Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch Bornwerk im Auftrag des Geschäftskunden nach Art. 28 DSGVO. Sie wird mit Vertragsschluss Bestandteil des Vertrags.
Stand: 16. August 2026
Wenn Sie Terminz für Ihren Betrieb nutzen, verarbeitet Bornwerk personenbezogene Daten Ihrer Kunden und Mitarbeiter in Ihrem Auftrag. Sie bleiben dabei Verantwortlicher, Bornwerk ist Auftragsverarbeiter. Art. 28 DSGVO verlangt dafür einen Vertrag, der die Pflichten des Auftragsverarbeiters festlegt.
Diese Seite ist dieser Vertrag. Sie müssen ihn nicht anfordern und nicht gesondert unterzeichnen: Er ist Anlage zu Teil B der Allgemeinen Geschäftsbedingungen und kommt nach Art. 28 Abs. 9 DSGVO in elektronischer Form mit dem Vertrag zustande. Für die Verarbeitungen, bei denen Bornwerk selbst Verantwortlicher ist, gilt stattdessen die Datenschutzerklärung.
Auftragsverarbeiter
Bornwerk UG (haftungsbeschränkt)
Märkische Straße 193, 44141 Dortmund, Deutschland
Verantwortlicher
Der Rechtsträger, der Vertragspartner des jeweiligen Terminz-Vertrags ist und Terminz zur Verarbeitung von Kundendaten nutzt. Je Rechtsträger besteht ein eigener Vertrag und ein eigener AVV; mehrere Standorte desselben Rechtsträgers sind von derselben Vereinbarung erfasst.
Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung der Software nach Teil B der Allgemeinen Geschäftsbedingungen ergeben. Sie gilt für alle Verarbeitungen personenbezogener Daten, die Bornwerk für den Geschäftskunden durchführt.
Bei Widersprüchen zwischen dieser Vereinbarung und den übrigen Bestimmungen des Vertrags gehen die Regelungen dieser Vereinbarung vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
Der Geschäftskunde ist Verantwortlicher nach Art. 4 Nr. 7 DSGVO für die personenbezogenen Daten seiner Endkunden und seiner Mitarbeiter, die er über die Software verarbeitet. Er allein hat sicherzustellen, dass für diese Verarbeitung eine Rechtsgrundlage besteht und dass die betroffenen Personen nach Art. 13 und 14 DSGVO informiert werden.
Bornwerk ist insoweit Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. Für die eigenen Verarbeitungen von Bornwerk — insbesondere die Vertrags-, Abrechnungs- und Kontodaten des Geschäftskunden sowie die Besucherdaten auf terminz.com — ist Bornwerk Verantwortlicher; hierfür gilt die Datenschutzerklärung und nicht diese Vereinbarung.
Je Rechtsträger besteht ein eigener Vertrag und damit eine eigene Vereinbarung zur Auftragsverarbeitung. Betreibt der Geschäftskunde mehrere Standorte unter demselben Rechtsträger, sind diese von derselben Vereinbarung erfasst.
Legt ein Endnutzer bei Bornwerk ein eigenes Nutzerkonto an, ist Bornwerk für die von diesem Endnutzer selbst angegebenen Konto- und Anmeldedaten sowie für dessen betriebsübergreifende Terminübersicht Verantwortlicher; Rechtsgrundlage ist der Nutzungsvertrag nach Teil A der Allgemeinen Geschäftsbedingungen (Art. 6 Abs. 1 lit. b DSGVO). Ebenso ist Bornwerk Verantwortlicher für das plattformweit geführte Profil der Kontaktdaten einer Person, über das der Geschäftskunde eine bereits vorhandene Person auffinden und ihr eine Kundenbeziehung zu seinem Betrieb zuordnen kann; es verhindert Doppelanlagen und hält die eigene Terminübersicht der Person zusammen. Diese Verarbeitungen sind nicht Gegenstand dieser Vereinbarung. Die Angaben, die der Geschäftskunde über einen Endnutzer erhebt oder ergänzt, bleiben Auftragsverarbeitung nach dieser Vereinbarung und werden anderen Geschäftskunden nicht zugänglich gemacht.
Diese Vereinbarung kommt mit dem Vertrag nach B.3 der Allgemeinen Geschäftsbedingungen zustande und läuft für dessen Dauer. Sie endet mit der Beendigung des Vertrags, ohne dass es einer gesonderten Kündigung bedarf.
Eine Kündigung dieser Vereinbarung ohne gleichzeitige Beendigung des Vertrags ist ausgeschlossen. Die Pflichten aus § 12 bestehen über das Ende dieser Vereinbarung hinaus fort.
Bornwerk verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung und des Betriebs der vertraglich vereinbarten Software: Terminbuchung und Terminverwaltung, Kunden- und Personalverwaltung, Zeiterfassung, Zahlungs- und Kassenfunktion, Benachrichtigungen sowie die öffentliche Profilseite des Geschäftskunden.
Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten personenbezogener Daten. Sie findet in Mitgliedstaaten der Europäischen Union statt, soweit § 14 nichts anderes bestimmt.
Betroffen sind die Endkunden des Geschäftskunden, seine Mitarbeiter und Mitwirkenden sowie die Ansprechpartner seiner Geschäftspartner. Verarbeitet werden folgende Datenkategorien:
Für die Verarbeitung besonderer Kategorien personenbezogener Daten ist allein der Geschäftskunde verantwortlich. Er hat sicherzustellen, dass ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO vorliegt — im Regelfall die ausdrückliche Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO — und dass solche Angaben nicht in Feldern erfasst werden, die dafür nicht vorgesehen sind.
Bornwerk verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Geschäftskunden, einschließlich einer Übermittlung in Drittländer (Art. 28 Abs. 3 lit. a DSGVO). Der Vertrag samt dieser Vereinbarung sowie die Einstellungen, die der Geschäftskunde in der Software vornimmt, sind die Erstweisung.
Einzelweisungen erteilt der Geschäftskunde in Textform an [email protected]. Weisungsbefugt sind der Inhaber des Rechtsträgers und die von ihm benannten Personen.
Ist Bornwerk der Auffassung, dass eine Weisung gegen die Datenschutz-Grundverordnung oder andere Datenschutzbestimmungen verstößt, teilt Bornwerk dies dem Geschäftskunden unverzüglich mit (Art. 28 Abs. 3 UAbs. 2 Satz 2 DSGVO) und darf die Durchführung bis zu ihrer Bestätigung oder Änderung aussetzen.
Bornwerk setzt für die Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.
Die eingesetzten Personen werden vor Aufnahme der Tätigkeit mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut gemacht.
Bornwerk trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau sicherzustellen (Art. 28 Abs. 3 lit. c DSGVO). Die getroffenen Maßnahmen sind in Anlage 2 beschrieben.
Bornwerk darf die Maßnahmen an den Stand der Technik anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden in Anlage 2 nachgeführt.
Bornwerk unterhält für Support und Fehlerbehebung einen administrativen Zugang zu den im Auftrag verarbeiteten Daten. Er ist auf wenige benannte, nach § 7 zur Vertraulichkeit verpflichtete Personen beschränkt und wird nur zur Vertragserfüllung oder auf Weisung des Geschäftskunden genutzt.
Der Geschäftskunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 1 aufgeführt und damit genehmigt.
Bornwerk informiert den Geschäftskunden mindestens 30 Tage vor der Hinzuziehung eines neuen oder dem Wechsel eines bestehenden Unterauftragsverarbeiters in Textform an die im Konto hinterlegte E-Mail-Adresse. Der Geschäftskunde kann der Änderung innerhalb von 14 Tagen nach Zugang aus einem datenschutzrechtlichen Grund widersprechen.
Widerspricht der Geschäftskunde, suchen die Parteien eine einvernehmliche Lösung. Kann Bornwerk die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht in zumutbarer Weise erbringen, kann der Geschäftskunde den Vertrag zum Wirksamwerden der Änderung außerordentlich kündigen.
Bornwerk erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet für dessen Verhalten wie für eigenes.
Reine Hilfsleistungen wie Telekommunikations-, Reinigungs- oder Wartungsleistungen sind keine Unterauftragsverarbeitung im Sinne dieser Vereinbarung.
Bornwerk unterstützt den Geschäftskunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Auskunft, Berichtigung, Löschung, Einschränkung, Export und Widerspruch kann der Geschäftskunde unmittelbar in der Software ausführen.
Wendet sich eine betroffene Person unmittelbar an Bornwerk, leitet Bornwerk den Antrag unverzüglich an den Geschäftskunden weiter und beantwortet ihn nicht selbst, soweit er die Verarbeitung im Auftrag betrifft.
Bornwerk unterstützt den Geschäftskunden ferner bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde, unter Berücksichtigung der Art der Verarbeitung und der Bornwerk zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).
Bornwerk meldet dem Geschäftskunden jede Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich nach Bekanntwerden in Textform an die im Konto hinterlegte E-Mail-Adresse (Art. 33 Abs. 2 DSGVO).
Die Meldung beschreibt, soweit verfügbar, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen. Noch fehlende Angaben werden unverzüglich nachgereicht.
Die Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dem Geschäftskunden; Bornwerk unterstützt ihn dabei.
Nach Beendigung des Vertrags löscht Bornwerk alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück, nach Wahl des Geschäftskunden (Art. 28 Abs. 3 lit. g DSGVO). Der Geschäftskunde teilt seine Wahl bis zum Vertragsende mit; trifft er keine Wahl, werden die Daten gelöscht.
Der Geschäftskunde kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen der Software in einem strukturierten, gängigen und maschinenlesbaren Format herunterladen. Nach Vertragsende bleiben die Daten nach B.18 der Allgemeinen Geschäftsbedingungen 90 Tage abrufbar; Bornwerk erinnert vor der Löschung per E-Mail daran.
Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, insbesondere Kassen-, Beleg- und Rechnungsdaten nach § 147 AO, § 257 HGB und der Kassensicherungsverordnung. Diese Daten werden bis zum Ablauf der jeweiligen Frist in der Verarbeitung eingeschränkt und danach gelöscht.
Abrechnungsbelege behalten die bei Ausstellung erfassten Angaben des Empfängers. Ein Löschverlangen nach Art. 17 DSGVO erfasst sie nicht, solange die Aufbewahrungspflicht besteht (Art. 17 Abs. 3 lit. b DSGVO).
Sicherungskopien werden im Rahmen der regulären Rotation überschrieben; eine gezielte Löschung einzelner Datensätze aus bestehenden Sicherungskopien erfolgt nicht.
Bornwerk stellt dem Geschäftskunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann durch aktuelle Selbstauskünfte, die Dokumentation nach Anlage 2 oder durch Prüfberichte und Zertifikate unabhängiger Stellen geführt werden.
Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht Bornwerk dem Geschäftskunden oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten und nicht mit Bornwerk im Wettbewerb stehenden Prüfer eine Überprüfung. Sie erfolgt nach Ankündigung mit einer Frist von 30 Tagen, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und höchstens einmal je Kalenderjahr; aus besonderem Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde, auch häufiger.
Der Geschäftskunde trägt die Kosten einer von ihm veranlassten Überprüfung. Für den eigenen Aufwand kann Bornwerk eine angemessene Vergütung verlangen, es sei denn, die Überprüfung ergibt einen von Bornwerk zu vertretenden Verstoß.
Die Verarbeitung findet grundsätzlich in Deutschland statt. Soweit einzelne Unterauftragsverarbeiter Daten außerhalb der Europäischen Union verarbeiten, ist dies in Anlage 1 ausgewiesen.
Eine Übermittlung erfolgt nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind: auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO, insbesondere des EU-US Data Privacy Framework, oder auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Maßnahmen.
Für die Haftung gilt B.17 der Allgemeinen Geschäftsbedingungen. Art. 82 DSGVO bleibt unberührt.
Bornwerk ist nicht verpflichtet, einen Datenschutzbeauftragten zu benennen; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor. Ansprechpartner in Datenschutzfragen ist die unten genannte Kontaktadresse.
Bornwerk kann diese Vereinbarung ändern, soweit dies durch eine Änderung der Rechtslage, durch Vorgaben einer Aufsichtsbehörde oder durch Rechtsprechung veranlasst ist. Die Änderung wird mindestens 30 Tage vor Wirksamwerden in Textform mitgeteilt; widerspricht der Geschäftskunde nicht innerhalb dieser Frist, gilt sie als angenommen. Auf das Widerspruchsrecht und die Folgen des Schweigens wird in der Mitteilung hingewiesen.
Änderungen im Übrigen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.
Die folgenden Unterauftragsverarbeiter sind nach § 9 dieser Vereinbarung genehmigt. Alle unterliegen einem Vertrag nach Art. 28 DSGVO; bei Verarbeitung außerhalb der EU sind die Garantien nach Kapitel V DSGVO ausgewiesen.
| Anbieter | Zweck | Standort | Schutzmaßnahme |
|---|---|---|---|
| Hetzner Online GmbH | Betrieb der Anwendungsserver und der Datenbank | Deutschland (Falkenstein) | Verarbeitung ausschließlich in Deutschland |
| Amazon Web Services EMEA SARL | Objektspeicher für hochgeladene Dateien, Verwaltung von Zugangsdaten und verschlüsselte Datenbanksicherungen | Deutschland (Region eu-central-1, Frankfurt) | Speicherung ausschließlich in Deutschland; Standardvertragsklauseln für Support-Zugriffe des Mutterkonzerns |
| Cloudflare Germany GmbH / Cloudflare, Inc. | Content Delivery Network, Reverse-Proxy und Auslieferung der Medien; verarbeitet jede eingehende Anfrage einschließlich IP-Adresse | EU-Edge / weltweit | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln |
| Stripe Payments Europe, Ltd. / Stripe, Inc. | Zahlungsabwicklung einschließlich Kartenzahlungen am Kartenlesegerät | Irland / USA | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln |
| fiskaly GmbH | Signatur der Kassentransaktionen durch die zertifizierte technische Sicherheitseinrichtung nach der Kassensicherungsverordnung | Österreich (Wien) | Verarbeitung ausschließlich in der EU |
| Resend (Plus Five Five, Inc.) | Versand der Transaktions-E-Mails an Endkunden und Mitarbeiter, etwa Buchungsbestätigung, Erinnerung und Beleg | USA | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln |
| Functional Software, Inc. (Sentry) | Erkennung technischer Fehler der Anwendung; übermittelt werden Vorgangsname, Fehlercode und aufgerufene Seite, nicht die Inhalte der Anwendung | EU-Region (Frankfurt) | Speicherung in der EU; Support-Zugriff aus den USA auf Grundlage des EU-US Data Privacy Framework bzw. der Standardvertragsklauseln |
| Google Ireland Ltd. / Google LLC | Google Maps Platform: Adressvervollständigung bei der Eingabe einer Anschrift sowie Kartendarstellung auf der öffentlichen Profilseite | Irland / USA | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln |
| Google Ireland Ltd. / Google LLC | Google Identity Services: Anmeldung mit einem Google-Konto im Buchungsvorgang und im Kundenkonto | Irland / USA | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln |
Reichweitenmessung und Analyse auf terminz.com sind nicht Gegenstand dieser Vereinbarung: Dort ist Bornwerk selbst Verantwortlicher. Diese Dienste laufen nicht auf den Buchungs- und Profilseiten Ihres Betriebs.
Maßnahmen nach Art. 32 DSGVO im Zeitpunkt des Stands dieser Vereinbarung.
Weisungen nach § 6, Anfragen betroffener Personen und alle weiteren Fragen zu dieser Vereinbarung richten Sie bitte an:
[email protected]Zuständige Aufsichtsbehörde für Bornwerk ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Maßgeblich ist die deutsche Fassung dieser Vereinbarung.
