Wortlaut zum Lesen vor der Bestellung. Angenommen wird die Anlage nach der Bestellung des Server-Service elektronisch im Kundenbereich; dort steht dann der Name Ihres Salons. Sie ergänzt den Vertrag zur Auftragsverarbeitung. Es gilt Abschnitt 8c der AGB.
Fassung vom 12.11.2026
zwischen
[Name des Salons]
— nachfolgend „Verantwortliche“ —
und
KERNVARO SOFTWARE, Inhaber Andy Jahnke, Upsprunger Str. 16, 33154 Salzkotten, Deutschland, E-Mail info@kernvaro.com
— nachfolgend „Auftragsverarbeiter“ —
Diese Anlage ergänzt den zwischen den Parteien geschlossenen Vertrag zur Auftragsverarbeitung (nachfolgend „AVV“) für den Server-Service nach Abschnitt 8c der Allgemeinen Geschäftsbedingungen. Soweit sie nichts Besonderes regelt, gilt der AVV; bei Widersprüchen geht diese Anlage für den Server-Service vor.
(1) Der Auftragsverarbeiter betreibt für die Verantwortliche die Software KERNVARO - FRISEUR auf einem Server, den er bei der Hetzner Online GmbH in eigenem Namen mietet („Server-Service“). Dazu gehören Einrichtung, Betrieb, Aktualisierung, Überwachung, tägliche Sicherung und Wiederherstellung des Servers sowie Unterstützung auf Anfrage.
(2) Die Anlage gilt, solange der Server-Service besteht, und danach bis zur vollständigen Löschung nach § 9. Der Auftragsverarbeiter kann den Server vorab technisch vorbereiten (Server anlegen, Software installieren), ohne dabei personenbezogene Daten der Verantwortlichen zu verarbeiten. Die Anzeige des Servers im Kundenbereich, die Übergabe der Zugangsdaten und jede Verarbeitung personenbezogener Daten der Verantwortlichen beginnen erst mit der Annahme dieser Anlage.
(1) Art: Speichern, Sichern, Wiederherstellen, Übertragen innerhalb des Servers, Löschen; Einsicht nur, soweit es für Störungsbehebung, Wiederherstellung oder auf Weisung nötig ist.
(2) Zweck: Bereitstellung der Software der Verantwortlichen. Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke.
(3) Datenarten: alle Daten, die die Verantwortliche in der Software verarbeitet — insbesondere Stamm- und Kontaktdaten der Kundschaft, Termine, Leistungen, Notizen, Farbrezepturen (in der Software verschlüsselt), Konten der Online-Buchung (E-Mail-Adresse, Kennwort als Prüfwert, mitgebuchte Personen einschließlich Kindern), Einwilligungsnachweise, Beschäftigtendaten (Dienstplan, Abwesenheiten, freiwillige Fotos, Protokolle), Push-Token und Protokolle des Servers. Gesundheitsangaben (etwa Unverträglichkeiten) können enthalten sein (Art. 9 DSGVO); die Verantwortliche sorgt dafür, dass sie nur im nötigen Umfang erfasst werden.
(4) Betroffene: Kundinnen und Kunden des Salons und von ihnen mitgebuchte Personen, Beschäftigte, Ansprechpartner.
Der Auftragsverarbeiter verarbeitet nur auf dokumentierte Weisung der Verantwortlichen; diese Anlage und die Einstellungen in der Software gelten als Weisung. Weitere Weisungen erteilt die Verantwortliche in Textform über das Ticketsystem im Kundenbereich oder an info@kernvaro.com. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin (Art. 28 Abs. 3 S. 3 DSGVO).
(1) Zugriff haben nur namentlich bestimmte Personen des Auftragsverarbeiters, die zur Vertraulichkeit verpflichtet sind; die Liste teilt er auf Anfrage mit.
(2) Auf den Server wird nur per SSH-Schlüssel von festgelegten Adressen zugegriffen; die Anmeldung mit Kennwort ist abgeschaltet. Das Konto beim Rechenzentrum ist mit einem zweiten Faktor geschützt.
(3) Jeder administrative Zugriff wird mit Datum, Uhrzeit, Person, Anlass und Tätigkeit protokolliert; das Protokoll erhält die Verantwortliche auf Anfrage. Inhalte werden nur eingesehen, soweit es für den Anlass nötig ist.
(1) Die Verantwortliche genehmigt allgemein den Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Für den Server-Service ist das die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Bereitstellung von Server, Netz und Sicherung im Rechenzentrum in Deutschland, auf Grundlage eines Vertrags zur Auftragsverarbeitung mit dem Auftragsverarbeiter. Die von Hetzner eingesetzten weiteren Unterauftragsverarbeiter teilt der Auftragsverarbeiter auf Anfrage mit.
(2) Über eine beabsichtigte Änderung informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform; die Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Server-Service dann zum Zeitpunkt der Änderung kündigen.
(3) Eine Verarbeitung außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums findet für den Server-Service nicht statt.
(1) Der Auftragsverarbeiter sichert den ganzen Server einmal täglich über die Sicherungsfunktion des Rechenzentrums und bewahrt die letzten sieben Stände auf; ältere werden automatisch überschrieben. Ein Archiv darüber hinaus gibt es nicht.
(2) Eine in der Software gelöschte Angabe kann bis zum Überschreiben des letzten Sicherungsstands, längstens sieben Tage, in den Sicherungen enthalten bleiben.
(3) Der Auftragsverarbeiter prüft monatlich, dass sich eine Sicherung wiederherstellen lässt, und dokumentiert das. Eine Wiederherstellung auf Wunsch der Verantwortlichen erfolgt auf den letzten oder einen gewählten Stand; dabei gehen Änderungen nach diesem Stand verloren — darauf weist er vorher hin.
(1) Der Auftragsverarbeiter unterstützt bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit, soweit die Software das nicht selbst leistet, und bei einer Datenschutz-Folgenabschätzung, soweit nötig.
(2) Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
(1) Bis zum Ende stellt der Auftragsverarbeiter auf Verlangen einen vollständigen Export der Software und die verschlüsselte Sicherung der Software bereit; auf Wunsch hilft er beim Umzug auf einen Server der Verantwortlichen.
(2) Spätestens 30 Tage nach dem Ende löscht er Server, Sicherungen, Abbilder, Zugänge und die Kennzahlen des Meldedienstes (§ 12) und bestätigt die Löschung in Textform. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters (Rechnungen) bleiben unberührt.
Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit (diese Anlage, Maßnahmen, Zugriffsprotokoll, Nachweise von Hetzner). Kontrollen im Rechenzentrum richten sich nach den Möglichkeiten, die Hetzner einräumt.
Das Push-Relay (Anlage 3 des AVV) und die Regeln zum Fernzugriff bleiben unberührt. Das Salonverzeichnis betreibt der Auftragsverarbeiter als eigener Verantwortlicher (Datenschutzerklärung, Abschnitt „Salonverzeichnis“).
(1) Zweck. Auf dem Server läuft ein Zusatzmodul des Auftragsverarbeiters („Meldedienst“, alle fünf Minuten). Es meldet ausschließlich technische Kennzahlen, damit der Auftragsverarbeiter den Server betreuen und die Verantwortliche den Zustand ihres Servers im Kundenbereich sehen kann. Der Meldedienst ist Teil der Überwachung nach § 1 Abs. 1.
(2) Daten. Übertragen und gespeichert werden nur: Kennung des Servers (Zufallswert), Zeitstempel, Rechenlast und CPU-Auslastung, Arbeitsspeicher und Festplatte (gesamt und belegt, Systemplatte und Datenordner), Laufzeit seit dem letzten Neustart, Betriebssystem und Version, Version der Software und des Meldedienstes, ob die Dienste der Software laufen, Zeitpunkt der letzten Sicherung der Software. Nicht übertragen werden Inhalte der Software, Dateinamen, der Rechnername, IP-Adressen von Besucherinnen und Besuchern und Protokolle der Software.
(3) Sicherheit. Jede Meldung ist mit einem Schlüssel signiert, der auf dem Server erzeugt wird und ihn nicht verlässt. Die Antwort enthält keine Anweisungen; der Meldedienst führt nichts aus, was von ihr abhängt (kein Befehlskanal). Fernzugriffe erfolgen nur nach § 4.
(4) Speicherdauer. Einzelmesswerte werden nach 30 Tagen gelöscht, der letzte Stand wird mit jeder Meldung überschrieben. Nach Abmeldung des Servers werden Verlauf und Schlüssel sofort, der letzte Stand spätestens nach 30 Tagen gelöscht. Ein Protokoll, wer wann einen Server eingerichtet oder entfernt hat (ohne Schlüssel), wird zwei Jahre als Nachweis aufbewahrt.
(5) Ende. Mit dem Ende des Server-Service endet auch der Meldedienst; die Kennzahlen werden nicht weiterverwendet.
Die Anlage wird elektronisch im Kundenbereich angenommen (Art. 28 Abs. 9 DSGVO); gespeichert werden Name, Funktion und Ort der annehmenden Person, Zeitpunkt, Fassung und eine Prüfsumme dieses Textes. Jede Partei kann die Anlage jederzeit ausdrucken und speichern. Eine neue Fassung legt der Auftragsverarbeiter im Kundenbereich zur Annahme vor; bis dahin gilt die bisherige weiter.
Muster ohne Annahme · KERNVARO SOFTWARE · Impressum · Datenschutz