Art. 28 DSGVO

AVV-Muster

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt pigglyCal zur mandantengetrennten Terminplanung bereit. Die Verarbeitung dauert für die Laufzeit des jeweiligen Hauptvertrags einschließlich einer vereinbarten Rückgabe- und Löschphase.

2. Art und Zweck

Erhebung, Speicherung, Abfrage, Übermittlung, Änderung und Löschung von Konto-, Organisations-, Verfügbarkeits-, Kalender- und Buchungsdaten zur Bereitstellung der Terminplanung und transaktionaler Mitteilungen.

3. Daten und betroffene Personen

Stamm- und Kontaktdaten, Authentifizierungskennungen, Terminzeiten, optionale Buchungsnotizen, Verfügbarkeiten und technische Protokolldaten von Kundenmitarbeitern, Administratoren, Terminbuchenden und weiteren vom Kunden eingeladenen Personen.

4. Weisungen und Vertraulichkeit

Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung, soweit keine gesetzliche Pflicht entgegensteht. Zugriffsberechtigte Personen werden auf Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Transportverschlüsselung und geschützte Geheimnisse
• Mandantenisolation durch Row-Level-Security und serverseitige Autorisierung
• Rollen-, Zugriffs- und Schlüsselminimierung
• verschlüsselte Speicherung externer Verbindungszugänge
• Protokollierung, Wiederherstellungs- und Incident-Prozesse gemäß finaler TOM-Anlage

6. Unterauftragsverarbeiter

Die jeweils aktuelle Anbieterliste bildet die Grundlage. Mechanismus, Frist und Widerspruchsfolgen bei Änderungen sind im finalen Vertrag festzulegen.

7. Unterstützung und Datenschutzverletzungen

Der Auftragsverarbeiter unterstützt bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Behördenanfragen und informiert den Verantwortlichen unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten.

8. Rückgabe, Löschung und Nachweise

Nach Vertragsende werden Daten nach Wahl zurückgegeben oder gelöscht, soweit keine Aufbewahrungspflicht besteht. Audit-, Nachweis-, Export-, Sicherungs- und konkrete Löschfristen werden in den Vertragsanlagen festgelegt.

Vor dem ersten zahlenden Kunden fehlen insbesondere eine finale TOM-Anlage, verbindliche Aufbewahrungs-/Löschfristen, Exportprozess, Anbieter-DPAs/AVVs und die Unterschriften beider Parteien.