Terminradar← Zurück

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: 25. August 2026 · Bestandteil der AGB.

Die deutsche Fassung ist die rechtsverbindliche. Eine englische Übersetzung dient nur zur Information.

Präambel

Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Vereinbarung über die Nutzung der Plattform Terminradar (im Folgenden: „Hauptvertrag“) ergeben. Der Vertrag findet Anwendung, soweit der Auftragsverarbeiter (Anbieter) im Auftrag des Verantwortlichen (Business-Kunde) personenbezogene Daten der Endkunden verarbeitet.

§ 1 Vertragsparteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Business-Kunde, der den Dienst Terminradar für die Annahme von Buchungen seiner Endkundinnen und Endkunden nutzt.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:

KB-Bit Systems UG (haftungsbeschränkt)
Karolingerstr. 20
67354 Römerberg
E-Mail: impressum-web@terminradar.de

§ 2 Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung sind alle Tätigkeiten, die der Auftragsverarbeiter im Rahmen des Hauptvertrags zur Erbringung des Buchungsdienstes erbringt. Der Vertrag läuft solange der Hauptvertrag besteht.

§ 3 Art und Zweck der Verarbeitung

Speicherung, Abruf, Übermittlung an autorisierte Dritte (etwa verbundene Kalender, E-Mail-Versanddienst), Löschung und allgemeine Pflege von Buchungs- und Kontaktdaten, ausschließlich zum Zweck der digitalen Terminbuchung und der dazugehörigen Benachrichtigungen.

Ausdrücklicher Ausschluss besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO)

Die Plattform Terminradar ist ausschließlich für die Verarbeitung reiner Termindaten konzipiert und technisch ausgerichtet. Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO — insbesondere Gesundheitsdaten, Diagnosen, Befunde, Informationen über Erkrankungen oder Behandlungen — ist über diese Plattform ausdrücklich untersagt und stellt einen wesentlichen Verstoß gegen die Nutzungsbedingungen dar. Der Verantwortliche (Business-Kunde) ist allein verantwortlich dafür sicherzustellen, dass derartige Daten nicht in Freitext-Feldern (insbesondere Leistungsbeschreibungen, Buchungsanmerkungen) erfasst werden.

§ 4 Art der personenbezogenen Daten

  • Identifikationsdaten (Name, E-Mail-Adresse, ggf. Telefonnummer)
  • Termindaten (Datum, Uhrzeit, gebuchte Leistung, freie Anmerkungen)
  • Authentifizierungsdaten registrierter Endkunden (E-Mail, Passwort-Hash)
  • Verfügbarkeitsdaten verbundener Kalender (nur Belegt-/Frei-Zeiträume)

§ 5 Kategorien betroffener Personen

  • Endkundinnen und Endkunden des Verantwortlichen, die Termine buchen
  • Mitarbeitende des Verantwortlichen, die im Dashboard verwaltet sind

§ 6 Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gilt insbesondere die Nutzung der bereitgestellten Funktionen über das Dashboard.
  2. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.
  3. Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1).
  4. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Anfragen Betroffener (Art. 12–23 DSGVO) sowie bei der Einhaltung seiner Pflichten aus Art. 32–36 DSGVO.
  5. Bei einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnisnahme.
  6. Nach Beendigung des Hauptvertrags löscht oder gibt der Auftragsverarbeiter alle personenbezogenen Daten zurück (Wahl des Verantwortlichen), soweit nicht gesetzliche Aufbewahrungspflichten entgegenstehen.

§ 7 Pflichten des Verantwortlichen

  1. Der Verantwortliche bleibt im Rahmen des AVV uneingeschränkt für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Betroffenenrechte verantwortlich.
  2. Der Verantwortliche stellt sicher, dass er gegenüber seinen Endkunden eine eigene, datenschutzkonforme Information über die Datenverarbeitung bereithält und die erforderlichen Rechtsgrundlagen vorliegen.
  3. Weisungen sind grundsätzlich in Textform zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

§ 8 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mit angemessener Vorlaufzeit per E-Mail; der Verantwortliche kann der Änderung aus wichtigem Grund widersprechen.

  • Strato AG (Deutschland) — Server-Hosting — Auftragsverarbeitung gemäß Art. 28 DSGVO
  • Migadu Ltd. (Schweiz) — E-Mail-Versand — Angemessenheitsbeschluss der Europäischen Kommission, DPA abgeschlossen
  • Cloudflare, Inc. (USA) — Bot-Schutz (Turnstile) — EU-US Data Privacy Framework, Standardvertragsklauseln
  • Stripe Payments Europe Ltd. (Irland) — Zahlungsabwicklung — DPA abgeschlossen (geplant, sobald die kostenpflichtige Nutzung aktiv ist)

Hinweis: Verbindet der Verantwortliche freiwillig externe Kalender (Google, Microsoft 365, CalDAV-Anbieter, ICS-Feeds), so handelt es sich nicht um Unterauftragsverarbeiter des Anbieters, sondern um eigenständige Verantwortliche, mit denen der Verantwortliche eine eigene datenschutzrechtliche Beziehung unterhält.

§ 9 Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, die Einhaltung der Pflichten des Auftragsverarbeiters zu prüfen — insbesondere durch Einholung von Auskünften und ggf. durch Einsichtnahme in die einschlägigen Datenverarbeitungsprogramme, jeweils nach vorheriger Terminabsprache. Aktuelle Zertifizierungen oder Audit-Berichte des Auftragsverarbeiters werden anstelle einer Vor-Ort-Prüfung anerkannt.

§ 10 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien für Schäden jeweils nach Maßgabe ihres Verantwortungsanteils.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen nach Art. 32 DSGVO um:

  • Vertraulichkeit: Zugangskontrolle (Hosting-Rechenzentrum mit Zutrittskontrolle), Zugriffskontrolle (rollenbasierte Berechtigungen, JWT-Authentifizierung), Trennungskontrolle (Mandantentrennung pro Tenant)
  • Integrität: TLS 1.2+ für alle Verbindungen, gehashte Passwörter (PBKDF2/bcrypt), CalDAV-Zugangsdaten verschlüsselt in der Datenbank
  • Verfügbarkeit: regelmäßige automatische Backups, Monitoring, Hangfire-Jobs für asynchrone Verarbeitung
  • Belastbarkeit: Rate-Limiting, Bot-Schutz über Cloudflare Turnstile, Fehler-Logging und -Auswertung
  • Wiederherstellbarkeit: Rollback-fähige Datenbank-Migrations, Recovery-Prozedere dokumentiert
  • Verfahren zur regelmäßigen Überprüfung: quartalsweises Audit der Berechtigungen und Zugriffe

Eine ausführliche TOM-Dokumentation kann auf Anfrage bereitgestellt werden.