Nachtrag zur Verarbeitung (Allgemeines)
Zuletzt aktualisiert: 12.04.2026
Dieser Zusatz zur Datenverarbeitung („DPA“) ist Bestandteil der Hapio-Nutzungsbedingungen, die unter hapio.io/policies/terms-of-service/ abrufbar sind, sowie jeder anderen schriftlichen oder elektronischen Vereinbarung zwischen dem Kunden, der die Hapio-Dienste nutzt („Kunde“), und Viström Digital Development AB (Org.-Nr. 556914-1921), firmierend unter dem Namen Hapio, mit Sitz in Schweden unter der Adresse Hertig Johans Gata 16, 541 31 Skövde, Schweden („Hapio“) (zusammen die„Vereinbarung“).
Diese Datenschutzvereinbarung gilt automatisch, ohne dass eine gegengezeichnete Kopie erforderlich ist, ab dem Zeitpunkt, zu dem der Kunde erstmals Daten des Verantwortlichen mithilfe der Dienste verarbeitet, und bleibt so lange in Kraft, wie Hapio Daten des Verantwortlichen im Auftrag des Kunden verarbeitet. Falls Ihr Unternehmen eine unterzeichnete, individuell ausgehandelte Datenschutzvereinbarung benötigt – beispielsweise für Ihre eigenen Aufzeichnungen zur Einhaltung von Lieferantenvorschriften oder für Prüfungsunterlagen –, wenden Sie sich bitte an uns.
1. Begriffsbestimmungen
„CCPA“ bezeichnet den California Consumer Privacy Act von 2018 in der durch den California Privacy Rights Act von 2020 geänderten Fassung sowie die dazugehörigen Durchführungsbestimmungen.
„Daten des Verantwortlichen“ bezeichnet personenbezogene Daten, die Hapio im Auftrag des Kunden über die Dienste verarbeitet – d. h. Daten, die an die Dienste übermittelt, dort gespeichert oder von diesen generiert werden und sich auf die Ressourcen, Buchungen und die damit verbundenen Personen des Kunden beziehen. Nicht dazu gehören Daten über das eigene Personal des Kunden, das auf das Hapio-Entwicklerportal zugreift; diese Daten verarbeitet Hapio als eigenständiger Verantwortlicher gemäß seiner eigenen Datenschutzerklärung.
„Datenschutzgesetze“ bezeichnet alle Gesetze, die für die Verarbeitung von Daten des Verantwortlichen im Rahmen dieser DPA gelten, einschließlich der EU-DSGVO, der britischen DSGVO und des britischen Datenschutzgesetzes von 2018, des Schweizer DSG, des CCPA sowie anderer anwendbarer Datenschutzgesetze der US-Bundesstaaten, jeweils in ihrer jeweils gültigen Fassung oder in der jeweils durch neue Rechtsvorschriften ersetzten Fassung.
„DSGVO“ bezeichnet die Verordnung (EU) 2016/679.
Die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“, „verkaufen“ und „weitergeben“ haben die in den Datenschutzgesetzen festgelegten Bedeutungen.
„Eingeschränkte Übermittlung“ bezeichnet eine Übermittlung personenbezogener Daten, für deren Verbringung aus dem Ursprungsland gemäß den Datenschutzgesetzen besondere Schutzmaßnahmen erforderlich sind – beispielsweise eine Übermittlung aus dem EWR in ein Land, das von der Europäischen Kommission nicht als Land mit angemessenem Schutzniveau anerkannt wurde.
„SCCs“ bezeichnet die Standardvertragsklauseln im Anhang zum Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission.
„Dienste“ bezeichnet die Hapio-API, das Entwicklerportal und die damit verbundenen Buchungs- und Terminplanungsfunktionen, die im Rahmen des Vertrags bereitgestellt werden.
„Unterauftragsverarbeiter“ bezeichnet einen von Hapio mit der Verarbeitung von Daten des Verantwortlichen beauftragten Dritten, wie unter hapio.io/policies/sub-processors/ aufgeführt .
„UK-Zusatz“ bezeichnet den vom britischen Information Commissioner herausgegebenen Zusatz zu den Standardvertragsklauseln (SCCs) bezüglich des internationalen Datentransfers.
2. Aufgaben der Parteien
2.1 Im Verhältnis zwischen den Parteien ist der Kunde der Verantwortliche (oder, falls er Hapio im Auftrag eines dritten Verantwortlichen beauftragt, ein Auftragsverarbeiter) und Hapio ist der Auftragsverarbeiter der Daten des Verantwortlichen – oder, im Sinne der Datenschutzgesetze der US-Bundesstaaten, der„Dienstleister“.
2.2 Der Kunde ist allein verantwortlich für: die Richtigkeit und Rechtmäßigkeit der Daten des Verantwortlichen sowie die Art und Weise ihrer Erhebung; die Gewährleistung, dass seine Anweisungen an Hapio den Datenschutzgesetzen entsprechen; die Beantwortung von Anfragen betroffener Personen und Aufsichtsbehörden in seiner Eigenschaft als Verantwortlicher; sowie dafür, keine besonderen Kategorien personenbezogener Daten (z. B. Gesundheitsdaten, biometrische Daten) über die Freitext- oder Metadatenfelder der Dienste zu übermitteln, es sei denn, er hat sich schriftlich bei Hapio vergewissert, dass angemessene Schutzmaßnahmen getroffen wurden.
2.3 Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien der betroffenen Personen sowie die Kategorien der Daten des Verantwortlichen sind in Anhang 1 aufgeführt.
3. Die Verarbeitung von Daten des für die Verarbeitung Verantwortlichen durch Hapio
3.1 Hapio verarbeitet Daten des Verantwortlichen ausschließlich: (a) zur Bereitstellung und Unterstützung der Dienste im Rahmen des Vertrags; (b) gemäß den dokumentierten Anweisungen des Kunden, einschließlich der Anweisungen, die über die Konfiguration der Dienste, das Dashboard und die API erteilt werden; und (c) soweit dies gesetzlich vorgeschrieben ist; in diesem Fall wird Hapio den Kunden vorab über diese Anforderung informieren, sofern dies nicht untersagt ist.
3.2 Hapio wird die Daten des Verantwortlichen weder verkaufen noch weitergeben, sie nicht für eigene Marketing- oder Werbezwecke nutzen und sie nicht zu anderen Zwecken als der Erbringung der Dienste verarbeiten; Hapio ist jedoch berechtigt, aus den Daten des Verantwortlichen aggregierte oder anonymisierte Daten zu erstellen – die weder den Kunden noch eine betroffene Person identifizieren – und diese aggregierten/anonymisierten Daten zum Betrieb, zur Verbesserung und zum Benchmarking der Dienste zu verwenden.
3.3 Sollte Hapio der Ansicht sein, dass eine Anweisung des Kunden gegen datenschutzrechtliche Vorschriften verstoßen würde, wird Hapio den Kunden unverzüglich darüber in Kenntnis setzen und die Umsetzung dieser Anweisung möglicherweise aussetzen, bis sie bestätigt oder überarbeitet wurde.
4. Vertraulichkeit
Hapio stellt sicher, dass Mitarbeiter, die zur Verarbeitung von Kontrolldaten befugt sind, einer Geheimhaltungspflicht unterliegen und Kontrolldaten nur in dem für ihre Aufgaben erforderlichen Umfang verarbeiten.
5. Sicherheit
5.1 Hapio wird angemessene technische und organisatorische Maßnahmen zum Schutz der Daten des Verantwortlichen gemäß Anhang 2 umsetzen und aufrechterhalten, wobei der Stand der Technik, die Umsetzungskosten und das Risiko für die betroffenen Personen berücksichtigt werden. Hapio kann diese Maßnahmen im Laufe der Zeit aktualisieren, sofern dadurch das allgemeine Schutzniveau nicht wesentlich gemindert wird.
5.2 Auf begründete schriftliche Anfrage hin, jedoch höchstens einmal pro Kalenderjahr, stellt Hapio dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Abschnitts 5 angemessen erforderlich sind; dazu können eine Sicherheitszusammenfassung, ein ausgefüllter Fragebogen oder relevante Zertifizierungen von Dritten gehören, über die Hapio zu diesem Zeitpunkt verfügt.
6. Verletzung des Schutzes personenbezogener Daten
6.1 Hapio wird den Kunden unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem es Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die Daten des Verantwortlichen betrifft, benachrichtigen und dabei (soweit zu diesem Zeitpunkt bekannt) die Art der Verletzung, die voraussichtlichen Folgen sowie die ergriffenen oder geplanten Maßnahmen zu deren Behebung beschreiben.
6.2 Hapio wird angemessene Maßnahmen ergreifen, um die Sicherheitsverletzung einzudämmen und deren Auswirkungen zu mindern, und wird den Kunden bei der Erfüllung seiner eigenen Meldepflichten unterstützen. Die Meldung durch Hapio gemäß diesem Abschnitt stellt kein Schuldeingeständnis dar.
6.3 Der Kunde ist dafür verantwortlich, die Kontaktdaten für Benachrichtigungen in seinem Konto auf dem neuesten Stand zu halten; Hapio haftet nicht für verspätete Benachrichtigungen, die auf veraltete Kontaktdaten zurückzuführen sind.
7. Rechte der betroffenen Personen
7.1 Hapio ermöglicht dem Kunden über die Standardfunktionalität der Dienste den Zugriff auf die Daten des Verantwortlichen sowie deren Export, Berichtigung und Löschung.
7.2 Erhält Hapio direkt von einer betroffenen Person eine Anfrage bezüglich der Daten des Verantwortlichen, wird Hapio nicht inhaltlich darauf eingehen (abgesehen von einer Empfangsbestätigung), sondern die betroffene Person unverzüglich an den Kunden weiterleiten.
7.3 Unter Berücksichtigung der Art der Verarbeitung leistet Hapio über die Funktionen der Dienste sowie auf Anfrage durch angemessene zusätzliche Unterstützung angemessene Hilfe, um den Kunden bei der Beantwortung von Anfragen betroffener Personen gemäß den Datenschutzgesetzen zu unterstützen. Für Unterstützung, die über die Standardfunktionen hinausgeht, kann Hapio eine im Voraus vereinbarte angemessene Gebühr erheben.
8. Datenschutz-Folgenabschätzungen
Auf schriftliche Anfrage leistet Hapio angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und den damit verbundenen vorherigen Konsultationen mit den Aufsichtsbehörden, die der Kunde gemäß den Datenschutzgesetzen in angemessener Weise benötigt, soweit die entsprechenden Informationen Hapio vorliegen und dem Kunden nicht anderweitig zur Verfügung stehen.
9. Unterauftragsverarbeiter
9.1 Der Kunde erteilt Hapio eine allgemeine schriftliche Ermächtigung, Unterauftragsverarbeiter mit der Verarbeitung von Daten des Verantwortlichen im Zusammenhang mit den Dienstleistungen zu beauftragen.
9.2 Hapio führt unter hapio.io/policies/sub-processors eine aktuelle Liste der Unterauftragsverarbeiter. Hapio wird – per E-Mail oder durch Aktualisierung dieser Seite mit einem Änderungsprotokoll – eine entsprechende Mitteilung machen, bevor ein neuer Unterauftragsverarbeiter zur Verarbeitung von Daten des Verantwortlichen zugelassen wird.
9.3 Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen gegen einen neuen Unterauftragsverarbeiter Einspruch erheben, indem er Hapio innerhalb von 14 Tagen nach der Mitteilung gemäß Abschnitt 9.2 schriftlich darüber in Kenntnis setzt. Können die Parteien den Einspruch nicht beilegen, besteht das einzige Rechtsmittel des Kunden darin, den Teil der Dienstleistungen, der ohne diesen Unterauftragsverarbeiter nicht erbracht werden kann, ohne Vertragsstrafe zu kündigen.
9.4 Hapio schließt mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung ab, in der Datenschutzverpflichtungen festgelegt werden, die mindestens ebenso streng sind wie die in dieser DPA enthaltenen, soweit dies für die von dem jeweiligen Unterauftragsverarbeiter erbrachten Dienstleistungen relevant ist, und haftet gegenüber dem Kunden für die Leistung jedes Unterauftragsverarbeiters.
10. Internationale Datenübermittlungen
10.1 Hapio verarbeitet Daten von Verantwortlichen in erster Linie in der EU (AWS eu-central-1).
10.2 Wenn die Verarbeitung eine eingeschränkte Übermittlung beinhaltet, werden die SCCs durch Verweis in diese DPA aufgenommen und gelten wie folgt: Modul 2 gilt, wenn der Kunde ein Verantwortlicher ist, und Modul 3 gilt, wenn der Kunde ein Auftragsverarbeiter ist, der für einen dritten Verantwortlichen handelt; die optionale Docking-Klausel in Ziffer 7 ist enthalten; Option 2 (allgemeine Ermächtigung gemäß Abschnitt 9 oben) gilt gemäß Ziffer 9; der optionale Wortlaut in Ziffer 11 ist ausgeschlossen; die Standardvertragsklauseln unterliegen gemäß Ziffer 17 (Option 1) schwedischem Recht; und Streitigkeiten unterliegen gemäß Ziffer 18(b) der Zuständigkeit der schwedischen Gerichte. Die Anhänge I–III der SCC gelten mit den Angaben in den Anlagen 1, 2 und 3 dieser DPA als ausgefüllt.
10.3 Gilt die britische DSGVO für eine eingeschränkte Datenübermittlung, so gilt dies als Abschluss des britischen Zusatzvertrags durch die Parteien mit denselben Wahlmöglichkeiten wie in Abschnitt 10.2, wobei Hapio als „Importeur“ gilt.
10.4 Soweit das Schweizer Datenschutzgesetz (FADP) Anwendung findet, gelten die SCCs so, dass sie auch betroffene Personen in der Schweiz schützen, wobei der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte soweit erforderlich als zuständige Behörde fungiert.
11. Rückgabe oder Löschung von Controller-Daten
11.1 Der Kunde kann die Daten des Verantwortlichen jederzeit über die Standardfunktionen der Dienste exportieren oder löschen; die Nutzung dieser Funktionen zum Löschen von Daten gilt als Anweisung an Hapio, diese Daten aus den Systemen von Hapio zu löschen.
11.2 Bei Kündigung oder Ablauf des Vertrags löscht Hapio die verbleibenden Daten des Verantwortlichen innerhalb von 90 Tagen, es sei denn, geltendes Recht schreibt eine längere Aufbewahrungsfrist vor oder die Daten verbleiben bis zu ihrer planmäßigen Rotation in verschlüsselten Sicherungskopien; außerdem stellt Hapio die Daten für einen Zeitraum von 14 Tagen nach Vertragsende zum Export bereit, sofern der Kunde dies vor Vertragsende schriftlich beantragt.
12. Haftung
Die Haftung jeder Partei aus dieser DPA unterliegt den Haftungsbeschränkungsbestimmungen der Vereinbarung, und jede Bezugnahme in diesen Bestimmungen auf die Haftung einer Partei bezieht sich auf die Gesamthaftung dieser Partei im Rahmen der Vereinbarung und dieser DPA zusammen. Keine Bestimmung dieser DPA schränkt die Haftung einer der Parteien gegenüber einer betroffenen Person oder einer Aufsichtsbehörde ein, soweit eine solche Haftung rechtlich nicht beschränkt werden kann.
13. Weitere Bestimmungen zum CCPA und zu den Gesetzen der US-Bundesstaaten
Soweit die Daten des Verantwortlichen personenbezogene Daten enthalten, die gemäß dem CCPA oder einem anderen geltenden Datenschutzgesetz eines US-Bundesstaates geschützt sind, wird Hapio in seiner Rolle als „Dienstleister“ (oder in einer vergleichbaren Funktion) diese Daten weder verkaufen noch weitergeben; sie weder für andere Zwecke als die Erbringung der Dienste speichern, nutzen oder offenlegen; noch sie mit personenbezogenen Daten aus anderen Quellen zusammenführen, es sei denn, dies ist nach diesem Gesetz zulässig. Hapio versichert, dass es diese Einschränkungen versteht und einhalten wird und bei Anfragen bezüglich Verbraucherrechten gemäß Abschnitt 7 Unterstützung leisten wird.
14. Rangfolge
Im Falle eines Widerspruchs zwischen dieser DPA und der Vereinbarung ist diese DPA hinsichtlich der Verarbeitung von Daten des Verantwortlichen maßgebend. Im Falle eines Widerspruchs zwischen dieser DPA und den gemäß Abschnitt 10 einbezogenen SCCs oder dem UK-Nachtrag sind die SCCs oder der UK-Nachtrag maßgebend.
15. Laufzeit
Diese DPA tritt in Kraft, sobald der Kunde erstmals Daten des Verantwortlichen unter Nutzung der Dienste verarbeitet, und gilt so lange, wie Hapio Daten des Verantwortlichen im Auftrag des Kunden verarbeitet, vorbehaltlich der Bestimmungen in Abschnitt 11.
16. Änderungen an dieser Datenschutzerklärung
Hapio behält sich vor, diese DPA von Zeit zu Zeit zu aktualisieren, um Änderungen der Datenschutzgesetze, der Dienste oder der Geschäftsabläufe von Hapio Rechnung zu tragen. Aktualisierungen werden unter derselben URL mit einem neuen Datum unter „Zuletzt aktualisiert“ veröffentlicht. Wesentliche Änderungen treten 30 Tage nach ihrer Veröffentlichung in Kraft. Wenn eine wesentliche Änderung nachteilige Auswirkungen auf den Kunden hat, kann der Kunde den Vertrag ohne Vertragsstrafe kündigen, indem er Hapio innerhalb von 10 Tagen nach Inkrafttreten der Änderung schriftlich benachrichtigt. Die fortgesetzte Nutzung der Dienste nach Inkrafttreten einer Änderung gilt als Zustimmung zu der aktualisierten DPA. Wenn der Kunde und Hapio separat eine unterzeichnete DPA (z. B. eine Unternehmens-DPA) abschließen, haben die Bestimmungen dieser unterzeichneten Vereinbarung im Falle von Widersprüchen Vorrang vor dieser allgemeinen DPA.
17. Kontakt
Fragen zu dieser Datenschutzerklärung und Mitteilungen im Zusammenhang damit sind an hi@hapio.io zu richten. Als in der EU ansässiges Unternehmen benötigt Hapio keinen Vertreter gemäß Artikel 27 DSGVO.
Anhang 1 – Einzelheiten zur Verarbeitung
Kategorien betroffener Personen: Endnutzer der Anwendung des Kunden, die eine Buchung vornehmen, verwalten oder Gegenstand einer Buchung sind; Personen, die als „Ressourcen“ bezeichnet werden, wobei eine Ressource eine natürliche Person darstellt (z. B. Mitarbeiter, Fachkräfte);
Kategorien der vom Verantwortlichen erhobenen Daten: Identitäts- und Kontaktdaten, die als Metadaten zur Buchung oder zur Ressource übermittelt werden (z. B. Name, E-Mail-Adresse, Telefonnummer); Buchungsdetails (Dienstleistung, Datum/Uhrzeit, Ort, Status, Anmerkungen); Details zur Ressource, sofern es sich bei der Ressource um eine Person handelt; alle zusätzlichen Felder, die der Kunde über Metadaten ausfüllen möchte – der Kunde bestimmt, welche Daten übermittelt werden, und sollte ohne vorherige schriftliche Vereinbarung mit Hapio keine Daten besonderer Kategorien einbeziehen.
Besondere Kategorien personenbezogener Daten: Standardmäßig keine zu erwarten;
Art und Zweck: Bereitstellung von API-basierten Funktionen für Buchung, Terminplanung, Ressourcen- und Verfügbarkeitsmanagement, die der Kunde in seine eigene Anwendung integriert.
Laufzeit: Für die Dauer des Vertrags zuzüglich etwaiger Aufbewahrungsfristen gemäß Abschnitt 11.
Häufigkeit: Fortlaufend, solange der Kunde die Dienste nutzt.
Anhang 3 – Unterauftragsverarbeiter
Die aktuelle Liste finden Sie unter hapio.io/policies/sub-processors