Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO
für BarberFront
Stand: 11. August 2026
Version 1.0
zwischen
DuruWorks Digital Solutions – Taha Aygün
Eschmarer Str. 48
53844 Troisdorf
Deutschland
– „Auftragsverarbeiter“ –
und dem jeweiligen BarberFront-Geschäftskunden
– „Verantwortlicher“ –.
§ 1 Gegenstand und Anwendungsbereich
(1) Dieser AVV regelt die Verarbeitung personenbezogener Daten durch DuruWorks im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung von BarberFront.
(2) Er gilt nur für Verarbeitungstätigkeiten, bei denen der Kunde Verantwortlicher und DuruWorks Auftragsverarbeiter im Sinne der DSGVO ist.
(3) Nicht von diesem AVV erfasst sind Verarbeitungen, bei denen DuruWorks selbst Verantwortlicher ist, insbesondere soweit dies für eigene Vertragsverwaltung, Accountverwaltung, Abrechnung, Buchhaltung, Zahlungsabwicklung, Supportverwaltung, IT-Sicherheit, Missbrauchsabwehr oder die Geltendmachung eigener Rechtsansprüche erforderlich ist.
§ 2 Dauer der Verarbeitung
Die Auftragsverarbeitung beginnt mit der Aktivierung beziehungsweise Nutzung der jeweiligen BarberFront-Funktion und dauert grundsätzlich bis zur Beendigung des Hauptvertrags beziehungsweise bis zur vertragsgemäßen Löschung oder Rückgabe der Auftragsdaten. Gesetzliche Aufbewahrungspflichten und technisch erforderliche Sicherungszyklen bleiben unberührt.
§ 3 Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt insbesondere zur:
- Bereitstellung und Veröffentlichung der Salon-Website,
- Bereitstellung der Online-Terminbuchung,
- Berechnung von Verfügbarkeiten,
- Verwaltung von Kunden und Terminen,
- Verwaltung von Mitarbeitern und Arbeitszeiten,
- Bestätigung, Änderung, Stornierung und Umbuchung von Terminen,
- Versendung von Terminbenachrichtigungen und Erinnerungen,
- Vermeidung technischer Doppelbuchungen,
- Durchführung von Datenexport- und Anonymisierungsfunktionen,
- technischen Absicherung der öffentlichen Buchungsfunktionen,
- Erkennung und Verhinderung von Missbrauch,
- technischen Speicherung und Bereitstellung der vom Kunden eingestellten Inhalte.
§ 4 Kategorien betroffener Personen
Je nach Nutzung können insbesondere folgende Personengruppen betroffen sein:
- Endkunden und Interessenten des Salons,
- Besucher der öffentlichen Salon-Website,
- Mitarbeiter des Kunden,
- ehemalige Mitarbeiter, soweit historische Termin- oder Kontodaten betroffen sind,
- sonstige vom Kunden rechtmäßig erfasste Kontaktpersonen.
§ 5 Kategorien personenbezogener Daten
Je nach Nutzung können insbesondere verarbeitet werden:
Endkunden- und Termindaten:
- Name,
- E-Mail-Adresse,
- Telefonnummer,
- Terminzeitpunkt,
- ausgewählte Dienstleistungen,
- zugewiesener Mitarbeiter,
- Terminstatus und Terminverlauf,
- kundenseitige Notizen,
- interne terminbezogene Notizen,
- technische Verwaltungs- und Sicherheitsinformationen.
Mitarbeiterdaten:
- Name,
- berufliche Rolle,
- Beschreibung oder Biografie,
- Foto,
- Spezialgebiete,
- Arbeitszeiten und Abwesenheiten,
- zugewiesene Termine,
- technische Accountverknüpfung und Berechtigungsinformationen.
Website- und Sicherheitsdaten:
- IP-Adresse,
- Zeitstempel,
- Request- und Sicherheitsinformationen,
- Domaininformationen,
- technische Browser- und Verbindungsinformationen, soweit für Sicherheit, Betrieb oder Missbrauchsschutz erforderlich.
§ 6 Weisungen
(1) DuruWorks verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer darüber hinausgehenden Verarbeitung besteht.
(2) Als Weisungen gelten insbesondere die vom Kunden innerhalb von BarberFront vorgenommenen Einstellungen und Aktionen, die Regelungen des Hauptvertrags und dieses AVV sowie in Textform erteilte Supportanweisungen.
(3) Hält DuruWorks eine Weisung für datenschutzrechtswidrig, wird DuruWorks den Verantwortlichen unverzüglich darauf hinweisen, soweit dies rechtlich zulässig ist. DuruWorks darf die Umsetzung einer offensichtlich rechtswidrigen Weisung bis zur Klärung aussetzen.
§ 7 Vertraulichkeit
DuruWorks stellt sicher, dass Personen, die zur Verarbeitung von Auftragsdaten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im erforderlichen Umfang Zugriff erhalten.
§ 8 Sicherheit der Verarbeitung
(1) DuruWorks trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.
(2) Dazu gehören, soweit einschlägig, insbesondere:
- authentifizierte Benutzerkonten und geschützte Administrationsbereiche,
- rollen- und accountbezogene Zugriffskontrollen,
- technische Mandantentrennung,
- serverseitige Autorisierung,
- Beschränkung privilegierter Zugangsdaten auf Serverprozesse,
- Transportverschlüsselung über HTTPS/TLS,
- sichere Verwaltung von Secrets und API-Zugangsdaten,
- Rate Limits und Maßnahmen gegen automatisierten Missbrauch,
- Bot-Schutz bei öffentlich erreichbaren Funktionen,
- sichere, zufällige Tokens für sensible öffentliche Vorgänge,
- Sicherheitsheader und Schutz gegen typische Webangriffe,
- technische Protokollierung sicherheitsrelevanter Ereignisse,
- professionelle Hosting- und Datenbankinfrastruktur,
- Backup- und Wiederherstellungsmechanismen entsprechend der eingesetzten Infrastruktur,
- Lösch-, Anonymisierungs- und Exportfunktionen,
- Verfahren zur Rotation kompromittierter Zugangsdaten.
(3) DuruWorks darf die Maßnahmen an technische Entwicklungen anpassen, sofern das vereinbarte Schutzniveau insgesamt nicht wesentlich reduziert wird.
§ 9 Unterstützungspflichten
DuruWorks unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen in angemessenem Umfang bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bezüglich Sicherheit der Verarbeitung, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden.
§ 10 Betroffenenrechte
(1) Soweit eine betroffene Person Rechte hinsichtlich von Auftragsdaten unmittelbar gegenüber DuruWorks geltend macht, wird DuruWorks die Anfrage grundsätzlich an den Verantwortlichen verweisen beziehungsweise weiterleiten, soweit eine Zuordnung möglich und rechtlich zulässig ist.
(2) DuruWorks unterstützt den Verantwortlichen im Rahmen der vorhandenen technischen Möglichkeiten bei Auskunft, Datenkopie, Berichtigung, Löschung, Anonymisierung, Einschränkung, Datenübertragbarkeit und Widerspruch, soweit die gesetzlichen Voraussetzungen vorliegen.
§ 11 Datenschutzverletzungen
(1) DuruWorks informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Auftragsdaten.
(2) Die Information enthält, soweit verfügbar, Art des Vorfalls, betroffene Datenkategorien, Umfang, bekannte oder voraussichtliche Auswirkungen und bereits getroffene oder geplante Gegenmaßnahmen. Fehlende Informationen können nachgereicht werden.
(3) Die Verantwortung des Kunden für erforderliche Meldungen an Aufsichtsbehörden oder betroffene Personen bleibt unberührt.
§ 12 Weitere Auftragsverarbeiter
(1) Der Verantwortliche erteilt DuruWorks eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter.
(2) BarberFront kann je nach aktivierter Funktion insbesondere folgende Dienstleister einsetzen:
Supabase – Datenbank-, Backend-, Authentifizierungs- und gegebenenfalls Speicherinfrastruktur.
Vercel – Hosting, Server-/Edge-Funktionen, Auslieferung, Routing sowie technische Domain- und Infrastrukturleistungen.
Resend – Versand transaktionaler E-Mails.
hCaptcha – Bot-, Spam- und Missbrauchsschutz bei öffentlich erreichbaren Funktionen.
OpenAI – optionale KI-gestützte Generierung von Salon-, Dienstleistungs-, Mitarbeiter- und SEO-Texten. Endkunden-Buchungsdaten sind für diese Funktion nicht vorgesehen.
Technische Cache-/Redis-Infrastruktur, beispielsweise Upstash, soweit eingesetzt – technische Hostname-, Routing- oder Cachefunktionen. Buchungs- und Endkundendaten sind nicht als regulärer Bestandteil eines reinen Hostname-Caches vorgesehen.
(3) DuruWorks darf Unterauftragnehmer hinzufügen oder ersetzen. Über wesentliche Änderungen, die personenbezogene Auftragsdaten betreffen, wird der Verantwortliche grundsätzlich vor dem geplanten Einsatz informiert und erhält eine angemessene Möglichkeit, aus nachvollziehbarem datenschutzrechtlichem Grund zu widersprechen.
(4) Ist eine zumutbare Alternative nicht verfügbar und kann der betroffene Dienst ohne den Unterauftragnehmer nicht weiter erbracht werden, kann der betroffene Dienst beziehungsweise erforderlichenfalls der Hauptvertrag beendet werden.
(5) In dringenden Fällen, insbesondere zur Abwehr erheblicher Sicherheitsrisiken oder zur Aufrechterhaltung des Dienstes, kann ein Wechsel kurzfristiger erfolgen; der Kunde wird dann unverzüglich informiert.
(6) DuruWorks verpflichtet Unterauftragnehmer im erforderlichen Umfang auf Datenschutzpflichten, die den Pflichten dieses AVV entsprechen.
§ 13 Drittlandübermittlungen
Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Soweit erforderlich, werden geeignete Garantien eingesetzt, insbesondere Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere gesetzlich anerkannte Transfermechanismen.
§ 14 Nachweise und Kontrollen
(1) DuruWorks stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen.
(2) Nachweise können insbesondere durch Sicherheitsdokumentationen, Zertifizierungen von Infrastrukturpartnern, Prüfberichte oder schriftliche Auskünfte erfolgen.
(3) Soweit diese Nachweise nicht ausreichen, darf der Verantwortliche angemessene Prüfungen selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen. Prüfungen sind grundsätzlich rechtzeitig anzukündigen und so durchzuführen, dass der normale Geschäftsbetrieb möglichst wenig beeinträchtigt wird.
(4) Bei konkreten Datenschutzvorfällen oder behördlichen Anforderungen kann eine kurzfristigere Prüfung erforderlich sein. Geschäftsgeheimnisse und Daten anderer Kunden sind stets zu schützen.
§ 15 Rückgabe, Löschung und Sicherungskopien
(1) Nach Beendigung der Auftragsverarbeitung löscht oder anonymisiert DuruWorks personenbezogene Auftragsdaten beziehungsweise stellt vorhandene Exportmöglichkeiten zur Verfügung, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
(2) Gesetzlich aufzubewahrende Daten werden nur für den entsprechenden gesetzlichen Zweck weiter gespeichert.
(3) Soweit Daten in technischen Sicherungskopien enthalten sind und eine sofortige gezielte Löschung technisch nicht möglich oder unverhältnismäßig ist, dürfen sie bis zum regulären Überschreibungs- oder Löschzyklus verbleiben. Sie dürfen nicht für andere Zwecke wiederhergestellt oder verarbeitet werden, außer soweit dies zur Wiederherstellung des Dienstes oder aufgrund gesetzlicher Verpflichtung erforderlich ist.
§ 16 Verantwortung des Verantwortlichen
(1) Der Kunde ist für die Rechtmäßigkeit der von ihm veranlassten Verarbeitung, die Erfüllung der Informationspflichten gegenüber Endkunden und Mitarbeitern sowie das Vorliegen erforderlicher Rechtsgrundlagen verantwortlich.
(2) Der Kunde soll nur Daten verarbeiten, die für den jeweiligen Zweck erforderlich sind, und keine besonderen Kategorien personenbezogener Daten in Freitextfeldern speichern, sofern deren Verarbeitung nicht rechtmäßig und erforderlich ist.
(3) Der Kunde ist für die ordnungsgemäße Verwaltung seiner Benutzer- und Mitarbeiterberechtigungen verantwortlich.
§ 17 Dokumentation und elektronische Form
(1) Dieser AVV wird elektronisch abgeschlossen. BarberFront darf zum Nachweis insbesondere Dokumentversion, Inhalts-Hash, Account, akzeptierenden Benutzer, Zeitpunkt und technische Nachweisdaten der Annahme speichern.
(2) Änderungen der dokumentierten Weisungen können über die Plattform oder in Textform erfolgen.
§ 18 Rangfolge und Schlussbestimmungen
(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich der Auftragsverarbeitung die Bestimmungen dieses AVV vor.
(2) Im Übrigen gelten die Regelungen des Hauptvertrags und der BarberFront-AGB.
(3) Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleiben die übrigen Bestimmungen unberührt; an ihre Stelle treten die gesetzlichen Regelungen.