Vertrag zur Auftragsverarbeitung

Dieser Vertrag wird geschlossen zwischen:

• dir, also dem Unternehmen, das in deinem RemindWave-Benutzerkonto als Betrieb angelegt ist, als Verantwortlichem, und
• uns, Kevin Unger, Angergasse 3/7, 7551 Stegersbach, Österreich, E-Mail [email protected], als Auftragsverarbeiter.

Verantwortlicher ist, wer entscheidet, wozu Daten verarbeitet werden. Auftragsverarbeiter ist, wer Daten nur im Auftrag und nach Anweisung des Verantwortlichen verarbeitet. Grundlage ist Art. 28 der Datenschutz-Grundverordnung (DSGVO).

Elektronischer Abschluss

Der Vertrag kommt zustande, wenn eine Person, die dein Unternehmen vertreten darf, bei der Registrierung oder vor der ersten Verarbeitung in der App zustimmt. Art. 28 Abs. 9 DSGVO erlaubt ausdrücklich diese elektronische Form. Als Nachweis speichern wir Betrieb, Benutzerkonto, E-Mail-Adresse, Zeitpunkt, Fassung dieses Vertrags, IP-Adresse und Browserkennung.

Erscheint eine neue Fassung, holen wir deine Zustimmung erneut ein, bevor du RemindWave weiter nutzen kannst. Zustimmungen zu früheren Fassungen bleiben als Nachweis gespeichert.

Dieser Vertrag ergänzt unsere Allgemeinen Geschäftsbedingungen, im Folgenden Hauptvertrag. Bei Widersprüchen geht für die Verarbeitung personenbezogener Daten in deinem Auftrag dieser Vertrag vor.

Gegenstand sind die personenbezogenen Daten, die du in RemindWave eingibst, einliest oder erzeugst oder über deine Buchungsseite erheben lässt. Wir verarbeiten sie, um RemindWave für dich bereitzustellen, zu warten, abzusichern und wie vereinbart auszuführen. Dazu gehört vor allem:

• Kontakte speichern, anzeigen, ändern, einlesen, ausgeben und löschen,
• Kalender, Termine, Dienstleistungen und Öffnungszeiten verwalten,
• Online-Buchungen annehmen und Telefonnummern per Code bestätigen,
• dich und deine Mitarbeiter per E-Mail oder SMS über neue Buchungen informieren,
• SMS erstellen, zur gewünschten Zeit innerhalb deiner Sendezeiten verschicken und den Versand dokumentieren,
• Zustimmungen und Abmeldungen für Werbe-SMS verwalten, auch für wiederkehrende SMS,
• SMS-Vorlagen speichern und automatisch einstufen,
• Mitarbeiter einladen und ihre Zugänge und Rechte verwalten,
• Daten sichern, Fehler beheben und Support leisten.

Der Vertrag gilt, solange der Hauptvertrag läuft und wir danach noch Daten in deinem Auftrag verarbeiten. Gesetzliche Aufbewahrungspflichten und die Löschfristen in Anlage 3 bleiben davon unberührt.

Die Verarbeitung betrifft vor allem:

• deine Kundinnen und Kunden sowie Interessenten,
• Personen, die über deine Buchungsseite einen Termin buchen,
• Personen, die sich über deine Anmeldeseite für Werbe-SMS anmelden,
• Empfänger von Termin-, Service- und Werbe-SMS,
• deine Mitarbeiter, Ansprechpartner und eingeladene Personen in deinem Betrieb,
• andere Personen, deren Daten du rechtmäßig in RemindWave verarbeitest.

• Stammdaten: Vorname, Nachname, Firma, Geburtsdatum und interne Kennungen,
• Kontaktdaten: Handynummer, Festnetznummer, Straße, Postleitzahl und Ort,
• Daten zur Kundenbetreuung: interne Notizen, Standort, Zeitpunkt der letzten Prüfung der Adresse sowie Zeitpunkte des Anlegens und Änderns,
• Termindaten: Titel, Datum, Uhrzeit, Dauer, Farbe, Notizen, Mitarbeiter, Leistungen, Preise und Abwesenheiten,
• Buchungsdaten: gewählte Leistungen, gewünschter Termin, freiwillige Notiz und bestätigte Kontaktdaten,
• Daten zur Bestätigung: Hashwert des Codes, Anzahl der Fehlversuche und Ablaufzeit,
• SMS-Daten: Telefonnummer, Text, Vorlage, Absender, Versandzeit, Status, Kennung des Dienstleisters und Fehlerangaben,
• Werbe-Daten: Stand von Zustimmung und Abmeldung, Zeitpunkte, Weg der Zustimmung, Hashwerte der QR-Codes und Links, Vorname, Nachname und Handynummer aus offenen Anmeldungen über die Anmeldeseite sowie das Protokoll mit Handynummer, Name der Firma, IP-Adresse, Browserkennung, gezeigtem Text und dessen Fassung, der Person im Betrieb, die einen QR-Code erstellt oder einen Widerruf eingetragen hat, und der Notiz zu einem Widerruf,
• Mitarbeiterdaten: Name, E-Mail-Adresse, Rolle, Rechte, Kalender und Standort,
• Technische Daten: IP-Adresse, Browserkennung, Anmeldedaten, Protokolle und Sicherheitsangaben,
• Nutzungsdaten: Anzahl der SMS-Teile, Verbrauch, Grenzen, Warnschwellen und technische Auftragsdaten.

Besonders schützenswerte Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, sind nicht vorgesehen. Du darfst sie nur verarbeiten, wenn wir das ausdrücklich vereinbart haben und alle gesetzlichen Voraussetzungen erfüllt sind.

Wir verarbeiten die Daten nur nach deinen dokumentierten Weisungen. Eine Weisung ist eine Anweisung, wie wir mit den Daten umgehen sollen. Das gilt auch für Übermittlungen in Länder außerhalb der EU. Ausnahme ist nur, wenn uns das Recht der EU oder Österreichs zu einer Verarbeitung verpflichtet. Dann informieren wir dich vorher, sofern das Gesetz das nicht verbietet.

Als Weisung gilt die Nutzung von RemindWave nach dem Hauptvertrag, deinen Einstellungen in der App und diesem Vertrag. Weitere Weisungen schickst du in Textform, zum Beispiel per E-Mail, an [email protected]. Verursacht eine weitere Weisung Aufwand, der über den vereinbarten Umfang hinausgeht, dürfen wir ihn nach vorheriger Information angemessen verrechnen.

Halten wir eine Weisung für datenschutzwidrig, sagen wir dir das sofort. Wir dürfen sie dann aussetzen, bis die Frage geklärt ist.

• Wir verarbeiten die Daten nur im vereinbarten Umfang und nach deinen Weisungen.
• Alle Personen mit Zugriff sind zur Verschwiegenheit verpflichtet.
• Wir setzen die Schutzmaßnahmen aus Anlage 1 um und prüfen sie regelmäßig.
• Wir unterstützen dich bei Anfragen betroffener Personen, bei Datenpannen, bei einer Datenschutz-Folgenabschätzung und bei Gesprächen mit der Behörde.
• Wir geben dir alle Informationen, die du brauchst, um die Einhaltung dieses Vertrags nachzuweisen.
• Wir informieren dich sofort über Anfragen von Behörden, soweit das erlaubt ist.
• Wir verkaufen die Daten nicht, nutzen sie nicht für eigene Werbung und trainieren damit keine künstliche Intelligenz.

Als Verantwortlicher sorgst du insbesondere dafür, dass:

• du für jede Verarbeitung einen rechtmäßigen Zweck und eine Rechtsgrundlage hast,
• du betroffene Personen so informierst, wie es die DSGVO verlangt,
• du für die Buchungsseite und die Anmeldeseite für Werbe-SMS eine eigene Datenschutzerklärung und ein eigenes Impressum hast und die Links dazu in RemindWave hinterlegst. Ohne diese Links ist keine der beiden Seiten erreichbar,
• das Einlesen von Kontakten, die Terminverwaltung und deine SMS rechtmäßig sind,
• du wirksame Zustimmungen für Werbe-SMS nachweisen kannst,
• Widerrufe, Widersprüche und Abmeldungen beachtet werden,
• keine besonders schützenswerten Daten ohne vorherige Vereinbarung eingegeben werden,
• nur berechtigte Personen Zugang zu deinem Betrieb haben und ihre Rechte passend eingestellt sind.

Personen, deren Daten du verarbeitest, haben Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf. Wir unterstützen dich mit passenden Funktionen und Maßnahmen dabei, solche Anfragen zu erfüllen. Viele davon kannst du direkt in der App erledigen, etwa einen Kontakt ändern, löschen oder herunterladen.

Bekommen wir selbst eine solche Anfrage, beantworten wir sie nicht eigenständig. Wir leiten sie an dich weiter, sofern wir dich als zuständigen Betrieb erkennen können. Für die Prüfung und eine rechtzeitige Antwort bleibst du verantwortlich.

Erfahren wir von einer Verletzung des Schutzes deiner Daten, etwa einem unbefugten Zugriff, informieren wir dich unverzüglich. Soweit bekannt, nennen wir dir:

• Art und Umfang des Vorfalls,
• die betroffenen Daten und Personen,
• die wahrscheinlichen Folgen,
• die ergriffenen oder vorgeschlagenen Maßnahmen,
• eine Ansprechperson für Rückfragen.

Wir unterstützen dich angemessen bei deinen Pflichten nach Art. 32 bis 36 DSGVO. Ob du einen Vorfall der Behörde oder den betroffenen Personen meldest, entscheidest du, außer wir sind selbst gesetzlich zur Meldung verpflichtet.

Unterauftragsverarbeiter sind Dienstleister, die wir für RemindWave einsetzen und die dabei Zugriff auf deine Daten haben können. Du erlaubst uns allgemein, die Dienstleister aus Anlage 2 einzusetzen.

Wollen wir einen Dienstleister hinzufügen oder ersetzen, informieren wir dich in der Regel mindestens 14 Tage vorher per E-Mail oder in der App. Eine kürzere Frist ist nur bei dringenden Gründen der Sicherheit, der Verfügbarkeit oder des Rechts möglich.

Hast du einen wichtigen datenschutzrechtlichen Grund dagegen, kannst du innerhalb dieser Frist widersprechen. Finden wir keine zumutbare Lösung, darf jede Seite den betroffenen Dienst außerordentlich beenden. Rein wirtschaftliche Gründe reichen für einen Widerspruch nicht.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen. Für ihre Einhaltung bleiben wir dir gegenüber verantwortlich.

Verarbeiten Dienstleister Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, geschieht das nur nach den Voraussetzungen der Art. 44 bis 49 DSGVO. Das kann ein Beschluss der EU-Kommission sein, dass das Land ausreichend schützt, etwa das EU-US Data Privacy Framework für zertifizierte Unternehmen in den USA. Es können auch die Standardvertragsklauseln der EU-Kommission sein, wenn nötig mit zusätzlichen Schutzmaßnahmen.

Auf begründete Anfrage nennen wir dir die Grundlage für einen bestimmten Dienstleister, soweit keine Pflicht zur Vertraulichkeit entgegensteht.

Wir geben dir die Informationen, die du brauchst, um die Einhaltung dieses Vertrags nachzuweisen. Vorrangig nutzen wir dafür aktuelle Unterlagen, Nachweise zur Sicherheit, Prüfberichte oder ausgefüllte Fragebögen.

Bei konkretem Anlass, sonst höchstens einmal im Jahr, darfst du eine Prüfung durchführen oder von einer unabhängigen, zur Verschwiegenheit verpflichteten Person durchführen lassen. Kündige sie rechtzeitig an. Sie findet zu üblichen Geschäftszeiten statt und darf den Betrieb nicht unverhältnismäßig stören. Geschäftsgeheimnisse und Daten anderer Kunden bleiben geschützt.

Verursacht eine Prüfung erheblichen Aufwand und zeigt sie keinen wesentlichen Verstoß von uns, dürfen wir den angemessenen Aufwand nach vorheriger Abstimmung verrechnen. Die Befugnisse der Datenschutzbehörde bleiben unberührt.

Nach dem Ende des Hauptvertrags löschen wir deine Daten oder machen sie anonym, also so, dass sie keiner Person mehr zugeordnet werden können. Was wir gesetzlich aufbewahren müssen, sperren wir für jede andere Verwendung und löschen es nach Ablauf der Frist.

In Datensicherungen bleiben Daten, bis die Sicherungen im regulären Ablauf überschrieben werden. Bis dahin nutzen wir sie nicht und sie bleiben durch diesen Vertrag geschützt.

Für die Haftung gilt Art. 82 DSGVO und ergänzend die Haftungsregeln des Hauptvertrags, soweit sie gesetzlich zulässig sind. Eine Haftungsbeschränkung gilt nicht, wenn zwingende Ansprüche aus dem Datenschutzrecht entgegenstehen.

Dieser Vertrag gilt ab deiner Zustimmung für die Dauer jeder Verarbeitung in deinem Auftrag. Änderungen müssen in Textform oder elektronisch dokumentiert vereinbart werden. Wesentliche Änderungen werden nie allein dadurch wirksam, dass du schweigst oder RemindWave weiter nutzt.

Es gilt österreichisches Recht. Zuständig ist, soweit gesetzlich zulässig, das sachlich zuständige Gericht am Sitz unseres Unternehmens.

Diese Maßnahmen beschreiben unseren aktuellen Sicherheitsstandard. Wir dürfen sie mit dem technischen Fortschritt weiterentwickeln, solange das Schutzniveau nicht sinkt.

Zu den genannten Unternehmen gehören jeweils auch die verbundenen Gesellschaften, soweit sie für die Leistung nötig sind. Stripe nutzen wir für Vertrag und Bezahlung mit dir. Stripe erhält dabei keine Kontakt-, Termin-, Buchungs- oder SMS-Inhalte deines Betriebs, sondern nur die Anzahl der verschickten SMS. Diese Verarbeitung ist deshalb nicht Teil dieses Vertrags.

RemindWave löscht folgende Daten automatisch:

• Nicht bestätigte Buchungen: nach 10 Minuten oder nach 5 falschen Codes.
• Verschickte, fehlgeschlagene oder abgebrochene SMS: sechs Monate nach dem geplanten Versandzeitpunkt.
• Interne Versandgruppen ohne Termin: sechs Monate nach dem Termindatum. Termine selbst löscht RemindWave nicht automatisch.
• Benutzte QR-Codes für die Zustimmung: sieben Tage nach der Nutzung.
• Abgelaufene QR-Codes für die Zustimmung: sobald sie abgelaufen sind.
• Offene Anmeldungen über die Anmeldeseite: nicht bestätigte, sobald sie abgelaufen sind. Bestätigte sieben Tage nach der Bestätigung. Der angelegte Kontakt bleibt, bis du ihn löschst.
• Abmeldelinks und Protokoll der Zustimmungen und Abmeldungen: mit dem Löschen des Betriebs. Bis dahin bleiben sie auch nach dem Löschen eines Kontakts bestehen, damit du Zustimmungen nachweisen kannst und eine Abmeldung dauerhaft beachtet wird.
• Gelöschte Vorlagen: endgültig nach 90 Tagen, sofern sie nicht mehr verwendet werden.
• Zähler zum Schutz vor Missbrauch: nach Ablauf des jeweiligen Zeitfensters, spätestens nach 24 Stunden.
• Datensicherungen: durch reguläres Überschreiben im Sicherungsablauf.

Kontakte, Termine, Dienstleistungen, Mitarbeiter und bestätigte Buchungen bleiben gespeichert, bis du sie löschst, bis du deinen Betrieb in den Einstellungen löschst oder bis zum Vertragsende nach Abschnitt 13.

Mitteilungen und Weisungen zum Datenschutz schickst du bitte an [email protected].