Version 1.0 — Stand 03.09.2026
zwischen
dem Kunden — der Tanzschule, die die Anwendung Dance Master Pro nutzt — nachfolgend „Verantwortlicher“,
und
FCO SRL, Via 2 Giugno 4, 23883 Brivio (LC), Italien, nachfolgend „Auftragsverarbeiter“.
§ 1 Gegenstand, Dauer und Beendigung
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Erbringung der Softwaredienstleistung Dance Master Pro gemäß dem zugrunde liegenden Hauptvertrag.
(2) Diese Vereinbarung ist Bestandteil des Hauptvertrags. Sie beginnt mit dessen Wirksamwerden und endet mit dessen Beendigung, spätestens jedoch mit dem Abschluss der Löschung nach § 11.
(3) Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
§ 2 Weisungsrecht des Verantwortlichen
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Diese Vereinbarung, der Hauptvertrag und die Konfiguration, die der Verantwortliche in der Anwendung selbst vornimmt, stellen die Erstweisung dar.
(2) Weitere Weisungen erteilt der Verantwortliche in Textform an privacy@dancemasterpro.com. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung einer solchen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
(4) Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Insbesondere werden Kundendaten nicht zum Training von Modellen künstlicher Intelligenz, zur Erstellung von Statistiken über Einzelkunden hinaus oder zu Werbezwecken genutzt.
§ 3 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
a) personenbezogene Daten ausschließlich im Rahmen dieser Vereinbarung und der Weisungen zu verarbeiten;
b) alle zur Verarbeitung befugten Personen schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen, und sie regelmäßig zu schulen;
c) die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen und aufrechtzuerhalten, wie in Anlage 2 beschrieben;
d) den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörde;
e) den Verantwortlichen unverzüglich zu informieren, wenn eine Aufsichtsbehörde oder eine andere Stelle beim Auftragsverarbeiter Ermittlungen führt, die Daten des Verantwortlichen betreffen könnten;
f) ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen und dem Verantwortlichen auf Anforderung zur Verfügung zu stellen;
g) den Verantwortlichen unverzüglich zu informieren, wenn Daten des Verantwortlichen bei ihm durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Ereignisse Dritter gefährdet werden.
§ 4 Technische und organisatorische Maßnahmen
(1) Die zum Zeitpunkt des Vertragsschlusses umgesetzten Maßnahmen sind in Anlage 2 beschrieben.
(2) Der Auftragsverarbeiter darf die Maßnahmen im Laufe der Zeit anpassen, insbesondere um technischen Fortschritt abzubilden. Das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anforderung mitgeteilt.
§ 5 Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern nach Art. 28 Abs. 2 Satz 2 DSGVO.
(2) Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und unter https://dancemasterpro.com/de/unterauftragsverarbeiter/ jederzeit abrufbar.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der Beauftragung eines neuen Unterauftragsverarbeiters oder dem Austausch eines bestehenden. Die Information erfolgt per E-Mail an die vom Verantwortlichen hinterlegte Adresse; zusätzlich kann der Verantwortliche einen Benachrichtigungsdienst unter der genannten Seite abonnieren.
(4) Der Verantwortliche kann einer Änderung innerhalb von 30 Tagen nach Zugang der Information aus datenschutzrechtlichen Gründen widersprechen. Kann keine einvernehmliche Lösung gefunden werden, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht hinsichtlich der betroffenen Leistung zu.
(5) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieser Vereinbarung mindestens gleichwertig sind, und haftet für dessen Verhalten wie für eigenes.
§ 6 Vom Verantwortlichen gesteuerte Integrationen
(1) Die Anwendung ermöglicht es dem Verantwortlichen, eigene Konten bei Drittanbietern zu verbinden — insbesondere:
- Cloud-Speicher (Google Drive, Dropbox, Microsoft OneDrive) zur Ablage von Rechnungs-PDFs, ärztlichen Attesten sowie Fotos und Videos;
- Zahlungsdienstleister (Stripe) mit den Zugangsdaten des Verantwortlichen;
- Videokonferenz (Zoom) mit den Zugangsdaten des Verantwortlichen;
- E-Mail-Versand über den vom Verantwortlichen konfigurierten SMTP-Server.
(2) Diese Dienste werden vom Verantwortlichen selbst ausgewählt, verbunden und konfiguriert. Die Daten werden in dessen eigenen Konten gespeichert. Der Auftragsverarbeiter hat auf diese Umgebungen keinen administrativen Zugriff und ist dort weder Verantwortlicher noch Auftragsverarbeiter.
(3) Der Verantwortliche ist verpflichtet, mit diesen Anbietern eigene Verträge zur Auftragsverarbeitung zu schließen. Der Auftragsverarbeiter weist ausdrücklich darauf hin, dass ein privates Konsumentenkonto (etwa ein privates Google-Konto) für die Speicherung personenbezogener Daten von Schülern regelmäßig nicht ausreicht; erforderlich ist ein Geschäftskonto mit entsprechendem Auftragsverarbeitungsvertrag.
(4) Deaktiviert der Verantwortliche eine Integration oder entzieht er die Zugriffsberechtigung, verbleiben die bereits übertragenen Dateien in seinem eigenen Speicher und unterliegen allein seiner Kontrolle.
§ 7 Ort der Verarbeitung und Drittlandübermittlung
(1) Die Verarbeitung findet ausschließlich in der Europäischen Union statt. Die Anwendung und ihre Datenbanken werden in einem Rechenzentrum in Frankfurt am Main, Deutschland betrieben.
(2) Auch Fernzugriffe zu Support- und Wartungszwecken erfolgen ausschließlich aus dem Gebiet der Europäischen Union.
(3) Eine Übermittlung in ein Drittland findet nur statt, soweit dies in Anlage 3 ausgewiesen ist, und nur auf Grundlage eines Angemessenheitsbeschlusses, der Standardvertragsklauseln der EU-Kommission oder einer anderen zulässigen Garantie nach Kapitel V DSGVO.
(4) Eine Verlagerung der Verarbeitung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen.
§ 8 Unterstützung bei Betroffenenrechten
(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Die Anwendung stellt hierfür Such-, Änderungs-, Lösch- und Exportfunktionen bereit, die der Verantwortliche selbst nutzen kann.
(3) Über die Selbstbedienungsfunktionen hinausgehende Unterstützung erfolgt unentgeltlich, soweit sie einen angemessenen Aufwand nicht überschreitet.
§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung (Art. 33 Abs. 2 DSGVO).
(2) Die Meldung erfolgt in Textform an die vom Verantwortlichen hinterlegte Kontaktadresse und enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Gegenmaßnahmen sowie eine Kontaktstelle für Rückfragen. Liegen nicht alle Angaben sofort vor, werden sie unverzüglich nachgereicht.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und dokumentiert jeden Vorfall.
(4) Meldungen des Auftragsverarbeiters an die Aufsichtsbehörde oder an betroffene Personen im Namen des Verantwortlichen erfolgen nur auf dessen Weisung.
§ 10 Kontrollrechte
(1) Der Verantwortliche hat das Recht, die Einhaltung dieser Vereinbarung zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO).
(2) Der Auftragsverarbeiter stellt hierfür zur Verfügung: diese Vereinbarung nebst Anlagen, die jeweils aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, das Verzeichnis nach Art. 30 Abs. 2 DSGVO, die Nachweise über die Verpflichtung der Beschäftigten auf Vertraulichkeit sowie die Zertifikate und Prüfberichte der eingesetzten Unterauftragsverarbeiter.
(3) Reichen diese Nachweise nicht aus, kann der Verantwortliche einmal jährlich sowie anlassbezogen bei konkreten Anhaltspunkten für einen Verstoß eine Vor-Ort-Kontrolle zu den üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Kontrolle ist mit einer Frist von 14 Tagen anzukündigen und so durchzuführen, dass der Geschäftsbetrieb nicht unangemessen beeinträchtigt wird.
(4) Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein. Zusätzliche Kontrollen kann der Auftragsverarbeiter nach Aufwand berechnen.
§ 11 Löschung und Rückgabe nach Beendigung
(1) Vor Ablauf des Vertrags stellt der Auftragsverarbeiter dem Verantwortlichen die Möglichkeit zur Verfügung, seine Daten in einem gängigen, maschinenlesbaren Format zu exportieren.
(2) Nach Beendigung des Hauptvertrags wird der Zugang zur Anwendung gesperrt. Die Daten verbleiben anschließend 30 Tage in einem gesperrten Zustand, damit versehentliche Kündigungen rückgängig gemacht und noch benötigte Exporte nachgeholt werden können.
(3) Nach Wahl des Verantwortlichen werden die Daten nach Ablauf dieser Frist entweder zurückgegeben oder endgültig gelöscht (Art. 28 Abs. 3 lit. g DSGVO). Trifft der Verantwortliche innerhalb der Frist keine Wahl, erfolgt die Löschung. Die Löschung umfasst auch die Sicherungskopien, spätestens mit Ablauf des jeweiligen Sicherungszyklus von 30 Tagen.
(4) Die Löschung wird dem Verantwortlichen auf Anforderung schriftlich bestätigt.
(5) Hinweis auf gesetzliche Aufbewahrungspflichten: Der Verantwortliche ist selbst dafür verantwortlich, vor der Löschung diejenigen Daten zu sichern, die er nach handels- und steuerrechtlichen Vorschriften — in Deutschland insbesondere nach § 147 AO und § 257 HGB — aufbewahren muss. Dies betrifft insbesondere Rechnungen und Zahlungsbelege. Der Auftragsverarbeiter weist auf diese Pflicht vor der Sperrung ausdrücklich hin und stellt die erforderlichen Exportfunktionen bereit; eine Aufbewahrung über die genannte Frist hinaus schuldet er nicht.
(6) Dokumente, die nach § 6 im Cloud-Speicher des Verantwortlichen abgelegt wurden, sind von der Löschung nicht betroffen: Sie befinden sich ausschließlich in dessen eigener Umgebung.
§ 12 Haftung
(1) Für die Haftung im Außenverhältnis gilt Art. 82 DSGVO.
(2) Im Innenverhältnis tragen die Parteien den Schaden entsprechend ihrem Verantwortungsanteil. Die Regelungen des Hauptvertrags zur Haftungsbegrenzung bleiben unberührt, soweit sie nicht die Haftung nach Art. 82 DSGVO betreffen.
§ 13 Schlussbestimmungen
(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Das gilt auch für die Aufhebung dieser Formklausel.
(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in Fragen des Datenschutzes vor.
(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.
(4) Es gilt italienisches Recht unter Wahrung der zwingenden Vorschriften der DSGVO und des jeweils anwendbaren nationalen Datenschutzrechts des Verantwortlichen. Gerichtsstand ist Lecco, Italien.
Anlagen: 1 Verarbeitungsübersicht · 2 Technische und organisatorische Maßnahmen · 3 Unterauftragsverarbeiter
Diese Vereinbarung ist Bestandteil des Hauptvertrags und gilt mit dessen Wirksamwerden. Die jeweils gültige Fassung ist unter https://dancemasterpro.com/de/avv/ abrufbar; wesentliche Änderungen teilen wir Ihnen vorher mit.
Anlage 1 — Verarbeitungsübersicht
Zweck der Verarbeitung
Betrieb einer Verwaltungssoftware für Tanzschulen: Schüler- und Mitgliederverwaltung, Kurs- und Raumplanung, Anwesenheitserfassung, Verwaltung von Lehrkräften und deren Vergütung, Zahlungs- und Rechnungsverwaltung, Veranstaltungs- und Wettbewerbsverwaltung, Kundenportal für Familien, optional Foto- und Videogalerien sowie ein optionaler KI-Assistent.
Kategorien betroffener Personen
- Schülerinnen und Schüler, überwiegend Minderjährige
- Eltern und Erziehungsberechtigte
- Lehrkräfte und Mitarbeitende der Tanzschule
- Verwaltungsnutzer der Tanzschule
- Kontaktpersonen für Notfälle
Arten der Daten
| Kategorie | Beispiele |
|---|---|
| Stammdaten | Name, Geburtsdatum, Anschrift, Steuer-/Sozialversicherungsnummer soweit erfasst |
| Kontaktdaten | E-Mail, Telefon, E-Mail-Adressen der Eltern |
| Vertrags- und Kursdaten | Anmeldungen, Kurse, Abonnements, Mitgliedsausweise und deren Gültigkeit |
| Anwesenheitsdaten | Teilnahme, Bewertungen |
| Zahlungsdaten | Zahlungen, offene Posten, Rechnungen, SEPA-Mandat mit IBAN |
| Gesundheitsbezogene Daten (Art. 9 DSGVO) | Vorliegen und Gültigkeitsdatum eines ärztlichen Attests (Sporttauglichkeit); der Nachweis selbst wird im Cloud-Speicher des Verantwortlichen abgelegt, in der Anwendung verbleiben die Verwaltungsdaten dazu |
| Bild- und Tondaten | Fotos und Videos von Veranstaltungen; in der Anwendung verbleiben Metadaten und kleinformatige Vorschaubilder, die Originaldateien liegen im Cloud-Speicher des Verantwortlichen |
| Einwilligungen | Vorliegen einer Einwilligung zur Bild- und Videoveröffentlichung |
| Nutzungsdaten | Anmeldezeitpunkte, Protokolle des E-Mail-Versands, Zugriffe auf Galerien |
| Freitexte | Notizen, die der Verantwortliche selbst erfasst |
Hinweis zu Art. 9 DSGVO: Der Verantwortliche entscheidet selbst, ob und in welchem Umfang er gesundheitsbezogene Daten erfasst. Die entsprechenden Funktionen lassen sich in den Einstellungen vollständig deaktivieren.
Hinweis zu Minderjährigen: Der Verantwortliche ist dafür verantwortlich, die erforderlichen Einwilligungen der Erziehungsberechtigten einzuholen — insbesondere für die Veröffentlichung von Bildern und Videos, für die in Deutschland zusätzlich § 22 KUG zu beachten ist.
Dauer der Verarbeitung
Für die Laufzeit des Hauptvertrags, anschließend nach § 11.