Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (AVV) ist integraler Bestandteil der AGB und regelt die Verarbeitung, die der Auftragsverarbeiter (Mészáros János, Einzelunternehmer, Betreiber von GrabTheSlot) im Auftrag des Verantwortlichen (des Abonnenten) innerhalb des GrabTheSlot-Dienstes durchführt, gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO).

Dieser AVV tritt mit der Annahme der AGB für jeden Abonnenten automatisch in Kraft und bleibt für die Dauer des Abonnements wirksam.

1. Parteien und Begriffe

• Verantwortlicher: der Abonnent — das Unternehmen, das GrabTheSlot nutzt und über Zwecke und Mittel der Verarbeitung der personenbezogenen Daten seiner eigenen Endkunden entscheidet.
• Auftragsverarbeiter: Mészáros János, Einzelunternehmer, Betreiber von GrabTheSlot, der personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet.
• Betroffene Personen: die Endkunden des Verantwortlichen (buchende Personen) und die Mitarbeiter des Kontos des Verantwortlichen.
• Unterauftragsverarbeiter: ein vom Auftragsverarbeiter eingesetzter Dritter zur Durchführung von Verarbeitungsaufgaben (siehe Abschnitt 5).

2. Gegenstand, Art, Zweck und Dauer

• Gegenstand: Verarbeitung der personenbezogenen Daten der Endkunden und Mitarbeiter des Verantwortlichen über die GrabTheSlot-Buchungsplattform.
• Art: Speicherung, Änderung, Abruf, Löschung, strukturierte Organisation, Sicherung und anonymisierte statistische Aggregation.
• Zweck: die technische Bereitstellung des Buchungs-, Kundenverwaltungs- und Benachrichtigungsdienstes für den Verantwortlichen.
• Dauer: die Abonnementlaufzeit zuzüglich der in Abschnitt 8 definierten Aufbewahrungs- und Löschfristen.

3. Kategorien betroffener Personen und Daten

• Identifikatoren: Name, E-Mail-Adresse, Telefonnummer
• Buchungsdaten: Zeitpunkt, gewählte Leistung, zugewiesener Mitarbeiter, Preis
• Vom Verantwortlichen erfasste Kundennotizen
• Protokolldaten: IP-Adresse, Browser, Zeitstempel von Buchungsereignissen (technische Zwecke)
• Mitarbeiterdaten: Name, E-Mail, Rolle, Berechtigungen

Der Auftragsverarbeiter verarbeitet NICHT: Zahlungskarten- oder Zahlungsdaten — diese werden ausschließlich von Paddle (Merchant of Record) verarbeitet, das für Zahlungsdaten als eigenständig Verantwortlicher handelt.

4. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, einschließlich Übermittlungen in Drittländer;
• sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
• die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen umzusetzen (Abschnitt 6);
• Unterauftragsverarbeiter nur unter der allgemeinen Genehmigung gemäß Abschnitt 5 einzusetzen und dem Verantwortlichen die Möglichkeit zum Widerspruch gegen Änderungen zu geben;
• den Verantwortlichen bei der Beantwortung von Betroffenenanfragen zu unterstützen (Art. 12–22 DSGVO);
• den Verantwortlichen bei seinen Pflichten nach Art. 32–36 DSGVO zu unterstützen (Sicherheit, Meldung von Verletzungen, Folgenabschätzungen);
• nach Beendigung des Auftrags die personenbezogenen Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen;
• dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen und vom Verantwortlichen verlangte Audits zu ermöglichen.

5. Unterauftragsverarbeiter

Mit der Annahme dieses AVV erteilt der Verantwortliche die allgemeine Genehmigung für folgende Unterauftragsverarbeiter:

Keine Unterauftragsverarbeiter — die folgenden Dienste sind eigenständige Verantwortliche oder eigene Vertragspartner des Verantwortlichen, die er selbst aktiviert; sie werden zur Transparenz aufgeführt:

Neue Unterauftragsverarbeiter: Der Auftragsverarbeiter kündigt jeden neuen Unterauftragsverarbeiter per E-Mail mindestens 30 Tage vor dem Wirksamwerden der Änderung an. Der Verantwortliche kann widersprechen; wird innerhalb einer angemessenen Frist keine Einigung erzielt, kann der Verantwortliche das Abonnement mit sofortiger Wirkung kündigen.

6. Sicherheitsmaßnahmen (Art. 32 DSGVO)

• Verschlüsselung bei der Übertragung: gesamter HTTP-Verkehr über TLS 1.2+ (HSTS aktiviert)
• Verschlüsselung im Ruhezustand: Datenbank und Dateispeicher betreiben wir selbst auf verschlüsseltem (AES-256, LUKS2) Speicher, der Schlüssel liegt nicht auf der Festplatte des Servers; Schlüssel von Zahlungsanbietern und Zwei-Faktor-Geheimnisse sind zusätzlich auf Anwendungsebene mit AES-256-GCM verschlüsselt
• Mandantentrennung: jede Datenbankoperation läuft auf dem Server und ist auf die Kennung des Abonnenten gefiltert; mit den öffentlichen API-Schlüsseln sind die Datentabellen nicht erreichbar (zeilenbasierte Zugriffsregeln plus entzogene Berechtigungen, vor jedem Release durch einen automatisierten Test geprüft)
• Zugriffskontrolle: die Oberfläche verlangt Passwörter mit mindestens 10 Zeichen, gespeichert als bcrypt-Hash; optionale Zwei-Faktor-Authentifizierung (TOTP) für alle Nutzer, die der Abonnent für sein Team verpflichtend machen kann; Kontosperre nach wiederholt falschen Codes
• Rollenbasierter Zugriff (RBAC): getrennte Rollen Inhaber / Mitarbeiter / Delegiert mit mehrschichtigen Berechtigungsprüfungen
• Protokollierung und Erkennung: Fehlerprotokolle mit automatischer Alarmierung; Verlauf der Statusänderungen von Buchungen; Eingriffe von Plattform-Administratoren (z. B. Support-Zugriff auf ein Abonnentenkonto) werden protokolliert
• Serverschutz: Firewall, automatische Sperre nach wiederholten Fehlanmeldungen, SSH nur mit Schlüssel, automatische Sicherheitsupdates und eine wöchentliche Sicherheitsprüfung
• Backups: kontinuierliche Datenbanksicherung (minutengenaue Wiederherstellung), tägliche Vollsicherung und alle 6 Stunden eine Datenbankkopie; die Sicherungen werden vor dem Hochladen verschlüsselt und innerhalb von Minuten in einen anbieterunabhängigen Speicher mit EU-Jurisdiktion kopiert, wo sie gesperrt (nicht lösch- oder überschreibbar) höchstens 89 Tage aufbewahrt werden; die Wiederherstellbarkeit wird durch eine monatliche automatisierte Testwiederherstellung geprüft
• Updates: automatische Sicherheitsupdates des Betriebssystems; wöchentliche automatisierte Schwachstellenprüfung der Software-Abhängigkeiten
• Datenminimierung: es werden nur die für die Diensterbringung erforderlichen Daten gespeichert
• Beschränkung des internen Zugriffs: Produktionsdaten sind nur für die betriebsverantwortliche Person zugänglich, über ein mit Zwei-Faktor-Authentifizierung geschütztes Administratorkonto

7. Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO)

Bei Feststellung einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, per E-Mail mit den zu diesem Zeitpunkt verfügbaren Informationen (weitere Informationen folgen, sobald sie vorliegen) — einschließlich der Art der Verletzung, der Kategorien und der ungefähren Zahl der betroffenen Personen, der wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Maßnahmen. Der Verantwortliche ist für die Meldung an seine zuständige Aufsichtsbehörde nach Art. 33 DSGVO verantwortlich; der Auftragsverarbeiter stellt alle erforderlichen Informationen bereit. Sicherheitsvorfälle und Schwachstellen können an security@grabtheslot.de gemeldet werden (siehe auch security.txt).

8. Rückgabe und Löschung

Bei Beendigung des Abonnements kann der Verantwortliche seine Daten exportieren; nach einer Übergangsfrist zur Reaktivierung löscht der Auftragsverarbeiter die personenbezogenen Daten aus den Live-Systemen; aus den Sicherungen verschwinden gelöschte Daten mit Ablauf von deren Aufbewahrungsfrist (7 Tage bei den lokalen Sicherungen, höchstens 89 Tage bei den unabhängigen, verschlüsselten Sicherungen), sofern keine Aufbewahrung nach EU- oder mitgliedstaatlichem Recht erforderlich ist (z. B. Rechnungsunterlagen).

9. Internationale Übermittlungen

Personenbezogene Daten werden innerhalb des EWR gespeichert: Datenbank und Anwendungsserver in Deutschland, in eigenem Betrieb (Hetzner, Nürnberg), auf verschlüsseltem (AES-256) Speicher. Übermittlungen außerhalb des EWR erfolgen nur mit den Garantien des Kapitels V der DSGVO:

• Cloudflare, Inc. — EU-US-Datenschutzrahmen (DPF); Sicherung und DNS; die Sicherung liegt in einem Speicher mit EU-Jurisdiktion.
• GitHub, Inc. — EU-US-Datenschutzrahmen (DPF); Release-Pipeline und Schemaänderungen.
• Resend Inc. — EU-US-Datenschutzrahmen (DPF); E-Mail-Zustellung.
• Twilio Inc. — EU-US-Datenschutzrahmen (DPF) + verbindliche interne Datenschutzvorschriften (BCR); SMS-/WhatsApp-Zustellung; Twilio wendet zudem seine genehmigten verbindlichen internen Datenschutzvorschriften (BCR) an.