Vereinbarung zur Auftragsverarbeitung (AVV)

1. Parteien und Geltung

Verantwortlicher ist der in der Bestellung bezeichnete CARE-Kunde; Auftragsverarbeiter ist Dmitry Nikitin – Fotonika. Diese AVV gilt mit Annahme des CARE-Vertrags und hat bei Datenschutzfragen Vorrang vor den AGB.

2. Gegenstand, Dauer und Zweck

Gegenstand ist der technische Betrieb von Buchung, Kalenderübertragung, Benachrichtigungen, Nutzerzugängen und vereinbarten Integrationen. Die Verarbeitung dauert für die Vertragslaufzeit zuzüglich technisch notwendiger Lösch- und gesetzlicher Aufbewahrungsfristen.

3. Daten und betroffene Personen

Betroffene: Buchungskunden, Beschäftigte und Ansprechpartner des Verantwortlichen. Daten: Identitäts- und Kontaktdaten, Buchungsinhalt, freiwillige Notiz, Kalender- und Ressourcenbezug, Geräte-, Sitzungs-, Protokoll- und Benachrichtigungskennungen. Besondere Kategorien sind nicht vereinbart.

4. Weisungen und Vertraulichkeit

Fotonika verarbeitet nur aufgrund dokumentierter Weisungen, einschließlich Übermittlungen. Hält Fotonika eine Weisung für rechtswidrig, informiert sie den Verantwortlichen und darf die Ausführung bis zur Klärung aussetzen. Zugriffsberechtigte Personen sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Maßnahmen umfassen TLS, verschlüsselte Integrationstokens, Zugriffsbeschränkung, Mandantentrennung, getrennte Entwicklungs- und Produktionsumgebungen, Protokollierung sicherheitsrelevanter Vorgänge, Secret-Management, Aktualisierung und Wiederherstellungsverfahren. Maßnahmen werden risikoorientiert weiterentwickelt.

6. Unterauftragsverarbeiter

Google Ireland Limited (Google Calendar/OAuth und – nach Einwilligung – Google Analytics), Cloudflare, Inc. (Hosting, Netzwerk und technische Speicher), Websupport, s.r.o. (E-Mail), Meta Platforms Ireland Limited (Instagram) sowie Push-Dienste des Browsers oder Betriebssystems.

Der Verantwortliche erteilt eine allgemeine Genehmigung. Über wesentliche Änderungen wird grundsätzlich mindestens 14 Tage vorher informiert; bei berechtigtem Datenschutzgrund kann widersprochen werden. Ist keine zumutbare Alternative möglich, darf jede Partei den betroffenen Dienst beenden.

7. Unterstützung und Vorfälle

Fotonika unterstützt angemessen bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzung und Behördenanfragen. Eine bestätigte Verletzung personenbezogener Daten wird dem Verantwortlichen ohne unangemessene Verzögerung mit den verfügbaren Angaben gemeldet. Der Verantwortliche bleibt für Meldungen an Behörden und Betroffene zuständig.

8. Nachweise und Audits

Fotonika stellt erforderliche Informationen zur Verfügung. Ein Audit ist grundsätzlich einmal jährlich, mit angemessener Vorankündigung, während Geschäftszeiten und ohne Gefährdung anderer Mandanten möglich. Zunächst sind Dokumentenprüfung und unabhängige Nachweise zu verwenden. Zusätzliche Kosten trägt der Verantwortliche, soweit kein wesentlicher Verstoß von Fotonika festgestellt wird.

9. Rückgabe und Löschung

Nach Vertragsende löscht oder gibt Fotonika personenbezogene Daten unter ihrer Kontrolle nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Pflicht entgegensteht. Kalenderereignisse verbleiben im Kalender des Verantwortlichen. Technische Sicherungskopien werden im normalen Löschzyklus überschrieben.