Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO zwischen dem jeweiligen Studio ("Verantwortlicher") und Karolina Bittner ("Auftragsverarbeiter"), Betreiberin der Plattform "PMU Akte+".
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten der Endkundinnen des Studios (Anamnese-, Gesundheits- und Behandlungsdaten inkl. Fotos und Unterschriften) im Rahmen der Nutzung der Plattform. Die Dauer entspricht der Laufzeit des Nutzungsvertrags (Studio-Abonnement).
2. Art und Zweck der Verarbeitung
Speicherung, Anzeige, Export (PDF/CSV) und E-Mail-Versand von Anamnese- und Behandlungsdaten zum Zweck der Kundendokumentation des Studios.
3. Art der Daten
Name, Kontaktdaten, Geburtsdatum, Adresse, Gesundheitsangaben (Art. 9 DSGVO), Einwilligungserklärungen inkl. Unterschrift, Fotos, Behandlungsdetails (u. a. verwendete Pigmente, Chargen-/Lot-Nummern).
4. Kategorien betroffener Personen
Endkundinnen des Studios.
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (insbesondere im Rahmen der bestimmungsgemäßen Nutzung der Plattform), gewährleistet die Vertraulichkeit (Zugriff nur für zur Verarbeitung befugtes Personal), trifft technische und organisatorische Maßnahmen gem. Art. 32 DSGVO (siehe Anlage 1), unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten sowie bei der Meldung von Datenschutzverletzungen, und löscht oder gibt nach Vertragsende alle Daten zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
Supabase (Datenbank & Speicher, EU-Region Frankfurt)
Resend / Plus Five Five, Inc. (E-Mail-Versand)
Vercel Inc. (Hosting)
[Stripe] (Zahlungsabwicklung, sobald aktiv)
Über Änderungen der Unterauftragsverarbeiter wird der Verantwortliche informiert.
7. Kontrollrechte
Der Verantwortliche kann sich in angemessenem Rahmen von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen, z. B. durch Vorlage geeigneter Nachweise.
8. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betreffen.
Anlage 1: Technische und organisatorische Maßnahmen
Verschlüsselte Übertragung (HTTPS/TLS); Passwörter ausschließlich verschlüsselt gespeichert; Zugriffstrennung zwischen Studios auf Datenbankebene; private, nicht öffentlich zugängliche Speicherung von Fotos mit zeitlich begrenzten Zugriffslinks; Schutz gegen wiederholte Anmeldeversuche (Brute-Force-Schutz); serverseitige Festschreibung von Einwilligungstexten zur Nachvollziehbarkeit; Sicherheits-HTTP-Header gegen gängige Web-Angriffe.
Stand: 15. August 2026