Auftragsverarbeitungsvertrag

Vertragsparteien

Verantwortlicher (im Folgenden „Studio")

Das bei slotdiva registrierte Unternehmen, wie bei der Registrierung angegeben.

Auftragsverarbeiterin (im Folgenden „Anbieterin")

Katja Fuchshofer
Grazer Straße 246
8523 Frauental an der Laßnitz
Österreich
GISA-Zahl: 40097213

1. Gegenstand und Dauer

1.1 Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten aus dem zwischen den Parteien bestehenden Vertrag über die Nutzung der Software slotdiva (Hauptvertrag).

1.2 Gegenstand ist die Verarbeitung personenbezogener Daten, die das Studio in slotdiva eingibt oder die dort im Rahmen der Nutzung entstehen.

1.3 Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Die Regelungen zur Löschung nach Punkt 10 gelten über das Vertragsende hinaus.

2. Art, Umfang und Zweck der Verarbeitung

2.1 Die Anbieterin verarbeitet die Daten ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen. Dazu gehören insbesondere:

• Speicherung und Verwaltung von Terminen und Kundinnendaten
• Versand von Terminerinnerungen per SMS
• Empfang und Zuordnung von Antworten der Kundinnen
• Verwaltung von Wartelisteneinträgen
• Bereitstellung von Auswertungen für das Studio
• Betrieb einer öffentlichen Buchungsseite, sofern das Studio die Online-Buchung einschaltet — einschließlich der Entgegennahme von Buchungen durch die Kundinnen selbst, der Selbstabsage durch die Kundin und der Benachrichtigung über eine Absage durch das Studio

2.2 Eine Verarbeitung zu eigenen Zwecken der Anbieterin findet nicht statt. Insbesondere werden die Daten nicht für Werbung, nicht für die Entwicklung eigener Produkte und nicht für Auswertungen über das einzelne Studio hinaus verwendet.

2.3 Die Verarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union. Soweit Unterauftragsverarbeiter Daten in einem Drittstaat verarbeiten oder von dort darauf zugreifen, gelten die Regelungen nach Punkt 7.

3. Art der Daten und Kategorien betroffener Personen

3.1 Kategorien betroffener Personen:

• Kundinnen und Kunden des Studios
• Mitarbeiterinnen und Mitarbeiter des Studios, soweit im System angelegt

3.2 Arten personenbezogener Daten:

3.4 Bei eingeschalteter Online-Buchung werden diese Daten nicht nur vom Studio eingegeben, sondern von der betroffenen Person selbst über die öffentliche Buchungsseite. An der Rollenverteilung ändert das nichts: Verantwortlicher bleibt das Studio, die Anbieterin bleibt Auftragsverarbeiterin.

3.3 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere Gesundheitsdaten, sind nicht Gegenstand dieses Vertrags. slotdiva ist für deren Verarbeitung weder ausgelegt noch vorgesehen. Das Studio verpflichtet sich, solche Daten nicht einzugeben, insbesondere nicht in Freitextfelder.

4. Weisungsrecht

4.1 Die Anbieterin verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Studios. Als Weisung gelten insbesondere die Vereinbarungen dieses Vertrags sowie die Nutzung der in slotdiva vorgesehenen Funktionen durch das Studio.

4.2 Einzelweisungen sind in Textform an die Anbieterin zu richten. Sie werden im Rahmen des technisch Möglichen umgesetzt. Verursacht eine Weisung über den vereinbarten Leistungsumfang hinausgehenden Aufwand, kann die Anbieterin diesen nach vorheriger Ankündigung gesondert verrechnen.

4.3 Hält die Anbieterin eine Weisung für datenschutzrechtlich unzulässig, informiert sie das Studio unverzüglich. Sie ist berechtigt, die Ausführung bis zur Klärung auszusetzen.

5. Vertraulichkeit

5.1 Die Anbieterin verarbeitet die Daten vertraulich.

5.2 Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Derzeit hat ausschließlich die Anbieterin selbst Zugang; sie ist als Unternehmerin unmittelbar an die datenschutzrechtlichen Bestimmungen gebunden. Werden künftig weitere Personen eingesetzt, werden diese zuvor schriftlich zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Maßnahmen

6.1 Die Anbieterin trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Die Anbieterin darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Studio mitgeteilt.

7. Unterauftragsverarbeiter

7.1 Das Studio erteilt seine allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter:

Der Zahlungsdienstleister der Anbieterin ist nicht Unterauftragsverarbeiter im Sinne dieses Vertrags. Er verarbeitet ausschließlich die Vertrags- und Zahlungsdaten des Studios, für die die Anbieterin selbst Verantwortliche ist, und erhält keine Daten der Kundinnen des Studios. Näheres regelt die Datenschutzerklärung.

7.2 Die Anbieterin schließt mit jedem Unterauftragsverarbeiter die datenschutzrechtlich erforderlichen Vereinbarungen ab und legt ihm Pflichten auf, die den Pflichten aus diesem Vertrag entsprechen.

7.3 Eine Änderung oder Ergänzung der Unterauftragsverarbeiter teilt die Anbieterin dem Studio mindestens vier Wochen vorher in Textform mit. Das Studio kann aus wichtigem, datenschutzrechtlich begründetem Anlass innerhalb von zwei Wochen widersprechen. Im Fall eines berechtigten Widerspruchs, der eine Fortführung der Leistung unmöglich macht, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

7.4 Verarbeitung außerhalb der EU. Vercel Inc. hat seinen Sitz in den Vereinigten Staaten. Der primäre Verarbeitungsort der Anwendungsdaten ist Frankfurt am Main. Eine Übermittlung in oder ein Zugriff aus Drittstaaten, insbesondere im Rahmen von Wartung, Support und Betrieb, ist nicht ausgeschlossen. Für solche Übermittlungen werden die nach Kapitel V DSGVO erforderlichen Garantien eingesetzt, insbesondere Standardvertragsklauseln der Europäischen Kommission.

Auch bei Supabase bedeutet die Wahl der Region Frankfurt, dass die primären Projektdaten dort gespeichert werden. Sie schließt nicht aus, dass einzelne Verarbeitungsvorgänge an anderer Stelle erfolgen.

8. Unterstützung des Studios

8.1 Betroffenenrechte. Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit an die Anbieterin, verweist diese die Person an das Studio und informiert das Studio unverzüglich.

8.2 Die Anbieterin unterstützt das Studio bei der Erfüllung dieser Anträge, soweit dies mit den in slotdiva vorhandenen Funktionen möglich ist. Das Studio kann Kundinnendaten selbst einsehen, ändern, exportieren und löschen.

8.3 Die Anbieterin unterstützt das Studio bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten.

9. Verletzungen des Schutzes personenbezogener Daten

9.1 Die Anbieterin informiert das Studio unverzüglich nach Kenntniserlangung über jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft.

9.2 Die Mitteilung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien, ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

9.3 Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen obliegt dem Studio als Verantwortlichem. Die Anbieterin unterstützt dabei.

10. Löschung und Rückgabe

10.1 Nach Beendigung des Hauptvertrags entscheidet das Studio, ob die Daten gelöscht oder zurückgegeben werden. Zur Rückgabe steht die in slotdiva vorhandene Exportfunktion zur Verfügung, mit der das Studio sämtliche Daten selbst und jederzeit vollständig herunterladen kann.

10.2 Die Daten bleiben nach Vertragsende 30 Tage verfügbar. Innerhalb dieser Frist kann das Studio seine Daten exportieren oder eine frühere Löschung verlangen; einem solchen Verlangen kommt die Anbieterin unverzüglich nach. Spätestens nach Ablauf der 30 Tage werden sämtliche Daten des Studios unwiderruflich gelöscht.

10.3 Unabhängig vom Vertragsende gelten während der Vertragslaufzeit folgende Löschfristen:

10.4 Ausgenommen von der Löschung sind Daten, die die Anbieterin aufgrund gesetzlicher Aufbewahrungspflichten weiter aufbewahren muss, insbesondere Rechnungen nach § 132 BAO. Diese betreffen ausschließlich die Vertragsdaten des Studios, nicht die Daten von dessen Kundinnen.

11. Nachweise und Kontrollen

11.1 Die Anbieterin stellt dem Studio auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung.

11.2 Das Studio ist berechtigt, die Einhaltung zu überprüfen. Kontrollen werden mit angemessener Vorlaufzeit von mindestens zwei Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchgeführt.

11.3 Die Anbieterin kann den Nachweis auch durch geeignete Dokumentation erbringen, etwa durch die technische Bestandsaufnahme nach Anlage 1.

11.4 Verursacht eine Kontrolle über den üblichen Rahmen hinausgehenden Aufwand, kann die Anbieterin diesen nach vorheriger Ankündigung verrechnen.

12. Pflichten des Studios

12.1 Das Studio ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage für die Verarbeitung der Daten seiner Kundinnen und für den Versand von Terminerinnerungen.

12.2 Das Studio informiert seine Kundinnen entsprechend Art. 13 und 14 DSGVO über die Verarbeitung.

12.3 Das Studio hält seine Zugangsdaten geheim und meldet der Anbieterin unverzüglich, wenn der Verdacht auf unbefugten Zugriff besteht.

12.4 Das Studio gibt keine Daten besonderer Kategorien nach Art. 9 DSGVO in slotdiva ein, siehe Punkt 3.3.

12.5 Schaltet das Studio eine Mitarbeiterin online buchbar, wird deren im System hinterlegter Name auf der öffentlichen Buchungsseite für jede Person sichtbar, die den Link kennt. Das Studio informiert die betroffene Mitarbeiterin vorab darüber und stellt sicher, dass dafür eine Rechtsgrundlage besteht. Der Schalter ist bei jeder Mitarbeiterin standardmäßig ausgeschaltet und wird von der Anbieterin niemals automatisch gesetzt.

12.6 Schaltet das Studio die Online-Buchung ein, informiert es die Kundinnen entsprechend Punkt 12.2 auch über diesen Erhebungsweg. Die Anbieterin stellt dafür die technischen Voraussetzungen bereit; die Erfüllung der Informationspflicht obliegt dem Studio.

13. Haftung

13.1 Für die Haftung gelten die Bestimmungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.

13.2 Art. 82 DSGVO bleibt unberührt.

14. Schlussbestimmungen

14.1 Änderungen und Ergänzungen bedürfen der Textform.

14.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

14.3 Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

14.4 Es gilt österreichisches Recht. Gerichtsstand ist Deutschlandsberg, soweit das Studio Unternehmer ist.

Stand: 25. September 2026

Anlage 1 — Technische und organisatorische Maßnahmen

nach Art. 32 DSGVO

Vertraulichkeit

Zutrittskontrolle. Die primäre Speicherung und Verarbeitung der Daten erfolgt in den Rechenzentren der beauftragten Unterauftragsverarbeiter, die über eigene Zutrittssicherungen verfügen. Etwaige weitere Verarbeitungsvorgänge richten sich nach Punkt 7 dieses Vertrags. Es werden keine personenbezogenen Daten dauerhaft auf lokalen Geräten der Anbieterin gespeichert.

Zugangskontrolle. Der Zugang zur Anwendung erfolgt ausschließlich über eine Anmeldung mit E-Mail-Adresse und Passwort. Passwörter werden nicht im Klartext gespeichert, sondern ausschließlich als Hashwert nach einem anerkannten Verfahren. Nach mehreren Fehlversuchen wird das betroffene Konto vorübergehend gesperrt. Zusätzlich besteht eine Begrenzung der Anmeldeversuche je IP-Adresse.

Zugriffskontrolle. Die Daten verschiedener Studios sind auf Ebene der Datenbank technisch voneinander getrennt (Row Level Security). Die Anwendung verbindet sich mit einer eingeschränkten Datenbankrolle, die diese Trennung nicht umgehen kann. Ein Studio kann technisch nicht auf Daten eines anderen Studios zugreifen.

Trennungskontrolle. Jeder Datensatz ist einem Studio zugeordnet. Die Zuordnung wird bei jedem Zugriff auf Datenbankebene geprüft, unabhängig vom Anwendungscode.

Integrität

Weitergabekontrolle. Die Datenübertragung erfolgt ausschließlich verschlüsselt über HTTPS. Unverschlüsselte Aufrufe werden automatisch umgeleitet. An den SMS-Dienstleister werden ausschließlich die für den Versand erforderlichen Daten übermittelt: Vorname, Telefonnummer, Studioname sowie Datum und Uhrzeit des Termins. Preise, Leistungen und Notizen werden nicht übermittelt.

Eingabekontrolle. Änderungen an Terminen werden mit Zeitstempel erfasst. Versendete und empfangene Nachrichten werden protokolliert. Sicherheitsrelevante Vorgänge werden aufgezeichnet.

Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle. Die Daten werden durch den Datenbankanbieter gesichert. Das Studio kann seine Daten jederzeit selbst exportieren.

Rasche Wiederherstellbarkeit. Die Wiederherstellung richtet sich nach den Möglichkeiten des Datenbankanbieters.

Verfahren zur Überprüfung

Datenschutz durch Technikgestaltung. Es werden nur die für den Zweck erforderlichen Daten erhoben. Im Rahmen der Auftragsverarbeitung (Kalender, Kundinnenverwaltung, Buchungs- und Absageseiten) findet keine Webanalyse, kein Tracking und keine Einbindung externer Schriften statt. Es werden dort ausschließlich technisch notwendige Cookies gesetzt.

Automatisierte Löschung. Die Löschfristen nach Punkt 10.3 werden automatisiert durchgesetzt.

Auftragskontrolle. Mit den Unterauftragsverarbeitern bestehen die datenschutzrechtlich erforderlichen Vereinbarungen.

Überprüfung. Die technischen Maßnahmen werden dokumentiert und bei wesentlichen Änderungen der Anwendung überprüft.