Auftragsverarbeitungsvertrag

nach Art. 28 DSGVO. Version 1.1, Stand: 2. November 2026

§ 1 Parteien und Abschluss

  1. Dieser Vertrag wird geschlossen zwischen dem Salon, der ein Konto bei Kammzeit anlegt (Verantwortlicher, "Salon"), und Ben Oliver Mallow, Einzelunternehmer, der auch unter dem Namen InstantNode auftritt, Sickinger Straße 7, 55758 Sien, Deutschland, E-Mail kontakt@kammzeit.de (Auftragsverarbeiter, "wir", "uns").
  2. Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Der Salon nimmt ihn bei der Registrierung durch Setzen des dafür vorgesehenen Häkchens an. Er ergänzt die AGB von Kammzeit. In Fragen des Datenschutzes geht dieser Vertrag den AGB vor. Auf Wunsch schicken wir dem Salon eine Kopie per E-Mail.
  3. Für Daten, die wir als eigener Verantwortlicher verarbeiten, etwa die Konto- und Abrechnungsdaten des Salon-Inhabers und die Angaben zu den Kammzeit-News, gilt dieser Vertrag nicht. Dafür gilt unsere Datenschutzerklärung.

§ 2 Gegenstand, Dauer, Art und Zweck

  1. Gegenstand: Bereitstellung des Online-Dienstes Kammzeit für den Salon: öffentliche Buchungsseite mit den vom Salon hochgeladenen Bildern, Dashboard mit Kalender, Kundenkartei, Leistungen und Team, im Pro-Plan außerdem Mitarbeiter-Logins und Warteschlange, sowie automatische E-Mails an die Kunden des Salons und an seine Mitarbeiter.
  2. Dauer: Laufzeit des Vertrags nach den AGB, bis zum Abschluss der Löschung nach § 12.
  3. Art der Verarbeitung: Erheben (über das Buchungsformular, das Formular der Warteschlange oder durch Eingabe und Hochladen durch den Salon), Speichern, Anzeigen, Ändern, Verkleinern und Neuspeichern von Bildern, Versenden von E-Mails (Bestätigung, Erinnerung, Absage, Aufruf aus der Warteschlange, Einladung von Mitarbeitern), Exportieren, Sichern und Löschen.
  4. Zweck: Online-Terminbuchung, Terminverwaltung und Warteschlange des Salons, Zugang seiner Mitarbeiter zum Dashboard und Darstellung seiner Buchungsseite.

§ 3 Art der Daten und betroffene Personen

  1. Kunden und Interessenten des Salons: Name, E-Mail-Adresse, Telefonnummer (wenn angegeben), Termine (Leistung, Mitarbeiter, Zeitpunkt, Status wie gebucht, abgesagt oder nicht erschienen, Herkunft der Buchung), Notizen des Salons in der Kundenkartei und zu Terminen, Absage-Links sowie technische Daten bei der Buchung (IP-Adresse, nur kurzzeitig im Arbeitsspeicher für Ratenbegrenzungen).
  2. Wartende in der Warteschlange: Vorname, E-Mail-Adresse (wenn angegeben), gewünschte Leistung und gegebenenfalls Mitarbeiter, Nummer und Stand des Eintrags, Zeitpunkte von Anmeldung, Aufruf, Abschluss und Benachrichtigung, die zufällige Kennung der Statusseite (auch im Cookie kz_queue auf dem Gerät der Person) sowie technische Daten (IP-Adresse, nur kurzzeitig im Arbeitsspeicher für Ratenbegrenzungen).
  3. Mitarbeiter des Salons: Name, Arbeitszeiten, angebotene Leistungen und zugeordnete Termine. Bei Mitarbeiter-Logins außerdem E-Mail-Adresse, Rolle, Sprache, Zeitpunkt der Anlage und der letzten Anmeldung sowie Anmeldelinks und Sitzungen (nur als Hashwert).
  4. Abgebildete Personen: Bilder, die der Salon hochlädt (Logo, Titelbild, Fotogalerie), mit ihren Bildbeschreibungen, soweit darauf Personen erkennbar sind, zum Beispiel Mitarbeiter oder Kunden des Salons. Metadaten wie EXIF-Daten und GPS-Standort entfernen wir beim Hochladen, sie werden nicht gespeichert.
  5. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Notiert der Salon solche Angaben in Freitextfeldern, etwa Allergien oder Unverträglichkeiten, ist er für die Rechtsgrundlage verantwortlich, in der Regel eine ausdrückliche Einwilligung der betroffenen Person. Für diese Angaben gelten die Maßnahmen nach Anlage 1. Weitergehende Maßnahmen, etwa eine gesonderte Verschlüsselung, bietet Kammzeit nicht. Der Salon entscheidet, ob das Schutzniveau für seine Daten ausreicht.

§ 4 Rechte und Pflichten des Salons

  1. Der Salon ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information seiner Kunden, Wartenden und Mitarbeiter nach Art. 13 DSGVO, die Einwilligungen von Personen, die auf hochgeladenen Bildern zu sehen sind, die Bearbeitung von Anträgen betroffener Personen und die Festlegung, wie lange Daten gespeichert bleiben.
  2. Der Salon hat das Recht, Weisungen zu erteilen (§ 5), Nachweise und Kontrollen zu verlangen (§ 13), neuen Unterauftragsverarbeitern zu widersprechen (§ 9) und nach Vertragsende zwischen Rückgabe und Löschung zu wählen (§ 12).
  3. Stellt der Salon Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er uns unverzüglich.

§ 5 Weisungen

  1. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Salons, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, wir sind durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilen wir dem Salon diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
  2. Dokumentierte Weisungen sind dieser Vertrag, die AGB und die Einstellungen und Aktionen des Salons im Dashboard. Weitere Weisungen erteilt der Salon in Textform von der im Konto hinterlegten E-Mail-Adresse. Wir bewahren Weisungen in Textform für die Dauer dieses Vertrags auf.
  3. Verstößt eine Weisung nach unserer Auffassung gegen Datenschutzvorschriften, informieren wir den Salon unverzüglich. Wir dürfen die Ausführung aussetzen, bis der Salon die Weisung bestätigt oder ändert.

§ 6 Keine Nutzung für eigene Zwecke

  1. Wir verarbeiten die Daten nur, um den Dienst für den Salon zu erbringen. Wir verkaufen sie nicht, geben sie nicht an Dritte weiter, nutzen sie nicht für Werbung, Analysen oder Profile und nicht zum Trainieren von KI-Modellen.
  2. Auf den Inhalt der Daten greifen wir nur zu, wenn der Salon es verlangt, wenn es für Betrieb, Sicherung, Wiederherstellung oder die Beseitigung von Störungen technisch erforderlich ist, wenn ein konkreter Verdacht auf Missbrauch oder einen Sicherheitsvorfall besteht oder wenn das Gesetz es verlangt.
  3. Anfragen von Behörden oder Dritten nach Daten des Salons beantworten wir nur, wenn eine rechtlich verbindliche Pflicht nach dem Recht der Union oder eines Mitgliedstaats besteht, und nur im erforderlichen Umfang. Wir informieren den Salon vorher, soweit das rechtlich zulässig ist. Anfragen von Behörden eines Drittlands behandeln wir nach Art. 48 DSGVO.

§ 7 Vertraulichkeit

Zugriff auf die Daten hat nur der Auftragsverarbeiter selbst. Setzen wir weitere Personen ein, verpflichten wir sie vor dem ersten Zugriff schriftlich zur Vertraulichkeit, soweit sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und weisen sie in die Datenschutzvorschriften ein (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht besteht nach Ende ihrer Tätigkeit fort.

§ 8 Sicherheit der Verarbeitung

  1. Wir treffen die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO).
  2. Die Maßnahmen entwickeln wir mit dem Stand der Technik weiter. Wir dürfen sie durch gleichwertige oder bessere ersetzen. Das Schutzniveau darf dabei nicht sinken.
  3. Für die Sicherheit seines Zugangs, insbesondere seines E-Mail-Postfachs, über das die Anmeldung läuft, ist der Salon verantwortlich. Das gilt auch für die Mitarbeiter-Logins, die er vergibt: Er entscheidet, wer einen Zugang bekommt, gibt Zugänge nur an Personen, die sie für ihre Arbeit brauchen, und entfernt sie unverzüglich, wenn jemand ausscheidet oder den Zugang nicht mehr braucht.

§ 9 Unterauftragsverarbeiter

  1. Kein Dienstleister hat Zugriff auf den Inhalt der Daten. Wir betreiben Kammzeit, die Datenbank, die Sicherungen und den E-Mail-Versand auf eigenen Systemen von InstantNode. Die in Anlage 2 genannten Dienstleister stellen Rechenzentrum und Netzanbindung bereit. Wir führen sie vorsorglich als Unterauftragsverarbeiter auf, sie gelten mit Abschluss dieses Vertrags als genehmigt.
  2. Der Salon erteilt uns die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Jede beabsichtigte Hinzuziehung oder Ersetzung teilen wir mindestens vier Wochen vorher per E-Mail mit. Der Salon kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Gibt es keine zumutbare Alternative, kann er den Vertrag zum Zeitpunkt der Änderung fristlos kündigen. Im Voraus bezahlte Entgelte erstatten wir dann anteilig.
  3. Wir erlegen jedem Unterauftragsverarbeiter vertraglich die Datenschutzpflichten dieses Vertrags auf (Art. 28 Abs. 4 DSGVO) und haften für ihn wie für eigenes Handeln.
  4. Telekommunikationsanbieter, die Daten nur transportieren, und die Mailanbieter der Empfänger von E-Mails sind keine Unterauftragsverarbeiter.

§ 10 Ort der Verarbeitung

Wir verarbeiten die Daten ausschließlich in der Europäischen Union, auf Servern in einem Rechenzentrum in Eygelshoven (Niederlande). Administrative Zugriffe erfolgen aus der EU oder dem EWR. Eine Übermittlung in Drittländer findet nicht statt.

§ 11 Unterstützung des Salons

  1. Betroffenenrechte: Der Salon kann Daten seiner Kunden im Dashboard einsehen, berichtigen, löschen und exportieren und so Anträge auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit selbst erfüllen. Einträge der Warteschlange, Bilder und Mitarbeiter-Logins kann er im Dashboard entfernen. Darüber hinaus unterstützen wir ihn nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 lit. e DSGVO). Anträge betroffener Personen, die uns direkt erreichen, leiten wir innerhalb von drei Werktagen an den Salon weiter und beantworten sie nicht selbst, sofern das Gesetz nichts anderes verlangt.
  2. Weitere Pflichten: Wir unterstützen den Salon unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen bei der Sicherheit der Verarbeitung, der Meldung von Datenpannen, der Benachrichtigung betroffener Personen, einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 32 bis 36, Art. 28 Abs. 3 lit. f DSGVO).
  3. Datenpannen: Eine Verletzung des Schutzes personenbezogener Daten, die Daten des Salons betrifft, melden wir dem Salon ohne unangemessene Verzögerung, spätestens 48 Stunden nachdem sie uns bekannt geworden ist, per E-Mail an die im Konto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenarten und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen können schrittweise nachgereicht werden. Ob die Aufsichtsbehörde oder betroffene Personen benachrichtigt werden, entscheidet der Salon.
  4. Unterstützung, die über die Funktionen des Dashboards und einen geringen Aufwand hinausgeht, können wir nach vorheriger Ankündigung des voraussichtlichen Betrags angemessen berechnen, es sei denn, der Anlass liegt in unserem Verantwortungsbereich.

§ 12 Löschung und Rückgabe

  1. Während der Laufzeit kann der Salon seine Daten jederzeit im Dashboard exportieren und löschen.
  2. Nach Vertragsende hat der Salon die Wahl zwischen Rückgabe und Löschung (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt, indem der Salon die Daten vor dem Vertragsende über die Export-Funktion in einem gängigen, maschinenlesbaren Format herunterlädt. Hochgeladene Bilder sind im Export mit ihrer Adresse aufgeführt und können bis zum Vertragsende von dort heruntergeladen werden.
  3. Löscht der Salon sein Konto oder endet der Vertrag auf andere Weise, löschen wir alle Daten des Salons aus dem laufenden Bestand. Aus den Sicherungen verschwinden sie mit deren Rotation, spätestens 30 Tage nach der Kontolöschung beziehungsweise dem Vertragsende. Eine Pflicht zur weiteren Speicherung dieser Daten besteht für uns nicht.
  4. Auf Verlangen bestätigen wir die Löschung in Textform.

§ 13 Nachweise und Kontrollen

  1. Wir stellen dem Salon alle Informationen zur Verfügung, die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlich sind, in der Regel durch diesen Vertrag, Anlage 1 und schriftliche Auskünfte auf Anfrage (Art. 28 Abs. 3 lit. h DSGVO).
  2. Reicht das nicht aus, kann der Salon Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der nicht mit uns im Wettbewerb steht. Inspektionen sind mit einer Frist von vier Wochen in Textform anzukündigen, finden während üblicher Geschäftszeiten statt, höchstens einmal im Kalenderjahr, und dürfen den Betrieb nicht stören. Sie erstrecken sich nicht auf Daten anderer Salons. Der Zutritt zum Rechenzentrum richtet sich nach den Regeln seines Betreibers. Überprüfungen auf Verlangen einer Aufsichtsbehörde oder nach einer Datenpanne zählen nicht zur jährlichen Grenze.
  3. Der Salon trägt die Kosten einer Überprüfung, es sei denn, sie deckt einen wesentlichen, von uns zu vertretenden Verstoß gegen diesen Vertrag auf.

§ 14 Haftung

Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Für den Ausgleich zwischen den Parteien gilt Art. 82 Abs. 5 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB (§ 13). Gesetzlich nicht beschränkbare Haftung bleibt unberührt.

§ 15 Laufzeit und Änderungen

  1. Dieser Vertrag gilt, solange der Vertrag über Kammzeit besteht, und darüber hinaus, bis die Löschung nach § 12 abgeschlossen ist. Er kann nicht gesondert gekündigt werden.
  2. Änderungen dieses Vertrags richten sich nach § 15 der AGB. Für Unterauftragsverarbeiter gilt vorrangig § 9. Änderungen dürfen das Schutzniveau der Daten nicht senken.
  3. Es gilt deutsches Recht. Für den Gerichtsstand gilt § 16 der AGB. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. An ihre Stelle tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutrittskontrolle

Zugangskontrolle

Zugriffskontrolle

Trennungskontrolle

Weitergabekontrolle

Hochgeladene Bilder

Eingabekontrolle

Verfügbarkeitskontrolle

Löschkontrolle

Organisatorische Maßnahmen

Anlage 2: Unterauftragsverarbeiter

Keiner dieser Dienstleister hat Zugriff auf den Inhalt der Daten. Der Datenverkehr ist per TLS verschlüsselt.

Der Zahlungsdienstleister Stripe verarbeitet nur Abrechnungsdaten des Salons, als eigener Verantwortlicher, und keine Daten der Kunden des Salons. Er ist kein Unterauftragsverarbeiter.