cozii

Vereinbarung zur Auftragsverarbeitung

nach Art. 28 DSGVO · Version 2026-08-06

Diese Vereinbarung gilt zwischen dem in der cozii-Registrierung bezeichneten Salon („Verantwortlicher“) und Thorsten Scheid, Einzelunternehmer, handelnd unter Webdachs Labs, Ahornweg 51a, 51503 Rösrath („Auftragsverarbeiter“). cozii ist eine Produkt- und Plattformbezeichnung von Webdachs Labs. Der AV-Vertrag wird bei elektronischer Bestätigung und Vertragsschluss Bestandteil des SaaS-Vertrags.

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die gebuchten cozii-Funktionen bereit. Die Verarbeitung umfasst insbesondere Hosting von Salon-Website und Buchungsstrecke, Termin- und Kundenverwaltung, Kundenportal, Medienverwaltung, Kommunikation, Sicherung, Support, Export und Löschung. Sie dauert für die Laufzeit des Hauptvertrags zuzüglich des 30-tägigen Exportzeitraums und der nachstehend beschriebenen Backup-Löschung.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst – soweit vom Verantwortlichen genutzt – Erheben, Erfassen, Ordnen, Speichern, Anpassen, Abfragen, Anzeigen, Übermitteln, Abgleichen, Einschränken, Sichern, Exportieren, Wiederherstellen, Anonymisieren und Löschen. Zweck ist ausschließlich die Bereitstellung, Absicherung und Unterstützung der vom Verantwortlichen konfigurierten cozii-Leistungen.

3. Betroffene Personen und Datenkategorien

Betroffen sein können Salon-Kundschaft, Interessenten, Newsletter-Empfänger, Kontaktpersonen, Beschäftigte, freie Mitarbeitende, Dienstleister und sonstige Kommunikationspartner des Verantwortlichen.

4. Weisungen und Verantwortlichkeit

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, soweit keine unionsrechtliche oder mitgliedstaatliche Pflicht entgegensteht. Plattformkonfigurationen, Nutzung der Funktionen, Supportaufträge und Weisungen autorisierter Konten gelten als dokumentierte Weisungen. Verlangt das Gesetz eine Verarbeitung ohne Weisung, informiert der Auftragsverarbeiter den Verantwortlichen vorab, soweit dies rechtlich zulässig ist. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, weist er unverzüglich darauf hin und darf deren Ausführung bis zur Klärung aussetzen.

5. Pflichten des Auftragsverarbeiters

6. Pflichten des Verantwortlichen

Der Verantwortliche gewährleistet Rechtmäßigkeit, Transparenz, Rechtsgrundlagen, Informationspflichten, Einwilligungen, Datenrichtigkeit, Löschkonzept und zulässige Nutzerberechtigungen. Er prüft vor der Erfassung besonderer Kategorien personenbezogener Daten die Voraussetzungen des Art. 9 DSGVO und beschränkt diese Angaben auf das Erforderliche. Weisungen dürfen nur autorisierte Personen erteilen.

7. Unterstützung bei Betroffenenrechten

Geht ein Begehren einer betroffenen Person unmittelbar beim Auftragsverarbeiter ein und lässt es sich einem Verantwortlichen zuordnen, leitet er es unverzüglich weiter und beantwortet es nicht ohne Weisung, soweit keine gesetzliche Pflicht besteht. Der Verantwortliche nutzt vorrangig die vorhandenen Auskunfts-, Export-, Berichtigungs- und Löschfunktionen. Weitergehender Aufwand kann nach vorheriger Abstimmung angemessen vergütet werden, sofern er nicht auf einer Pflichtverletzung des Auftragsverarbeiters beruht.

8. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über eine bestätigte Verletzung des Schutzes von Auftragsdaten. Eine erste Meldung erfolgt, soweit möglich, innerhalb von 24 Stunden nach Feststellung. Sie enthält die zu diesem Zeitpunkt verfügbaren Angaben zu Art und Umfang, betroffenen Daten und Personen, wahrscheinlichen Folgen, ergriffenen oder vorgeschlagenen Maßnahmen sowie einer Kontaktmöglichkeit. Fehlende Informationen werden schrittweise nachgereicht. Der Verantwortliche bleibt für Meldungen nach Art. 33 und 34 DSGVO verantwortlich.

9. Support- und Administrationszugriffe

Supportzugriffe auf Salon-Kundendaten erfolgen nur aufgrund einer dokumentierten Anfrage, zur Abwehr eines konkreten Sicherheitsvorfalls, zur Wiederherstellung oder soweit eine rechtliche Pflicht besteht. Zugriffe werden auf befugte Personen und den erforderlichen Umfang beschränkt, sicherheitsrelevante Vorgänge protokolliert und temporäre Berechtigungen nach Abschluss entzogen. Soweit möglich, wird mit anonymisierten oder minimierten Daten gearbeitet.

10. Unterauftragnehmer und Widerspruch

Der Verantwortliche erteilt eine allgemeine Genehmigung für die unter Unterauftragnehmer aufgeführten Dienstleister. Der Auftragsverarbeiter informiert mindestens 30 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung per E-Mail oder im Salon-Portal. Der Verantwortliche kann innerhalb dieses Zeitraums aus einem konkret benannten, wichtigen datenschutzrechtlichen Grund widersprechen.

Die Parteien suchen zunächst eine zumutbare Lösung. Ist diese nicht möglich, darf der Auftragsverarbeiter die betroffene Teilfunktion nicht bereitstellen oder den Hauptvertrag außerordentlich kündigen, wenn die Leistung ohne den Unterauftragnehmer nicht zumutbar erbracht werden kann. Unterauftragnehmer werden mindestens zu den nach Art. 28 DSGVO erforderlichen Pflichten verpflichtet. Der Auftragsverarbeiter bleibt für deren Pflichterfüllung verantwortlich.

11. Drittlandübermittlungen

Verarbeitungen außerhalb der EU und des EWR erfolgen nur auf dokumentierte Weisung oder bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, des EU-US Data Privacy Framework oder geeigneter Garantien wie EU-Standardvertragsklauseln samt erforderlicher zusätzlicher Maßnahmen. Die jeweils einschlägige Grundlage wird in der Unterauftragnehmerliste bezeichnet.

12. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten erforderlichen Informationen bereit. Der Verantwortliche kann nach angemessener Vorankündigung, grundsätzlich mindestens 14 Tage, und unter Wahrung von Vertraulichkeit, Sicherheit und Mandantenschutz Kontrollen durchführen oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Vorhandene Berichte und Dokumentationen sind vorrangig zu nutzen. Zusatzaufwand darf nach vorheriger Abstimmung berechnet werden, sofern die Kontrolle keine Pflichtverletzung des Auftragsverarbeiters ergibt.

13. Rückgabe, Export und Löschung

Nach Vertragsende stellt der Auftragsverarbeiter für 30 Tage vorhandene Exportfunktionen beziehungsweise auf Anfrage einen strukturierten Export der verfügbaren Auftragsdaten bereit. Anschließend löscht oder anonymisiert er die Produktivdaten, sofern keine frühere Weisung, gesetzliche Pflicht oder erforderliche Rechtsverteidigung entgegensteht. Tägliche rollierende Sicherungen werden in 14 Sicherungsständen vorgehalten; darin verbleibende Kopien werden mit dem regulären Zyklus überschrieben, geschützt und bis dahin nicht anderweitig produktiv verarbeitet.

14. Technische und organisatorische Maßnahmen

15. Version, elektronische Annahme und Rangfolge

Bei der Registrierung speichert cozii Annahmezeitpunkt, Konto, technische Herkunft, Dokumentversion und eine SHA-256-Prüfsumme der bestätigten Fassung. Bei Widersprüchen gehen diese Datenschutzbestimmungen für die Auftragsverarbeitung den AGB vor. Im Übrigen gelten Hauptvertrag, Leistungsbeschreibung und AGB fort.