Vertrag zur Auftrags­verarbeitung

gemäß Art. 28 DSGVO · Version 1.0 · Stand: 1. Mai 2026

1. Präambel und Anwendungsbereich

Der Verantwortliche nutzt die SaaS-Plattform „Bookflow" zur Verwaltung von Online-Terminbuchungen seiner Endkundinnen und Endkunden. Im Rahmen dieser Nutzung verarbeitet Bookflow personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 Abs. 3 DSGVO und ergänzt die zwischen den Parteien geschlossenen Nutzungsbedingungen („Hauptvertrag" / AGB).

Soweit dieser Vertrag und der Hauptvertrag in Datenschutzfragen kollidieren, gehen die Regelungen dieses Vertrages vor.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung und Wartung der Bookflow-Plattform sowie aller damit verbundenen Funktionen (Buchungsverwaltung, Erinnerungs-Nachrichten per E-Mail/SMS, Bezahlabwicklung, Reportings, Embed-Widget, optionale Integrationen).

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet automatisch mit Beendigung des Hauptvertrags. Beidseitige Beendigungsrechte aus dem Hauptvertrag bleiben unberührt.

3. Art und Zweck der Verarbeitung

Bookflow verarbeitet die in Ziffer 4 beschriebenen Daten zu folgenden Zwecken:

• Speicherung, Abruf und Verwaltung von Terminbuchungen und Kundenprofilen des Verantwortlichen,
• Berechnung und Anzeige verfügbarer Termin-Slots auf Basis der Konfiguration des Verantwortlichen,
• Versand transaktionaler Bestätigungs-, Erinnerungs- und Storno-Nachrichten an Endkunden,
• Bereitstellung der Self-Service-Buchungsseite und des Embed-Widgets unter dem Markenauftritt des Verantwortlichen,
• Hosting, Backup, Monitoring und Logging zur Sicherstellung des Betriebs,
• Bereitstellung statistischer Auswertungen für den Verantwortlichen (z.B. Buchungsvolumen, No-Show-Quote).

Eine Nutzung der personenbezogenen Daten zu eigenen Zwecken durch Bookflow — insbesondere für Werbung, Profiling oder Verkauf an Dritte — findet nicht statt.

4. Art der personenbezogenen Daten

Folgende Datenkategorien werden im Auftrag des Verantwortlichen verarbeitet:

• Stammdaten der Endkunden: Vor- und Nachname, E-Mail-Adresse, optional Telefonnummer,
• Buchungsdaten: gewählte Dienstleistung, Termin (Datum/Uhrzeit), zugewiesene Mitarbeiter oder Ressource, Standort, Statushistorie (gebucht / wahrgenommen / storniert / no-show),
• Freitext-Notizen, sofern der Verantwortliche oder Endkunde diese im Buchungs- oder Notiz-Feld erfasst,
• Zahlungsmetadaten (Betrag, Status, Zahlungs-Token), sofern Online-Zahlung aktiviert ist — die eigentlichen Karten-/Bankdaten werden ausschließlich vom Zahlungsdienstleister verarbeitet,
• technische Logdaten in zeitlich begrenztem Umfang (IP-Adresse, Zeitstempel, User-Agent) zur Sicherstellung des Betriebs und zur Abwehr von Missbrauch.

5. Kategorien betroffener Personen

Betroffen sind die natürlichen Personen, die mit dem Verantwortlichen in Geschäftsbeziehung stehen oder eine solche anbahnen, insbesondere:

• Endkundinnen und Endkunden des Verantwortlichen, die über die Bookflow-Buchungsseite oder das Embed-Widget Termine vereinbaren,
• Mitarbeiterinnen und Mitarbeiter sowie weitere Nutzerkonten des Verantwortlichen, die im Bookflow-Backend angelegt werden.

6. Pflichten des Auftragsverarbeiters

6.1 Weisungsgebundenheit

Bookflow verarbeitet personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen. Konfigurationen, die der Verantwortliche im Bookflow-Backend vornimmt (z.B. Aktivierung von Erinnerungsmails, Setzen von Stornofristen, Anlage von Diensten oder Mitarbeitern), gelten als Weisung im Sinne dieses Vertrags. Hält Bookflow eine Weisung für rechtswidrig, informiert es den Verantwortlichen unverzüglich.

6.2 Vertraulichkeit

Bookflow stellt sicher, dass alle zur Verarbeitung der Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verschwiegenheitspflicht besteht auch nach Beendigung der Tätigkeit fort.

6.3 Technische und organisatorische Maßnahmen (TOMs)

Bookflow trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zum Schutz der Daten. Diese Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt; sie müssen das Schutzniveau wahren.

6.4 Unterauftragsverarbeiter

Der Verantwortliche erteilt Bookflow eine allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Die aktuell eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2. Über beabsichtigte Änderungen (Aufnahme oder Austausch) informiert Bookflow den Verantwortlichen mit angemessenem Vorlauf, dem Verantwortlichen steht ein Widerspruchsrecht aus wichtigem Grund zu. Wird widersprochen und kann die Verarbeitung ohne den neuen Unterauftragsverarbeiter nicht mehr in vergleichbarer Qualität erbracht werden, sind beide Parteien zur außerordentlichen Kündigung des Hauptvertrags berechtigt.

6.5 Unterstützung bei Betroffenenrechten

Bookflow unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO), insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Soweit eine Anfrage einer betroffenen Person direkt an Bookflow gerichtet wird, leitet Bookflow diese unverzüglich an den Verantwortlichen weiter.

6.6 Mitteilung von Datenschutzverletzungen

Bookflow informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 4 Nr. 12 DSGVO. Die Mitteilung enthält die in Art. 33 Abs. 3 DSGVO genannten Angaben, soweit Bookflow sie kennt. Bookflow unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörde und betroffenen Personen.

6.7 Datenschutz-Folgenabschätzung

Bookflow unterstützt den Verantwortlichen, soweit erforderlich, bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO) durch Bereitstellung der notwendigen Informationen.

6.8 Rückgabe und Löschung nach Vertragsende

Nach Beendigung des Hauptvertrags gibt Bookflow nach Wahl des Verantwortlichen entweder alle im Auftrag verarbeiteten personenbezogenen Daten an den Verantwortlichen zurück (z.B. als Export-Datei) oder löscht sie. Die Löschung umfasst auch alle Backup-Kopien innerhalb der dokumentierten Backup-Vorhaltefristen. Dokumentationspflichten aufgrund gesetzlicher Aufbewahrungsfristen bleiben unberührt; in diesem Umfang werden die Daten gesperrt statt gelöscht.

6.9 Nachweis- und Kontrollrechte

Bookflow stellt dem Verantwortlichen auf Anforderung alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO genannten Pflichten zur Verfügung. Hierzu zählt insbesondere die Bereitstellung der Dokumentation der TOMs sowie aktueller Sub-Auftragsverarbeiter-Listen. Vor-Ort-Kontrollen sind nach vorheriger Abstimmung möglich; die Kosten trägt der Verantwortliche, sofern die Kontrolle nicht durch konkrete Anhaltspunkte für einen Verstoß veranlasst ist.

7. Pflichten des Verantwortlichen

Der Verantwortliche ist im Innen- und Außenverhältnis für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich. Er trifft insbesondere folgende Pflichten:

• Erteilung rechtmäßiger Weisungen,
• Information seiner Endkunden über die Verarbeitung gemäß Art. 13/14 DSGVO,
• Sichere Verwahrung der Zugangsdaten zum Bookflow-Backend,
• Unverzügliche Mitteilung an Bookflow, wenn Fehler oder Unregelmäßigkeiten in der Verarbeitung erkannt werden,
• Bestellung eines Datenschutzbeauftragten, sofern gesetzlich erforderlich.

8. Übermittlungen in Drittländer

Eine Übermittlung personenbezogener Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln nebst ggf. ergänzenden Schutzmaßnahmen). Eingesetzte Unterauftragsverarbeiter mit Sitz oder Verarbeitungstätigkeit außerhalb des EWR sind in Anlage 2 entsprechend gekennzeichnet.

9. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den ergänzenden Regelungen des Hauptvertrags. Im Innenverhältnis trägt jede Partei die Verantwortung für eigene Pflichtverletzungen.

10. Schlussbestimmungen

Schriftform: Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform; dem Schriftformerfordernis genügt auch die elektronische Annahme (z.B. Click-Wrap mit beweisbarem Logging) im Sinne von Art. 28 Abs. 9 DSGVO.

Salvatorische Klausel: Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlich Gewollten am nächsten kommt.

Anwendbares Recht: Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

Gerichtsstand: Soweit gesetzlich zulässig, ist Gerichtsstand der Sitz des Auftragsverarbeiters (47669 Wachtendonk).

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Server stehen in einem zertifizierten Rechenzentrum der STRATO AG (Berlin) innerhalb Deutschlands. Hosting-Reseller ist p-7.net (Krefeld). Zutrittskontrolle, Videoüberwachung und 24/7-Bewachung erfolgen durch den Datacenter-Betreiber STRATO.
• Zugangskontrolle: Zugriff auf produktive Systeme nur über persönliche, mit starken Passwörtern geschützte Konten, soweit technisch möglich mit zweitem Faktor. Administrativer FTP-/Backend-Zugriff nur über verschlüsselte Verbindungen (FTPS, HTTPS).
• Zugriffskontrolle: Mandantentrennung über tenant_id-Scopes auf Datenbankebene; Backend-User können ausschließlich Daten ihres eigenen Mandanten sehen.
• Pseudonymisierung: Wo fachlich möglich werden personenbezogene Daten pseudonymisiert (z.B. Nutzung interner IDs in Logs statt Klartext-E-Mail).

Integrität

• Weitergabekontrolle: Transportverschlüsselung sämtlicher externer Verbindungen (HTTPS/TLS 1.2+), erzwungenes HSTS.
• Eingabekontrolle: Mutierende Aktionen werden mit Zeitstempel, ausführendem User und Tenant in Audit-Logs protokolliert.

Verfügbarkeit und Belastbarkeit

• Verfügbarkeitskontrolle: Tägliche Datenbank-Backups, Monitoring der Erreichbarkeit, redundante Strom- und Netzanbindung des Hosting-Anbieters.
• Wiederherstellbarkeit: Restore-Verfahren werden regelmäßig getestet.

Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management: Dokumentation der Verarbeitungstätigkeiten, jährliche Überprüfung der TOMs.
• Incident-Response: Definierter Eskalationspfad für Datenschutzvorfälle inklusive 72-Stunden-Meldekette an den Verantwortlichen.

Anlage 2 – Liste der Unterauftragsverarbeiter

Bookflow setzt zum Stand 1. Mai 2026 folgende Unterauftragsverarbeiter ein:

• Hosting-Reseller: Matthias Jansen, p-7.net, Buschstr. 326, 47800 Krefeld, Deutschland — Bereitstellung des Hosting-Account, Konfiguration von Webserver/Datenbank/Backups.
• Datacenter / Infrastruktur: STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland (Tochter der United Internet AG) — physische Server-Infrastruktur, Stromversorgung, Netzanbindung. Verarbeitung ausschließlich in Deutschland.
• Zahlungsabwicklung: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin D02 H210, Irland — Verarbeitung von Online-Zahlungen, sofern der Verantwortliche diese Funktion aktiviert. Standort der Verarbeitung primär EU; im Einzelfall Übermittlung an Stripe Inc. (USA) auf Basis von Standardvertragsklauseln.
• SMS-Versand: Vonage (Vonage Holdings Corp. bzw. EU-Tochter) — Versand transaktionaler SMS-Erinnerungen, sofern aktiviert. Übermittlung in Drittländer auf Basis von Standardvertragsklauseln.

Die jeweils aktuelle Liste der Unterauftragsverarbeiter wird im Bookflow-Dashboard bereitgehalten. Bookflow informiert den Verantwortlichen über Änderungen gemäß Ziffer 6.4.

Stand: 1. Mai 2026 · Version 1.0
Bei Fragen zur Auftragsverarbeitung: info@getbookflow.de