← Zur Startseite

Vertrag zur Auftragsverarbeitung

nach Art. 28 Abs. 3 DSGVO · Version 1.1 · Stand: 4. September 2026

zwischen dem Studio bzw. Betrieb, der die Plattform „termeo" nutzt (nachfolgend „Verantwortlicher"), und

André Karl
Waldstraße 5, 61191 Rosbach vor der Höhe
(nachfolgend „Auftragsverarbeiter")

Dieser Vertrag ist Bestandteil des Nutzungsvertrags über die Plattform termeo (AGB) und kommt mit dessen Abschluss zustande. Er kann gemäß Art. 28 Abs. 9 DSGVO in einem elektronischen Format geschlossen werden.

§ 1 Gegenstand und Dauer

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen eine webbasierte Software zur Online-Terminbuchung und Kundenverwaltung bereit. Dabei verarbeitet er personenbezogene Daten der Endkundinnen und Endkunden des Verantwortlichen in dessen Auftrag.
  2. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Er endet mit der vollständigen Löschung bzw. Rückgabe der Daten nach § 10.

§ 2 Art, Zweck und Umfang der Verarbeitung

  1. Zweck: Bereitstellung der Online-Terminbuchung, Termin- und Kundenverwaltung sowie der Versand terminbezogener E-Mails (Bestätigung, Erinnerung, Nachfass) im Namen des Verantwortlichen.
  2. Art der Verarbeitung: Erheben, Speichern, Verändern, Auslesen, Übermitteln (E-Mail-Versand), Löschen.
  3. Kategorien betroffener Personen: Endkundinnen und Endkunden des Verantwortlichen; Mitarbeiterinnen und Mitarbeiter des Verantwortlichen (Konten, Arbeitszeiten, Abwesenheiten).
  4. Kategorien personenbezogener Daten: Name, E-Mail-Adresse, ggf. Telefonnummer, gebuchte Leistungen, Termine (Datum, Uhrzeit, Mitarbeiterzuordnung), Buchungshistorie, Gutschein- und Zahlungsstatus (keine Zahlungsmitteldaten), Notizen sowie Angaben aus Freitextfeldern des Buchungsformulars.
  5. Der Verantwortliche bleibt „Herr der Daten" und ist für die Rechtmäßigkeit der Erhebung und Verarbeitung gegenüber den betroffenen Personen verantwortlich (Art. 4 Nr. 7 DSGVO).

§ 3 Weisungsrecht

  1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattformfunktionen (z. B. Anlegen, Ändern, Exportieren und Löschen von Daten über den Admin-Bereich) gilt als dokumentierte Weisung.
  2. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort. Eine Fortentwicklung darf das vereinbarte Schutzniveau nicht unterschreiten.

§ 6 Subunternehmer (weitere Auftragsverarbeiter)

  1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 2 genannten Subunternehmer.
  2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens vier Wochen im Voraus per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht für den Nutzungsvertrag zu.
  3. Mit jedem Subunternehmer werden Verpflichtungen vereinbart, die den Regelungen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO).

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten — insbesondere durch die in der Plattform integrierten Funktionen zur Auskunft (Datenexport je Kundin/Kunde), Berichtigung und Löschung. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Ersuchen unverzüglich an den Verantwortlichen weiter.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) und unterstützt ihn bei der Erfüllung seiner Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

§ 9 Weitere Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 10 Löschung und Rückgabe

  1. Der Verantwortliche kann seine Daten jederzeit — auch nach Vertragsende während der Löschfrist — selbst als vollständigen Datenexport herunterladen (Admin-Bereich → „Mein Paket" → „Konto & Daten").
  2. Nach Beendigung des Nutzungsvertrags werden sämtliche Daten des Verantwortlichen nach Ablauf einer Schonfrist von 30 Tagen unwiderruflich gelöscht, soweit keine gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters entgegensteht. Auf Wunsch erfolgt die Löschung früher.
  3. Backups, die gelöschte Daten enthalten, werden im Rahmen des Backup-Rotationszyklus überschrieben.

§ 11 Nachweise und Kontrollrechte

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
  2. Der Verantwortliche kann Kontrollen im erforderlichen Umfang durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Kontrollen erfolgen nach angemessener Vorankündigung; vorrangig werden Nachweise durch geeignete Dokumentation (z. B. Beschreibung der Maßnahmen nach Anlage 1) erbracht.

§ 12 Ort der Verarbeitung

Speicherung und Verarbeitung der Daten finden auf Servern in der Bundesrepublik Deutschland statt. Allein der Versand transaktionaler E-Mails läuft über den in Anlage 2 genannten Dienstleister mit Sitz und Infrastruktur in der Europäischen Union. Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt und bedürfte einer vorherigen Vereinbarung mit dem Verantwortlichen unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 13 Schlussbestimmungen

  1. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags hinsichtlich des Datenschutzes vor.
  2. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
  3. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung und Übertragungskontrolle

Zugangs- und Zugriffskontrolle

Trennungskontrolle (Mandantentrennung)

Verfügbarkeits- und Wiederherstellbarkeitskontrolle

Eingabekontrolle und Löschkonzept

Anlage 2 — Genehmigte Subunternehmer

Änderungshistorie