Vereinbarung zur Auftragsverarbeitung.
Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO ist Bestandteil des Vertrags zwischen dem Kunden und dem Anbieter und wird mit der Registrierung eines Bookoro-Kontos geschlossen.
Vertragsparteien
Auftragsverarbeiter: Marco Sönnichsen — maso.studio (Einzelunternehmen), Deezbülleck 3, 25899 Galmsbüll, Deutschland, E-Mail marco@maso.studio, Telefon +49 177 6275459.
Verantwortlicher: der Kunde („Veranstalter"), identifiziert durch die in seinem Bookoro-Konto hinterlegten Stamm- und Rechnungsdaten.
1. Gegenstand, Art, Zweck und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen zum Betrieb des Buchungsdienstes Bookoro (Annahme und Verwaltung von Workshop-Buchungen, Wartelisten, Bestätigungs-E-Mails, Abwicklung von Teilnehmerzahlungen). Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anzeigen, Übermitteln an genehmigte Subunternehmer, Löschen. Dauer: für die Laufzeit des Hauptvertrags; ergänzend gilt Ziffer 9.
2. Betroffene Personen und Datenarten
Betroffene Personen: Endkundinnen und Endkunden (Teilnehmende) des Verantwortlichen sowie dessen Ansprechpartner.
- Stamm-/Kontaktdaten: Name, E-Mail-Adresse
- Buchungsdaten: Workshop, Termin, Anzahl Erwachsene/Kinder, Status
- Zahlungsbezug: Zahlungsstatus (Kartendaten ausschließlich bei Stripe)
- Nutzungs-/Zugangsdaten des Verantwortlichen: Login-, Sitzungsdaten
Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand.
3. Weisungsrecht
Die Verarbeitung erfolgt ausschließlich nach dokumentierten Weisungen des Verantwortlichen, außer bei gesetzlicher Verpflichtung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
4. Vertraulichkeit
Der Auftragsverarbeiter ist als Einzelunternehmer ohne Beschäftigte selbst zur Vertraulichkeit verpflichtet; künftige Beschäftigte werden nach Art. 28 Abs. 3 lit. b, Art. 29 DSGVO zur Vertraulichkeit verpflichtet. Die Pflicht besteht nach Vertragsende fort.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung (TLS/HTTPS) für alle Zugriffe.
- Mandantentrennung auf Datenbankebene (Row Level Security): jeder Veranstalter kann ausschließlich seine eigenen Daten sehen und ändern.
- Zugriff auf produktive Systeme ausschließlich durch den Inhaber; Authentifizierung über gehärtete Zugangsdaten.
- Zahlungsdaten werden nicht selbst gespeichert, sondern ausschließlich bei Stripe verarbeitet.
- Serverstandorte in der EU bzw. in Ländern mit Angemessenheitsbeschluss; regelmäßige Backups über die eingesetzte Infrastruktur.
- Sicherheits-Header und Schutz gegen Clickjacking auf Anwendungsebene.
6. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Änderungen (Hinzuziehung/Ersetzung) werden rechtzeitig in Textform angekündigt; ein Widerspruch aus wichtigem datenschutzrechtlichem Grund ist innerhalb von 14 Tagen möglich. Aktueller Stand:
| Subunternehmer | Leistung | Sitz / Garantie |
|---|---|---|
| Supabase, Inc. | Datenbank, Auth, Speicher | EU / UK — Angemessenheitsbeschluss (Art. 45) |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung | IE / USA — SCC, DPF |
| Resend, Inc. | E-Mail-Versand | USA — SCC, DPF |
| Vercel Inc. | Hosting (EU/Frankfurt) | USA — SCC, DPF |
7. Unterstützung und Betroffenenrechte
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO. Direkt an ihn gerichtete Anfragen betroffener Personen leitet er unverzüglich an den Verantwortlichen weiter.
8. Meldung von Datenschutzverletzungen
Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden, einschließlich der verfügbaren Angaben zu Art, Umfang, Folgen und getroffenen Maßnahmen (Unterstützung nach Art. 33, 34 DSGVO).
9. Löschung und Rückgabe
Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Daten oder gibt sie zurück und vernichtet vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht.
10. Nachweise und Kontrollrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen mit angemessener Ankündigung und ohne unverhältnismäßige Betriebsstörung. Der Nachweis kann auch durch geeignete Zertifizierungen oder Berichte erbracht werden.
11. Haftung
Die Haftung richtet sich nach Art. 82 DSGVO; im Innenverhältnis gelten ergänzend die Regelungen des Hauptvertrags, soweit mit zwingendem Recht vereinbar.
12. Schlussbestimmungen
In Datenschutzfragen geht diese Vereinbarung dem Hauptvertrag vor. Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.
Stand: August 2026