Auftragsverarbeitungsvertrag

Dieser Vertrag gilt zwischen dem im Salon.OS-Vertrag bezeichneten Salonkunden als Verantwortlichem und:

Er regelt die Verarbeitung von Personendaten im Auftrag zur Bereitstellung der vereinbarten Salon.OS-Funktionen. Eigene Verarbeitungen des Anbieters werden in der Datenschutzerklärung beschrieben.

Der Vertrag gilt ab Beginn der Auftragsverarbeitung und über das Ende des Softwarevertrags hinaus, bis Auftragsdaten zurückgegeben oder gelöscht und verbleibende gesetzliche Pflichten erfüllt sind.

Die Verarbeitung umfasst Erfassen, Ordnen, Speichern, Abrufen, Ändern, Übermitteln nach Weisung, Bereitstellen, Sichern, Zurückgeben und Löschen. Zweck ist die vereinbarte Salon-, Termin-, Kunden- und Teamverwaltung mit aktivierten Zusatzfunktionen.

Betroffen sind Salonkunden, Beschäftigte, berechtigte Nutzer und Personen, die salonbezogene Buchungs- oder Kontaktfunktionen verwenden.

Verarbeitet werden insbesondere Kontakt- und Stammdaten, Termine, Leistungen, Zuordnungen, Bilder, Notizen, Arbeitszeiten, Pausen, Abwesenheiten, Urlaubsangaben, Nutzerrollen und erforderliche Systemdaten.

Die Abwesenheitsart „krank“ und optionale Notizen können gesundheitsbezogene Angaben enthalten. Ihre Erfassung ist auf den rechtmässigen und erforderlichen Umfang zu begrenzen. Diagnosen, Arztzeugnisse und medizinische Kundendokumentationen sind nicht für die reguläre Speicherung vorgesehen. Auftragsdaten werden weder für eigene Werbung noch für eigenes KI-Modelltraining verwendet.

Der Verantwortliche entscheidet über Zulässigkeit, Zwecke, Informationen und Aufbewahrungsfristen. Verarbeitet wird nur auf dokumentierte Weisung. Vertrag, Anlagen und rechtmässige Einstellungen innerhalb der Funktionen bilden die anfänglichen Weisungen. Weitere Weisungen werden in Textform an info@bdlabs-studios.com erteilt.

Bei einer zwingenden gesetzlichen Verarbeitung informiert der Auftragsbearbeiter vorher, soweit zulässig. Hält er eine Weisung für datenschutzwidrig, weist er unverzüglich darauf hin und setzt die betroffene Verarbeitung bis zur Klärung aus.

Zugriff erhalten nur Personen, die ihn zur Aufgabenerfüllung benötigen und zur Vertraulichkeit verpflichtet sind. Berechtigungen werden überprüft und bei Wegfall entzogen.

Die vereinbarten technischen und organisatorischen Massnahmen schützen die Daten. Besonders schützenswerte Daten werden bei Risikobewertung und Berechtigungsvergabe berücksichtigt. Massnahmen dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht vermindert wird.

Der Verantwortliche genehmigt allgemein die im Dienstleisterverzeichnis als Unterauftragsbearbeiter bezeichneten Unternehmen. Neue oder ersetzende unmittelbar beauftragte Unterauftragsbearbeiter werden grundsätzlich mindestens 30 Tage vor ihrem Einsatz mit Zweck, Gesellschaft, Ländern und relevanten Garantien angekündigt.

Der Verantwortliche kann aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen eine zumutbare Alternative. Ist keine Lösung möglich, kann der Verantwortliche die betroffene Leistung vor dem Wechsel beenden.

Unterauftragsbearbeiter werden zu gleichwertigem Datenschutz verpflichtet. Auslandtransfers erfolgen nur nach den vereinbarten Weisungen und auf einer zulässigen Grundlage. Dieser AVV ersetzt keine erforderlichen Transfergarantien.

Der Auftragsbearbeiter unterstützt den Verantwortlichen unter Berücksichtigung von Art der Verarbeitung und verfügbaren Informationen bei Betroffenenrechten, Datensicherheit, Vorfallmeldungen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen.

Direkt eingehende Betroffenenanfragen zu Auftragsdaten werden unverzüglich weitergeleitet und nur nach Weisung oder gesetzlicher Verpflichtung inhaltlich beantwortet.

Verletzungen des Schutzes von Auftragsdaten werden unverzüglich nach Bekanntwerden gemeldet, in der Regel innerhalb von 48 Stunden und stets so rechtzeitig, dass der Verantwortliche seine eigenen Melde- und Benachrichtigungsfristen einhalten kann. Die Erstmeldung enthält die verfügbaren Angaben zu Art, Zeitpunkt, betroffenen Daten und Personen, möglichen Folgen, Massnahmen und Kontaktstelle. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

Der Verantwortliche entscheidet über seine Meldungen an Behörden und Betroffene. Eigene gesetzliche Pflichten des Auftragsbearbeiters bleiben unberührt.

Der Auftragsbearbeiter stellt erforderliche Informationen zum Nachweis der Vertragserfüllung bereit und ermöglicht angemessene Prüfungen. Diese erfolgen grundsätzlich mit Vorankündigung und unter Schutz fremder Kundendaten, der Vertraulichkeit und des sicheren Betriebs. Geeignete Prüfberichte können den Umfang reduzieren.

Der Nachweis erfolgt vorrangig durch Selbstauskunft, die aktuellen TOM und das Dienstleisterverzeichnis. Eine Prüfung vor Ort ist höchstens einmal jährlich sowie bei konkretem Anlass, insbesondere nach einer meldepflichtigen Verletzung der Datensicherheit, mit einer Vorankündigung von mindestens 30 Tagen zulässig. Aufwand, der über die Selbstauskunft hinausgeht, wird nach dem jeweils gültigen Stundensatz vergütet; entfällt der Anlass auf ein Verschulden des Auftragsbearbeiters, trägt dieser die Kosten. Prüfende Dritte dürfen keine Wettbewerber sein und sind zur Vertraulichkeit zu verpflichten.

Nach Ende der Verarbeitung werden Auftragsdaten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht. Anfragen werden unter info@bdlabs-studios.com manuell bearbeitet. Die Rückgabe umfasst strukturierte Daten in einem gängigen maschinenlesbaren Format sowie vorhandene zugehörige Bilder und Dateien. Der sichere Übergabeweg wird abgestimmt.

Bei einem Anbieterwechsel gelten die Übergangs- und mindestens 30-tägigen Abruffristen der AGB. Bis zu deren Ende werden benötigte Daten nicht allein aufgrund der regulären Vertragsbeendigung gelöscht.

Die Plattform-Administration löscht die zugeordneten Datenbankeinträge unmittelbar. Der Auftragsbearbeiter löscht zugehörige Bilder und Dateien, verbleibende eigene Kopien sowie erforderlichenfalls Daten bei weiteren Diensten gesondert manuell und dokumentiert den Abschluss. Eine reine Datenbanklöschung wird nicht als vollständige Löschung bestätigt.

Eigene JSON-Sicherungen werden 14 Tage aufbewahrt und enthalten keine eigentlichen Bild- oder Dateiinhalte. Die fristgerechte Bereinigung wird durch den Sicherungsprozess und erforderlichenfalls manuell sichergestellt. Gesetzlich erforderliche Ausnahmen bleiben gesperrt und zweckgebunden; eine Löschung wird auf Verlangen bestätigt.

Für die Auftragsverarbeitung geht dieser Vertrag entgegenstehenden AGB-Regelungen vor. Die Haftung richtet sich ergänzend nach den AGB und zwingendem Recht.

Die TOM bilden Anlage 1; das Dienstleisterverzeichnis bildet Anlage 2. Beide werden vor Vertragsschluss in ihrer aktuellen Fassung bereitgestellt und einbezogen.