Auftragsverarbeitungsvertrag (AVV)
für die Nutzung von „Lashio"
1. Vertragsparteien
Zwischen
65451 Kelsterbach
Deutschland
– nachfolgend „Auftragsverarbeiter" –
und
der jeweils registrierten Nutzerin der Software „Lashio"
– nachfolgend „Verantwortliche" –
wird folgender Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.
Der Vertrag kommt durch elektronische Zustimmung im Rahmen der Registrierung zustande.
2. Gegenstand und Dauer der Verarbeitung
(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Software „Lashio".
(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzerkontos einschließlich gesetzlicher Aufbewahrungsfristen.
3. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt ausschließlich zur:
- Bereitstellung der Software „Lashio"
- Speicherung und Verwaltung von Kundendaten
- Dokumentation von Behandlungsbesuchen
- Speicherung von Behandlungsdetails
- Speicherung optionaler Foto-Uploads
- Synchronisierung der Daten zwischen Endgeräten
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen.
4. Art der personenbezogenen Daten
Je nach Nutzung der Software können insbesondere folgende Daten verarbeitet werden:
- Namen von Kundinnen
- Kontaktdaten (Telefonnummer, E-Mail-Adresse)
- Termin- und Besuchsdaten
- Behandlungsdetails (z. B. Längen, Curls, Volumen, Produkte)
- Notizen und Haltbarkeitsbeobachtungen
- Foto-Uploads
- Angaben zu Allergien oder besonderen Eigenschaften
Sofern Gesundheitsdaten im Sinne des Art. 9 DSGVO verarbeitet werden (z. B. Allergieangaben), erfolgt dies ausschließlich auf Weisung und in Verantwortung der Verantwortlichen.
5. Kategorien betroffener Personen
- Kundinnen der Verantwortlichen
- Nutzerinnen der Software
6. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- personenbezogene Daten ausschließlich weisungsgebunden zu verarbeiten
- geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO umzusetzen
- die Vertraulichkeit sicherzustellen
- Daten nicht an unbefugte Dritte weiterzugeben
- Datenschutzverletzungen unverzüglich an die Verantwortliche zu melden
- nach Vertragsende personenbezogene Daten zu löschen oder zurückzugeben
7. Technisch-organisatorische Maßnahmen (Anlage 1)
Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:
7.1 Zugangskontrolle
- Passwortgeschützte Nutzerkonten
- HTTPS-Verschlüsselung
- Hosting auf Servern in Deutschland
7.2 Zugriffskontrolle
- Zugriff nur für berechtigte Personen
- Administrativer Zugriff beschränkt
7.3 Speicherkontrolle
- Verschlüsselte Datenübertragung
- Regelmäßige Backups
- Serverstandort Deutschland
7.4 Trennung
- Logische Trennung der Daten nach Nutzerkonten
8. Subunternehmer (Anlage 2)
Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:
- STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin (Hosting)
- Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland (Zahlungsabwicklung über App Store)
Der Auftragsverarbeiter stellt sicher, dass mit diesen Anbietern DSGVO-konforme Vereinbarungen bestehen.
9. Rechte und Pflichten der Verantwortlichen
Die Verantwortliche ist verpflichtet:
- die Rechtmäßigkeit der Datenerhebung sicherzustellen
- erforderliche Einwilligungen ihrer Kundinnen einzuholen
- insbesondere bei Foto-Uploads und Gesundheitsdaten
- Betroffenenrechte gemäß DSGVO zu erfüllen
10. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter informiert die Verantwortliche unverzüglich nach Bekanntwerden einer Datenschutzverletzung.
11. Löschung und Rückgabe von Daten
Nach Beendigung des Vertrags werden alle gespeicherten personenbezogenen Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
12. Schlussbestimmungen
(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform.
(2) Es gilt das Recht der Bundesrepublik Deutschland.
(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.