Zurück zur Startseite

Auftragsverarbeitungsvertrag (AVV)

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem nutzenden Betrieb („Verantwortlicher“) und dem Anbieter von Lokado („Auftragsverarbeiter“).

Anbieter (Auftragsverarbeiter)

Robert Hood
Breitenkamp 16E, 47259 Duisburg
E-Mail: lokado.anfragen@gmail.com

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung des Dienstes Lokado (Online-Terminbuchung, Bewertungs- und Reaktivierungs-Kommunikation, Kundenverwaltung). Die Vereinbarung gilt für die Dauer der Nutzung des Dienstes.

2. Art, Umfang und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Speichern, Anzeigen, Übermitteln (E-Mail), Löschen.

Zweck: Terminvereinbarung, Kundenverwaltung sowie Versand von Termin-, Bewertungs- und Reaktivierungs-Nachrichten im Auftrag des Verantwortlichen.

Kategorien betroffener Personen: Endkundinnen und -kunden des Verantwortlichen.

Art der Daten: Name, Telefonnummer, E-Mail-Adresse, Termin- und Leistungsdaten, ggf. abgegebene Bewertungen.

3. Pflichten des Auftragsverarbeiters

  • Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (diese Vereinbarung und die Nutzung des Dienstes gelten als Weisung).
  • Verpflichtung der mit der Verarbeitung befassten Personen zur Vertraulichkeit.
  • Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Ziff. 4).
  • Unterstützung des Verantwortlichen bei der Wahrung der Betroffenenrechte und bei Meldepflichten (Art. 32–36 DSGVO), soweit zumutbar.
  • Unverzügliche Information bei Verdacht auf Datenschutzverletzungen.

4. Technische und organisatorische Maßnahmen (TOM)

  • Verschlüsselte Übertragung (TLS/HTTPS) und Verschlüsselung ruhender Daten beim Datenbank-Anbieter.
  • Mandantentrennung: Jeder Betrieb sieht ausschließlich seine eigenen Daten (Row-Level-Security auf Datenbankebene).
  • Zugriffsschutz über individuelle Logins; privilegierte Schlüssel ausschließlich serverseitig.
  • Datensparsamkeit: Es werden nur die für den Zweck erforderlichen Daten erhoben.
  • Hosting und Datenbank innerhalb der EU.

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

  • Supabase, Inc. – Datenbank-Hosting (Rechenzentrum in der EU, Region Irland).
  • Resend / Plus Five Five, Inc. (USA) – E-Mail-Versand (EU-Region Irland konfiguriert; Übermittlung in die USA abgesichert über EU-U.S. Data Privacy Framework + EU-Standardvertragsklauseln).
  • Vercel, Inc. (USA) – Anwendungs-Hosting (Auslieferung über EU-Edge; Übermittlung in die USA abgesichert über EU-U.S. Data Privacy Framework + EU-Standardvertragsklauseln).

Mit den genannten Unterauftragsverarbeitern bestehen jeweils Verträge zur Auftragsverarbeitung. Über beabsichtigte Änderungen (Aufnahme oder Austausch) wird der Verantwortliche informiert und kann widersprechen.

Hinweis zur Zahlungsabwicklung: Die Bezahlung des Abonnements durch den Verantwortlichen erfolgt über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Irland). Stripe verarbeitet ausschließlich die Zahlungsdaten des Verantwortlichen und nicht die personenbezogenen Daten der Endkundinnen und -kunden; Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieser Vereinbarung, sondern eigenständig Verantwortlicher für die Zahlungsabwicklung.

6. Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch- und Übertragbarkeitsansprüchen. Hierfür stehen im Dienst ein Datenexport sowie eine Löschfunktion für Kundendaten bereit. Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, werden an den Verantwortlichen weitergeleitet.

7. Weisungsrecht

Der Verantwortliche bleibt im Verhältnis Verantwortlicher und behält die alleinige Entscheidung über Zwecke und Mittel. Weisungen erfolgen grundsätzlich in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

8. Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Nutzung werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Ein Datenexport ist jederzeit selbst möglich.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung.

Praxis-Vorlage – vor produktivem Einsatz anwaltlich prüfen lassen. Stand: 2026.