Rechtliches

Data Processing Agreement (DPA)

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO.
gültig ab dem 01. Oktober 2024.

Dieser Vertrag zur Auftragsverarbeitung („AVV“ oder „DPA“) ist Bestandteil der Nutzungsbedingungen und reguliert den datenschutzkonformen Umgang mit personenbezogenen Daten zwischen Treatly (nachfolgend „Auftragsverarbeiter“ oder „Treatly“) und dem Nutzer der Treatly-Software (nachfolgend „Verantwortlicher“ oder „Studio“).

1. Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

1.1 Gegenstand und Zweck: Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Dies umfasst das Hosting der Software, die Bereitstellung von Terminbuchungsfunktionen, CRM-Systemen und Zahlungsabwicklungen gemäß den Hauptnutzungsbedingungen.

1.2 Art der Daten: Stammdaten (Name, Adresse), Kontaktdaten (E-Mail, Telefon), Vertragsdaten, Zahlungsdaten, Termin-Historien und Notizen zu Kundenbehandlungen.

1.3 Kategorien betroffener Personen: Kunden des Verantwortlichen (Studios), Mitarbeiter des Verantwortlichen.

1.4 Dauer: Dieser Vertrag gilt für die Dauer der Inanspruchnahme der Treatly-Dienste durch den Verantwortlichen.

2. Pflichten des Auftragsverarbeiters

2.1 Weisungsgebundenheit: Der Auftragsverarbeiter darf Daten von betroffenen Personen nur im Rahmen des Auftrags und der dokumentierten Weisungen des Verantwortlichen verarbeiten, außer es besteht eine gesetzliche Verpflichtung zur Verarbeitung.

2.2 Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

2.3 Sicherheit der Verarbeitung: Der Auftragsverarbeiter ergreift die erforderlichen technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO, um ein angemessenes Schutzniveau zu gewährleisten (siehe Anlage 1).

3. Einschaltung von Unterauftragsverarbeitern

Der Verantwortliche stimmt der Beauftragung der nachfolgenden Unterauftragsverarbeiter zu. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern.

UnterauftragsverarbeiterDienstleistungStandort
Supabase, Inc. / AWSDatenbank-Hosting & AuthFrankfurt, Deutschland (EU)
Vercel Inc.Frontend-Hosting & Edge FunctionsGlobal (CDN), Server in Frankfurt (EU)
Stripe Payments Europe, Ltd.ZahlungsabwicklungIrland (EU)
Resend, Inc.E-Mail Versand (Transaktions- & Marketing-Mails)USA (DPA abgeschlossen)
MessaggioSMS (Skebby / Messagebird)SMS-Versand (Terminerinnerungen)Italien (EU)
Functional Software, Inc. (Sentry)Error Tracking & Performance MonitoringUSA (DPA abgeschlossen)
Cloudflare, Inc.Bot-Schutz (Turnstile), DDoS-SchutzGlobal (EU-Rechenzentren verfügbar)

4. Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen zu erfüllen.

5. Löschung oder Rückgabe der Daten

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern keine rechtliche Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

  • Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)Physische Zugangskontrolle bei Rechenzentren (ISO 27001 zertifiziert). TLS-Verschlüsselung (HTTPS) für alle Datenübertragungen. Sicheres Passwort-Hashing (bcrypt/Argon2). Role-based Access Control (RBAC) für API-Zugriffe. Row-Level Security (RLS) in der Datenbank.
  • Integrität (Art. 32 Abs. 1 lit. b DSGVO)Eingabekontrolle durch systemseitige Protokollierung von Änderungen (Audit-Logs). Strikte Trennung von Entwicklungs- und Produktivsystemen.
  • Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)Tägliche automatisierte Backups mit Point-in-Time-Recovery. Einsatz von hochverfügbaren Cloud-Infrastrukturen (AWS). DDoS-Schutz durch Cloudflare/Vercel.
  • Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)Regelmäßige Security-Audits und automatisiertes Dependency-Scanning. Incident-Response-Prozesse zur Meldung von Datenschutzverletzungen innerhalb von 72 Stunden.