Vertrag zur Auftragsverarbeitung
Stand: 26. Oktober 2026
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Er gilt zwischen dem Anbieter (Auftraggeber, „Anbieter“) und PPE Design (Prime Product Engineering), Inhaber Oleg Kramer, Kneippweg 6, 88214 Ravensburg (Auftragnehmer, „Betreiber“). Er wird mit der Registrierung als Anbieter auf terminhelden.app abgeschlossen und ist Bestandteil der AGB.
1. Gegenstand, Dauer und Weisungen
1.1 Der Betreiber verarbeitet personenbezogene Daten für den Anbieter, soweit er ihm die Buchungsplattform Terminhelden bereitstellt. Gegenstand ist die Verwaltung von Terminen, Kursen, Buchungen, Wartelisten und Teilnehmerlisten des Anbieters.
1.2 Der Vertrag gilt für die Dauer des Hauptvertrags (Nutzungsvertrag nach den AGB). Er endet automatisch mit dessen Ende, die Pflichten zu Löschung und Rückgabe (Ziffer 9) gelten darüber hinaus.
1.3 Der Betreiber verarbeitet die Daten nur nach dokumentierten Weisungen des Anbieters. Der Vertrag und die Nutzung der Funktionen der Plattform durch den Anbieter sind die Weisungen. Zusätzliche Weisungen erteilt der Anbieter in Textform. Hält der Betreiber eine Weisung für rechtswidrig, informiert er den Anbieter unverzüglich und darf die Ausführung aussetzen.
2. Art, Zweck, Daten und Betroffene
Art und Zweck: Speicherung, Anzeige, Verwaltung und Löschung von Buchungsdaten; Versand von E-Mails zu Buchungen, Stornierungen, Wartelisten, Absagen, Erinnerungen und Bewertungsbitten; Bereitstellung der Teilnehmerliste und der Anwesenheitsliste; technische Bereitstellung der Plattform.
Arten der Daten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Adresse (jeweils soweit der Anbieter sie abfragt), Buchungsdaten (Termin, Anmeldeart, Status, Zeitpunkte, Gebühren, Anwesenheit), Buchungsprotokoll, bei Teilnehmerkonto: Kontodaten.
Kategorien betroffener Personen: Teilnehmer und Interessenten des Anbieters, Kursleiter und Lehrkräfte, soweit sie namentlich erfasst werden.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Anbieter gibt solche Daten nicht in Freitextfeldern oder Beschreibungen ein.
3. Pflichten des Betreibers
3.1 Der Betreiber verarbeitet die Daten ausschließlich für die in Ziffer 2 genannten Zwecke und nicht für eigene Zwecke.
3.2 Er verpflichtet alle Personen, die Zugriff auf die Daten haben, auf Vertraulichkeit, soweit sie nicht schon gesetzlich dazu verpflichtet sind.
3.3 Er trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen und entwickelt sie im Rahmen des Stands der Technik weiter. Wesentliche Änderungen dürfen das Schutzniveau nicht senken.
3.4 Er unterstützt den Anbieter angemessen bei der Beantwortung von Anfragen betroffener Personen, bei der Einhaltung von Pflichten nach Art. 32 bis 36 DSGVO und bei Datenschutz-Folgenabschätzungen, soweit nötig. Anfragen betroffener Personen leitet er unverzüglich an den Anbieter weiter, soweit sie sich auf den Anbieter beziehen.
3.5 Er meldet dem Anbieter eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, mit den ihm bekannten Angaben zu Art, Umfang und Folgen und den ergriffenen Maßnahmen.
3.6 Der Betreiber hat keinen Datenschutzbeauftragten benannt, da dies gesetzlich nicht erforderlich ist. Ansprechpartner ist Oleg Kramer, kontakt@terminhelden.app.
4. Pflichten des Anbieters
Der Anbieter ist für die Rechtmäßigkeit der Verarbeitung gegenüber den Teilnehmern verantwortlich, insbesondere für die Information der Teilnehmer nach Art. 13 DSGVO (zum Beispiel über seine Datenschutzhinweise unter dem Kalender), die Wahrung der Betroffenenrechte und die Festlegung von Löschfristen für seine Teilnehmerdaten. Er prüft, welche Daten er abfragt, und erhebt nur das, was er braucht (zum Beispiel über die Einstellungen „Telefon“ und „Adresse“).
5. Unterauftragsverarbeiter
5.1 Der Anbieter stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Hosting (Server, Datenbank) und E-Mail-Versand (SMTP) | Deutschland |
5.2 Der Betreiber verpflichtet Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das dem dieses Vertrags entspricht.
5.3 Der Betreiber informiert den Anbieter über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) mindestens vier Wochen vorher in Textform, zum Beispiel per E-Mail. Der Anbieter kann innerhalb dieser Frist aus wichtigem Datenschutzgrund widersprechen. Bei Widerspruch können die Parteien den Hauptvertrag zum Wirksamwerden der Änderung außerordentlich kündigen.
5.4 Stripe verarbeitet keine Teilnehmerdaten im Auftrag. Stripe erhält nur die Zahlungsdaten des Anbieters für sein Abo.
6. Verarbeitung in der EU
Der Betreiber verarbeitet die Daten ausschließlich im Gebiet der Bundesrepublik Deutschland beziehungsweise der EU. Eine Übermittlung in Drittländer erfolgt nur mit Weisung oder Zustimmung des Anbieters und unter Einhaltung der Art. 44 ff. DSGVO.
7. Nachweise und Kontrollen
Der Betreiber stellt dem Anbieter auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Der Anbieter darf Überprüfungen nach rechtzeitiger Anmeldung (mindestens zwei Wochen) zu üblichen Geschäftszeiten durchführen, ohne den Betrieb unverhältnismäßig zu stören. Der Betreiber kann stattdessen geeignete Nachweise vorlegen (zum Beispiel Zertifikate des Hosters oder eine Beschreibung der Maßnahmen).
8. Anfragen und Pannen
Wendet sich eine betroffene Person direkt an den Betreiber, verweist er sie an den Anbieter, soweit eine Zuordnung möglich ist, und informiert den Anbieter. Ohne Weisung des Anbieters gibt der Betreiber keine Auskunft über Daten des Anbieters an Dritte, außer bei gesetzlicher Pflicht.
9. Löschung und Rückgabe
Nach Ende des Hauptvertrags stellt der Betreiber dem Anbieter auf Anfrage innerhalb von 30 Tagen die Daten in einem gängigen Format zur Verfügung und löscht sie danach, spätestens 90 Tage nach Vertragsende, einschließlich vorhandener Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Der Anbieter kann eine frühere Löschung in Textform verlangen. Auf Wunsch bestätigt der Betreiber die Löschung.
10. Haftung
Für die Haftung gelten Art. 82 DSGVO und die Haftungsregeln der AGB (Abschnitt 10). Der Anbieter stellt den Betreiber von Ansprüchen betroffener Personen frei, soweit der Anbieter für die Verletzung verantwortlich ist, zum Beispiel wegen unzulässiger Weisungen oder fehlender Information der Teilnehmer.
11. Schlussbestimmungen
Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.
Anlage 1: Technische und organisatorische Maßnahmen
Zutrittskontrolle: Die Daten liegen bei IONOS SE in zertifizierten Rechenzentren in Deutschland. Der Zutritt wird dort durch den Hoster geregelt. Der Betreiber betreibt keine eigenen Serverräume.
Zugangskontrolle: Zugriff auf Anbieter- und Verwaltungsbereiche nur mit individuellem Passwort. Passwörter werden nur als sichere Hashes gespeichert. Begrenzung wiederholter Fehlanmeldungen. Sitzungen laufen über Cookies mit den Eigenschaften HttpOnly, Secure und SameSite. Zugriff auf Server und Datenbank nur durch den Betreiber mit starken Zugangsdaten.
Zugriffskontrolle: Jeder Anbieter sieht ausschließlich seine eigenen Daten. Die Zuordnung erfolgt serverseitig bei jedem Zugriff. Administrative Zugriffe auf den Verwaltungsbereich sind auf den Betreiber beschränkt.
Weitergabekontrolle: Übertragung ausschließlich per HTTPS (TLS). E-Mails werden über verschlüsselte SMTP-Verbindungen an den Mailserver des Hosters übergeben. Formulare sind gegen Fremdaufrufe (CSRF) geschützt.
Eingabekontrolle: Buchungen, Stornierungen und Änderungen werden im Buchungsprotokoll mit Zeitpunkt festgehalten.
Auftragskontrolle: Verarbeitung nur nach diesem Vertrag und den Weisungen des Anbieters. Verpflichtung der Unterauftragsverarbeiter nach Ziffer 5.
Verfügbarkeit und Belastbarkeit: Datenbank und Anwendung laufen bei einem professionellen Hoster. Sicherungen der Datenbank erfolgen nach dem Verfahren des Hosting-Anbieters. Der Betreiber hält Software und Abhängigkeiten aktuell.
Trennungskontrolle: Die Daten verschiedener Anbieter liegen logisch getrennt (eigene Zuordnung je Anbieter). Test- und Produktivdaten werden getrennt gehalten.
Datenminimierung: Telefonnummer und Adresse sind abschaltbar. Es werden keine Tracking- oder Analysedienste eingesetzt. Technische Anmeldeprotokolle (IP-Adressen) werden nach 24 Stunden gelöscht.
Überprüfung: Der Betreiber überprüft die Maßnahmen regelmäßig und bei wesentlichen Änderungen der Plattform.