# Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO · Fassung vom 10. November 2026 ## 1 Parteien Verantwortlicher ist der Salon, dessen Firma, Anschrift und vertretungsberechtigte Person bei der Annahme angegeben sind („du“). Auftragsverarbeiter ist Oğuzhan Ahmet Kaymaz, Geschäftsbezeichnung Tagano, Königswiesen 1, 21147 Hamburg („Tagano“). Der Vertrag wird elektronisch geschlossen. Tagano speichert Parteien, Zeitpunkt, Vertragstext und Anlagen als Nachweis; du kannst sie im Konto herunterladen. ## 2 Gegenstand und Dauer Tagano verarbeitet deine Salondaten, um Terminplanung, Onlinebuchung, Kundenkartei und Teamverwaltung in Website und App bereitzustellen. Dazu erfasst, ordnet, speichert und ändert Tagano die Daten, stellt sie Berechtigten bereit, versendet beauftragte Nachrichten, sichert, exportiert und löscht sie. Der Vertrag gilt auch während des kostenlosen Tests. Er läuft, solange Tagano Salondaten für dich verarbeitet, und endet mit Rückgabe und Löschung nach Abschnitt 12. ## 3 Betroffene Personen und Daten | Betroffene Personen | Datenarten | | --- | --- | | Kunden, Interessenten und mitgebuchte Gäste | Name, Anrede bzw. Geschlecht, Ort, E-Mail-Adresse, Telefonnummer; gebuchte Leistungen, Preise, Termine, Status, Absagegründe und Änderungsverlauf; Buchungserklärungen, Widerrufe, versäumte Termine und Buchungssperren; Kundennotizen, Behandlungsnotizen und Farbrezepturen; Nachrichten- und Zustelldaten | | Inhaber, Beschäftigte und Teammitglieder | Name, dienstliche Kontaktdaten, Personalnummer, Geburtsdatum, Geschlecht; Rollen, Berechtigungen, Kalender- und Leistungszuordnung; Arbeitszeiten, Schichten, Urlaub und neutrale Abwesenheiten; Gerätekennungen für Pushnachrichten; soweit aus früherer Nutzung vorhanden auch Lohnangaben, Beschreibung und Mitarbeiterbild | ## 4 Ausgeschlossene Daten Der Auftrag umfasst die nichtmedizinische Salonverwaltung. Ausgeschlossen sind Gesundheitsdaten wie Diagnosen, Allergien oder Krankheitsgründe, andere besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Das gilt auch für Freitexte, Notizen, Rezepturen und Nachrichten. ## 5 Weisungen Tagano verarbeitet Salondaten nur nach deinen dokumentierten Weisungen, auch bei Übermittlungen in Drittländer. Deine Einstellungen und Aktionen im Konto, etwa Löschfristen, Sperren und das Löschen einzelner Termine oder anderer Datensätze, sind Weisungen. Weitere Weisungen erteilst du per E-Mail an ; Tagano prüft die Befugnis und dokumentiert die Ausführung. Hält Tagano eine Weisung für rechtswidrig, informiert Tagano dich unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus. Verlangt das Recht der EU oder eines Mitgliedstaats eine andere Verarbeitung, informiert Tagano dich vorher, soweit das Gesetz dies erlaubt. ## 6 Vertraulichkeit Zugriff auf Salondaten haben nur Personen, die Tagano zur Vertraulichkeit verpflichtet hat oder die einer gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit ist das allein der Inhaber. Für Support greift Tagano nur zu, soweit es für eine berechtigte Anfrage erforderlich ist. ## 7 Schutzmaßnahmen Tagano setzt die technischen und organisatorischen Maßnahmen aus Anlage 1 um. Tagano darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. ## 8 Unterauftragsverarbeiter (1) Mit der Annahme genehmigst du die in Anlage 2 genannten Unterauftragsverarbeiter für die dort genannten Aufgaben. (2) Über die Hinzunahme oder den Ersatz eines Unterauftragsverarbeiters informiert Tagano dich mindestens 30 Kalendertage vorher per E-Mail. Die Information nennt Dienst, Zweck, Datenarten, Verarbeitungsländer, Garantien und Startdatum. (3) Du kannst der Änderung bis zum Startdatum im Konto oder per E-Mail widersprechen. Finden wir keine Lösung, kannst du den Vertrag über Tagano ohne Mehrkosten zum Startdatum kündigen. (4) Tagano erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf und haftet dir gegenüber für deren Einhaltung. Für Übermittlungen außerhalb des EWR gelten Art. 44 ff. DSGVO. Auf Anfrage erhältst du Kopien der maßgeblichen Garantien. ## 9 Unterstützung Tagano leitet Anfragen betroffener Personen zu deinen Salondaten unverzüglich an dich weiter und unterstützt dich mit den Funktionen für Auskunft, Export, Berichtigung, Sperre und Löschung. Tagano unterstützt dich außerdem, soweit es die Art der Verarbeitung und die verfügbaren Informationen erlauben, bei Datensicherheit, Meldungen, Folgenabschätzungen und vorherigen Konsultationen nach Art. 32 bis 36 DSGVO. ## 10 Datenschutzverletzungen Erfährt Tagano von einer Verletzung des Schutzes deiner Salondaten, informiert Tagano dich unverzüglich über deine Konto-E-Mail-Adresse. Soweit bekannt, nennt die Meldung Art und Umfang, betroffene Daten- und Personengruppen mit ungefährer Anzahl, mögliche Folgen, ergriffene Gegenmaßnahmen und einen Ansprechpartner. Fehlende Angaben folgen ohne unangemessene Verzögerung. ## 11 Nachweise und Kontrollen Tagano stellt dir die Informationen bereit, die du zum Nachweis der Pflichten aus Art. 28 DSGVO brauchst. Du oder ein von dir beauftragter, zur Verschwiegenheit verpflichteter Prüfer könnt die Einhaltung überprüfen, auch durch Inspektionen. Reguläre Termine stimmen die Parteien vorher ab. Bei dringendem Anlass ermöglicht Tagano die Prüfung ohne unangemessene Verzögerung. Die Daten anderer Salons bleiben dabei geschützt. ## 12 Rückgabe und Löschung (1) Den vollständigen Salonexport im JSON-Format kannst du jederzeit abrufen, auch nach Test- oder Tarifende. Bestandteile außerhalb des Exports, etwa gespeicherte Bilder, gibt Tagano auf Anfrage auf geschütztem Weg heraus. (2) Die Löschung deines Salons beauftragst du gesondert. Sie beginnt frühestens sieben Tage nach dem Auftrag; in dieser Zeit ist der Salonbetrieb gesperrt. Vorher prüft Tagano offene Vorgänge und Löschsperren. (3) Bestellst du nach Ende des Tests oder des Abos keinen Tarif, löscht Tagano deine Salondaten sechs Monate nach diesem Ende. Tagano erinnert dich mindestens 30 Tage vorher per E-Mail, damit du die Daten exportieren kannst. Für Salons, die schon vor Annahme dieser Fassung bestanden, beginnt die Frist frühestens mit der Annahme. Sind vor der Löschung offene Vorgänge zu klären, löscht Tagano nach deren Klärung. (4) Gesetzliche Wechsel- und Abruffristen und Pflichten, die Tagano nach dem Recht der EU oder Deutschlands zur Speicherung verpflichten, haben Vorrang vor einer Löschung. Deine eigenen Aufbewahrungspflichten erfüllst du selbst, etwa indem du die nötigen Daten vor der Löschung exportierst und sicherst. Sicherungskopien laufen nach Anlage 1 aus. Tagano bestätigt dir die Löschung und nennt etwaige Restbestände mit Grund und Dauer. ## 13 Schlussbestimmungen Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Für die Haftung zwischen dir und Tagano gilt § 12 der AGB; Ansprüche betroffener Personen nach Art. 82 DSGVO bleiben unberührt. Änderungen bedürfen deiner ausdrücklichen Annahme im Konto; für Änderungen der Anlage 2 gilt Abschnitt 8. # Anlage 1 · Technische und organisatorische Maßnahmen ## Zugang und Trennung der Salons - Bei jedem geschützten Zugriff prüft der Server die Salonzugehörigkeit und die Berechtigung. - Betreiber verwalten ihren Betrieb; Teammitglieder sehen nur, was ihre Rolle erlaubt. - Passwörter werden nur als Hashwert gespeichert. Anmeldeversuche und andere missbrauchsanfällige Anfragen sind begrenzt. - Export, Vertragsannahme und Löschfreigabe verlangen eine erneute Passworteingabe. - Entzogene Mitarbeiterzugänge werden sofort gesperrt, bestehende Sitzungen widerrufen. ## Übertragung und Geräte - Alle Verbindungen zu Website und App sind per HTTPS verschlüsselt. - Die App speichert ihren Zugangsschlüssel im geschützten Speicher des Betriebssystems. - E-Mails werden ohne Öffnungs- und Klickverfolgung versendet. ## Server und Administration - Web-, Mail- und Pushprozesse laufen getrennt in eigenen Containern. - Der Server ist nur über einen SSH-Schlüssel administrierbar; Root- und Passwortanmeldung sind deaktiviert. - Eine Firewall beschränkt die öffentlich erreichbaren Dienste. - Geheimnisse und Sicherungsschlüssel sind vom öffentlichen Webzugang getrennt. - Anbieterkonten sind mit Zwei-Faktor-Anmeldung geschützt, administrative Endgeräte verschlüsselt. - Den physischen Zugang zum Rechenzentrum sichert der Hostinganbieter. ## Pushnachrichten - Pushnachrichten sind je Gerät freiwillig. - Auf iPhones enthalten sie nur allgemeine Hinweise ohne Kundennamen oder Terminzeiten. - Unter Android ist eine Detailvorschau mit Kundenname, Datum, Beginn und Ende möglich. Sie ist standardmäßig ausgeschaltet; du legst fest, ob dein Team sie nutzen darf. - Leistungsbezeichnungen, Kontaktdaten, Notizen und Abwesenheitsgründe sind nie Teil einer Pushnachricht. ## Sicherung und Wiederherstellung - Die Datenbank wird täglich gesichert und vor dem Hochladen verschlüsselt. Die Schlüssel liegen getrennt von den Sicherungen. - Jede Sicherung ist 30 Tage vor vorzeitiger Löschung geschützt und läuft danach aus. - Ein getrenntes, verschlüsseltes Journal hält Löschungen und Sperren 32 Tage fest. Vor der Freigabe einer Wiederherstellung werden diese Löschungen und Sperren nachgeführt. Andere Änderungen seit der letzten Sicherung können auf deren Stand zurückfallen; Tagano informiert dich darüber per E-Mail und im Konto. - Die Wiederherstellbarkeit wird regelmäßig getestet; Betrieb und Sicherungen werden überwacht. ## Löschung und Überprüfung - Eigene Arbeitskopien löscht Tagano spätestens sieben Tage nach Zweckerledigung. - Vertrags- und Löschnachweise bewahrt Tagano auf, solange der Salon besteht, danach bis zu 1.095 Tage nach seiner Löschung; abgelöste Fassungen bis zu 1.095 Tage nach ihrer Ablösung. - Tagano überprüft die Wirksamkeit dieser Maßnahmen regelmäßig und passt sie dem Risiko an. # Anlage 2 · Unterauftragsverarbeiter | Unterauftragsverarbeiter | Aufgabe | Daten | Ort | Drittland und Grundlage | | --- | --- | --- | --- | --- | | netcup GmbH, Emmy-Noether-Str. 10, 76131 Karlsruhe, Deutschland | Hosting von Anwendung, Datenbank und Postfächern | Alle Salondaten, Verbindungsdaten; bei Support-E-Mails deren Inhalt | Nürnberg | Keine Übermittlung vorgesehen | | Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg | E-Mail-Versand (Amazon SES), Zustellrückmeldungen und Betriebsalarme (SNS, SQS, CloudWatch) | Absender, Empfänger, Namen, Nachrichten mit Buchungsangaben, Codes und Links, Zustellstatus | Stockholm | Zugriffe außerhalb des EWR möglich; EU-Standardvertragsklauseln des AWS-Vertrags bzw. Angemessenheitsbeschluss | | Backblaze, Inc., 2261 Market Street STE 81006, San Francisco, CA 94114, USA | Speicherung verschlüsselter Datensicherungen und des Lösch- und Sperrjournals | Verschlüsselte Kopien aller Salondaten, technische Metadaten | Amsterdam | Zugriffe aus den USA möglich; EU-US Data Privacy Framework (Backblaze ist zertifiziert), ergänzend EU-Standardvertragsklauseln des Backblaze-Vertrags | | Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA | Zustellung von Pushnachrichten (Firebase Cloud Messaging) | Geräte- und Installationskennungen, Verbindungsdaten, Pushinhalt nach Anlage 1 | Weltweit, auch USA | EU-US Data Privacy Framework, sonst EU-Standardvertragsklauseln der Firebase-Bedingungen | Stripe und PayPal verarbeiten nur Daten zur Abrechnung des Tagano-Abos; Healthchecks.io überwacht nur den technischen Betrieb. Apple stellt Pushnachrichten an iPhones nach eigenen Bedingungen zu und erhält dafür eine Gerätekennung, technische Zustelldaten und einen allgemeinen Hinweis ohne Kundennamen oder Termindaten. Diese Anbieter erhalten keine Salondaten und sind keine Unterauftragsverarbeiter.