Auftragsverarbeitungsvertrag

nach Art. 28 DSGVO. Version 1.0, Stand: 1. November 2026

§ 1 Parteien und Abschluss

  1. Dieser Vertrag wird geschlossen zwischen dem Salon, der ein Konto bei Kammzeit anlegt (Verantwortlicher, "Salon"), und Ben Oliver Mallow, Einzelunternehmer, der auch unter dem Namen InstantNode auftritt, Sickinger Straße 7, 55758 Sien, Deutschland, E-Mail kontakt@kammzeit.de (Auftragsverarbeiter, "wir", "uns").
  2. Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Der Salon nimmt ihn bei der Registrierung durch Setzen des dafür vorgesehenen Häkchens an. Er ergänzt die AGB von Kammzeit. In Fragen des Datenschutzes geht dieser Vertrag den AGB vor. Auf Wunsch schicken wir dem Salon eine Kopie per E-Mail.
  3. Für Daten, die wir als eigener Verantwortlicher verarbeiten, etwa die Konto- und Abrechnungsdaten des Salons, gilt dieser Vertrag nicht. Dafür gilt unsere Datenschutzerklärung.

§ 2 Gegenstand, Dauer, Art und Zweck

  1. Gegenstand: Bereitstellung des Online-Dienstes Kammzeit für den Salon: öffentliche Buchungsseite, Dashboard mit Kalender, Kundenkartei, Leistungen und Team sowie automatische E-Mails an die Kunden des Salons.
  2. Dauer: Laufzeit des Vertrags nach den AGB, bis zum Abschluss der Löschung nach § 12.
  3. Art der Verarbeitung: Erheben (über das Buchungsformular oder durch Eingabe des Salons), Speichern, Anzeigen, Ändern, Versenden von E-Mails (Bestätigung, Erinnerung, Absage), Exportieren, Sichern und Löschen.
  4. Zweck: Online-Terminbuchung und Terminverwaltung des Salons.

§ 3 Art der Daten und betroffene Personen

  1. Kunden und Interessenten des Salons: Name, E-Mail-Adresse, Telefonnummer (wenn angegeben), Termine (Leistung, Mitarbeiter, Zeitpunkt, Status wie gebucht, abgesagt oder nicht erschienen, Herkunft der Buchung), Notizen des Salons in der Kundenkartei und zu Terminen, Absage-Links sowie technische Daten bei der Buchung (IP-Adresse, nur kurzzeitig im Arbeitsspeicher für Ratenbegrenzungen).
  2. Mitarbeiter des Salons: Name, Arbeitszeiten, angebotene Leistungen und zugeordnete Termine.
  3. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Notiert der Salon solche Angaben in Freitextfeldern, etwa Allergien oder Unverträglichkeiten, ist er für die Rechtsgrundlage verantwortlich, in der Regel eine ausdrückliche Einwilligung der betroffenen Person. Für diese Angaben gelten die Maßnahmen nach Anlage 1. Weitergehende Maßnahmen, etwa eine gesonderte Verschlüsselung, bietet Kammzeit nicht. Der Salon entscheidet, ob das Schutzniveau für seine Daten ausreicht.

§ 4 Rechte und Pflichten des Salons

  1. Der Salon ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information seiner Kunden nach Art. 13 DSGVO, die Bearbeitung von Anträgen betroffener Personen und die Festlegung, wie lange Daten gespeichert bleiben.
  2. Der Salon hat das Recht, Weisungen zu erteilen (§ 5), Nachweise und Kontrollen zu verlangen (§ 13), neuen Unterauftragsverarbeitern zu widersprechen (§ 9) und nach Vertragsende zwischen Rückgabe und Löschung zu wählen (§ 12).
  3. Stellt der Salon Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er uns unverzüglich.

§ 5 Weisungen

  1. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Salons, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, wir sind durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilen wir dem Salon diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
  2. Dokumentierte Weisungen sind dieser Vertrag, die AGB und die Einstellungen und Aktionen des Salons im Dashboard. Weitere Weisungen erteilt der Salon in Textform von der im Konto hinterlegten E-Mail-Adresse. Wir bewahren Weisungen in Textform für die Dauer dieses Vertrags auf.
  3. Verstößt eine Weisung nach unserer Auffassung gegen Datenschutzvorschriften, informieren wir den Salon unverzüglich. Wir dürfen die Ausführung aussetzen, bis der Salon die Weisung bestätigt oder ändert.

§ 6 Keine Nutzung für eigene Zwecke

  1. Wir verarbeiten die Daten nur, um den Dienst für den Salon zu erbringen. Wir verkaufen sie nicht, geben sie nicht an Dritte weiter, nutzen sie nicht für Werbung, Analysen oder Profile und nicht zum Trainieren von KI-Modellen.
  2. Auf den Inhalt der Daten greifen wir nur zu, wenn der Salon es verlangt, wenn es für Betrieb, Sicherung, Wiederherstellung oder die Beseitigung von Störungen technisch erforderlich ist, wenn ein konkreter Verdacht auf Missbrauch oder einen Sicherheitsvorfall besteht oder wenn das Gesetz es verlangt.
  3. Anfragen von Behörden oder Dritten nach Daten des Salons beantworten wir nur, wenn eine rechtlich verbindliche Pflicht nach dem Recht der Union oder eines Mitgliedstaats besteht, und nur im erforderlichen Umfang. Wir informieren den Salon vorher, soweit das rechtlich zulässig ist. Anfragen von Behörden eines Drittlands behandeln wir nach Art. 48 DSGVO.

§ 7 Vertraulichkeit

Zugriff auf die Daten hat nur der Auftragsverarbeiter selbst. Setzen wir weitere Personen ein, verpflichten wir sie vor dem ersten Zugriff schriftlich zur Vertraulichkeit, soweit sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und weisen sie in die Datenschutzvorschriften ein (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht besteht nach Ende ihrer Tätigkeit fort.

§ 8 Sicherheit der Verarbeitung

  1. Wir treffen die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO).
  2. Die Maßnahmen entwickeln wir mit dem Stand der Technik weiter. Wir dürfen sie durch gleichwertige oder bessere ersetzen. Das Schutzniveau darf dabei nicht sinken.
  3. Für die Sicherheit seines Zugangs, insbesondere seines E-Mail-Postfachs, über das die Anmeldung läuft, ist der Salon verantwortlich.

§ 9 Unterauftragsverarbeiter

  1. Kein Dienstleister hat Zugriff auf den Inhalt der Daten. Wir betreiben Kammzeit, die Datenbank, die Sicherungen und den E-Mail-Versand auf eigenen Systemen von InstantNode. Die in Anlage 2 genannten Dienstleister stellen Rechenzentrum und Netzanbindung bereit. Wir führen sie vorsorglich als Unterauftragsverarbeiter auf, sie gelten mit Abschluss dieses Vertrags als genehmigt.
  2. Der Salon erteilt uns die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Jede beabsichtigte Hinzuziehung oder Ersetzung teilen wir mindestens vier Wochen vorher per E-Mail mit. Der Salon kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Gibt es keine zumutbare Alternative, kann er den Vertrag zum Zeitpunkt der Änderung fristlos kündigen. Im Voraus bezahlte Entgelte erstatten wir dann anteilig.
  3. Wir erlegen jedem Unterauftragsverarbeiter vertraglich die Datenschutzpflichten dieses Vertrags auf (Art. 28 Abs. 4 DSGVO) und haften für ihn wie für eigenes Handeln.
  4. Telekommunikationsanbieter, die Daten nur transportieren, und die Mailanbieter der Empfänger von E-Mails sind keine Unterauftragsverarbeiter.

§ 10 Ort der Verarbeitung

Wir verarbeiten die Daten ausschließlich in der Europäischen Union, auf Servern in einem Rechenzentrum in Eygelshoven (Niederlande). Administrative Zugriffe erfolgen aus der EU oder dem EWR. Eine Übermittlung in Drittländer findet nicht statt.

§ 11 Unterstützung des Salons

  1. Betroffenenrechte: Der Salon kann Daten seiner Kunden im Dashboard einsehen, berichtigen, löschen und exportieren und so Anträge auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit selbst erfüllen. Darüber hinaus unterstützen wir ihn nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 lit. e DSGVO). Anträge betroffener Personen, die uns direkt erreichen, leiten wir innerhalb von drei Werktagen an den Salon weiter und beantworten sie nicht selbst, sofern das Gesetz nichts anderes verlangt.
  2. Weitere Pflichten: Wir unterstützen den Salon unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen bei der Sicherheit der Verarbeitung, der Meldung von Datenpannen, der Benachrichtigung betroffener Personen, einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 32 bis 36, Art. 28 Abs. 3 lit. f DSGVO).
  3. Datenpannen: Eine Verletzung des Schutzes personenbezogener Daten, die Daten des Salons betrifft, melden wir dem Salon ohne unangemessene Verzögerung, spätestens 48 Stunden nachdem sie uns bekannt geworden ist, per E-Mail an die im Konto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenarten und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen können schrittweise nachgereicht werden. Ob die Aufsichtsbehörde oder betroffene Personen benachrichtigt werden, entscheidet der Salon.
  4. Unterstützung, die über die Funktionen des Dashboards und einen geringen Aufwand hinausgeht, können wir nach vorheriger Ankündigung des voraussichtlichen Betrags angemessen berechnen, es sei denn, der Anlass liegt in unserem Verantwortungsbereich.

§ 12 Löschung und Rückgabe

  1. Während der Laufzeit kann der Salon seine Daten jederzeit im Dashboard exportieren und löschen.
  2. Nach Vertragsende hat der Salon die Wahl zwischen Rückgabe und Löschung (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt, indem der Salon die Daten vor dem Vertragsende über die Export-Funktion in einem gängigen, maschinenlesbaren Format herunterlädt.
  3. Löscht der Salon sein Konto oder endet der Vertrag auf andere Weise, löschen wir alle Daten des Salons aus dem laufenden Bestand. Aus den Sicherungen verschwinden sie mit deren Rotation, spätestens 30 Tage nach der Kontolöschung beziehungsweise dem Vertragsende. Eine Pflicht zur weiteren Speicherung dieser Daten besteht für uns nicht.
  4. Auf Verlangen bestätigen wir die Löschung in Textform.

§ 13 Nachweise und Kontrollen

  1. Wir stellen dem Salon alle Informationen zur Verfügung, die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlich sind, in der Regel durch diesen Vertrag, Anlage 1 und schriftliche Auskünfte auf Anfrage (Art. 28 Abs. 3 lit. h DSGVO).
  2. Reicht das nicht aus, kann der Salon Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der nicht mit uns im Wettbewerb steht. Inspektionen sind mit einer Frist von vier Wochen in Textform anzukündigen, finden während üblicher Geschäftszeiten statt, höchstens einmal im Kalenderjahr, und dürfen den Betrieb nicht stören. Sie erstrecken sich nicht auf Daten anderer Salons. Der Zutritt zum Rechenzentrum richtet sich nach den Regeln seines Betreibers. Überprüfungen auf Verlangen einer Aufsichtsbehörde oder nach einer Datenpanne zählen nicht zur jährlichen Grenze.
  3. Der Salon trägt die Kosten einer Überprüfung, es sei denn, sie deckt einen wesentlichen, von uns zu vertretenden Verstoß gegen diesen Vertrag auf.

§ 14 Haftung

Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Für den Ausgleich zwischen den Parteien gilt Art. 82 Abs. 5 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB (§ 13). Gesetzlich nicht beschränkbare Haftung bleibt unberührt.

§ 15 Laufzeit und Änderungen

  1. Dieser Vertrag gilt, solange der Vertrag über Kammzeit besteht, und darüber hinaus, bis die Löschung nach § 12 abgeschlossen ist. Er kann nicht gesondert gekündigt werden.
  2. Änderungen dieses Vertrags richten sich nach § 15 der AGB. Für Unterauftragsverarbeiter gilt vorrangig § 9. Änderungen dürfen das Schutzniveau der Daten nicht senken.
  3. Es gilt deutsches Recht. Für den Gerichtsstand gilt § 16 der AGB. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. An ihre Stelle tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutrittskontrolle

Zugangskontrolle

Zugriffskontrolle

Trennungskontrolle

Weitergabekontrolle

Eingabekontrolle

Verfügbarkeitskontrolle

Löschkontrolle

Organisatorische Maßnahmen

Anlage 2: Unterauftragsverarbeiter

Keiner dieser Dienstleister hat Zugriff auf den Inhalt der Daten. Der Datenverkehr ist per TLS verschlüsselt.

Der Zahlungsdienstleister Stripe verarbeitet nur Abrechnungsdaten des Salons, als eigener Verantwortlicher, und keine Daten der Kunden des Salons. Er ist kein Unterauftragsverarbeiter.