# Ariveno-Auftragsverarbeitungsvertrag

**Version:** `2026-09-07-beta.10`  
**Geltungsbeginn:** ab elektronischer Zustimmung zu dieser Fassung durch den ordnungsgemäß bezeichneten und vertretenen Verantwortlichen  
**Auftragsverarbeiter:** Brillnet Piotr Adamski, ul. Henryka Sienkiewicza 73/6, 90-057 Łódź, NIP 7321779060, REGON 101551294  
**Kontakt:** privacy@ariveno.com

## 1. Parteien und Vertragsschluss

1. Dieser Vertrag wird geschlossen zwischen:
   1. dem im Ariveno-Konto durch Firma/Name, Adresse, NIP oder eine andere Kennung bezeichneten Unternehmen beziehungsweise der Organisation — nachfolgend **Verantwortlicher**;
   2. Brillnet Piotr Adamski — nachfolgend **Auftragsverarbeiter**.
2. Die Person, die diesem Vertrag im Namen des Verantwortlichen zustimmt, erklärt, zu dessen Abschluss befugt zu sein.
3. Der Auftragsverarbeiter dokumentiert mindestens die Kontoidentität, Organisation, Vertretungsdaten, Version, UTC-Zeit, Quelle und Inhalt der Erklärung zur Vertretungsbefugnis.
4. Werden die Daten des Verantwortlichen nach der Registrierung ergänzt, wird dieser Vertrag erst wirksam, nachdem sie mit der Organisation und der Zustimmung verknüpft wurden. Bis dahin sollte der Verantwortliche keine personenbezogenen Salonkundendaten eingeben.
5. Dieser Vertrag ist Bestandteil des Vertrags über die Bereitstellung von Ariveno und ein Vertrag nach Art. 28 Abs. 3 DSGVO.

## 2. Begriffsbestimmungen

1. **DSGVO** — Verordnung (EU) 2016/679.
2. **Anvertraute Daten** — personenbezogene Daten, die der Auftragsverarbeiter im Namen des Verantwortlichen in Ariveno verarbeitet.
3. **Verarbeitung**, **personenbezogene Daten**, **Verletzung des Schutzes personenbezogener Daten**, **Aufsichtsbehörde** und **betroffene Person** haben die ihnen in der DSGVO zugewiesene Bedeutung.
4. **Unterauftragsverarbeiter** — ein weiterer Auftragsverarbeiter, den der Auftragsverarbeiter zur Verarbeitung anvertrauter Daten einsetzt.
5. **Dienst** — Ariveno im Geltungsbereich der Nutzungsbedingungen.
6. **Weisung** — eine dokumentierte Anweisung des Verantwortlichen, die sich aus diesem Vertrag, der Konfiguration, der Nutzung von Funktionen, einer Supportanfrage oder einem anderen dokumentierten Kanal ergibt.

## 3. Gegenstand, Dauer, Art und Zweck

1. Gegenstand ist die Verarbeitung anvertrauter Daten zur Bereitstellung, Absicherung, Aufrechterhaltung und Unterstützung von Ariveno.
2. Die Verarbeitung dauert vom wirksamen Vertragsschluss bis zur Löschung oder Rückgabe der anvertrauten Daten nach Beendigung des Dienstes unter Berücksichtigung technischer Sicherungskopien und gesetzlicher Pflichten.
3. Die Vorgänge umfassen Erheben, Erfassen, Organisieren, Speichern, Auslesen, Verwenden, Abgleichen, Übermitteln nach Weisung, Einschränken, Exportieren, Anonymisieren und Löschen.
4. Die Zwecke umfassen:
   1. Buchungen, Dienstpläne, Termine und Warteliste;
   2. Verwaltung von Team, Dienstleistungen, Ressourcen und Phasen;
   3. transaktionale E-Mails und optionale SMS;
   4. Berichte, Export, private ICS-Kanäle und Support;
   5. Umsetzung von Betroffenenrechten, Audit und Sicherheit;
   6. Sicherungskopien, Betriebskontinuität und Löschung nach Beendigung.
5. Der Auftragsverarbeiter verwendet anvertraute Daten weder für eigenes Marketing, Datenverkauf, Werbeprofilbildung noch zum Trainieren von KI-Modellen.

## 4. Kategorien betroffener Personen und Daten

1. Kategorien betroffener Personen:
   1. Salonkunden, buchende Personen und Salonbesucher;
   2. Personal und Mitarbeiter des Verantwortlichen;
   3. Kontaktpersonen und Vertreter des Verantwortlichen;
   4. Personen, die in Buchungsdaten oder transaktionaler Kommunikation vorkommen.
2. Datenkategorien:
   1. Identifikations- und Kontaktdaten, etwa Vorname, Nachname, Telefonnummer und E-Mail-Adresse;
   2. Buchungs- und Termindaten, etwa Zeitpunkt, Dienstleistung, Ressource, betreuende Person und Status;
   3. Organisationsdaten zu Team, Dienstplan, Berechtigungen und Standort;
   4. Verlauf transaktionaler Kommunikation und Zustellmetadaten;
   5. Präferenzen, Einwilligungen und begrenzte Notizen zur Organisation der Dienstleistung;
   6. Kennungen, Auditereignisse und technische Sicherheitsmetadaten;
   7. vom Verantwortlichen im zulässigen Umfang übermittelte Dateien und Fotos.
3. Der Verantwortliche vertraut keine Gesundheitsdaten oder anderen besonderen Datenkategorien nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen nach Art. 10 oder Daten an, die von Ariveno nicht bereitgestellte Funktionen erfordern.
4. Beabsichtigt der Verantwortliche eine Änderung der Datenkategorien oder Zwecke, muss er zuvor eine schriftliche Bestätigung des Auftragsverarbeiters einholen und die Rechtmäßigkeit sicherstellen.

## 5. Weisungen und Rechtmäßigkeit

1. Der Auftragsverarbeiter verarbeitet anvertraute Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen außerhalb des EWR, sofern das Recht der Union oder eines Mitgliedstaats kein anderes Handeln vorschreibt.
2. Schreibt das Recht eine Verarbeitung ohne Weisung vor, informiert der Auftragsverarbeiter den Verantwortlichen vor Beginn, sofern dies nicht aus wichtigen Gründen des öffentlichen Interesses gesetzlich untersagt ist.
3. Die Nutzungsbedingungen, die Dienstkonfiguration, Handlungen befugter Nutzer und Anfragen des Verantwortlichen bilden die Gesamtheit der ursprünglichen Weisungen.
4. Der Verantwortliche trägt die Verantwortung für die Rechtmäßigkeit der Weisungen, Rechtsgrundlagen, Transparenz gegenüber betroffenen Personen, Richtigkeit der Daten und den Zugriffsumfang der Nutzer.
5. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er darf ihre Ausführung bis zur Klärung aussetzen.
6. Eine zusätzliche Weisung außerhalb des Standarddienstes kann eine Vereinbarung über Kosten und Termin erfordern, sofern dies die gesetzlichen Pflichten des Auftragsverarbeiters nicht einschränkt.

## 6. Vertraulichkeit und Befugnisse

1. Der Auftragsverarbeiter gewährt nur Personen Zugriff auf anvertraute Daten, für die dieser erforderlich ist.
2. Diese Personen unterliegen einer gesetzlichen oder vertraglichen Vertraulichkeitspflicht, sind in Sicherheitsfragen geschult und werden hinsichtlich ihrer Berechtigungen kontrolliert.
3. Administrativer Zugriff wird nach dem Prinzip der geringsten Berechtigungen erteilt, protokolliert und regelmäßig überprüft.
4. Die Vertraulichkeitspflicht gilt auch nach Ende der Zusammenarbeit.

## 7. Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter setzt Maßnahmen nach Art. 32 DSGVO um, die dem Risiko, dem Stand der Technik, den Kosten und der Art der Verarbeitung angemessen sind.
2. Den aktuellen Mindestumfang beschreibt Anhang B. Der Auftragsverarbeiter darf Maßnahmen ändern, sofern er das allgemeine Schutzniveau nicht verringert.
3. Der Verantwortliche ist für die sichere Konfiguration seiner Nutzer, Geräte, E-Mail-Konten, von SMSAPI, Exporten und Integrationskanälen verantwortlich.

## 8. Unterstützung des Verantwortlichen

1. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Umsetzung von Betroffenenrechten, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit.
2. Einen direkt von einer betroffenen Person erhaltenen Antrag zu anvertrauten Daten leitet der Auftragsverarbeiter ohne eigene Entscheidung an den Verantwortlichen weiter, sofern das Recht kein anderes Handeln verlangt.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO, darunter bei:
   1. Risiko- und Sicherheitsbewertungen;
   2. Datenschutzverletzungen und Benachrichtigungen;
   3. Datenschutz-Folgenabschätzungen;
   4. vorherigen Konsultationen mit der Behörde.
4. Die Unterstützung erfolgt standardmäßig über die Funktionen des Dienstes und die Dokumentation. Außergewöhnliche Arbeiten können zu vorher vereinbarten Bedingungen kostenpflichtig sein, sofern der Unterstützungsbedarf nicht aus einer Vertragsverletzung des Auftragsverarbeiters entsteht.

## 9. Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung hinsichtlich anvertrauter Daten bekannt geworden ist.
2. Das operative Ziel ist eine erste Benachrichtigung innerhalb von 24 Stunden nach Bestätigung oder begründeter Einordnung des Ereignisses. Besteht bereits früher ein wesentliches Risiko, übermittelt der Auftragsverarbeiter eine vorläufige Warnung, ohne die vollständige Bestätigung abzuwarten.
3. Soweit verfügbar enthält die Benachrichtigung:
   1. Art der Verletzung, betroffene Systeme sowie ungefähre Kategorien und Anzahl der Personen und Datensätze;
   2. mögliche Folgen;
   3. ergriffene oder vorgeschlagene Maßnahmen;
   4. eine Kontaktstelle;
   5. Informationen, die der Verantwortliche zur Bewertung seiner Pflichten nach Art. 33 und 34 DSGVO benötigt.
4. Informationen können schrittweise übermittelt werden.
5. Die Benachrichtigung stellt kein Schuldanerkenntnis oder Haftungsanerkenntnis dar.
6. Der Auftragsverarbeiter dokumentiert die Verletzung und wirkt an der Begrenzung ihrer Folgen mit. Der Verantwortliche ist für Meldungen an die Behörde und betroffene Personen zuständig, sofern eine entsprechende Pflicht besteht.

## 10. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz der in der aktuellen Liste der Unterauftragsverarbeiter genannten Stellen.
2. Der Auftragsverarbeiter informiert mindestens 30 Tage im Voraus per E-Mail oder im Panel über die beabsichtigte Hinzuziehung oder Ersetzung eines direkten Unterauftragsverarbeiters.
3. Der Verantwortliche kann innerhalb dieser Frist unter privacy@ariveno.com einen begründeten datenschutzbezogenen Widerspruch erheben.
4. Die Parteien suchen nach Treu und Glauben eine Lösung, etwa eine Änderung der Konfiguration. Ist dies nicht in angemessener Weise möglich, kann der Verantwortliche den von der Änderung betroffenen Dienst vor Einsatz des neuen Unterauftragsverarbeiters beenden.
5. Der Auftragsverarbeiter schließt mit dem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, insbesondere geeignete Schutzmaßnahmen.
6. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Datenschutzpflichten durch den direkten Unterauftragsverarbeiter in dem nach Art. 28 Abs. 4 DSGVO erforderlichen Umfang verantwortlich.
7. Die Liste unterscheidet direkte Unterauftragsverarbeiter von Anbietern, die als eigenständige Verantwortliche handeln, sowie von Stellen, die der Verantwortliche direkt gewählt hat.

## 11. Übermittlungen außerhalb des EWR

1. Der Auftragsverarbeiter nutzt primäre Ressourcen, die für die EU-Jurisdiktion konfiguriert sind. Globaler Support, Netzwerk und Ersatzversand von E-Mails können jedoch Übermittlungen außerhalb des EWR verursachen.
2. Eine solche Übermittlung erfolgt auf Weisung des Verantwortlichen, die durch Vertragsschluss und Aktivierung der entsprechenden Funktion zum Ausdruck kommt, sowie unter Anwendung des einschlägigen Mechanismus nach Kapitel V DSGVO.
3. Je nach Empfänger kann der Mechanismus ein Angemessenheitsbeschluss, das EU–US Data Privacy Framework oder Standardvertragsklauseln zusammen mit zusätzlichen Maßnahmen sein.
4. Auf begründete Anfrage stellt der Auftragsverarbeiter Informationen zum Mechanismus, zur Übermittlungsbewertung und zu zusätzlichen Maßnahmen unter Wahrung von Geheimnissen und Sicherheit bereit.
5. Untersagt der Verantwortliche eine für eine bestimmte Funktion erforderliche Übermittlung, deaktiviert der Auftragsverarbeiter diese Funktion. Ist dies nicht möglich, vereinbaren die Parteien die Beendigung des Dienstes.

## 12. Audits und Nachweise der Einhaltung

1. Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit, darunter diesen Vertrag, die Liste der Unterauftragsverarbeiter, die Beschreibung der Maßnahmen und mit angemessenem Aufwand verfügbare Kontrollnachweise.
2. Der Verantwortliche bewertet zunächst die bereitgestellten Dokumente und Antworten.
3. Reichen diese nicht aus, kann der Verantwortliche selbst oder durch einen unabhängigen Prüfer ein Audit durchführen:
   1. höchstens einmal jährlich, außer bei einer Datenschutzverletzung, wesentlichen Änderung des Risikos oder Aufforderung einer Behörde;
   2. nach mindestens 30 Tagen Vorankündigung, sofern sich die Dringlichkeit nicht aus einer Datenschutzverletzung oder einer behördlichen Anforderung ergibt;
   3. an Geschäftstagen ohne unangemessene Beeinträchtigung des Dienstes;
   4. unter Wahrung der Vertraulichkeit und ohne Zugriff auf Daten anderer Kunden oder nicht erforderliche Geheimnisse.
4. Der Verantwortliche trägt angemessene Kosten des Audits und seiner Betreuung, sofern das Audit keine wesentliche Vertragsverletzung des Auftragsverarbeiters aufzeigt.
5. Der Auftragsverarbeiter arbeitet gemäß dem Gesetz mit der zuständigen Aufsichtsbehörde zusammen.

## 13. Aufbewahrung, Rückgabe und Löschung

1. Während der Vertragsdauer legt der Verantwortliche die Aufbewahrung der Salonkundendaten im Bereich von 30–3650 Tagen fest. Der Standardwert beträgt 180 Tage ab dem letzten abgeschlossenen Termin. Der im Panel angezeigte aktive Wert ist die für den jeweiligen Verantwortlichen geltende Konfiguration und kann vom Standardwert abweichen.
2. Der Verantwortliche kann anvertraute Daten während der Vertragsdauer und während eines 30-tägigen Lesezugriffs nach Vertragsende exportieren.
3. Nach Beendigung kann der Verantwortliche die Rückgabe durch Export mit anschließender Löschung oder ausschließlich die Löschung wählen. Erteilt er keine andere Weisung, stellt der Auftragsverarbeiter 30 Tage lang den Standardexport bereit und löscht anschließend die Daten.
4. Betriebsdaten und Ressourcen der Organisation werden spätestens nach 90 Tagen gelöscht. D1 Time Travel kann eine technische Wiederherstellung für bis zu 30 Tage ermöglichen; R2-Sicherungskopien rotieren innerhalb von bis zu 35 Tagen. Daten in abgeschlossenen Sicherungskopien werden nicht für die gewöhnliche Nutzung wiederhergestellt und im Rotationszyklus gelöscht.
5. Der Auftragsverarbeiter darf Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist, ausschließlich im erforderlichen Umfang aufbewahren, wobei die Verarbeitung eingeschränkt und der Verantwortliche informiert wird, soweit zulässig.
6. Eine aktive rechtliche oder sicherheitsbezogene Sperre erfordert einen dokumentierten Grund und einen Überprüfungstermin.
7. Auf Anfrage bestätigt der Auftragsverarbeiter den Abschluss der Löschung.

## 14. Haftung

1. Die Haftung der Parteien nach der DSGVO richtet sich insbesondere nach Art. 82 DSGVO und zwingendem Recht.
2. Im Vertragsverhältnis zwischen den Parteien gelten die Haftungsbeschränkungen der Nutzungsbedingungen, soweit das Recht ihre Anwendung auf die jeweilige Pflicht zulässt.
3. Jede Partei ist für ihre eigenen Weisungen, Entscheidungen, Verstöße und ihren gesetzlichen Pflichtenumfang verantwortlich.

## 15. Dauer und Vorrang

1. Dieser Vertrag gilt für den Zeitraum, in dem der Auftragsverarbeiter anvertraute Daten verarbeitet.
2. Die Bestimmungen zu Vertraulichkeit, Audit, Haftung und Löschung gelten im erforderlichen Umfang nach Beendigung fort.
3. Bei Widersprüchen in Fragen der Datenverarbeitung hat dieser Vertrag Vorrang vor den Nutzungsbedingungen.
4. Eine Änderung, die die Rechte des Verantwortlichen wesentlich beeinflusst, erfordert eine Mitteilung und, soweit notwendig, eine erneute Zustimmung.
5. Für diesen Vertrag gilt polnisches Recht, unbeschadet des unmittelbar anwendbaren Unionsrechts.

## Anhang A — Einzelheiten der Verarbeitung

| Element | Festlegung |
|---|---|
| Verantwortlicher | die im Ariveno-Konto bezeichnete Organisation |
| Auftragsverarbeiter | Brillnet Piotr Adamski |
| Gegenstand | Hosting und Verarbeitung der für den Salonbetrieb in Ariveno erforderlichen Daten |
| Dauer | Dauer der Diensterbringung sowie Zeitraum der Rückgabe, Löschung und Rotation von Sicherungskopien |
| Zweck | Ausführung der in Punkt 3.4 genannten Funktionen |
| Personen | Salonkunden, Personal, Mitarbeiter, Vertreter und Kontaktpersonen des Verantwortlichen |
| Daten | Identifikations- und Kontaktdaten, Buchungen, Termine, Dienstplan, organisatorische Präferenzen, Einwilligungen, Kommunikation, Audit, Metadaten und zulässige Dateien |
| Unzulässige Daten | besondere Kategorien nach Art. 9 DSGVO, strafrechtliche Daten nach Art. 10 und medizinische Daten |
| Häufigkeit | fortlaufend, abhängig von der Nutzung des Dienstes |
| Primärer Bereich | für die EU-Jurisdiktion konfigurierte Betriebsressourcen mit möglichen technischen Übermittlungen gemäß Punkt 11 |
| Aufbewahrung | standardmäßig 180 Tage, aktive Konfiguration des Verantwortlichen 30–3650 Tage; nach Beendigung gemäß Punkt 13 |

## Anhang B — Technische und organisatorische Maßnahmen

### 1. Architektur und Trennung

1. Eine private D1-Datenbank und eine private R2-Ressource je Organisation sowie Buchungskoordination mit Durable Objects.
2. Für die EU-Jurisdiktion konfigurierte Betriebsressourcen.
3. Logische Trennung der Organisationen und explizite Ressourcenbindungen.
4. Trennung von Produktion und Testumgebungen durch gesonderte Zonen, Token, Präfixe, Bindungen und Bereitstellungsschutzmaßnahmen. Ein separates Cloudflare-Konto je Umgebung wird nicht zugesichert.

### 2. Zugriffskontrolle

1. Individuelle Konten, Authentifizierung und Rollen.
2. Prinzip der geringsten Berechtigungen und Entzug nicht benötigter Zugriffe.
3. Protokollierung wesentlicher administrativer Vorgänge.
4. Geheimnisse werden außerhalb des Codes gespeichert und Nutzern nicht angezeigt.

### 3. Verschlüsselung und Übertragung

1. TLS für die Übertragung.
2. Verschlüsselung der vom Anbieter verwalteten Ressourcen im Ruhezustand gemäß dessen Standard.
3. Kurzzeitig gültige Token für Exporte; das Token wird nicht in die URL aufgenommen.
4. Private Dateiressourcen und Zugriffskontrolle für Objekte.

### 4. Minimierung

1. Warteschlangen und asynchrone Nachrichten ohne personenbezogene Inhalte — sie verwenden Organisations-, Aufgaben-, Datensatz-, Idempotenz- und Versuchskennungen.
2. Keine Tracking-Pixel in von Ariveno konfigurierten Nachrichten.
3. Keine dauerhafte Speicherung von Kunden-, Termin- und Dienstplandaten im Browserspeicher für die Offline-Nutzung.
4. Keine Werbeanbieter, Sitzungsaufzeichnung oder KI-Anbieter für anvertraute Daten.

### 5. Protokollierung und Audit

1. Audit der Salonvorgänge in D1 für 24 Monate.
2. Workers-Protokolle für bis zu 7 Tage.
3. In privates, für die EU konfiguriertes R2 übertragene Protokolle für bis zu 90 Tage.
4. Korrelationskennungen, Alarmierung und Verfahren zur Ereignisanalyse.

### 6. Verfügbarkeit und Wiederherstellung

1. Monatliches Verfügbarkeitsziel von 99,5 %.
2. RPO bis zu 24 Stunden und angestrebter RTO bis zu 8 Stunden.
3. D1 Time Travel für bis zu 30 Tage und Rotation von R2-Sicherungskopien innerhalb von bis zu 35 Tagen.
4. Wiederherstellungstests und Verfahren zur Betriebskontinuität.
5. Die grundlegenden Sicherungskopien verbleiben beim selben Anbieter und werden nicht als vollständige Notfallwiederherstellung in einem separaten Konto dargestellt.

### 7. Sichere Entwicklung und Änderungen

1. Änderungsprüfungen, kontrollierte Bereitstellungen und Schutz vor Verwechslung der Umgebungen.
2. Funktions-, Datenschutz- und Isolationstests.
3. Aktualisierung von Abhängigkeiten und Reaktion auf Schwachstellen entsprechend dem Risiko.
4. Verfahren für Sicherheitsvorfälle und Kontakt unter security@ariveno.com.

### 8. Löschung und Betroffenenrechte

1. Konfigurierbare Aufbewahrung und Löschaufgaben.
2. Datenschutzzentrum für Auskunft, Berichtigung, Einschränkung, Löschung und Übertragbarkeit.
3. Unumkehrbare Anonymisierung, wenn die vollständige Entfernung von Kennungen bei Erhaltung statistischer Konsistenz angemessen ist.
4. Status und Nachweis der Umsetzung ohne Speicherung des vollständigen Antragsinhalts, sofern dieser nicht benötigt wird.