Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter bei der Bereitstellung von MACHEN nach den Allgemeinen Geschäftsbedingungen (AGB) im Auftrag des Verantwortlichen vornimmt. Er ist Bestandteil der AGB und kommt mit ihnen zustande.

Der Vertrag läuft, solange der Verantwortliche ein Konto bei MACHEN unterhält, einschließlich des Tarifs Free. Er endet mit der Löschung des Kontos.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Verwaltung von Anfragen, Terminen, Projekten, Kundenkommunikation, Einverständniserklärungen, Anzahlungen und Rechnungen des Studios sowie die Abstimmung im Team.

Art der Verarbeitung: Erheben über das Anfrage-Formular und die Buchungsseite, Speichern, Ordnen, Anzeigen, Übermitteln per E-Mail, Push-Nachricht und verbundenen Kanälen, Auswerten für die Statistik des Studios, Löschen.

Kategorien betroffener Personen: Kundinnen und Kunden sowie Interessenten des Studios; Mitglieder des Studio-Teams.

Arten personenbezogener Daten: Name, Kontaktdaten (E-Mail, Telefon, Instagram-Name), Geburtsdatum, Inhalte von Anfragen und Nachrichten, Referenzbilder und Körperstelle, Termine, Zahlungs- und Rechnungsdaten, Unterschriften auf Einverständniserklärungen.

Besondere Kategorien (Art. 9 DSGVO): Gesundheitsangaben aus der Einverständniserklärung, etwa Allergien, die Einnahme von Blutverdünnern oder eine Schwangerschaft — nur soweit das Studio sie abfragt.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind abschließend in den AGB, in diesem Vertrag und in der Bedienung der Software durch den Verantwortlichen festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform an hallo@machen.pro.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin. Eine Verarbeitung außerhalb der Weisungen ist nur zulässig, soweit das Recht der EU oder eines Mitgliedstaats sie verlangt; darüber informiert der Auftragsverarbeiter vorher, sofern das Recht es nicht verbietet.

§ 4 Vertraulichkeit

Wer beim Auftragsverarbeiter Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet oder unterliegt einer gesetzlichen Verschwiegenheitspflicht. Auf Daten eines Studios greift der Auftragsverarbeiter nur zu, soweit es für Betrieb, Fehlerbehebung oder eine Anfrage des Studios nötig ist.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten stehen in Anlage 1. Der Auftragsverarbeiter verpflichtet jeden von ihnen vertraglich auf die Pflichten dieses Vertrags.

Einen neuen oder ersetzten Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich keine Lösung finden, können beide Seiten den Vertrag zum Wirksamwerden der Änderung kündigen.

Eine Übermittlung in ein Land außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss oder EU-Standardvertragsklauseln.

§ 7 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit den Funktionen der Software dabei, Anfragen betroffener Personen zu beantworten: Kundendaten lassen sich in MACHEN einsehen, berichtigen, exportieren und löschen. Geht eine solche Anfrage direkt beim Auftragsverarbeiter ein, leitet er sie unverzüglich an das Studio weiter.

Er unterstützt den Verantwortlichen außerdem bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen und bei einer Datenschutz-Folgenabschätzung.

§ 8 Datenschutzverletzungen

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des Studios bekannt, meldet er sie dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen. Er ergreift sofort Maßnahmen, um die Folgen zu begrenzen.

§ 9 Löschung und Rückgabe

Der Verantwortliche kann alle Studio-Daten jederzeit als JSON-Datei exportieren. Löscht er sein Konto, löscht der Auftragsverarbeiter die Daten des Studios, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Datensicherungen werden im Rahmen des üblichen Sicherungszyklus überschrieben.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Er ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist, nach rechtzeitiger Anmeldung in Textform und während der üblichen Geschäftszeiten. Vorrangig genügen aktuelle Nachweise der Unterauftragsverarbeiter, etwa Zertifikate oder Prüfberichte.

§ 11 Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gilt § 9 der AGB. Widersprechen sich AGB und dieser Vertrag in Fragen des Datenschutzes, geht dieser Vertrag vor. Es gilt deutsches Recht.

Anlage 1 — Unterauftragsverarbeiter

• Hostinger International Ltd., Zypern — Server-Hosting der Website und der Schnittstellen in der EU
• Supabase Inc., USA — Datenbank, Authentifizierung, Dateispeicher; Speicherort Frankfurt am Main
• Resend Inc., USA — Versand von E-Mails an Kundinnen, Kunden und Team; EU-Standardvertragsklauseln
• OpenRouter, Inc., USA, mit den Modellanbietern TypeSafe und Google (Gemini) — Einordnung eingehender Nachrichten und Projekttitel aus dem Anfragetext; ohne die Kontaktfelder, pro Studio abschaltbar; EU-Standardvertragsklauseln
• Sentry GmbH, Österreich — Fehlerberichte, vor dem Versand um personenbezogene Inhalte bereinigt
• Apple Inc., USA — Zustellung von Push-Nachrichten an die iOS-App des Teams; EU-US Data Privacy Framework

Verknüpft das Studio selbst ein eigenes Konto bei Meta (Instagram, WhatsApp) oder Google (Kalender), gilt für diese Dienste das Vertragsverhältnis zwischen dem Studio und dem jeweiligen Anbieter.

Anlage 2 — Technische und organisatorische Maßnahmen

Zugangs- und Zugriffskontrolle: Anmeldung mit Passwort oder Passkey; drei Rollen im Studio (Inhaber, Künstler, Mitarbeiter) mit abgestuften Rechten; Trennung der Studios auf Datenbankebene durch Row Level Security, sodass ein Studio nur seine eigenen Daten lesen kann; administrativer Serverzugang nur per SSH-Schlüssel.

Weitergabekontrolle: Übertragung ausschließlich verschlüsselt per TLS; Daten in der Datenbank und im Dateispeicher verschlüsselt abgelegt.

Eingabekontrolle: Änderungen an Terminen und Projekten werden mit Zeitpunkt protokolliert.

Verfügbarkeit und Belastbarkeit: regelmäßige Sicherungen der Datenbank durch den Hosting-Anbieter; Fehlerüberwachung; Begrenzung der Anfragen auf öffentlichen Formularen gegen Missbrauch.

Datensparsamkeit: Fehlerberichte ohne personenbezogene Inhalte; an KI-Dienste keine Kontaktfelder; Server in der EU.

Überprüfung: Die Maßnahmen werden bei jeder wesentlichen Änderung der Software überprüft.

Fassung vom 15. Oktober 2026