Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand: 23.08.2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

zwischen

der Organisation (Vertragspartner des Nutzungsvertrags über die Plattform Zimun) — nachfolgend „Verantwortlicher“ —

und

Zimun Labs UG (haftungsbeschränkt), Buchenteich 3, 73773 Aichwald, Deutschland, Handelsregister B des Amtsgerichts Stuttgart, HRB 806662, vertreten durch die Geschäftsführerin Svetlana Ponomarenko — nachfolgend „Auftragsverarbeiter“ oder „Zimun“ —

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Zimun stellt dem Verantwortlichen die Terminplanungsplattform Zimun (zimun.online) als Software-as-a-Service bereit (der „Hauptvertrag“, d. h. die AGB von Zimun nebst gewähltem Tarif). Im Rahmen des Hauptvertrags verarbeitet Zimun personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten, die der Verantwortliche oder seine Endkunden in die Plattform einbringen (Anlage 1).

(3) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Eine Kündigung des Hauptvertrags gilt zugleich als Kündigung dieses AVV zum selben Zeitpunkt. Für Daten, die nach Beendigung des Hauptvertrags bis zu ihrer endgültigen Löschung oder Rückgabe nach § 8 noch gespeichert sind, gelten die Pflichten dieses AVV fort.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

Art, Zweck, Datenkategorien und Kreis der betroffenen Personen sind in Anlage 1 (Beschreibung der Verarbeitung) festgelegt.

§ 3 Verantwortlichkeit und Weisungen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Betroffenenrechte allein verantwortlich (Art. 4 Nr. 7 DSGVO).

(2) Zimun verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Plattformfunktionen und deren Konfiguration durch den Verantwortlichen gilt als dokumentierte Weisung; ergänzende Einzelweisungen bedürfen der Textform.

(3) Ist Zimun der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Zimun den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und darf die Ausführung bis zur Klärung aussetzen.

(4) Eine Verarbeitung zu eigenen Zwecken von Zimun findet im Anwendungsbereich dieses AVV nicht statt. Welche Verarbeitungen im Auftrag erfolgen und für welche Zimun selbst Verantwortlicher ist, ergibt sich verbindlich aus Anlage 4 (Rollenverteilung). Die dort in Abschnitt B genannten Verarbeitungen — insbesondere Konten, Betrieb und Sicherheit der Plattform, Missbrauchsabwehr, Abrechnung und eigene gesetzliche Pflichten von Zimun — sind nicht Gegenstand dieses AVV und in der Datenschutzerklärung von Zimun beschrieben. Die Entgegennahme und Abwicklung von Buchungen einschließlich der zugehörigen terminbezogenen Mitteilungen gehört nicht hierzu, sondern zur Verarbeitung im Auftrag (Anlage 4 Abschnitt A).

§ 4 Vertraulichkeit

Zimun setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Sicherheit der Verarbeitung (Art. 32 DSGVO)

(1) Zimun trifft die in Anlage 2 (Technische und organisatorische Maßnahmen) beschriebenen Maßnahmen und hält sie auf dem Stand der Technik.

(2) Zimun darf die Maßnahmen fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Zimun informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens 30 Tage vor deren Wirksamwerden in Textform (z. B. per E-Mail oder In-App-Mitteilung). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht des Hauptvertrags zum Zeitpunkt des Wirksamwerdens der Änderung zu.

(3) Zimun verpflichtet jeden Unterauftragsverarbeiter durch Vertrag auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind, bevor dieser mit der Verarbeitung personenbezogener Daten beginnt (Art. 28 Abs. 4 DSGVO). Für die in Anlage 3 aufgeführten aktiven Unterauftragsverarbeiter bestehen diese Verträge. Ist ein dort aufgeführter Unterauftragsverarbeiter noch nicht aktiv, ist dies in Anlage 3 ausdrücklich vermerkt; der Vertragsschluss erfolgt vor der Freischaltung, und die Freischaltung wird nach Absatz 2 mitgeteilt.

(4) Klarstellung — KI-Chat / OpenAI: Der optionale KI-Buchungs-Chat wird ausschließlich mit dem eigenen OpenAI-API-Schlüssel des Verantwortlichen betrieben. OpenAI ist damit kein Unterauftragsverarbeiter von Zimun, sondern unmittelbarer Auftragsverarbeiter des Verantwortlichen. Der Verantwortliche schließt die erforderliche Datenverarbeitungsvereinbarung mit OpenAI selbst und verantwortet Rechtsgrundlage, Drittlandübermittlung und Information seiner Endkunden. Zimun übermittelt Chat-Inhalte insoweit ausschließlich weisungsgemäß an den vom Verantwortlichen benannten OpenAI-Endpunkt.

(5) Klarstellung — Online-Zahlungsfunktion / Stripe: Aktiviert der Verantwortliche die optionale Online-Zahlungsfunktion, werden Zahlungen der Endkunden über das eigene Stripe-Konto des Verantwortlichen (Stripe Payments Europe, Ltd., Irland) abgewickelt; Grundlage ist der eigene Vertrag des Verantwortlichen mit Stripe. Stripe ist dabei kein Unterauftragsverarbeiter von Zimun: Für die Ausführung der Zahlungen und für seine eigenen gesetzlichen Prüf- und Sicherungspflichten (z. B. Betrugs- und Geldwäscheprävention) handelt Stripe als eigenständiger Verantwortlicher; im Übrigen gehört Stripe zur eigenen Dienstleisterkette des Verantwortlichen. Zimun übermittelt insoweit weisungsgemäß Zahlungs- und Buchungsbezugsdaten an das Stripe-Konto des Verantwortlichen und verarbeitet im Auftrag nur die in Anlage 1 genannten Zahlungsdaten; die E-Mail-Adresse des Endkunden wird dabei nicht an Stripe übermittelt. Zahlungsinstrumentendaten (z. B. Kartendaten) erhebt und speichert Zimun nicht; sie werden vom Endkunden unmittelbar bei Stripe eingegeben. Soweit Stripe für die Abrechnung des Entgelts tätig wird, das Zimun dem Verantwortlichen für die Zahlungsfunktion berechnet, ist dies eine Verarbeitung im eigenen Verantwortungsbereich von Zimun außerhalb dieses AVV (§ 3 Abs. 4); Endkundendaten sind davon nicht betroffen.

§ 7 Unterstützung des Verantwortlichen

(1) Zimun unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO; Art. 28 Abs. 3 lit. e DSGVO), insbesondere durch die Berichtigungs- und Löschfunktionen der Plattform sowie — soweit Exportfunktionen bereitstehen — durch diese; im Übrigen stellt Zimun die betreffenden Daten auf Anfrage in einem gängigen, maschinenlesbaren Format bereit (vgl. die Datenzugangs-Regelung der AGB).

(2) Zimun unterstützt den Verantwortlichen bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der Art der Verarbeitung und der Zimun zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).

(3) Zimun meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die dessen Auftragsdaten betreffen, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).

§ 8 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags löscht Zimun die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO). Die endgültige Löschung erfolgt — vorbehaltlich eines früheren Löschverlangens des Verantwortlichen — 30 Tage nach Beendigung des Hauptvertrags; innerhalb dieser Frist kann der Verantwortliche seine Daten abrufen oder die Beendigung widerrufen (vgl. AGB, Regelung zur Löschung nach Vertragsende).

(2) Unabhängig davon gelten während der Vertragslaufzeit die automatisierten Löschroutinen der Plattform (insbesondere Löschung der Kontaktdaten zu Terminen einen Monat nach dem Termin, bei online über die Zahlungsfunktion bezahlten Terminen abweichend 180 Tage nach dem Termin, da Zahlungen innerhalb dieses Zeitraums noch Gegenstand von Rückbuchungen oder Zahlungsstreitigkeiten sein können (§ 6 Abs. 5) — die verbleibenden Termindaten (Zeit, Leistung, Ressource) sind danach kontaktdatenbereinigt; sie können im Einzelfall, insbesondere bei kleinen Organisationen oder besonderen Leistungen, weiterhin einen Personenbezug zum Endkunden aufweisen und werden daher weiter als personenbezogene Daten im Sinne dieses AVV behandelt —, Löschung technischer Logs nach 30 Tagen).

§ 9 Nachweise und Kontrollen

(1) Zimun stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), in der Regel durch geeignete Dokumentation (z. B. TOM-Beschreibung, Zertifizierungen/Auditberichte der Infrastrukturanbieter, insbesondere Google Cloud).

(2) Überprüfungen vor Ort sind nach vorheriger Ankündigung mit angemessener Frist während üblicher Geschäftszeiten zulässig, soweit die Dokumentation im Einzelfall nicht ausreicht; Geschäftsgeheimnisse und Daten anderer Kunden bleiben geschützt.

(3) Der Verantwortliche trägt die Kosten eigener Kontrollen selbst. Für Unterstützungsleistungen, die über die Bereitstellung vorhandener Dokumentation und die gesetzlich geschuldete Mitwirkung nach Art. 28 Abs. 3 lit. h DSGVO hinausgehen, kann Zimun eine angemessene Vergütung nach Aufwand verlangen; das Kontrollrecht des Verantwortlichen wird hierdurch nicht eingeschränkt oder von einer Vorabzahlung abhängig gemacht.

§ 10 Drittlandübermittlungen

(1) Die Verarbeitung findet grundsätzlich in der EU statt (Google Cloud Region europe-west3, Frankfurt am Main).

(2) Soweit Unterauftragsverarbeiter Daten in Drittländer übermitteln (Anlage 3), erfolgt dies nur bei Vorliegen eines Angemessenheitsbeschlusses (Art. 45 DSGVO, z. B. EU-U.S. Data Privacy Framework) oder geeigneter Garantien (Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln).

§ 11 Haftung; Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser AVV vor.

(3) Es gilt deutsches Recht; Gerichtsstand richtet sich nach dem Hauptvertrag.

Anlage 1 — Beschreibung der Verarbeitung

• Gegenstand: Bereitstellung und Betrieb der Terminplanungsplattform Zimun für den Verantwortlichen
• Art der Verarbeitung: Erhebung über Buchungs- und Verwaltungsoberflächen, Speicherung, Anzeige, Übermittlung (Benachrichtigungen, Kalender-Synchronisation, optionaler KI-Chat-Transport), automatisierte Löschung
• Zweck: Verwaltung von Terminen, Leistungen, Ressourcen, Teammitgliedern und Endkundenkommunikation des Verantwortlichen
• Datenkategorien: Endkunden: Name, E-Mail-Adresse, Telefonnummer, Termindaten (Leistung, Ressource, Zeitpunkt), freiwillige Freitextangaben, Einwilligungsnachweise (z. B. AGB-Zustimmung, SMS-Erinnerungs-Einwilligung samt Zeitpunkt); ggf. Chat-Inhalte (bei aktiviertem KI-Chat); Warteliste-Einträge; bei aktivierter Online-Zahlungsfunktion: Zahlungsdaten der Buchung (Zahlungsstatus, Betrag, Währung, Zeitpunkt, Erstattungsstatus, Zuordnung zu Buchung und Organisation) — keine Zahlungsinstrumentendaten wie Kartennummern; diese erhebt ausschließlich Stripe (§ 6 Abs. 5). Anwesenheitsangaben zum Termin (Durchführungszeitpunkte, Anwesenheits- bzw. Nichterscheinens-Vermerk, interne Freitextnotiz des Verantwortlichen). Teammitglieder: Name, E-Mail-Adresse, Konto-/Profildaten, Arbeits-/Verfügbarkeitszeiten, Kalender-Metadaten (bei aktivierter Synchronisation), Handelnden-Kennungen zu Terminvorgängen (welches Mitglied einen Termin gestartet, beendet oder eine Anwesenheit vermerkt hat, jeweils mit Zeitpunkt)
• Besondere Kategorien (Art. 9): Die Plattform sieht keine eigenen Datenfelder für besondere Kategorien personenbezogener Daten vor und benötigt solche Daten für ihre Funktion nicht. Bietet der Verantwortliche jedoch Leistungen mit Gesundheitsbezug an, können die Termindaten (insbesondere gewählte Leistung und Anbieter) sowie Freitextangaben im Einzelfall Gesundheitsdaten im Sinne des Art. 9 DSGVO offenbaren; Zimun verarbeitet solche Daten ausschließlich im Rahmen dieses AVV als Bestandteil der oben genannten Datenkategorien. Der Verantwortliche ist dafür verantwortlich, dass für eine solche Verarbeitung eine Ausnahme nach Art. 9 Abs. 2 DSGVO (ggf. i. V. m. § 22 BDSG) vorliegt, und weist seine Endkunden im Rahmen der Datenminimierung an, keine nicht erforderlichen Gesundheitsangaben in Freitextfelder einzutragen.
• Betroffene Personen: Endkunden des Verantwortlichen; Teammitglieder/Beschäftigte des Verantwortlichen
• Dauer: Laufzeit des Hauptvertrags; automatisierte Löschfristen gemäß § 8 Abs. 2

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen beschreiben den Ist-Stand der Plattform. Zimun entwickelt sie nach § 5 Abs. 2 fort, ohne das Schutzniveau zu unterschreiten.

• 1. Infrastruktur und Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Google Cloud Platform (App Engine, Firestore), EU-Region europe-west3 (Frankfurt am Main); kein eigener Serverbetrieb. Physische Zutrittskontrolle, Umgebungssicherheit, Redundanz und Zertifizierungen (u. a. ISO/IEC 27001, 27017, 27018, SOC 1/2/3) liegen beim Infrastrukturanbieter und werden über dessen Auditberichte nachgewiesen (§ 9 Abs. 1).
• 2. Zugangskontrolle Produktionssysteme: Zugriff auf Produktionsumgebung und Datenbank ist über Google Cloud IAM auf die Geschäftsführerin beschränkt und durch Mehrfaktor-Authentifizierung abgesichert; die Anwendung läuft unter dedizierten Dienstkonten mit minimal erforderlichen Berechtigungen.
• 3. Geheimnisverwaltung: Anwendungsgeheimnisse (Signatur- und Verschlüsselungsschlüssel, API-Schlüssel, Zugangsdaten zu Diensten, der private Schlüssel des Datenbank-Dienstkontos) liegen ausschließlich im Google Secret Manager und werden zur Laufzeit abgerufen; sie werden nicht im Quellcode, nicht in Konfigurationsdateien und nicht im ausgelieferten Anwendungspaket vorgehalten. Rotation erfolgt durch Anlegen einer neuen Version des jeweiligen Geheimnisses, ohne Codeänderung. Klarstellung: Kennungen, die bestimmungsgemäß öffentlich sind, sind keine Geheimnisse im Sinne dieser Zusage und unterfallen ihr nicht — dies betrifft den im HTML ausgelieferten Browser-Schlüssel für die Kartendarstellung sowie den Verifizierungsschlüssel für die Suchmaschinen-Indexierung, den das jeweilige Protokoll verlangt, unter einer öffentlichen Adresse zu veröffentlichen. Solche Kennungen werden durch Herkunfts- und Nutzungsbeschränkungen geschützt, nicht durch Geheimhaltung.
• 4. Authentifizierung der Nutzer: Anmeldung ausschließlich über OAuth (Google, Microsoft); Zimun speichert keine Passwörter.
• 5. Zugriffskontrolle und Trennungsgebot: rollen- und organisationsbezogene Berechtigungsprüfung in der Anwendung; logische Mandantentrennung je Organisation auf Datenebene; kein Zugriff einer Organisation auf Daten anderer Organisationen.
• 6. Übertragungs- und Speicherkontrolle: TLS-Verschlüsselung (HTTPS) für alle Verbindungen; Verschlüsselung im Ruhezustand durch den Infrastrukturanbieter (Google-Cloud-Standard).
• 7. Anwendungssicherheit: Schutz vor Cross-Site-Request-Forgery (CSRF) und Ratenbegrenzung (Rate Limiting) auf sicherheitsrelevanten Endpunkten.
• 8. Datenminimierung durch Datentrennung: Kontaktdaten der Endkunden werden in einem gesonderten, besonders geschützten Datensatz getrennt vom übrigen Termindatensatz gespeichert; der allgemeine Termindatensatz enthält keine Kontaktdaten.
• 9. Löschkonzept: automatisierter täglicher Löschlauf entfernt die Kontaktdaten zu Terminen einen (1) Monat nach dem Termin (bei online über die Zahlungsfunktion bezahlten Terminen: 180 Tage nach dem Termin, § 8 Abs. 2); technische Server-Logs werden 30 Tage aufbewahrt; Löschung auf Anforderung des Verantwortlichen; endgültige Löschung nach Vertragsende gemäß § 8.
• 10. Eingabekontrolle: Audit-Protokollierung administrativer Vorgänge; technische Server-Logs (30 Tage).
• 11. Verfügbarkeit und Wiederherstellbarkeit: Redundanz, Sicherungen und Wiederherstellungsmechanismen der verwalteten Infrastruktur (App Engine/Firestore); Monitoring des Dienstes.
• 12. Auftragskontrolle: Auswahl der Unterauftragsverarbeiter nach Art. 28 DSGVO; Auftragsverarbeitungsverträge mit allen aktiven in Anlage 3 genannten Unterauftragsverarbeitern (§ 6 Abs. 3).
• 13. Grenzen der derzeitigen Maßnahmen: Regelmäßige externe Penetrationstests und formalisierte, dokumentierte Wiederherstellungsübungen (Restore-Tests) werden derzeit nicht durchgeführt; die Wiederherstellbarkeit stützt sich auf die Mechanismen der verwalteten Infrastruktur.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

• Google Cloud EMEA Limited (Google Cloud Platform: App Engine, Firestore, Cloud Logging, Secret Manager)
  • Leistung: Hosting, Datenbank, Betrieb
  • Ort der Verarbeitung: EU — Region europe-west3 (Frankfurt am Main); Support-/Randzugriffe durch Google LLC (USA) möglich
  • Transfermechanismus: Google Cloud Data Processing Addendum; EU-Standardvertragsklauseln / EU-U.S. Data Privacy Framework
• Mailgun Technologies, Inc. (Sinch-Gruppe)
  • Leistung: Transaktionaler E-Mail-Versand (Öffnungs- und Klick-Tracking deaktiviert)
  • Ort der Verarbeitung: EU-Region von Mailgun (Verarbeitung und Speicherung der Nachrichten in der Europäischen Union); Anbieter mit Sitz in den USA, ein Support-Zugriff aus einem Drittland ist nicht vollständig auszuschließen
  • Transfermechanismus: Mailgun/Sinch DPA; EU-Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework
• Bird B.V. (vormals MessageBird), Amsterdam, Niederlande
  • Leistung: Versand von SMS-Terminerinnerungen (nur bei von der Organisation aktivierter Funktion und mit Einwilligung des Endkunden; übermittelt werden Telefonnummer und Nachrichtentext)
  • Ort der Verarbeitung: Niederlande (EU)
  • Status: Noch nicht aktiv. Der SMS-Versand ist derzeit plattformweit nicht freigeschaltet. Vor der Freischaltung schließt Zimun den Datenverarbeitungsvertrag mit Bird ab und verifiziert die Verarbeitungsstandorte sowie etwaige Drittlandübermittlungen (Art. 45/46 DSGVO); diese Anlage wird zuvor entsprechend aktualisiert, Änderungen werden nach § 6 Abs. 2 mitgeteilt.
• Google Ireland Limited (Google Maps Platform: Maps JavaScript API, Geocoding, Time Zone)
  • Leistung: Kartendarstellung und Adresssuche in den Einstellungsseiten für Organisation und Standorte sowie serverseitige Ermittlung von Koordinaten und Zeitzone einer Adresse
  • Betroffene Datenkategorien: im Browser IP-Adresse und Browserangaben des Mitglieds sowie die in die Adresssuche eingegebene Adresse; serverseitig die vom Verantwortlichen eingegebene Anschrift. Keine Endkundendaten — auf den öffentlichen Buchungsseiten wird Google Maps nicht eingebunden.
  • Ort der Verarbeitung: EU/Irland; Übermittlung an Google LLC (USA) möglich
  • Transfermechanismus: Google Maps Platform Data Processing Terms; EU-Standardvertragsklauseln / EU-U.S. Data Privacy Framework
  • Besonderheit: Die browserseitige Einbindung erfolgt erst nach ausdrücklichem Klick des Mitglieds („Karte laden“), mit vorherigem Hinweis auf die Übermittlung der IP-Adresse. Vor dem Klick findet keine Verbindung zu Google statt.

Ergänzung zur Kalender- und Videofunktion (keine Unterauftragsverarbeitung, aber offenlegungsbedürftige Übermittlung): Ist bei einem Termin ein Videomeeting vorgesehen, wird die E-Mail-Adresse des Endkunden dem über das Google-Konto des Mitglieds erstellten Meeting als Gast hinzugefügt; Google versendet daraufhin eine Kalendereinladung. Der Kalendereintrag, den Zimun in den Kalender des Mitglieds schreibt, enthält demgegenüber keine Endkundendaten (nur Leistungsbezeichnung und Zeitfenster), und aus dem Kalender des Mitglieds werden ausschließlich belegte Zeitfenster übernommen, nicht die Betreffzeilen seiner privaten Termine.

Nicht in der Unterauftragskette von Zimun: OpenAI (KI-Chat) — wird vom Verantwortlichen mit dessen eigenem API-Schlüssel direkt beauftragt (§ 6 Abs. 4). Stripe (Online-Zahlungsfunktion) — Zahlungsdienstleister des Verantwortlichen über dessen eigenes Stripe-Konto bzw. für die Ausführung der Zahlungen und eigene gesetzliche Pflichten eigenständiger Verantwortlicher (§ 6 Abs. 5). Google Ireland Limited und Microsoft Ireland Operations Limited handeln beim OAuth-Login als eigenständige Verantwortliche; Google Kalender/Google Meet werden auf Veranlassung des jeweiligen Mitglieds über dessen eigenes Google-Konto verbunden.

Anlage 4 — Rollenverteilung (verbindliche Zuordnung)

Diese Anlage ordnet jede Verarbeitung einer Rolle zu. Sie ist für diesen Vertrag, für die AGB und für die Datenschutzerklärung von Zimun maßgeblich; abweichende Beschreibungen an anderer Stelle sind nach dieser Anlage auszulegen.

A. Verarbeitungen im Auftrag der Organisation (Zimun = Auftragsverarbeiter, Art. 28 DSGVO)

Die Rechtsgrundlage bestimmt die Organisation; Zimun benötigt insoweit keine eigene Rechtsgrundlage.

• A1 — Endkundendaten (Name, E-Mail-Adresse, Telefonnummer), Termin- und Buchungsdaten, Wartelisten-Einträge, freiwillige Freitextangaben. Betroffene: Endkunden.
• A2 — Entgegennahme, Änderung und Stornierung von Buchungen über die Buchungsseiten und die Verwaltungsoberflächen der Organisation, einschließlich der über API- und MCP-Zugänge übermittelten Buchungen. Betroffene: Endkunden.
• A3 — Terminbezogene transaktionale Mitteilungen an Endkunden (Bestätigung, Erinnerung, Änderung, Stornierung, erforderliche Follow-ups) einschließlich SMS-Erinnerungen; Zustellprotokolle zu diesen Mitteilungen. Betroffene: Endkunden.
• A4 — Kalender-Synchronisation und Erstellung von Videotermin-Einladungen über das Konto des jeweiligen Mitglieds. Betroffene: Endkunden, Mitglieder.
• A5 — Weiterleitung von Chat-Inhalten an den von der Organisation benannten OpenAI-Endpunkt (§ 6 Abs. 4). Betroffene: Endkunden.
• A6 — Bei aktivierter Online-Zahlungsfunktion: Zahlungsdaten der Buchung (Status, Betrag, Währung, Zeitpunkt, Erstattungsstatus, Zuordnung zu Buchung und Organisation). Betroffene: Endkunden.
• A7 — Stamm- und Verfügbarkeitsdaten der Teammitglieder, soweit die Organisation sie zur Terminplanung einstellt. Betroffene: Mitglieder.

B. Verarbeitungen in eigener Verantwortung von Zimun (Zimun = Verantwortlicher)

Nicht Gegenstand dieses AVV; beschrieben in der Datenschutzerklärung von Zimun.

• B1 — Anlage und Verwaltung von Benutzerkonten, Anmeldung über OAuth, Rollen- und Berechtigungsverwaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartner ist (insbesondere Einzelunternehmer); im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Durchführung des Vertrags mit der Organisation).
• B2 — Nachweis der Zustimmung zu den Rechtsdokumenten (Fassung, Prüfwert, Zeitpunkt, handelnde Person). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Nachweis der Einbeziehung nach § 305 Abs. 2 BGB, Verteidigung gegen Ansprüche) und lit. b, soweit die handelnde Person selbst Vertragspartner ist.
• B3 — Betrieb, Verfügbarkeit und Sicherheit der Plattform, technische Server-Logs, Sicherungskopien. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, i. V. m. Art. 32 DSGVO.
• B4 — Missbrauchs- und Betrugsabwehr, Ratenbegrenzung, pseudonyme Sitzungskennungen des KI-Chats. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• B5 — Abrechnung der Entgelte von Zimun gegenüber der Organisation, Rechnungsstellung, Zahlungsabgleich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.
• B6 — Eigene Kommunikation von Zimun mit der Organisation und ihren Mitgliedern (Kontodienst-Mitteilungen, Support, Mitteilungen nach Ziffer 9 Abs. 4 und Ziffer 17 der AGB). Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.
• B7 — Erfüllung eigener gesetzlicher Pflichten von Zimun (handels- und steuerrechtliche Aufbewahrung, Sorgfalts-, Melde- und Mitwirkungspflichten nach dem PStTG, Auskünfte an Behörden, Meldeverfahren nach Art. 16 DSA). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
• B8 — Aufruf der Website und der öffentlichen Buchungsseiten außerhalb einer Buchung (Sprachwahl, Sitzungs- und CSRF-Cookies). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG.
• B9 — Webanalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG.

C. Abgrenzung

Greift Zimun zur Abwehr von Missbrauch (B4) oder zur Erfüllung einer gesetzlichen Pflicht (B7) auf Inhalte aus Abschnitt A zu, handelt Zimun insoweit als Auftragsverarbeiter und benötigt eine Weisung der Organisation, es sei denn, eine Rechtsvorschrift der Union oder der Mitgliedstaaten verpflichtet Zimun unmittelbar (Art. 28 Abs. 3 Buchst. a DSGVO); in diesem Fall unterrichtet Zimun die Organisation, soweit das Recht dies nicht verbietet. Eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) besteht nicht.