Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Dieser Vertrag nach Art. 28 DSGVO ist Bestandteil der AGB von Lichio. Der Kunde (Salon) ist Verantwortlicher, der Betreiber von Lichio Auftragsverarbeiter. Er gilt für die Dauer der Leistungserbringung.

2. Art und Zweck der Verarbeitung

Betrieb der Salon-Website, der Online-Buchung, des Kalenders und der Kundenkartei sowie Versand von Nachrichten an Kundschaft und Team des Salons.

3. Datenkategorien und betroffene Personen

• Kundschaft des Salons: Name, Telefon, E-Mail, Buchungen und Besuche, vom Salon erfasste Notizen und Tags, Newsletter-Einwilligung, Kundenkonto auf der Salon-Website.
• Team des Salons: Name, E-Mail, Rolle, Arbeitszeiten und Abwesenheiten, Anmelde- und Änderungsprotokolle.
• Technische Daten: IP-Adresse und Nutzungsprotokolle.
• Besondere Kategorien (z. B. Gesundheitsangaben wie Allergien) darf der Salon in Notizen nur erfassen, wenn er dafür eine Rechtsgrundlage hat.
• Lichio-Konto der Kundschaft: nur seine Verknüpfung mit der Kundenkarte im Salon; das Konto selbst verantwortet Lichio (siehe Datenschutzerklärung).

4. Pflichten des Auftragsverarbeiters

• Daten nur auf Weisung des Kunden verarbeiten, die er durch Einstellungen und Nutzung des Dienstes erteilt.
• Alle Personen mit Zugriff zur Vertraulichkeit verpflichten.
• Technische und organisatorische Maßnahmen nach Punkt 5 treffen.
• Den Kunden bei Anfragen betroffener Personen unterstützen.
• Verletzungen des Schutzes personenbezogener Daten unverzüglich melden, spätestens innerhalb von 48 Stunden nach Kenntnis.
• Die zum Nachweis nötigen Informationen bereitstellen und Prüfungen nach Absprache ermöglichen.
• Kundendaten nach der vom Kunden eingestellten Aufbewahrungsfrist zu löschen (ohne Einstellung 36 Monate nach dem letzten Besuch) und sie auf Weisung jederzeit zu löschen oder herauszugeben.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Verbindungen (HTTPS) und verschlüsselte Zugangsdaten zu externen Diensten.
• Trennung der Daten der Salons auf Datenbankebene.
• Rollenbasierter Zugriff, persönliche Konten ohne geteilte Passwörter, Änderungsprotokoll.
• Tägliche Backups in der EU.
• Regelmäßige Updates der Server und beschränkter administrativer Zugang.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für Unterauftragsverarbeiter. Die aktuelle Liste steht in der Datenschutzerklärung. Über Änderungen informieren wir vorab per E-Mail; der Kunde kann widersprechen und in diesem Fall kündigen. Unterauftragsverarbeiter verpflichten wir auf dieselben Pflichten.

7. Drittlandübermittlung

Eine Übermittlung außerhalb der EU erfolgt nur mit Garantien nach Kapitel V DSGVO, insbesondere auf Grundlage von Standardvertragsklauseln.

8. Ende der Verarbeitung

Nach Ende der Leistung übergeben wir dem Kunden auf Wunsch die Daten in maschinenlesbarer Form und löschen sie innerhalb von 30 Tagen. Aus Backups verschwinden sie spätestens nach weiteren 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht.

9. Vertragsschluss

Den Vertrag schließt für den Kunden eine vertretungsberechtigte Person zusammen mit der Bestellung und bestätigt ihn bei der ersten Anmeldung in der App. Wir speichern Fassung und Zeitpunkt der Zustimmung.