Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Fassung vom 2. Oktober 2026

zwischen

dem jeweiligen Kunden des Dienstes BookinX, dessen Name bzw. Firma, Anschrift und Kontaktdaten im Rahmen der Registrierung oder Vertragsverwaltung angegeben werden,

nachfolgend „Auftraggeber“ oder „Verantwortlicher“,

und

Robert F. Craciun

Girardigasse 4/28

1060 Wien

Österreich

Telefon: +436641664446

E-Mail: robert@x-orbit.app

Betreiber des Dienstes BookinX sowie Xorbit

nachfolgend „Auftragnehmer“ oder „Auftragsverarbeiter“.

Gemeinsam nachfolgend „Parteien“.

Dieser Auftragsverarbeitungsvertrag einschließlich seiner Anlagen wird nachfolgend als „AVV“ bezeichnet.

⸻

1. Gegenstand und Geltungsbereich

1.1. Der Auftragnehmer stellt dem Auftraggeber den Terminbuchungsdienst BookinX zur Verfügung. Mit BookinX kann der Auftraggeber insbesondere Buchungsseiten einrichten, Termine verwalten und seinen Endkunden und Interessenten die Buchung von Terminen ermöglichen.

1.2. Soweit der Auftragnehmer im Rahmen der Bereitstellung von BookinX personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, handelt der Auftraggeber als Verantwortlicher gemäß Art. 4 Z 7 DSGVO und der Auftragnehmer als Auftragsverarbeiter gemäß Art. 4 Z 8 DSGVO.

1.3. Dieser AVV konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien und ist Bestandteil des zwischen den Parteien bestehenden Hauptvertrags über die Nutzung von BookinX.

1.4. Dieser AVV gilt ausschließlich für Verarbeitungstätigkeiten, bei denen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.

1.5. Soweit der Auftragnehmer personenbezogene Daten für eigene Zwecke und in eigener datenschutzrechtlicher Verantwortlichkeit verarbeitet, insbesondere zur Vertragsverwaltung, Abrechnung, IT-Sicherheit oder Erfüllung eigener gesetzlicher Verpflichtungen, sind diese Verarbeitungstätigkeiten nicht Gegenstand dieses AVV. Sie richten sich nach der Datenschutzerklärung von BookinX und den anwendbaren gesetzlichen Bestimmungen.

1.6. Auf den Buchungsseiten betreibt der Auftragnehmer in eigener Verantwortung eine einwilligungsbasierte Nutzungsstatistik auf eigenen Servern in Österreich. Buchungsinhalte fließen darin nicht ein.

⸻

2. Elektronischer Vertragsschluss

2.1. Dieser AVV wird elektronisch als Bestandteil des Vertragsverhältnisses über die Nutzung von BookinX abgeschlossen.

2.2. Der Auftraggeber stimmt diesem AVV im Rahmen der Registrierung durch eine ausdrückliche elektronische Erklärung zu.

2.3. Die zum Zeitpunkt des Vertragsschlusses geltende Fassung des AVV wird mit einem Fassungsdatum beziehungsweise einer Versionskennung versehen und dem Auftraggeber elektronisch zugänglich gemacht.

2.4. Der Auftragnehmer dokumentiert den Abschluss des AVV in geeigneter Weise. Hierzu können insbesondere das Kundenkonto, die verwendete Vertragsfassung beziehungsweise Versionskennung und der Zeitpunkt der Zustimmung gespeichert werden.

2.5. Bei Widersprüchen zwischen diesem AVV und anderen Vereinbarungen der Parteien gehen hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag die Bestimmungen dieses AVV vor, soweit zwingendes Recht nichts anderes bestimmt.

⸻

3. Gegenstand, Art und Zweck der Verarbeitung

3.1. Gegenstand der Verarbeitung ist die Bereitstellung und der technische Betrieb des Terminbuchungsdienstes BookinX für den Auftraggeber.

3.2. Die Verarbeitung umfasst, soweit für die vereinbarte Leistung erforderlich, insbesondere:

a. Erhebung und Entgegennahme von Buchungsdaten,

b. Speicherung und Verwaltung von Buchungen,

c. Darstellung und Übermittlung von Termin- und Teilnehmerinformationen,

d. Versand technisch erforderlicher E-Mails im Zusammenhang mit Buchungen,

e. Verwaltung von Mitarbeitern und deren Berechtigungen,

f. Verwaltung und Darstellung von Terminverfügbarkeiten,

g. bei aktivierter Kalenderintegration den technisch erforderlichen Zugriff auf Kalenderinformationen,

h. bei aktivierter Videokonferenzfunktion die technische Bereitstellung oder Vermittlung der hierfür erforderlichen Daten,

i. Sicherung und Wiederherstellung von Daten,

j. sicherheitsbezogene Protokollierung,

k. Export, Berichtigung und Löschung personenbezogener Daten.

3.3. Die Einzelheiten zu Gegenstand und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

⸻

4. Dauer der Verarbeitung

4.1. Die Auftragsverarbeitung erfolgt grundsätzlich für die Dauer des Hauptvertrags über die Nutzung von BookinX.

4.2. Nach Beendigung des Hauptvertrags verarbeitet der Auftragnehmer personenbezogene Daten nur noch, soweit dies zur Rückgabe, zum Export oder zur Löschung der Daten oder aufgrund zwingender gesetzlicher Verpflichtungen erforderlich ist.

4.3. Der Auftraggeber kann vor der endgültigen Löschung einen Export der von ihm kontrollierten Daten in einem gängigen maschinenlesbaren Format, insbesondere CSV oder JSON, verlangen.

4.4. Die im Auftrag verarbeiteten personenbezogenen Daten werden spätestens sechs Monate nach Beendigung des Hauptvertrags gelöscht oder auf Weisung des Auftraggebers zurückgegeben, sofern Unionsrecht oder österreichisches Recht keine weitere Speicherung verlangt.

4.5. Soweit personenbezogene Daten nach ihrer Löschung aus den Produktivsystemen ausschließlich noch in Sicherungskopien vorhanden sind und eine selektive Löschung technisch nicht möglich oder mit unverhältnismäßigem Aufwand verbunden wäre, dürfen sie bis zum regulären Ablauf der jeweiligen Backup-Aufbewahrungsfrist gespeichert bleiben. Während dieses Zeitraums dürfen sie nicht für andere Zwecke verarbeitet werden und sind gegen regulären produktiven Zugriff zu schützen.

⸻

5. Weisungsbindung

5.1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit er nicht durch Unionsrecht oder österreichisches Recht zu einer bestimmten Verarbeitung verpflichtet ist.

5.2. Als dokumentierte Weisungen gelten insbesondere:

a. dieser AVV und der Hauptvertrag,

b. die vom Auftraggeber innerhalb von BookinX vorgenommenen Einstellungen und Konfigurationen,

c. die Aktivierung optionaler Funktionen und Integrationen durch den Auftraggeber oder dessen berechtigte Nutzer,

d. Weisungen des Auftraggebers in Textform.

5.3. Ist der Auftragnehmer aufgrund von Unionsrecht oder österreichischem Recht zu einer Verarbeitung verpflichtet, informiert er den Auftraggeber vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

5.4. Ist der Auftragnehmer der Auffassung, dass eine Weisung des Auftraggebers gegen die DSGVO oder andere anwendbare Datenschutzbestimmungen verstößt, informiert er den Auftraggeber unverzüglich.

5.5. Der Auftragnehmer darf die Ausführung einer offensichtlich rechtswidrigen Weisung bis zur Klärung aussetzen.

⸻

6. Pflichten des Auftraggebers

6.1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten und für die Wahrung der Rechte der betroffenen Personen verantwortlich.

6.2. Der Auftraggeber stellt insbesondere sicher, dass für die über BookinX vorgenommenen Verarbeitungen eine ausreichende Rechtsgrundlage besteht und betroffene Personen die gesetzlich erforderlichen Datenschutzinformationen erhalten.

6.3. Der Auftraggeber erteilt ausschließlich rechtmäßige Weisungen.

6.4. Der Auftraggeber entscheidet insbesondere über Zweck und wesentliche Mittel der Verarbeitung seiner Endkunden-, Interessenten- und Mitarbeiterdaten sowie über die Aktivierung optionaler Integrationen.

6.5. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler, Unregelmäßigkeiten oder mögliche Datenschutzverletzungen im Zusammenhang mit der Auftragsverarbeitung feststellt.

⸻

7. Vertraulichkeit und Datengeheimnis

7.1. Der Auftragnehmer gewährleistet, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.2. Personenbezogene Daten dürfen nur entsprechend den dokumentierten Weisungen des Auftraggebers und nur soweit verarbeitet werden, wie dies zur Erfüllung der jeweiligen Aufgaben erforderlich ist.

7.3. Die Verpflichtung zur Vertraulichkeit gilt auch nach Beendigung der jeweiligen Tätigkeit fort.

7.4. Der Auftragnehmer und seine Mitarbeiter beachten, soweit anwendbar, das Datengeheimnis gemäß § 6 österreichisches Datenschutzgesetz (DSG).

⸻

8. Technische und organisatorische Maßnahmen

8.1. Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

8.2. Die vereinbarten technischen und organisatorischen Maßnahmen sind in Anlage 2 beschrieben.

8.3. Der Auftragnehmer darf die technischen und organisatorischen Maßnahmen während der Vertragslaufzeit weiterentwickeln und durch gleichwertige oder wirksamere Maßnahmen ersetzen, sofern das vereinbarte Sicherheitsniveau dadurch nicht unterschritten wird.

8.4. Wesentliche sicherheitsrelevante Änderungen werden angemessen dokumentiert.

⸻

9. Mandanten- und Zugriffstrennung

9.1. Der Auftragnehmer setzt technische und organisatorische Mechanismen zur Trennung der Daten verschiedener Auftraggeber ein.

9.2. Zugriffe auf personenbezogene Daten werden nach dem Need-to-know- und Least-Privilege-Prinzip beschränkt.

9.3. Rollen und Berechtigungen werden serverseitig kontrolliert.

9.4. Die Datenbankzugriffe berücksichtigen Mandanten- und Ressourcenzuordnungen, um unberechtigte mandantenübergreifende Zugriffe zu verhindern.

⸻

10. Unterstützung bei Betroffenenrechten

10.1. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen.

10.2. Dies betrifft insbesondere Rechte auf:

a. Auskunft,

b. Berichtigung,

c. Löschung,

d. Einschränkung der Verarbeitung,

e. Datenübertragbarkeit,

f. Widerspruch, soweit anwendbar.

10.3. Richtet eine betroffene Person einen Antrag unmittelbar an den Auftragnehmer und betrifft dieser personenbezogene Daten, die im Auftrag eines Auftraggebers verarbeitet werden, leitet der Auftragnehmer den Antrag unverzüglich an den betreffenden Auftraggeber weiter, soweit eine Zuordnung möglich ist.

10.4. Der Auftragnehmer beantwortet einen solchen Antrag nicht eigenständig inhaltlich, sofern er hierzu nicht vom Auftraggeber angewiesen oder gesetzlich verpflichtet wurde.

⸻

11. Weitere Unterstützungspflichten

11.1. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO.

11.2. Die Unterstützung umfasst insbesondere:

a. die Sicherheit der Verarbeitung,

b. die Untersuchung und Bewertung von Verletzungen des Schutzes personenbezogener Daten,

c. die Erfüllung gesetzlicher Melde- und Benachrichtigungspflichten,

d. Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO,

e. vorherige Konsultationen der zuständigen Aufsichtsbehörde gemäß Art. 36 DSGVO.

11.3. Der Auftragnehmer stellt dem Auftraggeber hierfür die bei ihm vorhandenen und für die jeweilige Prüfung erforderlichen Informationen in angemessenem Umfang zur Verfügung.

⸻

12. Verletzungen des Schutzes personenbezogener Daten

12.1. Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Auftrag des Auftraggebers verarbeitete Daten betrifft, informiert er den Auftraggeber unverzüglich und jedenfalls spätestens innerhalb von 48 Stunden nach Bekanntwerden.

12.2. Die Meldung enthält, soweit die entsprechenden Informationen verfügbar sind:

a. eine Beschreibung der Art der Verletzung,

b. die betroffenen Kategorien personenbezogener Daten und betroffener Personen,

c. soweit möglich die ungefähre Anzahl betroffener Personen und Datensätze,

d. die bekannten oder wahrscheinlichen Folgen der Verletzung,

e. die bereits getroffenen oder vorgeschlagenen Abhilfemaßnahmen,

f. Kontaktdaten für weitere Informationen.

12.3. Sind nicht sämtliche Informationen gleichzeitig verfügbar, werden diese ohne unangemessene weitere Verzögerung schrittweise ergänzt.

12.4. Die Entscheidung, ob eine Meldung an eine Aufsichtsbehörde gemäß Art. 33 DSGVO oder eine Benachrichtigung betroffener Personen gemäß Art. 34 DSGVO erforderlich ist, obliegt dem Auftraggeber als Verantwortlichem.

12.5. Der Auftragnehmer dokumentiert ihn betreffende Datenschutzverletzungen in angemessener Weise und unterstützt den Auftraggeber bei der erforderlichen Sachverhaltsaufklärung.

⸻

13. Unterauftragsverarbeiter

13.1. Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zur Inanspruchnahme der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

13.2. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor der beabsichtigten Hinzuziehung eines neuen oder der Ersetzung eines bestehenden Unterauftragsverarbeiters.

13.3. Die Information kann insbesondere per E-Mail oder über das BookinX-Kundenkonto erfolgen.

13.4. Der Auftraggeber kann einer Änderung innerhalb der 30-tägigen Frist aus sachlich gerechtfertigten datenschutzrechtlichen Gründen widersprechen.

13.5. Können die Parteien einen berechtigten Widerspruch nicht lösen und ist der betreffende Unterauftragsverarbeiter für die Erbringung der Leistung erforderlich, kann der betroffene Dienst beziehungsweise der Hauptvertrag nach Maßgabe der vereinbarten Kündigungsbestimmungen beendet werden.

13.6. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die hinsichtlich der übernommenen Verarbeitungstätigkeiten den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen.

13.7. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung der Datenschutzpflichten seiner Unterauftragsverarbeiter im gesetzlich vorgesehenen Umfang verantwortlich.

⸻

14. Drittlandübermittlungen

14.1. Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums, soweit in Anlage 3 nichts anderes angegeben ist.

14.2. Eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

14.3. Soweit erforderlich, wird eine Drittlandübermittlung insbesondere auf einen Angemessenheitsbeschluss der Europäischen Kommission oder geeignete Garantien gemäß Art. 46 DSGVO gestützt.

14.4. Soweit für eine Drittlandübermittlung Standardvertragsklauseln oder ergänzende Schutzmaßnahmen erforderlich sind, werden diese vor Beginn der betreffenden Übermittlung eingerichtet.

⸻

15. Nachweise und Kontrollrechte

15.1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten gemäß Art. 28 DSGVO nachzuweisen.

15.2. Der Nachweis kann insbesondere erfolgen durch:

a. Beschreibungen der technischen und organisatorischen Maßnahmen,

b. Sicherheits- oder Auditberichte,

c. dokumentierte interne Prüfungen,

d. sonstige geeignete Nachweise.

15.3. Der Auftraggeber ist berechtigt, selbst oder durch einen zur Verschwiegenheit verpflichteten unabhängigen Prüfer Kontrollen durchzuführen, soweit dies zur Überprüfung der Einhaltung dieses AVV erforderlich ist.

15.4. Vor-Ort-Prüfungen erfolgen grundsätzlich nach angemessener Vorankündigung während der üblichen Geschäftszeiten.

15.5. Eine vorherige Ankündigung ist nicht erforderlich, soweit ein schwerwiegender Sicherheitsvorfall oder ein begründeter Verdacht auf einen erheblichen Datenschutzverstoß eine kurzfristige Kontrolle objektiv erforderlich macht.

15.6. Kontrollen sind so durchzuführen, dass Geschäftsgeheimnisse, Sicherheitsinteressen und personenbezogene Daten anderer Auftraggeber angemessen geschützt bleiben.

15.7. Der Auftragnehmer arbeitet im gesetzlich erforderlichen Umfang mit der zuständigen Datenschutzaufsichtsbehörde zusammen.

⸻

16. Rückgabe und Löschung

16.1. Nach Beendigung der Auftragsverarbeitung löscht der Auftragnehmer nach Wahl des Auftraggebers die im Auftrag verarbeiteten personenbezogenen Daten oder gibt diese dem Auftraggeber zurück, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

16.2. Der Auftraggeber kann vor der endgültigen Löschung einen Export der für ihn gespeicherten Daten in CSV und/oder JSON verlangen.

16.3. Erteilt der Auftraggeber keine abweichende Weisung, ist der Auftragnehmer berechtigt, die Daten nach Maßgabe von Ziffer 4 zu löschen.

16.4. Daten, die aufgrund gesetzlicher Aufbewahrungspflichten weiter gespeichert werden müssen, werden für andere Zwecke gesperrt beziehungsweise ihre Verarbeitung wird auf den gesetzlich erforderlichen Umfang beschränkt.

⸻

17. Haftung

17.1. Für die Haftung der Parteien wegen Verstößen gegen die DSGVO gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO.

17.2. Zwingende gesetzliche Haftungsbestimmungen bleiben unberührt.

17.3. Haftungsbeschränkungen des Hauptvertrags finden keine Anwendung, soweit eine solche Beschränkung nach der DSGVO oder anderem zwingenden Recht unzulässig ist.

⸻

18. Änderungen dieses AVV

18.1. Änderungen dieses AVV werden dem Auftraggeber in Textform oder über einen anderen dauerhaften elektronischen Kommunikationsweg mitgeteilt.

18.2. Wesentliche Änderungen der Rechte und Pflichten der Parteien werden mit angemessener Vorlaufzeit angekündigt.

18.3. Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern unterliegen unabhängig davon Ziffer 13.

18.4. Die für den Auftraggeber geltenden Fassungen dieses AVV werden mit einem Fassungsdatum beziehungsweise einer Versionskennung versehen und nachvollziehbar dokumentiert.

⸻

19. Anwendbares Recht und Gerichtsstand

19.1. Dieser AVV unterliegt österreichischem Recht, soweit zwingendes Unionsrecht oder sonstiges zwingendes Recht nichts anderes bestimmt.

19.2. Soweit eine Gerichtsstandsvereinbarung gesetzlich zulässig ist, wird für Streitigkeiten aus oder im Zusammenhang mit diesem AVV die Zuständigkeit der sachlich zuständigen Gerichte in Wien, Österreich, vereinbart.

19.3. Zwingende gesetzliche Gerichtsstände und die Rechte betroffener Personen nach der DSGVO werden dadurch nicht eingeschränkt.

⸻

20. Schlussbestimmungen

20.1. Die Anlagen 1 bis 3 sind integraler Bestandteil dieses AVV.

20.2. Dieser AVV endet grundsätzlich mit dem Hauptvertrag. Bestimmungen über Vertraulichkeit, Datenschutz, Rückgabe, Löschung, Nachweise und Haftung gelten soweit erforderlich über das Vertragsende hinaus.

20.3. Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, bleiben die übrigen Bestimmungen davon unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung treten die anwendbaren gesetzlichen Vorschriften.

⸻

Anlage 1 – Gegenstand der Verarbeitung, Datenarten und betroffene Personen

1. Gegenstand

Bereitstellung und Betrieb des Terminbuchungsdienstes BookinX.

Der Auftraggeber kann Buchungsseiten einrichten und seinen Endkunden und Interessenten die Buchung von Terminen ermöglichen. Mitarbeiter des Auftraggebers können Buchungen verwalten und, soweit aktiviert, Kalender- und Videokonferenzfunktionen nutzen.

2. Zweck der Verarbeitung

Die Verarbeitung erfolgt insbesondere zur:

Entgegennahme und Verwaltung von Terminbuchungen,
Koordination und Darstellung von Verfügbarkeiten,
Kommunikation im Zusammenhang mit Terminen,
Verwaltung der am Buchungsprozess beteiligten Mitarbeiter,
Synchronisierung mit verbundenen Kalendern,
Vorbereitung von Terminen (Agenda, Gesprächsziele, Unterlagen),
Buchung von Räumen durch Mitarbeiter des Auftraggebers,
technischen Bereitstellung von Videokonferenzen, soweit aktiviert,
Aufnahme, Transkription und Zusammenfassung von Videokonferenzen, soweit von der organisierenden Person gestartet,
Darstellung öffentlicher Profile der Mitarbeiter, soweit freigegeben,
Import von Benutzerlisten durch den Auftraggeber,
Führung eines Änderungsprotokolls für die Administratoren des Auftraggebers,
Gewährleistung von Sicherheit, Verfügbarkeit und Wiederherstellbarkeit des Dienstes.

3. Kategorien betroffener Personen

3.1. Endkunden und Interessenten des Auftraggebers

Personen, die über eine BookinX-Buchungsseite einen Termin buchen oder im Zusammenhang mit einer Terminbuchung mit dem Auftraggeber interagieren.

3.2. Mitarbeiter des Auftraggebers

Mitarbeiter, freie Mitarbeiter oder sonstige vom Auftraggeber autorisierte Nutzer, die über BookinX Termine anbieten, verwalten oder an diesen teilnehmen.

4. Kategorien personenbezogener Daten

4.1. Endkunden und Interessenten

Je nach Konfiguration:

Anrede,
Titel,
Vorname,
Nachname,
E-Mail-Adresse,
Firma,
Nachricht beziehungsweise vom Endkunden eingegebene Buchungsinformationen,
Terminzeit,
Zeitzone,
Sprache,
Einwilligungszeitpunkt, soweit über BookinX eine Einwilligung dokumentiert wird,
technische Zustelldaten im Zusammenhang mit E-Mails,
Angaben zur Terminvorbereitung, insbesondere Agenda-Ergänzungen und eigenes Gesprächsziel,
Aufrufe der Seite zur Terminvorbereitung,
bei gestarteter Aufnahme einer Videokonferenz: Bild und Ton (kurzzeitig), Tonaufnahme (bis zur Transkription), Transkript, Zusammenfassung sowie Anzeigename und Sprechzeitpunkte.

4.2. Mitarbeiter des Auftraggebers

Je nach Nutzung und Konfiguration:

Name,
E-Mail-Adresse,
Telefonnummer,
Rolle und Berechtigung,
Profilfoto, optional,
Kurzvorstellung, optional,
Vorstellungsvideo, optional,
Funktion beziehungsweise Position und Abteilung,
Anrede und Sprache, auch aus einer vom Auftraggeber importierten Benutzerliste,
Angaben des öffentlichen Profils, optional: Begrüßung, Text „Über mich“, Motto, Unternehmensbeschreibung, Unternehmensvideo, Profilbanner,
QR-Code und digitale Kontaktkarte (Name, Firma, Telefonnummer, E-Mail-Adresse), optional,
Kalenderbelegungszeiten bei verbundenem Kalender (Microsoft 365, Google Kalender oder Apple Kalender),
geschriebene beziehungsweise eingetragene Termine und Abwesenheiten bei verbundenem Kalender,
Raumbuchungen (Raum, Titel, Beginn, Ende, buchende Person),
Einträge im Änderungsprotokoll (wer wann was geändert hat, ohne die geänderten Inhalte),
bei gestarteter Aufnahme einer Videokonferenz: Bild und Ton (kurzzeitig), Tonaufnahme (bis zur Transkription), Transkript, Zusammenfassung sowie Anzeigename und Sprechzeitpunkte,
verschlüsselt gespeicherte Zugriffstoken für verbundene Dienste.

5. Besondere Kategorien personenbezogener Daten

BookinX ist im Rahmen seiner regulären Funktionen nicht darauf ausgerichtet, besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO zu erheben. Bei Aufnahmen von Videokonferenzen werden Stimmen nicht zur Identifizierung von Personen ausgewertet; die Zuordnung der Sprechenden erfolgt allein über den Anzeigenamen in der Konferenz.

Soweit der Auftraggeber solche Daten insbesondere über Freitextfelder oder sonstige Eingabemöglichkeiten übermitteln lässt, ist der Auftraggeber für das Vorliegen einer entsprechenden Rechtsgrundlage sowie die Erfüllung der zusätzlichen datenschutzrechtlichen Anforderungen verantwortlich.

Der Auftragnehmer verarbeitet solche Daten ausschließlich entsprechend den dokumentierten Weisungen des Auftraggebers und im Rahmen der vereinbarten BookinX-Funktionen.

6. Verarbeitungsvorgänge

Je nach Nutzung insbesondere:

Erheben,
Erfassen,
Ordnen,
Speichern,
Abfragen,
Anzeigen,
Übermitteln,
Synchronisieren,
Aktualisieren,
Sichern,
Exportieren,
Einschränken,
Löschen.

7. Primärer Verarbeitungsort

Die primäre Verarbeitung erfolgt auf eigenen Servern des Auftragnehmers in Österreich.

Weitere Verarbeitungsorte ergeben sich aus Anlage 3.

⸻

Anlage 2 – Technische und organisatorische Maßnahmen

1. Transportverschlüsselung

Verschlüsselung externer Verbindungen mittels TLS.
Verhinderung beziehungsweise Umleitung unverschlüsselter Zugriffe, soweit technisch möglich.
Verschlüsselte Kommunikation mit angebundenen externen Diensten.

2. Passwortsicherheit

Keine Speicherung von Passwörtern im Klartext.
Passwort-Hashing mittels Argon2id.
Auswahl und regelmäßige Überprüfung angemessener Argon2id-Parameter.

3. Schutz externer Zugriffstoken

Verschlüsselte Speicherung von Zugriffstoken für angebundene Dienste.
Verschlüsselung mittels AES-256-GCM.
Trennung der Verschlüsselungsschlüssel von den verschlüsselten Nutzdaten.
Schlüsselrotation.
Beschränkung des Zugriffs auf Schlüssel auf technisch erforderliche Komponenten und berechtigte Personen.

4. Zugriffskontrolle und Berechtigungen

Rollenbasierte Zugriffskontrolle.
Serverseitige Prüfung von Berechtigungen.
Mandantentrennung auf Datenbankebene.
Ressourcentrennung und Prüfung der Zuordnung von Ressourcen zu einem Mandanten.
Anwendung des Need-to-know- und Least-Privilege-Prinzips.

5. Sitzungsmanagement

Serverseitige Sitzungen.
Definierte Ablaufzeiten.
Möglichkeit zur serverseitigen Invalidierung von Sitzungen.
Sicherheitsbezogene Behandlung bestehender Sitzungen bei relevanten Änderungen.

6. Schutz vor automatisierten Angriffen und Missbrauch

Rate-Limits für sicherheitsrelevante Endpunkte.
Begrenzung automatisierter Anfragen insbesondere bei Authentifizierungs- und öffentlich erreichbaren Buchungsfunktionen.
Serverseitige Validierung relevanter Eingaben.

7. Protokollierung

Protokollierung sicherheits- und administrativ relevanter Vorgänge in einem Audit-Log.
Änderungsprotokoll für die Administratoren des Auftraggebers: Zeitpunkt, Person, Aktion und betroffenes Objekt, nie die geänderten Inhalte; nur für Administratoren des eigenen Mandanten sichtbar.
Aufbewahrungsdauer des Audit-Logs: grundsätzlich 12 Monate.
Zugriffsbeschränkung auf Audit-Informationen.
Keine Nutzung von Audit-Logs für Werbung oder Werbeprofilbildung.

8. Datensicherung

Tägliche verschlüsselte Backups.
Zusätzliche Sicherungskopie außerhalb des primären Servers.
Aufbewahrung täglicher Sicherungen für 14 Tage.
Aufbewahrung wöchentlicher Sicherungen für 8 Wochen.
Beschränkung des Zugriffs auf Sicherungen.
Regelmäßige Restore-Tests.

9. Verfügbarkeit und Wiederherstellbarkeit

Maßnahmen zur Wiederherstellung personenbezogener Daten nach technischen oder physischen Zwischenfällen.
Überprüfung der Wiederherstellbarkeit von Sicherungen.
Durchführung und Dokumentation von Restore-Tests.

10. Sicherheitsprüfungen

Sicherheitsprüfungen vor Releases.
Prüfung sicherheitsrelevanter Änderungen vor Produktivsetzung.
Risikobasierte Priorisierung und Behebung festgestellter Sicherheitsmängel.
Regelmäßige Überprüfung der Wirksamkeit der Sicherheitsmaßnahmen.

11. Datenminimierung

Beschränkung der Verarbeitung auf die für die jeweilige Funktion erforderlichen beziehungsweise vom Auftraggeber innerhalb der vorgesehenen Funktionen bereitgestellten Daten.
Optionale Profildaten werden nur verarbeitet, wenn die entsprechenden Funktionen genutzt werden.
Kalenderintegrationen werden nur nach ausdrücklicher Verbindung durch einen berechtigten Nutzer aktiviert.

12. Tracking und Werbung

Keine Werbetracker innerhalb der Auftragsverarbeitung.
Keine Verwendung der im Auftrag verarbeiteten Buchungs- oder Mitarbeiterdaten für personalisierte Werbung.

13. Überprüfung und Weiterentwicklung

Die technischen und organisatorischen Maßnahmen werden regelmäßig sowie nach wesentlichen Änderungen oder Sicherheitsvorfällen überprüft und entsprechend dem Risiko und dem Stand der Technik weiterentwickelt.

⸻

Anlage 3 – Unterauftragsverarbeiter

Der Auftraggeber erteilt seine allgemeine Genehmigung für die nachfolgend aufgeführten Unterauftragsverarbeiter.

1. netcup GmbH

Anbieter: netcup GmbH

Sitz: Deutschland

Leistung: Technischer E-Mail-Versand

Verarbeitete Daten: E-Mail-Adressen, Absender- und Empfängerinformationen sowie technisch erforderliche E-Mail- und Zustelldaten

Verarbeitung: Europäische Union beziehungsweise Europäischer Wirtschaftsraum

Einsatz: Bestandteil des E-Mail-Versands von BookinX

⸻

2. Microsoft Ireland Operations Limited

Anbieter: Microsoft Ireland Operations Limited

Sitz: Irland

Leistung: Microsoft Graph, Microsoft 365 und Microsoft Teams

Verarbeitete Daten: Je nach aktivierter Funktion Mitarbeiterdaten, Kalenderbelegungszeiten, Termine sowie technisch erforderliche Identifikations-, Authentifizierungs- und Verbindungsdaten

Einsatz: Nur soweit ein berechtigter Nutzer eine entsprechende Microsoft-Integration mit BookinX verbindet beziehungsweise aktiviert.

Soweit im Rahmen der Leistungserbringung eine Übermittlung personenbezogener Daten außerhalb des EWR erfolgt, erfolgt diese ausschließlich unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO.

⸻

3. Google Ireland Limited

Anbieter: Google Ireland Limited

Sitz: Irland

Leistung: Google Calendar API

Verarbeitete Daten: Je nach aktivierter Funktion Kalenderbelegungszeiten, Termine, E-Mail-Adresse des Google-Kontos sowie technisch erforderliche Authentifizierungs- und Verbindungsdaten

Einsatz: Nur soweit ein berechtigter Nutzer seinen Google Kalender mit BookinX verbindet.

⸻

4. Apple Distribution International Ltd.

Anbieter: Apple Distribution International Ltd.

Sitz: Irland

Leistung: iCloud-Kalender (CalDAV)

Verarbeitete Daten: Je nach aktivierter Funktion Kalenderbelegungszeiten, Termine, Apple-ID sowie technisch erforderliche Verbindungsdaten

Einsatz: Nur soweit ein berechtigter Nutzer seinen Apple Kalender mit BookinX verbindet.

⸻

5. Backup-Infrastruktur

Eigene Infrastruktur des Auftragnehmers

Leistung: Verschlüsselte externe Sicherungskopie

Verarbeitete Daten: Verschlüsselte Sicherung der von BookinX gespeicherten Daten

Einsatz: Datensicherung und Wiederherstellung

Sofern die Zweitkopie ausschließlich auf eigener Infrastruktur des Auftragnehmers betrieben wird und kein weiterer Auftragsverarbeiter beteiligt ist, entfällt dieser Eintrag.

⸻

Eigene Infrastruktur des Auftragnehmers (keine Unterauftragsverarbeiter)

Videokonferenz (Xorbit Meeting): eigene Jitsi-Meet-Instanz unter meet.x-orbit.app auf Servern des Auftragnehmers in Österreich.
Aufnahme und Transkription (optional): Aufzeichnung über die eigene Jitsi-Instanz (Jibri), Spracherkennung mit Whisper und Zusammenfassung mit dem Sprachmodell Qwen 2.5 über Ollama, alles auf Servern des Auftragnehmers; keine Übermittlung an Dritte und kein Training von Modellen mit Kundendaten. Videodatei sofort nach der Aufnahme, Tonaufnahme nach der Transkription gelöscht; Transkript und Zusammenfassung verschlüsselt, Löschung 30 Tage nach Aufnahme- beziehungsweise Terminende.
Termin- und Konferenzsteuerung (MeetinX): interner Baustein von BookinX auf denselben Servern in Österreich; erzeugt Konferenzräume und Kalendereinträge. Teilnehmer-E-Mail und Konferenzlinks werden verschlüsselt gespeichert, die Teilnehmer-E-Mail 30 Tage nach Terminende gelöscht.
Datensicherung: tägliche, verschlüsselte Sicherung (GPG, AES-256) auf einen Server bei netcup sowie eine verschlüsselte Zweitkopie auf einem Gerät des Auftragnehmers in Österreich; Aufbewahrung 14 Tage täglich, 8 Wochen wöchentlich.

⸻

Elektronische Zustimmung

Im Rahmen der Registrierung kann folgende Erklärung verwendet werden:

Ich akzeptiere die Nutzungsbedingungen und den Auftragsverarbeitungsvertrag (AVV) und bestätige, dass ich zum Abschluss für den angegebenen Kunden berechtigt bin.

Die Nutzungsbedingungen und dieser AVV werden vor Abgabe der Erklärung elektronisch zugänglich gemacht.

BookinX dokumentiert die bei Vertragsschluss geltende AVV-Fassung beziehungsweise Versionskennung und den Zeitpunkt der Zustimmung.