Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · OrganiseOne · Fassung 1.0 vom 9. August 2026

Dieser Vertrag gilt zwischen dem Betrieb, der die Geschäftskunden-Funktionen von OrganiseOne nutzt (nachfolgend „Verantwortlicher"), und der

als Betreiberin von OrganiseOne (nachfolgend „Auftragsverarbeiter"). Er ergänzt die Nutzungsbedingungen, insbesondere deren Ziffer 6, und wird mit der Beantragung der Freischaltung des Geschäftskontos geschlossen. Nach Art. 28 Abs. 9 DSGVO genügt dafür die elektronische Form; die Zustimmung wird mit Zeitpunkt, Konto und Fassung dokumentiert.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen des Buchungsportals von OrganiseOne verarbeitet. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich für den Verantwortlichen und nicht für eigene Zwecke.

Der Vertrag läuft, solange das Geschäftskonto besteht. Er endet mit dessen Löschung oder mit dem Ende des Nutzungsverhältnisses nach den Nutzungsbedingungen.

Abgrenzung: wofür dieser Vertrag nicht gilt

Für das kostenpflichtige Abonnement zwischen OrganiseOne und dem Betrieb ist die Finanzwerk Drews GmbH selbst Verantwortliche, nicht Auftragsverarbeiterin — dort geht es um die Vertrags- und Abrechnungsdaten des Betriebs, nicht um dessen Kundendaten. Ebenso bleibt der Betrieb für die privaten O-One-Konten seiner Mitarbeitenden außen vor; diese nutzen O-One als Privatpersonen. Einzelheiten in der Datenschutzerklärung.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter stellt die technische Plattform bereit, über die der Verantwortliche Termine anbietet und verwaltet. Verarbeitet wird, um:

• Buchungen entgegenzunehmen, zu speichern, zu ändern und abzusagen,
• Termin­bestätigungen und ‑erinnerungen per E-Mail und Push zu versenden,
• Verfügbarkeiten, Personal- und Ressourcenplanung abzubilden,
• eine Kundenkartei und Auswertungen für den Verantwortlichen bereitzustellen,
• Chats zwischen Betrieb und buchender Person zu ermöglichen,
• den Dienst zu betreiben, zu sichern und Störungen zu beheben.

3. Art der Daten und Kategorien betroffener Personen

Kategorie	Daten
Kundinnen und Kunden des Verantwortlichen	Name, E-Mail-Adresse, Telefonnummer, gebuchte Leistung, Termin­zeitpunkt, zugeordnete Person/Ressource, freiwillige Notizen zur Buchung, Buchungs- und Stornohistorie, Chat-Nachrichten und darin geteilte Medien, Bewertungen, Kennzahl zur Zuverlässigkeit (No-Show-Schutz)
Mitarbeitende des Verantwortlichen	Name bzw. Anzeigename, Rolle im Betrieb, Arbeits- und Abwesenheitszeiten, Zuordnung zu Leistungen und Terminen

Ob dabei besondere Kategorien nach Art. 9 DSGVO anfallen — etwa Gesundheitsdaten, wenn schon die gebuchte Leistung einen Behandlungsbezug erkennen lässt —, bestimmt allein der Verantwortliche durch die Gestaltung seiner Leistungen und Formulare. Er trifft dafür die erforderlichen Rechtsgrundlagen und zusätzlichen Schutzmaßnahmen.

4. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen von OrganiseOne durch den Verantwortlichen und seine Einstellungen im Betriebsbereich gelten als solche Weisung. Weitergehende Weisungen sind in Textform an info@organiseone.de zu richten.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin und darf ihre Ausführung aussetzen. Eine Verarbeitung aufgrund einer gesetzlichen Verpflichtung bleibt zulässig; der Verantwortliche wird darüber vorab unterrichtet, soweit das Gesetz dies nicht verbietet.

5. Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Der Zugriff auf Daten des Verantwortlichen ist auf die Personen beschränkt, die ihn für Betrieb, Wartung oder Support benötigen.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Übertragung ausschließlich über TLS; Verschlüsselung ruhender Daten durch die eingesetzte Cloud-Infrastruktur.
• Speicherort: Datenbank und Dateispeicher in der Region europe-west3 (Frankfurt).
• Zugriffskontrolle: Authentifizierung über Firebase Authentication (E-Mail/Passwort, SMS-Code oder Google-Konto). Der Zugriff auf Daten eines Betriebs ist auf dessen Mitglieder beschränkt und zusätzlich nach Rollen abgestuft (Inhaber, Admin, Personal).
• Durchsetzung auf Serverseite: Die Zugriffsregeln werden nicht in der App, sondern in den Firestore- und Storage-Regeln sowie in serverseitigen Funktionen erzwungen. Ein manipulierter Client kann sie nicht umgehen.
• Trennung: Daten verschiedener Betriebe sind logisch getrennt und über die Betriebs-Kennung voneinander abgeschottet.
• Verfügbarkeit: Betrieb auf Google-Cloud-Infrastruktur mit deren Redundanz- und Sicherungsmechanismen.
• Datenminimierung: Öffentlich sichtbar ist nur, was der Betrieb selbst freigibt; die Namen von Mitarbeitenden erscheinen nur nach ausdrücklicher Aktivierung.
• Support-Zugriff: Ein Zugriff durch die Plattform-Administration der Finanzwerk Drews GmbH ist technisch möglich und auf Betriebs- und Supportzwecke beschränkt.

Die Maßnahmen werden an den Stand der Technik angepasst. Wesentliche Änderungen dürfen das Schutzniveau nicht unterschreiten.

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

Unternehmen	Leistung	Ort
Google Ireland Ltd. / Google LLC	Firebase: Authentifizierung, Datenbank, Dateispeicher, Server-Funktionen, Hosting, Push-Benachrichtigungen	EU (europe-west3); konzerninterner Zugriff aus den USA möglich, Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert
Sendinblue GmbH / Brevo	Versand von Transaktions-E-Mails an buchende Personen	EU

Stripe ist hier bewusst nicht aufgeführt: Stripe wickelt allein das Abonnement zwischen OrganiseOne und dem Betrieb ab und verarbeitet dabei keine Kundendaten des Betriebs. Insoweit besteht kein Auftragsverhältnis nach diesem Vertrag.

Vor dem Einsatz eines weiteren Unterauftragsverarbeiters wird der Verantwortliche mindestens vier Wochen vorher in Textform informiert. Er kann innerhalb dieser Frist widersprechen. Widerspricht er, kann jede Seite den Vertrag zum Zeitpunkt der geplanten Änderung kündigen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau.

8. Unterstützung bei den Rechten betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Buchungen, Kundenkartei und Auswertungen sind im Betriebsbereich einsehbar, änderbar, löschbar und als CSV exportierbar; damit kann der Verantwortliche die häufigsten Anträge selbst erledigen.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

9. Unterstützung bei Sicherheit und Meldepflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO. Er meldet ihm eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die Angaben bereit, die der Verantwortliche für seine Meldung nach Art. 33 DSGVO benötigt.

10. Löschung und Rückgabe

Nach Ende des Vertrags löscht der Auftragsverarbeiter die für den Verantwortlichen verarbeiteten Daten oder gibt sie zurück — nach dessen Wahl. Der Verantwortliche kann seine Daten vorher jederzeit selbst exportieren.

Eine Pflicht zur Aufbewahrung nach Gesetz bleibt unberührt: Abrechnungsrelevante Unterlagen werden nach § 147 AO und § 257 HGB aufbewahrt (in der Regel 6 bzw. 10 Jahre) und danach gelöscht. Sicherungskopien und technische Protokolle können nach der Löschung noch für einen begrenzten, technisch bedingten Zeitraum bestehen.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die dieser zum Nachweis der Einhaltung von Art. 28 DSGVO benötigt. Er ermöglicht Überprüfungen und trägt zu ihnen bei. Vor-Ort-Prüfungen sind mit angemessener Vorlaufzeit, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs anzukündigen. Für den Nachweis der Maßnahmen bei Unterauftragsverarbeitern genügen deren Zertifikate und Prüfberichte.

12. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der von ihm erhobenen Kundendaten, für seine eigenen Informationspflichten nach Art. 13 und 14 DSGVO und für die Führung seines Verarbeitungsverzeichnisses. Er trägt dafür Sorge, dass er nur solche Daten in OrganiseOne einstellt, für die er sie einstellen darf.

13. Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen gehen die Regelungen dieses Vertrags für die Auftragsverarbeitung vor. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Der Auftragsverarbeiter kann diesen Vertrag anpassen, soweit dies sachlich gerechtfertigt ist und das Schutzniveau nicht unterschreitet. Über eine neue Fassung wird der Verantwortliche in Textform informiert; sie wird hier mit eigener Fassungsnummer veröffentlicht.

Fragen zu diesem Vertrag: info@organiseone.de