gemäß Art. 28 DSGVO · Stand: Oktober 2026 · Version 1.0
(1) Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien aus dem zwischen ihnen bestehenden Nutzungsvertrag über die SaaS-Plattform terminfrei.app.
(2) Vertragsparteien sind:
(3) Dieser AVV gilt für alle Tätigkeiten, bei denen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Er wird mit der Registrierung auf terminfrei.app und Akzeptanz der AGB wirksam.
(1) Gegenstand der Verarbeitung: Bereitstellung der SaaS-Plattform terminfrei.app zur Verwaltung von Terminslots und Abonnenten-Benachrichtigungen.
(2) Dauer: Der AVV gilt für die Dauer des Nutzungsvertrags (AGB) und endet mit dessen Beendigung zuzüglich der in § 10 geregelten Löschfristen.
(3) Art der Verarbeitung:
(4) Zweck der Verarbeitung: Ausschließlich zur Erfüllung des Nutzungsvertrags. Eine darüber hinausgehende Verarbeitung findet nicht statt.
(1) Betroffene Personen:
(2) Kategorien personenbezogener Daten:
| Datenkategorie | Details | Pflicht/Optional |
|---|---|---|
| Name | Vor- und Nachname | Pflichtfeld |
| E-Mail-Adresse | Anmeldung mit Bestätigungscode, Zuordnung von Buchungen, Wiederherstellung auf einem neuen Gerät | Pflichtfeld |
| Push-Token | Gerätebezogener Bezeichner der terminfrei-App für die Zustellung von Push-Benachrichtigungen; verschlüsselt gespeichert | Automatisch (bei erteilter Erlaubnis) |
| Anmeldedaten zur Terminseite | Gewählte oder zugewiesene Terminarten, Status der Anmeldung (aktiv, Freigabe ausstehend, pausiert, gesperrt) | Je nach Einstellung |
| Buchungsdaten | Gebuchte Termine, Zeitpunkt, Status | Bei Buchung |
| Anmeldezeitpunkt | Datum/Uhrzeit der Registrierung | Automatisch |
| Nutzungsdaten | Zeitpunkt der letzten Aktivität, geöffnete Benachrichtigungen, Anzahl der Besuche | Automatisch |
(3) Keine besonderen Kategorien: Es werden keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet (insbesondere keine Gesundheitsdaten, Diagnosen oder medizinische Informationen).
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen ergeben sich aus diesem AVV, dem Nutzungsvertrag sowie den Einstellungen im Portal. Weitergehende Einzelweisungen können per E-Mail an datenschutz@terminfrei.app erteilt werden.
(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
(3) Der Auftragnehmer gewährleistet, dass die mit der Verarbeitung beauftragten Personen:
(4) Der Auftragnehmer ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1: TOMs).
(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäß Art. 32–36 DSGVO, insbesondere bei:
(1) Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine schriftliche Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO.
(2) Die zum Zeitpunkt des Abschlusses dieses AVV eingesetzten Unterauftragsverarbeiter, ihre Tätigkeit und – bei Sitz außerhalb der EU – die Garantie für die Übermittlung sind in der Liste der Unterauftragsverarbeiter unter terminfrei.app/unterauftragsverarbeiter.html aufgeführt. Die Liste ist Anlage dieses AVV. Zusammengefasst:
(3) Der Auftragnehmer wird den Auftraggeber über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern per E-Mail informieren und ihm die Möglichkeit geben, innerhalb von 14 Tagen Einspruch zu erheben.
(4) Der Auftragnehmer stellt vertraglich sicher, dass die Unterauftragsverarbeiter dieselben Datenschutzpflichten einhalten wie in diesem AVV vereinbart (Art. 28 Abs. 4 DSGVO).
(1) Der Auftragnehmer wird den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO informieren.
(2) Die Meldung enthält mindestens:
(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und den betroffenen Personen (Art. 34 DSGVO).
(1) Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Vereinbarungen dieses AVV zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Dies umfasst:
(2) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen.
(3) Inspektionen vor Ort erfolgen nach vorheriger Abstimmung während der üblichen Geschäftszeiten. Der Auftraggeber trägt die Kosten der Inspektion, soweit keine Verstöße festgestellt werden.
(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen können erteilt werden:
(2) Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(3) Ist der Auftragnehmer nach dem Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dem Auftraggeber diese rechtliche Anforderung vor der Verarbeitung mit, sofern dieses Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Abonnenten) gemäß Art. 15–22 DSGVO, insbesondere bei:
(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, wird dieser die Anfrage unverzüglich an den Auftraggeber weiterleiten und keine eigenständige Beantwortung vornehmen, sofern nicht anders vereinbart.
(3) Der Auftragnehmer stellt dem Auftraggeber über die Plattform Funktionen zur Verfügung, mit denen Abonnenten-Daten eingesehen, exportiert, berichtigt und gelöscht werden können.
(1) Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).
(2) Vor der Löschung hat der Auftraggeber die Möglichkeit, seine Daten über die Exportfunktion der Plattform zu sichern (30 Tage nach Vertragsende).
(3) Die Löschung erfolgt durch unwiderrufliches Überschreiben oder sicheres Entfernen der Daten aus allen Systemen des Auftragnehmers, einschließlich Backups (innerhalb von 90 Tagen nach Vertragsende).
(4) Der Auftragnehmer bestätigt die vollständige Löschung auf Anfrage des Auftraggebers in Textform.
(1) Die Haftung der Vertragsparteien richtet sich nach Art. 82 DSGVO. Jede Partei haftet für Schäden, die durch eine nicht DSGVO-konforme Verarbeitung verursacht wurden.
(2) Der Auftragnehmer haftet für Schäden nur insoweit, als er seinen speziell auferlegten Pflichten nicht nachgekommen ist oder Weisungen des Auftraggebers nicht befolgt hat (Art. 82 Abs. 2 DSGVO).
(1) Der Auftragnehmer kann diesen AVV anpassen, soweit Rechtsänderungen, behördliche Vorgaben oder Änderungen der Leistung dies erfordern; die Regelung zu Unterauftragsverarbeitern bleibt unberührt. Änderungen werden dem Auftraggeber mindestens 6 Wochen vor Inkrafttreten in Textform mitgeteilt. Widerspricht der Auftraggeber nicht innerhalb von 4 Wochen nach Zugang der Mitteilung, gilt die Änderung als angenommen; der Auftragnehmer weist in der Mitteilung auf diese Rechtsfolge hin. Bei Widerspruch kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt des Inkrafttretens kündigen. Im Übrigen bedürfen Änderungen und Ergänzungen dieses AVV der Textform (§ 126b BGB); eine E-Mail genügt.
(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Offenbach am Main.
(4) Dieser AVV tritt mit Registrierung auf terminfrei.app und Akzeptanz der AGB in Kraft. Er ersetzt alle vorherigen Vereinbarungen zur Auftragsverarbeitung zwischen den Parteien.
gemäß Art. 32 DSGVO · Stand: April 2026
Der Auftragnehmer hat folgende technische und organisatorische Maßnahmen implementiert:
Zutrittskontrolle (Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen):
Zugangskontrolle (Schutz vor unbefugter Systembenutzung):
Zugriffskontrolle (Schutz vor unbefugtem Lesen, Kopieren, Verändern oder Entfernen):
Trennungskontrolle (getrennte Verarbeitung für verschiedene Zwecke):
Weitergabekontrolle (Schutz bei Datenübertragung):
Eingabekontrolle (Nachvollziehbarkeit von Änderungen):
Verfügbarkeitskontrolle:
Wiederherstellbarkeit:
Diese TOMs werden regelmäßig überprüft und dem Stand der Technik angepasst. Änderungen werden dokumentiert und sind auf Anfrage einsehbar.