HurryStyle

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Data Processing Agreement (DPA) · 2026-11-07

1. Gegenstand, Parteien und Rollen

Diese Vereinbarung regelt die Datenverarbeitung bei Bereitstellung der Software HurryStyle.

Die Parteien werden nach der DSGVO (Verordnung EU 2016/679) wie folgt bestimmt:

  • Der Friseursalon: fungiert als Verantwortlicher für alle in die Software eingepflegten personenbezogenen Daten seiner Kunden und Mitarbeiter.
  • Simone Venturini (natürliche Person, Entwickler des Dienstes): fungiert als Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet diese Daten nur im Auftrag und nach Weisung des Salons.

2. Zwecke, Datenkategorien und Betroffene

Der Dienst verarbeitet Daten für Kalender, Kontakte, Leistungen, Zeiten, Wert abgeschlossener Leistungen, Fotos, Export und Salonanalysen. Vorgänge: Erhebung, Speicherung, Abruf, Kennzahlenberechnung, Synchronisierung, Weitergabe auf Weisung und Löschung. Daten: Namen, Kontakte, Termine, Beträge, Zeiten, Ausnahmen, Stilwünsche, Bilder und Kommentare. Betroffene sind Kunden und Personal. Gesundheitsdaten sind ausgeschlossen. Die Dauer umfasst das Vertragsverhältnis und erforderliche Rückgabe- oder Löschvorgänge.

3. Pflichten des Auftragsverarbeiters

Der Verarbeiter verpflichtet sich:

  1. Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, wozu die regulären App-Funktionen zählen, es sei denn, der Verarbeiter ist durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet; in einem solchen Fall teilt der Verarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;
  2. Den Verantwortlichen unverzüglich zu unterrichten, falls eine Weisung gegen die DSGVO oder geltendes Recht verstößt;
  3. Zur Vertraulichkeit verpflichtetes Personal einzusetzen;
  4. Geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen (Verschlüsselung bei Übertragung, Zugriffskontrollen, Integritätsschutz).

4. Unterauftragsverarbeiter (Sub-processors)

Der Salon genehmigt den Einsatz folgender Infrastrukturpartner:

  • Google Cloud / Firebase: Tatsächlicher Unterauftragsverarbeiter für die Salondatenbank (Firestore in Mailand, Italien) und die Authentifizierung (Firebase Authentication in den USA unter Standardvertragsklauseln und Google Cloud DPA).
  • Cloudflare, Inc. : Netzwerkdienstleister für DNS, Web-Hosting und E-Mail-Routing mit getrennter Infrastrukturfunktion ohne Zugriff auf die Salondatenbank.

Der Verarbeiter überträgt gleichwertige Schutzpflichten auf Unterauftragsverarbeiter und haftet für diese. Änderungen werden angekündigt, um dem Salon eine Widerspruchsmöglichkeit aus berechtigtem Grund zu wahren.

Google Cloud Storage speichert private Fotos in europe-west1 (Belgien), mit geschützten Kopien für 7 Tage nach Löschung. Google/Firebase stellt auch Serverfunktionen und App-Check/Play-Integrity-Schutz bereit. Es ist kein Unterauftragnehmer für generative KI oder den Import von Google-Bewertungen konfiguriert.

5. Unterstützung des Verantwortlichen (Art. 32–36 DSGVO)

Der Verarbeiter unterstützt den Salon unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen:

  • Bei der Erfüllung von Betroffenenrechten (Kapitel III DSGVO);
  • Bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung (Art. 32 DSGVO);
  • Bei der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO) und der Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) ohne unangemessene Verzögerung nach Bekanntwerden einer solchen Verletzung;
  • Bei eventuellen Datenschutz-Folgenabschätzungen (DSFA, Art. 35 DSGVO) und vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO), soweit gesetzlich vorgeschrieben.

6. Löschung oder Rückgabe von Daten

Bei Beendigung wählt der Verantwortliche Rückgabe oder Löschung, vorbehaltlich gesetzlicher Aufbewahrung. CSV-Export bleibt für Inhaber nach Ablauf verfügbar; nicht enthaltene Daten können vor Löschung beim Support angefragt werden. Der Prozess entfernt aktives Archiv und Fotos. Geschützte Fotokopien laufen nach 7 Tagen ab; Anbieterzyklen und Kopien auf Geräten oder bei externen Empfängern erläutert die Datenschutzerklärung. Der Auftragsverarbeiter unterstützt Betroffenenanfragen.

7. Audits, Auskünfte und Rechtsstatus

Der Verarbeiter stellt dem Salon alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereit und ermöglicht Überprüfungen sowie Inspektionen, die vom Salon oder einem anderen vom Salon beauftragten unabhängigen Prüfer durchgeführt werden.

Wirksamkeit der Vereinbarung: Dies ist die aktuelle, zur Transparenz bereitgestellte Fassung; die DPA wird für den jeweiligen Salon durch digitale Annahme oder formelle Unterzeichnung vor der kommerziellen Nutzung des Dienstes verbindlich.