Art. 28 DSGVO · Stand 7. Oktober 2026
zwischen dem jeweiligen Nutzer der Clok-Software (nachfolgend „Auftraggeber“ oder „Verantwortlicher“) und
Adem Firinci, handelnd unter der Marke Clok, Falscheider Str. 24, 32584 Löhne, Deutschland, E-Mail: info@theclok.com (nachfolgend „Auftragnehmer“ oder „Auftragsverarbeiter“).
Dieser Vertrag gilt für die Nutzung der Clok-Software (Web und App) durch den Auftraggeber. Er wird mit Registrierung eines Business-Accounts bzw. mit der Nutzung der Software geschlossen (elektronische Form gemäß Art. 28 Abs. 9 DSGVO). Die jeweils aktuelle Fassung ist unter https://www.theclok.com/business/avv abrufbar.
(1) Der Auftragnehmer stellt dem Auftraggeber die Software Clok als Software-as-a-Service bereit (Termin- und Reservierungsverwaltung, Kundenkartei, Team, Kurse, Treueprogramme, Chat und damit verbundene Funktionen). Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers.
(2) Dieser Vertrag gilt für die Dauer des Nutzungsvertrags über Clok und darüber hinaus, solange der Auftragnehmer personenbezogene Daten des Auftraggebers speichert.
(3) Die konkreten Verarbeitungen ergeben sich aus Anlage 1.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, hierzu verpflichtet. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Weisungen erfolgen über die Software, per E-Mail an info@theclok.com oder in sonstiger dokumentierter Form. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich schriftlich oder elektronisch.
(3) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.
Der Auftragnehmer
(1) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die in Clok gespeicherten Daten seiner Kunden, Interessenten, Mitarbeiter und sonstigen betroffenen Personen. Er stellt die Rechtmäßigkeit der Verarbeitung sicher, einschließlich der Information der betroffenen Personen.
(2) Der Auftraggeber erteilt Weisungen, die mit der DSGVO vereinbar sind, und hinterlegt in Clok nur solche Daten, zu deren Verarbeitung er berechtigt ist.
(1) Die Verarbeitung erfolgt vorrangig in der Europäischen Union. Cloud Functions von Clok werden in der Region europe-west3 (Frankfurt) betrieben.
(2) Soweit Unterauftragsverarbeiter Daten in einem Drittland verarbeiten, geschieht dies nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO vorliegen (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln).
(1) Der Auftraggeber erteilt die allgemeine schriftliche Genehmigung zur Einschaltung weiterer Auftragsverarbeiter. Die zum Zeitpunkt dieses Vertrags eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
(2) Der Auftragnehmer unterrichtet den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Auftraggeber die Möglichkeit erhält, gegen diese Änderungen innerhalb von 14 Tagen nach Zugang der Mitteilung Einspruch zu erheben. Erfolgt kein Einspruch, gilt die Änderung als genehmigt. Bei begründetem Einspruch bemühen sich die Parteien um eine einvernehmliche Lösung; gelingt das nicht, kann der Auftraggeber den Nutzungsvertrag ordentlich kündigen.
(3) Der Auftragnehmer legt seinen Unterauftragsverarbeitern durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.
Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde. Die Mitteilung enthält, soweit möglich, die in Art. 33 Abs. 3 DSGVO genannten Angaben, damit der Auftraggeber seinen Melde- und Benachrichtigungspflichten nachkommen kann.
(1) Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach (z. B. technische Dokumentation, Zertifikate oder Prüfberichte von Unterauftragsverarbeitern).
(2) Der Auftraggeber darf nach angemessener Vorankündigung von mindestens 14 Tagen, in der Regel während der üblichen Geschäftszeiten und ohne Störung des Betriebs, eine Prüfung vornehmen oder durch einen zur Verschwiegenheit verpflichteten Prüfer vornehmen lassen. Remote-Prüfungen und vorhandene Nachweise haben Vorrang. Vor-Ort-Prüfungen nur, soweit Remote-Nachweise nicht ausreichen.
(3) Der Auftragnehmer kann eine Prüfung ablehnen, wenn der Prüfer Wettbewerber des Auftragnehmers ist oder die Prüfung unverhältnismäßig in den Betrieb eingreift.
(1) Der Auftraggeber kann seine Daten während der Vertragslaufzeit über die Software einsehen und exportieren, soweit die Funktion bereitsteht.
(2) Nach Ende des Nutzungsvertrags löscht der Auftragnehmer die personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien entfallen mit dem nächsten regulären Backup-Zyklus.
(3) Auf Verlangen des Auftraggebers bestätigt der Auftragnehmer die Löschung.
Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und den gesetzlichen Vorschriften. Ergänzend gelten die Haftungsregelungen des Nutzungsvertrags (AGB), soweit sie mit der DSGVO vereinbar sind.
(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieser Klausel.
(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.
(4) Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen gehen für den Datenschutz die Regelungen dieses Vertrags vor.
| Gegenstand | Bereitstellung und Betrieb der Clok-Software (Webapp, Business-App, Kunden-App und Kunden-Web) für Termin-, Reservierungs- und Kundenverwaltung. |
|---|---|
| Dauer | Laufzeit des Nutzungsvertrags zuzüglich der Löschfrist nach § 9. |
| Art und Zweck | Erheben, Speichern, Auslesen, Übermitteln, Einschränken und Löschen von Daten zur Kalenderführung, Online-Buchung, Warteliste, Kursverwaltung, Kundenkartei, Team- und Schichtplanung, Chat, Produkt- und Treueverwaltung sowie – soweit vom Auftraggeber aktiviert – zur Online-Zahlung über Stripe Connect. Versand transaktionaler Nachrichten (z. B. Buchungsbestätigungen), soweit eingerichtet. |
| Art der Daten | Stammdaten (Name, Kontaktdaten), Termin- und Reservierungsdaten, Leistungs- und Produktdaten, Zahlungs- und Treuestatus, Chat-Inhalte, Nutzungs- und Protokolldaten, Mitarbeiterdaten (Name, Rolle, Dienstplan, Anwesenheit), freiwillige Notizen des Auftraggebers. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) nur, soweit der Auftraggeber sie selbst in Clok hinterlegt (z. B. Gesundheitsangaben in Praxen). |
| Betroffene | Kunden, Interessenten und Gäste des Auftraggebers; Mitarbeiter und sonstige Beauftragte des Auftraggebers; Endnutzer der Clok-Kunden-App, soweit sie dem Auftraggeber zugeordnet sind. |
Der Auftragnehmer trifft unter Berücksichtigung von Art. 32 DSGVO insbesondere folgende Maßnahmen:
Der Auftragnehmer darf die Maßnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht hinter das bisherige zurückfällt.
| Stelle | Tätigkeit | Sitz / Region |
|---|---|---|
| Google Ireland Limited (Google Cloud / Firebase), Gordon House, Barrow Street, Dublin 4, Irland; verbundene Unternehmen der Google LLC, USA, soweit eingebunden | Hosting, Datenbank (Firestore), Authentifizierung, Cloud Functions, Speicherung, Push-Benachrichtigungen (FCM) | EU (Functions: europe-west3, Frankfurt); mögliche Drittlandübermittlung in die USA auf Grundlage eines Angemessenheitsbeschlusses bzw. Standardvertragsklauseln |
| Stripe Payments Europe, Limited, Dublin, Irland; verbundene Unternehmen der Stripe, Inc., USA, soweit eingebunden | Zahlungsabwicklung des Clok-Abos und – soweit der Auftraggeber Stripe Connect nutzt – von Online-Zahlungen der Endkunden (z. B. Treuekarten). Soweit Stripe Daten als eigener Verantwortlicher verarbeitet, gelten ergänzend die Bedingungen von Stripe. | EU / mögliche Drittlandübermittlung in die USA auf Grundlage eines Angemessenheitsbeschlusses bzw. Standardvertragsklauseln |
| Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland | Versand transaktionaler E-Mails (z. B. System- und Kontaktnachrichten) | Deutschland / EU |
Stand der Anlagen: 7. Oktober 2026. Aktualisierungen der Unterauftragsverarbeiter werden gemäß § 6 mitgeteilt und unter dieser Adresse veröffentlicht.