Vertragsparteien

Verantwortlicher / Auftraggeber:
[Unternehmen / Studio]
[Name des Kunden]
[Anschrift], [PLZ] [Ort]
[E-Mail-Adresse]

Auftragsverarbeiter / Auftragnehmer:
Michael Nunes Ferreira
Niederbecksener Str. 13, 32547 Bad Oeynhausen
Deutschland
info@creativomedia.de

1. Gegenstand und Geltungsbereich

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers, soweit der Auftragnehmer im Zusammenhang mit StudioPlanner tatsächlich personenbezogene Daten verarbeitet, für die der Auftraggeber datenschutzrechtlich Verantwortlicher ist. Die Vereinbarung gilt insbesondere für Support-, Diagnose-, Migrations-, Wartungs- und sonstige technische Leistungen, bei denen der Auftragnehmer Zugriff auf personenbezogene Daten des Auftraggebers erhalten kann.

Die reguläre StudioPlanner-Software speichert die operativen Studio-, Kurs-, Buchungs- und Mitgliederdaten grundsätzlich in der WordPress-Umgebung des Auftraggebers. Die reine Lizenzprüfung übermittelt nicht automatisch den vollständigen operativen Datenbestand des Studios an den Auftragnehmer.

2. Dauer der Verarbeitung

Die Auftragsverarbeitung erfolgt für die Dauer des zugrunde liegenden StudioPlanner-Vertrags bzw. der jeweiligen Leistung, bei der eine Auftragsverarbeitung stattfindet. Gesetzlich erforderliche Aufbewahrungen sowie die notwendige Abwicklung von Lösch-, Rückgabe-, Nachweis- und Sicherheitsmaßnahmen bleiben hiervon unberührt.

3. Art und Zweck der Verarbeitung

Je nach genutzter Leistung können Daten insbesondere erhoben, gespeichert, ausgelesen, strukturiert, geprüft, übertragen, gesichert, wiederhergestellt, geändert oder gelöscht werden. Die Verarbeitung erfolgt ausschließlich zur Bereitstellung, Wartung, Absicherung und Fehlerbehebung von StudioPlanner sowie zur Erfüllung dokumentierter Support- oder Serviceaufträge.

4. Kategorien betroffener Personen und Daten

Betroffene Personen können insbesondere Kunden, Mitglieder, Interessenten, Mitarbeiter, Trainer, Dienstleister und Ansprechpartner des Auftraggebers sein.

Je nach konkreter Nutzung können insbesondere folgende Datenkategorien betroffen sein: Stamm- und Kontaktdaten, Kunden- und Mitgliedsdaten, Buchungs- und Teilnahmedaten, Vertrags- und Abrechnungsinformationen, Kommunikationsinhalte, Benutzer- und Berechtigungsdaten sowie technische Protokoll- und Diagnosedaten.

Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Gegenstand der Standardleistung. Werden solche Daten durch den Auftraggeber dennoch in StudioPlanner verarbeitet oder im Supportfall übermittelt, ist der Auftraggeber für die hierfür erforderliche Rechtsgrundlage verantwortlich und hat den Auftragnehmer vorab zu informieren, soweit zusätzliche Schutzmaßnahmen erforderlich sind.

5. Weisungen des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung zu einer Verarbeitung besteht. Die im Hauptvertrag, in dieser AVV, in den StudioPlanner-Einstellungen und in dokumentierten Supportanfragen festgelegten Verarbeitungsvorgänge gelten als Weisungen.

Ist der Auftragnehmer aufgrund des Rechts der Europäischen Union oder eines Mitgliedstaats zu einer darüber hinausgehenden Verarbeitung verpflichtet, informiert er den Auftraggeber vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich. Die Durchführung kann bis zur Klärung ausgesetzt werden, soweit dies rechtlich zulässig und erforderlich ist.

6. Pflichten des Auftragnehmers

• Verarbeitung ausschließlich im vereinbarten und angewiesenen Umfang.
• Wahrung der Vertraulichkeit und Verpflichtung zugriffsberechtigter Personen auf Vertraulichkeit.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO.
• Unterstützung des Auftraggebers bei Betroffenenrechten, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und sonstigen Pflichten nach Art. 32 bis 36 DSGVO, soweit dies unter Berücksichtigung der Art der Verarbeitung möglich ist.
• Bereitstellung der Informationen, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert über beabsichtigte wesentliche Änderungen der Unterauftragsverarbeiter grundsätzlich vor deren Einsatz, sodass der Auftraggeber aus wichtigen datenschutzrechtlichen Gründen widersprechen kann.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter, die im Rahmen der Auftragsverarbeitung personenbezogene Daten verarbeiten, zu Datenschutzpflichten, die dem Schutzniveau dieser Vereinbarung entsprechen. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

8. Drittlandübermittlungen

Eine Übermittlung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums erfolgt im Rahmen dieser Auftragsverarbeitung nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Soweit möglich werden für die eigentliche StudioPlanner-Auftragsverarbeitung Anbieter und Speicherorte innerhalb der EU bzw. des EWR eingesetzt.

9. Technische und organisatorische Maßnahmen

Die Parteien vereinbaren die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen. Der Auftragnehmer darf diese Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

10. Betroffenenrechte

Der Auftragnehmer beantwortet Anfragen betroffener Personen zu Daten, die er ausschließlich im Auftrag verarbeitet, nicht eigenständig, sondern leitet sie – soweit eine Zuordnung möglich ist – an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten.

11. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit die Verletzung Daten betrifft, die im Auftrag verarbeitet werden. Die Mitteilung enthält die verfügbaren Informationen, die der Auftraggeber zur Erfüllung seiner gesetzlichen Melde- und Informationspflichten benötigt.

12. Löschung und Rückgabe

Nach Ende der Auftragsverarbeitung löscht oder gibt der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Pflicht oder ein berechtigter Nachweiszweck eine weitere Speicherung verlangt. Sicherungskopien werden im Rahmen der regulären Backup-Rotation überschrieben bzw. gelöscht.

13. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die zur Überprüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung. Audits und Inspektionen sind unter angemessener Vorankündigung und unter Berücksichtigung der Betriebs- und Sicherheitsinteressen des Auftragnehmers zulässig. Soweit gleichwertige Nachweise, Dokumentationen oder Prüfberichte ausreichen, sollen diese vorrangig genutzt werden.

14. Verantwortlichkeit des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Erhebung und Verarbeitung der von ihm in StudioPlanner verarbeiteten personenbezogenen Daten, die Erfüllung der Informationspflichten gegenüber betroffenen Personen sowie die Erteilung rechtmäßiger Weisungen verantwortlich.

15. Schlussbestimmungen und elektronische Form

Diese AVV ergänzt den zugrunde liegenden StudioPlanner-Vertrag. Bei Widersprüchen in datenschutzrechtlichen Fragen geht diese Vereinbarung vor. Änderungen, die den verpflichtenden Inhalt nach Art. 28 DSGVO betreffen, werden versioniert bereitgestellt.

Die Vereinbarung wird elektronisch abgeschlossen. Die elektronische Form erfüllt die Schriftformanforderung des Art. 28 Abs. 9 DSGVO. Zum Nachweis speichert StudioPlanner die AVV-Version, den Dokument-Hash, den Abschlusszeitpunkt sowie nicht rückrechenbare technische Sicherheitsnachweise zum Abschlussvorgang.

Anlage 1 – Technische und organisatorische Maßnahmen (TOMs)

Zutritts- und Zugangskontrolle

• Zugriff auf Administrations- und Hostingbereiche nur für berechtigte Personen.
• Individuelle Benutzerkonten und rollenbasierte Berechtigungen.
• Mehrfaktor-Authentifizierung für besonders privilegierte StudioPlanner-Administrationszugänge, soweit technisch verfügbar.
• Starke Passwortrichtlinien und Schutz gegen automatisierte Loginversuche.

Zugriffskontrolle und Vertraulichkeit

• Need-to-know-Prinzip für administrative Zugriffe.
• Vertraulichkeitsverpflichtung für Personen mit möglichem Datenzugriff.
• Keine Speicherung vollständiger Zahlungskartendaten im StudioPlanner-Lizenzserver.

Übertragungs- und Transportkontrolle

• Verschlüsselte Übertragung über HTTPS/TLS.
• Signierte und zeitlich begrenzte Downloadlinks für private Software-Updates.
• Hash- bzw. Verschlüsselungsverfahren für sensible Lizenz-, Sicherheits- und Zugangsinformationen.

Protokollierung und Integrität

• Sicherheits-, Login-, Lizenz- und relevante Administrationsereignisse werden protokolliert.
• Manipulationsrisiken werden durch Berechtigungen, Eingabevalidierung, Nonces und serverseitige Prüfungen reduziert.
• Aufbewahrungsfristen für technische Logs sind begrenzt und konfigurierbar.

Verfügbarkeit und Wiederherstellbarkeit

• Regelmäßige Backups und definierte Backup-Rotation.
• Technische Wartung und Sicherheitsupdates der Systeme.
• Mechanismen zur Wiederherstellung bei technischen Störungen.

Trennungsgebot

• Logische Trennung von Kundenkonten und Lizenzen über eindeutige Benutzer-, Lizenz- und Installationskennungen.
• Trennung von Stripe-Test- und Live-Daten im Lizenzserver.

Kontrolle und Verbesserung

• Regelmäßige Überprüfung sicherheitsrelevanter Konfigurationen.
• System-Health-Prüfungen für zentrale Dienste und Schnittstellen.
• Anpassung der Schutzmaßnahmen an technische und organisatorische Entwicklungen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Zahlungsdienstleister wie Stripe verarbeiten Zahlungs- und Abrechnungsdaten für ihre eigenen Zahlungsdienste nach den jeweils einschlägigen datenschutzrechtlichen Rollen und sind nicht allein aufgrund dieser AVV als Unterauftragsverarbeiter für die operativen Studio-Daten einbezogen.