Auftragsverarbeitungsvereinbarung (AVV)

Vertragsparteien und Zustandekommen

Diese Vereinbarung gilt zwischen dem Unternehmen, das bnod zur Verwaltung von Terminen und Buchungen nutzt (Verantwortlicher bzw. „Auftraggeber“), und bnod, Nedim Mujagic, Baron Wächter Gasse 16, 2333 Leopoldsdorf, Österreich, E-Mail: kontakt@bnod.at (Auftragsverarbeiter bzw. „bnod“).

Sie kommt zustande, indem der Auftraggeber sie bei der Registrierung als Unternehmen ausdrücklich bestätigt. Auf Wunsch senden wir sie auch zur Unterzeichnung in Textform; schreiben Sie dazu an kontakt@bnod.at. Die Bestätigung samt Version und Zeitpunkt wird von uns gespeichert.

Die Vereinbarung gilt nur für personenbezogene Daten, die bnod im Auftrag des Auftraggebers verarbeitet. Für Daten, die bnod zu eigenen Zwecken verarbeitet (etwa Konto- und Sicherheitsdaten, Webseitenbesuch), ist bnod selbst verantwortlich, siehe Datenschutzerklärung.

§ 1 Gegenstand und Dauer

bnod stellt dem Auftraggeber eine Online-Plattform bereit, über die der Auftraggeber eine Buchungsseite betreibt, Termine verwaltet und mit seinen Kundinnen und Kunden kommuniziert. Dabei verarbeitet bnod personenbezogene Daten dieser Kundinnen und Kunden ausschließlich im Auftrag und nach Weisung des Auftraggebers.

Die Vereinbarung gilt, solange der Auftraggeber die Plattform nutzt, und endet automatisch mit der Löschung seines Kontos. Pflichten, die ihrer Natur nach darüber hinaus gelten (insbesondere Vertraulichkeit und Löschung), bleiben bestehen.

§ 2 Art, Zweck, Daten und Betroffene

Art und Zweck der Verarbeitung, die Datenkategorien und die Kreise der Betroffenen ergeben sich aus Anlage 1. Die Verarbeitung findet ausschließlich zur Erbringung der Plattformleistung statt.

§ 3 Weisungen des Auftraggebers

• bnod verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, bnod ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt bnod dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
• Die Nutzung der Funktionen der Plattform (Anlegen, Ändern, Bestätigen, Absagen und Löschen von Terminen und Profildaten) sowie Mitteilungen in Textform an kontakt@bnod.at gelten als Weisungen.
• Ist bnod der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert bnod den Auftraggeber unverzüglich. bnod darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 4 Pflichten von bnod

• Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
• Sicherheit: bnod trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie laufend weiter. Das Schutzniveau darf nicht unterschritten werden.
• Betroffenenrechte: bnod unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Wendet sich eine betroffene Person direkt an bnod, leitet bnod die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
• Unterstützungspflichten: bnod unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen, vorheriger Konsultation der Aufsichtsbehörde und der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, soweit dies unter Berücksichtigung der Art der Verarbeitung und der bnod zur Verfügung stehenden Informationen erforderlich ist.
• Verletzung des Schutzes personenbezogener Daten: bnod meldet dem Auftraggeber eine Verletzung unverzüglich nach Bekanntwerden, mit den verfügbaren Angaben zu Art, betroffenen Daten, möglichen Folgen und ergriffenen Maßnahmen, damit der Auftraggeber seine Pflichten nach Art. 33 und 34 DSGVO erfüllen kann.
• Verzeichnis: bnod führt ein Verzeichnis aller im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Eine Datenschutzbeauftragte bzw. ein Datenschutzbeauftragter ist bei bnod nicht bestellt, weil die gesetzlichen Voraussetzungen nach Art. 37 DSGVO nicht vorliegen. Ansprechstelle für Datenschutzfragen ist kontakt@bnod.at.

§ 5 Pflichten des Auftraggebers

• Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung gegenüber seinen Kundinnen und Kunden verantwortlich, insbesondere für Rechtsgrundlage und Informationspflichten nach Art. 13 und 14 DSGVO. Er verweist dazu auf seine eigene Datenschutzerklärung; ein Hinweis auf die Datenschutzerklärung von bnod ersetzt diese nicht.
• Der Auftraggeber erfasst über Freitextfelder und Buchungsfragen nur Daten, die für den Termin erforderlich sind. Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (zum Beispiel Gesundheitsdaten) darf er nur erfassen, wenn er hierfür eine eigene Rechtsgrundlage hat und die Anforderungen daran erfüllt.
• Der Auftraggeber informiert bnod unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 6 Unterauftragsverarbeiter

• Der Auftraggeber erteilt bnod die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen.
• Beabsichtigte Änderungen (Hinzufügen oder Ersetzen) kündigt bnod mindestens 30 Tage vorher per E-Mail oder durch Aktualisierung von Anlage 3 mit Hinweis an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist in Textform widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei Widerspruch ohne einvernehmliche Lösung kann der Auftraggeber die Nutzung beenden.
• bnod verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung gelten, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. bnod haftet gegenüber dem Auftraggeber dafür, dass Unterauftragsverarbeiter ihre Pflichten erfüllen.

§ 7 Übermittlung in Drittländer

Einige Unterauftragsverarbeiter haben ihren Sitz in den USA oder verarbeiten Daten dort. bnod stellt sicher, dass für jede Übermittlung eine Grundlage nach Kapitel V DSGVO besteht, insbesondere ein Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder EU-Standardvertragsklauseln samt ergänzender Maßnahmen. Die Einzelheiten stehen in Anlage 3. Der Auftraggeber stimmt diesen Übermittlungen unter diesen Voraussetzungen zu.

§ 8 Nachweise und Kontrollen

bnod stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Auftraggeber oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchgeführt werden. Kontrollen sind mit angemessener Frist (in der Regel 14 Tage) anzukündigen, finden während üblicher Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Kontrollen bei Unterauftragsverarbeitern erfolgen im Rahmen von deren Zertifikaten und Prüfberichten, soweit dort Rechenzentren betroffen sind.

§ 9 Löschung und Rückgabe

• Der Auftraggeber kann Termine, Kundendaten und Profildaten jederzeit selbst in der Plattform bearbeiten und löschen.
• Nach Ende der Vereinbarung löscht bnod die im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern nicht nach Unionsrecht oder österreichischem Recht eine Pflicht zur Speicherung besteht. Auf Wunsch stellt bnod dem Auftraggeber vorher einen Export der Daten in einem gängigen, maschinenlesbaren Format zur Verfügung.
• Sicherungskopien der Unterauftragsverarbeiter werden im Rahmen deren regulärer Zyklen überschrieben und in dieser Zeit nicht für andere Zwecke verwendet.

§ 10 Haftung

Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die gesetzlichen Bestimmungen; bnod haftet für Datenschutzverstöße nur im Rahmen seines Verantwortungsbereichs.

§ 11 Schlussbestimmungen

• Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen Bedingungen zur Nutzung von bnod geht diese Vereinbarung in Fragen des Datenschutzes vor.
• Änderungen und Ergänzungen bedürfen der Textform. Wesentliche Änderungen wird bnod mindestens 30 Tage vorher mitteilen; ohne Widerspruch innerhalb dieser Frist gelten sie als vereinbart, mit Widerspruch kann der Auftraggeber die Nutzung beenden.
• Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Zwingende Verbraucherschutzvorschriften bleiben unberührt.
• Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

Anlage 1: Gegenstand der Verarbeitung

Art und Zweck

Speicherung, Anzeige, Übermittlung und Löschung von Termin- und Kontaktdaten zur Terminvereinbarung zwischen Auftraggeber und seinen Kundinnen und Kunden; Versand von Buchungsbestätigungen und Benachrichtigungen im Namen des Auftraggebers; Bereitstellung von Buchungsseite, Widget und Agent-Schnittstelle.

Kategorien personenbezogener Daten

Name, E-Mail-Adresse, Telefonnummer, gebuchte Leistung, Termin (Datum, Uhrzeit, Dauer, Standort, Teammitglied), Anmerkungen und Antworten auf Buchungsfragen, Status und Quelle der Buchung (Web, manuell, KI-Agent), Zeitpunkt der Buchung, bei angemeldeten Kundinnen und Kunden die Kontoverknüpfung.

Kreis der Betroffenen

Kundinnen und Kunden sowie Interessentinnen und Interessenten des Auftraggebers, die einen Termin buchen; Teammitglieder des Auftraggebers, soweit ihre Daten (Name, Rolle, Arbeits- und Urlaubszeiten) in der Plattform geführt werden.

Besondere Datenkategorien

bnod ist nicht dafür ausgelegt, besondere Kategorien nach Art. 9 DSGVO zu verarbeiten. Siehe dazu § 5 Abs. 2.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutrittskontrolle: bnod betreibt keine eigenen Rechenzentren. Die physische Sicherung liegt bei den Unterauftragsverarbeitern (Anlage 3) mit deren zertifizierten Rechenzentren.
• Zugangskontrolle: Anmeldung mit persönlichem Konto und Passwort; Passwörter werden nur als Hashwert gespeichert. Sitzungen sind zeitlich begrenzt. Zugänge zu Hosting-, Datenbank- und E-Mail-Diensten sind mit individuellen Konten gesichert.
• Zugriffskontrolle: Rollenbasierte Berechtigungen (Kundin bzw. Kunde, Unternehmen, Team, Administration). Daten eines Unternehmens sind logisch von anderen Unternehmen getrennt; Abfragen sind auf das jeweilige Unternehmen beschränkt. Administrativer Zugriff erfolgt nur, soweit er für Betrieb, Support und Sicherheit erforderlich ist.
• Weitergabekontrolle: Verschlüsselte Übertragung per TLS (HTTPS) zwischen Browser, Anwendung und den eingesetzten Diensten. Einmal-Links zur Bestätigung werden serverseitig nur als Hashwert gespeichert und sind befristet.
• Eingabekontrolle: Buchungen und Statusänderungen werden mit Zeitstempel und Quelle gespeichert.
• Auftragskontrolle: Verarbeitung nur nach Weisung, Unterauftragsverarbeiter vertraglich gebunden (§ 6).
• Verfügbarkeit und Belastbarkeit: Betrieb auf skalierbarer Cloud-Infrastruktur; Wiederherstellungsfunktionen des Datenbankanbieters; Begrenzung von Anfragen an die Agent-Schnittstelle zum Schutz vor Missbrauch.
• Trennungsgebot: Produktions- und lokale Entwicklungsumgebung sind getrennt; es werden keine Echtdaten für Entwicklung und Tests verwendet.
• Datenminimierung: Es werden nur Daten erhoben, die für die Terminbuchung nötig sind. Die Reichweitenmessung arbeitet ohne Cookies und ohne personenbezogene Profile.
• Überprüfung: Regelmäßige Prüfung der Maßnahmen, Aktualisierung von Abhängigkeiten und zeitnahe Behandlung bekannt gewordener Sicherheitslücken.

Anlage 3: Unterauftragsverarbeiter

Nicht aufgeführt sind Dienste, die keine Kundendaten des Auftraggebers erhalten, etwa die Adresssuche (OpenStreetMap Nominatim) bei der Anlage von Unternehmensstandorten. Dabei wird nur die eingegebene Suchanfrage übermittelt.