Vereinbarung zur gemeinsamen Verarbeitung

Präambel

Diese Vereinbarung regelt die datenschutzrechtlichen Zuständigkeiten zwischen CutNear und dem Salon für die Verarbeitung personenbezogener Daten von Endkundinnen und Endkunden im Rahmen der Terminvermittlung.

Beide Parteien bestimmen Zwecke und Mittel dieser Verarbeitung gemeinsam: der Salon bringt Leistungen, Preise und Verfügbarkeiten ein, CutNear das Buchungsverfahren, die Verarbeitung und die Reichweite. Ohne beide Beiträge kommt keine Buchung zustande. Sie sind insoweit gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO.

§ 1 Parteien

CutNear — Inhaber: Baran Özbey, Glückaufstr. 19, 52531 Übach-Palenberg. Kontakt in Datenschutzfragen: datenschutz@cutnear.de. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen nach Art. 37 DSGVO, § 38 BDSG liegen nicht vor.

Der Salon — das Unternehmen, das über CutNear Termine anbietet, mit den im Salonprofil hinterlegten Angaben zu Firmierung, Anschrift und vertretungsberechtigter Person.

§ 2 Gegenstand und Abgrenzung

(1) Gemeinsame Verarbeitung. Gemeinsam verarbeiten die Parteien personenbezogene Daten ausschließlich im Rahmen der Terminvermittlung und Terminabwicklung. Das umfasst die Entgegennahme und Übermittlung der Buchungsanfrage, die Bestätigung, Änderung, Verlegung und Stornierung des Termins sowie die zur Durchführung erforderliche Kommunikation.

(2) Allein CutNear. Nicht Gegenstand dieser Vereinbarung und ausschließlich von CutNear zu verantworten sind: Registrierung, Führung und Löschung des Nutzerkontos; die Verifizierung von Telefonnummer und E-Mail-Adresse sowie die Wiedererkennung von Geräten; die plattformweite Missbrauchs- und Betrugserkennung einschließlich Nummernsperren; Suche, Ranking, Empfehlungen, Favoriten und Bewertungen; Auswertungen zu Zwecken der Produktentwicklung und Statistik; Betrieb, Hosting und Sicherung der Plattform.

(3) Allein der Salon. Nicht Gegenstand dieser Vereinbarung und ausschließlich vom Salon zu verantworten sind: die Durchführung der Dienstleistung und alles, was dabei erhoben wird; eigene Aufzeichnungen außerhalb der Plattform wie Kundenkartei, Kasse oder Kalender Dritter; die Erhebung der Daten bei telefonisch oder vor Ort vereinbarten Terminen, die der Salon anschließend über das Backoffice einträgt; jede Weiterverwendung der Daten zu eigenen Zwecken, insbesondere zu Werbezwecken.

(4) Für die Verarbeitungen nach Absatz 2 und 3 gilt diese Vereinbarung nicht. Insoweit ist jede Partei allein Verantwortliche und trägt die Verantwortung eigenständig.

§ 3 Datenkategorien und betroffene Personen

Betroffen sind Endkundinnen und Endkunden, die über die Plattform einen Termin buchen oder für die der Salon einen Termin einträgt.

Für den Salon einsehbar sind Name, Telefonnummer, E-Mail-Adresse, die Termindaten (Datum, Uhrzeit, Leistung, Mitarbeiter, Preis) sowie eine freiwillige Anmerkung zur Buchung — jeweils nur aus eigenen Buchungen.

Nicht einsehbar und nicht Gegenstand der gemeinsamen Verarbeitung sind Kontodaten, Verifizierungsstatus, Gerätemerkmale, Risikoereignisse, Sperren und IP-Adressen. Ein Zugriff auf Buchungen bei anderen Salons besteht nicht und wird nicht eingeräumt.

§ 4 Zuständigkeiten nach Art. 26 Abs. 1 DSGVO

Die Parteien legen fest, wer welche Verpflichtung erfüllt:

CutNear erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO und sämtliche Betroffenenrechte nach Art. 15 bis 22 DSGVO — Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und die Überprüfung automatisierter Entscheidungen. CutNear führt die Löschfristen aus, verantwortet die Sicherheit der Plattform nach Art. 32 DSGVO und nimmt Meldungen nach Art. 33 und 34 DSGVO vor.

Der Salon verantwortet die Sicherheit seines eigenen Zugangs und die Vertraulichkeit seiner Beschäftigten. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO führt jede Partei für sich.

Anlaufstelle nach Art. 26 Abs. 1 Satz 3 DSGVO ist CutNear, erreichbar unter datenschutz@cutnear.de. Die Zuständigkeit liegt dort, weil die technischen Mittel zur Erfüllung der Betroffenenrechte — Datenexport und Kontolöschung in Selbstbedienung — ausschließlich bei CutNear bestehen.

§ 5 Rechte der betroffenen Personen

(1) Ungeachtet der Aufteilung in § 4 kann die betroffene Person ihre Rechte gegenüber jeder der beiden Parteien geltend machen (Art. 26 Abs. 3 DSGVO). Diese Vereinbarung schränkt das nicht ein.

(2) Wendet sich eine betroffene Person an den Salon, leitet dieser das Anliegen unverzüglich, spätestens innerhalb von drei Werktagen, an datenschutz@cutnear.de weiter und teilt der betroffenen Person die Weiterleitung mit.

(3) CutNear beantwortet innerhalb der Frist des Art. 12 Abs. 3 DSGVO von einem Monat und informiert den Salon, soweit dessen Mitwirkung erforderlich ist.

(4) Der Salon unterstützt CutNear bei der Beantwortung, insbesondere durch Auskunft über Daten, die er außerhalb der Plattform zu demselben Vorgang führt.

§ 6 Informationspflichten

CutNear informiert die betroffenen Personen nach Art. 13 und 14 DSGVO über die gemeinsame Verarbeitung, die Identität beider Parteien und die Aufteilung nach § 4. Das Wesentliche dieser Vereinbarung wird nach Art. 26 Abs. 2 Satz 2 DSGVO in der Datenschutzerklärung zugänglich gemacht (§ 12).

Der Salon nimmt in seine eigene Datenschutzinformation einen Hinweis auf die gemeinsame Verarbeitung und auf die Anlaufstelle nach § 4 auf.

§ 7 Technische und organisatorische Maßnahmen

(1) CutNear trifft die Maßnahmen nach Art. 32 DSGVO für Plattform, Datenbank und Übertragungswege, insbesondere Transportverschlüsselung, Zugriffsbeschränkung nach Rollen, Protokollierung administrativer Zugriffe und regelmäßige Sicherungen.

(2) Der Salon trifft die Maßnahmen für seinen eigenen Zugang:

• persönliche Zugangsdaten je Beschäftigtem, keine geteilten Konten
• Sperren des Bildschirms beim Verlassen des Arbeitsplatzes
• kein Export und kein Abfotografieren von Kundenlisten ohne eigene Rechtsgrundlage

(3) Jede Partei verpflichtet die eigenen Beschäftigten zur Vertraulichkeit und weist sie in den Umgang mit den Daten ein.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Erlangt eine Partei Kenntnis von einer Verletzung, die den gemeinsamen Teil betrifft, informiert sie die andere unverzüglich, spätestens innerhalb von 24 Stunden.

(2) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO nimmt CutNear vor. Der Salon liefert die dafür erforderlichen Angaben zu.

(3) Betrifft eine Verletzung ausschließlich den Bereich einer Partei nach § 2 Abs. 2 oder 3, meldet diese Partei allein.

§ 9 Aufbewahrung und Löschung

(1) Die Speicherdauer im gemeinsamen Teil richtet sich nach der Speicherdauer-Übersicht in der Datenschutzerklärung; die Löschung erfolgt automatisiert.

(2) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Aufbewahrungspflichtige Daten werden nach Kontolöschung anonymisiert und nicht mehr für andere Zwecke verwendet.

(3) Bei Beendigung dieser Vereinbarung verliert der Salon den Zugriff auf die Plattformdaten. Für Daten, die er außerhalb der Plattform führt, bleibt er allein verantwortlich (§ 2 Abs. 3).

§ 10 Aufsichtsbehörden

Wendet sich eine Aufsichtsbehörde an eine Partei in einer Angelegenheit, die den gemeinsamen Teil betrifft, informiert diese die andere unverzüglich und stimmt die Antwort ab, soweit dies rechtlich zulässig ist.

§ 11 Haftung im Innenverhältnis

(1) Nach außen haften die Parteien nach Art. 82 Abs. 4 DSGVO gesamtschuldnerisch. Diese Vereinbarung ändert daran nichts.

(2) Im Innenverhältnis trägt jede Partei den Schaden, der auf ihrer Pflichtverletzung beruht. Wird eine Partei über ihren Verursachungsanteil hinaus in Anspruch genommen, kann sie von der anderen Ausgleich verlangen.

§ 12 Das Wesentliche dieser Vereinbarung

Nach Art. 26 Abs. 2 Satz 2 DSGVO wird betroffenen Personen Folgendes zugänglich gemacht:

• CutNear und der gebuchte Salon verarbeiten die Termindaten gemeinsam.
• Alle Rechte können gegenüber beiden geltend gemacht werden.
• Anlaufstelle ist CutNear, datenschutz@cutnear.de.
• CutNear erfüllt die Informations- und Betroffenenrechte sowie die Meldepflichten.
• Der Salon verantwortet die Durchführung des Termins und eigene Aufzeichnungen.
• Konto, Verifizierung, Missbrauchserkennung, Suche und Statistik verantwortet CutNear allein.

§ 13 Laufzeit und Schlussbestimmungen

(1) Die Vereinbarung gilt für die Dauer der Nutzung der Plattform durch den Salon.

(2) Ändert sich die datenschutzrechtliche Rollenzuordnung durch Rechtsprechung, behördliche Vorgabe oder Änderung der Verarbeitung, passen die Parteien diese Vereinbarung an oder ersetzen sie durch das dann zutreffende Instrument. Die Zustimmung zur neuen Fassung wird erneut eingeholt.

(3) Änderungen bedürfen der Textform.

(4) Ist eine Bestimmung unwirksam, bleibt die Vereinbarung im Übrigen wirksam.

(5) Es gilt deutsches Recht.