Vereinbarung zur Auftragsverarbeitung (AVV)

Stand: 7. Juli 2026

Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO (nachfolgend „AVV") ist Bestandteil der Allgemeinen Geschäftsbedingungen der ELLUME GmbH, Marktplatz 1, 71334 Waiblingen (nachfolgend „ELLUME") und gilt zwischen ELLUME und dem Nutzer. Sie wird bei der Registrierung bzw. bei der Aktivierung der öffentlichen Buchungsseite elektronisch angenommen und gilt für die gesamte Verarbeitung personenbezogener Daten, die der Nutzer über die App ellume speichert und verwaltet, einschließlich der bereits bestehenden Kunden- und Terminverwaltung.

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der in den Allgemeinen Geschäftsbedingungen beschriebenen Dienste (Kunden-, Termin- und Studioverwaltung einschließlich öffentlicher Buchungsseiten und zugehöriger Benachrichtigungen). Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. § 9 dieser AVV bleibt unberührt.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Anzeigen, Übermitteln (insbesondere den Versand transaktionaler E-Mails im Auftrag des Nutzers), Einschränken und Löschen personenbezogener Daten in der App und auf den öffentlichen Buchungsseiten. Zweck ist ausschließlich die Vertragserfüllung gegenüber dem Nutzer.

Verarbeitete Datenarten:

• Kontaktdaten der Kunden und Interessenten des Nutzers (Name, Telefonnummer, E-Mail-Adresse, ggf. Anschrift)
• Termin- und Buchungsdaten (einschließlich Terminanfragen über die öffentliche Buchungsseite mit den dort angegebenen Kontaktdaten und der optionalen Nachricht)
• Weitere vom Nutzer zu seinen eigenen Kunden geführte Inhalte und Aufzeichnungen
• Kommunikationsdaten aus dem Versand transaktionaler E-Mails (Empfängeradresse, Versandstatus)

Kategorien betroffener Personen: Kunden und Interessenten (Leads) des Nutzers sowie Personen, die über die öffentliche Buchungsseite des Nutzers eine Terminanfrage stellen.

Der Nutzer stellt sicher, dass über die App keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO erhoben werden, soweit hierfür keine Rechtsgrundlage besteht.

§ 3 Weisungsrecht

ELLUME verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Nutzers. Die Nutzung der Funktionen der App durch den Nutzer gilt als Weisung. Ergänzende Weisungen bedürfen der Textform. Ist ELLUME der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert ELLUME den Nutzer unverzüglich und ist berechtigt, die Ausführung bis zur Klärung auszusetzen.

§ 4 Vertraulichkeit

ELLUME setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen

ELLUME trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort. Maßnahmen dürfen durch gleichwertige oder wirksamere Maßnahmen ersetzt werden; wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverhältnisse

Der Nutzer erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. ELLUME informiert den Nutzer in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens 30 Tage vor deren Wirksamwerden. Der Nutzer kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information widersprechen. Können sich die Parteien im Fall eines Widerspruchs nicht einigen, steht beiden Parteien ein außerordentliches Kündigungsrecht hinsichtlich der betroffenen Leistung zu.

ELLUME verpflichtet Unterauftragsverarbeiter durch Vertrag auf ein Datenschutzniveau, das den Pflichten dieser AVV im Wesentlichen entspricht. Bei Verarbeitung in Drittländern stellt ELLUME geeignete Garantien nach Kapitel V DSGVO sicher, insbesondere durch EU-Standardvertragsklauseln.

§ 7 Unterstützung des Nutzers

ELLUME unterstützt den Nutzer mit angemessenen technischen und organisatorischen Mitteln bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23 DSGVO). Anfragen betroffener Personen, die ELLUME direkt erreichen, leitet ELLUME unverzüglich an den Nutzer weiter, soweit die Anfrage dem Nutzer zugeordnet werden kann. ELLUME unterstützt den Nutzer ferner unter Berücksichtigung der Art der Verarbeitung und der ELLUME zur Verfügung stehenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

ELLUME meldet dem Nutzer Verletzungen des Schutzes der für ihn verarbeiteten personenbezogenen Daten unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht ELLUME sämtliche für den Nutzer verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Nutzer kann bis zur Beendigung die Herausgabe seiner Daten in einem gängigen maschinenlesbaren Format verlangen. Die Löschung erfolgt spätestens innerhalb von 30 Tagen nach Vertragsende; auf Verlangen bestätigt ELLUME die Löschung in Textform. Für Terminanfragen über die öffentliche Buchungsseite gelten zusätzlich die in der App konfigurierbaren Aufbewahrungs- und Löschvorgaben; abgelehnte, stornierte und abgelaufene Anfragen werden standardmäßig nach 30 Tagen automatisiert gelöscht.

§ 10 Nachweis- und Kontrollrechte

ELLUME stellt dem Nutzer auf Anfrage die zum Nachweis der Einhaltung dieser AVV erforderlichen Informationen zur Verfügung, insbesondere die Anlagen 1 und 2 in aktueller Fassung sowie vorhandene Nachweise und Zertifikate der Unterauftragsverarbeiter. Weitergehende Kontrollen einschließlich Inspektionen sind nach vorheriger Ankündigung mit angemessener Frist zu den üblichen Geschäftszeiten möglich; sie dürfen den Geschäftsbetrieb nicht unangemessen stören. ELLUME kann für Kontrollen, die über die Bereitstellung vorhandener Nachweise hinausgehen, eine angemessene Vergütung verlangen.

§ 11 Haftung

Für die Haftung gilt § 7 der Allgemeinen Geschäftsbedingungen. Die Haftung nach Art. 82 DSGVO bleibt unberührt.

§ 12 Schlussbestimmungen

Bei Widersprüchen zwischen dieser AVV und den Allgemeinen Geschäftsbedingungen geht diese AVV hinsichtlich datenschutzrechtlicher Pflichten vor. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit und Integrität:

• Verschlüsselung der Daten bei der Übertragung und im Ruhezustand
• Zugriff auf personenbezogene Daten nur für autorisierte Personen; die Daten jedes Studios sind von denen anderer getrennt

Verfügbarkeit und Belastbarkeit:

• Betrieb auf verwalteter Cloud-Infrastruktur mit regelmäßigen Sicherungen und Wiederherstellbarkeit der Daten
• Schutz der öffentlichen Formulare vor Missbrauch

Regelmäßige Überprüfung:

• Protokollierung und Überwachung sicherheitsrelevanter Ereignisse
• Prüfung von Änderungen an Datenstrukturen und Zugriffsregeln vor Produktivsetzung

Anlage 2: Unterauftragsverarbeiter

Allgemein genehmigte Unterauftragsverarbeiter im Sinne des § 6:

Nicht als Unterauftragsverarbeiter im Sinne dieser AVV gelten Dienstleister, die ausschließlich Daten des Nutzers selbst und keine Daten seiner Kunden verarbeiten (zum Beispiel ein Anbieter für die Abonnementverwaltung des Nutzers); insoweit ist ELLUME eigenständig Verantwortlicher.