Auftragsverarbeitungsvertrag (AVV)

Zuletzt aktualisiert: März 2026

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Allgemeinen Geschäftsbedingungen zwischen dem Studioinhaber ("Verantwortlicher") und StudioBook ("Auftragsverarbeiter") und regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

1. Geltungsbereich und Parteien

Dieser AVV gilt zwischen:
- Verantwortlicher: Der Studioinhaber, der StudioBook zur Verwaltung seines Studios, seiner Kurse und Mitgliederbuchungen nutzt.
- Auftragsverarbeiter: StudioBook, betrieben von Marcel Jurna, Am Glockenberg 52, 51515 Kürten, Deutschland. Kontakt: hello@studiobook.app, +49 1525 3619145.

Der Verantwortliche legt die Zwecke und Mittel der Verarbeitung personenbezogener Daten fest. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen und gemäß dessen dokumentierten Weisungen.

2. Gegenstand und Dauer

Der Auftragsverarbeiter stellt eine cloudbasierte Buchungs- und Studiomanagement-Plattform bereit. Im Rahmen dieser Dienstleistung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

Dieser AVV gilt für die gesamte Dauer des Dienstleistungsvertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Er endet automatisch mit Beendigung des Dienstleistungsvertrags und nach Löschung oder Rückgabe aller personenbezogenen Daten.

3. Arten der verarbeiteten personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:
- Namen der Mitglieder/Kunden
- E-Mail-Adressen der Mitglieder/Kunden
- Buchungshistorie (gebuchte Kurse, Stornierungen, Wartelisteneinträge)
- Anwesenheitsaufzeichnungen
- Nutzung von Kreditpaketen und Mitgliedschaften
- Zahlungsreferenzen (Stripe-Kunden-/Transaktions-IDs — keine Kartennummern oder Bankdaten)
- Kontoerstellungsmethode (E-Mail, Google OAuth)

4. Kategorien betroffener Personen

• Studio-Mitglieder und Kunden: Personen, die Kurse buchen, Credits oder Mitgliedschaften erwerben oder anderweitig mit der Buchungsseite des Studios interagieren.
• Studio-Mitarbeiter und Kursleiter: Personen, die vom Verantwortlichen Kursen zugewiesen werden.

5. Pflichten des Auftragsverarbeiters

5.1 Verarbeitung nach Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf Grundlage dokumentierter Weisungen des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland —, es sei denn, er ist durch Unionsrecht oder das Recht des Mitgliedstaats dazu verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5.3 Sicherheitsmaßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen sind im Anhang (Technische und organisatorische Maßnahmen) dieses AVV ausführlich beschrieben.

5.4 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung der in Abschnitt 6 dieses AVV genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung bezüglich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit, innerhalb von 14 Tagen gegen solche Änderungen Einspruch zu erheben. Erhebt der Verantwortliche aus berechtigten Gründen Einspruch, werden die Parteien in gutem Glauben verhandeln, um eine Lösung zu finden. Wird keine Lösung gefunden, kann der Verantwortliche den Dienstleistungsvertrag kündigen.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind. Der Auftragsverarbeiter haftet dem Verantwortlichen gegenüber in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

5.5 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht, Anträge auf Ausübung der in Kapitel III DSGVO genannten Rechte der betroffenen Person zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

5.6 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Meldung enthält:
- Eine Beschreibung der Art der Datenschutzverletzung
- Die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze
- Die wahrscheinlichen Folgen der Verletzung
- Die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung

5.7 Datenschutz-Folgenabschätzung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Datenschutz-Folgenabschätzung und bei vorherigen Konsultationen mit der Aufsichtsbehörde (Art. 35–36 DSGVO), wobei die Art der Verarbeitung und die dem Auftragsverarbeiter zur Verfügung stehenden Informationen berücksichtigt werden.

5.8 Löschung oder Rückgabe der Daten

Nach Beendigung des Dienstleistungsvertrags löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück und löscht vorhandene Kopien, es sei denn, nach Unionsrecht oder dem Recht des Mitgliedstaats besteht eine Pflicht zur Speicherung der Daten. Wenn der Verantwortliche sein Konto löscht, werden alle personenbezogenen Daten sofort und dauerhaft entfernt.

Die Aufbewahrungsfristen sind in unserer Datenschutzerklärung aufgeführt.

5.9 Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in Art. 28 DSGVO festgelegten Pflichten nachzuweisen, und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

6. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

7. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten wird der Auftragsverarbeiter:
- Den Verantwortlichen innerhalb von 24 Stunden nach Bekanntwerden der Verletzung benachrichtigen
- Alle nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen bereitstellen
- Mit dem Verantwortlichen bei der Untersuchung und Behebung der Verletzung zusammenarbeiten
- Den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen unterstützen

8. Internationale Datenübermittlungen

Soweit personenbezogene Daten an Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden:
- EU-Standardvertragsklauseln (SCCs): bestehen mit allen Unterauftragsverarbeitern außerhalb der EU
- EU-US Data Privacy Framework: Betroffene Unterauftragsverarbeiter (Stripe, Resend, Google) sind unter dem EU-US Data Privacy Framework zertifiziert
- Der Auftragsverarbeiter stellt sicher, dass jede Übermittlung den Anforderungen des Kapitels V DSGVO entspricht

9. Technische und organisatorische Maßnahmen (Anhang)

Der Auftragsverarbeiter trifft folgende Maßnahmen gemäß Art. 32 DSGVO:

9.1 Zugriffskontrolle

• Row Level Security (RLS) Richtlinien auf allen Datenbanktabellen
• Mandantentrennung durch studio_id — jedes Studio kann nur auf seine eigenen Daten zugreifen
• Rollenbasierte Zugriffskontrolle (Studioinhaber, Kursleiter, Mitglied)
• JWT-basierte Authentifizierungstoken mit Ablaufzeit

9.2 Verschlüsselung

• Bei der Übertragung: Alle Daten werden über TLS 1.2+ (nur HTTPS) übertragen
• Im Ruhezustand: AES-256-Verschlüsselung über die Supabase/AWS-Infrastruktur
• Keine unverschlüsselte Datenspeicherung oder -übertragung

9.3 Authentifizierung

• Bcrypt-Passwort-Hashing mit Salting
• OAuth 2.0 über Google
• JWT-Token für die Sitzungsverwaltung
• Sichere Passwort-Zurücksetzung per E-Mail-Verifizierung

9.4 Verfügbarkeit und Belastbarkeit

• Verwaltete Datenbank-Backups über Supabase
• Point-in-Time-Recovery-Funktionalität
• Gehostet auf AWS-EU-Infrastruktur mit Redundanz

9.5 Datentrennung

• Logische Mandantenarchitektur mit strikter studio_id-Isolierung
• Die Daten jedes Studios sind logisch von denen anderer Studios getrennt
• Kein studioübergreifender Datenzugriff über die Anwendungsebene möglich

9.6 Eingabekontrolle

• Audit-Logging über die notification_logs-Tabelle
• Alle Buchungs-, Stornierungs- und Zahlungsereignisse werden mit Zeitstempeln protokolliert
• Protokollierung der transaktionalen E-Mail-Zustellung

9.7 Weitergabekontrolle

• Ausschließlich HTTPS-Kommunikation (kein HTTP-Fallback)
• CORS-Einschränkungen zur Begrenzung des API-Zugriffs auf autorisierte Quellen
• API-Authentifizierung für alle Datenendpunkte erforderlich

10. Haftung

Der Auftragsverarbeiter haftet für Schäden, die durch eine nicht diesem AVV oder den speziell an Auftragsverarbeiter gerichteten Pflichten der DSGVO entsprechende Verarbeitung verursacht werden. Der Auftragsverarbeiter haftet auch, wenn ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nachkommt.

11. Laufzeit und Beendigung

Dieser AVV gilt für die gesamte Dauer des Dienstleistungsvertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Er kann nicht separat vom Dienstleistungsvertrag gekündigt werden. Nach Beendigung bestehen die Pflichten bezüglich Datenlöschung/-rückgabe (Abschnitt 5.8) und Vertraulichkeit (Abschnitt 5.2) fort.

12. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Für Kaufleute ist ausschließlicher Gerichtsstand Köln. Für Verbraucher gelten die gesetzlichen Regelungen zum Gerichtsstand.

13. Kontakt

Für Fragen zu diesem AVV oder zum Datenschutz:

Marcel Jurna
Am Glockenberg 52, 51515 Kürten, Deutschland
E-Mail: hello@studiobook.app
Telefon: +49 1525 3619145