Vereinbarung zur gemeinsamen Verarbeitung

Präambel

Diese Vereinbarung regelt die datenschutzrechtlichen Zuständigkeiten zwischen dem Anbieter der Plattform und dem Betrieb für die Verarbeitung personenbezogener Daten von Endkundinnen und Endkunden im Rahmen der Terminvermittlung.

Beide Parteien bestimmen Zwecke und Mittel dieser Verarbeitung gemeinsam: der Betrieb bringt Leistungen, Preise und Verfügbarkeiten ein, der Anbieter das Buchungsverfahren, die Verarbeitung und die Reichweite. Ohne beide Beiträge kommt keine Buchung zustande. Sie sind insoweit gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO.

§ 1 Parteien

Der Anbieter — Baran Özbey, Glückaufstr. 19, 52531 Übach-Palenberg. Der Anbieter betreibt die Plattform unter mehreren Geschäftsbezeichnungen und unter mehreren Internetadressen; diese sind Auftritte desselben Inhabers, und die nachstehende Adresse erreicht ihn unabhängig davon, über welchen Auftritt der Betrieb die Plattform nutzt. Kontakt in Datenschutzfragen: datenschutz@cutnear.de. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen nach Art. 37 DSGVO, § 38 BDSG liegen nicht vor.

Der Betrieb — das Unternehmen, das über die Plattform Termine anbietet, mit den im Betriebsprofil hinterlegten Angaben zu Firmierung, Anschrift und vertretungsberechtigter Person.

§ 2 Gegenstand und Abgrenzung

(1) Gemeinsame Verarbeitung. Gemeinsam verarbeiten die Parteien personenbezogene Daten ausschließlich im Rahmen der Terminvermittlung und Terminabwicklung. Das umfasst die Entgegennahme und Übermittlung der Buchungsanfrage, die Bestätigung, Änderung, Verlegung und Stornierung des Termins sowie die zur Durchführung erforderliche Kommunikation.

(2) Allein der Anbieter. Nicht Gegenstand dieser Vereinbarung und ausschließlich vom Anbieter zu verantworten sind: Registrierung, Führung und Löschung des Nutzerkontos; die Verifizierung von Telefonnummer und E-Mail-Adresse sowie die Wiedererkennung von Geräten; die plattformweite Missbrauchs- und Betrugserkennung einschließlich Nummernsperren; Suche, Ranking, Empfehlungen, Favoriten und Bewertungen; Auswertungen zu Zwecken der Produktentwicklung und Statistik; Betrieb, Hosting und Sicherung der Plattform.

(3) Allein der Betrieb. Nicht Gegenstand dieser Vereinbarung und ausschließlich vom Betrieb zu verantworten sind: die Durchführung der Dienstleistung und alles, was dabei erhoben wird; eigene Aufzeichnungen außerhalb der Plattform wie Kundenkartei, Kasse oder Kalender Dritter; die Erhebung der Daten bei telefonisch oder vor Ort vereinbarten Terminen, die der Betrieb anschließend über das Backoffice einträgt; jede Weiterverwendung der Daten zu eigenen Zwecken, insbesondere zu Werbezwecken.

(4) Für die Verarbeitungen nach Absatz 2 und 3 gilt diese Vereinbarung nicht. Insoweit ist jede Partei allein Verantwortliche und trägt die Verantwortung eigenständig.

§ 3 Datenkategorien und betroffene Personen

Betroffen sind Endkundinnen und Endkunden, die über die Plattform einen Termin buchen oder für die der Betrieb einen Termin einträgt.

Für den Betrieb einsehbar sind Name, Telefonnummer, E-Mail-Adresse, die Termindaten (Datum, Uhrzeit, Leistung, Mitarbeiter, Preis) sowie eine freiwillige Anmerkung zur Buchung — jeweils nur aus eigenen Buchungen.

Nicht einsehbar und nicht Gegenstand der gemeinsamen Verarbeitung sind Kontodaten, Verifizierungsstatus, Gerätemerkmale, Risikoereignisse, Sperren und IP-Adressen. Ein Zugriff auf Buchungen bei anderen Betrieben besteht nicht und wird nicht eingeräumt.

§ 4 Zuständigkeiten nach Art. 26 Abs. 1 DSGVO

Die Parteien legen fest, wer welche Verpflichtung erfüllt:

Der Anbieter erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO und sämtliche Betroffenenrechte nach Art. 15 bis 22 DSGVO — Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und die Überprüfung automatisierter Entscheidungen. Der Anbieter führt die Löschfristen aus, verantwortet die Sicherheit der Plattform nach Art. 32 DSGVO und nimmt Meldungen nach Art. 33 und 34 DSGVO vor.

Der Betrieb verantwortet die Sicherheit seines eigenen Zugangs und die Vertraulichkeit seiner Beschäftigten. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO führt jede Partei für sich.

Anlaufstelle nach Art. 26 Abs. 1 Satz 3 DSGVO ist der Anbieter, erreichbar unter datenschutz@cutnear.de. Die Zuständigkeit liegt dort, weil die technischen Mittel zur Erfüllung der Betroffenenrechte — Datenexport und Kontolöschung in Selbstbedienung — ausschließlich beim Anbieter bestehen.

§ 5 Rechte der betroffenen Personen

(1) Ungeachtet der Aufteilung in § 4 kann die betroffene Person ihre Rechte gegenüber jeder der beiden Parteien geltend machen (Art. 26 Abs. 3 DSGVO). Diese Vereinbarung schränkt das nicht ein.

(2) Wendet sich eine betroffene Person an den Betrieb, leitet dieser das Anliegen unverzüglich, spätestens innerhalb von drei Werktagen, an datenschutz@cutnear.de weiter und teilt der betroffenen Person die Weiterleitung mit.

(3) Der Anbieter beantwortet innerhalb der Frist des Art. 12 Abs. 3 DSGVO von einem Monat und informiert den Betrieb, soweit dessen Mitwirkung erforderlich ist.

(4) Der Betrieb unterstützt den Anbieter bei der Beantwortung, insbesondere durch Auskunft über Daten, die er außerhalb der Plattform zu demselben Vorgang führt.

§ 6 Informationspflichten

Der Anbieter informiert die betroffenen Personen nach Art. 13 und 14 DSGVO über die gemeinsame Verarbeitung, die Identität beider Parteien und die Aufteilung nach § 4. Das Wesentliche dieser Vereinbarung wird nach Art. 26 Abs. 2 Satz 2 DSGVO in der Datenschutzerklärung zugänglich gemacht (§ 12).

Der Betrieb nimmt in seine eigene Datenschutzinformation einen Hinweis auf die gemeinsame Verarbeitung und auf die Anlaufstelle nach § 4 auf.

§ 7 Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO für Plattform, Datenbank und Übertragungswege, insbesondere Transportverschlüsselung, Zugriffsbeschränkung nach Rollen, Protokollierung administrativer Zugriffe und regelmäßige Sicherungen.

(2) Der Betrieb trifft die Maßnahmen für seinen eigenen Zugang:

• persönliche Zugangsdaten je Beschäftigtem, keine geteilten Konten
• Sperren des Bildschirms beim Verlassen des Arbeitsplatzes
• kein Export und kein Abfotografieren von Kundenlisten ohne eigene Rechtsgrundlage

(3) Jede Partei verpflichtet die eigenen Beschäftigten zur Vertraulichkeit und weist sie in den Umgang mit den Daten ein.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Erlangt eine Partei Kenntnis von einer Verletzung, die den gemeinsamen Teil betrifft, informiert sie die andere unverzüglich, spätestens innerhalb von 24 Stunden.

(2) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO nimmt der Anbieter vor. Der Betrieb liefert die dafür erforderlichen Angaben zu.

(3) Betrifft eine Verletzung ausschließlich den Bereich einer Partei nach § 2 Abs. 2 oder 3, meldet diese Partei allein.

§ 9 Aufbewahrung und Löschung

(1) Die Speicherdauer im gemeinsamen Teil richtet sich nach der Speicherdauer-Übersicht in der Datenschutzerklärung; die Löschung erfolgt automatisiert.

(2) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Aufbewahrungspflichtige Daten werden nach Kontolöschung anonymisiert und nicht mehr für andere Zwecke verwendet.

(3) Bei Beendigung dieser Vereinbarung verliert der Betrieb den Zugriff auf die Plattformdaten. Für Daten, die er außerhalb der Plattform führt, bleibt er allein verantwortlich (§ 2 Abs. 3).

§ 10 Aufsichtsbehörden

Wendet sich eine Aufsichtsbehörde an eine Partei in einer Angelegenheit, die den gemeinsamen Teil betrifft, informiert diese die andere unverzüglich und stimmt die Antwort ab, soweit dies rechtlich zulässig ist.

§ 11 Haftung im Innenverhältnis

(1) Nach außen haften die Parteien nach Art. 82 Abs. 4 DSGVO gesamtschuldnerisch. Diese Vereinbarung ändert daran nichts.

(2) Im Innenverhältnis trägt jede Partei den Schaden, der auf ihrer Pflichtverletzung beruht. Wird eine Partei über ihren Verursachungsanteil hinaus in Anspruch genommen, kann sie von der anderen Ausgleich verlangen.

§ 12 Das Wesentliche dieser Vereinbarung

Nach Art. 26 Abs. 2 Satz 2 DSGVO wird betroffenen Personen Folgendes zugänglich gemacht:

• Der Anbieter und der gebuchte Betrieb verarbeiten die Termindaten gemeinsam.
• Alle Rechte können gegenüber beiden geltend gemacht werden.
• Anlaufstelle ist der Anbieter, datenschutz@cutnear.de.
• Der Anbieter erfüllt die Informations- und Betroffenenrechte sowie die Meldepflichten.
• Der Betrieb verantwortet die Durchführung des Termins und eigene Aufzeichnungen.
• Konto, Verifizierung, Missbrauchserkennung, Suche und Statistik verantwortet der Anbieter allein.

§ 13 Laufzeit und Schlussbestimmungen

(1) Die Vereinbarung gilt für die Dauer der Nutzung der Plattform durch den Betrieb.

(2) Ändert sich die datenschutzrechtliche Rollenzuordnung durch Rechtsprechung, behördliche Vorgabe oder Änderung der Verarbeitung, passen die Parteien diese Vereinbarung an oder ersetzen sie durch das dann zutreffende Instrument. Die Zustimmung zur neuen Fassung wird erneut eingeholt.

(3) Änderungen bedürfen der Textform.

(4) Ist eine Bestimmung unwirksam, bleibt die Vereinbarung im Übrigen wirksam.

(5) Es gilt deutsches Recht.