Vertrag über die Auftragsverarbeitung

§ 1 Parteien, Gegenstand und Dauer

(1) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde – also Ihr Studio. Sie bestimmen über Zwecke und Mittel der Verarbeitung.

(2) Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist PCW Projects | SEO Agentur Nürnberg, Inhaber Evgenij Khait, Kleestraße 21–23, 90461 Nürnberg.

(3) Gegenstand ist die Verarbeitung personenbezogener Daten, die im Rahmen der Nutzung der Software RelaxCRM anfällt. Einzelheiten regeln die Allgemeinen Geschäftsbedingungen.

(4) Dieser Vertrag beginnt mit dem Nutzungsvertrag und endet mit ihm. Die Pflichten aus § 10 (Löschung und Rückgabe) bestehen darüber hinaus fort.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Bereitstellung einer Software zur Terminbuchung und Kundenverwaltung, einschließlich Terminbestätigungen und Erinnerungen.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln und Löschen – jeweils automatisiert innerhalb der Software.

(3) Kategorien betroffener Personen:

• Kundinnen und Kunden des Studios (auch solche, die nur einen Termin buchen)
• Mitarbeiterinnen und Mitarbeiter des Studios, soweit im System angelegt
• Nutzerinnen und Nutzer des Kundenportals des Studios

(4) Arten personenbezogener Daten:

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer
• Termindaten: gebuchte Leistung, Datum, Uhrzeit, Raum, zugeordnete Mitarbeiterin, Status
• Vertragsdaten: Gutscheine, Karten, Mitgliedschaften, Treuepunkte, Zahlungsstatus
• Zugangsdaten: bei Portalkonten die E-Mail-Adresse und das Passwort als Hash
• Kommunikationsdaten: Versandnachweise zu E-Mails und WhatsApp-Nachrichten
• Technische Daten: IP-Adresse und Zeitpunkt des Zugriffs
• Freitextfelder („Notizen“) bei Kundin und Termin, deren Inhalt allein Sie bestimmen

§ 3 Weisungsrecht

(1) Wir verarbeiten die Daten ausschließlich auf Ihre dokumentierte Weisung. Dieser Vertrag samt Anlagen ist Ihre Erstweisung. Weitere Weisungen erteilen Sie in Textform an info@relaxcrm.de; die Einstellungen, die Sie in der Software selbst vornehmen, gelten ebenfalls als Weisung.

(2) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Wir werten Ihre Daten nicht aus, geben sie nicht weiter und verkaufen sie nicht.

(3) Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das mit und dürfen ihre Ausführung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

(4) Sind wir ausnahmsweise durch Unionsrecht oder deutsches Recht zu einer Verarbeitung verpflichtet, teilen wir Ihnen das vorher mit, sofern das Recht dies nicht verbietet.

§ 4 Pflichten des Auftragsverarbeiters

Wir verpflichten uns:

• die technischen und organisatorischen Maßnahmen nach Anlage 1 zu treffen und einzuhalten (Art. 32 DSGVO);
• alle mit den Daten befassten Personen auf Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO);
• Sie bei Ihren Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei Datenschutz-Folgenabschätzungen und Meldungen an die Aufsichtsbehörde;
• Ihnen alle Informationen bereitzustellen, die Sie zum Nachweis Ihrer Pflichten benötigen;
• Sie unverzüglich zu informieren, wenn eine Aufsichtsbehörde bei uns Maßnahmen ergreift, die Ihre Daten betreffen.

§ 5 Technische und organisatorische Maßnahmen

(1) Die getroffenen Maßnahmen ergeben sich aus Anlage 1. Sie sind Vertragsbestandteil.

(2) Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir und teilen sie Ihnen auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

(1) Sie stimmen dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Wir dürfen weitere hinzuziehen oder austauschen. Wir teilen Ihnen das mindestens 30 Tage vorher in Textform mit. Sie können innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widersprechen Sie, können Sie den Nutzungsvertrag zum Zeitpunkt der Umstellung außerordentlich kündigen – wir müssen den Wechsel dann nicht rückgängig machen, aber Sie sind nicht daran gebunden.

(3) Wir verpflichten jeden Unterauftragsverarbeiter auf dieselben Pflichten, die uns dieser Vertrag auferlegt, und haften Ihnen gegenüber für dessen Verhalten wie für eigenes.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne Bezug zu Ihren Daten (etwa Telekommunikation oder Reinigung).

§ 7 Betroffenenrechte

(1) Für die Rechte Ihrer Kundinnen sind Sie verantwortlich. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir sie unverzüglich an Sie weiter und beantworten sie nicht selbst.

(2) Wir unterstützen Sie mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen. Soweit die Software das nicht selbst ermöglicht, führen wir die Handlung auf Ihre Weisung hin aus. Eine formlose Aufforderung an info@relaxcrm.de genügt; wir werden innerhalb von 14 Tagen tätig. Dafür berechnen wir kein Entgelt.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Wir melden Ihnen jede uns bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform an die von Ihnen hinterlegte Adresse.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen.

(3) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der Betroffenen nach Art. 34 DSGVO obliegen Ihnen – Ihre Frist beträgt 72 Stunden. Wir unterstützen Sie dabei mit allen uns vorliegenden Informationen.

§ 9 Nachweise und Kontrollen

(1) Wir weisen Ihnen die Einhaltung der Maßnahmen aus Anlage 1 auf Anfrage nach, in der Regel durch Auskunft in Textform.

(2) Reicht Ihnen das nicht aus, dürfen Sie die Einhaltung überprüfen – nach vorheriger Anmeldung mit angemessener Frist, während unserer üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung unserer Betriebs- und Geschäftsgeheimnisse. Sie dürfen dafür einen zur Verschwiegenheit verpflichteten Prüfer beauftragen, der nicht in Wettbewerb zu uns steht.

(3) Die erste Prüfung im Kalenderjahr führen wir kostenfrei durch. Für weitere Prüfungen ohne besonderen Anlass dürfen wir den angemessenen Aufwand berechnen; bei einem konkreten Anlass – insbesondere nach einer Verletzung nach § 8 – bleibt die Prüfung kostenfrei.

§ 10 Löschung und Rückgabe

(1) Nach Ende des Nutzungsvertrags geben wir Ihre Daten auf Ihre Wahl heraus oder löschen sie (Art. 28 Abs. 3 lit. g DSGVO).

(2) Wir halten die Daten nach Vertragsende 30 Tage zur Herausgabe bereit. Eine formlose Aufforderung an info@relaxcrm.de genügt; wir stellen sie in einem gängigen, maschinenlesbaren Format bereit. Danach löschen wir sie. Sie können die Löschung auch vorher verlangen.

(3) Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese Daten werden gesperrt und nur noch zur Erfüllung dieser Pflicht verarbeitet.

(4) Die Löschung bestätigen wir Ihnen auf Anfrage in Textform.

§ 11 Haftung

(1) Art. 82 DSGVO bleibt unberührt. Im Innenverhältnis gilt: Jede Partei trägt den Anteil, der ihrem Verschulden entspricht.

(2) Im Übrigen gelten die Haftungsregelungen der AGB.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(2) Es gilt deutsches Recht. Gerichtsstand ist Nürnberg, soweit gesetzlich zulässig.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO. Stand: 15. Juli 2026. Die Maßnahmen beschreiben, was tatsächlich umgesetzt ist – nicht, was üblich wäre.

1. Vertraulichkeit

Zugangskontrolle (Systemzugang).

• Passwörter werden ausschließlich als bcrypt-Hash mit zufälligem Salt gespeichert, sowohl für Studio-Konten als auch für Portalkonten. Klartextpasswörter werden nicht gespeichert und aus allen Datenbankabfragen ausgeschlossen.
• Mindestlänge 12 Zeichen, Abgleich gegen eine Liste häufiger Passwörter, Ablehnung von Wiederholzeichen.
• Anmeldung über signierte Token (JWT, HS256) im Authorization-Header, keine Cookies. Gültigkeit: 12 Stunden für Studio-Konten, 7 Tage für Portalkonten, 1 Stunde für Support-Sitzungen des Betreibers.
• Die Anwendung startet nicht, wenn das Signaturgeheimnis fehlt, zu kurz ist oder ein Platzhalter ist.
• Begrenzung der Anmeldeversuche auf 5 pro Minute und IP-Adresse; Registrierung 5 pro Stunde, erneuter Versand von Bestätigungsmails 3 pro Stunde.

Zugriffskontrolle (Berechtigungen).

• Drei getrennte Rollen: Kundin (Portal), Studio-Konto, Betreiber. Token eines Typs sind für einen anderen nicht verwendbar.
• Die Rolle wird bei jeder Anfrage aus der Datenbank gelesen, nie aus dem Token – ein manipuliertes Token kann keine Rechte erzeugen.
• Support-Sitzungen des Betreibers können nicht zur Betreiberrolle zurückeskalieren; der Zugriff auf den Plattformbereich wird für sie hart abgelehnt.

Mandantentrennung.

• Die Daten aller Studios liegen in gemeinsamen Datenbanksammlungen und werden logisch getrennt: Jeder Datensatz trägt eine Mandantenkennung, und jeder Zugriff läuft zwingend über eine Schicht, die diese Kennung erzwingt – bei Abfragen, Änderungen, Löschungen und Auswertungen gleichermaßen. Schreibvorgänge stempeln die Kennung verpflichtend auf.
• Zusätzlich abgesichert durch zusammengesetzte Eindeutigkeitsindizes in der Datenbank, die eine im Programm vergessene Trennung beim Schreiben abfangen.
• Eine öffentliche Buchungsseite mit unbekannter Adresse liefert 404, statt auf einen anderen Mandanten auszuweichen.
• Klarstellung: Es handelt sich um eine logische, keine physische Trennung. Die Studios haben keine getrennten Datenbanken.

Weitere Maßnahmen.

• Sicherheitsheader auf allen Antworten: X-Content-Type-Options: nosniff, X-Frame-Options: DENY (außer für das Buchungs-Widget, das eingebettet werden muss), Referrer-Policy, Permissions-Policy (Standort, Mikrofon und Kamera abgeschaltet) sowie eine Content-Security-Policy, die Skriptquellen auf die eigene Herkunft beschränkt.
• Schriften werden selbst ausgeliefert; es besteht keine Verbindung zu Google Fonts.
• Die Anwendung läuft in einem Container ohne Administratorrechte.
• Zugangsdaten liegen nicht im Programmabbild, sondern ausschließlich in Umgebungsvariablen der Betriebsumgebung.
• Schutz gegen das Auslesen fremder Dateien über die Adresszeile sowie gegen überlastende Suchausdrücke (Längenbegrenzung und Maskierung von Suchbegriffen).

2. Integrität

• Transportverschlüsselung: Alle Verbindungen laufen über TLS; die Zertifikate werden vom Betriebsdienstleister automatisch ausgestellt und erneuert.
• Verschlüsselung im Ruhezustand: Die Zugangsschlüssel zu den WhatsApp-Konten der Studios werden mit Fernet (AES-128 im CBC-Modus mit HMAC-Authentifizierung) verschlüsselt gespeichert. Fehlt der Schlüssel, verweigert das System die Speicherung, statt auf Klartext auszuweichen.
  Klarstellung: Darüber hinaus werden Inhaltsdaten (Namen, Kontaktdaten, Termine, Notizen) nicht gesondert verschlüsselt gespeichert.
• Eingangsprüfung: Eingehende Meldungen des Zahlungsdienstleisters und von WhatsApp werden anhand ihrer kryptografischen Signatur geprüft und bei fehlender oder falscher Signatur abgewiesen.
• Doppelverarbeitungsschutz: Zahlungsereignisse werden über einen Eindeutigkeitsindex gegen mehrfache Ausführung abgesichert.

3. Verfügbarkeit und Belastbarkeit

• Der Betrieb erfolgt in einem Rechenzentrum in Deutschland (siehe Anlage 2).
• Tägliche Sicherung. Die Datenbank wird jede Nacht vollständig gesichert. Die Sicherung wird verschlüsselt (Fernet, AES-128 im CBC-Modus mit HMAC-Authentifizierung), bevor sie das System verlässt; der Schlüssel liegt ausschließlich beim Anbieter und nicht beim Speicheranbieter. Die Aufbewahrung beträgt 30 Tage, ältere Sicherungen werden automatisch gelöscht.
• Überwachte Sicherung. Schlägt eine Sicherung fehl, wird der Anbieter unverzüglich per E-Mail benachrichtigt. Jeder Lauf wird protokolliert.
• Geprüfte Wiederherstellbarkeit. Jede Sicherung enthält ein Verzeichnis ihres Inhalts, gegen das sie geprüft werden kann. Die Wiederherstellung wurde erprobt.
• Beschränkter Netzwerkzugriff. Die Datenbank nimmt Verbindungen ausschließlich von der Adresse des Anwendungsservers an.
• Die Anwendung baut fehlende Datenbankindizes im Hintergrund selbsttätig nach, sodass eine vorübergehende Störung der Datenbank keinen dauerhaften Ausfall auslöst.

4. Verfahren zur Überprüfung und Bewertung

• Die Anwendung wird dokumentierten Sicherheitsprüfungen unterzogen; Befunde werden mit Status festgehalten und nachverfolgt.
• Sicherheitsrelevante Änderungen werden versioniert und sind nachvollziehbar.
• Protokollierung von Betreiberzugriffen: Sieht der Betreiber im Rahmen des Supports in ein Studio hinein („Support-Sitzung“), wird das mit Zeitpunkt, Kennung des Betreibers und betroffenem Studio unveränderlich protokolliert. Dasselbe gilt für das Zurücksetzen eines Studio-Passworts durch den Betreiber.
  Klarstellung: Protokolliert wird der Beginn der Sitzung, nicht jede einzelne Handlung darin.

5. Auftragskontrolle

• Verarbeitung ausschließlich nach Weisung (§ 3).
• Alle mit den Daten befassten Personen sind auf Vertraulichkeit verpflichtet.
• Unterauftragsverarbeiter werden vertraglich auf dieselben Pflichten verpflichtet (§ 6).

Anlage 2 – Unterauftragsverarbeiter

Stand: 15. Juli 2026.

Nicht als Unterauftragsverarbeiter gilt Google. Zeigt Ihr Studio seine Google-Bewertungen an, ruft unser Server sie ab und übermittelt dabei ausschließlich die Kennung Ihres Google-Eintrags. Es werden dabei keine personenbezogenen Daten Ihrer Kundinnen an Google übermittelt.

Fassung vom 15. Juli 2026