Auftragsverarbeitungsvertrag (AVV)
Data Processing Agreement (DPA)
gemäß Art. 28 DSGVO · pursuant to Art. 28 GDPR
Dieser Auftragsverarbeitungsvertrag ist ein vorläufiger Entwurf und noch nicht rechtlich freigegeben. Er macht den versionierten Zustimmungsmechanismus testbar, während der endgültige, rechtlich geprüfte Wortlaut vorbereitet wird. Die öffentliche Freischaltung setzt diese gesonderte rechtliche Freigabe voraus.
This data processing agreement is a provisional draft and is not yet legally released. It makes the versioned acceptance mechanism testable while the final, legally reviewed wording is being prepared. The public launch is gated on that separate legal sign-off.
Parteien · Parties
Auftragsverarbeiter · Processor:
Sebastian Software GmbH, Dalheimer Straße 12, 55128 Mainz, Deutschland
(Anbieter von Terminaro · Provider of Terminaro)
Verantwortlicher · Controller:
Der Kunde, der einen Terminaro-Account registriert hat.
The customer who has registered a Terminaro account.
Durch die Registrierung eines Terminaro-Accounts akzeptiert der Kunde diesen AVV als verbindlichen Bestandteil der Nutzungsbedingungen.
By registering a Terminaro account, the customer accepts this DPA as a binding part of the Terms of Service.
1. Gegenstand · Subject Matter
Terminaro verarbeitet personenbezogene Daten von Buchenden (insbesondere Name, E-Mail-Adresse, Besuchersprache, Besucher-Zeitzone sowie optionale Angaben wie Unternehmen, Telefonnummer und Buchungsgrund) im Auftrag und nach Weisung des Kunden, ausschließlich zum Zweck der Erbringung des Terminbuchungsdienstes. Die Besuchersprache wird als notwendige Buchungsinformation verarbeitet, um die Buchungsbestätigung in der Sprache der buchenden Person zu versenden. Das Unternehmen dient der organisatorischen Zuordnung des Termins, die Telefonnummer der kurzfristigen Kontaktaufnahme bei Änderungen oder Absagen und der Buchungsgrund der inhaltlichen Vorbereitung auf den Termin. Die Besucher-Zeitzone wird verwendet, um Terminzeiten für die buchende Person in ihrer Ortszeit darzustellen, insbesondere in Bestätigungs-E-Mails und im Stornoablauf.
Terminaro processes personal data of booking persons (in particular name, email address, visitor language, visitor time zone, and optional details such as company, phone number, and reason for booking) on behalf of and according to the instructions of the customer, solely for the purpose of providing the appointment booking service. The visitor language is processed as a required booking detail so the booking confirmation can be sent in the booking person's language. The company is used for organizational assignment of the appointment, the phone number for short-notice contact in case of changes or cancellations, and the reason for booking for preparation of the appointment. The visitor time zone is used to display appointment times in the booking person's local time, in particular in confirmation emails and the cancellation flow.
2. Art der Daten und Betroffene · Type of Data and Data Subjects
Datenkategorien · Data categories:
Name, E-Mail-Adresse, Besuchersprache, Besucher-Zeitzone, Unternehmen (optional), Telefonnummer (optional), Buchungsgrund (optional)
Name, email address, visitor language, visitor time zone, company (optional), phone number (optional), reason for booking (optional)
Bei der Auslieferung der Buchungsseite fallen zusätzlich technische Verbindungsdaten an (IP-Adresse, Zeitstempel, aufgerufene URL einschließlich eines darin enthaltenen Buchungs-Tokens, Browser- und Gerätekennung). Diese werden ausschließlich im Arbeitsspeicher der Auslieferungsknoten gehalten und dort nach 20 bis 30 Sekunden automatisch gelöscht; eine dauerhafte Speicherung findet nicht statt.
Delivering the booking page additionally produces technical connection data (IP address, timestamp, requested URL including any booking token contained in it, browser and device identifier). This data is held exclusively in the working memory of the delivery nodes and automatically deleted there after 20 to 30 seconds; no permanent storage takes place.
Betroffene Personen · Data subjects:
Personen, die über ein vom Kunden bereitgestelltes Buchungsformular einen Termin buchen
Persons who book an appointment via a booking form provided by the customer
3. Pflichten von Terminaro · Obligations of Terminaro
Terminaro verpflichtet sich:
- Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten
- Vertraulichkeit der Daten zu gewährleisten und nur autorisiertes Personal einzusetzen
- geeignete technische und organisatorische Maßnahmen zum Schutz der Daten zu treffen
- den Kunden unverzüglich zu informieren, wenn eine Weisung nach Einschätzung von Terminaro gegen die DSGVO verstößt
- den Kunden bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) zu unterstützen
- Datenpannen ohne unangemessene Verzögerung, spätestens binnen 48 Stunden nach Bekanntwerden, zu melden
- Daten nach Beendigung des Vertrags zu löschen oder zurückzugeben
Terminaro commits to:
- Processing data solely on documented instructions from the customer
- Ensuring confidentiality and using only authorized personnel
- Implementing appropriate technical and organizational measures to protect data
- Informing the customer without delay if an instruction is deemed to violate the GDPR
- Assisting the customer in fulfilling data subject rights (Art. 15–22 GDPR)
- Reporting data breaches without undue delay, at the latest within 48 hours of becoming aware
- Deleting or returning data upon termination of the contract
4. Pflichten des Kunden · Obligations of the Customer
Der Kunde ist alleiniger Verantwortlicher für die Daten seiner Buchenden. Er stellt sicher, dass eine Rechtsgrundlage für die Verarbeitung besteht und informiert seine Buchenden über die Datenverarbeitung (z. B. mittels einer eigenen Datenschutzerklärung).
The customer is the sole controller for the data of their booking persons. The customer ensures that a legal basis for processing exists and informs their booking persons about the data processing (e.g. via their own privacy policy).
5. Sub-Auftragsverarbeiter · Sub-Processors
Terminaro setzt folgende Sub-Auftragsverarbeiter ein:
Terminaro uses the following sub-processors:
| Anbieter · Provider | Zweck · Purpose | Standort · Location |
|---|---|---|
| netcup GmbH | Server-Hosting aller Anwendungsdaten Server hosting of all application data | Nürnberg, Deutschland; Wien, Österreich; Amsterdam, Niederlande Nuremberg, Germany; Vienna, Austria; Amsterdam, Netherlands |
| BunnyWay d.o.o. (bunny.net) | Auslieferung der Buchungsseite und der Website sowie weisungsgebundene Verarbeitung der Anfragen am Auslieferungsknoten Delivery of the booking page and the website, and instruction-bound processing of requests at the delivery node | Ljubljana, Slowenien; Auslieferung ausschließlich über Knoten innerhalb der Europäischen Union Ljubljana, Slovenia; delivery exclusively via nodes within the European Union |
Die Anwendungsdaten werden derzeit ausschließlich am Standort Nürnberg verarbeitet. Alle vorstehend genannten Standorte liegen in der Europäischen Union; eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet an keinem von ihnen statt.
Application data is currently processed exclusively at the Nuremberg location. All locations named above are within the European Union; no processing outside the European Economic Area takes place at any of them.
Änderungen an Sub-Auftragsverarbeitern werden dem Kunden vorab per E-Mail mitgeteilt. Der Kunde kann innerhalb von 14 Tagen schriftlich widersprechen, sofern der Widerspruch auf datenschutzrechtlichen Gründen beruht. Soweit ein eingesetzter Sub-Auftragsverarbeiter Terminaro seinerseits eine kürzere Frist einräumt, informiert Terminaro den Kunden unverzüglich nach Kenntniserlangung; die Widerspruchsfrist des Kunden bleibt davon unberührt.
Changes to sub-processors will be communicated to the customer in advance by email. The customer may object in writing within 14 days, provided the objection is based on data protection grounds. Where a sub-processor grants Terminaro a shorter period, Terminaro informs the customer without undue delay after becoming aware; the customer's objection period remains unaffected.
6. Technische und organisatorische Maßnahmen · Technical and Organizational Measures
Terminaro trifft insbesondere folgende Maßnahmen:
Terminaro implements in particular the following measures:
- Verschlüsselte Übertragung aller Daten (TLS)
Encrypted transmission of all data (TLS) - Verschlüsselte Passwortspeicherung
Encrypted password storage - Zugriffsbeschränkung auf autorisiertes Personal
Access restricted to authorized personnel - Speicherung der Anwendungsdaten ausschließlich in Rechenzentren innerhalb der Europäischen Union (netcup); Auslieferung ausschließlich über Knoten in EU-Mitgliedsstaaten (bunny.net)
Application data stored exclusively in data centers within the European Union (netcup); delivery exclusively via nodes in EU member states (bunny.net) - Regelmäßige Sicherheitsupdates
Regular security updates
7. Laufzeit und Beendigung · Term and Termination
Dieser AVV gilt für die Dauer der Nutzung von Terminaro. Er endet automatisch mit Beendigung des Nutzungsvertrags. Terminaro löscht die Daten des Kunden innerhalb von 30 Tagen nach Vertragsende, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
This DPA is valid for the duration of the use of Terminaro. It ends automatically upon termination of the service agreement. Terminaro will delete the customer's data within 30 days after the end of the contract, unless statutory retention obligations apply.
8. Anwendbares Recht · Applicable Law
Es gilt deutsches Recht. Gerichtsstand ist Mainz.
German law applies. Place of jurisdiction is Mainz.