Auftragsverarbeitungsvertrag

1. Was dieser Vertrag ist

Dies ist der Auftragsverarbeitungsvertrag (AVV), den Art. 28 Abs. 3 DSGVO (Verordnung (EU) 2016/679) verlangt. Er ist eine Anlage zu den Nutzungsbedingungen und wird zusammen mit ihnen angenommen, in dem Moment, in dem die Organisation angelegt wird.

Er besteht zwischen dem Kunden als Verantwortlichem und Piklo Systems, Tjebberupvej 101, 4300 Holbæk, Dänemark, Registernummer (CVR) 32709192, als Auftragsverarbeiter. Widersprechen sich die beiden Dokumente, geht dieses für die Verarbeitung personenbezogener Daten vor.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand. Piklo verarbeitet personenbezogene Daten im Auftrag des Kunden, damit der Kunde seine Buchungen führen, seine eigenen Kunden kontaktieren und Zahlungen entgegennehmen kann — das heißt, damit der Kunde das Produkt nutzen kann, das in Abschnitt 2 der Nutzungsbedingungen beschrieben ist.

Dauer. Solange der Kunde eine Organisation in Piklo hat, und danach für den Zeitraum aus Abschnitt 11.

Art der Verarbeitung. Speichern, Ordnen, Abfragen, Übermitteln, Berichtigen und Löschen; Versand von E-Mail im Auftrag des Kunden; Weitergabe von Zahlungsangaben an den Zahlungsanbieter, den der Kunde angebunden hat; Betrieb, Wartung und Fehlerbehebung; Führen von Backups.

Zweck. Ausschließlich die Erbringung des Dienstes. Piklo nutzt die Daten des Kunden nicht für eigene Zwecke, verkauft sie nicht, teilt sie mit niemandem außer den in Abschnitt 8 aufgeführten Unterauftragsverarbeitern und nutzt sie nicht zum Trainieren von Modellen.

3. Kategorien betroffener Personen und personenbezogener Daten

Betroffene Personen

• Die eigenen Kunden des Kunden — die Personen, die buchen.
• Die Mitarbeiter des Kunden und andere Personen, denen er Zugang zu seiner Organisation gibt.

Personenbezogene Daten

• Kontaktangaben: Name, E-Mail-Adresse, Telefonnummer, Sprache und die Anschrift der eigenen Standorte des Kunden.
• Buchungen: was gebucht wurde, wann, bei wem, Status und Historie, Teilnahme an Kursen und Kursreihen, Einträge auf der Warteliste.
• Notizen, die die Mitarbeiter des Kunden über einen Kunden in einem Freitextfeld schreiben. Was in dieses Feld kommt, ist die Entscheidung des Kunden, und Piklo liest es weder noch strukturiert es das.
• Einwilligungen: dass eine Person die Buchungsbedingungen des Kunden angenommen hat, wann, und welche Fassung des Wortlauts.
• Zahlungsreferenzen: Beträge, Währung, Status, die eigenen Kennungen des Zahlungsanbieters und die Belegadresse und — wo eine Karte für eine Anzahlung oder eine Gebühr bei Nichterscheinen hinterlegt wurde — ausschließlich die Kartenmarke und die letzten vier Ziffern.
• Treue: erworbene und eingelöste Punkte, Gutscheine und Mehrfachkarten.
• Anmeldedaten für die Mitarbeiter des Kunden: E-Mail-Adresse und die dahinterliegenden Authentifizierungsdaten.
• Gesundheitsdaten — wenn es aktiviert ist. Piklo Clinic, das eine Patientenakte hinzufügt, gibt es heute nicht, und kein Teil des heutigen Produkts ist dafür ausgelegt oder bestimmt, Gesundheitsdaten zu halten. Von dem Tag an, an dem es existiert, sind die Akte und die besonderen Kategorien von Daten darin von diesem Vertrag und von den zusätzlichen Bedingungen erfasst, die er erfordert.

Piklo erhält und speichert niemals eine vollständige Kartennummer, ein Ablaufdatum oder eine Prüfziffer. Kartendaten werden auf der gehosteten Seite des Zahlungsanbieters eingegeben und erreichen Piklos Systeme nie.

4. Weisungen des Kunden

Piklo verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind die Nutzungsbedingungen, dieser Vertrag und die eigene Nutzung des Produkts durch den Kunden — jede Einstellung, die der Kunde wählt, jedes Feld, das er ausfüllt, jede Nachricht, die er sendet, und jeder Export, den er anfordert, ist eine Weisung.

Piklo teilt dem Kunden mit, wenn eine Weisung nach Auffassung von Piklo gegen die DSGVO oder anderes anwendbares Datenschutzrecht verstößt, und kann die betreffende Verarbeitung aussetzen, bis die Weisung zurückgenommen oder bestätigt wird.

Verlangt eine rechtliche Verpflichtung von Piklo eine Verarbeitung über die Weisungen des Kunden hinaus, unterrichtet Piklo den Kunden vor der Verarbeitung über diese Anforderung, es sei denn, das Recht verbietet die Mitteilung.

5. Vertraulichkeit

Alle, die Piklo zur Verarbeitung der personenbezogenen Daten des Kunden befugt, sind zur Vertraulichkeit verpflichtet, die über das Ende ihrer Tätigkeit für Piklo hinaus fortbesteht — sei es durch Arbeitsvertrag, durch eine schriftliche Verschwiegenheitserklärung oder durch eine berufliche Pflicht. Zugang erhalten nur diejenigen, die ihn brauchen, um den Dienst zu erbringen oder eine Supportanfrage zu beantworten.

6. Sicherheit

Piklo trifft geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO. Sie sind in Anhang A zu diesem Vertrag aufgeführt, der Bestandteil davon ist. Anhang A beschreibt die Maßnahmen, die vorhanden sind; Maßnahmen, die Piklo später hinzufügen mag, werden hier nicht zugesagt.

Piklo kann eine Maßnahme durch eine gleichwertige oder bessere ersetzen. Piklo senkt das Gesamtniveau des Schutzes nicht, ohne es dem Kunden mitzuteilen.

7. Unterstützung des Kunden

Unter Berücksichtigung der Art der Verarbeitung unterstützt Piklo den Kunden bei:

• Anfragen betroffener Personen nach Art. 12 bis 22 DSGVO. Die Oberflächen des Produkts sind die erste Antwort: der Kunde kann die Daten eines Kunden selbst finden, berichtigen, exportieren und löschen. Kann eine Anfrage so nicht beantwortet werden, hilft Piklo auf Anfrage. Piklo antwortet einer betroffenen Person nicht unmittelbar im Namen des Kunden; eine Anfrage, die Piklo zu einem der Kunden des Kunden erreicht, wird an den Kunden weitergegeben.
• Sicherheit, Meldung von Verletzungen und Datenschutz-Folgenabschätzungen nach Art. 32 bis 36 DSGVO, mit den Informationen, über die Piklo verfügt.

Die Unterstützung erfolgt unentgeltlich für Anfragen, die verhältnismäßig sind. Piklo kann ein angemessenes Entgelt für wiederholte oder offenkundig exzessive Anfragen verlangen und sagt es, bevor Arbeit anfällt.

8. Unterauftragsverarbeiter

Der Kunde erteilt Piklo die allgemeine Genehmigung, die unten genannten Unterauftragsverarbeiter einzusetzen. Jeder von ihnen ist an Datenschutzbedingungen gebunden, die nicht weniger schützend sind als dieser Vertrag.

• Supabase — die Datenbank, die Authentifizierung und die Dateiablage. Sämtliche Kundendaten liegen hier. Region: EU, Frankfurt (`eu-central-1`).
• Vercel — Hosting der drei Webanwendungen von Piklo und Messung ihrer Nutzung: Seitenaufrufe und Verweisquellen, gezählt ohne Cookies und ohne jemanden zu identifizieren, und an dieselbe Website gemeldet, auf der sich der Besucher ohnehin befindet. Die Anwendungsfunktionen laufen in der EU, Frankfurt (`fra1`); das Content-Delivery-Netzwerk bleibt für statische Dateien global.
• Stripe Payments Europe, Limited, Irland — Zahlungen. Piklo übergibt den Betrag, die Währung, die Beschreibung des Gekauften und, sofern vorhanden, die E-Mail-Adresse des Kunden. Kartendaten gehen unmittelbar vom Browser des Kunden zu Stripe.
• Resend — Versand der E-Mails, die das Produkt im Auftrag des Kunden sendet, sowie der Anmelde-E-Mails für das Kundenportal. Region: EU, Irland (`eu-west-1`).
• TOPefekt s.r.o. (auftretend als BulkGate), B. Němcové 767/13, 787 01 Šumperk, Tschechische Republik, Ident.-Nr. 294 44 268 — Versand der SMS, die das Produkt im Auftrag des Kunden sendet. Piklo übergibt die Mobilnummer des Empfängers, den Text der Nachricht und den Absendernamen. BulkGate übergibt die Nachricht an Mobilfunkbetreiber, SMS-Aggregatoren und andere Telekommunikationsanbieter, um sie zuzustellen, und die eigenen Bedingungen erlauben Übermittlungen in Drittländer, wo die Zustellung es erfordert. Quelle: BulkGates Terms and Conditions und Agreement on Personal Data Processing, gelesen am 5. September 2026 unter `bulkgate.com/en/legal/`.
• Sentry. Fehlerberichte für alle drei Anwendungen. Fehlerberichte können Bruchstücke einer Anfrage enthalten; Piklos eigene Bereinigungsregeln entfernen die Header, Cookies und Abfrageparameter, die jemanden identifizieren könnten, bevor ein Fehler das System verlässt, eine Sitzungsaufzeichnung wird nicht verwendet, und das SDK ist so eingestellt, dass es von sich aus weder die IP-Adresse eines Besuchers noch Anfrage-Header anhängt.

Änderungen. Piklo teilt dem Kunden mindestens 30 Tage vorher per E-Mail mit, dass ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird. Der Kunde kann innerhalb dieser 30 Tage aus sachlichen Datenschutzgründen widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann der Kunde den Vertrag ohne weitere Zahlungspflicht beenden, und Abschnitt 11 gilt für die Daten.

9. Übermittlungen außerhalb der EU und des EWR

Personenbezogene Daten werden heute an einer Stelle außerhalb der EU und des EWR verarbeitet: bei Piklos Anbietern, wenn deren Supportmitarbeiter außerhalb der EU einen Fehler bearbeiten. Weder die Datenbank noch die Anwendungsfunktionen noch der Versand von E-Mail liegen außerhalb der EU.

Diese Übermittlungen erfolgen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission, wie sie in die Datenschutzbedingungen jedes Anbieters aufgenommen sind, zusammen mit den ergänzenden Maßnahmen aus Anhang A — insbesondere, dass alles auf dem Transportweg verschlüsselt ist und dass kein Anbieter außerhalb der EU die Datenbank hält.

Piklo übermittelt personenbezogene Daten nicht ohne gültige Übermittlungsgrundlage in ein Drittland.

10. Verletzungen des Schutzes personenbezogener Daten

Piklo benachrichtigt den Kunden über eine Verletzung des Schutzes personenbezogener Daten, die die personenbezogenen Daten des Kunden betrifft, unverzüglich und spätestens 48 Stunden, nachdem Piklo davon Kenntnis erlangt hat, per E-Mail an den Inhaber der Organisation.

Die Benachrichtigung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Ist all das nicht auf einmal verfügbar, wird es ohne weitere unangemessene Verzögerung schrittweise nachgereicht.

Es ist der Kunde als Verantwortlicher, der die Aufsichtsbehörde und, wo erforderlich, die betroffenen Personen benachrichtigt. Piklo unterstützt dabei.

11. Löschung und Rückgabe der Daten

Bei Beendigung des Vertrags und nach Wahl des Kunden gibt Piklo die personenbezogenen Daten, die es für den Kunden verarbeitet, zurück oder löscht sie.

Der Kunde hat ab der Beendigung 30 Tage Zeit, seine Daten zu exportieren oder ihre Rückgabe zu verlangen. Piklo stellt sie in einem gängigen, maschinenlesbaren Format bereit. Nach diesen 30 Tagen werden die Daten aus Piklos Produktivsystemen gelöscht.

Kopien in den Backups von Piklos Anbietern werden nicht einzeln gelöscht; sie werden überschrieben, während die Backups auslaufen. Die Datenbank-Backups werden 7 Tage aufbewahrt, sodass eine Löschung innerhalb von 7 Tagen nach der Löschung selbst auch in den Backups vollzogen ist. Bis dahin sind diese Kopien durch dieselben Maßnahmen geschützt wie die Produktivdaten und werden für nichts anderes verwendet als für die Wiederherstellung des Dienstes.

Dasselbe gilt für eine einzelne Löschung während der Vertragslaufzeit: ein Datensatz, den der Kunde löscht, ist sofort aus dem Produktivsystem verschwunden und innerhalb von 7 Tagen aus den Backups.

Piklo behält danach nichts, außer dem, was eine rechtliche Verpflichtung aufzubewahren verlangt, und den Aufzeichnungen über die eigene Rechnungstellung gegenüber dem Kunden, die Piklos eigene Daten sind.

12. Prüfung und Dokumentation

Piklo stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind — diesen Vertrag, Anhang A und die Liste der Unterauftragsverarbeiter, alles veröffentlicht und versioniert unter dieser Adresse.

Einmal jährlich und nach einer Verletzung des Schutzes personenbezogener Daten, die den Kunden betrifft, kann der Kunde weitere Dokumentation der Maßnahmen von Piklo verlangen. Eine Prüfung vor Ort oder mit unmittelbarem Zugriff wird mindestens 30 Tage im Voraus vereinbart, ist auf das Erforderliche beschränkt, darf den Dienst nicht stören und keine Daten eines anderen Kunden erreichen und erfolgt auf Kosten des Kunden. Piklo kann ein Prüfverlangen mit einem unabhängigen Bericht erfüllen, sofern es einen hat.

13. Beschwerden

Sind Sie mit der Verarbeitung Ihrer personenbezogenen Daten durch Piklo oder durch den Kunden nicht einverstanden, können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren.

Piklo Systems ist in Dänemark niedergelassen, und unsere Aufsichtsbehörde ist Datatilsynet, die dänische Datenschutzbehörde, Carl Jacobsens Vej 35, 2500 Valby, Dänemark (datatilsynet.dk).

Sie können sich jederzeit bei der Datenschutzbehörde des Landes beschweren, in dem Sie wohnen oder arbeiten. Übersicht über alle Behörden im EWR: edpb.europa.eu.

14. Haftung

Die Haftung nach diesem Vertrag richtet sich nach Abschnitt 10 der Nutzungsbedingungen, außer soweit die DSGVO selbst die Haftung zwischen Verantwortlichem und Auftragsverarbeiter verteilt; in diesem Fall gilt die DSGVO.

15. Wie dieser Vertrag geschlossen und geändert wird

Dieser Vertrag wird zusammen mit den Nutzungsbedingungen elektronisch angenommen, wenn die Organisation angelegt wird. Die angenommene Fassung, die Sprache, in der sie gelesen wurde, die Person, die angenommen hat, und das Datum werden festgehalten, und die Organisation kann sie jederzeit unter Einstellungen → Abonnement einsehen.

Piklo kann diesen Vertrag mit einer Frist von 30 Tagen per E-Mail ändern, zu denselben Bedingungen wie Abschnitt 12 der Nutzungsbedingungen. Eine Änderung, die das Schutzniveau senken würde, bedarf der Zustimmung des Kunden.

Dieser Vertrag liegt in mehreren Sprachen vor. Verbindlich ist die englische Fassung; eine Übersetzung dient dem Verständnis, und bei Abweichungen geht die englische Fassung vor.

Anhang A — technische und organisatorische Maßnahmen

Dieser Anhang beschreibt, was vorhanden ist. Er ist bewusst konkret, und er behauptet keine Maßnahmen, die das Produkt nicht hat.

Zugriffskontrolle in der Datenbank

• Row Level Security ist auf jeder einzelnen Tabelle im Anwendungsschema aktiviert, ohne Ausnahme. Eine Tabelle ohne Policy gewährt niemandem etwas.
• Der Zugriff ist auf die Organisation begrenzt, deren Mitglied eine Person ist. Ein Mitglied einer Organisation kann die Zeilen einer anderen Organisation nicht lesen, und es gibt keine Abfrage, die über Organisationen hinweggeht.
• Rollen innerhalb einer Organisation — Inhaber, Administrator, Mitarbeiter — entscheiden, was ein Mitglied lesen und ändern darf. Abrechnungs- und Abonnementdaten sind nur für Inhaber und Administratoren lesbar.
• Die öffentliche Buchungsseite hat weder eine Sitzung noch allgemeinen Lesezugriff. Alles, was ein Besucher sehen oder schreiben kann, läuft über eine kleine Zahl benannter Datenbankfunktionen mit engen Argumenten, jede einzeln freigegeben. Funktionen entstehen ohne Rechte und erhalten genau die, die sie brauchen, mit der Begründung daneben; eine automatische Prüfung im Build schlägt fehl, wenn eine Funktion offen bleibt.
• Eine kleine Zahl von Vorgängen läuft mit einer Dienstkennung, die Row Level Security umgeht — der Versand von Erinnerungen, das Festhalten des Ergebnisses einer Nachricht, das Schreiben einer Zahlung nach dem Webhook des Anbieters. Jeder ist eine benannte Funktion, keiner berührt eine Tabelle unmittelbar, und die Kennung ist in nichts enthalten, was an einen Browser gesendet wird.

Verschlüsselung

• Der gesamte Verkehr läuft über HTTPS/TLS, auch zwischen Piklo und jedem Unterauftragsverarbeiter.
• Die Datenbank und die Backups sind beim Datenbankanbieter im Ruhezustand verschlüsselt.
• Sitzungscookies werden von Piklo nur für Piklos eigene Adressen gesetzt, sind mit `SameSite=Lax` markiert, sodass sie nicht von anderen Websites gesendet werden, und laufen über HTTPS. Sie sind nicht als `HttpOnly` markiert, weil die Anmeldebibliothek sie im Browser liest; die Datenschutzerklärung benennt jedes einzelne.

Protokollierung

• Ein nur anfügbares Prüfprotokoll hält Abweichungen von den Buchungsregeln und Rücknahmen des Status einer Buchung fest: wer, wann, woran. Kein Client kann hineinschreiben, und es gibt keinen Änderungsweg.
• Jede E-Mail, die das Produkt sendet, wird mit Empfänger, Vorlage, Ergebnis und der eigenen Referenz des Anbieters protokolliert, sodass eine gescheiterte Nachricht für den Kunden sichtbar und nicht stumm ist.
• Der Datenbankanbieter bewahrt Plattform- und Authentifizierungsprotokolle 7 Tage auf; der Hosting-Anbieter bewahrt Laufzeitprotokolle 1 Tag auf. Beides liegt über die Wahl des Tarifs hinaus nicht in Piklos Hand.

Zahlungsdaten

• Piklo erhält niemals eine vollständige Kartennummer, ein Ablaufdatum oder eine Prüfziffer. Zahlungsseiten werden vom Zahlungsanbieter gehostet.
• Was Piklo über eine hinterlegte Karte speichert, sind die Marke und die letzten vier Ziffern, damit eine Person erkennen kann, um welche Karte es sich handelt.
• Geld geht unmittelbar auf das eigene Konto des Kunden beim Zahlungsanbieter. Piklo hält keine Gelder.

Backups

• Der Datenbankanbieter erstellt täglich ein Backup und bewahrt es im aktuellen Tarif von Piklo 7 Tage auf.
• Backups sind im Ruhezustand verschlüsselt und werden nur zur Wiederherstellung des Dienstes verwendet.

Entwicklung und Betrieb

• Änderungen erreichen die Produktion über ein versionsverwaltetes Repository und eine automatisierte Pipeline, die bei jeder Änderung die Testsuite und eine Reihe von Prüfungen ausführt. Eine rote Pipeline deployt nicht.
• Zugangsdaten liegen als Umgebungsgeheimnisse beim Hosting-Anbieter, sind dort nur schreibbar und stehen nicht im Repository.
• Schemaänderungen an der Datenbank werden als Migrationen geschrieben, als Text geprüft und bewusst ausgeführt.

Was heute nicht vorhanden ist und daher nicht behauptet wird

• Es gibt keine Zwei-Faktor-Authentifizierung auf Mitarbeiterkonten.
• Es gibt keine unabhängige Sicherheitszertifizierung und keinen Penetrationstestbericht.
• Es gibt keine Service-Level-Vereinbarung (SLA) und keine garantierte Verfügbarkeit.