Verantwortlicher vs. Auftragsverarbeiter im Buchungssystem

Wenn Ihre Kunden online einen Termin buchen, ist Ihr Unternehmen der Verantwortliche für die Kundendaten, da Sie entscheiden, warum und wie sie verwendet werden. Der Anbieter des Buchungssystems ist Auftragsverarbeiter: Er speichert und verarbeitet die Daten in Ihrem Auftrag und nach Ihren Weisungen. Das Verhältnis wird in einem Auftragsverarbeitungsvertrag (AVV) geregelt.

Was ist ein Verantwortlicher?

Verantwortlicher ist, wer über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (DSGVO Art. 4 Nr. 7). Für einen Salon oder eine Praxis bedeutet das: Das Unternehmen entscheidet, welche Angaben Kunden bei der Buchung machen müssen, wie lange sie gespeichert werden und wofür sie verwendet werden.

Als Verantwortlicher müssen Sie unter anderem:

• Kunden darüber informieren, wie ihre Daten verwendet werden, zum Beispiel in einer Datenschutzerklärung
• eine Rechtsgrundlage für die Verarbeitung haben, etwa einen Vertrag für die Buchung selbst und eine Einwilligung für Marketing
• Auskunfts- und Löschanfragen beantworten, in der Regel innerhalb eines Monats
• Anbieter wählen, die ausreichende Sicherheitsgarantien bieten

Weitere Informationen finden Sie im Klarte-Leitfaden zu Ihren Pflichten als Verantwortlicher.

Was ist ein Auftragsverarbeiter?

Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (DSGVO Art. 4 Nr. 8). Der Auftragsverarbeiter darf die Daten nicht für eigene Zwecke verwenden. Er muss die Daten schützen, nur genehmigte Unterauftragsverarbeiter einsetzen und den Verantwortlichen unter anderem bei Auskunftsanfragen unterstützen.

Verantwortlicher vs. Auftragsverarbeiter: der Unterschied in Kürze

• Wer entscheidet? Der Verantwortliche bestimmt Zwecke und Mittel. Der Auftragsverarbeiter folgt Weisungen.
• Wer antwortet dem Kunden? Der Verantwortliche beantwortet Auskunftsanfragen. Der Auftragsverarbeiter unterstützt.
• Wer braucht einen Vertrag? Beide. Art. 28 DSGVO verlangt einen Auftragsverarbeitungsvertrag (AVV) zwischen ihnen.
• Beispiel: Der Salon ist Verantwortlicher. Das Buchungssystem ist Auftragsverarbeiter.

Dasselbe Unternehmen kann für unterschiedliche Daten beide Rollen haben. Klarte ist zum Beispiel Verantwortlicher für die Daten der eigenen Kontoinhaber, aber Auftragsverarbeiter für die Daten der Kunden, die bei den Unternehmen buchen.

Was sollte der Auftragsverarbeitungsvertrag enthalten?

Der Vertrag sollte beschreiben, welche Daten verarbeitet werden, zu welchem Zweck, wie lange, wie sie geschützt werden und welche Unterauftragsverarbeiter eingesetzt werden. Außerdem sollte er regeln, was mit den Daten nach Vertragsende geschieht. Siehe Klartes Auftragsverarbeitungsvertrag (AVV) und die Liste der Unterauftragsverarbeiter.

Checkliste für Unternehmen, die online Buchungen annehmen

1. Schließen Sie einen Auftragsverarbeitungsvertrag (AVV) mit Ihrem Buchungsanbieter ab.
2. Prüfen Sie, wo die Daten gespeichert werden. Klarte speichert Daten in der EU.
3. Fragen Sie nur die Angaben ab, die Sie für die Durchführung des Termins benötigen.
4. Halten Sie die Einwilligung zu Werbung getrennt von der eigentlichen Buchung.
5. Richten Sie einen Ablauf für Auskunftsersuchen ein.
6. Tragen Sie keine Gesundheitsdaten oder andere sensible Daten in Buchungsnotizen ein, wenn Sie dafür keine Rechtsgrundlage haben.

Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. Wenden Sie sich bei konkreten Fragen an einen Rechtsanwalt oder Ihre Datenschutzaufsichtsbehörde. Siehe auch die Definitionen im Glossar.