Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer des Auftrags

(1) Gegenstand: Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Erbringung der Software-as-a-Service-Leistungen "KundenLoop" (Verwaltung von Patienten, Buchungen, Treuepunkten, automatisierten Kampagnen).

(2) Dauer: Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des zugrundeliegenden Hauptvertrages (Nutzung der SaaS-Plattform).

2. Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Speichern, Verändern, Auslesen, Verwenden und Löschen von Daten (Hosting der Datenbank, Versand von Push- und SMS-Nachrichten, Bereitstellung von Schnittstellen).

(2) Zweck: Ermöglichung einer Patienten-App für die Klinik des Verantwortlichen, inkl. Terminverwaltung, Transaktions- und Loyalty-Management.

3. Kreis der Betroffenen & Art der Daten

(1) Betroffene Personen: Endkunden (Patienten) des Verantwortlichen sowie ggf. Mitarbeiter des Verantwortlichen (Admins).

(2) Art der Daten: Bestandsdaten (Vorname, Nachname, Geburtsdatum), Kontaktdaten (Telefonnummer, E-Mail), Vertrags- und Abrechnungsdaten (Transaktionssummen, Zahlungsstatus via Stripe), Nutzungsdaten (Loyalty-Punkte, Termine). Ferner können im Rahmen der Terminbuchung durch freiwillige Notizen der Patienten auch besondere Kategorien personenbezogener Daten (Gesundheitsdaten gem. Art. 9 DSGVO, z. B. Angaben zu Allergien oder Krankheiten) verarbeitet werden.

4. Technische und organisatorische Maßnahmen (TOMs)

(1) Der Auftragsverarbeiter ergreift die erforderlichen Maßnahmen nach Art. 32 DSGVO zur Gewährleistung der Datensicherheit.

(2) Wesentliche Maßnahmen umfassen:
- Zugangskontrolle: Passwortlose Auth via SMS-OTP, starke Passwörter für Admins (bcrypt-Hashing).
- Weitergabekontrolle: Durchgehende SSL/TLS-Verschlüsselung der Plattform (HTTPS).
- Verfügbarkeitskontrolle: Automatische Backups der PostgreSQL-Datenbank.
- Trennungsgebot: Mandantenfähigkeit in der Datenbank (logische Trennung der Daten verschiedener Kliniken durch `clinic_id`).

5. Unterauftragsverhältnisse

Der Verantwortliche stimmt der Beauftragung folgender Subunternehmer zur Verarbeitung der Daten zu:

• Hetzner Online GmbH (DE): Server-Hosting & Datenbank.
• Stripe Inc. (USA) / Stripe Europe (EU): Zahlungsabwicklung & Klarna Integration.
• Twilio Inc. (USA): SMS-Versand (OTP-Authentifizierung).
• Expo / Exponent Inc. (USA): Versand von nativen Push-Benachrichtigungen.

Datenübermittlungen in Drittstaaten (wie die USA) werden durch das Data Privacy Framework (DPF) oder von der EU-Kommission genehmigte Standardvertragsklauseln (SCC) abgesichert.

6. Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen Mitteln bei der Erfüllung der Anfragen von Betroffenen (Art. 15 bis 22 DSGVO).

(2) KundenLoop stellt dem Verantwortlichen und dem Endkunden Funktionen in der App bereit (z. B. "Meine Daten anfordern" oder "Account löschen"), um Anfragen zur Datenübertragbarkeit und Löschung automatisiert nachzukommen.

7. Löschung und Rückgabe von Daten

Nach Abschluss der vertraglichen Arbeiten oder auf Verlangen des Verantwortlichen wird der Auftragsverarbeiter alle im Rahmen des Auftrags in seinen Besitz gelangten personenbezogenen Daten löschen, es sei denn, dass nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.