Dieser Vertrag gilt zwischen dem Unternehmen, das auf MyTermino ein Profil anlegt (nachfolgend „Verantwortlicher“), und mcarrow software UG (haftungsbeschränkt), Bornstr 19, 58762 Altena (nachfolgend „Auftragsverarbeiter“). Er kommt zustande, indem der Verantwortliche ihn im Konto vor der Veröffentlichung des Profils per Häkchen annimmt (Textform). Die angenommene Fassung und der Zeitpunkt werden gespeichert. Fassung: 10. Oktober 2026
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform MyTermino bereit (Unternehmensseite, Terminbuchung, Kalenderanbindung, Übersetzung). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Der Vertrag gilt für die Dauer des Nutzungsvertrags und endet mit ihm; Pflichten zur Rückgabe und Löschung (Abschnitt 9) bleiben bestehen.
2. Art und Zweck der Verarbeitung
Speichern, Anzeigen und Übermitteln der Daten, die der Verantwortliche auf seiner Seite veröffentlicht oder über die Terminbuchung erhält, einschließlich Versand von Buchungsbestätigungen, Kalender-Synchronisation (auf Wunsch des Verantwortlichen) und maschineller Übersetzung seiner Texte. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters erfolgt nicht, mit Ausnahme von Betrieb, Sicherheit und Missbrauchsabwehr der Plattform, für die er selbst Verantwortlicher ist.
3. Art der Daten und betroffene Personen
Daten: Name, Telefonnummer, E-Mail-Adresse, gebuchte Leistung, Termin, Nachricht der buchenden Person; Name, Funktion und Zeiten von Mitarbeitenden des Verantwortlichen. Betroffene: Kundinnen und Kunden sowie Interessenten des Verantwortlichen und dessen Mitarbeitende. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Plattform; ergibt sich aus der Tätigkeit des Verantwortlichen ein Berufsgeheimnis, gilt zusätzlich § 9 der Nutzungsbedingungen.
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; Weisungen ergeben sich aus diesem Vertrag, den Nutzungsbedingungen und der Nutzung der Funktionen der Plattform. Hält er eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.
5. Pflichten des Auftragsverarbeiters
Er verpflichtet alle Personen mit Zugriff auf die Daten zur Vertraulichkeit; trifft die Maßnahmen nach Abschnitt 6 (Art. 32 DSGVO); unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen im erforderlichen Umfang; informiert ihn unverzüglich über Verletzungen des Schutzes personenbezogener Daten, die seinen Verantwortungsbereich betreffen; und stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Anfragen betroffener Personen leitet er an den Verantwortlichen weiter.
6. Technische und organisatorische Maßnahmen
Transportverschlüsselung (TLS) für alle Verbindungen; Zugriffsbeschränkung auf Datensatzebene (Row Level Security) und rollenbasierte Berechtigungen; verschlüsselte Speicherung von Zugangstoken zu Drittdiensten; Begrenzung der Anfragen je IP-Adresse (Rate Limiting); regelmäßige Datenbanksicherungen; Hosting in der EU (Deutschland); Protokolldateien werden nach höchstens 14 Tagen gelöscht; Zugriff auf Produktivsysteme nur für berechtigte Personen.
7. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Hetzner Online GmbH, Gunzenhausen, Deutschland (Hosting und Speicherung); Resend Labs Inc., USA (E-Mail-Versand von Buchungsbestätigungen); DeepL SE, Köln, Deutschland (maschinelle Übersetzung der Texte des Verantwortlichen, keine Kundendaten); Google Ireland Limited, Irland / Google LLC, USA (nur wenn der Verantwortliche seinen Google Kalender verbindet). Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens vier Wochen im Voraus in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen, anderenfalls kann er den Vertrag zum Änderungszeitpunkt beenden. Mit Unterauftragsverarbeitern werden Verträge geschlossen, die ihnen im Wesentlichen dieselben Pflichten auferlegen.
8. Übermittlung in Drittländer
Soweit Unterauftragsverarbeiter Daten in den USA verarbeiten, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO) oder auf Standardvertragsklauseln (Art. 46 DSGVO).
9. Rückgabe und Löschung
Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die Daten auf Anfrage in einem gängigen maschinenlesbaren Format bereit (Abruf mindestens 30 Tage lang möglich) und löscht sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht besteht.
10. Verantwortlichkeit und Haftung
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, für die Informationspflichten gegenüber den betroffenen Personen und für die Datenschutzerklärung seiner Seite verantwortlich. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der Nutzungsbedingungen.
11. Schlussbestimmungen
Änderungen und Ergänzungen bedürfen der Textform; für Änderungen dieser Fassung gilt § 15 der Nutzungsbedingungen entsprechend. Es gilt deutsches Recht. Die Regelungen dieses Vertrags gehen den Nutzungsbedingungen vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.