Vertrag zur Auftragsverarbeitung

zwischen dem Studio, das Rilto nach den Allgemeinen Geschäftsbedingungen nutzt (im Folgenden „Verantwortlicher“ oder „Studio“), und Emre Gökce, Stresemannstraße 2, 63486 Bruchköbel (im Folgenden „Auftragsverarbeiter“ oder „Rilto“). Dieser Vertrag kommt mit dem Abschluss des Nutzungsvertrags zustande (§ 8 AGB) und gilt für dessen Dauer. Er wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO); das Studio erhält ihn per E-Mail mit der Bestätigung seiner Buchung beziehungsweise der Anlage seines Kontos und kann ihn hier jederzeit abrufen.

§ 1 Gegenstand und Dauer

Rilto stellt dem Studio eine Software zur Organisation seines Betriebs bereit (Terminkalender, Online-Buchung, Kundenverwaltung, Anamnesebögen, Behandlungsfotos, Benachrichtigungen, Team, Umsatz). Dabei verarbeitet Rilto personenbezogene Daten im Auftrag des Studios. Die Dauer entspricht der Laufzeit des Nutzungsvertrags einschließlich der 30-tägigen Frist nach Vertragsende (§ 9 AGB), in der das Studio seine Daten exportieren kann.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

Zweck: Speicherung, Anzeige, Bearbeitung, Übermittlung von Benachrichtigungen und Löschung der Daten, die das Studio und seine Kundinnen in Rilto eingeben — ausschließlich zur Erbringung der vertraglichen Leistung. Rilto nutzt die Daten nicht für eigene Zwecke, wertet sie nicht studioübergreifend aus und gibt sie nicht an Dritte weiter, die nicht in Anlage 2 stehen.

Betroffene: Kundinnen und Kunden des Studios; Mitarbeiterinnen des Studios; Personen, die über die Buchungsseite des Studios einen Termin anfragen.

Datenkategorien:

• Stammdaten der Kundinnen (Name, Telefonnummer, E-Mail-Adresse, Geburtsdatum, Notizen des Studios);
• Termindaten (Behandlung, Zeitpunkt, Mitarbeiterin, Status, Buchungsweg) und daraus abgeleitete Umsatzeinträge;
• Einwilligungen mit Wortlaut, Zeitpunkt und Widerruf;
• besondere Kategorien nach Art. 9 DSGVO: Angaben aus Anamnesebögen (Allergien, Hauterkrankungen, Medikamente, Schwangerschaft) und Behandlungsfotos — nur mit ausdrücklicher Einwilligung der Kundin;
• Daten der Mitarbeiterinnen (Name, Kürzel, E-Mail-Adresse, Rechtestufe, Arbeitszeiten, Abwesenheiten, Anmeldezeitpunkte);
• Protokolldaten (Versand von Benachrichtigungen, Zugriffe auf Gesundheitsdaten, Änderungen an Kundendaten).

§ 3 Weisungen

Rilto verarbeitet die Daten nur auf dokumentierte Weisung des Studios. Die Nutzung der Anwendung durch das Studio und seine Mitarbeiterinnen gilt als Weisung; darüber hinausgehende Weisungen erteilt das Studio in Textform an hallo@rilto.de. Hält Rilto eine Weisung für rechtswidrig, teilt es das dem Studio unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen. Eine Verarbeitung außerhalb der Europäischen Union oder des EWR findet nur in dem in Anlage 2 beschriebenen Umfang statt.

§ 4 Pflichten von Rilto

1. Vertraulichkeit. Alle Personen, die bei Rilto Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Zugang ist auf die Personen beschränkt, die ihn für den Betrieb brauchen, und wird protokolliert.
2. Sicherheit. Rilto trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, hält sie auf dem Stand der Technik und prüft sie regelmäßig. Änderungen dürfen das Schutzniveau nicht senken.
3. Unterstützung bei Betroffenenrechten. Wendet sich eine betroffene Person an Rilto, verweist Rilto sie an das Studio und leitet die Anfrage weiter. Rilto stellt dem Studio die Funktionen bereit, mit denen es Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit selbst erfüllen kann (Kundenakte, Export, Löschung mit Anonymisierung der Stammdaten und vollständiger Löschung der Gesundheitsdaten, Widerruf von Einwilligungen).
4. Unterstützung bei Art. 32 bis 36. Rilto unterstützt das Studio bei der Sicherheit der Verarbeitung, bei der Meldung von Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung und bei der Konsultation der Aufsichtsbehörde, soweit die Informationen bei Rilto liegen.
5. Datenschutzverletzungen. Rilto meldet dem Studio jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Kenntnis, spätestens innerhalb von 24 Stunden, an die im Konto hinterlegte E-Mail-Adresse und, soweit Rilto eine Telefonnummer vorliegt, zusätzlich telefonisch. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, betroffene Datenkategorien und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen; fehlende Angaben werden nachgereicht. Die Meldung an die Aufsichtsbehörde und an die Betroffenen obliegt dem Studio; Rilto liefert die dafür nötigen Angaben.
6. Löschung und Rückgabe. Nach Vertragsende kann das Studio seine Daten 30 Tage lang selbst als Datenpaket beziehen (Kundinnen, Termine, Umsätze, Team, Anamnesen, Einwilligungen, Fotos). Danach löscht Rilto alle Daten des Studios einschließlich der Protokolle und Dateien vollständig; zurück bleibt ein Nachweis der Löschung ohne Personenbezug. Solange das Datenpaket nicht abgeholt wurde, hält die Löschung an und Rilto meldet sich beim Studio. Gesetzliche Aufbewahrungspflichten von Rilto (Rechnungsdaten des Studios) bleiben unberührt; sie betreffen keine Kundinnendaten.
7. Nachweise und Kontrollen. Rilto stellt dem Studio auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind: die technisch-organisatorischen Maßnahmen mit Belegen, die Ergebnisse der automatischen Mandantentrennungs-Prüfung, das Verzeichnis der Verarbeitungstätigkeiten für die Auftragsverarbeitung. Das Studio kann nach Ankündigung mit angemessener Frist einmal jährlich, bei konkretem Anlass auch häufiger, eine Überprüfung durchführen oder durch eine zur Verschwiegenheit verpflichtete Stelle durchführen lassen. Die Überprüfung erfolgt so, dass der Betrieb und die Daten anderer Studios nicht beeinträchtigt werden.
8. Datenschutzbeauftragter. Bei der derzeitigen Größe des Betriebs ist Rilto nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO, § 38 BDSG); Rilto prüft das mit wachsender Zahl der Studios erneut und informiert das Studio über eine Benennung. Ansprechpartner für den Datenschutz ist die in der Datenschutzerklärung genannte Adresse.

§ 5 Pflichten des Studios

Das Studio ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Einholung wirksamer Einwilligungen für Gesundheitsdaten und Bewertungsanfragen, für die Information seiner Kundinnen nach Art. 13 DSGVO (Impressum und Datenschutzhinweise auf der Buchungsseite, die Rilto dafür bereitstellt) und für die Wahrung der Betroffenenrechte. Es weist Mitarbeiterinnen nur die Rechte zu, die sie für ihre Arbeit brauchen, teilt keine Zugänge und entfernt Zugänge ausgeschiedener Mitarbeiterinnen. Es informiert Rilto unverzüglich über Fehler oder Unregelmäßigkeiten, die es bei der Verarbeitung bemerkt.

§ 6 Unterauftragsverarbeiter

Das Studio genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter. Rilto hat mit jedem von ihnen einen Vertrag geschlossen, der ihm die Pflichten dieses Vertrags auferlegt. Beabsichtigt Rilto, einen weiteren Unterauftragsverarbeiter einzusetzen oder einen zu ersetzen, informiert es das Studio mindestens vier Wochen vorher per E-Mail. Widerspricht das Studio innerhalb dieser Frist aus einem datenschutzrechtlichen Grund, kann jede Seite den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen; bis dahin wird der neue Unterauftragsverarbeiter für die Daten des Studios nicht eingesetzt. Hilfsdienste ohne Zugriff auf die Daten (etwa Überwachung der Erreichbarkeit, Domain-Registrierung) sind keine Unterauftragsverarbeitung.

§ 7 Ort der Verarbeitung

Die Verarbeitung findet auf Servern in der Europäischen Union statt (Frankreich, Sicherungen in Deutschland). Eine Ausnahme ist der E-Mail-Versand: der Dienstleister versendet über Server in Irland, speichert Kontodaten und Zustellprotokolle aber in den USA. Grundlage dafür sind die EU-Standardvertragsklauseln und die Zertifizierung des Dienstleisters unter dem EU-U.S. Data Privacy Framework (Anlage 2). Gesundheitsdaten verlassen die EU nicht; sie werden weder per E-Mail noch per SMS versendet.

§ 8 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt ergänzend § 10 der AGB; die dort vereinbarten Grenzen gelten nicht für Ansprüche betroffener Personen.

§ 9 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und den AGB geht in Fragen des Datenschutzes dieser Vertrag vor. Änderungen dieses Vertrags teilt Rilto dem Studio wie Änderungen der AGB mit (§ 11 AGB); Änderungen, die das Schutzniveau senken, bedürfen der ausdrücklichen Zustimmung des Studios. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Die Server stehen in Rechenzentren des Hosting-Anbieters in Frankreich mit Zutrittskontrolle; Rilto selbst betreibt keine eigenen Räume mit Servern.
• Zugang: Serverzugang nur mit persönlichen SSH-Schlüsseln, kein Passwort-Login; jeder Schlüssel ist einer Person zugeordnet. Die Verwaltungsoberflächen des Betreibers sind nur über einen nicht öffentlichen Pfad, mit Passwort und zweitem Faktor (TOTP) erreichbar; Sitzungen laufen nach 12 Stunden ab. Datenbank und Speicher sind nicht direkt aus dem Internet erreichbar, sondern nur über die Anwendung.
• Zugriff: Jede Mitarbeiterin hat einen eigenen Zugang mit einer vom Studio vergebenen Rechtestufe. Umsätze und Mitarbeiterdaten sieht nur der Studio-Admin. Gesundheitsdaten liegen in einem eigenen, getrennten Datenbankbereich und einem privaten Dateispeicher; Lesezugriff gibt es nur bei gültiger, nicht widerrufener Einwilligung und nur für Zugänge mit dem entsprechenden Recht. Jeder Zugriff auf Gesundheitsdaten wird mit Person und Zeitpunkt protokolliert. Fotos werden ausschließlich über kurzlebige, signierte Links ausgeliefert.
• Trennung: Jede Zeile in der Datenbank trägt die Kennung des Studios; Zugriffsregeln auf Datenbankebene (Row Level Security) auf jeder Tabelle stellen sicher, dass ein Studio nie Daten eines anderen sieht. Diese Trennung wird bei jeder Schemaänderung durch einen automatischen Test mit zwei Studios geprüft (Stand 10.09.2026: 201 Einzelprüfungen).
• Pseudonymisierung und Datensparsamkeit: Beim Löschen einer Kundin werden Stammdaten anonymisiert und Gesundheitsdaten vollständig gelöscht; Umsatzeinträge bleiben ohne Personenbezug. Benachrichtigungen enthalten keine Gesundheitsdaten. Zähler zum Schutz vor Missbrauch speichern nur Prüfsummen.

Integrität

• Transport: Alle Verbindungen sind TLS-verschlüsselt (Browser, interne Dienste, Mail- und SMS-Dienstleister, Sicherungen). Sicherheits-Header und eine Content-Security-Policy schützen die Anwendung im Browser.
• Eingabekontrolle: Änderungen an Kundendaten werden durch Datenbank-Trigger protokolliert, die die Anwendung nicht umgehen kann; Umsatzeinträge sind für alle Rollen unveränderbar. Einwilligungen werden mit dem Wortlaut gespeichert, den die Kundin gesehen hat, gesichert durch eine Prüfsumme.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherungen von Datenbank, Dateien und Konfiguration, 30 Tage aufbewahrt; zusätzlich jede Nacht verschlüsselt (Schlüssel nur bei Rilto) an einen Speicher in einem anderen Rechenzentrum in Deutschland. Die Wiederherstellung aus der Sicherung wurde geprobt.
• Ein Wächter auf einem zweiten Server prüft alle fünf Minuten Anwendung, Netzsperren, Ausrollung, geplante Läufe und Speicherplatz und alarmiert den Betreiber per E-Mail und SMS. Ein unabhängiger Dienst außerhalb beider Server schlägt an, wenn der Wächter selbst ausfällt.
• Anwendung und Datenbank laufen auf getrennten Servern; Sicherheits-Updates werden regelmäßig eingespielt; Drosseln schützen die öffentlichen Schnittstellen vor Überlast.

Verfahren zur regelmäßigen Überprüfung

• Mandantentrennungs-Test bei jeder Schemaänderung; automatisierte Tests der Anwendung vor jeder Veröffentlichung; Sicherheits- und Datenschutz-Audits mit dokumentierten Funden und Behebung (Stand 10.09.2026: elf Audits, alle Funde mit Code-Anteil geschlossen).
• Löschfristen sind in der Datenbank hinterlegt und laufen automatisch: Versandprotokoll 6 Monate, Zugriffsprotokoll 24 Monate, Zahlungsereignisse 12 Monate, Server-Protokolle 30 Tage, Zähler zum Schutz vor Missbrauch 2 Tage, Interessenten 90 Tage nach Ende des Kontakts, Studiodaten 30 Tage nach Vertragsende.
• Ein schriftlicher Ablauf für Datenschutzverletzungen (Beweissicherung, Eindämmung, Meldung an das Studio innerhalb von 24 Stunden) liegt vor.

Anlage 2 — Unterauftragsverarbeiter

• Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern — Bereitstellung der Server (Rechenzentrum Frankreich). Sieht alles, was auf den Servern liegt; Datenschutzvereinbarung als Teil der Nutzungsbedingungen, Verarbeitung in der EU.
• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland — Ablage der verschlüsselten Sicherungen. Hat keinen Zugriff auf lesbare Daten; der Schlüssel liegt nur bei Rilto.
• Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA — Versand von E-Mails (Terminbestätigungen, Erinnerungen, Bewertungsanfragen, Einladungs- und Passwortmails). Versand über Irland; Kontodaten und Zustellprotokolle in den USA, 30 Tage. Grundlage: EU-Standardvertragsklauseln und EU-U.S. Data Privacy Framework. Erhält Empfängeradresse, Vorname, Studioname, Behandlung, Termin.
• seven communications GmbH & Co. KG, Willestraße 4–6, 24103 Kiel, Deutschland — Versand von SMS. Erhält Mobilfunknummer und Nachrichtentext.

Kein Unterauftragsverarbeiter für Kundinnendaten ist Stripe: Stripe wickelt nur das Studio-Abo ab und erhält keine Daten der Kundinnen. Supabase Inc. erhält keine Daten; die gleichnamige Software wird von Rilto selbst betrieben.

Anlage 3 — Hinweis zum Kalender-Abonnement

Bindet eine Mitarbeiterin ihren Rilto-Kalender per Abonnement-Link in ein Kalenderprogramm ein (etwa Apple Kalender oder Google Kalender), übermittelt das Kalenderprogramm je Termin Vor- und Nachname der Kundin, Behandlung, Beginn, Ende und Studioname an dessen Anbieter. Diese Übermittlung veranlasst das Studio, nicht Rilto; der Kalenderanbieter ist kein Unterauftragsverarbeiter von Rilto. Das Studio entscheidet, ob es diese Funktion nutzt, und trägt die Verantwortung für den gewählten Anbieter. Der Link lässt sich in der Anwendung jederzeit zurückziehen.