Auftragsverarbeitungsvertrag

Geltung. Dieser Vertrag wird zwischen der Organisation (Verantwortlicher) und der Best IT-Solutions GmbH (Auftragsverarbeiter) geschlossen. Er gilt mit der Registrierung der Organisation beziehungsweise der Nutzung von TerminWizard als Bestandteil des Nutzungsvertrags nach den AGB und ist jederzeit unter dieser Adresse abrufbar. Auf Wunsch kann er zusätzlich in Textform per E-Mail an mail@bestitgmbh.de gegengezeichnet werden. Fassung vom 17. September 2026.

1. Gegenstand, Dauer, Art und Zweck

Gegenstand ist der Betrieb von TerminWizard zur Entgegennahme und Verwaltung von Terminbuchungen, zur Ermittlung von Verfügbarkeiten und Fahrzeiten, zum Versand von Transaktionsmails sowie – nach Auswahl der Organisation – zum Kalenderabgleich. Die Verarbeitung dauert vom wirksamen Abschluss dieses Vertrags bis zur Löschung oder Rückgabe der Auftragsdaten nach Ende des Hauptvertrags.

Aktiviert die Organisation zusätzlich die optionale Verknüpfung mit FieldProof, erstreckt sich die Verarbeitung im vorgenannten Umfang auch auf die Übergabe von Buchungsdaten an FieldProof, das ebenfalls von der Best IT-Solutions GmbH betrieben wird. Die Aktivierung erfolgt durch Eingabe eines von FieldProof erzeugten Verbindungscodes im Verwaltungsbereich und gilt als dokumentierte Weisung der Organisation im Sinne von Ziffer 3.

2. Daten und betroffene Personen

Verarbeitet werden Stamm- und Kontaktdaten, Termin- und Standortdaten, Freitextangaben, Kalender-Metadaten, Kommunikations- und Nutzungsdaten der Kunden, Interessenten, Beschäftigten und sonstigen Kontaktpersonen der Organisation sowie, bei aktivierter FieldProof-Verknüpfung, die dafür an FieldProof übermittelten beziehungsweise von FieldProof empfangenen Integrationsdaten (Einzelheiten siehe Datenschutzerklärung, Abschnitt „Verknüpfung mit FieldProof“). Besondere Kategorien nach Art. 9 DSGVO sind nicht Vertragsgegenstand, sofern sie nicht vorab ausdrücklich vereinbart und angemessen abgesichert wurden.

3. Weisungen und Pflichten

• Verarbeitung nur auf dokumentierte Weisung und zur Erfüllung des Hauptvertrags.
• Hinweis an die Organisation, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt; Aussetzung bis zur Klärung ist zulässig.
• Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen und Beschränkung des Zugriffs auf das erforderliche Maß.
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen und Meldungen von Datenschutzverletzungen; Datenschutzverletzungen werden unverzüglich mit den verfügbaren Pflichtangaben gemeldet.
• Nachweis der Einhaltung durch geeignete Unterlagen; Audits nach angemessener Vorankündigung und unter Schutz anderer Kunden und der Systemsicherheit.

4. Technische und organisatorische Maßnahmen

• TLS-verschlüsselte Übertragung und verschlüsselte Speicherung von OAuth-Geheimnissen.
• Rollen- und Mandantentrennung, individuelle Konten, sichere Passwort-Hashes sowie Mehrfaktor- und Passkey-Unterstützung.
• Protokollierung sicherheitsrelevanter Änderungen, begrenzte Anmelde- und Buchungsversuche sowie regelmäßige Sicherheitsaktualisierungen.
• Verschlüsselte Backups, getrennte Sicherungskopien und geprüfte Wiederherstellungsverfahren.
• Datenminimierung, konfigurierbare Aufbewahrung, automatische Lösch- und Anonymisierungsläufe sowie dokumentierte Verfahren für Auskunft und Löschung.
• Bei aktivierter FieldProof-Verknüpfung: signierte, mandantengebundene Schnittstellenaufrufe (HMAC-Signatur über ein je Verknüpfung eigenes, gemeinsames Geheimnis) sowie Schutz gegen die Wiedereinspielung bereits verarbeiteter Aufrufe.

5. Unterauftragnehmer

Zum aktuellen Stand gehören folgende Unterauftragnehmer:

• netcup GmbH, Deutschland – Hosting, Rechenleistung und Datenspeicherung.
• Sinch Email/Mailjet, Europäische Union – Versand und Zustellprotokollierung von Transaktionsmails, nur bei aktiviertem Mailversand.
• HERE Technologies – Geocodierung und gegebenenfalls vertraglich freigegebene Fahrzeit-/Tourenberechnung, nur bei aktivierter Kartenfunktion.
• Google beziehungsweise Microsoft – vom Verantwortlichen ausgewählter Kalenderdienst, nur bei ausdrücklich verbundener Kalenderfunktion.

FieldProof ist bei aktivierter Verknüpfung kein weiterer Unterauftragnehmer im Sinne dieser Liste: FieldProof wird von derselben Gesellschaft, der Best IT-Solutions GmbH, betrieben wie TerminWizard selbst, sodass kein zusätzlicher Vertragspartner hinzutritt. Die Aktivierung der Verknüpfung ändert die vorstehende Liste der Unterauftragnehmer deshalb nicht.

Änderungen der Liste werden mindestens 14 Tage vor Einsatz mitgeteilt. Die Organisation kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können die Parteien keine zumutbare Lösung finden, kann die betroffene Funktion oder der Hauptvertrag beendet werden. Drittlandübermittlungen setzen die Anforderungen der Art. 44 ff. DSGVO voraus.

6. Löschung und Rückgabe

Nach Ende des Auftrags werden personenbezogene Auftragsdaten nach Wahl der Organisation zurückgegeben oder nach Ablauf des vertraglichen Exportfensters gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im geregelten Überschreibungszyklus gelöscht und bis dahin gegen produktive Nutzung gesperrt.

Trennt die Organisation eine aktivierte FieldProof-Verknüpfung, wird diese unabhängig von den vorstehenden Fristen sofort unwirksam: Die Zuordnung zwischen Ressourcen und Teammitgliedern sowie der Zwischenspeicher der von FieldProof gemeldeten Teammitglieder werden gelöscht, und das für die Verknüpfung genutzte gemeinsame Geheimnis wird unbrauchbar gemacht. Das Zustellprotokoll bereits übermittelter Buchungsereignisse bleibt als Nachweis der durchgeführten Datenübermittlungen erhalten und unterliegt im Übrigen den vorstehenden Regelungen dieser Ziffer 6.

7. Verantwortlichkeit und Kontakt

Die Organisation bleibt für Rechtmäßigkeit, Informationspflichten, Rechtsgrundlagen und Weisungen verantwortlich. Ansprechpartner des Auftragsverarbeiters: Best IT-Solutions GmbH, mail@bestitgmbh.de.

Fassung: 2026-09-17