Version 1.0 | gemäß Art. 28 DSGVO
Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch Hebelki als Auftragsverarbeiter im Auftrag des Kunden (Verantwortlicher). Die Annahme erfolgt durch Akzeptieren in den Einstellungen Ihres Dashboards.
Verantwortlicher (Auftraggeber):
Der Kunde, der die Hebelki-Plattform nutzt und die Verarbeitung personenbezogener Daten seiner Endkunden in Auftrag gibt. Die konkreten Angaben ergeben sich aus dem Hauptvertrag (SaaS-Nutzungsvertrag).
Auftragsverarbeiter:
Hebelki
E-Mail: privacy@hebelki.de
(nachfolgend "Auftragnehmer")
Gegenstand: Bereitstellung einer Multi-Tenant SaaS-Buchungsplattform mit KI-gestütztem Chatbot zur Terminverwaltung, Kundenkommunikation und Buchungsabwicklung.
Dauer: Die Verarbeitung erfolgt für die Dauer des SaaS-Nutzungsvertrags. Nach Beendigung werden die Daten gemäß § 13 dieses Vertrags gelöscht oder zurückgegeben.
Die Verarbeitung umfasst folgende Tätigkeiten:
Hinweis: Es werden keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet, es sei denn, der Verantwortliche gibt solche Daten explizit ein (z.B. Gesundheitsinformationen in Kundennotizen bei medizinischen Praxen).
Der Verantwortliche:
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO).
Dokumentierte Weisungen: Die Konfiguration im Dashboard gilt als dokumentierte Weisung. Dazu gehören: Aktivierung/Deaktivierung von Funktionen, Festlegung der Datenaufbewahrungsdauer, Einstellungen für WhatsApp-Integration.
Der Auftragnehmer informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
Der Auftragnehmer gewährleistet, dass alle Personen, die Zugang zu personenbezogenen Daten haben:
Der Auftragnehmer trifft alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Die vollständige TOM-Dokumentation finden Sie unter:
Anlage 1: Technische und Organisatorische MaßnahmenDie TOMs umfassen insbesondere: Zugriffskontrolle (Clerk Auth, Rollen), Verschlüsselung (TLS, At-Rest), Multi-Tenant-Isolation, Verfügbarkeitsgarantien, und Protokollierung.
Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zur Hinzuziehung weiterer Unterauftragsverarbeiter gemäß Art. 28 Abs. 2 DSGVO.
Die aktuelle Liste der Unterauftragsverarbeiter:
Anlage 2: UnterauftragsverarbeiterÄnderungsmitteilung: Der Auftragnehmer informiert den Verantwortlichen mindestens 14 Tage vor Aufnahme eines neuen Unterauftragsverarbeiters.
Widerspruchsrecht: Der Verantwortliche kann innerhalb von 14 Tagen nach Mitteilung aus wichtigem Grund widersprechen.
Vertragliche Bindung: Unterauftragsverarbeiter werden vertraglich auf gleichwertige Datenschutzpflichten verpflichtet.
Der Auftragnehmer unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 12-22 DSGVO (Betroffenenrechte):
Reaktionszeit: Der Auftragnehmer reagiert auf Unterstützungsanfragen innerhalb von 48 Stunden (Geschäftszeiten).
Bei einer Verletzung des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO):
Nach Beendigung des Hauptvertrags:
Der Auftragnehmer ermöglicht und unterstützt Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO):
Die Haftung richtet sich nach Art. 82 DSGVO. Jede Partei haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde.
Der Auftragnehmer haftet nur für Schäden, die durch eine Verarbeitung verursacht wurden, bei der er seinen speziell ihm auferlegten Pflichten nicht nachgekommen ist oder gegen rechtmäßige Anweisungen des Verantwortlichen verstoßen hat.
Anlage 1: Technische und Organisatorische Maßnahmen (TOMs)
Detaillierte Beschreibung der Sicherheitsmaßnahmen
Anlage 2: Liste der Unterauftragsverarbeiter
Alle eingesetzten Unterauftragsverarbeiter mit DPA-Status
Anlage 3: Transfer Impact Assessments (TIA)
Bewertung der Datenübermittlungen gemäß Schrems II
Stand: Februar 2026 | Version 1.0
Bei Fragen wenden Sie sich an privacy@hebelki.de