Auftragsverarbeitung und Dienstleister

Wer ist verantwortlich?

Rima Srapyan – Beauty Laser Wien entscheidet über die Verarbeitung für Kundenverwaltung und kosmetische Leistungen. Technische Anbieter können Daten auf Weisung des Studios verarbeiten. Dafür muss eine Vereinbarung über die Auftragsverarbeitung (AVV) nach Art. 28 DSGVO bestehen. Kundinnen und Kunden schließen für ihre Behandlung keine AVV mit dem Studio ab.

Diese Seite informiert über die Rollen. Sie ist keine Vertragsannahme und kein Nachweis, dass ein Anbieter ein Vertragsmuster unterzeichnet hat. Eine AVV schafft auch keine eigenständige Erlaubnis für Werbung, Gesundheitsdaten oder internationale Übermittlungen.

Technische Dienste

• Google Cloud / Firebase: Websitebetrieb, Datenbank, Dateien und technische Authentifizierung. Kundenakte und digitale Nachweise können Gesundheitsdaten enthalten. Maßgeblich sind die für das tatsächlich genutzte Produkt vereinbarten Cloud-Datenschutzbedingungen.
• Google Drive und Calendar: Studio-Sicherungen und Terminorganisation. Die Vertragsbedingungen hängen vom konkreten Google-Konto und Dienst ab; ein privates Google-Konto und ein verwaltetes Workspace-Konto sind nicht gleichzusetzen.
• ALL-INKL.COM – Neue Medien Münnich: E-Mail-Postfach, Versand und Empfang. Der Auftragsverarbeitungsvertrag muss zum tatsächlich gebuchten Mail-/Hostingvertrag passen. Datenschutzinformationen des Anbieters.
• helloCash / mRaP GmbH: Kassen- und Belegdaten sowie zugeordnete Kundendaten. Die Abgrenzung zwischen Verarbeitung im Auftrag und eigenen Vertragspflichten ergibt sich aus dem helloCash-Vertrag. helloCash und DSGVO.
• Google Gemini API: Website-Chat, vom Team angeforderte E-Mail-Entwürfe, Leistungsvorschläge aus eingefügtem Anfragetext und begrenzte öffentliche Antwortauswahl des WhatsApp-Assistenten. Es gelten die produktspezifischen API-Bedingungen und die dort einbezogenen Vereinbarungen, nicht automatisch die Cloud-Bedingungen aller anderen Google-Produkte.

Weitere Anbieterrollen

SumUp kann für Zahlungsdienste und gesetzliche Prüfungen eigenständig verantwortlich sein. Treatwell übernimmt die Plattform- und Buchungsverarbeitung nach seinen Bedingungen. WhatsApp/Meta und Google-/Meta-Werbedienste können je nach Verarbeitungsphase als Auftragsverarbeiter, gemeinsam Verantwortliche oder eigenständig Verantwortliche handeln. Eine pauschale AVV für alle diese Rollen wäre unzutreffend. Für die gemeinsame Erhebung und Übermittlung durch Meta Business Tools sind gegebenenfalls die Vereinbarungen nach Art. 26 DSGVO maßgeblich.

Was eine AVV regeln muss

Gegenstand, Dauer, Zwecke, Datenarten und betroffene Personen; dokumentierte Weisungen; Vertraulichkeit; geeignete technische und organisatorische Maßnahmen; genehmigte Unterauftragsverarbeiter; Unterstützung bei Betroffenenrechten, Sicherheitsvorfällen und Datenschutz-Folgenabschätzungen; Rückgabe oder Löschung am Vertragsende; Nachweise und Kontrollrechte. Der Anbieter muss auf rechtswidrige Weisungen hinweisen. Für Zugriffe außerhalb des EWR müssen zusätzlich die Voraussetzungen von Kapitel V DSGVO erfüllt sein.

Vertrags- und Sicherheitsnachweise werden durch das Studio dienstbezogen geführt. Aus öffentlich abrufbaren Bedingungen lassen sich weder die Annahme im konkreten Konto noch ausgewählte Regionen, individuelle Löschfristen oder Zertifizierungen ableiten.

Auskunft und Kontakt

Angaben zu den für Ihre Verarbeitung eingesetzten Empfängern und Übermittlungsgarantien erhalten Sie bei info@beauty-laser.at. Ihre Auskunfts-, Berichtigungs-, Löschungs- und weiteren Betroffenenrechte richten Sie an das Studio. Die Datenschutzerklärung erläutert die einzelnen Verarbeitungen, Rechtsgrundlagen und Speicherkriterien.