Vertrag zur Auftragsverarbeitung (AVV)

nach Art. 28 DSGVO, zwischen dem Laden, der Zeitlo nutzt (Verantwortlicher), und dem Betreiber von Zeitlo (Auftragsverarbeiter):

Der Laden schließt diesen Vertrag ab, indem er ihm beim Anlegen seines Kontos zustimmt. Version 2026-10-09.

§ 1 Gegenstand und Dauer

Zeitlo verarbeitet für den Laden die Daten seiner Kundinnen und Kunden, um Termine anzubieten, zu buchen, zu verwalten und dazu zu benachrichtigen. Der Vertrag gilt, solange der Laden Zeitlo nutzt, und endet mit der Löschung seines Kontos.

§ 2 Art der Daten und betroffene Personen

• Betroffen sind Kundinnen und Kunden des Ladens, die einen Termin buchen oder dem Bot des Ladens schreiben.
• Daten: Name, E-Mail-Adresse, Telefonnummer (auf Wunsch), gebuchte Leistung, Termin, Person im Team, Status der Buchung und, beim Telegram-Bot, der Gesprächsverlauf.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen.

§ 3 Weisungen

Zeitlo verarbeitet die Daten nur, wie es dieser Vertrag und die Funktionen von Zeitlo vorsehen, und nach weiteren Weisungen des Ladens in Textform. Hält Zeitlo eine Weisung für rechtswidrig, sagt Zeitlo das dem Laden unverzüglich.

§ 4 Vertraulichkeit

Zugang zu den Daten haben nur der Betreiber von Zeitlo und Personen, die er zur Vertraulichkeit verpflichtet hat, und nur soweit es für den Betrieb nötig ist.

§ 5 Technische und organisatorische Maßnahmen

• Datenbank in einem Rechenzentrum in Frankfurt am Main; Datensicherungen beim Anbieter der Datenbank.
• Verschlüsselte Übertragung (HTTPS/TLS) für alle Verbindungen.
• Zugriffsschutz in der Datenbank: Jeder Laden sieht nur seine eigenen Buchungen (Row Level Security). Passwörter werden nur gehasht gespeichert.
• Zugänge des Betreibers zu den Diensten sind mit eigenen, starken Passwörtern geschützt.
• Keine Nutzung der Kundendaten für Werbung, Profile oder eigene Zwecke von Zeitlo.

Zeitlo passt diese Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

§ 6 Unterauftragsverarbeiter

Der Laden ist mit diesen Unterauftragsverarbeitern einverstanden:

• Vercel Inc. (USA): Betrieb der Website und der Schnittstellen, Server in Frankfurt am Main.
• Supabase Inc. (USA): Datenbank und Anmeldung, Rechenzentrum in Frankfurt am Main.
• Resend Inc. (USA): Versand der E-Mails, Server in der EU.
• OpenAI, L.L.C. (USA): KI-Antworten des Telegram-Bots, nur wenn der Laden einen Bot verbindet.

Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework oder die Standardvertragsklauseln der EU-Kommission. Neue oder andere Unterauftragsverarbeiter kündigt Zeitlo vorher per E-Mail an; der Laden kann innerhalb von 14 Tagen widersprechen und den Vertrag dann beenden.

§ 7 Unterstützung des Ladens

Zeitlo unterstützt den Laden, soweit möglich, bei Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung und weitere Rechte nach Art. 15 bis 22 DSGVO) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an Zeitlo, leitet Zeitlo die Anfrage an den Laden weiter.

§ 8 Datenschutzverletzungen

Zeitlo informiert den Laden unverzüglich, spätestens innerhalb von 48 Stunden, nachdem Zeitlo von einer Verletzung des Schutzes der Daten des Ladens erfahren hat, und gibt die Informationen weiter, die der Laden für eine Meldung nach Art. 33 und 34 DSGVO braucht.

§ 9 Löschung und Rückgabe

Endet der Vertrag, löscht Zeitlo die Daten des Ladens innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch erhält der Laden vorher eine Kopie seiner Buchungen.

§ 10 Nachweise und Kontrollen

Zeitlo stellt dem Laden auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen, und ermöglicht Überprüfungen nach vorheriger Absprache.

§ 11 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen geht dieser Vertrag für den Datenschutz vor. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Mehr zur Verarbeitung steht in der Datenschutzerklärung.