Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung wird zwischen Kevin Unger, Angergasse 3/7, 7551 Stegersbach, Österreich, E-Mail: [email protected], als Auftragsverarbeiter – nachfolgend „Anbieter“ – und dem im RemindWave-Benutzerkonto bezeichneten Unternehmen beziehungsweise der dort bezeichneten Organisation als Verantwortlichem – nachfolgend „Kunde“ – geschlossen.

Die Vereinbarung wird elektronisch abgeschlossen, indem eine zur Vertretung des Kunden berechtigte Person bei der Registrierung oder vor der erstmaligen Verarbeitung von Auftragsdaten die dafür vorgesehene Zustimmung erteilt. Die Annahme wird mit Organisation, Benutzerkonto, E-Mail-Adresse, Zeitpunkt, Fassung dieser Vereinbarung sowie IP-Adresse und User-Agent protokolliert und bleibt als Nachweis gespeichert. Art. 28 Abs. 9 DSGVO gestattet ausdrücklich die elektronische Form.

Wird diese Vereinbarung in einer neuen Fassung veröffentlicht, wird die Zustimmung erneut eingeholt, bevor der Dienst weiter genutzt werden kann. Zustimmungen zu früheren Fassungen bleiben unverändert dokumentiert.

Diese Vereinbarung ergänzt die Allgemeinen Geschäftsbedingungen. Bei Widersprüchen gehen für die Verarbeitung personenbezogener Daten im Auftrag die Bestimmungen dieser Vereinbarung vor.

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde in RemindWave eingibt, importiert, erzeugt oder über seine öffentliche Buchungsseite erheben lässt. Der Anbieter verarbeitet diese Daten zur Bereitstellung, Wartung, Absicherung und vertragsgemäßen Ausführung der Plattform.

Die Verarbeitung umfasst insbesondere:

• Speichern, Strukturieren, Anzeigen, Ändern und Löschen von Kontakten,
• Verwalten von Dienstleistungen, Öffnungszeiten und Terminen,
• Entgegennahme und technische Abwicklung öffentlicher Terminbuchungen,
• Bestätigung von Telefonnummern und Schutz der Buchungsseite vor Missbrauch,
• Erstellen, Planen, Übermitteln und Dokumentieren von SMS-Nachrichten,
• Verwalten von Marketing-Einwilligungen, Opt-ins und Opt-outs,
• Verarbeiten von SMS-Vorlagen und deren technischer Klassifizierung,
• Datensicherung, Fehleranalyse, Support und Wiederherstellung,
• Löschung, Einschränkung und Export im Rahmen der verfügbaren Funktionen.

Die Verarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags. Gesetzliche Aufbewahrungsfristen, dokumentierte Löschfristen und Pflichten zur Sicherung oder Rechtsverteidigung bleiben unberührt.

• Kundinnen und Kunden sowie Interessenten des Kunden,
• Personen, die über die öffentliche Buchungsseite einen Termin buchen,
• Empfänger von Termin-, Service- oder Marketing-SMS,
• Kontaktpersonen, Beschäftigte und sonstige Ansprechpartner des Kunden,
• Benutzer, Mitglieder und eingeladene Personen innerhalb der Organisation des Kunden,
• sonstige Personen, deren Daten der Kunde rechtmäßig in RemindWave verarbeitet.

• Stammdaten: Vorname, Nachname, Firmenname und interne Kennungen,
• Kontaktdaten: Telefonnummer, E-Mail-Adresse, Straße, Postleitzahl und Ort,
• Kontakt- und CRM-Daten: interne Notizen, Adressprüfstatus sowie Erstellungs- und Änderungszeitpunkte,
• Termindaten: Titel, Datum, Uhrzeit, Dauer, Farbe, Notizen, Leistungen, Preise und Abwesenheiten,
• Buchungsdaten: ausgewählte Leistungen, gewünschter Termin, freiwillige Notiz und bestätigte Kontaktdaten,
• Verifikationsdaten: Code-Hash, Fehlversuche, Ablaufzeit und Zuordnung zur Buchungsvormerkung,
• SMS-Daten: Telefonnummer, Nachrichteninhalt, Vorlage, Absendername, Versandzeitpunkt, Status, Anbieter-ID und Fehlerdaten,
• Marketingdaten: Einwilligungs- und Abmeldestatus, Zeitpunkte, Quelle sowie gehashte Bestätigungs- und Abmeldetoken,
• technische Daten: IP-Adresse, User-Agent, Sitzungsdaten, Log- und Sicherheitsinformationen,
• Nutzungsdaten: SMS-Segmentanzahl, Verbrauchsereignisse, Limits, Warnschwellen und technische Auftragsdaten.

Die planmäßige Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO ist nicht Bestandteil des Dienstes. Der Kunde darf solche Daten nur verarbeiten, wenn dies ausdrücklich vereinbart wurde und sämtliche gesetzlichen Voraussetzungen erfüllt sind.

Der Anbieter verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich hinsichtlich Übermittlungen in Drittländer, soweit nicht Unionsrecht oder österreichisches Recht eine Verarbeitung verlangt. In diesem Fall informiert der Anbieter den Kunden vor der Verarbeitung, sofern das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Die Nutzung der Plattform entsprechend dem Hauptvertrag, den Einstellungen des Kunden und dieser Vereinbarung gilt als dokumentierte Weisung. Zusätzliche Weisungen sind in Textform an [email protected] zu richten. Führt eine zusätzliche Weisung zu einem nicht vom vereinbarten Leistungsumfang gedeckten Aufwand, darf der Anbieter diesen nach vorheriger Information angemessen verrechnen.

Hält der Anbieter eine Weisung für datenschutzwidrig, informiert er den Kunden unverzüglich und darf ihre Ausführung bis zur Klärung aussetzen.

• Verarbeitung ausschließlich im vereinbarten Umfang und nach Weisung,
• Verpflichtung zugriffsberechtigter Personen auf Vertraulichkeit,
• Umsetzung und laufende Überprüfung angemessener technischer und organisatorischer Maßnahmen,
• Unterstützung bei Betroffenenrechten, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen,
• Bereitstellung der zur Darlegung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen,
• unverzügliche Information über behördliche Anfragen, soweit rechtlich zulässig,
• keine Veräußerung und keine Nutzung der Auftragsdaten zu eigenen Werbezwecken oder zum Training eigener KI-Modelle.

• Festlegung rechtmäßiger Zwecke und Rechtsgrundlagen der Verarbeitung,
• Erfüllung der Informationspflichten gegenüber betroffenen Personen,
• Bereitstellung einer eigenen Datenschutzerklärung und eines eigenen Impressums sowie Hinterlegung der zugehörigen Links, wenn die öffentliche Buchungsseite genutzt wird — ohne beide Angaben ist die Buchungsseite technisch nicht erreichbar,
• Rechtmäßigkeit von Kontaktimporten, Terminverwaltung und SMS-Kommunikation,
• Nachweis wirksamer Einwilligungen für Marketing-SMS, soweit erforderlich,
• Beachtung von Widerrufen, Widersprüchen und Opt-outs,
• Unterlassung der Eingabe besonderer Kategorien personenbezogener Daten ohne vorherige Vereinbarung,
• Beschränkung der Benutzerrechte auf berechtigte Personen und sichere Verwaltung der Zugänge,
• rechtzeitiger Export benötigter Daten vor Vertragsende.

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf.

Erhält der Anbieter eine Anfrage, die Auftragsdaten eines Kunden betrifft, beantwortet er diese nicht eigenständig, sondern leitet sie nach Möglichkeit an den Kunden weiter. Der Kunde bleibt für die rechtliche Prüfung und fristgerechte Beantwortung verantwortlich.

Der Anbieter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes von Auftragsdaten bekannt geworden ist. Die Information enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, bereits ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle für Rückfragen.

Der Anbieter unterstützt den Kunden im angemessenen Umfang bei dessen Pflichten nach Art. 32 bis 36 DSGVO. Die Entscheidung über Meldungen an Behörden oder betroffene Personen obliegt dem Kunden, soweit der Anbieter nicht selbst gesetzlich verpflichtet ist.

Der Kunde erteilt dem Anbieter eine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Anbieter informiert über beabsichtigte wesentliche Änderungen dieser Liste in geeigneter elektronischer Form grundsätzlich mindestens 14 Tage vor dem Einsatz, soweit nicht ein dringender Sicherheits-, Verfügbarkeits- oder Rechtsgrund eine kürzere Frist erfordert.

Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb der mitgeteilten Frist widersprechen. Können die Parteien keine zumutbare Lösung finden, darf jede Partei den betroffenen Dienst außerordentlich beenden. Ein bloßer wirtschaftlicher oder wettbewerblicher Einwand genügt nicht.

Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den in dieser Vereinbarung festgelegten Pflichten im Wesentlichen entsprechen. Der Anbieter bleibt gegenüber dem Kunden für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

Soweit Auftragsdaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet werden, erfolgt dies nur auf Grundlage der Voraussetzungen der Art. 44 ff. DSGVO. Als geeignete Grundlage kommen insbesondere ein Angemessenheitsbeschluss, Standardvertragsklauseln der Europäischen Kommission und erforderlichenfalls ergänzende Schutzmaßnahmen in Betracht.

Der Anbieter stellt dem Kunden auf begründete Anfrage Informationen über die maßgeblichen Übermittlungsmechanismen zur Verfügung, soweit keine gesetzlichen oder vertraglichen Vertraulichkeitspflichten entgegenstehen.

Der Anbieter stellt dem Kunden die zur Darlegung der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung. Vorrangig können aktuelle Dokumentationen, Sicherheitsnachweise, Prüfberichte oder standardisierte Fragebögen verwendet werden.

Der Kunde darf bei konkretem Anlass oder höchstens einmal pro Jahr eine Prüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchführen lassen. Prüfungen sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten und ohne unverhältnismäßige Beeinträchtigung des Betriebs durchzuführen. Geschäftsgeheimnisse und Daten anderer Kunden sind zu schützen.

Verursacht eine Prüfung erheblichen Zusatzaufwand und ergibt sie keinen wesentlichen Verstoß des Anbieters, darf der Anbieter den angemessenen Aufwand nach vorheriger Abstimmung verrechnen. Aufsichtsbehördliche Befugnisse bleiben unberührt.

Nach Beendigung des Hauptvertrags löscht oder anonymisiert der Anbieter die Auftragsdaten nach Maßgabe der vereinbarten Löschfristen, sofern der Kunde nicht vor Vertragsende einen verfügbaren Export veranlasst und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Daten in Sicherungskopien können bis zum regulären Überschreiben der Backups verbleiben. Sie werden währenddessen nicht produktiv genutzt und bleiben durch diese Vereinbarung geschützt. Gesetzlich aufzubewahrende Daten werden für andere Zwecke gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht.

Für die Haftung gelten Art. 82 DSGVO und ergänzend die Haftungsregelungen des Hauptvertrags, soweit diese gesetzlich zulässig sind. Eine Haftungsbeschränkung gilt nicht, soweit sie zwingenden datenschutzrechtlichen Ansprüchen entgegensteht.

Diese Vereinbarung gilt ab ihrer elektronischen Annahme für die Dauer jeder Verarbeitung von Auftragsdaten. Änderungen bedürfen einer dokumentierten Vereinbarung in Text- oder elektronischer Form. Wesentliche Änderungen werden nicht allein durch Schweigen oder bloße Weiternutzung wirksam.

Es gilt österreichisches Recht. Zuständig ist, soweit gesetzlich zulässig, das sachlich zuständige Gericht am Sitz des Anbieters.

Die folgenden Maßnahmen beschreiben den derzeit vorgesehenen Sicherheitsstandard. Sie dürfen entsprechend dem technischen Fortschritt weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Stripe wird für die Vertrags- und Zahlungsabwicklung eingesetzt. Soweit Stripe dabei eigene Zwecke und gesetzliche Pflichten verfolgt, ist diese Verarbeitung nicht Teil der Auftragsverarbeitung von Kontakt-, Termin-, Buchungs- oder SMS-Daten des Kunden.

• Nicht bestätigte Buchungsvormerkungen: Löschung nach Ablauf der technisch festgelegten kurzen Gültigkeitsdauer.
• Abgeschlossene Reminder- und Marketing-SMS: grundsätzlich sechs Monate nach geplantem Versandzeitpunkt.
• Alte Termine und Reminder-Batches: grundsätzlich nach sechs Monaten, sobald keine zugehörigen Nachrichten mehr vorhanden sind.
• Verwendete Marketing-Einwilligungstoken: grundsätzlich sieben Tage nach Verwendung.
• Abgelaufene Marketing-Einwilligungstoken: nach Ablauf ihrer Gültigkeit.
• Unverwendete dauerhafte Opt-out-Token: grundsätzlich nach sechs Monaten; der eigentliche Opt-out-Status des Kontakts kann zur dauerhaften Beachtung der Abmeldung bestehen bleiben.
• Weich gelöschte Vorlagen: grundsätzlich nach 90 Tagen endgültig, sofern sie nicht mehr referenziert werden.
• Rate-Limit- und Missbrauchsschutzzähler: automatisches Ablaufen nach dem jeweiligen Zeitfenster.
• Benutzer-, Organisations-, Kontakt- und bestätigte Buchungsdaten: für die Vertragslaufzeit beziehungsweise bis zur Löschung durch den Kunden oder nach Vertragsende gemäß Abschnitt 13.
• Backups: Löschung durch reguläres Überschreiben im jeweiligen Backup-Zyklus.

Datenschutzbezogene Mitteilungen und Weisungen sind an [email protected] zu richten.