Auftragsverarbeitungsvertrag (AVV)

(1) Dieser Auftragsverarbeitungsvertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen von Kalender Sync zwischen Ihnen („Kunde“) und der PPJ Venture Labs UG (haftungsbeschränkt), Hohenzollernstraße 30, 80801 München, eingetragen beim Amtsgericht München unter HRB 308771, vertreten durch den Geschäftsführer Paul Koch („PPJ“). Er regelt jede Verarbeitung personenbezogener Daten, die PPJ bei Ihrer Nutzung von Kalender Sync in Ihrem Auftrag vornimmt, und wird mit Annahme der AGB wirksam. Er gilt in allen Tarifen, einschließlich des Free-Tarifs und der Testphase; eine gesonderte Unterschrift ist nicht erforderlich. Für Verträge, die vor dem 17. Oktober 2026 geschlossen wurden, gilt dieser Vertrag, sobald Sie ihn durch Erklärung in Textform annehmen oder er im Rahmen einer Änderung der AGB einbezogen wird; bis dahin stellt PPJ ihn auf Anfrage bereit.

(2) Sie handeln als Verantwortlicher oder als Auftragsverarbeiter, der von seinem eigenen Verantwortlichen zur Beauftragung von PPJ berechtigt ist.

(3) Dieser Vertrag gilt, soweit Sie Kalender Sync als Unternehmer im Sinne von § 14 BGB nutzen, also in Ausübung einer gewerblichen oder selbständigen beruflichen Tätigkeit, auch als Einzelunternehmer oder Freiberufler. Nutzen Sie Kalender Sync als Verbraucher (§ 13 BGB), liegt keine Auftragsverarbeitung vor; PPJ verarbeitet Ihre Daten dann als Verantwortlicher, wie in der Datenschutzerklärung beschrieben.

(4) Für in Ihrem Auftrag verarbeitete personenbezogene Daten geht dieser Vertrag widersprechenden Regelungen der AGB vor. Er gilt für die Dauer des Nutzungsvertrags und darüber hinaus, bis die Rückgabe oder Löschung nach Ziffer 12 abgeschlossen ist.

(1) Gegenstand ist die Bereitstellung und der Betrieb von Kalender Sync: Auslesen von Termindaten aus den verbundenen Quellkalendern sowie Anlegen, Aktualisieren und Löschen von Blocker- oder Kopie-Terminen in den verbundenen Zielkalendern, jeweils in der von Ihnen gewählten Sichtbarkeitsstufe („Nur belegt“, „Titel + Zeit“, „Alle Details“); die dafür erforderliche Konto- und Anmeldeverwaltung; transaktionale und Service-E-Mails; Support und Störungsbeseitigung. Nur auf Ihre ausdrückliche Freigabe je Kalender zusätzlich: die Bereitstellung von Kalenderdaten an einen von Ihnen verbundenen KI-Assistenten auf dessen Anfrage.

(2) Arten von Daten: Bestandsdaten (E-Mail-Adresse, optional Name, Spracheinstellung, Tarif, Zeitpunkte der im Dienst erteilten Freigaben); Zugangsdaten zu Kalenderdiensten (OAuth-Tokens, App-Passwörter, Feed-Adressen), verschlüsselt gespeichert; Kalender-Metadaten (Name, Farbe, Schreibrechte); Termindaten (Titel, Zeiten, Ort, Beschreibung) während der Synchronisation; Nutzungs- und Protokolldaten (Sitzungen mit Browser, IP-Adresse und letzter Aktivität; technische Protokolle; Protokolle der Aktionen eines KI-Assistenten ohne Termininhalte).

(3) Termininhalte werden nur im Durchfluss verarbeitet und nicht dauerhaft gespeichert. Dauerhaft gespeichert werden Termin-Kennungen, Prüfsummen zur Änderungserkennung und der Startzeitpunkt des Quelltermins. Teilnehmerlisten, Gäste-E-Mail-Adressen und Anhänge werden weder gespeichert noch in Zielkalender übernommen; soweit sie in Antworten der Kalender-Schnittstellen enthalten sind, werden sie unmittelbar verworfen.

(4) Betroffene Personen sind Ihre Nutzer (etwa Inhaber, Geschäftsführung, Beschäftigte) sowie Personen, deren Daten in den Termininhalten der synchronisierten Kalender enthalten sind (etwa Kunden, Geschäftspartner, Kontaktpersonen).

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für diese Verarbeitung nicht vorgesehen. Termininhalte können sie je nach Ihren Einträgen gleichwohl enthalten. PPJ wertet Termininhalte nicht aus.

(6) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, die PPJ als eigener Verantwortlicher vornimmt: Verwaltung und Abrechnung des Vertragsverhältnisses einschließlich der Zahlungsabwicklung, gesetzliche Aufbewahrungspflichten, Sicherheits- und Missbrauchsüberwachung der eigenen Infrastruktur, Werbung und Newsletter auf Grundlage eigener Einwilligungen sowie die Kommunikation mit Ihnen als Vertragspartner. Diese Verarbeitungen beschreibt die Datenschutzerklärung.

(1) PPJ verarbeitet personenbezogene Daten ausschließlich auf Ihre dokumentierte Weisung. Diese ergibt sich aus diesem Vertrag, den AGB und der von Ihnen in der Anwendung vorgenommenen Konfiguration, insbesondere dem Einrichten, Ändern und Löschen von Synchronisationen, Sichtbarkeitsstufen und Freigaben. Zusätzliche Einzelweisungen bedürfen der Textform.

(2) PPJ nutzt in Ihrem Auftrag verarbeitete Daten nicht für eigene Werbung, nicht zur Profilbildung und nicht zum Training von KI-Modellen.

(3) Ist PPJ gesetzlich zu einer abweichenden Verarbeitung verpflichtet, teilt PPJ Ihnen dies vorher mit, sofern das Gesetz es nicht verbietet. Hält PPJ eine Weisung für datenschutzrechtlich unzulässig, informiert PPJ Sie unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(1) Sie sind für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für die Informationspflichten nach Art. 13 und 14 DSGVO gegenüber Ihren Nutzern.

(2) Sie stellen sicher, dass die Personen, die Kalenderkonten verbinden, dazu berechtigt sind und dass die Synchronisation der betroffenen Kalender mit den für Sie geltenden rechtlichen und berufsrechtlichen Pflichten (etwa Verschwiegenheitspflichten) vereinbar ist. Für die von Ihnen oder Ihren Nutzern veranlassten Übermittlungen an Empfänger nach Ziffer 8 sind Sie verantwortlich.

(3) Sie schützen Ihre Zugangsdaten und informieren PPJ unverzüglich, wenn Sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellen.

(1) PPJ verpflichtet jede zum Zugriff auf personenbezogene Daten befugte Person vor dem Zugriff zur Vertraulichkeit, sofern sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegt; die Pflicht besteht nach Ende der Tätigkeit fort. Der Zugriff ist auf das für die Aufgabe Erforderliche begrenzt.

(2) Ansprechstelle für Datenschutzfragen ist support@kalender-sync.de. Ein Datenschutzbeauftragter ist nicht benannt, da keine Benennungspflicht besteht; ändert sich das, teilt PPJ Ihnen die Kontaktdaten mit. PPJ führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(1) PPJ trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören: Hosting in ISO-27001-zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland (Anwendung und Datenbank in Nürnberg, Sicherungen in Falkenstein) mit Zutrittskontrolle des Betreibers; Serverzugang ausschließlich über schlüsselbasierte SSH-Anmeldung; Nutzeranmeldung über Einmal-Codes per E-Mail oder über Google bzw. Microsoft, Passwörter nur als Argon2-Hashes, Sitzungen für Nutzer einsehbar und einzeln widerrufbar; administrative Zugriffe nur durch einen eng begrenzten Personenkreis, tokenbasiert und mit Protokollierung administrativer Vorgänge; logische Mandantentrennung und strikt getrennte Staging- und Produktionsumgebungen; Transportverschlüsselung aller Verbindungen (TLS, HSTS mit Preload); Speicherung der Zugangsdaten zu Kalenderdiensten mit authentifizierter Verschlüsselung (ChaCha20-Poly1305); tägliche Datenbanksicherungen mit zusätzlicher verschlüsselter Sicherung auf räumlich getrenntem Speicher und getesteter Wiederherstellung; Systemüberwachung und Protokollierung auf eigener Infrastruktur; Minimierung personenbezogener Daten in technischen Protokollen; „Nur belegt“ als Standard-Sichtbarkeitsstufe und ein begrenztes Synchronisationszeitfenster; regelmäßige interne Sicherheitsüberprüfungen.

(2) PPJ darf die Maßnahmen dem Stand der Technik anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

(3) Keine Sicherheitsmaßnahme schließt jedes Risiko aus; eine absolute Sicherheit wird nicht zugesagt.

(1) Sie erteilen die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO für die auf der Seite Unterauftragnehmer (kalender-sync.de/unterauftragnehmer/) aufgeführten Dienste; diese Liste ist Bestandteil dieses Vertrags. Jeder Dienst ist nur für den dort beschriebenen Zweck genehmigt.

(2) PPJ verpflichtet jeden Unterauftragnehmer vor Beginn der Verarbeitung vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO), und haftet Ihnen gegenüber für dessen Pflichterfüllung. Auf Anfrage legt PPJ die maßgeblichen Regelungen vor; kaufmännische Angaben dürfen geschwärzt werden.

(3) Jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragnehmers kündigt PPJ mindestens 30 Kalendertage vor dem Einsatz per E-Mail an die Adresse Ihres Kontos an und aktualisiert die Liste. Diese Adresse aktuell zu halten liegt bei Ihnen.

(4) Sie können innerhalb von 30 Tagen nach Zugang der Ankündigung aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei einem Widerspruch kann PPJ die Leistung ohne die beanstandete Änderung anbieten; ist das nicht möglich oder nicht zumutbar, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen. Bereits gezahlte Entgelte für die Zeit danach erstattet PPJ anteilig.

(5) Keine Unterauftragnehmer sind Nebenleistungen Dritter ohne bestimmungsgemäßen Zugriff auf Ihre personenbezogenen Daten (etwa Telekommunikation oder Wartung ohne Datenzugriff) sowie die in Ziffer 8 genannten, von Ihnen selbst verbundenen Dienste.

(1) Die Kalenderdienste, die Sie oder Ihre Nutzer verbinden (etwa Google, Microsoft, Apple iCloud, GMX, WEB.DE, mailbox.org, Infomaniak und andere CalDAV- oder iCal-Dienste), sind von Ihnen gewählte Dienste und keine Unterauftragnehmer von PPJ. PPJ greift auf sie nur im Rahmen der eingerichteten Verbindungen zu; Kalenderdaten fließen dabei nur zwischen Ihren eigenen Konten. Maßgeblich ist Ihr Vertragsverhältnis zum jeweiligen Anbieter.

(2) Verbinden Sie einen KI-Assistenten über die MCP-Schnittstelle, erhält er Kalenderdaten nur auf Ihre ausdrückliche Freigabe je Kalender. Sein Anbieter ist Empfänger auf Ihre Veranlassung und kein Unterauftragnehmer von PPJ; für die dortige Verarbeitung gelten dessen Bedingungen.

(3) Anwendung, Datenbank und Sicherungen liegen in Deutschland. Eine Verarbeitung in Drittländern durch Unterauftragnehmer findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind; die Liste der Unterauftragnehmer nennt den Verarbeitungsort und die Garantie je Anbieter.

(1) PPJ leitet Anfragen betroffener Personen, die erkennbar an Sie gerichtet sind, unverzüglich an Sie weiter und antwortet inhaltlich nur auf Ihre Weisung oder soweit gesetzlich geboten.

(2) PPJ unterstützt Sie unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen nach Art. 12 bis 23 DSGVO und bei Ihren Pflichten nach Art. 32 bis 36 DSGVO. Die Anwendung stellt dafür den Export der Kontodaten und die vollständige Kontolöschung als Selbstbedienung bereit.

(3) Unterstützungsleistungen in angemessenem Umfang sind kostenfrei. Darüber hinausgehender Aufwand wird nur nach vorheriger Absprache und gegen angemessene Vergütung erbracht.

(1) PPJ unterrichtet Sie unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes der in Ihrem Auftrag verarbeiteten personenbezogenen Daten, per E-Mail an die Adresse Ihres Kontos.

(2) Die Mitteilung enthält, soweit bereits verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht, sobald sie vorliegen. PPJ begrenzt die Auswirkungen und unterstützt Ihre Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

(1) PPJ stellt Ihnen die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen. Der Nachweis erfolgt vorrangig durch Dokumentation: die technischen und organisatorischen Maßnahmen nach Ziffer 6, Zertifikate der eingesetzten Rechenzentren und schriftliche Auskünfte.

(2) Genügt das im Einzelfall nicht, können Sie eine Kontrolle vor Ort selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Sie ist mit mindestens 30 Tagen Vorankündigung abzustimmen, findet höchstens einmal je Kalenderjahr während der üblichen Geschäftszeiten und ohne Störung des Betriebs statt; die Kosten tragen Sie. Daten anderer Kunden und die Systemsicherheit bleiben geschützt. Rechte der Aufsichtsbehörden bleiben unberührt.

(1) Nach Ende der Leistungserbringung löscht PPJ nach Ihrer Wahl alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Speicherpflicht besteht. Treffen Sie innerhalb von 30 Tagen nach Vertragsende keine Wahl, werden die Daten gelöscht. Löschen Sie Ihr Konto selbst in der Anwendung, gilt das als Weisung zur Löschung.

(2) Die Löschung im Produktivsystem erfolgt spätestens 30 Tage nach Vertragsende. Daten in Sicherungskopien werden im Rahmen der turnusmäßigen Rotation gelöscht, spätestens zwölf Monate nach der Löschung im Produktivsystem. Sicherungskopien werden getrennt vom Produktivsystem und verschlüsselt vorgehalten, sind für die normale Verarbeitung gesperrt und dienen nur der Wiederherstellung im Störungsfall; wird eine Sicherung wiederhergestellt, werden Löschungen erneut angewandt.

(3) Gesetzliche Aufbewahrungspflichten, etwa für Rechnungs- und Buchungsdaten, bleiben unberührt; diese Daten verarbeitet PPJ in eigener Verantwortlichkeit.

(1) Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.

(1) Jede Fassung dieses Vertrags trägt eine Versionsnummer und ein Datum. Frühere Fassungen erhalten Sie auf Anfrage.

(2) PPJ kann diesen Vertrag ändern, wenn ein sachlicher Grund vorliegt, insbesondere eine Änderung der Rechtslage oder aufsichtsbehördlicher Vorgaben, eine Anpassung der technischen Maßnahmen oder eine Klarstellung, die Ihre Rechte nicht verkürzt. PPJ kündigt eine solche Änderung mindestens 30 Kalendertage vor Wirksamwerden per E-Mail an die Adresse Ihres Kontos an und weist dabei auf Ihr Widerspruchsrecht hin. Widersprechen Sie innerhalb dieser Frist, gilt für Sie die bisherige Fassung fort; PPJ kann den Nutzungsvertrag dann zum Fristende kündigen. Andernfalls gilt die neue Fassung ab dem genannten Datum.

(3) Änderungen, die Ihre Rechte oder die Pflichten von PPJ wesentlich verkürzen oder die Verarbeitungszwecke erweitern, bedürfen Ihrer ausdrücklichen Zustimmung. PPJ holt sie ein, bevor die neue Fassung für Sie gilt.

(4) Änderungen der Unterauftragnehmerliste richten sich nach Ziffer 7 und nicht nach dieser Ziffer.

(1) Dieser Vertrag wird in elektronischer Form geschlossen und ist ohne Unterschrift wirksam (Art. 28 Abs. 9 DSGVO). Über die Druckansicht dieser Seite können Sie ihn jederzeit speichern und ausdrucken.

(2) Benötigt Ihre Organisation ein unterzeichnetes Exemplar mit Angabe beider Parteien, schreiben Sie an support@kalender-sync.de. Der Inhalt entspricht dieser Seite in der angegebenen Fassung.

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts und vorbehaltlich zwingender Vorschriften. Der Gerichtsstand richtet sich nach den AGB.

(2) Dieser Vertrag wird in deutscher und englischer Sprache veröffentlicht. Bei Abweichungen ist die deutsche Fassung maßgeblich.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt der übrige Vertrag wirksam; an ihre Stelle tritt die gesetzliche Regelung.

Die Liste der Unterauftragnehmer ist Bestandteil dieses Vertrags. Die AGB regeln die Leistung selbst, die Datenschutzerklärung beschreibt die Verarbeitung in unserer eigenen Verantwortlichkeit. English version.