Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

gemäß Art. 28 DSGVO — calendar.ck71 Stand: 30. Juli 2026

zwischen

Carsten Krause, Am Kiefernsteg 2, 14547 Beelitz — nachfolgend „Auftragsverarbeiter" —

und

dem Nutzer des Dienstes calendar.ck71 gemäß den Angaben in seinem Nutzerkonto — nachfolgend „Verantwortlicher" —

Präambel

Der Auftragsverarbeiter stellt dem Verantwortlichen den Dienst calendar.ck71 zur gemeinsamen Verwaltung von Terminen und Kalendern zur Verfügung. Der Verantwortliche verarbeitet dabei personenbezogene Daten Dritter, insbesondere von Kalendermitgliedern, Terminteilnehmern und Personen, die über eine öffentliche Buchungsseite Termine anfragen. Für diese Verarbeitung ist der Verantwortliche datenschutzrechtlich verantwortlich; der Auftragsverarbeiter wird insoweit weisungsgebunden tätig.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten aus dem zwischen den Parteien bestehenden Nutzungsvertrag (Hauptvertrag) und geht diesem in Fragen des Datenschutzes vor.

§ 1 Gegenstand, Dauer und Beendigung

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung des Dienstes calendar.ck71 nach Maßgabe des Hauptvertrags.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

(3) Eine Kündigung dieses Vertrags allein, ohne gleichzeitige Beendigung des Hauptvertrags, ist ausgeschlossen.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Art, Umfang und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt. Eine Verarbeitung in einem Drittland erfolgt nur nach vorheriger Information des Verantwortlichen und nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Funktionen des Dienstes durch den Verantwortlichen und die von ihm berechtigten Personen gilt als Weisung im Sinne dieses Vertrags. Ergänzende Einzelweisungen sind in Textform an carsten@ck71.de zu richten.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu den in Anlage 1 genannten Zwecken. Eine Nutzung der Daten für eigene Zwecke, insbesondere zu Werbezwecken oder zum Training von Systemen künstlicher Intelligenz, findet nicht statt.

(2) Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten sowie bei Datenschutz-Folgenabschätzungen, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(5) Der Auftragsverarbeiter benennt carsten@ck71.de als Ansprechpartner für Datenschutzfragen.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragslaufzeit ein.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie anzupassen, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorher in Textform über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter. Der Verantwortliche kann einer Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.

(3) Widerspricht der Verantwortliche und kann keine einvernehmliche Lösung gefunden werden, ist er berechtigt, den Hauptvertrag zum Zeitpunkt des geplanten Wechsels außerordentlich zu kündigen. Bereits im Voraus gezahlte Entgelte werden anteilig erstattet.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das den Anforderungen dieses Vertrags entspricht.

(5) Dienstleistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt, insbesondere Telekommunikationsleistungen und Wartungsleistungen ohne Bezug zu den Auftragsdaten, gelten nicht als Unterauftragsverarbeitung. Die Zahlungsabwicklung für den Hauptvertrag betrifft die Vertragsdaten des Verantwortlichen selbst und ist nicht Gegenstand dieses Vertrags.

§ 7 Rechte betroffener Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

(2) Der Dienst stellt hierfür eine Exportfunktion sowie eine Funktion zur Löschung des Kontos einschließlich der zugehörigen Daten bereit.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, der Verantwortliche weist ihn hierzu an.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft.

(2) Die Mitteilung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

(3) Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen. Die Prüfung erfolgt vorrangig durch Einholung von Auskünften und Einsichtnahme in vorhandene Nachweise und Dokumentationen.

(3) Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung mit einer Frist von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Auftragsverarbeiter kann die Kontrolle von der Unterzeichnung einer Vertraulichkeitsvereinbarung abhängig machen, soweit Betriebs- und Geschäftsgeheimnisse oder Daten anderer Kunden betroffen sind.

(4) Für den Aufwand von Kontrollen, die über eine jährliche Prüfung hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die Auftragsdaten innerhalb von 30 Tagen, sofern der Verantwortliche nicht ausdrücklich die Rückgabe verlangt.

(2) Der Verantwortliche kann seine Daten während der Vertragslaufzeit und innerhalb der Frist nach Absatz 1 jederzeit selbst über die Exportfunktion des Dienstes abrufen.

(3) Daten in Sicherungskopien werden im Rahmen der regulären Rotation der Sicherungen gelöscht. Die Aufbewahrungsdauer der Sicherungen beträgt 30 Tage.

(4) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, dürfen über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen aufbewahrt werden.

§ 11 Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand und Zweck

Bereitstellung einer webbasierten Anwendung zur gemeinsamen Verwaltung von Terminen und Kalendern einschließlich Mitgliederverwaltung, Freigabelinks, Erinnerungsbenachrichtigungen, Dateianhängen und — in den kostenpflichtigen Versionen — öffentlicher Buchungsseiten.

Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an vom Verantwortlichen bestimmte Empfänger, Einschränken, Löschen und Vernichten.

Kategorien betroffener Personen

• Nutzer, die der Verantwortliche zu seinen Kalendern hinzufügt (Mitglieder)
• Personen, die über Freigabelinks lesend auf Kalender zugreifen
• Personen, die in Terminen benannt werden (Teilnehmer)
• Personen, die über eine öffentliche Buchungsseite Termine anfragen oder buchen
• Personen, deren Daten der Verantwortliche in Terminbeschreibungen oder Dateianhängen einstellt

Arten personenbezogener Daten

• Kontaktdaten: Name, E-Mail-Adresse
• Kontodaten: Nutzerkennung, Profilangaben, Rolle und Berechtigungen
• Termindaten: Titel, Beschreibung, Ort, Zeitpunkt, Wiederholungsregeln, Zuordnung zu Unterkalendern, Status
• Buchungsdaten: Name, E-Mail-Adresse und Angaben der buchenden Person, gewählter Zeitpunkt
• Inhalte von Dateianhängen, soweit der Verantwortliche personenbezogene Daten darin einstellt
• Protokolldaten: Zeitpunkte von Zugriffen und Änderungen, technische Verbindungsdaten

Besondere Kategorien personenbezogener Daten

Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass er solche Daten nur einstellt, wenn er hierfür eine tragfähige Rechtsgrundlage hat, und trägt hierfür die alleinige Verantwortung.

Anlage 2 — Technische und organisatorische Maßnahmen

Vertraulichkeit

Zutrittskontrolle. Die Anwendung wird auf einem virtuellen Server der netcup GmbH im Rechenzentrum Nürnberg betrieben. Der physische Zutrittsschutz wird durch den Rechenzentrumsbetreiber gewährleistet (Zutrittskontrollsysteme, Videoüberwachung, Alarmanlagen).

Zugangskontrolle. Administrativer Zugang zum Server ausschließlich über SSH mit Schlüsselauthentifizierung; Passwortanmeldung ist deaktiviert. Verwaltungsoberflächen sind nur über gesicherte Verbindungen erreichbar. Nutzerkonten der Anwendung sind durch Passwörter geschützt, die ausschließlich als Hashwert gespeichert werden. Zusätzlich steht allen Nutzerkonten eine Zwei-Faktor-Authentifizierung über zeitbasierte Einmal-Codes (TOTP) zur Verfügung; sie ist freiwillig und in allen Tarifen enthalten. Der Prüfschritt ist gegen wiederholtes Durchprobieren begrenzt. Die Administrationszugänge zur Server- und Backend-Verwaltung sind zusätzlich durch Zwei-Faktor-Authentifizierung geschützt.

Zugriffskontrolle. Die Zugriffsrechte werden auf Dokumentebene in der Datenhaltung durchgesetzt. Rollen (Administrator, Bearbeiter, Betrachter) steuern den Funktionsumfang je Kalender. Sicherheitsrelevante Vorgänge — Rollenänderungen, Einladungen, Prüfung von Freigabetoken, Anlage von Kalendern und Mitgliedern — laufen ausschließlich über serverseitige Routen; eine ausschließlich clientseitige Rechteprüfung findet nicht statt. Freigabelinks verwenden Token mit ausreichender Entropie und können zusätzlich mit einem Passwort geschützt werden.

Trennungskontrolle. Daten verschiedener Verantwortlicher werden logisch getrennt über Berechtigungen auf Dokumentebene. Test- und Produktivumgebungen sind getrennt.

Pseudonymisierung. Interne Verweise erfolgen über technische Kennungen. Eine darüber hinausgehende Pseudonymisierung ist mit dem Zweck des Dienstes nicht vereinbar, da Termindaten dem Nutzer zugeordnet dargestellt werden müssen.

Integrität

Weitergabekontrolle. Sämtliche Verbindungen zwischen Endgerät und Server sind transportverschlüsselt (TLS). Zertifikate werden automatisiert bezogen und erneuert. Der E-Mail-Versand erfolgt über ein SMTP-Relay mit Transportverschlüsselung.

Eingabekontrolle. Erstellung und Änderung von Datensätzen werden mit Zeitstempeln erfasst. Serverseitige Zugriffe werden protokolliert.

Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle. Regelmäßige Sicherung der Datenbestände. Die Sicherungen werden verschlüsselt über ein privates Netzwerk auf ein räumlich getrenntes Sicherungssystem übertragen. Die Aktualität der Sicherungen wird automatisiert überwacht; Abweichungen lösen eine Benachrichtigung aus. Die Erreichbarkeit der Dienste wird laufend überwacht.

Belastbarkeit. Öffentlich erreichbare Schnittstellen, insbesondere die Buchungsendpunkte, sind gegen missbräuchliche Nutzung durch Frequenzbegrenzung geschützt. Sicherheitsaktualisierungen des Betriebssystems und der eingesetzten Komponenten werden regelmäßig eingespielt.

Wiederherstellbarkeit. Wiederherstellungsverfahren aus den Sicherungen sind dokumentiert.

Verfahren zur Überprüfung und Bewertung

Auftragskontrolle. Unterauftragsverarbeiter werden nach Anlage 3 ausgewählt und vertraglich verpflichtet.

Datenschutzfreundliche Voreinstellungen. Der Dienst bindet keine externen Analysedienste oder Werbenetzwerke ein. Schriftarten werden lokal ausgeliefert; eine Verbindung zu externen Schriftartendiensten findet nicht statt. Es werden nur die für den Betrieb erforderlichen Daten erhoben.

Vorfallsreaktion. Sicherheitsvorfälle werden dokumentiert und nach § 8 dieses Vertrags gemeldet.

Anlage 3 — Unterauftragsverarbeiter

netcup setzt seinerseits Unterauftragsverarbeiter der Anexia-Gruppe ein (Anexia Holding GmbH und Anexia Cloud Solutions GmbH, Klagenfurt/Österreich sowie Karlsruhe/Deutschland). Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt.