Entwurf – vor Veröffentlichung ausfüllen und anwaltlich prüfen lassen. Ersetze alle [Platzhalter] durch die echten Daten. Diese Erklärung beschreibt die Verarbeitung durch Modulo selbst. Wie ein einzelner Betrieb die Daten seiner Kundinnen und Kunden verarbeitet, steht in dessen eigener Datenschutzerklärung — siehe Abschnitt 3.
1. Verantwortlicher
Verantwortlich für die in dieser Erklärung beschriebene Datenverarbeitung ist:
[Firma] UG (haftungsbeschränkt)
[Straße und Hausnummer]
[PLZ und Ort]
E-Mail: termine@modulo-termine.de
Telefon: [Telefonnummer]
Ein Datenschutzbeauftragter ist nach § 38 BDSG derzeit nicht zu benennen. Für Fragen zum Datenschutz erreichst du uns unter der oben genannten Adresse.
2. Kurz gefasst: Wer verarbeitet was?
Modulo Termine wird von Dienstleistungsbetrieben genutzt, die ihren Kundinnen und Kunden eine eigene Buchungsseite anbieten. Deshalb gibt es zwei verschiedene Rollen:
- Für die Daten der Betriebe, die Modulo Termine kaufen und nutzen — also Firmenname, Ansprechpartner, Anschrift, Kontakt- und Zahlungsdaten — sind wir verantwortlich. Darum geht es in den Abschnitten 4 bis 9.
- Für die Daten der Kundinnen und Kunden eines Betriebs — also Name, Kontaktdaten und Termine, die auf dessen Buchungsseite anfallen — ist der jeweilige Betrieb verantwortlich. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen (Art. 28 DSGVO). Darum geht es in Abschnitt 3.
3. Daten, die wir im Auftrag eines Betriebs verarbeiten
Wenn du auf der Buchungsseite eines Betriebs einen Termin buchst, ist dieser Betrieb für deine Daten verantwortlich, nicht Modulo. Verarbeitet werden dabei insbesondere Name, E-Mail-Adresse, gegebenenfalls Telefonnummer, die gewählte Leistung und der Termin.
Wenn du wissen möchtest, auf welcher Grundlage und wie lange diese Daten verarbeitet werden, oder wenn du deine Rechte ausüben willst, wende dich bitte an den Betrieb, bei dem du gebucht hast. Seine Kontaktdaten stehen auf seiner Buchungsseite. Anfragen, die uns erreichen, leiten wir an den Betrieb weiter und beantworten sie nicht selbst.
Mit jedem Betrieb besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Er regelt unter anderem, dass wir diese Daten nicht für eigene Zwecke verwenden.
4. Aufruf der Website und Hosting
Diese Website und die Anwendung werden bei einem externen Dienstleister gehostet. Anbieter ist ALL-INKL.COM – Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland.
Beim Aufruf verarbeitet der Hoster automatisch Informationen, die dein Browser übermittelt (Server-Logfiles): IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp und Betriebssystem. Das dient der technischen Bereitstellung und der Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und stabilen Betrieb. Mit dem Hoster besteht ein Auftragsverarbeitungsvertrag.
5. Registrierung und Vertragsabwicklung
Registriert sich ein Betrieb für Modulo Termine, verarbeiten wir: Name des Betriebs, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Anschrift, gegebenenfalls abweichende Rechnungsanschrift und USt-IdNr., den verwendeten Vertriebscode sowie die Zahlungs- und Rechnungsdaten.
Zweck ist der Abschluss und die Durchführung des Vertrages einschließlich Rechnungsstellung und Support. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die steuerliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.
Dasselbe gilt für einen kostenlosen Testzugang. Für ihn gelten zusätzlich die Löschfristen aus Abschnitt 9.
6. Konten von Nutzerinnen und Nutzern
Für die Anmeldung verarbeiten wir E-Mail-Adresse und Passwort. Das Passwort wird ausschließlich als nicht rückrechenbarer Hash gespeichert. Zusätzlich fallen Zeitpunkte von An- und Abmeldungen an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
7. Partner-Bewerbungen
Wer sich über das Formular auf unserer Partnerseite bewirbt, übermittelt uns Name, E-Mail-Adresse, Telefonnummer und die freiwilligen Angaben aus dem Formular. Wir verarbeiten sie, um die Bewerbung zu prüfen und zu beantworten (Art. 6 Abs. 1 lit. b DSGVO). Kommt keine Zusammenarbeit zustande, löschen wir die Angaben spätestens nach [Frist, z. B. sechs Monaten].
8. Kontaktaufnahme
Wenn du uns per E-Mail schreibst, verarbeiten wir deine Angaben, um die Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO.
9. Speicherdauer und Löschung
Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten es vorschreiben. Im Einzelnen:
- Vertrags- und Rechnungsdaten: bis zum Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen (Rechnungen derzeit acht Jahre nach § 147 AO, sonstige Unterlagen bis zu zehn Jahre).
- Daten in einem Betriebszugang: für die Dauer des Vertrages. Nach dessen Ende gelten die Fristen aus unseren Geschäftsbedingungen: mindestens 30 Tage zum Abrufen der Daten, danach Löschung.
- Testzugänge: Wird ein Testzugang nach Ablauf des Testzeitraums nicht kostenpflichtig freigeschaltet, wird er auf Nur-Lesen umgestellt und 90 Tage nach Ablauf endgültig gelöscht — einschließlich der vom Betrieb erfassten Daten seiner eigenen Kundinnen und Kunden. Der Betrieb wird vorher per E-Mail informiert und kann seine Daten bis dahin jederzeit exportieren.
- Server-Logfiles: nach den Vorgaben des Hosters, in der Regel wenige Tage.
- Bewerbungen als Partner: siehe Abschnitt 7.
10. Empfänger und Auftragsverarbeiter
Zur Erbringung unserer Leistung setzen wir folgende Dienstleister als Auftragsverarbeiter ein. Mit allen bestehen Verträge nach Art. 28 DSGVO:
- ALL-INKL.COM – Neue Medien Münnich, Friedersdorf, Deutschland — Hosting (siehe Abschnitt 4).
- Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 — Datenbank, Anmeldung und serverseitige Funktionen. Das Projekt ist in einer Region innerhalb der EU angelegt; die Daten werden dort gespeichert und primär verarbeitet. Da der Anbieter seinen Sitz außerhalb der EU hat, sind ergänzend die Standardvertragsklauseln der Europäischen Kommission vereinbart.
- Resend, 2261 Market Street #5039, San Francisco, CA 94114, USA — Versand unserer automatischen E-Mails. Näheres in Abschnitt 11.
- [Stripe Payments Europe, Ltd., Dublin, Irland — nur falls die Online-Zahlung aktiviert wird]
Darüber hinaus geben wir Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind oder es zur Durchsetzung unserer Rechte erforderlich ist. Ein Verkauf von Daten findet nicht statt.
11. Übermittlung in die USA beim E-Mail-Versand
Alle automatischen E-Mails — Buchungsbestätigungen, Erinnerungen, Willkommens- und Systemnachrichten — versenden wir über den Dienst Resend. Dabei werden die Empfängeradresse, der Name der Empfängerin oder des Empfängers, der Inhalt der Nachricht und die Versandprotokolle auf Servern in den Vereinigten Staaten gespeichert. Eine Speicherung ausschließlich innerhalb der EU bietet der Anbieter derzeit nicht an.
Grundlage der Übermittlung sind der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework in Verbindung mit der Zertifizierung des Anbieters sowie ergänzend die Standardvertragsklauseln der Europäischen Kommission. Trotz dieser Garantien lässt sich nicht ausschließen, dass US-Behörden unter bestimmten Voraussetzungen auf Daten zugreifen können.
Rechtsgrundlage für den Versand selbst ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Nachricht der Vertragserfüllung dient, sonst Art. 6 Abs. 1 lit. f DSGVO.
12. Speicherung auf deinem Gerät
Modulo Termine speichert einzelne Angaben lokal in deinem Browser (Local Storage), damit die Anwendung funktioniert und sich Einstellungen merkt — etwa die zuletzt gewählte Ansicht oder die Anmeldesitzung. Diese Angaben verbleiben auf deinem Gerät und werden nicht an Dritte übermittelt.
Wir setzen keine Cookies oder ähnlichen Technologien zu Analyse-, Tracking- oder Werbezwecken ein. Die gespeicherten Angaben sind für den von dir ausdrücklich gewünschten Dienst unbedingt erforderlich; eine Einwilligung nach § 25 Abs. 1 TDDDG ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Aus demselben Grund gibt es hier kein Cookie-Banner.
13. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Wende dich dafür an die in Abschnitt 1 genannte Adresse — oder, wenn es um eine Terminbuchung geht, an den Betrieb (siehe Abschnitt 3).
Widerspruchsrecht: Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), hast du nach Art. 21 DSGVO das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen.
Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist [Aufsichtsbehörde am Sitz der Gesellschaft — bei Sitz in Nordrhein-Westfalen: Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, Kavalleriestraße 2–4, 40213 Düsseldorf].
Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.
14. Sicherheit der Übertragung
Diese Seite und die Anwendung sind ausschließlich verschlüsselt erreichbar (TLS). Eine verschlüsselte Verbindung erkennst du am „https://“ und dem Schloss-Symbol in der Adresszeile deines Browsers.
15. Änderungen dieser Erklärung
Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.
Noch zu klären, bevor diese Seite online geht
- Firma, Anschrift, Telefonnummer und die zuständige Aufsichtsbehörde eintragen.
- Abschnitt 11 (USA) anwaltlich prüfen lassen — das ist der Punkt mit dem größten Risiko. Alternative wäre ein Maildienst, der in der EU speichert; dann entfällt der Abschnitt weitgehend.
- Region des Datenbankprojekts belegen und die Auftragsverarbeitungsverträge aller Dienstleister ablegen.
- Löschfrist für Partner-Bewerbungen in Abschnitt 7 festlegen.
- Prüfen, ob die Anwendung tatsächlich nur unbedingt erforderliche Angaben lokal speichert (Abschnitt 12) — sobald irgendetwas zur Analyse hinzukommt, braucht es eine Einwilligung und ein Banner.
- Diesen Kasten vor der Veröffentlichung entfernen.
Stand: [Datum eintragen]