Auftragsverarbeitungsvertrag

Vertrag über die Verarbeitung von personenbezogenen Daten im Auftrag (Auftragsverarbeitungsvertrag)

Präambel und Anwendungsbereich

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Der Auftragsverarbeitungsvertrag konkretisiert die Auftragsverarbeitung im Hinblick auf ihren Gegenstand und den sich aus dem Auftragsverarbeitungsverhältnis ergebenden Ansprüche und Pflichten zwischen den Vertragsparteien.

1. Gegenstand der Auftragsverarbeitung

Die Auftragsverarbeitung erfolgt im Rahmen der folgenden Rechtsbeziehung (Hauptvertrag):

Gegenstand des Vertrags

Der Auftragnehmer (funnelmate.io) stellt dem Auftraggeber eine Software-as-a-Service (SaaS)-Plattform für CRM, Marketing-Automatisierung, Künstliche Intelligenz und Kommunikation zur Verfügung. Im Rahmen dieser Plattform kann der Auftraggeber personenbezogene Daten erfassen, speichern, verarbeiten und verwalten. Die Verarbeitung personenbezogener Daten durch den Auftragnehmer erfolgt ausschließlich zur Erfüllung der vereinbarten Leistungen und gemäß den Anweisungen des Auftraggebers. Die Weisung des Auftraggebers umfasst die Verarbeitung zur Bereitstellung, Sicherung und Verbesserung der Plattform, die Anonymisierung und Aggregation von Daten zu statistischen Zwecken sowie die Nutzung der in der Plattform enthaltenen KI-Funktionen, soweit der Auftraggeber diese einsetzt.

Art der Auftragsverarbeitung

Die Verarbeitung personenbezogener Daten durch den Auftragnehmer umfasst folgende Tätigkeiten:

1. Erhebung und Speicherung:
   • Erfassung und Speicherung von Kontaktdaten und Kommunikationsverläufen der Kunden des Auftraggebers.
   • Speicherung von Transaktionsdaten.
2. Verwaltung und Organisation:
   • CRM-Funktionen zur Verwaltung von Leads und Kundenkontakten.
   • Organisation und Automatisierung von Marketing- und Vertriebsprozessen.
   • Speicherung und Kategorisierung von Kundeninteraktionen.
3. Kommunikation und Marketing:
   • Versand von E-Mails, SMS oder WhatsApp-Nachrichten im Auftrag des Auftraggebers.
   • Automatisierte Kampagnen, Follow-ups und Newsletter-Versand.
   • Tracking und Analyse von Interaktionen zur Optimierung von Marketingmaßnahmen.
4. Datenanalyse und Reporting:
   • Erstellung von Statistiken und Auswertungen über Kampagnen-Ergebnisse.
   • Bereitstellung von Analyse-Dashboards zur Performance-Messung.
5. Integration von Drittanbietern:
   • Schnittstellen zu Zahlungsdienstleistern und Kommunikationsanbietern über die im Anhang genannten Plattformanbieter und deren Unterauftragsverarbeiter.
   • Einbindung externer Marketing- und Automatisierungstools.
6. Hosting und Speicherung:
   • Speicherung der personenbezogenen Daten bei den im Anhang genannten Hosting- und Plattformanbietern.
   • Sicherstellung der Datenverfügbarkeit und Schutzmaßnahmen gegen unbefugten Zugriff.
7. Datenlöschung und Anonymisierung:
   • Löschung oder Anonymisierung von Daten gemäß den Weisungen des Auftraggebers oder nach Ablauf gesetzlicher Fristen.

Kategorien betroffener Personen

• Kunden des Auftraggebers (Leads, Interessenten, Käufer).
• Nutzer der Plattform, die sich registrieren oder Anfragen stellen.

Kategorien personenbezogener Daten

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Anschrift.
• Kommunikationsdaten: E-Mails, Chat-Nachrichten, Telefonnotizen.
• Marketing-Daten: Öffnungsraten, Klickraten, Kampagnenreaktionen.
• Transaktionsdaten: Kaufhistorie, Rechnungsdaten, Zahlungsvorgänge.

Besondere Datenverarbeitung und Verpflichtungen

• Es werden keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten, religiöse Überzeugungen) verarbeitet.
• Der Auftraggeber muss sicherstellen, dass er die erforderlichen Einwilligungen für die Verarbeitung personenbezogener Daten (z. B. für Marketingkommunikation) von seinen Kunden eingeholt hat.
• Der Auftragnehmer übernimmt keine rechtliche Verantwortung für die Rechtmäßigkeit der Datenerhebung durch den Auftraggeber.

Account- und Nutzungsdaten des Auftraggebers und seiner Mitarbeiter (z. B. Login-Daten, IP-Adressen, Abrechnungsdaten, verwendete Funktionen) verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher zur Durchführung des Hauptvertrags. Sie sind nicht Gegenstand dieses Auftragsverarbeitungsvertrages; es gilt insoweit die Datenschutzerklärung von funnelmate.io.

Detailangaben zum Gegenstand der im Auftrag erfolgenden Verarbeitung, die verarbeiteten personenbezogenen Daten, von der Verarbeitung betroffene Personen sowie Art, Umfang und Zweck der Verarbeitung, richten sich nach den vorstehenden Angaben.

2. Art der Auftragsverarbeitung

Der Auftraggeber ist Verantwortlicher der Auftragsverarbeitung und im Rahmen dieses Auftragsverarbeitungsvertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenverarbeitung sowie für die Rechtmäßigkeit der Beauftragung des Auftragsverarbeiters verantwortlich.

3. Weisungsbefugnis

Die Weisungen werden anfänglich durch den Hauptvertrag und diesen Auftragsverarbeitungsvertrag festgelegt. Im laufenden Betrieb erteilt der Auftraggeber Weisungen in der Regel durch die Nutzung der Funktionen der Plattform (z. B. Anlegen, Ändern, Exportieren oder Löschen von Daten, Einrichten von Automationen). Darüber hinausgehende Weisungen sind in TextForm (z. B. E-Mail oder Support-Ticket) an den Auftragsverarbeiter oder die von ihm bezeichnete Stelle zu richten. Weisungsberechtigt sind der Auftraggeber sowie die von ihm im Plattform-Account als Administratoren hinterlegten Personen. Der Auftraggeber teilt Änderungen der weisungsberechtigten Personen in TextForm mit oder pflegt sie im Account. Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert. Weisungen, die über den Funktionsumfang der Plattform hinausgehen, kann der Auftragsverarbeiter ablehnen, sofern deren Erfüllung nicht möglich oder nicht zumutbar ist (insbesondere bei unverhältnismäßigem Aufwand oder fehlenden technischen Möglichkeiten). Die Ablehnung erfolgt unter sachgerechter Berücksichtigung des Schutzes der betroffenen Personen. Wird eine solche Weisung einvernehmlich umgesetzt, kann der Auftragsverarbeiter den entstehenden Mehraufwand zu seinen üblichen Stundensätzen berechnen. Ist dem Auftraggeber die Fortsetzung des Vertrags infolge einer Ablehnung nicht zuzumuten, kann er den Auftragsverarbeitungsvertrag außerordentlich kündigen.

4. Technische- und organisatorische Maßnahmen (Sicherheits- und Schutzkonzept)

Der Auftragsverarbeiter wird die innerbetriebliche Organisation in seinem Verantwortungsbereich entsprechend den gesetzlichen Anforderungen gestalten und wird insbesondere technische und organisatorische Maßnahmen (nachfolgend bezeichnet als „TOMs") zur angemessenen Sicherung, insbesondere der Vertraulichkeit, Integrität und Verfügbarkeit von Daten des Auftraggebers, unter Beachtung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der Betroffenen treffen sowie deren Aufrechterhaltung, insbesondere durch regelmäßige, mindestens jährliche Evaluation, sicherstellen. Zu den TOMs gehören im Hinblick auf den Schutz der personenbezogenen Daten insbesondere die Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Integritäts- und Verfügbarkeitskontrolle, Trennungskontrolle sowie die Sicherung der Betroffenenrechte.

Die bei Vertragsschluss durch den Auftragsverarbeiter mitgeteilten TOMs definieren das vom Auftragsverarbeiter geschuldete Minimum des Sicherheitsniveaus. Die TOMs dürfen entsprechend dem technischen und rechtlichen Fortschritt weiterentwickelt und durch adäquate Schutzmaßnahmen ersetzt werden, sofern sie das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschreiten und wesentliche Änderungen dem Auftraggeber mitgeteilt werden. Die Beschreibung der Maßnahmen muss so detailliert erfolgen, dass für einen sachkundigen Dritten allein aufgrund der Beschreibung jederzeit zweifelsfrei erkennbar ist, dass das erforderliche gesetzliche Datenschutzniveau und das definierte Minimum des Sicherheitsniveaus nicht unterschritten werden. Für die auf der Plattform gespeicherten Daten gelten ergänzend die technischen und organisatorischen Maßnahmen der im Anhang genannten Hosting- und Plattformanbieter in ihrer jeweils gültigen Fassung, deren Einhaltung der Auftragsverarbeiter vertraglich sichergestellt hat. Änderungen dieser Maßnahmen durch die Anbieter gelten nicht als Unterschreitung des vereinbarten Sicherheitsniveaus, sofern das Schutzniveau insgesamt gewahrt bleibt.

Der Auftragsverarbeiter gewährleistet, dass es den mit der Verarbeitung der Daten befassten Mitarbeitern, Beauftragten und anderen für den Auftragsverarbeiter tätigen Personen untersagt ist, die personenbezogenen Daten außerhalb der Weisung zu verarbeiten. Der Auftragsverarbeiter stellt ferner sicher, dass die zur Verarbeitung der Daten des Auftraggebers befugten Personen in die gesetzlichen sowie sich aus diesem Auftragsverarbeitungsvertrag ergebenden Datenschutzbestimmungen eingewiesen und auf Vertraulichkeit und Verschwiegenheit verpflichtet worden sind oder einer entsprechenden und angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragsverarbeiter trägt dafür Sorge, dass zur Auftragsverarbeitung eingesetzte Personen hinsichtlich der Erfüllung der Datenschutzanforderungen laufend angemessen angeleitet und überwacht werden.

Die Verarbeitung der personenbezogenen Daten außerhalb der Betriebsstätte des Auftragsverarbeiters (z. B. im Home- oder Mobileoffice oder bei Fernzugriff) ist zulässig, sofern die erforderlichen technischen und organisatorischen Maßnahmen ergriffen und dokumentiert werden, die den Besonderheiten dieser Verarbeitungssituationen in angemessener Weise Rechnung tragen und insbesondere auch eine ausreichende Kontrolle der Datenverarbeitung ermöglichen (z. B. Abschluss einer Vereinbarung über Datenschutz im Home- und Mobile-Office mit Mitarbeitern). Der Auftragsverarbeiter legt dem Auftraggeber eine Dokumentation der implementierten technischen und organisatorischen Maßnahmen für derartige Home-, Mobile oder andere Fernverarbeitungen auf Anfrage vor.

Die Verarbeitung der personenbezogenen Daten auf Privatgeräten der Beschäftigten des Auftragsverarbeiters und Beauftragten ist nur mit Zustimmung des Auftraggebers zulässig.

Die im Rahmen dieses Auftragsverarbeitungsvertrages überlassenen Daten sowie sämtliche hiervon gefertigten Kopien verbleiben in der Inhaberschaft und unter der Verfügungsherrschaft des Auftraggebers, sind durch den Auftragsverarbeiter sorgfältig zu verwahren und vor Zugang durch unberechtigte Dritte zu schützen. Sie dürfen nur nach Weisung des Auftraggebers oder nach Maßgabe des Abschnitts „Löschung und Herausgabe von Daten" gelöscht werden. Kopien dürfen nur erstellt werden, wenn sie zur Erfüllung der Leistungspflichten des Auftragsverarbeiters erforderlich sind (z. B. Backups) und das vertragliche sowie gesetzliche Datenschutzniveau gewährleistet ist.

Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftragsverarbeiters oder den gesetzlichen Anforderungen nicht oder nicht mehr genügen, benachrichtigt der Auftragsverarbeiter den Auftraggeber unverzüglich.

Die bereits zum Abschluss dieses Auftragsverarbeitungsvertrages bestehenden technisch- und organisatorischen Maßnahmen werden vom Auftragsverarbeiter im Anhang „Technische- und organisatorische Maßnahmen" aufgeführt und von dem Auftraggeber akzeptiert.

5. Informationspflichten und Mitwirkungspflichten des Auftragsverarbeiters

Auskünfte an Dritte oder den Betroffenen darf der Auftragsverarbeiter nur nach vorheriger Zustimmung durch den Auftraggeber oder im Fall zwingender gesetzlicher Pflichten, gerichtlicher oder gesetzlicher Informationen erteilen. Wendet sich eine betroffene Person an den Auftragsverarbeiter und macht ihre Betroffenenrechte geltend (insbesondere Rechte auf Auskunft oder Berichtigung, bzw. Löschung personenbezogener Daten), wird der Auftragsverarbeiter die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung an den Auftraggeber nach Angaben der betroffenen Person möglich ist. Der Auftragsverarbeiter leitet den Antrag der betroffenen Person unverzüglich an den Auftraggeber weiter und unterstützt den Auftraggeber im Rahmen der Zumutbarkeit und Möglichkeit. Der Auftragsverarbeiter haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beantwortet wird, soweit dies nicht von dem Auftragsverarbeiter zu vertreten ist.

Der Auftragsverarbeiter hat den Auftraggeber unverzüglich zu informieren und die Informationen zu ergänzen, sobald sie ihm vorliegen, wenn der Auftragsverarbeiter im Hinblick auf die Verarbeitung der personenbezogenen Daten Fehler oder Unregelmäßigkeiten bei der Einhaltung von Bestimmungen dieses Auftragsverarbeitungsvertrages und/oder einschlägiger Datenschutzvorschriften feststellt. Der Auftragsverarbeiter trifft die erforderlichen Maßnahmen zur Sicherung der personenbezogenen Daten und zur Minderung möglicher nachteiliger Folgen der betroffenen Personen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab.

Der Auftragsverarbeiter wird den Auftraggeber unverzüglich darüber informieren, wenn eine Aufsichtsbehörde gegenüber dem Auftragsverarbeiter tätig wird und deren Tätigkeit die für den Auftraggeber verarbeiteten Daten betreffen kann. Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Wahrnehmung seiner Pflichten (insbesondere zur Auskunfts- und Duldung von Kontrollen) gegenüber Aufsichtsbehörden.

Sollte die Sicherheit der personenbezogenen Daten des Auftraggebers durch Maßnahmen Dritter (z. B. Gläubiger, Behörden, Gerichte, etc.) gefährdet sein (Pfändung, Beschlagnahme, Insolvenzverfahren, etc.) wird der Auftragsverarbeiter die Dritten unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich bei dem Auftraggeber liegen und nach Rücksprache mit dem Auftraggeber, sofern erforderlich, entsprechende Schutzmaßnahmen ergreifen (z. B. Widersprüche, Anträge, etc. stellen).

Der Auftragsverarbeiter stellt dem Auftraggeber Informationen betreffend die Verarbeitung von Daten im Rahmen dieses Auftragsverarbeitungsvertrages, die für die Erfüllung von gesetzlichen Pflichten des Auftraggebers (zu denen insbesondere Anfragen Betroffener oder Behörden und die Einhaltung seiner Rechenschaftspflichten einer Datenschutz-Folgenabschätzung gehören können) notwendig sind, zur Verfügung und unterstützt diesen bei der Einhaltung der in Art. 32-36 DSGVO genannten Pflichten.

Die Informationspflichten des Auftragsverarbeiters erstrecken sich zunächst auf Informationen, die dem Auftragsverarbeiter, seinen Beschäftigten und Beauftragten vorliegen. Die Informationen müssen nicht von dritten Quellen beschafft werden, wenn die Beschaffung durch den Auftraggeber im zumutbaren Rahmen erfolgen könnte und keine anderweitige Vereinbarung getroffen wurde.

Der Auftragsverarbeiter muss die Einhaltung seiner sich aus der Auftragsverarbeitung ergebenden vertraglichen und gesetzlichen Pflichten jederzeit mit geeigneten Mitteln nachweisen können.

6. Maßnahmen bei Gefährdung oder Verletzung des Datenschutzes

Stellt der Auftragsverarbeiter Tatsachen fest, welche die Annahme begründen, dass der Schutz der für den Auftraggeber verarbeiteten personenbezogenen Daten im Sinne des Art. 4 Nr. 12 DSGVO verletzt sein könnte, oder wird er von einem Unterauftragsverarbeiter über einen solchen Vorfall informiert, hat der Auftragsverarbeiter den Auftraggeber unverzüglich nach Kenntniserlangung in TextForm zu informieren. Die Meldung enthält, soweit dem Auftragsverarbeiter zu diesem Zeitpunkt bekannt: (a) die Art der Verletzung, (b) die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, (c) die wahrscheinlichen Folgen der Verletzung, (d) die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Eindämmung sowie (e) eine Kontaktstelle für weitere Informationen. Liegen nicht alle Angaben vor, werden sie ohne unangemessene Verzögerung nachgereicht. Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Schutzmaßnahmen und unterstützt den Auftraggeber bei der Erfüllung der ihm obliegenden Pflichten, insbesondere bei der Meldung an die zuständige Aufsichtsbehörde und der Benachrichtigung betroffener Personen. Die Meldung oder Unterstützung durch den Auftragsverarbeiter stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

7. Überprüfungen und Inspektionen

Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorgaben und der Regelungen dieses Auftragsverarbeitungsvertrags, insbesondere der TOMs beim Auftragsverarbeiter jederzeit im erforderlichen Umfang selbst oder durch Dritte zu kontrollieren und die erforderlichen Überprüfungen, einschließlich Inspektionen, durchzuführen.

Der Auftragsverarbeiter hat den Auftraggeber bei den Kontrollen und Inspektionen im erforderlichen Rahmen zu unterstützen (z. B. durch Bereitstellung von Personal und Gewährung von Zugangs- und Zugriffsrechten).

Vor-Ort-Kontrollen erfolgen innerhalb üblicher Geschäftszeiten, sind vom Auftraggeber mit einer angemessenen Frist (mindestens 14 Tage) anzumelden. In Notfällen, d. h., wenn ein Zuwarten die Rechte der Betroffenen und/oder des Auftraggebers für diese in einem nicht zumutbaren Maße gefährden würde, kann eine angemessen kürzere Frist gewählt werden. Umgekehrt kann eine längere Frist erforderlich sein (wenn z. B. umfangreiche Vorbereitungen erfolgen müssen oder während der Urlaubszeit). Die Abweichungen von der Frist sind jeweils von der sie in Anspruch nehmenden Vertragspartei zu begründen.

Die Kontrollen sind auf den erforderlichen Rahmen beschränkt und müssen auf Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie den Schutz von personenbezogenen Daten Dritter (z. B. anderer Kunden oder Mitarbeiter des Auftragsverarbeiters) Rücksicht nehmen. Vermeidbare Betriebsstörungen sind zu vermeiden. Soweit dem Anlass und Zweck der Prüfung genügend, soll sich eine Kontrolle auf Stichproben beschränken.

Zur Durchführung der Kontrolle sind nur fachkundige Personen zugelassen, die sich legitimieren können und im Hinblick auf die Betriebs- und Geschäftsgeheimnisse sowie interne Prozesse des Auftragsverarbeiters und personenbezogene Daten zur Vertraulichkeit- und Verschwiegenheit verpflichtet sind. Der Auftragsverarbeiter kann den Nachweis einer entsprechenden Verpflichtung verlangen. Sollte der durch den Auftraggeber beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragsverarbeiter stehen oder sonst ein begründeter Anlass zur seiner Ablehnung vorliegen, hat der Auftragsverarbeiter gegen diesen ein Einspruchsrecht.

Statt der Einsichtnahmen und der Vor-Ort-Kontrollen, darf der Auftragsverarbeiter den Auftraggeber auf eine gleichwertige Kontrolle durch unabhängige Dritte (z. B. neutrale Datenschutzauditoren), Einhaltung genehmigter Verhaltensregeln (Art. 40 DSGVO) oder geeignete Datenschutz- oder IT-Sicherheitszertifizierungen gem. Art. 42 DSGVO verweisen. Dies gilt nur, wenn der Verweis dem Auftraggeber zuzumuten ist und die Art sowie Umfang der Prüfung und Verweise der Art und dem Umfang des berechtigten Kontrollvorhabens des Auftraggebers entsprechen. Der Auftragsverarbeiter verpflichtet sich, den Auftraggeber über den Ausschluss von genehmigten Verhaltensregeln gemäß Art. 41 Abs. 4 DSGVO, den Widerruf einer Zertifizierung gem. Art. 42 Abs. 7 und jede andere Form der Aufhebung oder wesentlichen Änderung der vorgenannten Nachweise unverzüglich zu unterrichten.

Der Auftraggeber übt sein Kontrollrecht grundsätzlich nicht häufiger als alle 12 Monate aus, es sei denn ein konkreter Anlass (insbesondere eine Verletzung des Datenschutzes, ein Sicherheitsvorfall oder das Ergebnis einer Auditierung) macht Kontrollen vor Ablauf dieses Zeitraums erforderlich.

Grenzen bei Unterauftragsverarbeitern: Kontrollen bei Unterauftragsverarbeitern sind nur im Rahmen der dem Auftragsverarbeiter dort zustehenden Kontrollrechte möglich. Der Auftragsverarbeiter stellt dem Auftraggeber die ihm von den Unterauftragsverarbeitern zur Verfügung gestellten Nachweise (z. B. Zertifizierungen, Auditberichte, Beschreibungen der TOMs) zur Verfügung.

Kosten: Den durch Kontrollen entstehenden Aufwand kann der Auftragsverarbeiter dem Auftraggeber zu den üblichen Stundensätzen berechnen, es sei denn, die Kontrolle ergibt einen erheblichen Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder gesetzliche Datenschutzpflichten.

8. Unterauftragsverhältnisse

Der Auftragsverarbeiter wählt den Unterauftragsverarbeiter unter besonderer Berücksichtigung der Eignung und der Zuverlässigkeit zur Einhaltung der Pflichten aus diesem Auftragsverarbeitungsvertrag sowie der Eignung der vom Unterauftragsverarbeiter getroffenen TOMs, sorgfältig aus.

Verarbeitungen von personenbezogenen Daten, die keinen direkten Zusammenhang mit der Erbringung der Hauptleistung aus dem Hauptvertrag aufweisen und bei denen der Auftragsverarbeiter die Leistungen Dritter als reine Nebenleistung in Anspruch nimmt um seine geschäftliche Tätigkeit auszuüben (z. B. Reinigungs-, Bewachungs-, Wartungs-, Telekommunikations- oder Transportleistungen) stellen keine Unterauftragsverarbeitung im Sinne der vorstehenden Regelungen dieses Auftragsverarbeitungsvertrages dar. Gleichwohl hat der Auftragsverarbeiter sicher zu stellen, z. B. durch vertragliche Vereinbarungen oder Hinweise und Instruktionen, dass hierbei die Sicherheit der Daten nicht gefährdet wird und die Vorgaben dieses Auftragsverarbeitungsvertrages und der Datenschutzvorschriften eingehalten werden.

Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die zum Abschluss dieses Auftragsverarbeitungsvertrages eingesetzten Unterauftragsverarbeiter sind im Anhang „Unterauftragsverarbeiter" aufgeführt und werden vom Auftraggeber genehmigt. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Auftraggeber mindestens 14 Tage vor dem Wirksamwerden in TextForm (z. B. per E-Mail oder durch Mitteilung in der Plattform). Der Auftraggeber kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichen Grund in TextForm widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Änderung als genehmigt. Im Fall eines Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Kommt eine solche nicht zustande, kann der Auftraggeber den Hauptvertrag mit Wirkung zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen. Bis dahin angefallene Vergütung bleibt geschuldet. Der Auftragsverarbeiter setzt Unterauftragsverarbeiter nur auf Grundlage einer Vereinbarung ein, die ihnen die gleichen Datenschutzpflichten auferlegt, die der Auftragsverarbeiter nach diesem Vertrag zu erfüllen hat. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Auftraggeber für dessen Pflichterfüllung.

9. Räumlicher Bereich der Auftragsverarbeitung

Ort der Speicherung der im Auftrag verarbeiteten Daten: Europäische Union, USA sowie weitere Länder gemäß Anhang „Unterauftragsverarbeiter".

Die Verarbeitung darf in Drittstaaten erfolgen, sofern die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, d. h. insbesondere a) die EU-Kommission ein angemessenes Datenschutzniveau festgestellt hat; b) auf Grundlage von wirksamen Standardschutzklauseln (sog. Standard Contractual Clauses, SCC); oder c) auf Grundlage von anerkannten verbindlichen internen Datenschutzvorschriften. Die Übermittlung an Unterauftragsverarbeiter mit Sitz in den USA erfolgt, soweit diese unter dem EU-U.S. Data Privacy Framework zertifiziert sind, auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023, ergänzend auf Grundlage der EU-Standardvertragsklauseln vom 4. Juni 2021 (Modul 3, Auftragsverarbeiter zu Unterauftragsverarbeiter). Für weitere Unterauftragsverarbeiter in Drittländern gelten die im Anhang „Unterauftragsverarbeiter" jeweils genannten Übermittlungsmechanismen.

Die Genehmigung von Unterauftragsverhältnissen durch den Auftraggeber im Rahmen dieses Auftragsverarbeitungsvertrages, erstreckt sich auch auf den räumlichen Bereich der Auftragsverarbeitung.

10. Pflichten des Auftraggebers

Der Auftraggeber hat den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen, Weisungen oder Verarbeitungsprozessen Fehler oder Unregelmäßigkeiten im Hinblick auf datenschutzrechtliche Bestimmungen feststellt.

Im Falle einer Inanspruchnahme des Auftragsverarbeiters durch betroffene Personen, dritte Unternehmen, Stellen oder Behörden hinsichtlich etwaiger Ansprüche aufgrund der Verarbeitung von personenbezogenen Daten im Rahmen dieses Auftragsverarbeitungsvertrages, verpflichtet sich der Auftraggeber den Auftragsverarbeiter bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten und unter Berücksichtigung des Verschuldensgrades der Vertragsparteien zu unterstützen.

11. Haftung

Es gelten die gesetzlichen Haftungsregelungen, insbesondere Art. 82 DSGVO sowie im Falle des Einsatzes eines Unterauftragsverarbeiters Art. 28 Abs. 4 S. 2 DSGVO. Im Verhältnis zwischen Auftraggeber und Auftragsverarbeiter finden ergänzend die Haftungsregelungen und -beschränkungen des Hauptvertrags Anwendung, soweit zwingendes Recht nicht entgegensteht.

12. Laufzeit und Fortgeltung nach Vertragsende

Laufzeit und Ende dieses Auftragsverarbeitungsvertrages richten sich nach der Laufzeit und dem Ende des Hauptvertrages.

13. Löschung und Herausgabe von Daten

Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Auftraggeber für 7 Tage die Möglichkeit zur Verfügung, seine personenbezogenen Daten über die Exportfunktionen der Plattform oder auf Anfrage in einem gängigen Format herauszuverlangen. Der Auftragsverarbeiter weist den Auftraggeber bei Vertragsende in TextForm auf diese Frist und die Exportmöglichkeit hin. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten und deren Kopien sowie sämtliche im Zusammenhang mit dem Auftragsverhältnis erstellten Verarbeitungs- und Nutzungsergebnisse, sofern nicht eine gesetzliche Verpflichtung zur Speicherung besteht. In diesem Fall informiert der Auftragsverarbeiter den Auftraggeber über die Verpflichtung und deren Umfang, es sei denn, dass die Kenntnis der Verpflichtung seitens des Auftraggebers erwartet werden kann. Die Löschung hat datenschutzgerecht und so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich und nicht zu erwarten ist. Daten in Sicherungskopien werden von jeder weiteren Verarbeitung ausgenommen und im Rahmen der regulären Sicherungsrotation der eingesetzten Hosting-Anbieter überschrieben. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage in TextForm. Im Hinblick auf die Löschung oder Rückgabe gelten die Auskunfts-, Nachweis- und Kontrollrechte des Auftraggebers entsprechend diesem Auftragsverarbeitungsvertrag.

Der Auftragsverarbeiter darf personenbezogene Daten, die im Auftrag des Auftraggebers verarbeitet werden, während der Laufzeit des Auftragsverarbeitungsverhältnisses nicht eigenmächtig, sondern ausschließlich nach dokumentierter Weisung des Auftraggebers berichtigen, löschen, zurückgeben oder deren Verarbeitung einschränken. Wendet sich eine betroffene Person mit einem entsprechenden Begehren unmittelbar an den Auftragsverarbeiter, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

Die Einrede eines Zurückbehaltungsrechts wird hinsichtlich sämtlicher im Rahmen des Auftragsverarbeitungsverhältnisses verarbeiteten personenbezogenen Daten sowie der zugehörigen Datenträger ausgeschlossen. Dies gilt unabhängig von etwaigen offenen Forderungen oder sonstigen Ansprüchen des Auftragsverarbeiters gegenüber dem Auftraggeber.

14. Schlussbestimmungen

Die Rechtsbeziehungen zwischen dem Auftraggeber und dem Auftragsverarbeiter unterliegen ausschließlich dem Recht der Bundesrepublik Deutschland.

Der Gerichtsstandort bestimmt sich nach dem Hauptvertrag.

Der vorliegende Auftragsverarbeitungsvertrag stellt die vollständige, zwischen den Vertragsparteien getroffene Vereinbarung dar. Nebenabreden bestehen nicht. Der Auftragsverarbeiter ist berechtigt, die Anhänge „Technische und organisatorische Maßnahmen" und „Unterauftragsverarbeiter" sowie den Anhang „Zuständige Personen und Ansprechpartner" anzupassen, soweit dies durch Änderungen bei den eingesetzten Unterauftragsverarbeitern, den technischen Fortschritt, geänderte gesetzliche Anforderungen oder behördliche Vorgaben erforderlich wird und das vereinbarte Schutzniveau dadurch nicht wesentlich abgesenkt wird. Über wesentliche Änderungen informiert der Auftragsverarbeiter den Auftraggeber in TextForm; für die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern gilt das Verfahren nach dem Abschnitt „Unterauftragsverhältnisse". Die jeweils aktuelle Fassung der Anhänge wird dem Auftraggeber in der Plattform oder unter einer ihm mitgeteilten Internetadresse zugänglich gemacht.

Mit Zustandekommen dieses Auftragsverarbeitungsvertrages werden alle etwaigen früheren Verträge aufgehoben, die zwischen den Vertragsparteien dieses Vertrages abgeschlossen wurden und die die Verarbeitung personenbezogener Daten im Auftrag regeln, wenn und soweit diese den gleichen Gegenstand der Auftragsverarbeitung betreffen und wenn und soweit zwischen den Vertragsparteien nicht ausdrücklich schriftlich etwas anderes vereinbart wurde.

Änderungen sowie Ergänzungen dieses Auftragsverarbeitungsvertrages, als auch die Aufhebung dieser Formklausel müssen zumindest im elektronischen Format erfolgen.

Sollten eine oder mehrere Bestimmungen dieses Auftragsverarbeitungsvertrages unwirksam oder undurchführbar sein, so wird dadurch die Gültigkeit der übrigen Bestimmungen nicht berührt. Die unwirksamen Bestimmungen werden vielmehr im Wege der ergänzenden Auslegung eine solche Regelung ersetzt, die von den Vertragsparteien mit der/den unwirksamen Bestimmung/en erkennbar verfolgten wirtschaftlichen Zweck möglichst nahekommt. Sofern die vorbenannte ergänzende Auslegung aufgrund gesetzlich zwingender Vorgaben nicht möglich ist, werden die Vertragsparteien eine ihr entsprechende Regelung vereinbaren.

Dieser Auftragsverarbeitungsvertrag ist ein Teil des Hauptvertrages und wird mit dessen Abschluss wirksam.