Fassung 1.6 · Stand: 10. August 2026 · Art. 28 DSGVO
Dieser Vertrag gilt zwischen dem Betrieb, der ein sentavel-Konto anlegt, und sentavel. Er wird beim Anlegen des Kontos durch das dortige Pflicht-Häkchen geschlossen. Das genügt der Form des Art. 28 Abs. 9 DSGVO, der ausdrücklich auch das elektronische Format zulässt. Zeitpunkt und Fassung werden zu Ihrem Konto gespeichert, damit beide Seiten den Abschluss nachweisen können (Art. 5 Abs. 2 DSGVO).
Der Betrieb, der das Konto anlegt, mit den bei der Anmeldung angegebenen Daten. Er entscheidet über Zwecke und Mittel der Verarbeitung seiner Termin- und Kundendaten.
Simon Noah Stühmeier, handelnd unter der Geschäftsbezeichnung „velares", In der Steingasse 16, 61440 Oberursel, Deutschland. E-Mail: business.stuehmeier@web.de
Gegenstand ist die Verarbeitung personenbezogener Daten, die im Rahmen der Nutzung der Terminbuchung („Buchbar") anfallen. sentavel stellt dem Betrieb dafür einen Kalender, eine öffentliche Buchungsseite und eine Schnittstelle für KI-Assistenten bereit und speichert die dabei entstehenden Daten auf seinem Server.
Dauer: Der Vertrag läuft, solange das Konto besteht, und endet mit ihm. Die Pflichten aus Ziffer 9 (Löschung und Rückgabe) und Ziffer 4 (Vertraulichkeit) bestehen darüber hinaus fort.
Ort der Verarbeitung ist ausschließlich die Europäische Union. Eine Verarbeitung in einem Drittland findet nicht statt, siehe Ziffer 11.
Art und Zweck: Speichern, Ordnen, Auslesen, Ändern und Löschen von Terminen und der dazugehörigen Kontaktdaten, um Termine entgegenzunehmen, im Kalender des Betriebs anzuzeigen, Erinnerungen und Bestätigungen zu versenden und Absagen oder Verschiebungen umzusetzen.
Art der personenbezogenen Daten:
Kategorien betroffener Personen: Kundinnen und Kunden des Betriebs, Beschäftigte und Mitinhaber des Betriebs sowie die für das Konto handelnden Personen.
Zur Sperre ausdrücklich: Sie wirkt nur bei dem Betrieb, der sie gesetzt hat. sentavel führt keine betriebsübergreifende Sperrliste und gibt Sperren keines Betriebs an einen anderen weiter. Über jede Sperre entscheidet der Betrieb, sie wird nie automatisch gesetzt.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Der Betrieb trägt dafür Sorge, dass in Freitextfelder keine Gesundheitsdaten oder vergleichbar sensiblen Angaben eingetragen werden.
sentavel verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Betriebs (Art. 28 Abs. 3 lit. a DSGVO). Als Weisung gelten dieser Vertrag, der zugrunde liegende Nutzungsvertrag und die Einstellungen, die der Betrieb in seinem Konto vornimmt. Weitergehende Weisungen erteilt der Betrieb in Textform an die oben genannte E-Mail-Adresse.
Verpflichtet das Recht der Union oder eines Mitgliedstaats sentavel zu einer Verarbeitung, teilt sentavel dem Betrieb diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Hält sentavel eine Weisung für rechtswidrig, wird der Betrieb unverzüglich darauf hingewiesen. sentavel darf die Ausführung bis zur Bestätigung aussetzen.
sentavel wird derzeit allein von der oben genannten Person betrieben. Diese ist zur Vertraulichkeit verpflichtet. Werden künftig weitere Personen zur Verarbeitung befugt, werden sie vor der ersten Tätigkeit schriftlich zur Vertraulichkeit verpflichtet und über die Pflichten aus diesem Vertrag belehrt (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht nach dem Ende der Tätigkeit fort.
sentavel trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO (Art. 28 Abs. 3 lit. c DSGVO). Die Maßnahmen unterliegen dem technischen Fortschritt. sentavel darf sie ändern, solange das Schutzniveau nicht unterschritten wird.
Der Betrieb erteilt die allgemeine Genehmigung zur Heranziehung der in Anlage 2 genannten weiteren Auftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO). sentavel legt diesen dieselben Datenschutzpflichten auf, die in diesem Vertrag vereinbart sind, und bleibt gegenüber dem Betrieb für deren Einhaltung verantwortlich.
Beabsichtigt sentavel, einen weiteren Auftragsverarbeiter hinzuzuziehen oder auszutauschen, wird der Betrieb mindestens 30 Tage vorher in Textform unterrichtet. Er kann aus einem wichtigen datenschutzrechtlichen Grund innerhalb dieser Frist widersprechen. Widerspricht er, kann jede Seite den Vertrag zum geplanten Wechsel kündigen.
Keine weiteren Auftragsverarbeiter im Sinne dieser Ziffer sind Dienstleister, die reine Nebenleistungen ohne Zugang zu den Daten des Betriebs erbringen, sowie Stellen, die eigenverantwortlich handeln. Der Zahlungsdienstleister verarbeitet allein die Zahlungsdaten des Betriebs selbst, nicht dessen Kundendaten, und ist deshalb nicht Unterauftragsverarbeiter dieses Vertrags.
Wendet sich eine betroffene Person unmittelbar an sentavel, leitet sentavel das Anliegen unverzüglich an den Betrieb weiter und beantwortet es nicht selbst.
sentavel unterstützt den Betrieb mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen (Art. 28 Abs. 3 lit. e DSGVO). Der Betrieb kann Termine und Kundendaten jederzeit selbst im Konto einsehen, ändern und löschen. Reicht das nicht aus, hilft sentavel auf Anfrage.
sentavel unterstützt den Betrieb bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere:
Nach Beendigung des Vertrags löscht sentavel alle personenbezogenen Daten des Betriebs oder gibt sie zurück, nach Wahl des Betriebs (Art. 28 Abs. 3 lit. g DSGVO).
Auf Verlangen bestätigt sentavel die Löschung in Textform.
sentavel stellt dem Betrieb auf Anfrage alle Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).
Überprüfungen werden mit angemessener Vorlaufzeit von in der Regel 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchgeführt. In erster Linie erfolgt der Nachweis durch Selbstauskunft in Textform. Eine Überprüfung vor Ort kommt in Betracht, wenn dafür ein konkreter Anlass besteht.
Die Verarbeitung findet ausschließlich in der Europäischen Union statt. Eine Übermittlung in ein Drittland erfolgt nur mit vorheriger Weisung oder Zustimmung des Betriebs und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.
Buchungsdaten werden nicht an Anbieter generativer KI übermittelt. Nutzt eine Endkundin oder ein Endkunde einen eigenen KI-Assistenten, um zu buchen, geschieht das über deren eigenen Zugangsschlüssel und in deren eigener Verantwortung. sentavel gibt in diesem Fall nur die Antwort auf die Anfrage zurück und übermittelt von sich aus keine Daten an KI-Anbieter.
Für die Haftung im Außenverhältnis gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Regelungen des Nutzungsvertrags.
Der Betrieb bleibt als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung zuständig, insbesondere für die Rechtsgrundlage der Datenerhebung bei seinen Kunden, für seine eigene Informationspflicht nach Art. 13 DSGVO und für sein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO.
Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag geht dieser Vertrag in Datenschutzfragen vor. Änderungen bedürfen der Textform. Wird eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.
Änderungen dieser Fassung: sentavel kann diesen Vertrag anpassen, wenn Recht, Rechtsprechung oder die eingesetzte Technik das erfordern. Der Betrieb wird mindestens 30 Tage vorher in Textform unterrichtet und kann widersprechen. Widerspricht er, kann jede Seite zum Wirksamwerden der neuen Fassung kündigen. Die jeweils gültige Fassung steht unter sentavel.de/avv.html.
Fragen zu diesem Vertrag, Weisungen und Anfragen betroffener Personen richten Sie an business.stuehmeier@web.de. Die allgemeine Datenschutzerklärung und das Impressum ergänzen diesen Vertrag.
Maßgeblich ist der Stand zum oben genannten Datum. Der Betrieb kann jederzeit eine aktuelle Fassung anfordern.
Offen zum Stand dieser Fassung, vor Aufnahme des Wirkbetriebs herzustellen: Zwei-Faktor-Anmeldung für den Serverzugang. Die Sicherung des Servers ist seit dem 4. August 2026 eingerichtet: Sie wird dort täglich erstellt und täglich auf einen zweiten Rechner geholt, damit sie nicht auf derselben Maschine liegt wie das Original. Die Wiederherstellung wurde geprüft. Diese Punkte sind hier bewusst benannt statt als vorhanden dargestellt. Die zuvor an dieser Stelle genannte Sperre nach zu vielen Fehlversuchen ist mit dieser Fassung hergestellt und steht oben unter Vertraulichkeit.
Stand zum oben genannten Datum. Alle genannten Stellen verarbeiten innerhalb der EU.
| Dienstleister | Leistung | Sitz und Ort der Verarbeitung |
|---|---|---|
| Hostinger International Ltd. | Server und Speicherung (VPS), Zugriffsprotokolle, Versand der Bestätigungs- und Terminmails | Litauen, Rechenzentrum in Deutschland |
Es werden keine Anbieter generativer KI als Auftragsverarbeiter herangezogen.