Dieser Vertrag gilt für alle Kundinnen und Kunden mit einem S-sense-Abonnement und wird beim Abschluss des Abonnements bestätigt.
AVV als PDF herunterladen (Version 1.5)
Frühere Fassungen: Version 1.4 vom 02.11.2026 (PDF) · Version 1.3 vom 02.11.2026 (PDF) · Version 1.2 vom 02.11.2026 (PDF) · Version 1.1 vom 29.10.2026 (PDF) · Version 1.0 vom 28.10.2026 (PDF)

zwischen

dem Kunden der SENSE GmbH (Firma und Anschrift wie beim Abschluss des Abonnements angegeben) – Verantwortlicher, nachfolgend „Auftraggeber“ –

und

SENSE GmbH, Cecilienallee 57, 40474 Düsseldorf, Amtsgericht Düsseldorf HRB 40816, vertreten durch den Geschäftsführer Thomas Aichinger – Auftragsverarbeiter, nachfolgend „Auftragnehmer“ –

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber auf Grundlage des Hauptvertrags (Abonnement im jeweils gebuchten Tarif) ein Online-Buchungstool zur Verfügung, richtet es ein und betreibt es. Soweit gebucht, betreibt er außerdem die Studio-Website des Auftraggebers und stellt E-Mail-Postfächer unter einer von ihm verwalteten Domain des Auftraggebers bereit. Für die Buchungsseite und die Studio-Website stellt er außerdem Impressum und Datenschutzerklärung sowie für die Studio-Website, soweit erforderlich, ein Cookie-Banner über einen spezialisierten Anbieter von Rechtstexten bereit (§ 7b der AGB). Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers.

(2) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er gilt für alle Tätigkeiten, bei denen der Auftragnehmer oder von ihm beauftragte Personen personenbezogene Daten des Auftraggebers verarbeiten.

(3) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags. Pflichten, die über das Vertragsende hinaus wirken, insbesondere zur Löschung und Vertraulichkeit, bleiben bestehen.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Eine Verarbeitung in einem Drittland ist nur unter den Voraussetzungen von § 6 zulässig.

(3) Zahlungen der Kunden des Auftraggebers werden direkt zwischen diesen und dem Auftraggeber über dessen eigenen Zahlungsdienstleister abgewickelt. Der Auftragnehmer richtet die Zahlungsfunktion lediglich technisch ein, nimmt keine Gelder entgegen und leitet keine weiter.

§ 3 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vorab mit, soweit das Gesetz dies nicht verbietet.

(2) Die Weisungen werden durch diesen Vertrag und den Hauptvertrag festgelegt. Einzelweisungen erteilt der Auftraggeber in Textform (z. B. per E-Mail an mail@sense-studio.de).

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, sofern sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

(3) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und Meldungen an die Aufsichtsbehörde.

(4) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach eigener Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar. Tritt die Verletzung bei einem Unterauftragsverarbeiter ein, beginnt die Frist mit dem Eingang von dessen Meldung beim Auftragnehmer.

(5) Ansprechpartner für den Datenschutz beim Auftragnehmer ist Thomas Aichinger, mail@sense-studio.de. Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht besteht.

(6) Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, darf jede Partei den Hauptvertrag zum Zeitpunkt des Wechsels kündigen. Teilt ein in Anlage 3 genannter Unterauftragsverarbeiter dem Auftragnehmer eine Änderung bei seinen eigenen Unterauftragsverarbeitern mit, gibt der Auftragnehmer die Mitteilung unverzüglich, spätestens innerhalb von drei Werktagen nach Eingang, in Textform an den Auftraggeber weiter. In diesem Fall kann der Auftraggeber innerhalb von 7 Tagen nach Zugang widersprechen; Satz 3 gilt entsprechend.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Er haftet gegenüber dem Auftraggeber für deren Einhaltung.

(4) Nicht als Unterauftragsverhältnis gelten Nebenleistungen wie Telekommunikation, Post- und Transportdienste oder Wartung, bei denen kein Zugriff auf die Auftragsdaten vorgesehen ist.

§ 6 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere bei einem Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework) oder mit EU-Standardvertragsklauseln. Betroffene Unterauftragsverarbeiter sind in Anlage 3 gekennzeichnet.

§ 7 Kontrollrechte des Auftraggebers

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung nach vorheriger Anmeldung mit angemessener Frist (in der Regel 14 Tage) während der üblichen Geschäftszeiten überprüfen, ohne den Betriebsablauf unverhältnismäßig zu stören. Der Nachweis kann auch durch aktuelle Zertifikate, Prüfberichte oder Selbstauskünfte erbracht werden.

(3) Den Aufwand für Vor-Ort-Kontrollen kann der Auftragnehmer nach Aufwand zu einem Stundensatz von 180,– € netto zuzüglich Umsatzsteuer in Rechnung stellen.

§ 8 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten.

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, sofern der Auftraggeber dies nicht anweist.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags gibt der Auftragnehmer nach Wahl des Auftraggebers alle Auftragsdaten zurück (z. B. als CSV-Export der Buchungs- und Kundendaten) oder löscht sie, es sei denn, eine gesetzliche Pflicht zur Speicherung besteht.

(2) Wählt der Auftraggeber nicht innerhalb von 30 Tagen nach Vertragsende, löscht der Auftragnehmer die Daten. Datensicherungen werden im regulären Rotationszyklus von 90 Tagen überschrieben.

(3) Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

(4) Mit dem Ende des Hauptvertrags bzw. des Vertrags über die Studio-Website löscht der Auftragnehmer die Kundenlizenz beim Anbieter der Rechtstexte und verlangt dort in Textform die Löschung der zum Auftraggeber gespeicherten Angaben und Einwilligungsnachweise. Das Löschen der Kundenlizenz allein entfernt diese Daten beim Anbieter nicht; sie werden erst auf dieses Verlangen gelöscht. Der Auftragnehmer lässt sich die Löschung in Textform bestätigen. Vor der Löschung gibt er die Einwilligungsnachweise aus dem Cookie-Banner auf Wunsch des Auftraggebers als Export (z. B. CSV) heraus.

(5) Während der Vertragslaufzeit werden Einwilligungsnachweise des Cookie-Banners drei Jahre nach Ende des Kalenderjahres gelöscht, in dem die Einwilligung erteilt oder widerrufen wurde. Gelöscht werden jeweils nur die Einträge, deren Frist abgelaufen ist. Diese Frist gilt als Weisung des Auftraggebers, solange er nicht in Textform eine abweichende Frist bestimmt. Der Auftragnehmer gibt die Weisung an den Anbieter der Rechtstexte weiter. Bei Vertragsende gilt Absatz 4: Die Einwilligungsnachweise werden dann unabhängig von der Frist nach Satz 1 vollständig gelöscht. Ab diesem Zeitpunkt ist der Auftraggeber selbst dafür verantwortlich, die Nachweise aufzubewahren.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor.

(3) Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist Düsseldorf.

§ 11 Vertragsschluss

Dieser Vertrag kommt zustande, indem der Auftraggeber ihn beim Abschluss des Abonnements im Bestellprozess elektronisch akzeptiert (Art. 28 Abs. 9 DSGVO). Einer Unterschrift bedarf es nicht. Maßgeblich ist die Fassung, die zum Zeitpunkt der Akzeptanz gilt; frühere Fassungen archiviert der Auftragnehmer.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand und Zweck

• Bereitstellung, Einrichtung und Betrieb des Online-Buchungstools für die Kunden des Auftraggebers (Terminbuchung, Verwaltung von Terminen und Veranstaltungen)
• Versand von Buchungsbestätigungen, Erinnerungen und Statusmitteilungen per E-Mail sowie bei gebuchtem Add-on per WhatsApp
• je nach Tarif: technische Einrichtung der Online-Zahlung über den Zahlungsdienstleister des Auftraggebers sowie Hilfsmittel zur Eventorganisation
• bei gebuchter Studio-Website: Hosting, Betrieb und Pflege der Website einschließlich ihrer Kontaktformulare
• für Buchungsseite und Studio-Website: Erstellung, Aktualisierung und Einbindung von Impressum und Datenschutzerklärung; bei gebuchter Studio-Website zusätzlich Betrieb des Cookie-Banners einschließlich Einholung und Nachweis der Einwilligungen der Website-Besucher, jeweils über einen spezialisierten Anbieter von Rechtstexten
• bei einer vom Auftragnehmer verwalteten Domain: Bereitstellung von E-Mail-Postfächern des Auftraggebers (Speicherung, Viren- und Spamschutz) sowie der Verwaltungsadresse care@ als Weiterleitung an den Auftragnehmer
• Support, Wartung und Fehlerbehebung

Kategorien betroffener Personen

• Kundinnen und Kunden sowie Interessenten des Auftraggebers, die über das Buchungstool einen Termin oder eine Veranstaltung buchen
• Mitarbeitende des Auftraggebers, die im Buchungstool als Dienstleister hinterlegt sind oder es nutzen
• Besucherinnen und Besucher der Studio-Website
• Inhaber, Vertretungsberechtigte und sonstige Personen, die der Auftraggeber im Impressum oder in der Datenschutzerklärung seiner Buchungsseite oder Studio-Website nennen lässt
• Kommunikationspartner des Auftraggebers, die mit dessen E-Mail-Postfächern Nachrichten austauschen

Arten personenbezogener Daten

• Stammdaten: Vor- und Nachname, ggf. Geburtsdatum (falls vom Auftraggeber abgefragt)
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Buchungsdaten: gebuchte Leistung, Datum, Uhrzeit, Ort, Status, Notizen und Angaben aus individuellen Buchungsfeldern
• Zahlungsstatus (bezahlt / offen) und Transaktionsreferenz – keine Kontodaten oder Kartennummern
• Mitarbeiterdaten: Name, E-Mail, Telefon, Arbeitszeiten, Kalenderverfügbarkeit
• Technische Daten: IP-Adresse, Zeitstempel, Browserinformationen bei der Buchung
• Website-Daten: Angaben aus Kontaktformularen, Server-Logdaten (IP-Adresse, Zeitstempel, aufgerufene Seite)
• Einwilligungsdaten aus dem Cookie-Banner: pseudonyme Besucherkennung, gehashte IP-Adresse (keine Klartext-IP), gekürzte Browserkennung, Entscheidung je Kategorie, Zeitpunkt von Einwilligung und Widerruf, Version der Cookie-Richtlinie; Speicherdauer drei Jahre nach Ende des Kalenderjahres der Erteilung bzw. des Widerrufs (Einzelheiten in § 9 Abs. 5)
• Angaben für die Rechtstexte: Namens-, Anschrifts- und Kontaktangaben, Register-, Steuer-, Berufs- und Aufsichtsangaben sowie Angaben zur Website und zu den dort eingesetzten Diensten; für deren Richtigkeit und Vollständigkeit ist der Auftraggeber verantwortlich (§ 7b Abs. 4 der AGB)
• E-Mail-Daten: Inhalte und Anhänge der Nachrichten, Absender- und Empfängeradressen, Zeitstempel

Besondere Kategorien (Art. 9 DSGVO)

Eine Verarbeitung besonderer Kategorien ist nicht vorgesehen. Der Auftraggeber stellt sicher, dass in individuellen Buchungsfeldern keine Gesundheitsdaten abgefragt werden, es sei denn, dies wurde gesondert vereinbart. Abfragen zu Allergien, Hautzustand oder Ähnlichem sind Gesundheitsdaten und bedürfen einer gesonderten Vereinbarung.

Ort der Verarbeitung

ALL-INKL.COM – Neue Medien Münnich, D-02742 Friedersdorf

Impressum und Datenschutzerklärung der Buchungsseite und der Studio-Website sowie Cookie-Banner: PALEMONI ENTERRISES LTD (easyRechtssicher), Paralimni, Zypern, mit Hosting bei der Hetzner Online GmbH, Gunzenhausen; ausschließlich in Deutschland

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Grundlage ist das Rechenzentrum ALL-INKL.COM – Neue Medien Münnich. Deren TOM (Zutrittskontrolle, Brandschutz, Stromversorgung, physische Sicherheit) sind Bestandteil dieser Anlage. Die TOM von ALL-INKL (Anhang III des AVV vom 27.10.2026) stellt der Auftragnehmer auf Anfrage zur Verfügung.

Für Impressum, Datenschutzerklärung und Cookie-Banner gelten ergänzend die TOM des Anbieters PALEMONI ENTERRISES LTD (Anhang B des Auftragsverarbeitungsvertrags von easyRechtssicher, Version 2.2 vom 12.10.2026), unter anderem Hosting ausschließlich in Deutschland, Speicherung der IP-Adresse nur als Hashwert, Mandantentrennung, TLS-Verschlüsselung und verschlüsselte Datenträger. Der Auftragnehmer stellt sie auf Anfrage zur Verfügung.

Vertraulichkeit

• Zutrittskontrolle: Rechenzentrum ALL-INKL.COM – Neue Medien Münnich; Büro SENSE GmbH: abschließbare Räume, kein Publikumsverkehr.
• Zugangskontrolle: individuelle Benutzerkonten, starke Passwörter, Zwei-Faktor-Authentifizierung für WordPress-Admin und Hosting-Zugang, automatische Sperre nach Fehlversuchen
• Zugriffskontrolle: Rollen- und Rechtekonzept in WordPress und im Buchungstool; Kunden sehen nur ihre eigenen Daten; Administratorrechte nur für Thomas Aichinger.
• Trennungskontrolle: Trennung der Daten je Kunde durch eine eigene Instanz mit eigener Datenbank und eigener (Sub-)Domain.

Integrität

• Weitergabekontrolle: durchgängige TLS-Verschlüsselung (HTTPS), verschlüsselter E-Mail-Versand (TLS)
• Eingabekontrolle: Protokollierung von Buchungsänderungen im Buchungstool

Verfügbarkeit und Belastbarkeit

• Regelmäßige Backups: täglich, Aufbewahrung 90 Tage, verschlüsselt, gespeichert im Rechenzentrum Neue Medien Münnich, Friedersdorf
• Updates für WordPress, Theme und Plugins (laufend)
• Malware- und Spamschutz (u. a. Cloudflare Turnstile für Formulare und Buchungen)
• Wiederherstellung: Wiederherstellungstest (jährlich)

Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management: Verzeichnis der Verarbeitungstätigkeiten, jährliche Überprüfung dieser TOM
• Incident-Response: Meldeweg bei Datenpannen, Information des Auftraggebers binnen 24 Stunden
• Auftragskontrolle: Unterauftragsverarbeiter nur mit AVV und dokumentierter Auswahl
• Datenschutzfreundliche Voreinstellungen: nur notwendige Pflichtfelder im Buchungsformular, keine Tracking-Tools

Anlage 3 – Unterauftragsverarbeiter

Stand bei Vertragsschluss. Änderungen teilt der Auftragnehmer nach § 5 Abs. 2 mit.

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung
ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, D-02742 Friedersdorf	Hosting von Buchungstool und Studio-Website, Datenbank, E-Mail-Versand und E-Mail-Postfächer	Deutschland
Neue Medien Münnich GmbH, Bautzener Straße 56, D-02742 Neusalza-Spremberg (Unterauftragsverarbeiter von ALL-INKL)	Personal und Rechentechnik für Betrieb, Wartung und Kundenbetreuung des Hostings	Deutschland
PALEMONI ENTERRISES LTD (easyRechtssicher), Efesou 9, 5280 Paralimni, Zypern	Erstellung, Aktualisierung und Bereitstellung von Impressum und Datenschutzerklärung der Buchungsseite und der Studio-Website; Cookie-Banner mit Einholung und Speicherung der Einwilligungsnachweise	Deutschland
Hetzner Online GmbH, Industriestraße 25, D-91710 Gunzenhausen (Unterauftragsverarbeiter von PALEMONI ENTERRISES LTD)	Hosting, Server-Infrastruktur und Speicher für Rechtstexte und Cookie-Banner	Deutschland
ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, D-02742 Friedersdorf (Unterauftragsverarbeiter von PALEMONI ENTERRISES LTD)	E-Mail-Versand des Anbieters der Rechtstexte	Deutschland
Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA	Spam- und Bot-Schutz für Buchungs- und Kontaktformulare (Cloudflare Turnstile): Prüfung von IP-Adresse und technischen Browserdaten	USA (EU-US Data Privacy Framework; ergänzend EU-Standardvertragsklauseln)

Mit ALL-INKL.COM – Neue Medien Münnich besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/915), abgeschlossen am 27.10.2026. Die Datenverarbeitung erfolgt ausschließlich in Rechenzentren in Deutschland (Dresden und Friedersdorf).

Mit der PALEMONI ENTERRISES LTD besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO als Anlage zu den AGB von easyRechtssicher (Version 2.2 vom 12.10.2026; diese Fassung nennt noch die frühere Anbieterin Paragraf 7 Internet Content Services UG (haftungsbeschränkt) & Co. KG, Bremen). Die PALEMONI ENTERRISES LTD hat in Textform bestätigt, dass sie Vertragspartnerin und Auftragsverarbeiterin ist und dass ihr Vertrag gegenüber dem Auftraggeber als Vertrag mit einem weiteren Auftragsverarbeiter nach Art. 28 Abs. 4 DSGVO gilt. Die Verarbeitung erfolgt ausschließlich auf Servern in Deutschland; eine Übermittlung in Drittländer findet nicht statt.

Kein Unterauftragsverhältnis im Sinne dieses Vertrags besteht bei Diensten, die der Auftraggeber mit eigenem Konto anbindet – insbesondere bei Zahlungsdienstleistern (z. B. PayPal, Stripe) und bei Diensten aus gebuchten Premium-Add-ons (z. B. Meta/WhatsApp Business, Google oder Microsoft für den Kalender-Sync, Zoom oder Microsoft Teams für Video-Calls, LessonSpace, Mailchimp, Google Analytics, Social Login über Facebook oder Google). Der Vertrag besteht jeweils direkt zwischen dem Auftraggeber und dem Anbieter; der Auftragnehmer richtet lediglich die technische Anbindung ein.