Auftragsverarbeitungsvertrag

1. Vertragsparteien

Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO ist der Betrieb, der bei Appointly ein Konto eröffnet hat, also Ihr Salon, Barbershop oder vergleichbarer Dienstleistungsbetrieb („Sie“).

Auftragsverarbeiter im Sinne von Art. 4 Z 8 DSGVO ist Miroslav Fanic, Uhlandstraße 18, 9500 Villach, Österreich, Betreiber von Appointly („wir“). Kontakt in Datenschutzfragen: fanic.miroslav@gmail.com.

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit der Registrierung abgeschlossen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.

2. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch uns in Ihrem Auftrag, soweit sie bei der Bereitstellung von Appointly nach den AGB anfällt.

Der Vertrag gilt, solange Ihr Appointly-Konto besteht, und darüber hinaus, solange wir noch personenbezogene Daten in Ihrem Auftrag verarbeiten (siehe Punkt 11).

3. Art und Zweck der Verarbeitung

Wir verarbeiten die Daten ausschließlich, um Ihnen die gebuchten Funktionen von Appointly bereitzustellen, insbesondere:

• Entgegennahme, Speicherung und Verwaltung von Terminbuchungen über Ihre Buchungsseite,
• Darstellung von Terminen im Kalender und Verwaltung von Mitarbeitenden und Leistungen,
• Versand von Buchungsbestätigungen und weiteren E-Mails sowie – falls genutzt – SMS-Terminerinnerungen,
• falls aktiviert: Beantwortung von Anfragen Ihrer Endkund:innen per Chat und E-Mail durch den KI-Assistenten und Vorbereitung von Buchungen,
• technischer Betrieb, Sicherung, Fehlerbehebung und Schutz vor Missbrauch.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Abfragen, Verwenden, Übermitteln an die in Punkt 8 genannten Unterauftragsverarbeiter und Löschen.

4. Betroffene Personen und Datenkategorien

Betroffene Personen

• Ihre Endkund:innen und Interessent:innen, die über Ihre Buchungsseite buchen oder mit Ihrem KI-Assistenten schreiben,
• Ihre Mitarbeitenden, die Sie in Appointly anlegen oder die Zugang zu Ihrem Konto haben.

Datenkategorien

• Name, E-Mail-Adresse und Telefonnummer,
• Termindaten und Terminwünsche (gewählte Leistung, Datum, Uhrzeit, Mitarbeiter:in),
• Anmerkungen und Notizen zu Buchungen,
• Chat- und E-Mail-Verläufe mit dem KI-Assistenten einschließlich der darin gemachten Angaben,
• bei Mitarbeitenden zusätzlich Rolle, Arbeitszeiten und Zugangsdaten (Passwörter nur als Hash),
• technische Daten wie IP-Adressen und Zeitstempel in Server-Logs.

Appointly ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, ausgelegt. Bitte erfassen Sie solche Daten nicht in Notizen oder Freitextfeldern.

5. Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung, auch in Bezug auf Übermittlungen in Drittländer, sofern wir nicht gesetzlich zu einer Verarbeitung verpflichtet sind; in diesem Fall teilen wir Ihnen das vorab mit, soweit das Gesetz es erlaubt.

Als Weisungen gelten die AGB, dieser Vertrag und Ihre Einstellungen und Handlungen in Appointly (z. B. das Aktivieren des KI-Assistenten oder das Löschen eines Termins). Weitere Weisungen erteilen Sie per E-Mail. Halten wir eine Weisung für rechtswidrig, weisen wir Sie unverzüglich darauf hin und dürfen ihre Ausführung bis zur Klärung aussetzen.

Wir verwenden die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, und geben sie nicht an Dritte weiter, außer an die Unterauftragsverarbeiter nach Punkt 8.

6. Vertraulichkeit

Zugriff auf die Daten hat ausschließlich der Betreiber von Appointly. Setzen wir künftig weitere Personen ein, verpflichten wir sie vorab schriftlich zur Vertraulichkeit, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO, § 6 DSG). Die Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit.

Auf Daten in Ihrem Konto greifen wir nur zu, soweit es für Betrieb, Support oder Fehlerbehebung erforderlich ist oder Sie uns darum bitten.

7. Technische und organisatorische Maßnahmen

Wir treffen die nach Art. 32 DSGVO erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Derzeit sind das insbesondere:

Vertraulichkeit

• Verschlüsselte Übertragung: Alle Verbindungen zur Website und zwischen Anwendung und Datenbank laufen über TLS (HTTPS).
• Passwörter: Passwörter werden ausschließlich als gesalzener Hash gespeichert, nie im Klartext.
• Zugangskontrolle: Anmeldung nur mit bestätigter E-Mail-Adresse; Sitzungen über sichere, zeitlich begrenzte Session-Cookies; Schutz der Registrierung vor automatisierten Angriffen.
• Rollen und Mandantentrennung: Jeder Datensatz ist genau einem Betrieb zugeordnet. Zugriffe werden serverseitig auf das eigene Konto beschränkt; innerhalb eines Kontos gibt es getrennte Rollen für Inhaber:innen und Mitarbeitende.
• Administrativer Zugriff: Zugriff auf Datenbank und Hosting nur durch den Betreiber, über persönliche Konten bei den Dienstleistern; Zugangsschlüssel werden nicht im Quellcode gespeichert.

Integrität

• Eingaben werden serverseitig geprüft, bevor sie gespeichert werden.
• Eingehende Benachrichtigungen des Zahlungsdienstleisters werden über eine Signaturprüfung abgesichert.

Verfügbarkeit und Belastbarkeit

• Speicherung in einer Datenbank in einem Rechenzentrum in der EU (Frankfurt) mit Verschlüsselung ruhender Daten durch den Hoster.
• Regelmäßige automatische Datensicherungen durch den Datenbank-Hoster.
• Betrieb auf professioneller Cloud-Infrastruktur mit Schutz vor Überlastungsangriffen durch den Hoster.

Überprüfung

• Wir prüfen die Maßnahmen regelmäßig und passen sie an den Stand der Technik an. Änderungen dürfen das Schutzniveau nicht unterschreiten.
• Unterauftragsverarbeiter werden vor ihrem Einsatz auf geeignete Garantien geprüft.

8. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Zum Zeitpunkt dieses Stands setzen wir folgende Unterauftragsverarbeiter ein:

Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie dieser Vertrag uns. Für dessen Einhaltung haften wir Ihnen gegenüber nach Art. 28 Abs. 4 DSGVO.

Über die Hinzuziehung oder den Austausch von Unterauftragsverarbeitern informieren wir Sie mindestens vier Wochen im Voraus per E-Mail. Sie können innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können wir uns nicht einigen, können Sie den Vertrag zum Zeitpunkt der Änderung kündigen.

Abgrenzung: keine Unterauftragsverarbeiter

Stripe wickelt ausschließlich die Bezahlung Ihres eigenen Appointly-Abos ab und erhält dabei nur Ihre Rechnungs- und Zahlungsdaten, keine Daten Ihrer Endkund:innen. Dasselbe gilt für Google reCAPTCHA, das nur bei Ihrer Registrierung eingesetzt wird. Für diese Verarbeitungen sind wir selbst Verantwortlicher; sie sind in unserer Datenschutzerklärung beschrieben und nicht Gegenstand dieses Vertrags.

9. Übermittlung in Drittländer

Die Daten werden in der EU gespeichert. Einzelne Unterauftragsverarbeiter haben ihren Sitz in den USA oder können von dort aus auf Daten zugreifen (siehe Tabelle). Eine solche Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) für zertifizierte Anbieter oder der EU-Standardvertragsklauseln.

Daten an den KI-Dienst werden nur übermittelt, wenn Sie den KI-Assistenten aktiviert haben. Nach Angaben des Anbieters werden über die API übermittelte Daten nicht zum Training der Modelle verwendet.

10. Unterstützung des Verantwortlichen

Rechte der betroffenen Personen

Wir unterstützen Sie mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 12 bis 22 DSGVO). Viele Daten können Sie direkt in Appointly einsehen, ändern oder löschen. Wenden sich Betroffene direkt an uns, leiten wir die Anfrage unverzüglich an Sie weiter und beantworten sie nicht selbst, außer Sie weisen uns an.

Datenschutzverletzungen

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die Ihre Daten betrifft, informieren wir Sie unverzüglich per E-Mail. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Personen und Datenkategorien, wahrscheinliche Folgen und die ergriffenen Gegenmaßnahmen, damit Sie Ihre Pflichten nach Art. 33 und 34 DSGVO erfüllen können.

Weitere Unterstützung

Wir unterstützen Sie außerdem in angemessenem Umfang bei Datenschutz-Folgenabschätzungen und bei Anfragen der Datenschutzbehörde, soweit diese unsere Verarbeitung betreffen.

11. Löschung und Rückgabe nach Vertragsende

Sie können die Daten jederzeit selbst exportieren („Einstellungen → Deine Daten“, Format JSON) und Ihr Konto selbst löschen („Einstellungen → Konto löschen“). Bei der Selbstlöschung werden alle in Ihrem Auftrag verarbeiteten personenbezogenen Daten sofort aus der Datenbank entfernt. Endet der Vertrag auf andere Weise, löschen wir die Daten innerhalb von 30 Tagen, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht, und stellen sie Ihnen auf Anfrage vorher in einem gängigen, maschinenlesbaren Format zur Verfügung.

Kopien in Datensicherungen werden im Rahmen des regulären Sicherungszyklus des Hosters überschrieben und bis dahin nicht mehr verwendet. Auf Wunsch bestätigen wir Ihnen die Löschung per E-Mail.

12. Nachweise und Kontrollen

Wir stellen Ihnen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, etwa eine Beschreibung der aktuellen Maßnahmen und die Nachweise unserer Unterauftragsverarbeiter (z. B. Zertifizierungen und Prüfberichte).

Darüber hinaus können Sie oder ein von Ihnen beauftragter, zur Verschwiegenheit verpflichteter Prüfer Überprüfungen durchführen, wenn die Informationen nicht ausreichen. Überprüfungen sind mit angemessener Frist, in der Regel mindestens zwei Wochen, anzukündigen, zu üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Rechenzentren der Unterauftragsverarbeiter sind davon ausgenommen; hier gelten deren Nachweise.

13. Haftung

Für Schäden, die einer Person wegen eines Verstoßes gegen die DSGVO entstehen, haften Sie und wir nach Art. 82 DSGVO. Im Innenverhältnis trägt jede Partei den Teil des Schadens, für den sie verantwortlich ist. Im Übrigen gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nicht entgegensteht.

14. Schlussbestimmungen

Änderungen dieses Vertrags teilen wir Ihnen wie Änderungen der AGB mit; es gilt das dort beschriebene Widerspruchsrecht. Es gilt österreichisches Recht; Gerichtsstand ist das sachlich zuständige Gericht in Villach.

Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen von Art. 28 DSGVO entspricht.