Auftragsverarbeitungsvertrag (AVV)

Zwischen dem Kunden nach Maßgabe der AGB, nachfolgend „Verantwortlicher“,

und roblens Media als Anbieter von Timeveo, nachfolgend „Auftragsverarbeiter“. Die vollständigen Anbieterangaben stehen im Impressum.

Dieser Vertrag konkretisiert die Pflichten aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen des Nutzungsvertrags im Auftrag des Verantwortlichen vornimmt. Er ist Bestandteil der AGB und wird mit dem Abschluss der Registrierung in Textform einbezogen; das genügt der Form des Art. 28 Abs. 9 DSGVO.

Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags für Fragen des Datenschutzes vor.

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der Software Timeveo.

1.2 Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Der Vertrag endet mit dessen Beendigung, soweit sich aus Ziffer 11 nichts anderes ergibt.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Verantwortlichen ausgewählten Dienste, Einschränken, Löschen und Vernichten personenbezogener Daten. Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen, insbesondere Terminbuchung und Kalenderverwaltung, Kundenverwaltung, Versand von Benachrichtigungen, Zahlungs- und Kassenfunktionen sowie Auswertungen für den Verantwortlichen.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Kategorien betroffener Personen

• Kundinnen und Kunden des Verantwortlichen sowie deren Begleitpersonen, soweit erfasst
• Mitarbeitende des Verantwortlichen, die die Anwendung nutzen oder in der Planung geführt werden
• Interessenten, die den Buchungsvorgang begonnen haben

4. Kategorien personenbezogener Daten

• Stammdaten: Name, Anrede, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum, soweit erfasst
• Termin- und Vorgangsdaten: gebuchte Leistungen, Zeitpunkte, zugeordnete Mitarbeitende, Status, Historie
• Kommunikationsdaten: Inhalte und Zustellstatus von E-Mails, SMS und WhatsApp-Nachrichten
• Vertrags- und Zahlungsbezugsdaten: Rechnungspositionen, Zahlungsstatus, Zahlungsreferenzen. Vollständige Zahlungskartendaten werden nicht in Timeveo gespeichert; sie verbleiben beim jeweiligen Zahlungsdienstleister.
• Einwilligungsnachweise: Zeitpunkt, Zweck, Herkunft und Widerruf einer Einwilligung
• Nutzungs- und Protokolldaten: Zeitpunkt und Art von Vorgängen, handelndes Konto
• Freitextangaben, die der Verantwortliche selbst erfasst, etwa Notizen zu Kundinnen und Kunden oder Antworten in eigenen Formularen

Besondere Kategorien nach Art. 9 DSGVO: Die Anwendung sieht keine Pflichtfelder für solche Daten vor. Erfasst der Verantwortliche sie dennoch, etwa als Behandlungsnotiz oder in einem eigenen Formular, verarbeitet der Auftragsverarbeiter sie im Rahmen dieses Vertrags mit. Die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO und die Erforderlichkeit der Erhebung verantwortet allein der Verantwortliche.

5. Weisungsbindung

5.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

5.2 Die Einstellungen, die der Verantwortliche in der Anwendung vornimmt, sowie dieser Vertrag und der Nutzungsvertrag gelten als dokumentierte Weisung. Weitergehende Einzelweisungen erteilt der Verantwortliche in Textform an die im Impressum genannte Kontaktadresse.

5.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

6. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

7. Technische und organisatorische Maßnahmen

7.1 Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

7.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und legt sie auf Anfrage vor.

8. Unterauftragsverarbeiter

8.1 Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern nach Art. 28 Abs. 2 Satz 1 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und werden fortlaufend unter https://legal.timeveo.com/subunternehmer veröffentlicht.

8.2 Der Auftragsverarbeiter kündigt die Beauftragung eines neuen oder den Wechsel eines bestehenden Unterauftragsverarbeiters mindestens 30 Tage vor Aktivierung in Textform an die im Konto hinterlegte Administrator-Adresse an.

8.3 Der Verantwortliche kann innerhalb der Ankündigungsfrist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Lässt sich der Widerspruch nicht innerhalb angemessener Frist ausräumen, kann jede Seite den Nutzungsvertrag zum vorgesehenen Zeitpunkt der Änderung außerordentlich kündigen.

8.4 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und bleibt dem Verantwortlichen gegenüber für deren Einhaltung verantwortlich.

8.5 Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß Zugriff auf personenbezogene Daten aus der Plattform erhalten, etwa Telekommunikationsleistungen oder Wartung an Geräten.

9. Unterstützung des Verantwortlichen

9.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Wahrnehmung von Betroffenenrechten nach Art. 12 bis 23 DSGVO zu beantworten. Dazu stellt er in der Anwendung insbesondere einen Auskunftsexport und Löschfunktionen bereit.

9.2 Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

9.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde und an betroffene Personen sowie bei einer Datenschutz-Folgenabschätzung, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

9.4 Unterstützungsleistungen, die über den vertraglich geschuldeten Funktionsumfang deutlich hinausgehen und vom Verantwortlichen veranlasst sind, kann der Auftragsverarbeiter nach Ankündigung und Zustimmung nach Aufwand berechnen.

10. Verletzungen des Schutzes personenbezogener Daten

10.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, in Textform.

10.2 Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO: Beschreibung der Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Ansprechpartner für weitere Informationen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

10.3 Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und dokumentiert den Vorfall.

11. Löschung und Rückgabe

11.1 Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen der Anwendung ausleiten.

11.2 Nach Beendigung des Nutzungsvertrags bleibt der Export für 30 Tage möglich. Danach löscht der Auftragsverarbeiter die personenbezogenen Daten innerhalb von 90 Tagen, einschließlich vorhandener Kopien in Sicherungen im Rahmen der jeweiligen Sicherungszyklen.

11.3 Von der Löschung ausgenommen sind Daten, für die gesetzliche Aufbewahrungspflichten bestehen, insbesondere Kassen-, Rechnungs- und Buchungsdaten nach AO, HGB und KassenSichV. Diese Daten werden bis zum Ablauf der Fristen in der Verarbeitung eingeschränkt und anschließend gelöscht.

11.4 Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

12. Nachweise und Kontrollen

12.1 Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage durch geeignete Unterlagen nach, insbesondere durch die Dokumentation der Maßnahmen nach Anlage 1 und durch Selbstauskunft.

12.2 Reichen diese Nachweise nicht aus, kann der Verantwortliche Überprüfungen selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Auftragsverarbeiter im Wettbewerb stehenden Prüfer durchführen. Die Prüfung wird mit angemessener Frist von mindestens vier Wochen angekündigt, findet während der üblichen Geschäftszeiten statt, stört den Betriebsablauf so wenig wie möglich und erfolgt höchstens einmal jährlich, es sei denn, es besteht ein konkreter Anlass.

12.3 Die Kosten einer solchen Prüfung trägt der Verantwortliche, es sei denn, die Prüfung deckt einen wesentlichen Verstoß des Auftragsverarbeiters auf.

13. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen des Kapitels V der DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, der Standardvertragsklauseln der EU-Kommission oder des EU-US Data Privacy Framework. Welche Garantie für welchen Dienst gilt, ist in Anlage 2 ausgewiesen.

14. Haftung und Schlussbestimmungen

14.1 Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.

14.2 Änderungen dieses Vertrags bedürfen der Textform. Für Änderungen gilt Ziffer 12 der AGB entsprechend.

14.3 Es gilt das Recht der Bundesrepublik Deutschland. Vertragssprache ist Deutsch; Übersetzungen dienen nur der Information.

14.4 Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 20. August 2026. Eine erläuternde Fassung für Nichtjuristen steht auf der Seite Sicherheit.

1. Vertraulichkeit

Zutrittskontrolle. Die Anwendung wird in Rechenzentren eines professionellen Hosting-Anbieters in Frankreich betrieben. Der physische Zutritt wird durch den Anbieter kontrolliert; eigene Serverräume unterhält der Auftragsverarbeiter nicht.

Zugangskontrolle. Administrativer Zugang zu den Systemen erfolgt ausschließlich über persönliche Schlüsselpaare, nicht über Passwörter. Der Zugang zur Anwendung erfordert eine Anmeldung mit Benutzername und Passwort; Passwörter werden nur als Hash gespeichert. Eine Zwei-Faktor-Authentifizierung steht zur Verfügung. Anmelde- und Verifikationsversuche sind in ihrer Häufigkeit begrenzt.

Zugriffskontrolle. Innerhalb jedes Mandanten steuert ein Rollen- und Rechtesystem, welche Konten welche Bereiche und Vorgänge nutzen dürfen. Berechtigungen sind je Bereich einzeln vergebbar. Der Zugriff des Auftragsverarbeiters auf Mandantendaten ist auf das für Betrieb und Support erforderliche Maß beschränkt.

Trennungskontrolle. Die Anwendung ist mandantenfähig. Jeder Datensatz ist einem Mandanten zugeordnet, und der Zugriff wird zentral und automatisch auf den aktiven Mandanten eingeschränkt, statt in jeder einzelnen Abfrage. Automatisierte Tests prüfen diese Trennung fortlaufend und melden mandantenübergreifende Zugriffe als Fehler.

Pseudonymisierung und Datenminimierung. In den Protokollen ausgehender Schnittstellenaufrufe werden Zugangsdaten und sensible Inhalte nach einer festen Regel entfernt, bevor der Eintrag gespeichert wird.

2. Integrität

Weitergabekontrolle. Der gesamte Datenverkehr zwischen Browser, Anwendung und angebundenen Diensten ist über TLS verschlüsselt. Sicherheitsrelevante Zugangsdaten zu angebundenen Diensten werden zusätzlich anwendungsseitig verschlüsselt gespeichert.

Eingabekontrolle. Sicherheits- und datenschutzrelevante Vorgänge werden mit Zeitpunkt, handelndem Konto und betroffenem Datensatz protokolliert, sodass nachvollziehbar bleibt, wer welche Daten wann eingegeben, geändert oder entfernt hat.

3. Verfügbarkeit und Belastbarkeit

Der Betrieb erfolgt auf professionell administrierter Infrastruktur mit Schutz vor Überlastung und Angriffen auf Netzwerkebene über einen vorgelagerten Dienst. Sicherungen der Datenbank werden regelmäßig erstellt; das Sicherungs- und Wiederherstellungskonzept wird derzeit dokumentiert und mit der nächsten Fassung dieser Anlage mit konkreten Fristen ergänzt.

4. Verfahren zur Überprüfung und Bewertung

Auftragskontrolle. Unterauftragsverarbeiter werden ausgewählt, vertraglich verpflichtet und in Anlage 2 offengelegt; Änderungen werden angekündigt.

Änderungs- und Freigabeverfahren. Änderungen an der Anwendung werden versioniert, im Vier-Augen-Prinzip überprüft und durch eine automatisierte Testsuite abgesichert, die vor der Übernahme in den Hauptstand vollständig laufen muss. Ergänzend läuft eine statische Codeanalyse über die Fachmodule.

Datenschutz durch Voreinstellung. Werbliche Nachrichten werden nur versendet, wenn für den jeweiligen Zweck eine Einwilligung dokumentiert ist. Einwilligungen werden mit Zeitpunkt, Zweck und Herkunft nachweisbar gespeichert; Widerrufe wirken unmittelbar. Protokolle und Einwilligungsnachweise werden nach Ablauf ihrer Aufbewahrungsfrist automatisiert gelöscht.

Anlage 2: Unterauftragsverarbeiter

Die verbindliche und laufend aktualisierte Fassung dieser Anlage steht unter https://legal.timeveo.com/subunternehmer. Nachfolgend der Stand zum 20. August 2026.

Version 1.0, gültig ab 20. August 2026.