B2B · AVV Version 2026-08-14
Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
Dieser Vertrag wird Bestandteil des SchnittZeit-Salon-Vertrags. Auftraggeber ist der jeweilige Salon. Auftragsverarbeiter ist die im Impressum benannte natürliche oder juristische Person, die SchnittZeit betreibt. Ein Vertragsschluss ist technisch gesperrt, solange diese Anbieterangaben nicht vollständig hinterlegt und der kommerzielle Start nicht freigegeben sind.
1. Gegenstand und Dauer
SchnittZeit verarbeitet personenbezogene Daten im Auftrag des Salons, soweit dies für die Bereitstellung der Terminbuchungs- und Salonverwaltungssoftware erforderlich ist. Die Auftragsverarbeitung beginnt mit dem wirksamen Start des Salon-Vertrags und endet grundsätzlich mit dessen Beendigung und der anschließenden vertrags- und gesetzeskonformen Löschung oder Rückgabe der Auftragsdaten.
2. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Auslesen, Abgleichen, Bereitstellen, Ändern, Einschränken und Löschen von Daten, soweit dies für Online-Terminbuchung, Kalender, Stornierung, Team- und Leistungsverwaltung, technische Sicherheit, Support und Wiederherstellung erforderlich ist. SchnittZeit verarbeitet Auftragsdaten nur zur Erbringung der vereinbarten Leistungen und nach dokumentierter Weisung des Salons.
3. Kategorien betroffener Personen und Daten
Betroffen sein können insbesondere Kundinnen und Kunden des Salons sowie dessen Mitarbeitende. Verarbeitet werden können Name, E-Mail-Adresse, Telefonnummer, Termin- und Stornodaten, gebuchte Leistungen, zuständige Mitarbeitende, freiwillige terminbezogene Notizen, Salonstammdaten sowie technisch erforderliche Sicherheits- und Sitzungsdaten.
Der Salon darf über SchnittZeit keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO eingeben, sofern dies nicht zuvor ausdrücklich schriftlich vereinbart und technisch sowie rechtlich gesondert abgesichert wurde. Freitextfelder sind entsprechend zurückhaltend zu nutzen.
4. Verantwortlichkeit und Weisungen des Salons
Der Salon bleibt für die Rechtmäßigkeit der Verarbeitung seiner Kunden- und Beschäftigtendaten, die Erfüllung seiner Informationspflichten sowie die inhaltliche Richtigkeit seiner Weisungen verantwortlich. Die Nutzung der vertraglich beschriebenen Funktionen gilt als dokumentierte Weisung. Zusätzliche Weisungen sollen in Textform erfolgen. Hält SchnittZeit eine Weisung für datenschutzrechtswidrig, wird der Salon hierauf hingewiesen und die betreffende Verarbeitung soweit erforderlich ausgesetzt.
5. Vertraulichkeit und Zugriff
Personen mit Zugriff auf Auftragsdaten werden auf Vertraulichkeit verpflichtet und dürfen die Daten nur im Rahmen ihrer Aufgaben und dokumentierten Weisungen verarbeiten. Berechtigungen werden nach dem Need-to-know- und Least-Privilege- Prinzip vergeben und bei Wegfall des Zwecks entzogen.
6. Technische und organisatorische Maßnahmen
SchnittZeit setzt angemessene Maßnahmen nach Art. 32 DSGVO ein. Dazu gehören insbesondere HTTPS/TLS, serverseitige Zugriffskontrollen, HttpOnly-Sitzungen, gehashte Passwörter, Rate-Limits, Trennung von Browser- und Datenbankrechten, RLS bzw. serverseitig abgeschirmte Tabellen, Geheimnisverwaltung außerhalb des Browsers, signierte Stripe-Webhooks, Protokollierung sicherheitsrelevanter Vorgänge sowie ein dokumentierter Incident- und Wiederherstellungsprozess. Die jeweils aktuelle TOM-Dokumentation wird intern versioniert geführt.
7. Unterauftragsverarbeiter
Der Salon erteilt eine allgemeine Genehmigung für die nachfolgend genannten Unterauftragsverarbeiter, soweit sie tatsächlich Auftragsdaten verarbeiten:
- Supabase – Datenbank, Storage und Backend-Infrastruktur; das SchnittZeit-Hauptprojekt ist in der Region Central EU (Frankfurt / eu-central-1) angelegt.
- Vercel – Hosting und Auslieferung der Webanwendung sowie serverseitige Web-Funktionen.
Stripe dient der Abrechnung des Vertrags zwischen SchnittZeit und dem Salon. Vollständige Karten- oder Bankdaten werden direkt von Stripe verarbeitet; Termin- und Salon-Kundendaten werden nicht für die Zahlungsabwicklung an Stripe übermittelt. Die datenschutzrechtliche Rolle von Stripe richtet sich nach den jeweils genutzten Stripe-Diensten und den Stripe-Vertragsunterlagen.
Vor dem Einsatz eines zusätzlichen Unterauftragsverarbeiters für Auftragsdaten wird der Salon über die hinterlegte geschäftliche E-Mail-Adresse oder im Salon-Dashboard informiert. Bei einer wesentlichen Änderung kann eine erneute Bestätigung des AVV verlangt werden. Gesetzliche Widerspruchsrechte bleiben unberührt.
8. Unterstützung bei Betroffenenrechten
SchnittZeit unterstützt den Salon im angemessenen Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit, soweit dies die bei SchnittZeit verarbeiteten Auftragsdaten betrifft. Anfragen von Betroffenen, die eindeutig einem Salon zuzuordnen sind, werden grundsätzlich an den Salon weitergeleitet, sofern keine eigene gesetzliche Pflicht von SchnittZeit besteht.
9. Datenschutzverletzungen und Behörden
Wird eine Verletzung des Schutzes von Auftragsdaten bekannt, informiert SchnittZeit den betroffenen Salon unverzüglich und stellt die verfügbaren Informationen bereit, die dieser zur Bewertung seiner Melde- und Benachrichtigungspflichten benötigt. SchnittZeit unterstützt außerdem im erforderlichen Umfang bei Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden, soweit die Auftragsverarbeitung betroffen ist.
10. Rückgabe und Löschung
Nach Vertragsende werden Auftragsdaten nach Wahl und soweit technisch möglich herausgegeben oder gelöscht, sobald sie für die Vertragserfüllung nicht mehr benötigt werden. Gesetzliche Aufbewahrungspflichten und die Sicherung von Rechtsansprüchen bleiben unberührt. In Sicherungskopien können Daten bis zum turnusmäßigen Überschreiben verbleiben und bleiben bis dahin geschützt und zweckgebunden gesperrt.
11. Nachweise und Kontrollen
SchnittZeit stellt dem Salon auf angemessene Anfrage die zur Darlegung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Prüfungen sind unter Wahrung von Vertraulichkeit, Systemsicherheit und Verhältnismäßigkeit mit angemessener Vorankündigung durchzuführen. Vorhandene Prüfberichte und Nachweise von Unterauftragsverarbeitern können berücksichtigt werden.
12. Drittlandübermittlungen
Soweit Auftragsdaten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, setzt SchnittZeit die nach Kapitel V DSGVO erforderlichen Übermittlungsmechanismen ein bzw. verpflichtet Unterauftragsverarbeiter hierzu. Die eingesetzten Anbieter sehen hierfür insbesondere vertragliche Datenschutzregelungen und, soweit erforderlich, Standardvertragsklauseln vor.
13. Rangfolge und Änderungen
Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV hinsichtlich der Auftragsverarbeitung vor. Materielle Änderungen am Gegenstand, an den Datenkategorien oder an den Pflichten nach Art. 28 DSGVO werden versioniert. Soweit erforderlich, wird vor weiterer Nutzung eine erneute Bestätigung eingeholt.
Vertragsunterlagen: AGB · Datenschutz · Impressum