Auftragsverarbeitungsvertrag

Stand: 5. August 2026

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwischen

Verantwortlicher:
dem Kunden
Auftragsverarbeiter:
Péter István e.v., Vértes u. 50/A, 2800 Tatabánya, Ungarn — USt-IdNr. HU92202647

Dieser Vertrag kommt mit der Registrierung eines Kontos für die Software CalmReserve zustande und gilt für die gesamte Dauer des Hauptvertrags.

§1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software CalmReserve als Software as a Service zur Verfügung. Im Rahmen dieser Leistung verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Eine gesonderte Kündigung ist nicht möglich.

§2 Art, Umfang und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an die vom Verantwortlichen beauftragten Dienste sowie Löschen.

(2) Zweck: Betrieb der Terminbuchung, Verwaltung von Kundinnen und Kunden, Versand von Termin- und Erinnerungsnachrichten, Auswertungen für den Betrieb des Verantwortlichen.

(3) Kategorien personenbezogener Daten:

(4) Kategorien betroffener Personen: Kundinnen und Kunden des Verantwortlichen sowie dessen Mitarbeitende.

(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Der Verantwortliche stellt sicher, dass er in Freitextfeldern, insbesondere in Terminnotizen, keine Gesundheitsdaten erfasst. Erfasst er dennoch solche Daten, geschieht dies auf seine alleinige Verantwortung.

§3 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software und ihrer Einstellungen durch den Verantwortlichen gilt als Weisung.

(2) Weisungen, die über die Funktionen der Software hinausgehen, sind in Textform an info@calmreserve.com zu richten.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Insbesondere werden die Daten des Verantwortlichen nicht zu Werbezwecken, nicht zum Training von Systemen der künstlichen Intelligenz und nicht zur Erstellung verkaufbarer Auswertungen verwendet.

§4 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

§5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der gesamten Vertragsdauer aufrecht. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der Beauftragung eines neuen oder dem Wechsel eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt der geplanten Änderung zu kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die den hier vereinbarten entsprechen.

§7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO. Die Software stellt hierfür Funktionen zur Auskunft, Berichtigung, Löschung und Datenübertragung bereit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen.

§8 Meldung von Verletzungen des Datenschutzes

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung enthält, soweit bekannt, eine Beschreibung des Vorfalls, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

§9 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die verarbeiteten Daten. Die Löschung erfolgt nach Ablauf einer Frist von 30 Tagen, die dem Verantwortlichen den Export seiner Daten und die Rücknahme einer versehentlichen Kündigung ermöglicht.

(2) Der Verantwortliche kann während dieser Frist über die Software einen Export seiner Daten in einem gängigen, maschinenlesbaren Format anfordern.

(3) Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, insbesondere Rechnungsbelege des Vertragsverhältnisses zwischen den Parteien. Diese werden nach ungarischem Recht acht Jahre aufbewahrt und für die Dauer der Aufbewahrung in der Verarbeitung eingeschränkt.

(4) Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben. Eine gezielte Löschung aus bestehenden Sicherungskopien erfolgt nicht; die Daten werden spätestens nach 30 Tagen durch den Rotationszyklus entfernt.

§10 Nachweise und Überprüfung

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.

(2) Der Verantwortliche ist berechtigt, die Einhaltung zu überprüfen. Die Überprüfung erfolgt vorrangig durch Einsichtnahme in die vom Auftragsverarbeiter bereitgestellte Dokumentation. Vor Ort finden Prüfungen nur nach Ankündigung mit einer Frist von 14 Tagen, während der üblichen Geschäftszeiten und höchstens einmal je Kalenderjahr statt, es sei denn, ein besonderer Anlass rechtfertigt eine häufigere Prüfung.

§11 Ort der Verarbeitung

Die Verarbeitung findet innerhalb der Europäischen Union statt. Eine Übermittlung in ein Drittland erfolgt nur in den in Anlage 2 gekennzeichneten Fällen und nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Kapitel V DSGVO.

§12 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO.

(2) Änderungen bedürfen der Textform.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle: Die Server werden in Rechenzentren der Hostinger International Ltd. innerhalb der Europäischen Union betrieben. Der physische Zutritt wird durch den Rechenzentrumsbetreiber kontrolliert; der Auftragsverarbeiter selbst unterhält keine eigenen Serverräume.

Zugangskontrolle: Der Zugang zur Anwendung erfolgt ausschließlich über persönliche Benutzerkonten mit E-Mail-Adresse und Passwort. Passwörter werden niemals im Klartext gespeichert, sondern ausschließlich als bcrypt-Hash. Die Anmeldung ist gegen automatisierte Angriffe durch Ratenbegrenzung geschützt; die Antwortzeit wird unabhängig davon angeglichen, ob ein Konto existiert, um Rückschlüsse auf vorhandene Konten zu verhindern. Der administrative Zugang zu Servern erfolgt ausschließlich über SSH mit Schlüsselauthentifizierung.

Zugriffskontrolle: Innerhalb eines Betriebs steuert ein Rollen- und Berechtigungssystem den Zugriff auf zwölf Funktionsbereiche mit den Stufen „kein Zugriff", „lesend" und „bearbeitend". Der Zugriff auf die Plattformverwaltung ist von den Konten der Betriebe vollständig getrennt und verwendet ein eigenes, separates Signaturgeheimnis.

Trennungskontrolle: Die Daten verschiedener Betriebe sind logisch vollständig getrennt. Jede Datenbankabfrage wird serverseitig zwingend auf den Mandanten des angemeldeten Nutzers eingeschränkt; die Zuordnung wird über einen anfragegebundenen Kontext geführt und kann nicht durch Eingaben des Nutzers beeinflusst werden. Ein Zugriff auf Daten eines anderen Betriebs ist damit technisch ausgeschlossen.

2. Integrität

Weitergabekontrolle: Sämtliche Verbindungen zwischen Endgerät und Anwendung sowie zwischen den internen Diensten sind mit TLS verschlüsselt. Zugangsdaten zu Diensten Dritter, die ein Betrieb hinterlegt, werden mit AES verschlüsselt gespeichert.

Eingabekontrolle: Administrative Eingriffe der Plattformverwaltung werden in einem Protokoll mit Zeitpunkt, handelnder Person und betroffenem Datensatz aufgezeichnet. Änderungen an Terminen und Kundendaten werden mit Zeitstempel versioniert.

3. Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle: Die Datenbank wird täglich sowie zusätzlich wöchentlich gesichert. Die Sicherungen werden vor der Übertragung mit AES-256 verschlüsselt und getrennt vom Produktivsystem aufbewahrt. Der Schlüssel wird getrennt von den Sicherungen verwahrt und ist dem Speicheranbieter nicht zugänglich. Ein dokumentiertes Wiederherstellungsverfahren liegt vor; die Wiederherstellbarkeit wird anhand einer Rücksicherung in eine gesonderte, nach der Prüfung gelöschte Umgebung überprüft.

Aktualisierungen der Anwendung erfolgen im Blue-Green-Verfahren, sodass der Betrieb während einer Aktualisierung unterbrechungsfrei weiterläuft und im Fehlerfall unmittelbar auf den vorherigen Stand zurückgeschaltet werden kann.

Belastbarkeit: Die Anwendung ist gegen missbräuchliche Massenanfragen durch Ratenbegrenzung geschützt. Technische Fehler werden protokolliert und nach 90 Tagen automatisch gelöscht.

4. Verfahren zur regelmäßigen Überprüfung

Auftragskontrolle: Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Die Auswahl erfolgt nach Sitz innerhalb der Europäischen Union, soweit für die Leistung verfügbar.

Datenschutz durch Voreinstellung: Neue Betriebe starten mit datenschutzfreundlichen Voreinstellungen: optionale Datenverarbeitungen wie Kalendersynchronisation, Newsletter oder Reichweitenmessung sind ausgeschaltet und müssen aktiv eingeschaltet werden. Für Gästedaten ist eine Aufbewahrungsdauer von 24 Monaten voreingestellt.

Trennung von Test und Produktion: Entwicklung, Test und Produktivbetrieb erfolgen in getrennten Umgebungen mit getrennten Datenbanken. Produktivdaten werden nicht in Testumgebungen verwendet.

Anlage 2 — Verzeichnis der Unterauftragsverarbeiter

Auftragsverarbeitungsvertrag — CalmReserve