Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung

zwischen

dem Studio, das bei floww bestellt hat (nachfolgend „Studio“ oder „Verantwortlicher“)

und

Niemah Reuning, Oldenburger Straße 2, 10551 Berlin (nachfolgend „Anbieter“ oder „Auftragsverarbeiter“)

§ 1 Gegenstand und Dauer

1. Der Anbieter stellt dem Studio nach den Nutzungsbedingungen von floww (nachfolgend „Hauptvertrag“) je nach den Bausteinen seines Tarifs einen Online-Dienst bereit:

(a) Online-Terminbuchung: ein Buchungsformular für die Seiten des Studios, auch für eine eigene Website, die das Studio selbst betreibt und in die es das Buchungsformular einbindet, eine Terminverwaltung im Browser, E-Mails an die Kundinnen und Kunden des Studios zu ihren Terminen und ein Kalender-Abo;

(b) Website: Erstellung der Website des Studios aus seinen Angaben, Dateien und den öffentlichen Inhalten seines Instagram-Profils, auch mit Hilfe von KI-Diensten, Bearbeitung durch das Studio selbst und durch den Anbieter auf Nachricht des Studios, Hosting und Betrieb unter der vereinbarten Adresse;

(c) Buchungsseite: Hosting einer eigenen Seite mit der Online-Buchung des Studios.

§ 2 Teil A gilt, soweit der Tarif die Online-Terminbuchung umfasst, § 2 Teil B, soweit er eine Website oder eine Buchungsseite umfasst. Die eigene Website des Studios betreibt das Studio in eigener Verantwortung; sie ist nicht Gegenstand dieses Vertrags.

2. Dabei verarbeitet der Anbieter personenbezogene Daten im Auftrag des Studios. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

3. Der Vertrag gilt für die Dauer des Hauptvertrags und endet mit ihm. Die Pflichten aus § 10 (Löschung und Rückgabe) und § 4 (Vertraulichkeit) bestehen darüber hinaus fort. Die Verarbeitung nach § 2 Teil B endet mit dem letzten Tag der Website bzw. der Buchungsseite; für die Aufbewahrung danach gilt § 10. Bis zur Löschung nach § 10 Abs. 2 gilt dieser Vertrag auch für die Auslieferung des Buchungsformulars an Seiten, auf denen das Studio es noch eingebunden hat.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Für beide Teile

1. Art der Verarbeitung: Der Anbieter erhebt, erfasst, ordnet, speichert, passt an und verändert, liest aus, fragt ab, verwendet, legt durch Übermittlung offen (an Kundinnen und Kunden per E-Mail, an die Unterauftragsverarbeiter nach Anlage 2), stellt bereit und veröffentlicht (Website und Buchungsseite), gleicht ab, schränkt ein und löscht personenbezogene Daten (Art. 4 Nr. 2 DSGVO), jeweils nur, soweit es für die Zwecke nach Abs. 2 und 6 und den Hauptvertrag nötig ist. Dazu gehört die automatisierte Bearbeitung von Texten und Bildern mit KI-Diensten nach Abs. 9 und Anlage 2.

Teil A · Online-Terminbuchung

2. Zweck: Vereinbarung, Verwaltung, Bestätigung, Erinnerung und Absage von Behandlungsterminen zwischen dem Studio und seinen Kundinnen und Kunden; sofern das Studio die Abfrage der Postanschrift einschaltet, auch deren Erhebung, damit das Studio Ausfallgebühren nach seinen Geschäftsbedingungen geltend machen kann.

3. Datenarten: Name, E-Mail-Adresse, Telefonnummer, optionale Anmerkung der Kundin, Postanschrift (Straße und Hausnummer, PLZ, Ort), sofern das Studio deren Abfrage einschaltet, gewählte Behandlung, Terminzeit, Zeitpunkt der Buchung und Absage, technische Prüfwerte (etwa für den Link zum Absagen). Bei Terminen, die das Studio selbst einträgt: Name, optional Telefonnummer und Notiz. Dazu technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse) bei der Nutzung des Buchungsformulars und der Seite zum Absagen, auch zur Abwehr von Missbrauch.

4. Betroffene: Kundinnen und Kunden des Studios sowie Personen, die eine Seite mit dem Buchungsformular des Studios aufrufen, auch die eigene Website des Studios.

5. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht abgefragt. Macht eine Kundin dennoch solche Angaben, verarbeitet der Anbieter sie wie alle übrigen Daten nach diesem Vertrag und Anlage 1; ob eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegt, beurteilt das Studio als Verantwortlicher. Auf Weisung löscht der Anbieter die Termine der betroffenen Person nach § 7 Abs. 2.

Teil B · Website und Buchungsseite

6. Zweck: Erstellung, Änderung, Hosting und Aufbewahrung der Website bzw. der Buchungsseite des Studios nach dem Hauptvertrag.

7. Datenarten: Angaben zum Studio und seiner Inhaberin für die Website (Name, Anschrift, Telefon, E-Mail-Adresse, Öffnungszeiten, Angaben für Impressum und Datenschutzerklärung, AGB des Studios, Preisliste, auch als hochgeladene Datei); Instagram-Name, Profiltext, Beitragstexte und Profilbild; Fotos und Videos, die Personen zeigen können, insbesondere Kundinnen vor und nach einer Behandlung, Mitarbeitende und die Inhaberin, einschließlich ihrer mit KI bearbeiteten Fassungen; Texte der Website; Änderungen und Sendungen des Studios (Texte, Fotos mit Beschreibung, Ausrichtung je Gerät, Einträge in Listen, Sichtbarkeit von Abschnitten), Nachrichten des Studios an den Anbieter, Bestätigungen beim Senden (Art, Stand und Prüfwert des Textes, Zeitpunkt, Rolle der Sitzung, ohne E-Mail-Adresse); Wunschtexte und Wunschfotos, solange das Studio Änderungen noch als Wünsche schickt; Aufträge an die Werkzeuge des Anbieters mit ihren Eingaben und Meldungen; Protokolle der Abrufe (Instagram-Name, Zeiten, Stufenmeldungen, ohne Inhalte des Profils); Bilder der veröffentlichten Startseite für die Terminverwaltung; technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung) beim Aufruf der Website, der Buchungsseite und der Vorschauen.

8. Betroffene: Inhaberin, Mitarbeitende und Ansprechpersonen des Studios; Personen, die auf Fotos und Videos des Studios abgebildet sind, insbesondere Kundinnen; Personen, die in Texten des Instagram-Profils genannt sind; Besucherinnen der Website und der Buchungsseite.

9. Wie der Dienst die Daten verarbeitet, insbesondere:

(a) Übernahme der Angaben und Dateien, die das Studio bei der Bestellung für seine Website macht oder hochlädt;

(b) Abruf der öffentlichen Inhalte des Instagram-Profils des Studios (Profiltext, Beitragstexte, Fotos, Profilbild) ohne Anmeldung bei Instagram; Kommentare, markierte Konten und Erwähnungen anderer Konten werden vor dem Speichern verworfen;

(c) Auswahl der Bilder und Formulieren der Texte mit einem KI-Dienst anhand der Texte und verkleinerter Vorschaubilder;

(d) Bearbeitung von Fotos und Videos (Zuschnitt, Skalierung, Umwandlung, Entfernen von Metadaten) und Bearbeitung und Erweiterung von Bildern und Videos mit KI-Diensten nach § 7 des Hauptvertrags; Gesichter und Körper erkennbarer Personen verändert keine KI;

(e) Erstellung von Entwürfen und Vorschauen und Bau der Website;

(f) Speicherung der Änderungen, die das Studio selbst vornimmt, seiner Sendungen und seiner Nachrichten an den Anbieter; Prüfung jeder Sendung durch den Anbieter, der über jede Veröffentlichung entscheidet;

(g) Speicherung der Fassungen, Dateien und gebauten Seiten und Auslieferung der Website bzw. Buchungsseite an Besucherinnen;

(h) solange das Studio Änderungen noch als Wünsche schickt: Umsetzen der Wünsche und Fehlermeldungen einschließlich angehängter Fotos, wobei der Anbieter über jede Änderung entscheidet; Vorschläge erarbeitet dabei der KI-Dienst Claude von Anthropic, den der Anbieter über ein privates Abonnement nutzt und bei dem Anthropic nach Einschätzung der Kanzlei des Anbieters nicht als Unterauftragsverarbeiter tätig ist (Anlage 1 Abschnitt 9);

(i) Aufbewahrung der nicht öffentlichen Website nach einem Wechsel auf den Tarif ohne Website (§ 10 Abs. 7);

(j) Änderung, Entfernen einzelner Inhalte und Löschung auf Weisung.

10. Mit der Bestellung eines Tarifs mit Website, auch einer Wechsel-Bestellung nach § 13 Abs. 9 des Hauptvertrags, weist das Studio den Anbieter an, die Verarbeitungen nach Abs. 9 vorzunehmen, insbesondere den Abruf nach lit. b und die KI-Bearbeitung nach lit. c und d. Das Studio kann diese Weisung jederzeit für die Zukunft ändern, etwa den Abruf aus Instagram oder die Bearbeitung mit KI ausschließen; der Anbieter befolgt die geänderte Weisung spätestens am zweiten Arbeitstag nach Eingang.

11. Das Studio stellt keine Fotos oder Texte bereit, aus denen Gesundheitsdaten nach Art. 9 DSGVO hervorgehen. Es stellt sicher, dass für die Veröffentlichung jedes Fotos die erforderlichen Einwilligungen der abgebildeten Personen vorliegen (§ 8 Abs. 3 des Hauptvertrags), und weist den Anbieter an, ein Foto zu entfernen, wenn eine Einwilligung widerrufen wird.

§ 3 Weisungen (Art. 28 Abs. 3 lit. a)

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Studios. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen des Studios (etwa Behandlungen, Öffnungszeiten, Vorlaufzeit, Kontaktdaten). Ist der Anbieter durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Studio diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2. Weitere Weisungen erteilt das Studio in Textform (E-Mail genügt) an die in § 12 genannte Adresse. Der Anbieter dokumentiert sie. Weisungen, die Daten von Kundinnen und Kunden enthalten, erteilt das Studio per E-Mail an die in § 12 genannte Adresse, nicht über Messenger. Erhält der Anbieter solche Daten über einen Messenger, nutzt er sie nur zur Ausführung der Weisung und löscht die Nachricht dort unverzüglich.

3. Hält der Anbieter eine Weisung für rechtswidrig, informiert er das Studio unverzüglich und darf die Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 Satz 3).

4. Eine Übermittlung in ein Drittland erfolgt nur nach § 6 in Verbindung mit Anlage 2 oder nach Weisung des Studios.

§ 4 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

1. Der Anbieter verarbeitet die Daten persönlich und beschäftigt keine weiteren Personen. Er verpflichtet sich zur Vertraulichkeit. Setzt er künftig Personen ein, verpflichtet er sie vor Beginn ihrer Tätigkeit schriftlich auf Vertraulichkeit und informiert das Studio.

2. Der Anbieter greift auf Daten des Studios nur zu, soweit es für Betrieb, Support, Fehlersuche oder die Ausführung einer Weisung nötig ist. Jeder Zugriff des Anbieters auf die Terminverwaltung des Studios wird ohne Daten der Kundinnen protokolliert; diese Protokolle bewahrt der Anbieter ein Jahr auf.

3. Der Anbieter betreibt das System allein; ein Vier-Augen-Prinzip und eine Vertretung mit Zugang zu den Daten gibt es nicht. Buchung, Mailversand und Löschung laufen automatisch weiter, auch wenn der Anbieter vorübergehend nicht erreichbar ist; Anfragen und Weisungen bearbeitet er dann nach seiner Rückkehr innerhalb der Fristen dieses Vertrags. Erhält künftig eine andere Person Zugang, gilt Abs. 1 Satz 3; ist sie nicht beim Anbieter beschäftigt, ist sie Unterauftragsverarbeiter nach § 6.

§ 5 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

1. Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen nach dem Stand der Technik.

2. Der Anbieter darf die Maßnahmen an die technische Entwicklung anpassen und durch gleichwertige oder bessere ersetzen. Das Schutzniveau wird dabei nicht unterschritten. Solche Anpassungen genehmigt das Studio hiermit vorab. Wesentliche Änderungen teilt der Anbieter dem Studio mit; Anlage 1 wird dann fortgeschrieben.

3. Die konkreten Einstellungen und Werte der Maßnahmen hält der Anbieter in einem internen Sicherheitskonzept fest. Es ist nicht Teil dieses Vertrags; das Studio kann es nach § 9 einsehen.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4)

1. Das Studio genehmigt allgemein den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter, jeweils für die dort genannten Tätigkeiten und Teile von § 2.

2. Der Anbieter hat mit jedem Unterauftragsverarbeiter einen Vertrag nach Art. 28 DSGVO geschlossen, der diesem dieselben Datenschutzpflichten auferlegt wie dieser Vertrag dem Anbieter. Der Anbieter haftet gegenüber dem Studio für die Pflichten der Unterauftragsverarbeiter.

3. Beabsichtigt der Anbieter, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er das Studio mindestens 30 Tage vorher in Textform. Kündigt ein Unterauftragsverarbeiter dem Anbieter eine eigene Änderung kürzer an, informiert der Anbieter das Studio unverzüglich, spätestens drei Werktage nach Kenntnis. Das Studio kann innerhalb von 14 Tagen nach der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann das Studio den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

4. Die Unterauftragsverarbeiter setzen ihrerseits weitere Auftragsverarbeiter ein. Deren Listen sind in Anlage 2 verlinkt und mit diesem Vertrag genehmigt. Kündigt ein Unterauftragsverarbeiter eine Änderung dieser Liste an, die Daten des Studios betreffen kann, leitet der Anbieter die Ankündigung innerhalb von fünf Werktagen in Textform an das Studio weiter. Das Studio kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen; Abs. 3 Satz 4 gilt entsprechend.

§ 7 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

1. Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) beantwortet das Studio. Erhält der Anbieter eine solche Anfrage, leitet er sie unverzüglich an das Studio weiter und beantwortet sie nicht selbst.

2. Der Anbieter unterstützt das Studio mit den Mitteln des Systems: Export aller Termine einer Person (Auskunft, Übertragbarkeit) und Löschung aller Termine einer Person, jeweils auf Weisung des Studios in Textform. Der Anbieter liefert das Ergebnis innerhalb von 7 Kalendertagen nach Eingang der Weisung, damit das Studio die Monatsfrist des Art. 12 Abs. 3 einhalten kann.

3. Berichtigungen nimmt das Studio selbst mit den Mitteln der Terminverwaltung und seines Website-Bereichs vor, soweit diese es vorsehen; im Übrigen berichtigt der Anbieter auf Weisung.

4. Die Unterstützung ist mit der Vergütung aus dem Hauptvertrag abgegolten.

§ 8 Unterstützung bei Sicherheit, Verletzungen und Datenschutz-Folgenabschätzung (Art. 28 Abs. 3 lit. f)

1. Der Anbieter unterstützt das Studio bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit es die von ihm verarbeiteten Daten betrifft.

2. Stellt der Anbieter eine Verletzung des Schutzes personenbezogener Daten fest (Art. 4 Nr. 12), informiert er das Studio unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform mit den ihm bekannten Angaben nach Art. 33 Abs. 3: Art der Verletzung, betroffene Daten und Personen (soweit bekannt), wahrscheinliche Folgen, ergriffene Maßnahmen. Nachträglich bekannt werdende Informationen reicht er nach.

3. Der Anbieter dokumentiert Verletzungen und stellt die Dokumentation dem Studio auf Anfrage zur Verfügung.

4. Für eine Datenschutz-Folgenabschätzung oder eine Konsultation der Aufsichtsbehörde stellt der Anbieter die Informationen aus Anlage 1 und 2, dem Sicherheitskonzept und dem Verzeichnis der Verarbeitungstätigkeiten bereit.

§ 9 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h)

1. Der Anbieter stellt dem Studio auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind: Anlage 1 und 2 im aktuellen Stand, das Sicherheitskonzept (§ 5 Abs. 3), das Verzeichnis der Verarbeitungstätigkeiten, die Verträge mit den Unterauftragsverarbeitern (soweit öffentlich, per Link) und eine Beschreibung der Tests und Betriebsabläufe.

2. Das Studio kann einmal jährlich, mit einer Ankündigung von 14 Tagen, oder bei konkretem Anlass eine Überprüfung verlangen. Die Überprüfung erfolgt in der Regel durch Beantwortung von Fragen in Textform, Vorlage von Unterlagen und eine Vorführung der Systeme per Bildschirmübertragung. Reicht das im Einzelfall nicht aus, ist eine Inspektion beim Anbieter nach Ankündigung von mindestens 14 Tagen während üblicher Geschäftszeiten möglich, ohne Einsicht in Daten anderer Studios; ein beauftragter Prüfer muss zur Verschwiegenheit verpflichtet sein. Für die Unterauftragsverarbeiter legt der Anbieter deren Prüfberichte und Zertifikate vor. Jede Partei trägt ihre eigenen Kosten.

3. Der Anbieter informiert das Studio, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3).

§ 10 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

1. Laufende Löschung, Teil A: Termine und Sperrzeiten werden 90 Tage nach dem Terminende automatisch gelöscht, abgesagte eingeschlossen; die Postanschrift eines Termins wird bereits bei dessen Absage gelöscht; abgelaufene Anmeldelinks und Sitzungen täglich. Eine Änderung der Frist ist eine Weisung nach § 3 und gilt für alle Termine des Studios.

2. Bei Vertragsende exportiert der Anbieter auf Wunsch des Studios alle Termine und Sperrzeiten des Studios in einem gängigen Format und übergibt sie dem Studio auf sicherem Weg; Texte und Bilder der Website gibt er auf Wunsch als Datei heraus (§ 13 Abs. 7 des Hauptvertrags). Danach, spätestens 30 Tage nach Vertragsende, löscht der Anbieter alle Daten des Studios nach § 2 Teil A (Termine, Sperrzeiten, Sitzungen, Anmeldelinks, Kalender-Zugänge) und nach § 2 Teil B (Angaben und Dateien aus der Bestellung, Fassungen, Dateien und gebaute Seiten der Website bzw. Buchungsseite, Arbeitsstand, Sendungen, Nachrichten, Wünsche und Wunschfotos, Aufträge an die Werkzeuge, Protokolle der Abrufe) und entfernt die Einstellungen des Studios. Der Anbieter bestätigt die Löschung in Textform. Endet der Hauptvertrag mit der Entwurfsphase, gilt stattdessen § 5 Abs. 3 des Hauptvertrags: Änderungen, Sendungen und Nachrichten des Studios und die nur dafür hochgeladenen Fotos löscht der Anbieter sofort, die übrigen Daten des Studios 90 Tage danach. Ausgenommen ist jeweils der knappe Nachweis von Zustimmung, Freigaben und Sendungen, den der Anbieter als eigener Verantwortlicher nach seiner Datenschutzerklärung aufbewahrt.

3. Kopien: Sicherungskopien der Datenbank (Wiederherstellungspunkte des Hosting-Anbieters für 7 bzw. 30 Tage, monatliche Exporte des Anbieters für drei Monate) werden nicht einzeln bereinigt; sie laufen spätestens drei Monate nach der Löschung in der Datenbank ab. Bis dahin nutzt der Anbieter sie nur zur Wiederherstellung nach einem Ausfall; spielt er eine Sicherung ein, löscht er Daten, die nach diesem Vertrag bereits gelöscht waren, sofort erneut. Die Bestätigung nach Abs. 2 nennt den Tag, an dem die letzte Sicherung abläuft. Von Dateien gibt es keine Sicherungskopien. Versandprotokolle des E-Mail-Dienstes laufen nach einem Monat ab.

4. Eigene Kopien des Studios (Buchungs- und Absage-Mails im Postfach des Studios, Einträge in der Kalender-App des Studios über das Kalender-Abo) sind Verarbeitungen des Studios in eigener Verantwortung und von diesem Vertrag nicht erfasst. Das Studio löscht sie nach seinen eigenen Regeln. Dienste, die das Studio dafür nutzt (z. B. Google Kalender), sind Auftragsverarbeiter des Studios, nicht Unterauftragsverarbeiter des Anbieters.

5. Gesetzliche Aufbewahrungspflichten des Anbieters bleiben unberührt; sie betreffen keine Termindaten.

6. Laufende Löschung, Teil B:

Von den Fassungen der Website bewahrt der Anbieter nur auf: die veröffentlichte, die letzten zehn, die der letzten fünf Veröffentlichungen, die, auf denen offene Änderungen oder Sendungen des Studios aufbauen, und die, die zu den Entwürfen zur Wahl, zu einer Freigabe oder zu einer Wunschrunde gehören. Von den gebauten Seiten bewahrt er die veröffentlichte, die Vorschauen, einen Ersatzstand und die letzten fünf auf. Ältere löscht er.

Fotos und Bilder, die keine aufbewahrte Fassung, kein Arbeitsstand und keine offene Sendung mehr nennt, auch ersetzte Bilder der Startseite, löscht er frühestens nach 24 Stunden, spätestens nach sieben Tagen.

Den Arbeitsstand behält er, bis eine Sendung daraus angenommen ist oder das Studio ihn zurücksetzt, längstens bis zum Vertragsende. Sendungen bleiben bis zum Vertragsende.

Nachrichten, die das Studio an den Anbieter schreibt, löscht er 90 Tage nach Eingang; eine Nachricht, die mit einer Sendung kommt, bleibt mit der Sendung.

Dateien, die das Studio bei der Bestellung hochlädt (Preisliste, AGB), und Wunschfotos löscht er 30 Tage nach dem Livegang.

Von den Aufträgen an seine Werkzeuge behält er je Studio und Art nur die jüngsten 20.

Den Abruf beim Dienstleister für Instagram löscht der Anbieter unmittelbar nach dem Speichern, die abgerufenen Rohdaten auf seinem Rechner 30 Tage nach dem letzten Abruf. Arbeitsdateien, die beim Bau der Website auf seinem Rechner entstehen, löscht er nach jedem Lauf. Beim Umsetzen von Wünschen löscht er die Fotos auf seinem Rechner nach der Bitte um Freigabe und die Protokolle des KI-Werkzeugs nach 30 Tagen.

7. Ruhende Website: Wechselt das Studio nach § 13 Abs. 8 des Hauptvertrags auf den Tarif ohne Website, bewahrt der Anbieter die Daten nach § 2 Teil B, soweit sie nicht die Buchungsseite betreffen, nicht öffentlich auf, solange die Buchung läuft, ausschließlich um die Website auf Wunsch des Studios wieder zu aktivieren, und löscht sie mit den übrigen Daten des Studios nach Abs. 2. Auf Weisung des Studios in Textform löscht der Anbieter sie vorher, innerhalb von 30 Tagen nach Eingang der Weisung, und bestätigt die Löschung in Textform; die Buchungsseite bleibt davon unberührt.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Zwischen Studio und Anbieter gilt die Haftungsregelung des Hauptvertrags (§ 14).

§ 12 Kontakt, Textform, Schluss

1. Kontakt für Weisungen, Anfragen und Meldungen: Anbieter: hallo@flowwsites.de, +49 155 11553119. Studio: die E-Mail-Adresse aus der Bestellung.

2. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform (Art. 28 Abs. 9).

3. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Datenschutzfragen vor.

4. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

5. Es gilt deutsches Recht.

§ 13 Änderungen

1. Anpassungen der Maßnahmen nach Anlage 1 regelt § 5 Abs. 2, Änderungen der Unterauftragsverarbeiter § 6.

2. Im Übrigen ändert der Anbieter diesen Vertrag nur nach dem Verfahren des Hauptvertrags (§ 17 Abs. 2 und 3): mit einer Mitteilung in Textform mindestens sechs Wochen vorher, mit Widerspruchsrecht und dem Recht, den Hauptvertrag zum Tag der Änderung ohne Kosten zu kündigen. Widerspricht das Studio nicht, gilt der geänderte Vertrag als Weisung des Studios.

3. Neue Datenarten oder Gruppen von Betroffenen, neue Zwecke oder Empfänger und längere Speicherdauern führt der Anbieter nur mit einer solchen Mitteilung ein.

Anlagen: Anlage 1 (Technische und organisatorische Maßnahmen), Anlage 2 (Genehmigte Unterauftragsverarbeiter).

Zustimmung: Das Studio stimmt diesem Vertrag bei der Bestellung per Klick zu, zusammen mit den Nutzungsbedingungen und der Preisliste, bei einer Wechsel-Bestellung nach § 13 Abs. 9 des Hauptvertrags mit dem Knopf, mit dem es bestellt. Festgehalten werden Art und Stand dieses Textes, ein Prüfwert (SHA-256) genau des gezeigten Textes, der Zeitpunkt, der Name der zustimmenden Person und die E-Mail-Adresse des Studios. Direkt nach der Bestellung bekommt das Studio eine Bestätigung per E-Mail mit diesem Vertrag und seinen Anlagen in dem Stand, dem es zugestimmt hat, als PDF im Anhang.

Anlage 1: Technische und organisatorische Maßnahmen

Der Anbieter trifft die folgenden Maßnahmen nach dem Stand der Technik. Er passt sie an die technische Entwicklung an; das Schutzniveau wird dabei nicht unterschritten (AVV § 5). Die konkreten Einstellungen hält er in einem internen Sicherheitskonzept fest, das das Studio auf Anfrage einsehen kann.

1. Rahmen

Ein Betreiber (der Anbieter persönlich), keine Beschäftigten, keine Unterauftragnehmer außer den Unterauftragsverarbeitern nach Anlage 2.

Keine eigene Hardware und keine Serverräume: Anwendung, Datenbank und Dateien laufen bei den Unterauftragsverarbeitern nach Anlage 2. Die Zutrittskontrolle zu den Rechenzentren liegt bei ihnen (deren Verträge und Sicherheitsanhänge).

Der Rechner des Anbieters ist der einzige Ort außerhalb der Unterauftragsverarbeiter, an dem Personendaten vorkommen (Exporte, Sicherungen, Arbeitsdateien beim Bau der Websites, Abschnitt 9).

Kein Vier-Augen-Prinzip und keine Vertretung mit Datenzugang; bei Abwesenheit des Betreibers laufen Buchung, Mailversand, Selbstprüfung und Löschung automatisch weiter.

Zuordnung zum herkömmlichen Raster: Zutritt Abschnitt 1, Zugang und Zugriff Abschnitt 2, Weitergabe Abschnitt 2 (Verschlüsselung) und Anlage 2, Eingabe Abschnitt 3 (Nachvollziehbarkeit), Auftrag Abschnitt 7, Verfügbarkeit Abschnitt 4, Trennung Abschnitt 2.

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

Zugang zu den Konten der Dienstleister: nur der Anbieter; Zugriffe auf Hosting und Datenbank nur von seinem Rechner; keine Zugangsschlüssel im Programmcode.

Anmeldung des Studios: ohne Passwort über persönliche, kurz gültige und nur einmal nutzbare Links an die vereinbarte Adresse; Sitzungen über technisch notwendige, gegen Auslesen durch Skripte geschützte Cookies mit begrenzter Dauer; Links und Sitzungen liegen in der Datenbank nur als Prüfwert. Dauerhaft angemeldet bleibt das Studio nur, wenn es das wählt.

Bearbeiten der Website: nur über persönliche Links an die Adresse der Bestellung oder über einen kurzlebigen Übergang aus der angemeldeten Studio-App. Freigeben kann nur das Studio über seinen persönlichen Link, Änderungen nach dem Livegang senden nur das Studio mit seiner Anmeldung oder der Anbieter in dessen Auftrag; jede Handlung ist mit der Rolle protokolliert. Vorschauen nur unter Adressen mit Zufallsteil, nicht für Suchmaschinen.

Zugriffskontrolle und Trennung: Jede Datenbankabfrage ist auf das Studio der Sitzung eingeschränkt; ein Studio sieht nie Daten eines anderen. Jede Tabelle trägt die Kennung des Studios.

Links für Kundinnen: Links zum Absagen und Kalender-Links enthalten Geheimnisse, die nur der Anbieter mit einem Schlüssel erzeugen kann, der nicht in der Datenbank liegt. Gespeichert wird nur ein Prüfwert, verglichen wird in konstanter Zeit. Ein Link zum Absagen wird nach der Absage oder einer Änderung der E-Mail-Adresse wertlos. Seiten mit solchen Links geben die Adresse nicht an Dritte weiter.

Kalender-Abo: zufälliger, langer Zugangsschlüssel je Studio, jederzeit durch das Studio erneuerbar, Abrufe begrenzt.

Pseudonymisierung: Anmeldelinks, Sitzungen und Geheimnisse liegen nur als Prüfwerte vor. Protokolle enthalten Kennungen statt Namen.

Verschlüsselung: Übertragung nur verschlüsselt (HTTPS), auch zum E-Mail-Dienst. Speicherung bei den Unterauftragsverarbeitern nach deren Maßnahmen; Exporte und Sicherungen nur auf dem verschlüsselten Rechner des Anbieters.

Geheimnisse: Schlüssel für Dienste und Signaturen liegen nur im Geheimnisspeicher des Hostings und lokal in einer Datei außerhalb der Versionsverwaltung; Wechsel nach einem festen Ablauf.

Protokolle ohne Personendaten: Die Protokolle des Dienstes enthalten Kennungen, Zeiten, Status und Fehlerklassen, nie Name, E-Mail, Telefon, Anschrift oder Anmerkung einer Kundin; Geheimnisse in Adressen werden geschwärzt. Alarm-Mails enthalten nur Technik. Zugriffe des Anbieters auf die Terminverwaltung eines Studios werden ohne Daten der Kundinnen protokolliert.

Fotos: Fotos, die das Studio im Website-Bereich hochlädt, werden im Browser neu kodiert und vor dem Speichern von Metadaten bereinigt; gelingt die Bereinigung nicht, wird nichts gespeichert. Bei der Bestellung werden Fotos als JPEG, PNG und WebP vor dem Speichern bereinigt; HEIC-Fotos und PDF-Dateien bleiben, wie sie hochgeladen wurden, und werden nach der Frist des AVV § 10 Abs. 6 gelöscht.

3. Integrität (Art. 32 Abs. 1 lit. b)

Eingaben: Prüfung aller Anfragen gegen ein Schema (Längen, Formate) und Größenbegrenzungen; Ausgabe aller Inhalte maskiert; Mails mit Text- und HTML-Teil ohne eingebettete fremde Inhalte.

Formulare und Seiten: Schutz gegen fremd ausgelöste Formularsendungen (Prüfung der Herkunft); Sicherheits-Header auf jeder Seite, insbesondere eine Content Security Policy, die nur eigene Skripte, Stile und Bilder erlaubt und Einbetten in fremde Seiten verbietet. Skripte in Studio-App und Website-Bereich kommen nur vom eigenen Server; die Studio-App funktioniert auch ohne sie.

Schnittstelle: Anfragen nur von den hinterlegten Seiten der Studios, Schutz gegen automatisierte Eingaben, Begrenzung der Anfragen je Absender für Buchung, Absage, Anmeldung, Kalender-Abo und die Schnittstelle der Website-Werkzeuge.

Doppelbuchungen: Eine Zeit wird atomar nur einmal vergeben; das ist durch Tests mit gleichzeitigen Buchungen belegt.

Nachvollziehbarkeit: Buchungen, Absagen, Anmeldungen, Sperren, Änderungen und Löschläufe schreiben Protokollzeilen mit Kennungen; Änderungen am Dienst gehen nur über versionierte, rücknehmbare Deploys.

Abhängigkeiten: feste Versionen der eingesetzten Bibliotheken.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c)

Plattform: Netz des Hosting-Anbieters mit Lastverteilung; Datenbank in der EU mit dessen Redundanz.

Sicherung: Wiederherstellungspunkte der Datenbank beim Hosting-Anbieter; zusätzlich regelmäßige Exporte auf den verschlüsselten Rechner des Anbieters mit Probe der Wiederherstellung. Fristen nach AVV § 10 Abs. 3.

Überwachung: automatische, regelmäßige Selbstprüfung von Datenbank und Mailversand mit Alarm an den Anbieter.

Missbrauch: Begrenzung der Anfragen nach Abschnitt 3, Schutz gegen automatisierte Eingaben, Größenbegrenzungen; bei Bedarf zusätzliche Regeln in der Firewall des Hosting-Anbieters.

Wiederherstellung: schriftliche Abläufe für Ausfälle von Datenbank, Mailversand und Anwendung, Rücknahme eines Deploys und Wiederherstellung der Datenbank.

5. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

Automatisierte Tests für Terminberechnung, Schutz vor Doppelbuchungen, Trennung der Studios, Begrenzungen, Header, Löschung, Export und Löschung auf Weisung; sie laufen vor jedem Deploy.

Änderungen nur über versionierte Deploys mit Rücknahme und einem festen Ablauf mit Prüfung nach dem Deploy.

6. Löschung und Datenminimierung (Art. 5, 25, 32)

Erhoben werden nur die Angaben nach AVV § 2; freiwillige Angaben sind als solche gekennzeichnet. Die Postanschrift nur, wenn das Studio sie einschaltet; sie steht nicht im Kalender-Abo.

Tägliche automatische Löschung nach den Fristen des AVV § 10; kein Aufheben in anonymisierter Form für Statistik.

Export und Löschung auf Weisung nach festem Ablauf innerhalb der Frist des AVV § 7; Ende eines Studios mit Export und vollständiger Löschung.

Werkzeuge, die die Website bauen, lesen nur die dafür nötigen Daten, nicht die Kontaktdaten der Person, die bestellt hat.

7. Auftragskontrolle

Unterauftragsverarbeiter nur nach Anlage 2 mit Vertrag nach Art. 28; Änderungen mit Ankündigung nach AVV § 6.

Weisungen des Studios in Textform an den Anbieter; der Anbieter dokumentiert sie.

8. Meldung von Verletzungen

Erkennung über Alarm-Mails, Protokolle und Meldungen der Unterauftragsverarbeiter, die ihre Kunden nach ihren Verträgen informieren.

Meldung an das Studio nach AVV § 8, damit das Studio seine Frist nach Art. 33 einhalten kann.

9. Arbeit auf dem Rechner des Anbieters und KI-Werkzeuge

Arbeitsdateien, die beim Bau einer Website oder beim Abruf der Instagram-Inhalte auf dem Rechner des Anbieters entstehen, werden nach den Fristen des AVV § 10 Abs. 6 automatisch gelöscht.

KI-Dienste nutzt der Anbieter für Studio-Daten nur über die Verträge nach Anlage 2; Daten des Studios gibt er dort nicht von Hand ein, die Werkzeuge lesen sie aus den Arbeitsdateien.

Solange ein Studio Änderungen noch als Wünsche schickt (AVV § 2 Abs. 9 lit. h), nutzt der Anbieter beim Umsetzen den KI-Dienst Claude von Anthropic in Claude Code, angemeldet mit einem privaten Abonnement. Claude bekommt dabei die Wunschtexte und Wunschfotos, den Inhalt des gewählten Entwurfs (die Texte der Seite einschließlich der Angaben im Impressum) und die Angaben des Studios (Name, Anschrift, Telefon, Öffnungszeiten, Behandlungen und Preise), nicht Name und E-Mail-Adresse der Person, die bestellt hat. Anthropic ist dabei nach Einschätzung der Kanzlei des Anbieters nicht als Auftragsverarbeiter tätig; für die Daten, die Anthropic erhält, gelten die Bedingungen und die Datenschutzerklärung von Anthropic für private Abonnements. Die Sitzungsprotokolle auf dem Rechner des Anbieters werden automatisch gelöscht (Frist AVV § 10 Abs. 6); Feedback-Berichte und das Teilen von Sitzungsprotokollen mit Anthropic sind abgeschaltet.

Anlage 2: Genehmigte Unterauftragsverarbeiter

Alle Angaben aus den offiziellen Seiten der Anbieter. Änderungen an dieser Liste kündigt der Auftragsverarbeiter dem Studio nach § 6 der AVV an. Der Anbieter prüft die Liste bei jedem Onboarding und mindestens jährlich gegen die Anbieterseiten.

Liste

1. Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA – Leistung: Hosting der Anwendung (Cloudflare Workers), Datenbank (Cloudflare D1), DNS und TLS-Zertifikat, Speicherung unserer Log-Zeilen (Workers Logs), Zähler gegen Missbrauch; zusätzlich Dateispeicher (Cloudflare R2) für Dateien aus der Bestellung, Site-Dateien einschließlich der Fotos, die das Studio selbst hochlädt, Wunschfotos (bis zum Abbau) und gebaute Seiten sowie Auslieferung der Websites, Buchungsseiten und Vorschauen · Sitz: USA · Ort der Verarbeitung: Datenbank: Europäische Union (D1 mit Jurisdiction eu). Ausführung der Anfragen: weltweites Cloudflare-Netz, am Standort, an dem die Anfrage ankommt. Log-Zeilen: Cloudflare-Infrastruktur, 3 Tage (Free) bzw. 7 Tage (Paid). R2-Buckets mit Jurisdiktion EU (Speicherung in der EU) · Vertrag (Art. 28 DSGVO): Cloudflare Customer Data Processing Addendum, Teil der Self-Serve-Nutzungsbedingungen, Version 6.4, gültig ab 3. April 2026; enthält EU-Standardvertragsklauseln; Löschung oder Rückgabe bei Vertragsende nach Wahl des Kunden · Drittlandübermittlung: Ja. Cloudflare, Inc. sitzt in den USA, und Anfragen können an Standorten außerhalb der EU verarbeitet werden. Grundlage: Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO, Durchführungsbeschluss (EU) 2023/1795), Cloudflare ist zertifiziert; zusätzlich EU-Standardvertragsklauseln, Modul 3, im Cloudflare DPA (Art. 46 Abs. 2 lit. c DSGVO). Eine Verarbeitung ausschließlich in der EU ist nicht vereinbart.

2. Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland (Amtsgericht Charlottenburg HRB 133191; Teil der Brevo-Gruppe, Muttergesellschaft Sendinblue SAS, Paris) – Leistung: Versand der Transaktionsmails (Bestätigung, Erinnerung, Storno, Anmeldelink, Alarm) über die HTTP-Schnittstelle; Versandprotokolle · Sitz: Deutschland · Ort der Verarbeitung: Server in Frankreich (OVH) und Belgien (Google Cloud); Cloudflare als CDN/WAF von Brevo · Vertrag (Art. 28 DSGVO): Data Processing Agreement als Appendix 3 der Brevo Terms of Service, gilt mit dem Konto ohne Unterschrift; Annex 2 listet Brevos Subprozessoren; Subprozessor-Änderungen werden nach Abschnitt 7 des DPA angekündigt · Drittlandübermittlung: Möglich. Server in Frankreich und Belgien; nach Annex 2 haben Cloudflare (CDN/WAF, USA/EU), Zendesk (Support, USA) und Omni (Dashboards, USA) sowie die Konzerngesellschaften Brevo Inc. (USA) und Brevo CRM Solutions Limited (Indien) für Wartung und Support Zugriff. Garantien: EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln mit zusätzlichen Maßnahmen.

3. Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Niederlande – Leistung: Postfach buchung@flowwbooking.de (Zoho Mail) für Antworten von Kundinnen und Studios auf unsere Mails; Postfach hallo@flowwsites.de (Weisungen und Anliegen der Studios) · Sitz: Niederlande · Ort der Verarbeitung: Konto über zoho.eu; Rechenzentren Amsterdam und Dublin · Vertrag (Art. 28 DSGVO): Data Processing Addendum auf Anfrage an legal@zohocorp.com (Rechenzentrum angeben), Grundlage Standardvertragsklauseln. · Drittlandübermittlung: Möglich. Konto im EU-Rechenzentrum (Amsterdam, Dublin); Zoho nennt Verarbeitung in den USA, im EWR und in anderen Ländern und Zugriff von Konzerngesellschaften für Betrieb und Support. Garantie: EU-Standardvertragsklauseln (DPA und konzerninterne Vereinbarung).

4. Apify Technologies s.r.o., Vodičkova 704/36, Nové Město, 110 00 Praha 1, Tschechien – Leistung: Abruf des öffentlichen Instagram-Profils des Studios (nur § 2 Teil B, Tarife mit Website); Lauf und Datensatz werden nach dem Speichern gelöscht · Sitz: Tschechien · Ort der Verarbeitung: Kerndienste bei Amazon Web Services, Region us-east-1 (USA) · Vertrag (Art. 28 DSGVO): Data Processing Addendum, automatisch Bestandteil der Apify-AGB, Stand 8. Juli 2026; Unterauftragsverarbeiter unter trust.apify.com/subprocessors, Ankündigung 10 Tage vorher, Widerspruch 10 Tage; Rückgabe oder Löschung auf Verlangen · Drittlandübermittlung: Übermittlung in die USA durch Apify an eigene Unterauftragsverarbeiter; Apify sichert sie nach Abschnitt 7 des DPA mit einem geeigneten Übermittlungsinstrument ab (Art. 46 DSGVO)

5. Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland (Konzern: Anthropic, PBC, San Francisco, USA) – Leistung: KI-Dienst Claude: Auswahl der Bilder und Formulieren der Texte beim Instagram-Abruf (Claude API) (nur § 2 Teil B) · Sitz: Irland · Ort der Verarbeitung: USA (Speicherung); Inferenz weltweit (Standard) oder nur USA · Vertrag (Art. 28 DSGVO): Commercial Terms of Service, gültig ab 17. Juni 2025, mit Data Processing Addendum, gültig ab 24. Februar 2025, per Verweis einbezogen; Anthropic als Auftragsverarbeiter, kein Training mit Kundeninhalten; Unterauftragsverarbeiter unter trust.anthropic.com/subprocessors, Ankündigung vorab, Widerspruch 15 Tage; Löschung von Eingaben und Ausgaben binnen 30 Tagen, bei Markierung wegen Verstoßes gegen die Nutzungsrichtlinien bis zu 2 Jahre · Drittlandübermittlung: USA: EU-Standardvertragsklauseln (Modul 2 bzw. 3) nach Abschnitt I.1 des DPA (Art. 46 Abs. 2 lit. c DSGVO)

6. OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland (Konzern: OpenAI, USA) – Leistung: Bearbeitung von Bildern des Studios mit KI nach § 7 der Nutzungsbedingungen über die Images API, derzeit nur die Erweiterung der Bildfläche um ein Foto des Studios zum Titelbild (nur § 2 Teil B); gesendet werden die Bildfläche mit dem verkleinerten Foto und eine Bildbeschreibung · Sitz: Irland · Ort der Verarbeitung: USA · Vertrag (Art. 28 DSGVO): Data Processing Addendum als Teil des OpenAI Services Agreement, für Kunden im EWR mit OpenAI Ireland Ltd; kein Training mit API-Daten; Missbrauchsprotokolle bis 30 Tage · Drittlandübermittlung: USA: EU-Standardvertragsklauseln nach dem DPA (Art. 46 Abs. 2 lit. c DSGVO)

Nicht Unterauftragsverarbeiter, weil eigene Verarbeitung des Studios: das E-Mail-Postfach des Studios (Buchungs- und Storno-Mails), die Kalender-App des Studios, die den ICS-Feed abonniert, und die Website des Studios, die das Widget einbindet.

Ebenfalls nicht in dieser Liste: Anthropic beim Umsetzen der Wünsche. Dafür nutzt der Anbieter den KI-Dienst Claude über ein privates Abonnement; Anthropic ist dabei nach Einschätzung der Kanzlei des Anbieters nicht als Auftragsverarbeiter tätig, sondern Empfänger außerhalb der Auftragsverarbeitung (AVV § 2 Abs. 9 lit. h, Anlage 1 Abschnitt 9).

Was jeder Unterauftragsverarbeiter sieht

Cloudflare – Kundinnendaten: Name, E-Mail, Telefon, Anmerkung, Postanschrift (falls vom Studio abgefragt), Terminzeiten (D1, EU); Fotos auf der Website und in Wunschfotos (R2, EU); IP-Adresse und Zugriffsdaten bei jedem Aufruf (Netz; nicht in unseren Log-Zeilen) · Studio-Daten: E-Mail-Adresse, Prüfwerte von Anmeldelinks und Sitzungen, Feed-Token; Angaben und Dateien aus der Bestellung, Versionen, Dateien und gebaute Seiten der Website · Sonstiges: Worker-Logs: nur unsere Log-Zeilen ohne Personendaten (je Anfrage Methode, Pfad mit geschwärzten Link-Schlüsseln und Geheimnissen, Status, Dauer; dazu Studio-ID, Termin-ID, Behandlung, Zeiten, Status); keine Aufrufprotokolle von Cloudflare

Brevo – Kundinnendaten: E-Mail-Adresse der Kundin, Betreff, Zustellstatus; Mailinhalt beim Versand (Name, Termin, Studio, Storno-Link), nicht aufbewahrt, wenn „Vorschauen nie speichern“ gesetzt ist · Studio-Daten: E-Mail-Adresse des Studios, Betreff, Zustellstatus; Anmeldelink beim Versand · Sonstiges: Alarm-Mails an den Anbieter (nur Technik)

Zoho – Kundinnendaten: Nur, was Kundinnen selbst als Antwort an buchung@ schreiben · Studio-Daten: Antworten von Studios; Nachrichten der Studios an hallo@flowwsites.de

Apify – Kundinnendaten: Fotos und Beitragstexte des öffentlichen Instagram-Profils des Studios, soweit sie Kundinnen zeigen oder nennen · Studio-Daten: Instagram-Name, Bio, Beitragstexte, Fotos und Profilbild des öffentlichen Profils · Sonstiges: keine Anmeldung bei Instagram, keine Follower, keine Suchen; Kommentare und markierte Konten verwirft der Anbieter vor dem Speichern

Anthropic (Claude API) – Kundinnendaten: Texte aus dem Instagram-Profil ohne die Namen anderer Konten und verkleinerte Vorschaubilder der Fotos, soweit sie Kundinnen zeigen oder nennen · Studio-Daten: Texte aus dem Instagram-Profil, verkleinerte Vorschaubilder der Fotos · Sonstiges: nur Instagram-Abruf; zum Umsetzen der Wünsche siehe den Absatz unter der Liste

OpenAI – Kundinnendaten: Foto des Studios als verkleinerter Ausschnitt auf der Bildfläche, soweit es Personen zeigt · Studio-Daten: kurze Beschreibung des Bilds; nicht die Originaldatei

Aufbewahrung beim Unterauftragsverarbeiter

Cloudflare D1 – Was: Termine, Sperren, Tokens · Wie lange: bis zur Löschung durch unseren Löschjob (90 Tage nach Terminende, Tokens nach Ablauf); Time Travel hält 7 Tage (Free) bzw. 30 Tage (Paid) Historie

Cloudflare R2 – Was: Dateien aus der Bestellung, Wunschfotos, Site-Dateien, gebaute Seiten · Wie lange: nach AVV § 10 (Abs. 2, 6, 7)

Cloudflare Workers Logs – Was: nur unsere Log-Zeilen, Link-Schlüssel und Geheimnisse im Pfad geschwärzt (redactPath); Aufrufprotokolle (Invocation Logs, mit Methode und voller Adresse) seit 2026-10-08 abgeschaltet · Wie lange: 3 Tage (Free), 7 Tage (Paid)

Cloudflare Rate-Limit – Was: IP-Zähler · Wie lange: 10 oder 60 Sekunden je Standort

Brevo – Was: Transaktions-Logs (Empfänger, Betreff, Status) · Wie lange: Standard unbegrenzt; einstellbar 1 bis 24 Monate. Einstellung: 1 Monat, wie in der Datenschutzerklärung von flowwsites.de und AVV § 10 Abs. 3

Zoho Mail – Was: Antworten und Nachrichten in den Postfächern · Wie lange: bis zur Löschung durch den Anbieter

Apify – Was: Lauf und Datensatz des Abrufs · Wie lange: bis zum Speichern beim Anbieter, danach gelöscht

Anthropic – Was: Eingaben und Ausgaben · Wie lange: 30 Tage; bei Markierung wegen Verstoßes gegen die Nutzungsrichtlinien bis zu 2 Jahre

OpenAI – Was: Missbrauchsprotokolle der Images API · Wie lange: bis 30 Tage; kein Training

Listen der weiteren Auftragsverarbeiter (AVV § 6 Abs. 4)

Cloudflare: https://www.cloudflare.com/gdpr/subprocessors/ (RSS-Feed auf der Seite)

Brevo: Annex 2 der Terms of Service, https://www.brevo.com/legal/termsofuse/

Zoho: https://www.zoho.com/privacy/sub-processors.html

Apify: https://trust.apify.com/subprocessors

Anthropic: https://trust.anthropic.com/subprocessors

OpenAI: Liste laut Data Processing Addendum.