Auftragsverarbeitungsvertrag (AVV)

zwischen dem Kunden (der Hundeschule) als Verantwortlichem und DPS Digital Polyglot Solutions Daniel Pawłowski, Chmielna 6a, 59-900 Zgorzelec, Polen als Auftragsverarbeiter.

Dieser Vertrag wird mit der Annahme der AGB bei der Registrierung in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO); Zeitpunkt und akzeptierte Fassung werden gespeichert. Die jeweils geltende Fassung ist jederzeit unter caniplan.de/avv abrufbar und kann über die Druckfunktion des Browsers gespeichert werden.

§ 1 Grundlage: EU-Standardvertragsklauseln

Es gelten die Standardvertragsklauseln der Europäischen Kommission für Verträge zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021, abrufbar unter eur-lex.europa.eu), wobei der Kunde Verantwortlicher und CaniPlan Auftragsverarbeiter ist. Die Anhänge der Klauseln werden durch die Anhänge I–IV dieses Vertrags ausgefüllt. Die §§ 2–6 stellen die wesentlichen Pflichten klar und ergänzen die Klauseln, ohne ihnen zu widersprechen.

§ 2 Pflichten von CaniPlan (Art. 28 Abs. 3 DSGVO)

• Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden — Weisungen sind zunächst dieser Vertrag und die Nutzung der Funktionen von CaniPlan durch den Kunden; weitere Weisungen in Textform an support@caniplan.de — es sei denn, das Recht der EU oder eines Mitgliedstaats verpflichtet uns zur Verarbeitung; dann informieren wir den Kunden vorab, soweit zulässig. Halten wir eine Weisung für rechtswidrig, informieren wir den Kunden unverzüglich.
• Zum Zugriff befugte Personen sind zur Vertraulichkeit verpflichtet.
• Wir treffen die technischen und organisatorischen Maßnahmen nach Anhang II (Art. 32 DSGVO).
• Wir unterstützen den Kunden mit geeigneten Mitteln dabei, Betroffenenanfragen (Art. 12–23 DSGVO) zu beantworten — in erster Linie durch die Export-, Korrektur- und Löschfunktionen der Software — und bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
• Datenschutzverletzungen, die die Daten des Kunden betreffen, melden wir dem Kunden ohne unangemessene Verzögerung mit den Angaben nach Art. 33 Abs. 3 DSGVO.
• Nach Vertragsende löschen wir die Daten oder geben sie zurück — nach Wahl des Kunden, Einzelheiten in § 5.
• Wir stellen dem Kunden alle Informationen zum Nachweis unserer Pflichten zur Verfügung und ermöglichen Überprüfungen nach § 6.

§ 3 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, die in Anhang IV genannten Unterauftragsverarbeiter einzusetzen. Mit jedem Unterauftragsverarbeiter bestehen Verträge, die ihm die Pflichten dieses Vertrags auferlegen; bei Übermittlungen in Drittländer gelten die in Anhang IV genannten Garantien (Kap. V DSGVO).

(2) Beabsichtigte Änderungen — Hinzufügen oder Ersetzen von Unterauftragsverarbeitern — kündigen wir dem Kunden mindestens 30 Tage vorher per E-Mail an. Der Kunde kann der Änderung innerhalb von 14 Tagen aus wichtigen, datenschutzrechtlichen Gründen in Textform widersprechen. Finden die Parteien dann keine Lösung, kann jede Partei den Nutzungsvertrag außerordentlich zum Wirksamwerden der Änderung kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

§ 4 Ort der Verarbeitung, Drittlandübermittlung

Die Verarbeitung findet in der EU statt (Anhang II). Soweit Unterauftragsverarbeiter Daten in Drittländern verarbeiten oder von dort zugreifen (USA, im Ausnahmefall Singapur), beruht dies auf dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO) bzw. den EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) samt ergänzenden Maßnahmen, wie in Anhang IV je Anbieter angegeben. Der Kunde bevollmächtigt uns, erforderliche Standardvertragsklauseln mit Unterauftragsverarbeitern auch in seinem Namen abzuschließen.

§ 5 Löschung und Rückgabe

(1) Während der Vertragslaufzeit kann der Kunde seine Daten jederzeit selbst exportieren, berichtigen und löschen.

(2) Nach Ende des Nutzungsvertrags halten wir die Daten 90 Tage zum Export bereit. Danach — oder auf Verlangen des Kunden früher — löschen wir alle personenbezogenen Daten des Kunden; Sicherungskopien werden innerhalb von weiteren 30 Tagen turnusmäßig überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Auf Verlangen bestätigen wir die Löschung in Textform.

(3) Wir dürfen Daten in anonymisierter, aggregierter Form ohne jeden Personen- und Schulbezug für Statistik und Produktverbesserung verwenden; solche Daten unterliegen nicht mehr der DSGVO.

§ 6 Nachweise und Überprüfungen

Zum Nachweis genügen zunächst aktuelle Dokumentationen, Zertifikate und Berichte (auch unserer Unterauftragsverarbeiter, z. B. SOC-2- oder ISO-27001-Nachweise der Rechenzentren). Verbleiben begründete Zweifel, kann der Kunde — höchstens einmal jährlich, mit angemessener Ankündigung, während üblicher Geschäftszeiten und ohne Störung des Betriebs — eine Überprüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen.

§ 7 KI-Assistent (optionale Funktion)

(1) CaniPlan stellt als optionale Funktion einen KI-Assistenten bereit, mit dem berechtigte Nutzer des Verantwortlichen Daten des eigenen Kontos per Text- oder Spracheingabe abfragen und — nach ausdrücklicher Bestätigung im Einzelfall — Aktionen ausführen können. Die Funktion kann vom Verantwortlichen jederzeit selbst aktiviert und deaktiviert werden (Einstellungen → Schulprofil). Bei deaktivierter Funktion findet keine Verarbeitung nach dieser Klausel statt; der Schalter ist zugleich der dauerhafte Widerspruchsweg.

(2) Zur Erbringung der Funktion setzt CaniPlan den in Anhang IV aufgeführten Unterauftragsverarbeiter Google Cloud EMEA Limited (Vertex AI) ein. Verarbeitet werden ausschließlich die für die jeweilige Anfrage erforderlichen Daten: Eingaben der Nutzer (Text, optional Sprachaufnahmen und Bilder), vom Assistenten gelesene Konto-Daten (Stammdaten von Kunden und Hunden, Termin-, Buchungs-, Rechnungs- und Notizdaten) sowie die erzeugten Antworten.

(3) Die Verarbeitung durch Google erfolgt in Rechenzentren innerhalb der EU (Google Cloud Region „EU“). Google verwendet die Daten nicht zum Training von KI-Modellen (Training Restriction der Google Cloud Service Specific Terms) und speichert sie nicht über die Bearbeitung der Anfrage hinaus; die projektweite technische Zwischenspeicherung (Caching) ist deaktiviert. Im Verdachtsfall kann Google Eingaben zur automatisierten Missbrauchskontrolle nach den Google-Cloud-Bedingungen vorübergehend (max. 90 Tage, Speicherung in der EU) protokollieren.

(4) Gesprächsverläufe werden ausschließlich in der Datenbank von CaniPlan (Anhang IV: Supabase, EU) gespeichert und können von den Nutzern des Verantwortlichen jederzeit eingesehen und gelöscht werden. Grundlage der Unterbeauftragung ist das Cloud Data Processing Addendum von Google; für etwaige US-Übermittlungen gilt § 4.

§ 8 Schweiz

Für Kunden in der Schweiz gilt dieser Vertrag zugleich als Vereinbarung nach Art. 9 revDSG. Verweise auf die DSGVO gelten sinngemäß als Verweise auf das revDSG, Verweise auf die Aufsichtsbehörde als Verweise auf den EDÖB; Drittlandübermittlungen stützen sich auf die vom EDÖB anerkannten Instrumente (Swiss-U.S. Data Privacy Framework, Standarddatenschutzklauseln mit Schweiz-Anpassungen).

Anhang I — Parteien und Verarbeitung

Parteien

Verantwortlicher: der Kunde (Name und Anschrift wie im Konto hinterlegt). Auftragsverarbeiter: DPS Digital Polyglot Solutions Daniel Pawłowski, Chmielna 6a, 59-900 Zgorzelec, Polen, support@caniplan.de.

Gegenstand und Dauer

Betrieb der Software CaniPlan für den Kunden; für die Dauer des Nutzungsvertrags zuzüglich 90 Tage Bereithaltung zum Export, danach Löschung (§ 5).

Art und Zweck der Verarbeitung

Speicherung, Organisation, Anzeige, Auswertung, Versand von E-Mails, Erstellung von Rechnungsdokumenten, Beantwortung von Anfragen über den KI-Assistenten — ausschließlich zur Verwaltung von Kursen, Kunden, Buchungen, Anwesenheit, Kommunikation und Abrechnung des Kunden.

Kategorien betroffener Personen

• Kunden der Hundeschule (Hundehalter) und Interessenten
• Mitarbeiter und Trainer der Hundeschule

Kategorien personenbezogener Daten

• Stammdaten: Name, Anschrift, E-Mail, Telefon, Sprache, Tags
• Hundedaten: Name, Rasse, Geburtsdatum, Hinweise (dem Halter zugeordnet)
• Buchungen, Kurs- und Anwesenheitsdaten, Karten und Abonnements
• Rechnungs-, Zahlungs- und Mahndaten der Hundeschule gegenüber ihren Kunden
• Freitextnotizen und Kommunikationsverlauf (E-Mails, Anhänge)

Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen; der Kunde stellt sicher, dass Freitextfelder keine solchen Daten enthalten (§ 9 Abs. 3 AGB).

Anhang II — Technische und organisatorische Maßnahmen

• Mandantentrennung auf Datenbankebene (Row Level Security je Organisation), kein mandantenübergreifender Zugriff.
• Verschlüsselung in Transit (TLS) und at rest (Verschlüsselung der Datenbank und des Dateispeichers).
• Hosting in der EU (Datenbank: AWS eu-west-3, Paris; Anwendung: Region Frankfurt); tägliche Backups.
• Zugang nur über persönliche Konten mit gehashten Passwörtern, rollenbasierte Rechte (Inhaber, Admin, Trainer), Einladung statt offener Registrierung ins Team.
• Administrativer Zugriff auf Produktionssysteme nur durch den Anbieter, mit Zwei-Faktor-Authentifizierung bei allen Dienstleisterkonten.
• Schutz öffentlicher Formulare vor automatisiertem Missbrauch (Bot-Erkennung).
• Protokollierung von Versand- und Systemereignissen; Fehlerprotokollierung ohne gezielte Erfassung personenbezogener Daten.
• Export durch den Kunden jederzeit; Löschung nach § 5.

Anhang III — Weisungen

Weisungen sind dieser Vertrag, die Nutzung der Funktionen der Software durch den Kunden sowie zusätzliche Weisungen in Textform an support@caniplan.de.

Anhang IV — Unterauftragsverarbeiter

Stand: siehe „Stand“-Datum dieser Seite. Änderungen werden nach § 3 Abs. 2 mindestens 30 Tage vorher per E-Mail angekündigt.