Auftragsverarbeitungsvertrag
nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)
Stand: 29.10.2026
Verantwortlicher ist der Betrieb, der kundenbuch nutzt („Auftraggeber"). Auftragsverarbeiter ist Peter Oswald, Lemberg 39, 8274 Buch-St. Magdalena, Österreich („Auftragnehmer"). Dieser Vertrag wird mit dem Vertrag über die Nutzung von kundenbuch (AGB) in elektronischer Form abgeschlossen (Art. 28 Abs. 9 DSGVO) und gilt, solange der Auftragnehmer Daten für den Auftraggeber verarbeitet.
1. Gegenstand und Dauer
Gegenstand ist der Betrieb der Anwendung kundenbuch für den Auftraggeber: Speicherung und Verwaltung seiner Kundendaten und Termine, Versand von SMS-Terminerinnerungen, Benachrichtigung seines Personals und — sofern gebucht — die Entgegennahme von Terminanfragen über eine öffentliche Anfrageseite. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art und Zweck der Verarbeitung
Erheben (durch Eingabe des Auftraggebers, Kalenderimport oder Anfrageseite), Speichern, Ordnen, Anzeigen, Ändern, Exportieren und Löschen; Übermittlung von Telefonnummer und Nachrichtentext an den SMS-Anbieter zum Zweck der Terminerinnerung. Zweck ist ausschließlich die Terminverwaltung des Auftraggebers. Eine Nutzung für eigene Zwecke des Auftragnehmers, insbesondere für Werbung, findet nicht statt.
3. Art der personenbezogenen Daten
- Stammdaten der Kundinnen und Kunden: Vor- und Nachname, Telefonnummer, freie Notiz;
- Termindaten: Zeitpunkt, Dauer, Leistung, Mitarbeiterin, Status, gegebenenfalls ein notierter Betrag;
- Einwilligungen zur Terminerinnerung mit Zeitpunkt, Wortlaut, Quelle und Widerruf;
- verschickte Nachrichten mit Text, Zeitpunkt und Zustellstatus;
- Terminanfragen (Name, Handynummer, Wunschzeit, Anmerkung, Hashwert der IP-Adresse);
- Konten des Personals des Auftraggebers und das Zugriffsprotokoll.
Notizen oder Leistungsbezeichnungen können bei gesundheitsnahen Betrieben Gesundheitsdaten (Art. 9 DSGVO) enthalten. Ob und welche solche Daten eingetragen werden, entscheidet der Auftraggeber.
4. Kategorien betroffener Personen
Kundinnen und Kunden sowie Interessentinnen und Interessenten des Auftraggebers; Beschäftigte des Auftraggebers, die die Anwendung nutzen.
5. Weisungen
5.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers — auch in Bezug auf Übermittlungen in ein Drittland —, sofern er nicht durch Unionsrecht oder österreichisches Recht zu einer Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber diese Verpflichtung vorher mit, soweit das Recht das nicht verbietet.
5.2 Weisungen sind dieser Vertrag, die Einstellungen und Eingaben des Auftraggebers in der Anwendung sowie Weisungen in Textform. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, teilt er das dem Auftraggeber unverzüglich mit.
6. Vertraulichkeit
Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Derzeit ist das ausschließlich der Auftragnehmer selbst.
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Die folgenden Maßnahmen sind umgesetzt. Der Auftragnehmer darf sie durch gleichwertige oder bessere ersetzen.
| Bereich | Maßnahme |
|---|---|
| Standort | Server bei netcup GmbH im Rechenzentrum Wien (Österreich); physische Sicherheit durch den Rechenzentrumsbetreiber. |
| Zugang zum Server | Anmeldung nur mit kryptografischem Schlüssel, Kennwort-Anmeldung abgeschaltet; Firewall und automatische Sperre bei Angriffsversuchen aktiv; Sicherheitsupdates des Betriebssystems werden automatisch eingespielt. |
| Zugang zur Anwendung | Kennwörter nur als Hash (argon2id); Bremse gegen das Durchprobieren von Kennwörtern mit Kontosperre und Begrenzung je IP-Adresse; Sitzungs-Cookie nur über HTTPS, für Skripte unlesbar (HttpOnly) und nur für eigene Anfragen (SameSite); Schutz gegen untergeschobene Formulare (CSRF-Token). |
| Zugriff und Trennung | Jeder Datensatz gehört genau einem Betrieb, jede Abfrage ist an den Betrieb des angemeldeten Kontos gebunden (Mandantentrennung); Rollen und Rechte je Person, z. B. sehen Mitarbeiterinnen Summen nur mit Freigabe der Inhaberin; Zugangsdaten der Anwendung liegen außerhalb des öffentlichen Verzeichnisses und sind nur für den Systemverwalter lesbar. |
| Weitergabe | Alle Verbindungen verschlüsselt (TLS, HSTS, Umleitung von HTTP auf HTTPS); Übergabe an den SMS-Anbieter über HTTPS; Benachrichtigungen Ende-zu-Ende verschlüsselt (RFC 8291). |
| Eingabekontrolle | Zugriffsprotokoll: Ansicht, Änderung, Löschung und Export von Kundendatensätzen werden mit Konto und Zeitpunkt protokolliert, Änderungen von Beträgen mit dem vorherigen Wert. Das Zugriffsprotokoll wird nach 90 Tagen, das Protokoll der Anmeldeversuche nach 30 Tagen automatisch gelöscht. |
| Verfügbarkeit | Tägliche Sicherung der Datenbank, sieben Tage am Server aufbewahrt und zusätzlich täglich auf ein zweites System des Auftragnehmers übertragen. |
| Datensparsamkeit | Vorlagen ohne Behandlungsangabe für gesundheitsnahe Betriebe; Prüfcodes und IP-Adressen der Anfrageseite nur als Hashwert; unbestätigte und verfallene Terminanfragen werden automatisch geleert bzw. gelöscht; keine Cookies und keine Dritt-Dienste auf der Anfrageseite. |
| Betroffenenrechte | Auskunft je Kundin, Berichtigung, Löschen, Widerruf der Einwilligung und vollständiger Datenexport sind in der Anwendung eingebaut. |
8. Unterauftragsverarbeiter
8.1 Der Auftraggeber genehmigt allgemein den Einsatz der folgenden Unterauftragsverarbeiter:
| Unternehmen | Leistung | Standort |
|---|---|---|
| netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland | Hosting (Server, Datenbank, Sicherung am Server) | Österreich (Wien) |
| TOPefekt s.r.o. (BulkGate), B. Němcové 767/13, 787 01 Šumperk, Tschechien | Zustellung von SMS | Sitz in Tschechien (EU) |
8.2 Benachrichtigungen an das Personal werden über den Push-Dienst des jeweiligen Browserherstellers zugestellt, den das Personal mit seinem Gerät selbst gewählt hat. Der Inhalt ist für diesen Dienst nicht lesbar.
8.3 Der Auftragnehmer informiert den Auftraggeber vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann binnen 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Einigung nicht möglich, kann er den Nutzungsvertrag zu diesem Zeitpunkt kündigen.
8.4 Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO).
9. Unterstützung des Auftraggebers
9.1 Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen (Kapitel III DSGVO), vor allem durch die in Abschnitt 7 genannten Funktionen. Erreicht ein solcher Antrag den Auftragnehmer, leitet er ihn unverzüglich weiter.
9.2 Er unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit ihm die Informationen dafür vorliegen.
9.3 Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO), mit den ihm vorliegenden Angaben.
10. Löschung und Rückgabe
Bis zum Vertragsende kann der Auftraggeber alle Daten selbst exportieren. Nach Vertragsende löscht der Auftragnehmer die Daten des Auftraggebers binnen 30 Tagen, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Sicherungen werden im regulären Sicherungsablauf überschrieben. Die Löschung bestätigt der Auftragnehmer auf Verlangen in Textform.
11. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung.
12. Ort der Verarbeitung
Die Anwendung und ihre Datenbank liegen in Österreich; die Unterauftragsverarbeiter nach Abschnitt 8.1 haben ihren Sitz in der Europäischen Union. Eine Übermittlung in Drittländer erfolgt nur nach Weisung des Auftraggebers und unter den Voraussetzungen der Art. 44 ff. DSGVO.
13. Schlussbestimmungen
Im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt österreichisches Recht.