Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Buchungssystem)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) wird in elektronischer Form gemäß Art. 28 Abs. 3 und 9 DSGVO geschlossen zwischen dem Salon-Inhaber, der das Online-Buchungssystem Future Life nutzt (nachfolgend „Verantwortlicher“ oder „Salon“), und der Future by Life sp. z o.o. mit Sitz in Szczecin (Stettin), ul. Jana Kazimierza 11A lok. 6, 71-620 Szczecin, KRS 0001199212, NIP 9552591446 (nachfolgend „Auftragsverarbeiter“ oder „Gesellschaft“). Der Vertrag kommt mit dem Setzen des Akzeptanzhakens bei der Erstellung des Salons auf der Website zustande und gilt für die Dauer der Nutzung des Buchungssystems.

1. Gegenstand und Art der Verarbeitung

Der Verantwortliche überträgt der Gesellschaft die Verarbeitung personenbezogener Daten zum Zweck der Erbringung des Dienstes des Online-Buchungssystems: Entgegennahme und Bearbeitung von Buchungen, Führung des Kalenders und der Kundenkartei, Versand von Bestätigungen, Erinnerungen und Bewertungsanfragen (E-Mail, SMS), interne Abrechnungen des Salons (Vergütungen, Miete, Lager) sowie Statistiken. Die Verarbeitung ist dauerhaft und erfolgt in den IT-Systemen der Gesellschaft.

2. Art der Daten und Kategorien betroffener Personen

• Kunden des Salons: Vor- und Nachname, Telefonnummer, E-Mail-Adresse, Historie und Einzelheiten der Termine, Notizen des Salons, Marketingeinwilligungen, Bewertungen; sowie – sofern der Salon sie eingibt – Angaben zu Kontraindikationen und zum Verlauf von Behandlungen, die Gesundheitsdaten darstellen (Art. 9 DSGVO);
• Mitarbeiter und Mitarbeitende des Salons (einschließlich Mieter von Arbeitsplätzen): Vor- und Nachname, E-Mail, Rolle, Dienstplan, vom Salon eingegebene Vergütungskonditionen.

Der Verantwortliche erklärt, dass er über eine Rechtsgrundlage für die Verarbeitung der übertragenen Daten verfügt, insbesondere über die ausdrückliche Einwilligung der Kunden in die Verarbeitung von Gesundheitsdaten (Art. 9 Abs. 2 Buchst. a DSGVO) oder über eine andere Grundlage nach Art. 9 Abs. 2 DSGVO, und dass er gegenüber den Kunden die Informationspflicht erfüllt (Art. 13 DSGVO). Die Gesellschaft stellt auf der Buchungsseite des Salons ein Muster der Verarbeitungsinformation zur Verfügung, das der Salon durch einen eigenen Text ergänzen kann.

3. Pflichten des Auftragsverarbeiters

• verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen – als Weisung gelten die Nutzung der Systemfunktionen durch den Salon und sein Team sowie die im Panel vorgenommenen Einstellungen;
• gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben;
• wendet dem Risiko angemessene technische und organisatorische Maßnahmen an (Art. 32 DSGVO): Verschlüsselung der Übertragung (TLS), verschlüsselte Sicherungskopien, rollenbasierte Zugriffskontrolle (Inhaber / Administrator / Spezialist / Mieter – der Mieter hat keinen Zugriff auf die Kundendatenbank des Salons), Ereignisprotokoll, Trennung der Gesundheitsdaten in der Benutzeroberfläche, Beschränkung des Zugriffs des Personals der Gesellschaft auf Gesundheitsdaten auf Personen mit leitender Rolle;
• nimmt nur die in Punkt 5 genannten weiteren Auftragsverarbeiter in Anspruch; über die Absicht, einen weiteren Auftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er den Verantwortlichen mindestens 14 Tage im Voraus (per E-Mail) und räumt ihm die Möglichkeit eines Widerspruchs ein, der zur Beendigung des Vertrags führen kann;
• unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit) durch Panel-Funktionen: Kundensuche, Bearbeitung der Kundenkarte, die Funktion „personenbezogene Daten des Kunden löschen“ sowie Datenexport auf Anforderung;
• unterstützt bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO, einschließlich der Meldung einer Verletzung des Schutzes personenbezogener Daten an den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Feststellung;
• löscht oder gibt nach Beendigung der Erbringung des Dienstes – gemäß der Entscheidung des Verantwortlichen – alle übertragenen Daten zurück (Export) und löscht Kopien spätestens 90 Tage nach der Beendigung, es sei denn, das Unionsrecht oder das polnische Recht schreibt eine Speicherung vor; die Löschung des Kontos des Inhabers führt zur sofortigen Löschung der Daten des Salons;
• stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten erforderlich sind, und ermöglicht Überprüfungen (einschließlich Inspektionen) nach vorheriger Terminabsprache, höchstens einmal jährlich, es sei denn, es ist zu einer Verletzung gekommen.

4. Pflichten des Verantwortlichen

• gibt in das System nur die für den Zweck erforderlichen Daten ein (Datenminimierung) und gibt keine sensiblen Daten ohne Rechtsgrundlage ein;
• erteilt den Teammitgliedern Zugriffe entsprechend ihrer Rolle und entzieht sie unverzüglich nach Beendigung der Zusammenarbeit;
• ist für den Inhalt der an Kunden gesendeten Mitteilungen verantwortlich (einschließlich des Vorliegens von Einwilligungen in die Marketingkommunikation gemäß Art. 398 des polnischen Gesetzes über die elektronische Kommunikation);
• informiert die Kunden über die Verarbeitung und über die Nutzung der Plattform Future Life als Auftragsverarbeiter.

5. Weitere Auftragsverarbeiter

• Hosting-Anbieter (VPS-Server im Europäischen Wirtschaftsraum) – Infrastruktur und Sicherungskopien;
• SMSAPI sp. z o.o., Polen – Versand von SMS-Erinnerungen (ausschließlich Telefonnummer und Inhalt der Erinnerung);
• eigener Mailserver der Gesellschaft (EWR) – Versand von E-Mail-Nachrichten;
• Cloudflare, Inc., USA – Bot-Schutz und Content-Auslieferung (IP-Adresse, technische Daten) – Übermittlung auf der Grundlage des EU-U.S. Data Privacy Framework / der Standardvertragsklauseln;
• Stripe – ausschließlich Abrechnungsdaten des Salons (nicht die Daten der Kunden des Salons).

Die Daten der Salon-Kunden werden nicht an Anbieter künstlicher Intelligenz übermittelt und von der Gesellschaft nicht für eigene Zwecke verwendet.

6. Haftung und Schlussbestimmungen

Jede Partei haftet für durch die Verarbeitung verursachte Schäden in dem sich aus Art. 82 DSGVO ergebenden Umfang. Die Gesellschaft haftet nicht für die Folgen von Handlungen der Nutzer des Salons (z. B. Eingabe von Daten ohne Rechtsgrundlage, Weitergabe von Zugangsdaten). Der Vertrag unterliegt polnischem Recht. Änderungen des Vertrags erfordern eine Mitteilung an den Verantwortlichen mit 14 Tagen Vorlauf; die weitere Nutzung des Dienstes gilt als Zustimmung zu den Änderungen, ein Widerspruch begründet das Recht zur Kündigung des Vertrags und zur Rückgabe der Daten. Die aktuelle Version des Vertrags und das Datum ihrer Annahme sind im Salon-Panel gespeichert.