Stand 05.09.2026 (Version 1.1)
Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen zwischen dem Studio (nachfolgend „Verantwortlicher“) und Johannes Neuhaus, Nordholzer Str. 31a, 32425 Minden (nachfolgend „Auftragsverarbeiter“ bzw. „Skinfile“), und regelt die Verarbeitung personenbezogener Daten von Kund:innen des Studios im Auftrag des Studios gemäß Art. 28 DSGVO. Er kommt automatisch mit der Registrierung eines Studio-Accounts zustande, zusammen mit den Allgemeinen Geschäftsbedingungen.
Gegenstand ist die Verarbeitung personenbezogener Daten, die das Studio über die Software Skinfile im Rahmen der Verwaltung seiner Kund:innen erhebt und speichert. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags (AGB § 6).
Skinfile speichert, strukturiert und stellt die vom Studio bzw. dessen Kund:innen eingegebenen Daten bereit, damit das Studio seine Kundenverwaltung, Terminplanung, Gesundheitsfragebögen und Behandlungsdokumentation digital führen kann. Skinfile nimmt keine eigene inhaltliche Auswertung dieser Daten vor.
Betroffene Personen sind die Kund:innen und Interessent:innen des Studios. Verarbeitet werden insbesondere:
Die genaue Auflistung entspricht Ziffer 6 der Datenschutzerklärung.
Skinfile verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Studios, insbesondere im Rahmen der über die Software bereitgestellten Funktionen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt, es sei denn, dies ist gesetzlich vorgeschrieben.
Skinfile stellt sicher, dass mit der Verarbeitung befasste Personen zur Vertraulichkeit verpflichtet sind. Da Skinfile aktuell von Johannes Neuhaus als Einzelunternehmer betrieben wird, betrifft dies vorrangig ihn selbst; sollten künftig weitere Personen mit Zugriff auf Kund:innendaten betraut werden, werden auch diese entsprechend verpflichtet.
Es gelten die in Ziffer 14 der Datenschutzerklärung genannten Maßnahmen: verschlüsselte Übertragung (TLS), gehashte Passwörter, strikte technische Trennung der Daten zwischen Studios (jede Datenbankabfrage ist auf das eingeloggte Studio beschränkt) sowie ein nicht erratbarer Zugangs-Code für den öffentlichen Gesundheitsfragebogen. Diese Maßnahmen können sich im Rahmen der technischen Weiterentwicklung ändern, solange das Schutzniveau nicht unterschritten wird.
Skinfile setzt die in Ziffer 9 der Datenschutzerklärung genannten Unterauftragsverarbeiter ein (aktuell: Supabase Inc., Vercel Inc., Stripe, Resend, bei aktivierter Kalender-Anbindung zusätzlich Google Ireland Ltd.). Das Studio erteilt hiermit eine allgemeine Genehmigung zum Einsatz dieser sowie künftiger Unterauftragsverarbeiter. Skinfile informiert das Studio über wesentliche Änderungen (neue oder ausgetauschte Unterauftragsverarbeiter) rechtzeitig vor deren Einsatz; das Studio kann dem aus wichtigem Grund widersprechen.
Skinfile verpflichtet Unterauftragsverarbeiter zu denselben Datenschutzpflichten, die sich aus diesem Vertrag ergeben.
Skinfile unterstützt das Studio im Rahmen der technischen Möglichkeiten bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung u. a.) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO. Wird Skinfile eine Verletzung des Schutzes personenbezogener Daten bekannt, die Kund:innendaten eines Studios betrifft, informiert Skinfile das betroffene Studio unverzüglich.
Löscht das Studio seinen Account (AGB § 10), werden die darüber verwalteten Kund:innendaten unverzüglich und unwiderruflich entfernt, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Das Studio kann seine Kund:innendaten jederzeit vor dieser Löschung selbst über die Software einsehen und sichern (z. B. über den Datenexport in den Kund:innen-Details).
Wichtig: Beendet das Studio nur die kostenpflichtige Nutzung (AGB § 6, „Abo verwalten“), ohne den Account zu löschen, bleiben die Daten zwar bestehen, der Zugriff über die Software endet aber zusammen mit dem Abo sofort. Ein Export ist dann nicht mehr möglich – das Studio sollte seine Daten deshalb vor einer Kündigung sichern, nicht danach.
Das Studio kann sich die Einhaltung dieses Vertrags durch Skinfile in geeigneter Form nachweisen lassen, etwa durch Auskünfte zu den eingesetzten technischen und organisatorischen Maßnahmen. Angesichts des Umfangs des Auftrags erfolgt dies in der Regel durch schriftliche Auskunft statt durch Vor-Ort-Audits; ein Vor-Ort-Audit kann bei berechtigtem Interesse nach vorheriger Ankündigung vereinbart werden.
Für die Haftung gelten die Regelungen der AGB (§ 9) entsprechend. Es gilt deutsches Recht. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.