig stört.

Nach Beendigung der Verarbeitungsdienste löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie auf Wunsch des Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht Unionsrecht oder mitgliedstaatliches Recht eine Speicherung der Daten vorschreibt. Dies erfolgt innerhalb der in Abschnitt 5 der Datenschutzerklärung beschriebenen Fristen.

Soweit Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten (siehe Abschnitt 6), geschieht dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission oder eines gleichwertig anerkannten Übermittlungsmechanismus, ergänzt, soweit erforderlich, durch geeignete technische Maßnahmen.

Die Haftungsregelung des Hauptvertrags (AGB, Abschnitt 8) gilt entsprechend für diese Auftragsverarbeitungsvereinbarung.

Diese Auftragsverarbeitungsvereinbarung unterliegt, wie der Hauptvertrag, belgischem Recht.