Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung nach Art. 28 DSGVO ergänzt die AGB von Arche-Board (§ 8) und gilt automatisch als Bestandteil des Vertrags, sobald der Kunde die Software zur Verarbeitung personenbezogener Daten nutzt. Auftragsverarbeiter ist stayBoard, handelnd unter stayBoardApps, Gerwigstraße 7, 78112 St. Georgen. Eine unterschriebene Fassung gibt es auf Anfrage an [email protected].

1. Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten der Kundinnen und Kunden des Kunden und weiterer Betroffener (Ziffer 4) durch den Auftragsverarbeiter im Auftrag des Kunden bei der Nutzung der Software „Arche-Board“.

(2) Die Vereinbarung gilt für die Laufzeit des Hauptvertrags und endet erst mit der vollständigen Löschung der Daten nach Ziffer 10.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich, um die Software bereitzustellen: Belegungsplan, Buchungen, Tier- und Besitzerverwaltung, Versorgungspläne und Tagesansicht, Hundetagesstätte, Einstellverträge und Leistungserfassung, Rechnungen, Tagesberichte, Besitzerportal sowie den Versand von E-Mails an Besitzer im Namen des Kunden. Dazu gehören Speichern, Ändern, Anzeigen für vom Kunden berechtigte Nutzer, Übermitteln an die vom Kunden bestimmten Empfänger und Löschen.

3. Art der Daten

• Stammdaten der Besitzer und Einsteller: Name, Anschrift, Telefon, E-Mail, Firma, Notizen
• Kontaktdaten Dritter, die der Kunde erfasst: Notfallkontakte, Tierärzte, Hufschmiede
• Tierdaten mit Bezug zum Besitzer: Name, Tierart, Rasse, Chip- oder Passnummer, Impfungen, Gesundheitshinweise, Futter- und Medikamentenpläne, Verhalten
• Fotos und Dokumente: Tierfotos, Fotos in Tagesberichten, hochgeladene Dokumente wie Impfpässe (auch vom Besitzer über das Besitzerportal)
• Vertrags- und Abrechnungsdaten: Buchungen, Tagesbesuche, Karten, Einstellverträge, erfasste Leistungen, Preise, Rechnungen, Zahlungsstatus
• Nutzungsdaten des Besitzerportals: Zugriffszeitpunkte und technische Protokolle

Gesundheitsdaten von Tieren sind keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Der Kunde verarbeitet über die Software keine besonderen Kategorien von Daten über Personen, soweit nicht gesondert in Textform vereinbart. Fotos können Personen zeigen; der Kunde achtet bei Tagesberichten darauf, dass er sie verwenden darf.

4. Betroffene

Tierbesitzer und Einsteller des Kunden, deren Notfallkontakte, vom Kunden erfasste Tierärzte und Hufschmiede sowie Personen, die auf Fotos in Tagesberichten zu sehen sind.

5. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, einschließlich der in dieser Vereinbarung und im Hauptvertrag festgelegten Zwecke, es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats dazu verpflichtet.

(2) Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.

(3) Der Auftragsverarbeiter unterstützt den Kunden im zumutbaren Rahmen bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung) und bei Datenschutz-Folgenabschätzungen.

6. Technische und organisatorische Maßnahmen

• Speicherung auf einem eigenen Server bei Infomaniak mit Standort Schweiz (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO)
• Verschlüsselte Übertragung (TLS)
• Zugriffskontrolle auf Datenbankebene (Row Level Security): Jeder Kunde sieht nur die eigenen Daten, Rollen innerhalb des Betriebs begrenzen den Zugriff weiter
• Private Dateispeicher für Tierfotos, Tagesberichtsfotos und Dokumente; Abruf nur über zeitlich begrenzte, signierte Links
• Besitzerportal nur über einen zufälligen, nicht erratbaren Link pro Buchung, gültig bis 30 Tage nach Abreise; Uploads auf PDF und Bilder bis 5 MB begrenzt
• Schutz der Anmeldung durch Sperre nach wiederholten Fehlversuchen und Prüfung von Passwörtern gegen bekannte Datenlecks
• Tägliche verschlüsselte Sicherung von Datenbank und Dateien bei Infomaniak Swiss Backup in der Schweiz (Aufbewahrung bis 12 Monate), zusätzlich Datenbank-Sicherungen auf dem Server (14 Tage) und vor jeder Software-Aktualisierung

7. Unterauftragsverarbeiter

(1) Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Infomaniak Network SA (Rue Eugène-Marziano 25, 1227 Les Acacias, Genf, Schweiz): Server für Datenbank, Anmeldung und Dateispeicher sowie verschlüsselte Datensicherung (Swiss Backup), Standort Schweiz
• Cloudflare, Inc.: Auslieferung der Web-App, der Website und des Besitzerportals (Cloudflare Pages)
• Resend, Inc. (Versand über Amazon Web Services EMEA SARL, Region eu-west-1, Irland): Versand von E-Mails an Besitzer im Auftrag des Kunden, z. B. Buchungsbestätigungen und Rechnungen
• Google Ireland Limited (Firebase Cloud Messaging): Push-Benachrichtigungen an die App des Kunden, z. B. zu neuen Buchungen

(2) Mit jedem Unterauftragsverarbeiter besteht eine Vereinbarung mit einem gleichwertigen Datenschutzniveau.

(3) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter den Kunden mit angemessenem Vorlauf. Der Kunde kann aus wichtigem Grund innerhalb von 14 Tagen nach Mitteilung widersprechen.

8. Kontrollrechte des Kunden

Der Kunde kann sich von der Einhaltung dieser Vereinbarung überzeugen, insbesondere durch Auskünfte und Nachweise (z. B. Zertifizierungen des Infrastrukturanbieters). Vor-Ort-Kontrollen sind nach Anmeldung mit angemessener Frist möglich.

9. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Kunden unverzüglich über eine Verletzung des Schutzes der Daten des Kunden und unterstützt ihn bei seinen Pflichten nach Art. 33 und 34 DSGVO.

10. Löschung und Rückgabe

Nach Ende des Hauptvertrags stehen die Daten des Kunden 30 Tage zum Export bereit und werden anschließend gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (§ 5 Abs. 5 der AGB). Löscht der Kunde einzelne Daten selbst, etwa Tiere, Fotos oder Dokumente, werden sie sofort entfernt und verschwinden mit dem Ablauf der Sicherungen auch aus diesen.

11. Schlussbestimmungen

(1) Änderungen bedürfen der Textform.

(2) Sind einzelne Bestimmungen unwirksam, bleibt die Wirksamkeit der übrigen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Stand: 4. November 2026