Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) legt die Bedingungen fest, unter denen die Einzelunternehmerin nach ukrainischem Recht Serdiukova Anna (nachfolgend „Verwaltung“ oder „Auftragsverarbeiter“) personenbezogene Daten der Kunden und Mitarbeiter eines Nutzers des Dienstes PodoCard in dessen Namen und auf dessen Weisung bei der Bereitstellung des Dienstes verarbeitet.
Der Vertrag ergänzt die Nutzungsbedingungen des Dienstes PodoCard und die Datenschutzerklärung, die auf der Website https://podocard.com veröffentlicht sind, und gilt zusammen mit diesen. Der Vertrag ist ein Beitrittsvertrag im Sinne von Artikel 634 des Zivilgesetzbuches der Ukraine. Der Nutzer tritt dem Vertrag bei (nimmt ihn an), wenn er die Nutzungsbedingungen annimmt und personenbezogene Daten von Kunden des Nutzers oder Mitarbeitern des Nutzers in den Dienst eingibt, einschließlich dann, wenn er die Annahme von Terminbuchungen über die Online-Buchungsseite aktiviert.
Der Vertrag wurde im Einklang mit dem Gesetz der Ukraine „Über den Schutz personenbezogener Daten“ vom 01.06.2010 Nr. 2297-VI und für Nutzer, die der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) unterliegen, auch im Einklang mit Artikel 28 DSGVO erstellt.
Zuletzt aktualisiert: 29. Oktober 2026.
ABSCHNITT 1: BEGRIFFSBESTIMMUNGEN
In diesem Vertrag werden die Begriffe der Nutzungsbedingungen und der Datenschutzerklärung (darunter „Dienst“, „Website“, „Nutzer“, „Kunde des Nutzers“, „Kundenprofil“, „CRM-Funktionen“, „Online-Buchungsseite“, „Mitarbeiter des Nutzers“) sowie die folgenden Begriffe verwendet:
„Verantwortlicher“ – der Nutzer, der Inhaber des Unternehmens im Dienst ist, oder, wenn der Kontobereich des Unternehmens für eine juristische Person oder einen Einzelunternehmer geführt wird, diese Person. Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung der Auftragsdaten und ist im Sinne des Gesetzes der Ukraine „Über den Schutz personenbezogener Daten“ Verantwortlicher für diese Daten.
„Auftragsverarbeiter“ – die Verwaltung, die die Auftragsdaten im Namen und auf Weisung des Verantwortlichen verarbeitet; im Sinne des Gesetzes der Ukraine „Über den Schutz personenbezogener Daten“ Auftragsverarbeiter personenbezogener Daten.
„Auftragsdaten“ – personenbezogene Daten der Kunden des Nutzers und der Mitarbeiter des Nutzers, die der Verantwortliche, die Mitarbeiter des Nutzers oder die Kunden des Nutzers selbst über die Online-Buchungsseite in den Kontobereich des Unternehmens eingeben und die der Auftragsverarbeiter auf Weisung des Verantwortlichen verarbeitet. Ihr Umfang ist in Anlage 1 angegeben.
„betroffene Person“ – eine natürliche Person, auf die sich die Auftragsdaten beziehen.
„Unterauftragsverarbeiter“ – ein Dritter, den der Auftragsverarbeiter zur Verarbeitung der Auftragsdaten hinzuzieht.
„Vorfall“ – eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von Auftragsdaten oder zum unbefugten Zugang zu ihnen geführt hat.
„Datenschutzrecht“ – das Gesetz der Ukraine „Über den Schutz personenbezogener Daten“ sowie die DSGVO und sonstige Gesetze zum Schutz personenbezogener Daten, sofern sie auf den Verantwortlichen anwendbar sind.
ABSCHNITT 2: GEGENSTAND UND GELTUNGSBEREICH DES VERTRAGS
2.1. Der Verantwortliche beauftragt den Auftragsverarbeiter, und der Auftragsverarbeiter verpflichtet sich, die Auftragsdaten ausschließlich zur Bereitstellung des Dienstes für den Verantwortlichen gemäß den Nutzungsbedingungen, zu dessen technischem Support und zu dessen Schutz zu verarbeiten. Art und Zwecke der Verarbeitung, die Kategorien von Daten und betroffenen Personen sowie die Dauer der Verarbeitung sind in Anlage 1 angegeben.
2.2. Der Vertrag gilt nicht für personenbezogene Daten, deren Zwecke und Mittel der Verarbeitung die Verwaltung selbst als Verantwortliche bestimmt: Kontodaten der Nutzer, einschließlich der Mitarbeiter des Nutzers als Nutzer des Dienstes; Daten über die Bezahlung von Abonnements; technische Informationen, Cookies und Analysedaten; Daten der Teilnehmer des Partnerprogramms (Empfehlungsprogramms). Ihre Verarbeitung richtet sich nach der Datenschutzerklärung.
2.3. Bei Widersprüchen zwischen dem Vertrag und den Nutzungsbedingungen oder der Datenschutzerklärung gelten hinsichtlich der Verarbeitung der Auftragsdaten die Bestimmungen des Vertrags.
ABSCHNITT 3: PFLICHTEN DES VERANTWORTLICHEN
3.1. Der Verantwortliche bestimmt die Zwecke der Verarbeitung der Auftragsdaten selbstständig und ist für deren Rechtmäßigkeit verantwortlich, insbesondere für:
das Vorliegen einer geeigneten Rechtsgrundlage für die Verarbeitung, einschließlich der Einwilligung der Kunden des Nutzers in die Verarbeitung von Angaben über ihren Gesundheitszustand, von Fotos und Unterschriften, sofern eine solche Einwilligung gesetzlich erforderlich ist;
die Information der betroffenen Personen über die Zwecke, den Umfang und die Fristen der Verarbeitung ihrer Daten sowie darüber, dass die Daten mithilfe des Dienstes verarbeitet werden;
die Richtigkeit und Aktualität der eingegebenen Daten und deren Übereinstimmung mit den Zwecken der Verarbeitung.
3.2. Weisungen, die der Verantwortliche dem Auftragsverarbeiter erteilt, müssen dem Datenschutzrecht entsprechen.
3.3. Der Verantwortliche weist den Mitarbeitern des Nutzers Rollen und Filialen so zu, dass ihr Zugriff auf Daten der von ihnen ausgeübten Tätigkeit entspricht, und deaktiviert oder löscht rechtzeitig die Konten von Mitarbeitern des Nutzers, die ihre Tätigkeit beendet haben. Handlungen der Mitarbeiter des Nutzers im Kontobereich des Unternehmens gelten als Handlungen des Verantwortlichen.
3.4. Der Verantwortliche gewährleistet den Schutz der Passwörter und Geräte, mit denen er und die Mitarbeiter des Nutzers sich beim Dienst anmelden, und ist für die aus dem Dienst erhaltenen Auftragsdaten verantwortlich: den Export, PDF-Dokumente, Fotos und andere heruntergeladene Dateien.
3.5. Der Verantwortliche bearbeitet Anfragen betroffener Personen selbstständig und erfüllt sie (Abschnitt 7).
ABSCHNITT 4: PFLICHTEN DES AUFTRAGSVERARBEITERS
4.1. Der Auftragsverarbeiter verarbeitet die Auftragsdaten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung von Daten ins Ausland (Abschnitt 9), sofern nicht das Recht, dem der Auftragsverarbeiter unterliegt, etwas anderes verlangt. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese Anforderung vor Beginn der Verarbeitung mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.
4.2. Dokumentierte Weisungen des Verantwortlichen sind: der Vertrag und die Nutzungsbedingungen; Handlungen des Verantwortlichen und der Mitarbeiter des Nutzers im Dienst (Eingabe, Änderung und Löschung von Daten, Einstellungen des Unternehmens und der Filialen, Aktivierung der CRM-Funktionen und der Online-Buchungsseite, Versand von Dokumenten an Kunden); schriftliche Anfragen des Inhabers des Unternehmens an den Support unter support@podocard.com, einschließlich einer Anfrage auf Export der Daten. Sonstige Weisungen werden ausgeführt, wenn sie im Rahmen des Dienstes technisch umsetzbar sind und von den Parteien vereinbart wurden.
4.3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung des Verantwortlichen seiner Auffassung nach gegen das Datenschutzrecht verstößt.
4.4. Der Auftragsverarbeiter verwendet die Auftragsdaten nicht für eigene Zwecke, einschließlich Marketingzwecken, verkauft sie nicht und gibt sie nicht an Dritte weiter, mit Ausnahme der Unterauftragsverarbeiter (Abschnitt 6) und der gesetzlich vorgesehenen Fälle. Werbenachrichten sendet der Auftragsverarbeiter den Kunden des Nutzers nicht.
4.5. Der Auftragsverarbeiter gewährt Zugang zu den Auftragsdaten nur Personen, die diesen für die Bereitstellung, den Support und den Schutz des Dienstes benötigen, und stellt sicher, dass sich diese Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Den Inhalt von Kundenprofilen sehen diese Personen nur ein, wenn dies erforderlich ist, um eine Anfrage des Nutzers an den Support zu bearbeiten, eine technische Störung zu beheben oder gesetzliche Anforderungen zu erfüllen.
4.6. Der Auftragsverarbeiter trifft technische und organisatorische Maßnahmen zum Schutz der Auftragsdaten (Abschnitt 5 und Anlage 3), unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten (Abschnitte 7 und 8) und stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung des Vertrags erforderlich sind (Abschnitt 10).
ABSCHNITT 5: SICHERHEIT DER VERARBEITUNG
5.1. Unter Berücksichtigung der Art der Auftragsdaten, einschließlich der Angaben über den Gesundheitszustand, wendet der Auftragsverarbeiter die in Anlage 3 genannten Maßnahmen an und hält deren Niveau während der Laufzeit des Vertrags aufrecht. Der Auftragsverarbeiter ist berechtigt, einzelne Maßnahmen zu ändern, sofern das Gesamtschutzniveau der Auftragsdaten nicht sinkt.
5.2. Ein Teil der Maßnahmen unterliegt der Kontrolle des Verantwortlichen selbst: die Zuweisung von Rollen und Filialen an die Mitarbeiter des Nutzers, die rechtzeitige Deaktivierung ihrer Konten, sichere Passwörter, der Schutz von Geräten, die Deaktivierung der Online-Buchung für eine Filiale, einen Mitarbeiter des Nutzers oder einen Kunden. Der Verantwortliche beurteilt selbstständig, ob die Maßnahmen des Auftragsverarbeiters für seine Verarbeitung ausreichen.
ABSCHNITT 6: UNTERAUFTRAGSVERARBEITER
6.1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Die aktuelle Liste der Unterauftragsverarbeiter ist in Anlage 2 enthalten.
6.2. Über die beabsichtigte Hinzuziehung eines neuen Unterauftragsverarbeiters oder die Ersetzung eines bestehenden informiert der Auftragsverarbeiter, indem er auf der Website eine aktualisierte Anlage 2 unter Angabe des Datums, ab dem die Änderung wirksam wird, spätestens 14 (vierzehn) Kalendertage vor diesem Datum veröffentlicht.
6.3. Bis zu dem angegebenen Datum ist der Verantwortliche berechtigt, an support@podocard.com einen begründeten Einspruch zu richten. Gelangen die Parteien zu keiner Einigung, ist der Verantwortliche berechtigt, die Nutzung des Dienstes vor dem Wirksamwerden der Änderung zu beenden: einen Export der Daten zu erhalten und das Konto gemäß Abschnitt 11 zu löschen.
6.4. Ist die Ersetzung eines Unterauftragsverarbeiters zur Gewährleistung der Sicherheit oder der Kontinuität des Betriebs des Dienstes dringend erforderlich, ist der Auftragsverarbeiter berechtigt, sie ohne vorherige Benachrichtigung vorzunehmen, sofern ein vergleichbares Datenschutzniveau gewahrt bleibt, und veröffentlicht schnellstmöglich eine aktualisierte Anlage 2. Der Verantwortliche ist berechtigt, gegen eine solche Ersetzung gemäß Ziffer 6.3 Einspruch zu erheben.
6.5. Der Auftragsverarbeiter zieht Unterauftragsverarbeiter nur auf der Grundlage einer Vereinbarung hinzu, die ihnen Datenschutzpflichten auferlegt, die nicht weniger streng sind als die im Vertrag vorgesehenen, soweit diese auf die Leistungen des Unterauftragsverarbeiters anwendbar sind, und haftet gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten durch die Unterauftragsverarbeiter.
ABSCHNITT 7: ANFRAGEN BETROFFENER PERSONEN
7.1. Der Dienst ermöglicht es dem Verantwortlichen, Anfragen betroffener Personen selbstständig zu erfüllen: Daten eines Kunden, seine Besuche und Termine einzusehen, zu berichtigen und zu löschen, die Online-Buchung für einen Kunden zu deaktivieren sowie eine Kopie der Daten des Kontobereichs des Unternehmens (einen Export) nach dem in der Datenschutzerklärung festgelegten Verfahren zu erhalten.
7.2. Geht eine Anfrage einer betroffenen Person beim Auftragsverarbeiter ein, bearbeitet der Auftragsverarbeiter sie nicht inhaltlich, sondern leitet sie an den Inhaber des jeweiligen Unternehmens weiter, sofern sich das Unternehmen anhand der Angaben in der Anfrage ermitteln lässt, und teilt dem Antragsteller mit, dass er sich zur Ausübung seiner Rechte an den Verantwortlichen wenden sollte.
7.3. Kann der Verantwortliche eine Anfrage nicht mit den Mitteln des Dienstes erfüllen, unterstützt der Auftragsverarbeiter auf Ersuchen des Inhabers des Unternehmens in angemessenem Umfang deren Erfüllung unter Berücksichtigung der Art der Verarbeitung.
ABSCHNITT 8: VORFÄLLE UND UNTERSTÜTZUNG DES VERANTWORTLICHEN
8.1. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über einen Vorfall unverzüglich und ohne unangemessene Verzögerung, nachdem ihm dieser bekannt geworden ist. Die Benachrichtigung wird an die im Konto angegebene E-Mail-Adresse des Inhabers des Unternehmens und/oder als Nachricht im Dienst gesendet.
8.2. Die Benachrichtigung enthält, soweit diese Angaben dem Auftragsverarbeiter bekannt sind: eine Beschreibung des Vorfalls, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen, einen Kontakt für weitere Informationen. Angaben, die zum Zeitpunkt der Benachrichtigung nicht bekannt sind, teilt der Auftragsverarbeiter schrittweise mit, sobald sie ihm vorliegen.
8.3. Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Behebung des Vorfalls und zur Minderung seiner Folgen und stellt dem Verantwortlichen die Angaben zur Verfügung, die für die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen erforderlich sind. Solche Meldungen und Benachrichtigungen nimmt, sofern sie erforderlich sind, der Verantwortliche vor.
8.4. Unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Datenschutz-Folgenabschätzung und bei der vorherigen Konsultation der Aufsichtsbehörde, sofern diese für den Verantwortlichen erforderlich sind, indem er Angaben über den Dienst und die angewandten Schutzmaßnahmen zur Verfügung stellt.
ABSCHNITT 9: ORT DER VERARBEITUNG UND ÜBERMITTLUNG VON DATEN INS AUSLAND
9.1. Die Auftragsdaten werden auf Servern gespeichert, die sich in der Bundesrepublik Deutschland in den Rechenzentren der Hetzner Online GmbH (Nürnberg, Falkenstein) befinden. Sicherungskopien der Datenbank werden in einem separaten Speicher desselben Anbieters in Deutschland aufbewahrt. Eine Änderung des Ortes der Speicherung der Auftragsdaten erfolgt gemäß Abschnitt 6.
9.2. Der Auftragsverarbeiter ist in der Ukraine registriert. Der Zugriff befugter Personen des Auftragsverarbeiters auf die Auftragsdaten zum Zweck des Supports, der Wartung und des Schutzes des Dienstes kann außerhalb des Europäischen Wirtschaftsraums erfolgen, einschließlich aus der Ukraine.
9.3. Unterliegt der Verantwortliche der DSGVO und stellt ein solcher Zugriff eine Übermittlung personenbezogener Daten in ein Land dar, für das die Europäische Kommission keinen Beschluss über die Angemessenheit des Schutzniveaus erlassen hat, gelten für diese Übermittlung die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 genehmigten Standardvertragsklauseln, Modul 2 „Übermittlung von Verantwortlichen an Auftragsverarbeiter“ (nachfolgend „SCC“). Die SCC werden durch Verweis in den Vertrag einbezogen; der Verantwortliche ist darin Datenexporteur, der Auftragsverarbeiter Datenimporteur. Für die Zwecke der SCC gilt: Klausel 7 findet keine Anwendung; gemäß Klausel 9 Buchstabe a gilt Option 2 (allgemeine schriftliche Genehmigung) mit der in Ziffer 6.2 des Vertrags angegebenen Frist für die Benachrichtigung; die fakultative Formulierung in Klausel 11 Buchstabe a findet keine Anwendung; gemäß Klausel 17 gilt das Recht des EU-Mitgliedstaats, in dem der Verantwortliche niedergelassen ist, und, sofern dieses keine Rechte als Drittbegünstigte vorsieht, das Recht der Bundesrepublik Deutschland; gemäß Klausel 18 werden Streitigkeiten von den Gerichten des EU-Mitgliedstaats entschieden, in dem der Verantwortliche niedergelassen ist; die Anhänge I, II und III der SCC gelten als mit den Angaben der Anlagen 1, 3 bzw. 2 zum Vertrag ausgefüllt. Bei Widersprüchen zwischen dem Vertrag und den SCC haben die SCC Vorrang.
ABSCHNITT 10: INFORMATIONEN UND ÜBERPRÜFUNGEN
10.1. Auf Ersuchen des Inhabers des Unternehmens stellt der Auftragsverarbeiter die Informationen zur Verfügung, die zum Nachweis der Einhaltung des Vertrags erforderlich sind: eine Beschreibung der angewandten Schutzmaßnahmen, die Liste der Unterauftragsverarbeiter, Angaben zur Zertifizierung des Infrastrukturanbieters und Antworten auf angemessene Fragen des Verantwortlichen zur Verarbeitung der Auftragsdaten.
10.2. Reichen diese Informationen nicht aus oder verlangt eine Aufsichtsbehörde eine Überprüfung, ist der Verantwortliche berechtigt, eine Überprüfung (Audit) der Verarbeitung der Auftragsdaten selbst oder unter Hinzuziehung eines unabhängigen Prüfers, der zur Vertraulichkeit verpflichtet ist, durchzuführen. Die Überprüfung findet höchstens einmal in 12 (zwölf) Monaten statt, sofern sie nicht durch einen Vorfall oder eine Anforderung der Aufsichtsbehörde veranlasst ist, nach Benachrichtigung des Auftragsverarbeiters mindestens 30 (dreißig) Kalendertage im Voraus, während der Geschäftszeiten, ohne Zugriff auf Daten anderer Nutzer des Dienstes und auf Kosten des Verantwortlichen. Die Infrastruktur der Unterauftragsverarbeiter wird anhand ihrer Berichte und Zertifikate überprüft.
ABSCHNITT 11: LAUFZEIT, RÜCKGABE UND LÖSCHUNG DER DATEN
11.1. Der Vertrag tritt mit der Annahme in Kraft und gilt, solange der Auftragsverarbeiter Auftragsdaten des Verantwortlichen verarbeitet, bis zu deren Löschung gemäß diesem Abschnitt.
11.2. Kunden, Besuche und Kalendertermine, die vom Verantwortlichen oder von Mitarbeitern des Nutzers im Dienst gelöscht werden, werden in das Archiv verschoben und können innerhalb von 30 (dreißig) Kalendertagen wiederhergestellt werden. Nach Ablauf dieser Frist werden sie zusammen mit den zugehörigen Fotos und Dokumenten automatisch und ohne Möglichkeit der Wiederherstellung gelöscht. Kalendertermine, zu denen Zahlungen erfasst wurden, werden dabei nicht gelöscht und bleiben im Kontobereich des Unternehmens gespeichert, nach der Löschung des Kunden ohne Zuordnung zu ihm.
11.3. Die für den Versand von Erinnerungen an den Besuch gespeicherte Kopie der E-Mail-Adresse und des Namens des Kunden des Nutzers aus dem Formular auf der Online-Buchungsseite wird 30 (dreißig) Tage nach Beginn des Besuchs gelöscht.
11.4. Vor der Löschung der Daten ist der Inhaber des Unternehmens berechtigt, kostenlos eine Kopie der Daten des Kontobereichs des Unternehmens (einen Export) zu erhalten. Umfang, Format und Verfahren des Exports sind in der Datenschutzerklärung festgelegt.
11.5. Löscht der Inhaber des Unternehmens sein Konto, werden der Kontobereich des Unternehmens und alle Auftragsdaten nach Ablauf von 7 (sieben) Kalendertagen ab der Bestätigung des Antrags auf Löschung ohne Möglichkeit der Wiederherstellung gelöscht. Vor Ablauf dieser Frist kann der Antrag nach dem in den Nutzungsbedingungen festgelegten Verfahren storniert werden.
11.6. Ist der Zugang zum Dienst nach dem Ende des Testzeitraums oder des bezahlten Zeitraums erloschen und wurde das Konto nicht gelöscht, werden die Auftragsdaten gespeichert, damit der Verantwortliche den Zugang wiederherstellen kann: 2 (zwei) Monate ab dem Ende des Testzeitraums, wenn kein kostenpflichtiges Abonnement erworben wurde, oder 2 (zwei) Jahre ab dem Ende des letzten bezahlten Zeitraums. Nach Ablauf dieser Fristen werden die Daten automatisch und ohne Möglichkeit der Wiederherstellung gelöscht. Ein Verantwortlicher, der eine solche Speicherung nicht wünscht, ist berechtigt, das Konto jederzeit gemäß Ziffer 11.5 zu löschen.
11.7. Aus den Sicherungskopien werden die Auftragsdaten im Zuge des planmäßigen Ersetzens der Sicherungskopien gelöscht. Bis dahin werden die Sicherungskopien durch dieselben Maßnahmen geschützt und ausschließlich zur Wiederherstellung des Dienstes nach Ausfällen verwendet.
11.8. Verlangen gesetzliche Vorschriften vom Auftragsverarbeiter die weitere Speicherung einzelner Auftragsdaten, speichert der Auftragsverarbeiter diese nur während der festgelegten Frist, gewährleistet ihre Vertraulichkeit und verarbeitet sie nicht für andere Zwecke.
ABSCHNITT 12: HAFTUNG
12.1. Die Parteien haften für Verletzungen des Vertrags nach Maßgabe des anwendbaren Rechts. Die in den Nutzungsbedingungen festgelegten Haftungsbeschränkungen gelten für den Vertrag, soweit dies nach dem Datenschutzrecht zulässig ist, und schränken die Rechte der betroffenen Personen nicht ein.
ABSCHNITT 13: SCHLUSSBESTIMMUNGEN
13.1. Die Verwaltung ist berechtigt, den Vertrag zu ändern, indem sie eine neue Fassung unter Angabe des Datums der letzten Aktualisierung auf der Website veröffentlicht. Änderungen der Liste der Unterauftragsverarbeiter erfolgen gemäß Abschnitt 6. Die weitere Nutzung des Dienstes nach dem Inkrafttreten der neuen Fassung bedeutet die Zustimmung zu dieser. Ist der Nutzer nicht einverstanden, ist er berechtigt, die Nutzung des Dienstes einzustellen und das Konto zu löschen.
13.2. Auf den Vertrag ist das Recht der Ukraine anwendbar, unter Berücksichtigung der zwingenden Vorschriften des Datenschutzrechts, das auf den Verantwortlichen anwendbar ist, sowie des Abschnitts 9. Streitigkeiten werden nach dem in den Nutzungsbedingungen festgelegten Verfahren beigelegt.
13.3. Mitteilungen an den Verantwortlichen werden an die im Konto angegebene E-Mail-Adresse des Inhabers des Unternehmens oder als Nachricht im Dienst gesendet; an den Auftragsverarbeiter an support@podocard.com.
13.4. Die Unwirksamkeit einzelner Bestimmungen des Vertrags berührt nicht die Wirksamkeit seiner übrigen Bestimmungen.
ANLAGE 1: BESCHREIBUNG DER VERARBEITUNG
1. Kategorien betroffener Personen:
Kunden des Nutzers, einschließlich Personen, die über die Online-Buchungsseite einen Termin gebucht haben;
Mitarbeiter des Nutzers – in Bezug auf die Daten, die das Unternehmen in den Dienst eingibt.
2. Kategorien von Auftragsdaten:
Daten der Kunden des Nutzers: Nachname, Vorname, Vatersname, Geschlecht, Geburtsdatum, Beruf; Telefonnummer, E-Mail-Adresse, Kontakte in Telegram und Instagram; medizinischer Fragebogen (Angaben zu Erkrankungen und Zuständen, Allergien, Fußgröße, Notizen); Besuchshistorie (Beschreibung der Behandlungen, Markierungen auf den Fußschemata, Angaben zu Korrektursystemen, Notizen, Fotos, auch vor und nach den Behandlungen); elektronische Unterschriften und unterzeichnete Dokumente, einschließlich informierter Einwilligungen im PDF-Format; sonstige Angaben und Dateien, die der Verantwortliche eingibt;
bei Nutzung der CRM-Funktionen: Termine (Datum und Uhrzeit, Filiale, Fachkraft, Dienstleistungen und deren Preise, Status des Termins, Kommentare), Angaben zu Zahlungen für Termine (Betrag, Zahlungsart, Datum) und zur Abrechnung mit Kunden, die Erlaubnis für den Kunden, über die Online-Buchungsseite zu buchen;
bei einer Buchung über die Online-Buchungsseite: Vorname, Nachname, Telefonnummer und E-Mail-Adresse, die im Formular angegeben wurden, die gewählten Dienstleistungen, die Fachkraft, Datum und Uhrzeit sowie die Markierung der Einwilligung in die Verarbeitung personenbezogener Daten (Datum und Uhrzeit, IP-Adresse, Angaben zum Browser, Version des Dokuments);
Daten der Mitarbeiter des Nutzers: Vorname, Nachname, Kontaktdaten, Position, Foto (Avatar), Rolle und Filialen, Arbeitsplan (Arbeitstage und Arbeitszeiten, Pausen, freie Tage), Kundentermine und erbrachte Dienstleistungen, Vergütungsbedingungen (Prozentsatz vom Preis der Dienstleistungen und/oder Fixum), sofern der Verantwortliche diese festlegt, und die auf dieser Grundlage berechneten Vergütungsbeträge.
3. Besondere Kategorien personenbezogener Daten: Angaben über den Gesundheitszustand der Kunden des Nutzers (medizinischer Fragebogen, Beschreibungen der Behandlungen, Fotos). Den Umfang ihrer Verarbeitung bestimmt der Verantwortliche.
4. Art der Verarbeitung: Erhebung, auch über die Online-Buchungsseite; Erfassung, Systematisierung, Speicherung und Änderung; Anzeige für die Nutzer des Kontobereichs des Unternehmens entsprechend ihren Rollen und Filialen; Erstellung von PDF-Dokumenten, Berichten und Berechnungen; Versand von E-Mails – von Dokumenten an den Kunden an seine E-Mail-Adresse, von Buchungsbestätigungen und Erinnerungen an den Besuch an die Kunden des Nutzers, von Mitteilungen über Buchungen über die Online-Buchungsseite an den Inhaber des Unternehmens sowie an die Manager und Administratoren der Filiale; Anzeige von Vorname, Nachname, Position und Foto der Fachkräfte auf der Online-Buchungsseite; Schutz vor Missbrauch; Erstellung von Sicherungskopien; Export; Löschung.
5. Zwecke der Verarbeitung: Bereitstellung des Dienstes und seiner Funktionen für den Verantwortlichen, technischer Support des Verantwortlichen, Gewährleistung der Sicherheit und der Kontinuität des Betriebs des Dienstes, Wiederherstellung nach Ausfällen.
6. Dauer der Verarbeitung: während der Laufzeit des Vertrags (Abschnitt 11).
ANLAGE 2: UNTERAUFTRAGSVERARBEITER
Die Liste gilt ab dem 29. Oktober 2026.
Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) – Cloud-Infrastruktur des Dienstes: Server, Datenbank, Speicher für Fotos und Dokumente, Sicherungskopien. Ort der Verarbeitung – Deutschland (Rechenzentren in Nürnberg und Falkenstein).
E-Mails des Dienstes, auch an die Kunden des Nutzers, werden über einen eigenen Mailserver des Auftragsverarbeiters versendet. Die in der Datenschutzerklärung genannten Zahlungsdienstleister, App-Stores und Analysedienste sind keine Unterauftragsverarbeiter: Sie erhalten nur die Daten des Nutzers, die zur Erfüllung ihrer Funktionen erforderlich sind, und haben keinen Zugriff auf Kundenprofile.
ANLAGE 3: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN
1. Standort. Die Server des Dienstes und die Sicherungskopien befinden sich in Rechenzentren der Hetzner Online GmbH in Deutschland. Das Informationssicherheits-Managementsystem des Anbieters ist nach der internationalen Norm ISO/IEC 27001 zertifiziert.
2. Schutz der Datenübertragung. Der Datenaustausch zwischen der mobilen App, der Website und den Servern des Dienstes erfolgt ausschließlich über eine gesicherte Verbindung (HTTPS/TLS).
3. Speicherung von Dateien. Fotos und Dokumente werden in einem nicht öffentlichen Speicher aufbewahrt und sind nicht über dauerhafte direkte Links abrufbar: Den Zugriff darauf gewährt die App über temporäre Links mit begrenzter Gültigkeitsdauer.
4. Zugriff auf die Infrastruktur. Die Datenbank ist aus dem Internet nicht erreichbar. Administrativen Zugriff auf die Server hat nur das befugte technische Personal des Auftragsverarbeiters mittels schlüsselbasierter Authentifizierung.
5. Konten. Passwörter werden ausschließlich in Form kryptografischer Hashwerte gespeichert. Der Zugang zum Dienst wird über Token mit begrenzter Gültigkeitsdauer gewährt; nach dem Zurücksetzen des Passworts werden zuvor ausgegebene Token widerrufen. Die Anzahl der Versuche zur Anmeldung und zur Eingabe von Bestätigungscodes ist begrenzt.
6. Zugriffskontrolle. Die Daten eines Unternehmens sind nur den Nutzern seines Kontobereichs zugänglich. Der Umfang des Zugriffs der Mitarbeiter des Nutzers richtet sich nach ihrer Rolle (Inhaber, Manager, Administrator, Spezialist) und bei Nutzung der CRM-Funktionen auch nach den Filialen, denen sie zugeordnet sind; insbesondere werden einem Spezialisten die Kontaktdaten der Kunden des Nutzers nicht angezeigt. Die Rollen und die Zuordnung zu Filialen legen der Inhaber des Unternehmens und die Manager fest.
7. Personal des Auftragsverarbeiters. Personen, die Zugang zu den Auftragsdaten haben, sind zur Vertraulichkeit verpflichtet und sehen den Inhalt von Kundenprofilen nur in den in Ziffer 4.5 des Vertrags genannten Fällen ein.
8. Online-Buchungsseite. Die Anzahl der Anfragen und Buchungsanfragen wird je IP-Adresse, je Telefonnummer und je E-Mail-Adresse begrenzt; diese Werte werden in Form von Hashwerten in temporären Zählern verwendet, die nach Ablauf des Begrenzungszeitraums automatisch gelöscht werden. Der Link zur Stornierung eines Termins enthält einen nicht erratbaren Code; in der Datenbank wird nur dessen Hashwert gespeichert. Auf der Online-Buchungsseite und auf der Seite zur Stornierung des Termins werden weder Meta Pixel noch andere Werbe- oder Analyseinstrumente verwendet.
9. Protokolle. Fehler und Störungen werden zur Überwachung des Betriebs des Dienstes in Protokollen erfasst; Passwörter, Token und Bestätigungscodes werden in den Protokollen maskiert.
10. Datensicherung. Sicherungskopien der Datenbank werden regelmäßig erstellt und in einem separaten Speicher in Deutschland aufbewahrt.
11. Löschung. Gelöschte Kunden, Besuche und Termine werden 30 (dreißig) Kalendertage im Archiv aufbewahrt und danach automatisch gelöscht; die Daten des Kontobereichs des Unternehmens werden nach Ablauf der Speicherfristen automatisch gelöscht (Abschnitt 11 des Vertrags).
12. Export. Eine Kopie der Daten des Kontobereichs des Unternehmens wird nur dem Inhaber des Unternehmens bereitgestellt: Der Download-Link wird nur an die E-Mail-Adresse aus seinem Konto gesendet und ist 7 (sieben) Kalendertage gültig; danach wird das Archiv von den Servern des Dienstes gelöscht.
ANGABEN ZUM ANBIETER
Einzelunternehmerin nach ukrainischem Recht Serdiukova Anna
Steuernummer (TIN) 3117915209
Tel. +380731234011
E-Mail: support@podocard.com