Calendavo Zurueck

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO für calendavo

Version 1.1
Stand: 16. Juni 2026

1. Parteien und Vertragsschluss

Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO ("AVV") wird geschlossen zwischen

C&I Business 5.0 GmbH
Aachener Str. 37-39
50674 Köln
Deutschland
E-Mail: datenschutz@calendavo.com

nachfolgend "Anbieter" oder "Auftragsverarbeiter"

und

dem jeweiligen Kunden, der calendavo auf Grundlage eines Hauptvertrags, Nutzungsvertrags, SaaS-Vertrags oder eines vergleichbaren Vertragsverhältnisses nutzt,

nachfolgend "Kunde" oder "Verantwortlicher".

Der Kunde schließt diese AVV elektronisch ab, insbesondere durch Registrierung, Buchung, Aktivierung oder Nutzung von calendavo und Annahme der AVV im Rahmen des Vertragsschlusses. Diese AVV ist Bestandteil des Hauptvertrags über die Nutzung von calendavo.

2. Gegenstand der Vereinbarung

Der Kunde nutzt die Software calendavo, eine Online-Terminverwaltung mit Buchungssystem, zur Verwaltung, Buchung, Änderung und Stornierung von Terminen sowie zur Kommunikation mit Personen, die Termine buchen oder durch den Kunden verwaltet werden.

Im Rahmen der Bereitstellung von calendavo verarbeitet der Anbieter personenbezogene Daten im Auftrag des Kunden. Diese AVV regelt die Rechte und Pflichten der Parteien bei dieser Auftragsverarbeitung.

Diese AVV gilt für alle Verarbeitungsvorgänge, bei denen der Anbieter personenbezogene Daten des Kunden oder personenbezogene Daten von Personen, die über calendavo Termine buchen oder verwaltet werden, im Auftrag des Kunden verarbeitet.

Nicht Gegenstand dieser AVV sind Verarbeitungsvorgänge, bei denen der Anbieter personenbezogene Daten zu eigenen Zwecken verarbeitet, insbesondere zur Vertragsverwaltung, Abrechnung, Buchhaltung, Zahlungsabwicklung der SaaS-Gebühren, eigenen Kundenkommunikation, Rechtsverfolgung, Erfüllung gesetzlicher Pflichten oder Verwaltung eigener Geschäftsbeziehungen. Für diese Verarbeitungsvorgänge bleibt der Anbieter eigenständig Verantwortlicher.

Die Zahlungsabwicklung der SaaS-Gebühren zwischen dem Anbieter und dem Kunden über Stripe betrifft die eigene Vertrags- und Abrechnungsbeziehung des Anbieters mit dem Kunden und ist nicht Gegenstand dieser AVV zur Verarbeitung der calendavo-Terminbuchungsdaten.

3. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Wartung, Absicherung und technische Unterstützung der Software calendavo.

Die Verarbeitung umfasst insbesondere:

Art der Verarbeitung ist insbesondere das Erheben, Erfassen, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Bereitstellen, Abgleichen, Einschränken, Löschen und Vernichten personenbezogener Daten.

Zweck der Verarbeitung ist ausschließlich die Erbringung der calendavo-Leistungen für den Kunden nach Maßgabe des Hauptvertrags, dieser AVV und der dokumentierten Weisungen des Kunden.

4. Dauer der Verarbeitung

Die Verarbeitung beginnt mit Einrichtung, Aktivierung oder Nutzung von calendavo durch den Kunden und endet mit Beendigung des Hauptvertrags, soweit keine längere Verarbeitung aufgrund dokumentierter Weisung, technischer Löschfristen, Sicherheitszwecke oder gesetzlicher Pflichten erforderlich ist.

Nach Beendigung des Hauptvertrags werden personenbezogene Daten nach Maßgabe dieser AVV gelöscht oder zurückgegeben.

5. Kategorien personenbezogener Daten

Je nach Nutzung und Konfiguration durch den Kunden können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden.

5.1 Stammdaten und Kontaktdaten von Terminbuchenden

5.2 Termin- und Buchungsdaten

5.3 Freitextangaben

5.4 Dokumentenuploads

5.5 Nutzerdaten des Kunden

5.6 Technische Daten

6. Besondere Kategorien personenbezogener Daten

calendavo kann abhängig von der Konfiguration und Nutzung durch den Kunden auch zur Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO genutzt werden, insbesondere wenn der Kunde Freitextfelder oder Dokumentenuploads für sensible Angaben öffnet.

Besondere Kategorien personenbezogener Daten können insbesondere Gesundheitsdaten, Angaben zu Beratungsanliegen, Angaben im Zusammenhang mit Rechtsberatung, religiöse oder weltanschauliche Angaben, Gewerkschaftszugehörigkeit oder sonstige besonders schutzwürdige Informationen umfassen.

Die Verarbeitung besonderer Kategorien personenbezogener Daten ist zulässig, soweit der Kunde hierfür eine geeignete Rechtsgrundlage hat und die Verarbeitung für seinen Zweck erforderlich ist. Der Anbieter verarbeitet diese Daten ausschließlich auf Weisung des Kunden und nutzt sie nicht für eigene Zwecke.

Der Kunde ist dafür verantwortlich, besondere Kategorien personenbezogener Daten nur zu erheben, wenn dies für den jeweiligen Termin- oder Verwaltungszweck erforderlich und rechtlich zulässig ist.

Der Anbieter verwendet personenbezogene Daten von Terminbuchenden, insbesondere besondere Kategorien personenbezogener Daten, Freitextangaben und hochgeladene Dokumente, nicht für eigene Zwecke, nicht für Werbung, nicht für Profilbildung, nicht für Benchmarking und nicht für das Training von KI-Systemen.

Supportkommunikation, die keine Auftragsdaten des Kunden und keine personenbezogenen Daten von Terminbuchenden enthält, kann vom Anbieter im Rahmen der eigenen Vertrags- und Kundenbeziehung verarbeitet werden. Soweit Supportkommunikation Auftragsdaten, Freitextangaben, Dokumente oder personenbezogene Daten von Terminbuchenden enthält, gelten diese Daten als Auftragsdaten im Sinne dieser AVV und werden nicht für das Training von KI-Systemen verwendet.

7. Kategorien betroffener Personen

Betroffene Personen können insbesondere sein:

8. Verantwortlichkeit und Weisungen des Kunden

Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er entscheidet über Zwecke und Mittel der Verarbeitung, insbesondere über:

Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit der Anbieter nicht durch Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist. In diesem Fall informiert der Anbieter den Kunden vor der Verarbeitung über diese rechtliche Anforderung, soweit das betreffende Recht eine solche Information nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen können sich aus dem Hauptvertrag, dieser AVV, der Systemkonfiguration, den Einstellungen im Kundenkonto oder ergänzenden Weisungen in Textform ergeben.

Weisungen, Datenschutzanfragen, Supportfreigaben und Meldungen erfolgen über die vom Anbieter im Kundenkonto oder im Impressum bereitgestellten Kontaktwege sowie über datenschutz@calendavo.com.

Der Anbieter informiert den Kunden unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt.

9. Pflichten des Anbieters

Der Anbieter verarbeitet personenbezogene Daten ausschließlich im Rahmen dieser AVV und der dokumentierten Weisungen des Kunden.

Der Anbieter stellt sicher, dass zur Verarbeitung befugte Personen auf Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Anbieter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die Maßnahmen sind in dieser AVV beschrieben.

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit bei der Erfüllung von Betroffenenrechten, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Sicherheit der Verarbeitung, Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation.

Der Anbieter berichtigt, löscht oder sperrt personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit dies nicht bereits durch die Systemfunktionen vom Kunden selbst vorgenommen werden kann.

10. Technische und organisatorische Maßnahmen

Der Anbieter gewährleistet ein dem Risiko angemessenes Schutzniveau. Die Maßnahmen berücksichtigen insbesondere Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.

calendavo wird produktiv auf Serverinfrastruktur innerhalb der EU bzw. des EWR betrieben. Der produktive Serverstandort ist Berlin, Deutschland. Backups werden bei Hetzner am Serverstandort Helsinki, Finnland, gespeichert.

Der Anbieter darf technische und organisatorische Maßnahmen weiterentwickeln und anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

10.1 Zutrittskontrolle

Das produktive Hosting erfolgt bei IONOS am Serverstandort Berlin, Deutschland. Die Backup-Speicherung erfolgt bei Hetzner am Serverstandort Helsinki, Finnland.

Die physischen Zutrittskontrollen zu den Rechenzentren werden durch die jeweiligen Rechenzentrumsbetreiber gewährleistet. Der Anbieter unterhält keinen eigenen regulären physischen Zugriff auf die Rechenzentrumsflächen, soweit die Infrastruktur als Hosting- oder Cloudleistung genutzt wird.

10.2 Zugangskontrolle

Der Zugriff auf calendavo erfolgt über einen geschützten Loginbereich. Der Loginbereich ist durch Passwortschutz abgesichert. Zwei-Faktor-Authentifizierung ist Bestandteil der Sicherheitsmaßnahmen des Systems.

Passwörter werden nicht im Klartext gespeichert. Passwörter werden kryptografisch geschützt gespeichert.

Administrative Zugänge des Anbieters werden auf berechtigte Personen beschränkt und sind gegen unbefugten Zugriff geschützt.

10.3 Zugriffskontrolle auf Seiten des Anbieters

Der Anbieter setzt ein internes Berechtigungskonzept um. Zugriffe auf Systeme und Daten werden nach Aufgabenbereich und Erforderlichkeit beschränkt.

Systemadministratoren haben Zugriff auf die für Betrieb, Wartung, Sicherheit, Backup und Fehlerbehebung erforderlichen technischen Systeme.

Supportmitarbeiter haben grundsätzlich Zugriff auf Supporttickets. Ein Zugriff des Supports auf ein Kundenkonto erfolgt nur nach proaktiver Freigabe durch den Kunden oder soweit dies zur Bearbeitung eines dokumentierten Sicherheits- oder Incident-Falls erforderlich ist.

Mitarbeitende der Buchhaltung haben Zugriff auf Vertrags-, Rechnungs- und Zahlungsinformationen des Kunden, jedoch keinen regulären Zugriff auf Terminbuchungsdaten, Freitextangaben oder Dokumentenuploads innerhalb von calendavo.

Alle zugriffsberechtigten Personen werden zur Vertraulichkeit verpflichtet. Berechtigungen werden nach dem Need-to-know-Prinzip vergeben und bei Wegfall der Erforderlichkeit entzogen.

10.4 Zugriffskontrolle auf Seiten des Kunden

Der Anbieter stellt dem Kunden einen geschützten Loginbereich zur Verwaltung seines calendavo-Kontos bereit. Der Zugriff erfolgt über Zugangsdaten des Kundenkontos und ist durch Passwortschutz sowie Zwei-Faktor-Authentifizierung abgesichert.

Der Kunde ist dafür verantwortlich, Zugangsdaten vertraulich zu behandeln, nur berechtigten Personen zugänglich zu machen und interne Zugriffsberechtigungen organisatorisch zu regeln. Soweit mehrere Personen des Kunden Zugriff auf dasselbe Kundenkonto erhalten, erfolgt dies in Verantwortung des Kunden.

Der Anbieter nimmt keine fachliche Prüfung vor, welche Personen innerhalb der Organisation des Kunden auf das Kundenkonto zugreifen dürfen. Der Kunde entscheidet eigenverantwortlich über die interne Nutzung, Weitergabe und Verwaltung der Zugangsdaten.

10.5 Weitergabekontrolle

Datenübertragungen erfolgen über verschlüsselte Verbindungen, insbesondere TLS/HTTPS.

Eine Übermittlung personenbezogener Daten an Dritte erfolgt nur nach Maßgabe des Hauptvertrags, dieser AVV, dokumentierter Weisung des Kunden oder aufgrund gesetzlicher Verpflichtung.

Der Anbieter setzt ausschließlich die in dieser AVV genannten Unterauftragsverarbeiter für die Auftragsverarbeitung ein, soweit keine Änderung nach Maßgabe dieser AVV erfolgt.

10.6 Eingabekontrolle und Nachvollziehbarkeit

Buchungs-, Änderungs-, Upload-, Export-, Lösch- und Stornierungsprozesse werden technisch verarbeitet. Sicherheitsrelevante Ereignisse werden nach Maßgabe des Protokollierungs- und Löschkonzepts dieser AVV protokolliert.

Protokolliert werden nur solche Daten, die für Sicherheit, Fehleranalyse, Nachvollziehbarkeit, Supportbearbeitung oder Datenschutz-/Sicherheitsnachweise erforderlich sind.

10.7 Verfügbarkeitskontrolle

Der Anbieter setzt regelmäßige Backups ein. Die Backup-Speicherung erfolgt bei Hetzner am Serverstandort Helsinki, Finnland.

Der Anbieter trifft angemessene Maßnahmen zur Wiederherstellung von Daten im Rahmen des technischen Betriebs, zur Fehleranalyse, zur Behandlung von Sicherheitsvorfällen und zur Vermeidung von Datenverlust.

10.8 Trennungskontrolle

Daten verschiedener Kunden werden logisch voneinander getrennt verarbeitet. Der Anbieter sorgt für Mandantentrennung im Rahmen der Systemarchitektur.

Produktiv-, Test- und Entwicklungsumgebungen werden getrennt, soweit dies technisch erforderlich und angemessen ist. Produktivdaten sollen nicht in Test- oder Entwicklungsumgebungen verwendet werden, es sei denn, dies ist zur Fehleranalyse erforderlich und es bestehen angemessene Schutzmaßnahmen.

10.9 Dokumentenuploads

Dokumentenuploads sind nur im Rahmen der vom Kunden konfigurierten Nutzung zulässig. Der Kunde ist für die Zulässigkeit der angeforderten oder zugelassenen Dokumente verantwortlich.

Hochgeladene Dokumente werden gegen unbefugten Zugriff geschützt. Der Anbieter protokolliert Upload-, Export- und Löschereignisse nach Maßgabe dieser AVV, jedoch keine Dateiinhalte.

10.10 Cloudflare Turnstile

Zur Absicherung des Buchungsprozesses gegen automatisierte Zugriffe, Spam, Missbrauch und sonstige sicherheitsgefährdende Nutzung setzt der Anbieter Cloudflare Turnstile ein.

Cloudflare Turnstile dient der Unterscheidung zwischen menschlichen Nutzern und automatisierten Zugriffen. Im Rahmen von Cloudflare Turnstile werden keine Inhalte aus Freitextfeldern, keine Dokumenteninhalte und keine fachlichen Buchungsinhalte an Cloudflare übermittelt.

Verarbeitet werden technische Signale und Prüfdaten, insbesondere IP-Adresse, technische Browser- und Verbindungsinformationen, User-Agent, TLS-Fingerprint, Sitekey, Origin, Challenge-Status und Prüftoken, soweit dies für die Sicherheitsprüfung erforderlich ist.

10.11 Regelmäßige Überprüfung

Der Anbieter überprüft die Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig und passt sie bei Bedarf an. Dazu gehören insbesondere die Überprüfung administrativer Berechtigungen, die Aktualisierung von Systemen und Abhängigkeiten, Schwachstellenmanagement, Sicherheitsprotokollierung und Verfahren zur Behandlung von Sicherheitsvorfällen.

11. Protokollierungs- und Löschkonzept

11.1 Allgemeine Logging-Grundsätze

Für calendavo dürfen nur solche Protokolldaten erzeugt und gespeichert werden, die für IT-Sicherheit, Fehleranalyse, Nachvollziehbarkeit administrativer Tätigkeiten, Missbrauchserkennung, Supportbearbeitung oder Datenschutz-/Sicherheitsnachweise erforderlich sind.

Es dürfen keine Inhalte aus Freitextfeldern, keine Inhalte hochgeladener Dokumente, keine Gesundheitsdaten, keine Beratungsinhalte, keine Passwörter, keine Passwort-Hashes, keine Session-Cookies, keine Access Tokens, keine API-Keys und keine vollständigen Request-Bodies aus Formularen protokolliert werden.

Protokolldaten sind gegen unbefugten Zugriff und nachträgliche Veränderung zu schützen. Zugriff auf Logs erhalten nur Systemadministration und ausdrücklich berechtigte Sicherheitsverantwortliche. Auswertungen erfolgen nur für die festgelegten Zwecke.

11.2 Webserver-/Access-Logs

Zu protokollieren sind:

Nicht zu protokollieren sind:

Speicherdauer: 30 Tage.

11.3 Fehlerlogs

Zu protokollieren sind:

Personenbezogene Inhalte aus Formularen, Freitextfeldern, Dokumentenuploads und sensiblen Datenfeldern sind zu maskieren, zu unterdrücken oder vor Speicherung zu entfernen.

Speicherdauer: 90 Tage.

11.4 Login- und Sicherheitslogs

Zu protokollieren sind:

Zu protokollierende Daten sind:

Speicherdauer: 180 Tage.

11.5 Interne Admin- und Supportzugriffe durch den Anbieter

Jeder Zugriff von Mitarbeitenden des Anbieters auf Produktivsysteme, Datenbanken, Backups, Kundenaccounts oder personenbezogene Kundendaten ist zu protokollieren.

Zu protokollieren sind:

Support hat grundsätzlich nur Zugriff auf Supporttickets. Zugriff auf Kundenaccounts erfolgt nur nach proaktiver Freigabe des Kunden oder bei dokumentiertem Sicherheits- oder Incident-Fall.

Speicherdauer: 180 Tage.

11.6 Supportfreigaben durch Kunden

Freigaben des Kunden für einen Zugriff des Supports auf das Kundenkonto sind zu protokollieren.

Zu protokollieren sind:

Speicherdauer: 180 Tage.

11.7 Upload-, Export- und Löschereignisse

Zu protokollieren sind:

Zu protokollierende Daten sind:

Nicht zu protokollieren sind Dateiinhalte oder Inhalte aus Freitextfeldern.

Speicherdauer: 180 Tage.

11.8 Backup-Logs

Rein technische Backup-Job-Logs dürfen protokollieren:

Speicherdauer für rein technische Backup-Job-Logs ohne Mandanten- oder Personenbezug: 12 Monate.

Sobald Backup- oder Restore-Logs konkrete Kundenkonten, Mandanten, Nutzerkennungen oder personenbezogene Bezüge enthalten, gelten sie als mandantenbezogene Sicherheitslogs.

Speicherdauer für mandantenbezogene Backup-/Restore-Logs: 180 Tage.

11.9 Restore-Logs

Wiederherstellungen aus Backups sind zu protokollieren.

Zu protokollieren sind:

Speicherdauer: 180 Tage.

11.10 Cloudflare-Turnstile-Prüfdaten

Cloudflare Turnstile verarbeitet technische Sicherheits- und Prüfdaten zum Zweck der Bot-Erkennung und Missbrauchsvermeidung. Dazu können insbesondere IP-Adresse, User-Agent, technische Browser- und Verbindungsinformationen, TLS-Fingerprint, Sitekey, Origin, Challenge-Status und Prüftoken gehören.

Eine weitergehende Speicherung der durch Cloudflare verarbeiteten Daten richtet sich nach den vertraglichen und datenschutzrechtlichen Regelungen von Cloudflare. Der Anbieter speichert keine fachlichen Buchungsinhalte, Freitextinhalte oder Dokumenteninhalte in Zusammenhang mit Turnstile-Prüfungen.

11.11 Incident-bezogene Logs

Bei einem konkreten Sicherheitsvorfall dürfen relevante Protokolldaten gesondert gesichert und länger aufbewahrt werden, soweit dies zur Aufklärung, Beweissicherung, Schadensbegrenzung, Rechtsverfolgung oder Erfüllung gesetzlicher Pflichten erforderlich ist.

Speicherdauer: bis Abschluss der Aufklärung, danach maximal weitere 12 Monate, sofern keine gesetzlichen Gründe eine längere Speicherung erforderlich machen.

Der Incident-Fall, der Zweck der längeren Speicherung und die betroffenen Logkategorien sind zu dokumentieren.

12. Löschung und Rückgabe von Daten

Während der Vertragslaufzeit kann der Kunde personenbezogene Daten nach Maßgabe der Systemfunktionen löschen, exportieren oder verwalten.

Nach Vertragsende erhält der Kunde eine Exportfrist von 30 Tagen.

Nach Ablauf der Exportfrist werden die Produktivdaten des Kunden innerhalb von 30 weiteren Tagen gelöscht, soweit keine gesetzliche Pflicht oder dokumentierte Weisung entgegensteht.

Backups mit Kundendaten werden nach dem regulären Backup-Zyklus überschrieben oder gelöscht, spätestens jedoch nach 90 Tagen.

Supporttickets dürfen grundsätzlich bis zu 24 Monate nach Abschluss des Tickets gespeichert werden, soweit dies zur Nachvollziehbarkeit, Qualitätssicherung, Fehleranalyse oder Vertragsdurchführung erforderlich ist.

Personenbezogene Daten von Terminbuchenden, Freitextinhalte, sensible Angaben und Dokumente sind in Supporttickets zu vermeiden. Werden solche Daten ausnahmsweise übermittelt, sind sie nach Abschluss der Supportbearbeitung zu löschen, zu anonymisieren oder zu redigieren, soweit sie nicht mehr erforderlich sind.

Vertrags-, Rechnungs- und Zahlungsdaten zwischen dem Anbieter und dem Kunden sind nicht Teil der Auftragsverarbeitung für calendavo-Terminbuchungsdaten. Sie werden vom Anbieter in eigener Verantwortlichkeit nach den jeweils geltenden gesetzlichen Aufbewahrungspflichten gespeichert.

Der Anbieter bestätigt dem Kunden auf Anfrage die Löschung in angemessener Form.

13. Unterauftragsverarbeiter

Der Kunde erteilt dem Anbieter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern, soweit diese in dieser AVV aufgeführt sind oder nach Maßgabe dieser AVV neu hinzugezogen oder ersetzt werden.

Der Anbieter informiert den Kunden vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Die Information kann per E-Mail, Kundenkonto, Kundenportal, Veröffentlichung auf der Website oder über eine Unterauftragsverarbeiterliste erfolgen.

Der Kunde kann innerhalb von 14 Tagen nach Information aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Erhebt der Kunde keinen Einspruch innerhalb dieser Frist, gilt der Einsatz des neuen oder ersetzten Unterauftragsverarbeiters als genehmigt.

Bei einem berechtigten Einspruch bemühen sich die Parteien um eine angemessene Lösung. Ist eine solche Lösung nicht möglich, kann der Anbieter den betroffenen Dienst einstellen oder den Hauptvertrag nach Maßgabe der vertraglichen Regelungen kündigen, soweit die weitere Leistungserbringung ohne den Unterauftragsverarbeiter nicht möglich oder nicht zumutbar ist.

Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die dem Schutzniveau dieser AVV entsprechen. Der Anbieter bleibt gegenüber dem Kunden für die Einhaltung der Datenschutzpflichten durch Unterauftragsverarbeiter verantwortlich.

Aktuell eingesetzte Unterauftragsverarbeiter

IONOS SE
Elgendorfer Str. 57, 56410 Montabaur
Leistung: Hosting, Serverbetrieb, Infrastruktur für das Produktivsystem
Verarbeitungsort: Berlin, Deutschland
Datenkategorien: Personenbezogene Daten, die produktiv in calendavo verarbeitet werden
Drittlandtransfer: nein, EU/EWR

Hetzner Online GmbH
Industriestr. 25, 91710 Gunzenhausen
Leistung: Backup-Infrastruktur, Speicherung von Sicherungskopien
Verarbeitungsort: Helsinki, Finnland
Datenkategorien: Backup-Daten aus calendavo
Drittlandtransfer: nein, EU/EWR

Cloudflare, Inc.
101 Townsend Street, San Francisco, CA 94107, USA
Leistung: Cloudflare Turnstile zur Bot-Erkennung, Missbrauchsvermeidung und Absicherung des Buchungsprozesses
Verarbeitungsort: EU/EWR, USA und weitere Cloudflare-Verarbeitungsstandorte nach Maßgabe der Cloudflare-Vertragsunterlagen
Datenkategorien: technische Sicherheits- und Prüfdaten, insbesondere IP-Adresse, User-Agent, TLS-Fingerprint, Sitekey, Origin, Challenge-Status und Prüftoken
Drittlandtransfer: ja; abgesichert über Cloudflare Data Processing Addendum, EU-Standardvertragsklauseln und, soweit anwendbar, EU-U.S. Data Privacy Framework

Stripe wird ausschließlich zur Abrechnung der SaaS-Nutzung zwischen dem Anbieter und dem Kunden eingesetzt. Stripe ist nicht Unterauftragsverarbeiter für die Verarbeitung von calendavo-Terminbuchungsdaten im Auftrag des Kunden.

14. Drittlandübermittlungen

Die produktive Verarbeitung der calendavo-Terminbuchungsdaten und die Speicherung von Backups erfolgen nach der derzeitigen Konfiguration innerhalb der EU bzw. des EWR.

Beim Einsatz von Cloudflare Turnstile können technische Sicherheits- und Prüfdaten an Cloudflare, Inc. in den USA oder an weitere Cloudflare-Gesellschaften und -Verarbeitungsstandorte übermittelt werden. Der Einsatz erfolgt zur Absicherung des Buchungsprozesses gegen automatisierte Zugriffe, Spam, Missbrauch und Angriffe.

Drittlandübermittlungen im Zusammenhang mit Cloudflare Turnstile erfolgen auf Grundlage geeigneter Garantien, insbesondere des Cloudflare Data Processing Addendum, der EU-Standardvertragsklauseln und, soweit anwendbar, des EU-U.S. Data Privacy Framework.

Eine sonstige Verarbeitung personenbezogener Daten außerhalb der EU oder des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Soweit künftig weitere Drittlandübermittlungen im Rahmen der Auftragsverarbeitung erforderlich werden, stellt der Anbieter sicher, dass geeignete Transfermechanismen bestehen, insbesondere Angemessenheitsbeschluss, EU-Standardvertragsklauseln oder sonstige zulässige Garantien nach der DSGVO.

Der Anbieter informiert den Kunden über relevante Änderungen, die die Rechtmäßigkeit einer Drittlandübermittlung im Rahmen der Auftragsverarbeitung betreffen.

15. Datenschutzverletzungen

Der Anbieter informiert den Kunden unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten, soweit personenbezogene Daten des Kunden betroffen sind.

Die Meldung enthält, soweit verfügbar:

Der Anbieter unterstützt den Kunden bei der Prüfung und Erfüllung etwaiger Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen.

Die rechtliche Verantwortung für Meldungen gegenüber Aufsichtsbehörden und betroffenen Personen verbleibt beim Kunden, soweit nicht gesetzlich etwas anderes gilt.

16. Betroffenenrechte

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit bei der Bearbeitung von Anfragen betroffener Personen.

Erhält der Anbieter unmittelbar eine Anfrage einer betroffenen Person, die sich auf eine Verarbeitung im Auftrag des Kunden bezieht, wird der Anbieter die Anfrage grundsätzlich an den Kunden weiterleiten, sofern eine Zuordnung möglich ist. Der Anbieter beantwortet solche Anfragen nicht eigenständig, soweit er hierzu nicht rechtlich verpflichtet ist oder eine dokumentierte Weisung des Kunden vorliegt.

Der Kunde bleibt für die fristgerechte und rechtmäßige Bearbeitung von Betroffenenanfragen verantwortlich.

17. Unterstützung bei Datenschutzpflichten

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der dem Anbieter verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

Dies umfasst insbesondere Unterstützung bei:

Soweit die Unterstützung über die vertraglich geschuldete Leistung hinausgeht und nicht auf einem vom Anbieter zu vertretenden Umstand beruht, kann der Anbieter eine angemessene Vergütung nach Maßgabe des Hauptvertrags verlangen.

18. Nachweise und Audits

Der Anbieter stellt dem Kunden auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieser AVV zur Verfügung.

Der Nachweis erfolgt vorrangig durch geeignete Dokumentation, insbesondere:

Audits einschließlich Inspektionen sind zulässig, soweit sie zur Prüfung der Auftragsverarbeitung erforderlich sind. Sie sind mit angemessener Frist anzukündigen und während üblicher Geschäftszeiten durchzuführen.

Der Kunde hat Geschäftsgeheimnisse, Sicherheitsinteressen, Vertraulichkeitsinteressen und Rechte anderer Kunden zu wahren.

Vor-Ort-Audits erfolgen nur bei berechtigtem Anlass oder wenn gleichwertige Nachweise nicht ausreichen.

Der Anbieter darf angemessene organisatorische Vorgaben für Audits machen, insbesondere hinsichtlich Terminabstimmung, Geheimhaltung, Sicherheitsanforderungen und Schutz der Daten anderer Kunden. Soweit gesetzlich zulässig und soweit das Audit nicht aufgrund eines vom Anbieter zu vertretenden Datenschutzvorfalls erforderlich ist, kann der Anbieter eine angemessene Vergütung für erheblichen zusätzlichen Aufwand verlangen.

19. Vertraulichkeit

Der Anbieter stellt sicher, dass alle Personen, die Zugriff auf personenbezogene Daten im Rahmen der Auftragsverarbeitung erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Die Vertraulichkeitspflicht besteht auch nach Beendigung der Tätigkeit der jeweiligen Person fort.

20. Nutzung von Auftragsdaten

Der Anbieter verarbeitet Auftragsdaten ausschließlich zur Erbringung der calendavo-Leistungen, zur Umsetzung dokumentierter Weisungen des Kunden, zur Sicherstellung von Betrieb und Sicherheit, zur Fehleranalyse, zur Supportbearbeitung und zur Erfüllung dieser AVV.

Der Anbieter nutzt Auftragsdaten nicht für eigene Werbung, Profilbildung, Benchmarking, Adresshandel, Produktanalyse zu eigenen Zwecken oder Training von KI-Systemen.

Anonymisierte Daten, bei denen kein Personenbezug mehr besteht und eine Re-Identifizierung nicht möglich ist, gelten nicht als personenbezogene Daten im Sinne dieser AVV.

21. Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften und den Haftungsregelungen des Hauptvertrags, soweit diese AVV keine spezielleren Regelungen enthält.

Datenschutzrechtliche Ansprüche betroffener Personen bleiben unberührt.

22. Laufzeit und Beendigung

Diese AVV gilt für die Dauer des Hauptvertrags zwischen dem Anbieter und dem Kunden.

Mit Beendigung des Hauptvertrags endet auch diese AVV, soweit keine Pflichten zur Löschung, Rückgabe, Vertraulichkeit, Nachweisführung oder gesetzlichen Aufbewahrung fortbestehen.

23. Änderungen dieser AVV

Der Anbieter kann diese AVV ändern, soweit dies aufgrund gesetzlicher Änderungen, technischer Änderungen, Sicherheitsanforderungen, Änderungen der Auftragsverarbeitung oder Änderungen der eingesetzten Unterauftragsverarbeiter erforderlich oder angemessen ist.

Der Anbieter informiert den Kunden über wesentliche Änderungen in geeigneter Weise.

Änderungen dürfen das datenschutzrechtliche Schutzniveau dieser AVV nicht unangemessen unterschreiten. Rechte des Kunden nach den Regelungen über Unterauftragsverarbeiter bleiben unberührt.

24. Rangfolge

Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen die Regelungen dieser AVV vor, soweit der Widerspruch datenschutzrechtliche Pflichten der Auftragsverarbeitung betrifft.

Im Übrigen bleiben die Regelungen des Hauptvertrags unberührt.

25. Schlussbestimmungen

Es gilt deutsches Recht.

Gerichtsstand ist Köln, soweit gesetzlich zulässig.

Sollten einzelne Bestimmungen dieser AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Die Parteien werden eine unwirksame Bestimmung durch eine wirksame Regelung ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung möglichst nahekommt.