Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand: 29.07.2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

zwischen

der Organisation (Vertragspartner des Nutzungsvertrags über die Plattform Zimun) — nachfolgend „Verantwortlicher“ —

und

Zimun Labs UG (haftungsbeschränkt), Buchenteich 3, 73773 Aichwald, Deutschland, Handelsregister B des Amtsgerichts Stuttgart, HRB 806662, vertreten durch die Geschäftsführerin Svetlana Ponomarenko — nachfolgend „Auftragsverarbeiter“ oder „Zimun“ —

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Zimun stellt dem Verantwortlichen die Terminplanungsplattform Zimun (zimun.online) als Software-as-a-Service bereit (der „Hauptvertrag“, d. h. die AGB von Zimun nebst gewähltem Tarif). Im Rahmen des Hauptvertrags verarbeitet Zimun personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten, die der Verantwortliche oder seine Endkunden in die Plattform einbringen (Anlage 1).

(3) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Eine Kündigung des Hauptvertrags gilt zugleich als Kündigung dieses AVV zum selben Zeitpunkt. Für Daten, die nach Beendigung des Hauptvertrags bis zu ihrer endgültigen Löschung oder Rückgabe nach § 8 noch gespeichert sind, gelten die Pflichten dieses AVV fort.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

Art, Zweck, Datenkategorien und Kreis der betroffenen Personen sind in Anlage 1 (Beschreibung der Verarbeitung) festgelegt.

§ 3 Verantwortlichkeit und Weisungen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Betroffenenrechte allein verantwortlich (Art. 4 Nr. 7 DSGVO).

(2) Zimun verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Plattformfunktionen und deren Konfiguration durch den Verantwortlichen gilt als dokumentierte Weisung; ergänzende Einzelweisungen bedürfen der Textform.

(3) Ist Zimun der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Zimun den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und darf die Ausführung bis zur Klärung aussetzen.

(4) Eine Verarbeitung zu eigenen Zwecken von Zimun findet im Anwendungsbereich dieses AVV nicht statt. (Verarbeitungen, für die Zimun selbst Verantwortlicher ist — Plattformbetrieb, Konten, Abrechnung — sind in der Datenschutzerklärung von Zimun beschrieben und nicht Gegenstand dieses AVV.)

§ 4 Vertraulichkeit

Zimun setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Sicherheit der Verarbeitung (Art. 32 DSGVO)

(1) Zimun trifft die in Anlage 2 (Technische und organisatorische Maßnahmen) beschriebenen Maßnahmen und hält sie auf dem Stand der Technik.

(2) Zimun darf die Maßnahmen fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Zimun informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens 30 Tage vor deren Wirksamwerden in Textform (z. B. per E-Mail oder In-App-Mitteilung). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht des Hauptvertrags zum Zeitpunkt des Wirksamwerdens der Änderung zu.

(3) Zimun verpflichtet Unterauftragsverarbeiter durch Vertrag auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).

(4) Klarstellung — KI-Chat / OpenAI: Der optionale KI-Buchungs-Chat wird ausschließlich mit dem eigenen OpenAI-API-Schlüssel des Verantwortlichen betrieben. OpenAI ist damit kein Unterauftragsverarbeiter von Zimun, sondern unmittelbarer Auftragsverarbeiter des Verantwortlichen. Der Verantwortliche schließt die erforderliche Datenverarbeitungsvereinbarung mit OpenAI selbst und verantwortet Rechtsgrundlage, Drittlandübermittlung und Information seiner Endkunden. Zimun übermittelt Chat-Inhalte insoweit ausschließlich weisungsgemäß an den vom Verantwortlichen benannten OpenAI-Endpunkt.

§ 7 Unterstützung des Verantwortlichen

(1) Zimun unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO; Art. 28 Abs. 3 lit. e DSGVO), insbesondere durch die Berichtigungs- und Löschfunktionen der Plattform sowie — soweit Exportfunktionen bereitstehen — durch diese; im Übrigen stellt Zimun die betreffenden Daten auf Anfrage in einem gängigen, maschinenlesbaren Format bereit (vgl. die Datenzugangs-Regelung der AGB).

(2) Zimun unterstützt den Verantwortlichen bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der Art der Verarbeitung und der Zimun zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).

(3) Zimun meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die dessen Auftragsdaten betreffen, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).

§ 8 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags löscht Zimun die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO). Die endgültige Löschung erfolgt — vorbehaltlich eines früheren Löschverlangens des Verantwortlichen — 30 Tage nach Beendigung des Hauptvertrags; innerhalb dieser Frist kann der Verantwortliche seine Daten abrufen oder die Beendigung widerrufen (vgl. AGB, Regelung zur Löschung nach Vertragsende).

(2) Unabhängig davon gelten während der Vertragslaufzeit die automatisierten Löschroutinen der Plattform (insbesondere Löschung/Anonymisierung von Termindaten einen Monat nach dem Termin, Löschung technischer Logs nach 30 Tagen).

§ 9 Nachweise und Kontrollen

(1) Zimun stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), in der Regel durch geeignete Dokumentation (z. B. TOM-Beschreibung, Zertifizierungen/Auditberichte der Infrastrukturanbieter, insbesondere Google Cloud).

(2) Überprüfungen vor Ort sind nach vorheriger Ankündigung mit angemessener Frist während üblicher Geschäftszeiten zulässig, soweit die Dokumentation im Einzelfall nicht ausreicht; Geschäftsgeheimnisse und Daten anderer Kunden bleiben geschützt.

(3) Der Verantwortliche trägt die Kosten eigener Kontrollen selbst. Für Unterstützungsleistungen, die über die Bereitstellung vorhandener Dokumentation und die gesetzlich geschuldete Mitwirkung nach Art. 28 Abs. 3 lit. h DSGVO hinausgehen, kann Zimun eine angemessene Vergütung nach Aufwand verlangen; das Kontrollrecht des Verantwortlichen wird hierdurch nicht eingeschränkt oder von einer Vorabzahlung abhängig gemacht.

§ 10 Drittlandübermittlungen

(1) Die Verarbeitung findet grundsätzlich in der EU statt (Google Cloud Region europe-west3, Frankfurt am Main).

(2) Soweit Unterauftragsverarbeiter Daten in Drittländer übermitteln (Anlage 3), erfolgt dies nur bei Vorliegen eines Angemessenheitsbeschlusses (Art. 45 DSGVO, z. B. EU-U.S. Data Privacy Framework) oder geeigneter Garantien (Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln).

§ 11 Haftung; Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser AVV vor.

(3) Es gilt deutsches Recht; Gerichtsstand richtet sich nach dem Hauptvertrag.

Anlage 1 — Beschreibung der Verarbeitung

• Gegenstand: Bereitstellung und Betrieb der Terminplanungsplattform Zimun für den Verantwortlichen
• Art der Verarbeitung: Erhebung über Buchungs- und Verwaltungsoberflächen, Speicherung, Anzeige, Übermittlung (Benachrichtigungen, Kalender-Synchronisation, optionaler KI-Chat-Transport), automatisierte Löschung
• Zweck: Verwaltung von Terminen, Leistungen, Ressourcen, Teammitgliedern und Endkundenkommunikation des Verantwortlichen
• Datenkategorien: Endkunden: Name, E-Mail-Adresse, Telefonnummer, Termindaten (Leistung, Ressource, Zeitpunkt), freiwillige Freitextangaben, Einwilligungsnachweise (z. B. AGB-Zustimmung, SMS-Erinnerungs-Einwilligung samt Zeitpunkt); ggf. Chat-Inhalte (bei aktiviertem KI-Chat); Warteliste-Einträge. Teammitglieder: Name, E-Mail-Adresse, Konto-/Profildaten, Arbeits-/Verfügbarkeitszeiten, Kalender-Metadaten (bei aktivierter Synchronisation)
• Besondere Kategorien (Art. 9): Nicht vorgesehen; der Verantwortliche stellt sicher, dass Freitextfelder nicht planmäßig für Art.-9-Daten genutzt werden
• Betroffene Personen: Endkunden des Verantwortlichen; Teammitglieder/Beschäftigte des Verantwortlichen
• Dauer: Laufzeit des Hauptvertrags; automatisierte Löschfristen gemäß § 8 Abs. 2

Anlage 2 — Technische und organisatorische Maßnahmen (Gliederung)

Vor Abschluss mit den konkreten, aktuellen Maßnahmen zu befüllen; Grundlage ist der Ist-Stand der Plattform:

• 1. Zutritts-/Zugangskontrolle: Betrieb in Google-Cloud-Rechenzentren (zertifiziert u. a. nach ISO 27001); kein eigener Serverbetrieb; Zugang zu Produktionssystemen nur für autorisierte Personen mit Mehrfaktor-Authentifizierung.
• 2. Zugriffskontrolle: Rollen- und mandantenbasierte Berechtigungen (Organisations-Isolation), OAuth-basierte Anmeldung ohne Passwortspeicherung, dedizierte Service-Konten mit minimalen Rechten, Geheimnisverwaltung über Google Secret Manager.
• 3. Übertragungskontrolle: TLS-Verschlüsselung (HTTPS) für alle Verbindungen; Verschlüsselung im Ruhezustand (Google Cloud Standard).
• 4. Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge (Audit-Logs).
• 5. Auftragskontrolle: Auswahl der Unterauftragsverarbeiter nach Art. 28; AV-Verträge mit allen Unterauftragsverarbeitern.
• 6. Verfügbarkeitskontrolle: verwaltete Infrastruktur (App Engine/Firestore), Backups/Redundanz des Infrastrukturanbieters, Monitoring.
• 7. Trennungsgebot: logische Mandantentrennung je Organisation.
• 8. Löschkonzept: automatisierter täglicher Löschlauf (Kontaktdaten zu Terminen ca. 1 Monat nach dem Termin; technische Logs 30 Tage), Löschung auf Anforderung.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

• Google Cloud EMEA Limited (Google Cloud Platform: App Engine, Firestore, Cloud Logging, Secret Manager)
  • Leistung: Hosting, Datenbank, Betrieb
  • Ort der Verarbeitung: EU — Region europe-west3 (Frankfurt am Main); Support-/Randzugriffe durch Google LLC (USA) möglich
  • Transfermechanismus: Google Cloud Data Processing Addendum; EU-Standardvertragsklauseln / EU-U.S. Data Privacy Framework
• Mailgun Technologies, Inc. (Sinch-Gruppe)
  • Leistung: Transaktionaler E-Mail-Versand (Tracking deaktiviert)
  • Ort der Verarbeitung: USA / EU-Versandregion (Konfiguration siehe Compliance-Checkliste, offener Prüfpunkt)
  • Transfermechanismus: Mailgun/Sinch DPA; EU-Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework
• Bird B.V. (vormals MessageBird), Amsterdam, Niederlande
  • Leistung: Versand von SMS-Terminerinnerungen (nur bei von der Organisation aktivierter Funktion und mit Einwilligung des Endkunden; übermittelt werden Telefonnummer und Nachrichtentext)
  • Ort der Verarbeitung: Niederlande (EU); weitere Verarbeitungsstandorte
  • Transfermechanismus: Abschluss des Bird-DPA sowie Transfermechanismus für etwaige Drittlandübermittlungen

Nicht in der Unterauftragskette von Zimun: OpenAI (KI-Chat) — wird vom Verantwortlichen mit dessen eigenem API-Schlüssel direkt beauftragt (§ 6 Abs. 4). Google Ireland Limited und Microsoft Ireland Operations Limited handeln beim OAuth-Login als eigenständige Verantwortliche; Google Kalender/Google Meet werden auf Veranlassung des jeweiligen Mitglieds über dessen eigenes Google-Konto verbunden.