Vertrag zur Auftragsverarbeitung (AVV)

Fassung 2026-10. Dieser Vertrag gilt für alle Betriebe, die PlanKraft nutzen. Er wird bei der Registrierung zusammen mit den AGB akzeptiert.

Vertragsparteien

Verantwortlicher (im Folgenden „Kunde“): der Betrieb, der sich bei PlanKraft registriert hat, wie im Kundenkonto angegeben.

Auftragsverarbeiter (im Folgenden „Anbieter“): MasterAds GbR, Pfarrer-Dorn-Straße 3, 55127 Mainz, vertreten durch die Gesellschafter Leo Schüler und Elias Tirib. Datenschutz-Kontakt: datenschutz@master-ads.de.

§ 1 Gegenstand und Dauer

1. Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, um die Software „PlanKraft“ als Dienst im Internet bereitzustellen (Terminkalender, Kundenkartei, Online-Buchung und weitere Funktionen nach den AGB und dem gebuchten Paket).
2. Dieser Vertrag regelt die Pflichten nach Art. 28 DSGVO. Er ergänzt die AGB. Bei Widersprüchen in Datenschutzfragen geht dieser Vertrag vor.
3. Der Vertrag beginnt mit der Registrierung. Er läuft so lange, wie der Anbieter Daten des Kunden verarbeitet: während der Testphase, des Abos und einer Pause und bis zur Löschung nach § 11.
4. Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Der Anbieter protokolliert Fassung, Zeitpunkt und zustimmenden Nutzer. Der Kunde kann den Vertrag jederzeit unter plankraft.net/avv abrufen.

§ 2 Art und Zweck der Verarbeitung

Der Anbieter erhebt, speichert, ordnet, ändert, übermittelt (nur an die vom Kunden aktivierten Empfänger), sichert und löscht Daten. Zwecke:

• Bereitstellung und Betrieb der Software, einschließlich Hosting und Datensicherung
• Versand von Systemmails im Namen des Kunden (z. B. Buchungsbestätigung mit Kalenderdatei, Erinnerung vor dem Termin, Absage mit Grund, Fertigmeldung, Einladungen ins Team)
• Online-Buchung durch Endkunden des Kunden
• Schutz der Buchungsseite vor Missbrauch (Captcha auf dem eigenen Server, Begrenzung der Anfragen)
• nur wenn der Kunde es einschaltet: Übertragung an Drittsysteme (KundenKraft-Connector, § 7)
• Support, Fehlerbehebung und Sicherheit nach § 12

Der Anbieter verarbeitet die Daten nicht für eigene Zwecke (keine Werbung, keine Profilbildung, kein Training von KI-Modellen, keine Weitergabe). Ausgenommen sind Kennzahlen ohne Personenbezug (z. B. Anzahl Termine je Betrieb) für Betrieb und Abrechnung.

§ 3 Datenkategorien und Betroffene

Besondere Kategorien (Art. 9 DSGVO): Freitext-Notizen können Gesundheitsdaten enthalten (z. B. Sehwerte, Beschwerden, Mobilität). Das gilt auch für das Feld „Anmerkung“ der Buchungsseite, wenn der Kunde es einschaltet, denn dessen Inhalt landet in den Notizen. Abwesenheits- und Absagegründe wie „Krankheit“ sind Gesundheitsdaten von Beschäftigten. Der Kunde ist dafür verantwortlich, dass er diese Daten rechtmäßig verarbeitet (z. B. nach Art. 9 Abs. 2 lit. h DSGVO oder mit Einwilligung). Zusatzfelder sind nicht für Gesundheitsdaten bestimmt.

Berufsgeheimnisträger: Unterliegt der Kunde § 203 StGB (z. B. Physiotherapie, Podologie, Massage), verpflichtet der Anbieter alle mitwirkenden Personen schriftlich zur Verschwiegenheit und weist sie auf die Strafbarkeit nach § 203 Abs. 4 StGB hin. Dasselbe verlangt er von Unterauftragsverarbeitern, soweit diese Zugriff auf Inhaltsdaten haben können.

§ 4 Weisungen

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, es sei denn, ein Gesetz verpflichtet ihn dazu. Dann teilt er dem Kunden diese Pflicht vorher mit, soweit das Gesetz dies nicht verbietet.
2. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen, die der Kunde in der Software vornimmt (z. B. Funktionen, Connector, Aufbewahrungsfristen). Einzelweisungen erteilt der Inhaber in Textform an datenschutz@master-ads.de.
3. Hält der Anbieter eine Weisung für datenschutzwidrig, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 5 Pflichten des Anbieters

1. Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO) und die den Zugriff für ihre Aufgabe brauchen.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, beschrieben in Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.
3. Die Daten werden ausschließlich in Rechenzentren in der EU verarbeitet. Ausnahme: Connectoren, die der Kunde selbst einschaltet (§ 7).
4. Der Anbieter trennt die Daten jedes Kunden technisch von den Daten anderer Kunden (Mandantentrennung in der Datenbank).
5. Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO).

§ 6 Unterauftragsverarbeiter

1. Der Kunde erteilt eine allgemeine Genehmigung für Unterauftragsverarbeiter. Bei Vertragsschluss sind die in Anlage 2 genannten genehmigt.
2. Der Anbieter informiert den Kunden mindestens 4 Wochen vor einer Änderung (Hinzufügen oder Ersetzen) per E-Mail an den Inhaber und auf plankraft.net/unterauftragsverarbeiter.
3. Der Kunde kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Einigen sich die Parteien nicht, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen. Bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.
4. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau (Art. 28 Abs. 4 DSGVO).
5. Keine Unterauftragsverarbeitung sind: Leistungen ohne Zugriff auf personenbezogene Daten des Kunden (z. B. Verwaltung des Programmcodes, Domain-Registrierung); Software, die der Anbieter selbst auf seinem Server betreibt (z. B. Datenbank, Captcha); die Zahlungsabwicklung über Stripe, die der Anbieter in eigener Verantwortung für die Abrechnung mit dem Kunden nutzt.

§ 7 Übermittlung in Drittländer

1. Der Anbieter selbst übermittelt keine Daten in Länder außerhalb der EU bzw. des EWR.
2. Schaltet der Kunde den Connector zu KundenKraft ein, überträgt der Anbieter auf Weisung des Kunden nur die in der Connector-Beschreibung genannten Felder: Name, Telefon, E-Mail, Termin-Art, Datum und Status sowie die Angabe, ob der Endkunde Erinnerungen per E-Mail zugestimmt hat. Freitext-Notizen und Anmerkungen werden nie übertragen. Zusatzfelder nur, wenn der Kunde ein einzelnes Feld ausdrücklich freigibt.
3. KundenKraft ist ein eigenes Angebot des Anbieters auf Basis der Software der HighLevel Inc. (USA). Die Verarbeitung dort richtet sich nach dem KundenKraft-Vertrag und dessen Auftragsverarbeitungsvertrag. Mit HighLevel ist ein Auftragsverarbeitungsvertrag geschlossen. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework, an dem HighLevel teilnimmt. HighLevel ist nach SOC 2 Type II und ISO/IEC 27001 geprüft.
4. Weitere Connectoren zu Diensten außerhalb der EU gibt es nicht. Neue kündigt der Anbieter wie neue Unterauftragsverarbeiter an (§ 6 Abs. 2).

§ 8 Unterstützung des Kunden

1. Der Anbieter unterstützt den Kunden bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die Software bietet dafür eigene Funktionen (Kunden suchen, bearbeiten, löschen, exportieren). Geht eine Anfrage beim Anbieter ein, leitet er sie unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.
2. Er unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde mit den Informationen, die ihm vorliegen (insbesondere Anlage 1).
3. Unterstützung über die Funktionen der Software und diese Unterlagen hinaus kann der Anbieter nach Aufwand berechnen, außer sie beruht auf einem Verstoß des Anbieters.

§ 9 Meldung von Datenschutzverletzungen

1. Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, per E-Mail an den Inhaber.
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechpartner. Fehlende Angaben reicht der Anbieter nach.
3. Der Anbieter unterstützt den Kunden bei dessen Meldung an die Aufsichtsbehörde (72 Stunden, Art. 33 DSGVO) und bei der Benachrichtigung der Betroffenen (Art. 34 DSGVO). Die Meldung selbst nimmt der Kunde vor.

§ 10 Nachweise und Kontrollen

1. Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, vorrangig Anlage 1 in der aktuellen Fassung und auf Anfrage ergänzende Auskünfte.
2. Reicht das nicht aus, kann der Kunde eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Anbieters ist. Kontrollen sind mindestens 4 Wochen vorher anzukündigen, finden zu Geschäftszeiten und höchstens einmal im Jahr statt, außer nach einer Datenschutzverletzung.
3. Kontrollen vor Ort in den Rechenzentren der Unterauftragsverarbeiter sind ausgeschlossen. Hier genügen deren Zertifikate und Berichte.
4. Den Aufwand einer Kontrolle trägt jede Partei selbst. Übersteigt der Aufwand des Anbieters einen Arbeitstag, kann er ihn nach Aufwand berechnen, außer die Kontrolle deckt einen Verstoß auf.

§ 11 Rückgabe und Löschung

1. Der Kunde kann seine Daten jederzeit selbst exportieren (Kunden, Termine, Abwesenheiten, Stammdaten; in einem maschinenlesbaren Format).
2. Nach einer Kündigung kann der Kunde seine Daten noch 30 Tage nach Vertragsende lesen und exportieren. Danach löscht der Anbieter alle Daten des Kunden automatisch und endgültig aus dem laufenden System.
3. Ist das Konto pausiert, weil nach der Testphase kein Abo abgeschlossen oder eine Zahlung nicht ausgeglichen wurde, bleiben die Daten 60 Tage ab Beginn der Pause lesbar und exportierbar. Wird die Pause bis dahin nicht beendet, endet der Vertrag und der Anbieter löscht alle Daten automatisch und endgültig aus dem laufenden System.
4. Vor jeder Löschung nach Abs. 2 oder 3 erinnert der Anbieter den Inhaber mindestens 7 Tage vorher per E-Mail.
5. Datensicherungen bewahrt der Anbieter höchstens 90 Tage auf. Ältere Sicherungen werden automatisch gelöscht. In vorhandenen Sicherungen werden einzelne Daten nicht gelöscht. Sie sind verschlüsselt und werden nur zur Wiederherstellung des gesamten Systems eingespielt. Dabei entfernt der Anbieter bereits gelöschte Betriebe sofort wieder.
6. Damit sind alle Daten des Kunden überall gelöscht, auch in den Datensicherungen:

7. Auf Wunsch löscht der Anbieter früher und bestätigt die Löschung in Textform.
8. Eigene Aufbewahrungspflichten des Anbieters (z. B. Rechnungen an den Kunden) bleiben unberührt; sie betreffen keine Daten nach § 3. Den Nachweis über den Abschluss dieses Vertrags (Fassung, Zeitpunkt, E-Mail des Zustimmenden) bewahrt der Anbieter für eigene Nachweiszwecke auf, bis die Verjährungsfristen abgelaufen sind.

§ 12 Support-Zugriff

1. Mitarbeiter des Anbieters haben im Regelbetrieb keinen Zugriff auf Inhaltsdaten des Kunden. Die Betreiber-Konsole zeigt nur Kennzahlen ohne Personenbezug (z. B. Anzahl Termine, Stand des Abos).
2. Für Support kann der Inhaber dem Anbieter in der Software eine Freigabe erteilen: nur lesend, befristet auf höchstens 72 Stunden und jederzeit widerrufbar. Jeder Zugriff wird mit Grund, Person und Zeitpunkt protokolliert.
3. Ohne Freigabe greift der Anbieter nur auf Inhaltsdaten zu, wenn das zur Abwehr einer akuten Gefahr für die Sicherheit des Systems oder zur Wiederherstellung nach einer Störung zwingend nötig ist. Er informiert den Kunden darauf unverzüglich.
4. Hat ein Nutzer keinen Zugang mehr zu seiner Authenticator-App und keine Wiederherstellungscodes, setzt der Anbieter die Zwei-Faktor-Anmeldung dieses Kontos zurück, nachdem er die Identität geprüft hat. Dabei sieht er keine Inhaltsdaten. Der Vorgang wird protokolliert.
5. Verwaltungszugänge zu Server und Datenbank sind nur über ein VPN erreichbar und auf die Gesellschafter des Anbieters beschränkt.

§ 13 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.

§ 14 Schlussbestimmungen

1. Änderungen dieses Vertrags teilt der Anbieter mindestens 6 Wochen vorher in Textform mit. Widerspricht der Kunde nicht innerhalb dieser Frist, gilt die Änderung als angenommen. Darauf weist der Anbieter in der Mitteilung hin. Bei Widerspruch kann jede Partei den Vertrag zum Wirksamwerden der Änderung kündigen.
2. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. An ihre Stelle tritt die gesetzliche Regelung.
3. Es gilt deutsches Recht. Gerichtsstand ist Mainz, soweit der Kunde Kaufmann ist.

Fassung 2026-10, gültig ab 14.10.2026, 22:00 Uhr.

Anlage 1: Technische und organisatorische Maßnahmen

Stand 12.10.2026. Grenzen sind offen benannt.

Anlage 2: Unterauftragsverarbeiter

Stand 14.10.2026. Mit allen Anbietern ist ein Auftragsverarbeitungsvertrag geschlossen. Alle speichern die Daten in der EU. Die aktuelle Liste steht unter plankraft.net/unterauftragsverarbeiter.

Nur wenn der Kunde den Connector einschaltet:

Keine Unterauftragsverarbeiter sind: Stripe (Abrechnung des Anbieters mit dem Kunden in eigener Verantwortung), das Captcha und die Datenbank-Software (vom Anbieter selbst auf dem eigenen Server betrieben), GitHub (nur Programmcode, keine Kundendaten).