Auftragsverarbeitungsvertrag (AVV)

Zuletzt aktualisiert: Oktober 2026 — Version 2026-10-studio.3. Änderung: § 3.3 nennt jetzt auch das Signal beim Öffnen des Buchungspanels (Kennung des Studios und geöffnete Seite, nichts Personenbezogenes). Sonst unverändert.

Version 2026-10-studio.2: § 3.3 (neu) beschreibt, was das Buchungspanel der eigenen Website des Verantwortlichen mitteilt, wenn eine Buchung erfolgt oder ein Bezahlvorgang beginnt (Art des Angebots, Betrag, technische Referenz; keine Cookies, nichts auf dem Endgerät gespeichert). Die Unterauftragsverarbeiter, die Datenkategorien, die Löschfristen, die technischen und organisatorischen Maßnahmen und die Haftungsverteilung sind unverändert.

Version 2026-10-studio.1: Der Wortlaut von § 3 und § 4 wurde gestrafft; Erläuterungen, wie einzelne Funktionen der App arbeiten, wurden entfernt (sie stehen weiterhin in der Datenschutzerklärung). § 3 nennt jetzt außerdem ausdrücklich interne Notizen, Gutscheine und Rechnungen, die die Plattform bereits zuvor verarbeitet hat. Die Unterauftragsverarbeiter, die Löschfristen, die technischen und organisatorischen Maßnahmen und die Haftungsverteilung sind unverändert.

Version 2026-10-studio: § 3.2 (neu) regelt, wie die Kundenliste eines Verantwortlichen aus einem bisherigen Buchungssystem übernommen wird (eigener Google-Drive-Ordner für jeden Verantwortlichen, KI-gestützte Überführung, Löschung der Exportdateien spätestens 14 Tage nach dem Import); § 5.10 (neu) regelt die Beantwortung von Fragen des Verantwortlichen zu seinen eigenen Daten; § 6 erweitert Google um Google Workspace und nimmt Anthropic als Unterauftragsverarbeiter auf.

Frühere Versionen: 2026-09-studio.3, 2026-09-studio.2, 2026-09-studio.1, 2026-09-studio, 2026-08-studio.3, 2026-08-studio.2, 2026-08-studio, 2026-07-studio. Ihre Texte und Änderungshinweise sind auf Anfrage erhältlich.

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Allgemeinen Geschäftsbedingungen zwischen dem Studioinhaber ("Verantwortlicher") und StudioBook ("Auftragsverarbeiter") und regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

1. Geltungsbereich und Parteien

Dieser AVV gilt zwischen:
- Verantwortlicher: Der Studioinhaber, der StudioBook zur Verwaltung seines Studios, seiner Kurse und Mitgliederbuchungen nutzt.
- Auftragsverarbeiter: StudioBook, betrieben von Marcel Jurna, Am Glockenberg 52, 51515 Kürten, Deutschland. Kontakt: hello@studiobook.app, +49 1525 3619145.

Der Verantwortliche legt die Zwecke und Mittel der Verarbeitung personenbezogener Daten fest. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen und gemäß dessen dokumentierten Weisungen.

2. Gegenstand und Dauer

Der Auftragsverarbeiter stellt eine cloudbasierte Buchungs- und Studiomanagement-Plattform bereit. Im Rahmen dieser Dienstleistung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

Dieser AVV gilt für die gesamte Dauer des Dienstleistungsvertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Er endet automatisch mit Beendigung des Dienstleistungsvertrags und nach Löschung oder Rückgabe aller personenbezogenen Daten.

3. Arten der verarbeiteten personenbezogenen Daten

• Kontakt- und Kontodaten der Mitglieder: Name, E-Mail-Adresse, Anmeldemethode und, soweit angegeben, Telefonnummer, Postanschrift und Geburtsdatum
• Buchungsdaten: Buchungen, Stornierungen, Wartelisteneinträge, Anwesenheit
• Vertrags- und Zahlungsdaten: Mitgliedschaften, Credit-Pakete, Gutscheine, Rechnungen, Zahlungsreferenzen (Stripe-IDs — keine Karten- oder Bankdaten)
• Interne Notizen, die der Verantwortliche zu einem Mitglied verfasst
• Kontaktdaten eingeladener Begleitpersonen: Name und, optional, E-Mail-Adresse, angegeben vom buchenden Mitglied
• Kinderprofile: Vorname, Nachname und, optional, Geburtsdatum, eingetragen von einem Erziehungsberechtigten; für das Kind wird kein Konto angelegt
• Antworten auf Aufnahmeformulare und Zusatzfragen zu Kursen, deren Inhalt der Verantwortliche festlegt, zusammen mit der Dokumentation der Einwilligung (angezeigter Wortlaut, Zeitstempel); diese Antworten können besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO enthalten (insbesondere Gesundheitsdaten)
• Übernommene Daten aus dem bisherigen Buchungssystem des Verantwortlichen, soweit sie unter diese Kategorien fallen (§ 3.2)

Daten, die ein Mitglied einträgt, erreichen den Auftragsverarbeiter über das Mitglied. Daten, die der Verantwortliche einträgt oder übernimmt, erreichen den Auftragsverarbeiter über den Verantwortlichen (Art. 14 DSGVO); der Verantwortliche entscheidet, wessen Daten er einträgt, und ist für die Rechtsgrundlage verantwortlich. Die Zustimmung zu den Mitgliedsbedingungen und die Einwilligung in Werbung kann nur das Mitglied selbst erteilen, nie der Verantwortliche stellvertretend für das Mitglied.

3.1 Pflichten des Verantwortlichen bei selbst definierten Feldern

Da der Verantwortliche den Wortlaut der Aufnahme- und Zusatzfragen bestimmt, ist er dafür verantwortlich, dass:
- nur Daten erhoben werden, die für den angegebenen Zweck erforderlich sind (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO);
- eine gültige Rechtsgrundlage besteht — bei besonderen Kategorien die ausdrückliche Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO. StudioBook stellt den Einwilligungsmechanismus bereit und protokolliert jede Einwilligung mit dem angezeigten Wortlaut;
- über diese Felder keine Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) erhoben werden.

StudioBook prüft und bewertet den Inhalt dieser Felder nicht und verwendet ihn auch nicht anderweitig.

3.2 Übernahme aus einem bisherigen Buchungssystem

Beauftragt der Verantwortliche den Auftragsverarbeiter in Textform, seine Kundenliste aus einem bisherigen Buchungssystem zu übernehmen, gilt Folgendes:

• Erst nach Inkrafttreten dieses AVV. Der Auftragsverarbeiter nimmt keinen Export mit personenbezogenen Daten entgegen, bevor der Verantwortliche diesem AVV zugestimmt hat.
• Übermittlung. Der Verantwortliche legt seine Exportdateien in einem Google-Drive-Ordner ab, den der Auftragsverarbeiter allein für diesen Verantwortlichen einrichtet und nur für die vom Verantwortlichen benannten Personen freigibt, nie über einen öffentlichen Link.
• Überführung. Der Auftragsverarbeiter überführt die Dateien in die StudioBook-Daten des Verantwortlichen, setzt dabei auf eigene Weisung ein KI-Werkzeug ein (Anthropic, siehe § 6) und verwendet die Dateien ausschließlich für diese Übernahme.
• Umfang. Übernommen werden nur die in § 3 genannten Kategorien. Nicht übernommen werden: besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (sie erfordern die in StudioBook protokollierte Einwilligung des Mitglieds, § 3.1), Karten- oder Bankdaten sowie Einwilligungen in Werbung.
• Löschung. Der Auftragsverarbeiter löscht die Exportdateien und etwaige Arbeitskopien spätestens 14 Tage nach dem Import und bestätigt die Löschung auf Anfrage.

3.3 Das Buchungspanel auf der Website des Verantwortlichen

Bindet der Verantwortliche das Buchungspanel auf seiner eigenen Website ein, teilt der Auftragsverarbeiter dieser Seite — und nur ihr, im Browser der besuchenden Person — mit, wenn das Panel geöffnet wird (Kennung des Studios und geöffnete Seite) und wenn im Panel eine Buchung erfolgt oder ein Bezahlvorgang beginnt: die Art des Angebots (zum Beispiel Probestunde, Vertrag, Einzelstunde, Gutschein), den Betrag und eine technische Referenz (Buchungs-ID oder ID der Stripe-Checkout-Sitzung). Namen, Kontakt- oder Zahlungsdaten sind nicht enthalten. Der Auftragsverarbeiter setzt dafür keine Cookies, speichert nichts auf dem Endgerät, lädt kein Tracking Dritter und übermittelt nichts an Werbe- oder Analyseanbieter. Ob und wie die Website des Verantwortlichen dieses Signal nutzt (etwa für eigene Statistik oder Werbemessung, soweit erforderlich mit Einwilligung der besuchenden Person), liegt in der eigenen Verantwortung des Verantwortlichen für seine Website.

4. Kategorien betroffener Personen

• Mitglieder und Kund:innen des Verantwortlichen, unabhängig davon, ob sie sich selbst registriert haben oder vom Verantwortlichen eingetragen wurden
• Personal und Trainer:innen, die der Verantwortliche Kursen zuweist
• Eingeladene Begleitpersonen, die ein Mitglied zu seiner eigenen Buchung hinzufügt
• Minderjährige, über die ein Erziehungsberechtigter Angaben macht oder für die er ein Kinderprofil anlegt; alle diese Angaben macht der Erziehungsberechtigte, der auch in sie einwilligt

5. Pflichten des Auftragsverarbeiters

5.1 Verarbeitung nach Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf Grundlage dokumentierter Weisungen des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland —, es sei denn, er ist durch Unionsrecht oder das Recht des Mitgliedstaats dazu verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5.3 Sicherheitsmaßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen sind im Anhang (Technische und organisatorische Maßnahmen) dieses AVV ausführlich beschrieben.

5.4 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung der in Abschnitt 6 dieses AVV genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung bezüglich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit, innerhalb von 14 Tagen gegen solche Änderungen Einspruch zu erheben. Erhebt der Verantwortliche aus berechtigten Gründen Einspruch, werden die Parteien in gutem Glauben verhandeln, um eine Lösung zu finden. Wird keine Lösung gefunden, kann der Verantwortliche den Dienstleistungsvertrag kündigen.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind. Der Auftragsverarbeiter haftet dem Verantwortlichen gegenüber in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

5.5 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht, Anträge auf Ausübung der in Kapitel III DSGVO genannten Rechte der betroffenen Person zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

5.6 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Meldung enthält:
- Eine Beschreibung der Art der Datenschutzverletzung
- Die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze
- Die wahrscheinlichen Folgen der Verletzung
- Die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung

5.7 Datenschutz-Folgenabschätzung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Datenschutz-Folgenabschätzung und bei vorherigen Konsultationen mit der Aufsichtsbehörde (Art. 35–36 DSGVO), wobei die Art der Verarbeitung und die dem Auftragsverarbeiter zur Verfügung stehenden Informationen berücksichtigt werden.

5.8 Löschung oder Rückgabe der Daten

Nach Beendigung des Dienstleistungsvertrags löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück und löscht vorhandene Kopien, es sei denn, nach Unionsrecht oder dem Recht des Mitgliedstaats besteht eine Pflicht zur Speicherung der Daten. Wenn der Verantwortliche sein Konto löscht, werden alle personenbezogenen Daten sofort und dauerhaft entfernt.

Die Aufbewahrungsfristen sind in unserer Datenschutzerklärung aufgeführt.

5.9 Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in Art. 28 DSGVO festgelegten Pflichten nachzuweisen, und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

5.10 Beantwortung von Fragen des Verantwortlichen zu seinen eigenen Daten

Stellt der Verantwortliche dem Auftragsverarbeiter eine Frage zu seinen eigenen Daten in StudioBook — etwa welche Mitglieder Credits halten, die in diesem Monat verfallen, oder wer an einem bestimmten Kurs teilgenommen hat —, darf der Auftragsverarbeiter die Daten dieses Verantwortlichen abfragen, um sie zu beantworten, und setzt dabei auf eigene Weisung ein KI-Werkzeug ein (Anthropic, siehe § 6). Abgefragt werden nur die Daten des fragenden Verantwortlichen, die Antwort geht nur an diesen Verantwortlichen, und es wird nichts über das zur Beantwortung Erforderliche hinaus aufbewahrt.

6. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

7. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten wird der Auftragsverarbeiter:
- Den Verantwortlichen innerhalb von 24 Stunden nach Bekanntwerden der Verletzung benachrichtigen
- Alle nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen bereitstellen
- Mit dem Verantwortlichen bei der Untersuchung und Behebung der Verletzung zusammenarbeiten
- Den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen unterstützen

8. Internationale Datenübermittlungen

Soweit personenbezogene Daten an Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden:
- EU-Standardvertragsklauseln (SCCs): bestehen mit allen Unterauftragsverarbeitern außerhalb der EU
- EU-US Data Privacy Framework: Betroffene Unterauftragsverarbeiter (Stripe, Resend, Google) sind unter dem EU-US Data Privacy Framework zertifiziert
- Der Auftragsverarbeiter stellt sicher, dass jede Übermittlung den Anforderungen des Kapitels V DSGVO entspricht

9. Technische und organisatorische Maßnahmen (Anhang)

Der Auftragsverarbeiter trifft folgende Maßnahmen gemäß Art. 32 DSGVO:

9.1 Zugriffskontrolle

• Row Level Security (RLS) Richtlinien auf allen Datenbanktabellen
• Mandantentrennung durch studio_id — jedes Studio kann nur auf seine eigenen Daten zugreifen
• Rollenbasierte Zugriffskontrolle (Studioinhaber, Kursleiter, Mitglied)
• JWT-basierte Authentifizierungstoken mit Ablaufzeit

9.2 Verschlüsselung

• Bei der Übertragung: Alle Daten werden über TLS 1.2+ (nur HTTPS) übertragen
• Im Ruhezustand: AES-256-Verschlüsselung über die Supabase/AWS-Infrastruktur
• Keine unverschlüsselte Datenspeicherung oder -übertragung

9.3 Authentifizierung

• Bcrypt-Passwort-Hashing mit Salting
• OAuth 2.0 über Google
• JWT-Token für die Sitzungsverwaltung
• Sichere Passwort-Zurücksetzung per E-Mail-Verifizierung

9.4 Verfügbarkeit und Belastbarkeit

• Verwaltete Datenbank-Backups über Supabase
• Point-in-Time-Recovery-Funktionalität
• Gehostet auf AWS-EU-Infrastruktur mit Redundanz

9.5 Datentrennung

• Logische Mandantenarchitektur mit strikter studio_id-Isolierung
• Die Daten jedes Studios sind logisch von denen anderer Studios getrennt
• Kein studioübergreifender Datenzugriff über die Anwendungsebene möglich

9.6 Eingabekontrolle

• Audit-Logging über die notification_logs-Tabelle
• Alle Buchungs-, Stornierungs- und Zahlungsereignisse werden mit Zeitstempeln protokolliert
• Protokollierung der transaktionalen E-Mail-Zustellung

9.7 Weitergabekontrolle

• Ausschließlich HTTPS-Kommunikation (kein HTTP-Fallback)
• CORS-Einschränkungen zur Begrenzung des API-Zugriffs auf autorisierte Quellen
• API-Authentifizierung für alle Datenendpunkte erforderlich

10. Haftung

Der Auftragsverarbeiter haftet für Schäden, die durch eine nicht diesem AVV oder den speziell an Auftragsverarbeiter gerichteten Pflichten der DSGVO entsprechende Verarbeitung verursacht werden. Der Auftragsverarbeiter haftet auch, wenn ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nachkommt.

11. Laufzeit und Beendigung

Dieser AVV gilt für die gesamte Dauer des Dienstleistungsvertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Er kann nicht separat vom Dienstleistungsvertrag gekündigt werden. Nach Beendigung bestehen die Pflichten bezüglich Datenlöschung/-rückgabe (Abschnitt 5.8) und Vertraulichkeit (Abschnitt 5.2) fort.

12. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Für Kaufleute ist ausschließlicher Gerichtsstand Köln. Für Verbraucher gelten die gesetzlichen Regelungen zum Gerichtsstand.

13. Kontakt

Für Fragen zu diesem AVV oder zum Datenschutz:

Marcel Jurna
Am Glockenberg 52, 51515 Kürten, Deutschland
E-Mail: hello@studiobook.app
Telefon: +49 1525 3619145