gemäß Art. 28 DSGVO · Stand: April 2026 · Version 1.0
(1) Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien aus dem zwischen ihnen bestehenden Nutzungsvertrag über die SaaS-Plattform terminfrei.app.
(2) Vertragsparteien sind:
(3) Dieser AVV gilt für alle Tätigkeiten, bei denen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Er wird mit der Registrierung auf terminfrei.app und Akzeptanz der AGB wirksam.
(1) Gegenstand der Verarbeitung: Bereitstellung der SaaS-Plattform terminfrei.app zur Verwaltung von Terminslots und Abonnenten-Benachrichtigungen.
(2) Dauer: Der AVV gilt für die Dauer des Nutzungsvertrags (AGB) und endet mit dessen Beendigung zuzüglich der in § 10 geregelten Löschfristen.
(3) Art der Verarbeitung:
(4) Zweck der Verarbeitung: Ausschließlich zur Erfüllung des Nutzungsvertrags. Eine darüber hinausgehende Verarbeitung findet nicht statt.
(1) Betroffene Personen:
(2) Kategorien personenbezogener Daten:
| Datenkategorie | Details | Pflicht/Optional |
|---|---|---|
| Name | Vor- und Nachname | Pflichtfeld |
| Telefonnummer | Mobilnummer für Push/SMS | Pflichtfeld |
| E-Mail-Adresse | Für E-Mail-Benachrichtigungen | Optional |
| Push-Subscription | Technischer Endpoint für Web-Push | Optional (bei Aktivierung) |
| Buchungsdaten | Gebuchte Termine, Zeitpunkt, Status | Bei Buchung |
| Anmeldezeitpunkt | Datum/Uhrzeit der Registrierung | Automatisch |
(3) Keine besonderen Kategorien: Es werden keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet (insbesondere keine Gesundheitsdaten, Diagnosen oder medizinische Informationen).
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen ergeben sich aus diesem AVV, dem Nutzungsvertrag sowie den Einstellungen im Portal. Weitergehende Einzelweisungen können per E-Mail an datenschutz@terminfrei.app erteilt werden.
(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
(3) Der Auftragnehmer gewährleistet, dass die mit der Verarbeitung beauftragten Personen:
(4) Der Auftragnehmer ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1: TOMs).
(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäß Art. 32–36 DSGVO, insbesondere bei:
(1) Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine schriftliche Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO.
(2) Zum Zeitpunkt des Abschlusses dieses AVV setzt der Auftragnehmer folgende Unterauftragsverarbeiter ein:
| Unterauftragsverarbeiter | Verarbeitungstätigkeit | Sitz / Serverstandort |
|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen | Hosting der gesamten Plattform-Infrastruktur (Server, Datenbank, Backups) | Deutschland (Nürnberg/Falkenstein) |
| Brevo SAS (ehem. Sendinblue) 7 rue de Madrid, 75008 Paris | Versand transaktionaler E-Mails an Betreiber und (sofern aktiviert) an Abonnenten | Frankreich / EU |
| Mollie B.V. Keizersgracht 126, 1015 CW Amsterdam | Zahlungsabwicklung (nur Betreiber-Zahlungsdaten, keine Abonnenten-Daten) | Niederlande / EU |
| Google LLC (Firebase Cloud Messaging) 1600 Amphitheatre Parkway, Mountain View, CA | Technische Zustellung von Web-Push-Notifications an Abonnenten-Browser | USA (Angemessenheit: EU-US Data Privacy Framework + EU-SCCs) |
(3) Der Auftragnehmer wird den Auftraggeber über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern per E-Mail informieren und ihm die Möglichkeit geben, innerhalb von 14 Tagen Einspruch zu erheben.
(4) Der Auftragnehmer stellt vertraglich sicher, dass die Unterauftragsverarbeiter dieselben Datenschutzpflichten einhalten wie in diesem AVV vereinbart (Art. 28 Abs. 4 DSGVO).
(1) Der Auftragnehmer wird den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO informieren.
(2) Die Meldung enthält mindestens:
(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und den betroffenen Personen (Art. 34 DSGVO).
(1) Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Vereinbarungen dieses AVV zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Dies umfasst:
(2) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen.
(3) Inspektionen vor Ort erfolgen nach vorheriger Abstimmung während der üblichen Geschäftszeiten. Der Auftraggeber trägt die Kosten der Inspektion, soweit keine Verstöße festgestellt werden.
(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen können erteilt werden:
(2) Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
(3) Ist der Auftragnehmer nach dem Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dem Auftraggeber diese rechtliche Anforderung vor der Verarbeitung mit, sofern dieses Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Abonnenten) gemäß Art. 15–22 DSGVO, insbesondere bei:
(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, wird dieser die Anfrage unverzüglich an den Auftraggeber weiterleiten und keine eigenständige Beantwortung vornehmen, sofern nicht anders vereinbart.
(3) Der Auftragnehmer stellt dem Auftraggeber über die Plattform Funktionen zur Verfügung, mit denen Abonnenten-Daten eingesehen, exportiert, berichtigt und gelöscht werden können.
(1) Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).
(2) Vor der Löschung hat der Auftraggeber die Möglichkeit, seine Daten über die Exportfunktion der Plattform zu sichern (30 Tage nach Vertragsende).
(3) Die Löschung erfolgt durch unwiderrufliches Überschreiben oder sicheres Entfernen der Daten aus allen Systemen des Auftragnehmers, einschließlich Backups (innerhalb von 90 Tagen nach Vertragsende).
(4) Der Auftragnehmer bestätigt die vollständige Löschung auf Anfrage des Auftraggebers schriftlich.
(1) Die Haftung der Vertragsparteien richtet sich nach Art. 82 DSGVO. Jede Partei haftet für Schäden, die durch eine nicht DSGVO-konforme Verarbeitung verursacht wurden.
(2) Der Auftragnehmer haftet für Schäden nur insoweit, als er seinen speziell auferlegten Pflichten nicht nachgekommen ist oder Weisungen des Auftraggebers nicht befolgt hat (Art. 82 Abs. 2 DSGVO).
(1) Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform (E-Mail genügt).
(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Offenbach am Main.
(4) Dieser AVV tritt mit Registrierung auf terminfrei.app und Akzeptanz der AGB in Kraft. Er ersetzt alle vorherigen Vereinbarungen zur Auftragsverarbeitung zwischen den Parteien.
gemäß Art. 32 DSGVO · Stand: April 2026
Der Auftragnehmer hat folgende technische und organisatorische Maßnahmen implementiert:
Zutrittskontrolle (Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen):
Zugangskontrolle (Schutz vor unbefugter Systembenutzung):
Zugriffskontrolle (Schutz vor unbefugtem Lesen, Kopieren, Verändern oder Entfernen):
Trennungskontrolle (getrennte Verarbeitung für verschiedene Zwecke):
Weitergabekontrolle (Schutz bei Datenübertragung):
Eingabekontrolle (Nachvollziehbarkeit von Änderungen):
Verfügbarkeitskontrolle:
Wiederherstellbarkeit:
Diese TOMs werden regelmäßig überprüft und dem Stand der Technik angepasst. Änderungen werden dokumentiert und sind auf Anfrage einsehbar.