Auftragsverarbeitungsvertrag

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der Nutzung des Dienstes zwusch.xyz ergeben. Er findet Anwendung auf alle Tätigkeiten, bei denen der Auftragnehmer (MDV Digital Systems, Inhaber: Metin David Völker, Kolonnenstraße 8, 10827 Berlin) personenbezogene Daten im Auftrag des Auftraggebers (Kunde/Nutzer des Dienstes) verarbeitet.

1. Gegenstand und Art der Verarbeitung

Der Auftragnehmer betreibt die SaaS-Plattform „zwusch.xyz" zur Online-Terminbuchung. Im Rahmen dieser Dienstleistung werden personenbezogene Daten der Endkunden des Auftraggebers verarbeitet. Dies umfasst insbesondere:

• Betrieb der Buchungsplattform und zugehöriger Datenbanken (isoliert pro Mandant).
• Entgegennahme, Speicherung und Verwaltung von Terminbuchungen der Endkunden.
• Versand von E-Mail-Benachrichtigungen und SMS-Verifizierungen im Auftrag des Auftraggebers.
• Technisches Monitoring, Sicherheits- und Wartungsleistungen.

2. Technische und Organisatorische Maßnahmen (TOM)

Der Auftragnehmer sichert zu, dass er die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten getroffen hat:

• Vertraulichkeit/Zugangskontrolle: Strikte logische Datentrennung durch isolierte Mandanten-Datenbanken. Fernzugriff auf die Administrationsebene ist ausschließlich eigens autorisierten Personen via SSH unter Verwendung des Public-Key-Verfahrens gestattet; ein passwortbasierter Login ist systemseitig vollständig deaktiviert.
• Integrität: Einsatz von SSL/TLS-Verschlüsselung (HTTPS) für sämtliche Datentransfers zwischen Nutzer und Server. Passwörter werden ausschließlich als gesalzene Hashes gespeichert.
• Verfügbarkeit/Belastbarkeit: Schutz gegen Brute-Force-Angriffe durch Fail2Ban. Regelmäßige automatisierte Datensicherungen (Backups) zur Gewährleistung der Wiederherstellbarkeit.
• Mandantentrennung: Jeder Mandant verfügt über eine eigene, isolierte Datenbankinstanz. Ein Zugriff auf Daten anderer Mandanten ist technisch ausgeschlossen.

3. Unterauftragsverhältnisse

Der Auftraggeber genehmigt die Hinzuziehung folgender Sub-Dienstleister:

• IONOS SE (Elgendorfer Str. 57, 56410 Montabaur) — Hosting, E-Mail-Infrastruktur. AVV vorhanden.
• SMS-Anbieter — Versand von 2FA-Verifizierungscodes. DPA vorhanden.

Der Auftragnehmer informiert den Auftraggeber über die Änderung oder den Hinzutritt weiterer Unterauftragsverarbeiter. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.

4. Art der Daten und Kreis der Betroffenen

Der Auftragnehmer verarbeitet im Rahmen des Betriebs folgende Daten:

• Betroffene Personen: Endkunden des Auftraggebers, die über die Buchungsseite einen Termin buchen.
• Datenkategorien: Stammdaten (Name), Kommunikationsdaten (E-Mail, Telefon), Termindaten (Datum, Uhrzeit, gewählter Service, Nachricht) sowie technische Log-Daten.

5. Unterstützung, Audit & Weisung

• Betroffenenrechte: Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten (z.B. Auskunft, Löschung).
• Kontrollrechte: Der Auftraggeber hat das Recht, die Einhaltung der Maßnahmen durch Audits zu überprüfen. Der Auftragnehmer stellt hierfür die erforderlichen Informationen zur Verfügung.
• Weisungskontrolle: Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Anweisung gegen datenschutzrechtliche Bestimmungen verstößt.

6. Löschung und Rückgabe von Daten

Nach Beendigung des Vertragsverhältnisses (z.B. Kündigung des Zwusch-Booking-Kontos) löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Auftraggeber hat die Möglichkeit, seine Daten vorab über das Dashboard zu exportieren.

7. Schlussbestimmungen

• Dieser Vertrag tritt mit der Registrierung und Bestätigung der AGB/AVV-Checkbox bei zwusch.xyz in Kraft.
• Die Vertragsparteien verzichten auf eine händische Unterzeichnung. Die digitale Zustimmung (inkl. IP-Adresse und Zeitstempel) gilt als rechtssicherer Nachweis des Vertragsschlusses.
• Gerichtsstand ist Berlin.