Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO für die Nutzung der Plattform crowdstars.io.
Zwischen
diginights GmbH
Ferdinand-Braun-Str. 17
74074 Heilbronn, Deutschland
GF: Heiko Kreiter
– nachfolgend bezeichnet als „Auftragsverarbeiter“ –
und
dem Vertragspartner (Verantwortlicher): Der jeweilige Kunde (Veranstalter), der im Rahmen der Nutzung der Plattform crowdstars.io personenbezogene Daten verarbeitet und den AV-Vertrag gemäß Art. 28 DSGVO durch Zustimmung im Rahmen des Onboardings bzw. der Leistungsvereinbarung abgeschlossen hat. Die Identität des Kunden ergibt sich aus den im Rahmen des Onboardings hinterlegten Angaben.
– nachfolgend bezeichnet als „Auftraggeber“ –
– beide nachfolgend als „die Vertragsparteien“ bezeichnet –
Alle Begrifflichkeiten verstehen sich geschlechtsneutral.
Diese Vereinbarung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich ergänzend zum bereits geschlossenen Vertrag über die Nutzung von crowdstars.io ergeben (nachfolgend: Hauptvertrag) und Einzelheiten zur Auftragsverarbeitung regeln. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Beschäftigte des Auftragnehmers oder durch den Auftragnehmer Beauftragte, personenbezogene Daten (nachfolgend: Daten) des Auftraggebers verarbeiten.
„Auftragsverarbeitung“ — Als „Auftragsverarbeitung“ ist, im Einklang mit Art. 4 Nr. 8 DSGVO, die im Auftrag des Verantwortlichen, unabhängig von der Zahl dazwischengeschalteter Auftragsverarbeiter, durch den Auftragsverarbeiter entsprechend dem Gegenstand dieses Auftragsverarbeitungsvertrages erfolgende Verarbeitung personenbezogener Daten gem. Art. 4 Nr. 2 DSGVO zu verstehen.
„Hauptvertrag“ — Der Begriff des Hauptvertrages umfasst alle Arten laufender Geschäftsbeziehungen zwischen dem Auftraggeber und dem Auftragsverarbeiter, in deren Rahmen der Auftragsverarbeiter personenbezogene Daten im Auftrag und auf Weisung des Auftraggebers entsprechend den Angaben zum Gegenstand der Auftragsverarbeitung in diesem Auftragsverarbeitungsvertrag verarbeitet. Sofern die Geltung dieses Auftragsverarbeitungsvertrages anderweitig auf bestimmte Arten, Typen oder konkrete Geschäftsbeziehungen, Verträge etc. beschränkt wurde, sind diese jeweils als Hauptvertrag zu verstehen. Der Begriff des Hauptvertrages umfasst auch laufende Einzelaufträge des Auftraggebers an den Auftragsverarbeiter, die vom Auftraggeber im Rahmen des Hauptvertrages erteilt werden.
„Verantwortlicher“ — „Verantwortlicher“ ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO).
„Personenbezogene Daten“ — „Personenbezogene Daten“ (nachfolgend auch kurz als „Daten“ bezeichnet) sind im Einklang mit Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (betroffene Person) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
„Betroffene Personen“ — Als betroffene Personen (kurz „Betroffene“) werden entsprechend Art. 4 Nr. 1 DSGVO Personen bezeichnet, die mittels personenbezogener Daten zumindest identifizierbar sind. Die von dieser Auftragsverarbeitung betroffenen Personen ergeben sich aus dem Gegenstand der Auftragsverarbeitung.
„Dritte“ — „Dritte“ sind entsprechend Art. 4 Nr. 10 DSGVO natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten.
„Unterauftragsverarbeitung“ — Wenn ein Auftragsverarbeiter nicht direkt vom Verantwortlichen beauftragt wurde, sondern von einem Auftragsverarbeiter des Verantwortlichen, liegt eine „Unterauftragsverarbeitung“ vor und die dem ersten Auftragsverarbeiter folgenden Auftragsverarbeiter werden als „Unterauftragsverarbeiter“ bezeichnet.
„Elektronisches Format“ — Erklärungen gelten als im „elektronischen Format“ entsprechend Art. 28 Abs. 9 DSGVO abgegeben, wenn die erklärende Person erkennbar ist und das elektronische Erklärungsformat sich zum Nachweis der Erklärung eignet. Als „elektronisches Format“ werden insbesondere die Textform, eine auf dauerhaften Datenträgern gespeicherte Vereinbarung (z. B. E-Mail), digitale Signierverfahren oder die Verwendung dedizierter Onlinefunktionen (z. B. in Benutzerkonten) verstanden.
Die Auftragsverarbeitung erfolgt im Rahmen der folgenden Rechtsbeziehung (Hauptvertrag): Gegenstand der im Auftrag für den Auftraggeber vom Auftragnehmer zu erbringenden Leistungen i. S. d. Hauptvertrages über die Nutzung der Plattform crowdstars.io (automatisierte Bewertungsabfrage nach Veranstaltungen).
Detailangaben zum Gegenstand der im Auftrag erfolgenden Verarbeitung, die verarbeiteten personenbezogenen Daten, von der Verarbeitung betroffene Personen sowie Art, Umfang und Zweck der Verarbeitung richten sich nach den Vorgaben des Anhangs „Gegenstand der Auftragsverarbeitung“.
Der Auftraggeber ist Verantwortlicher der Auftragsverarbeitung und im Rahmen dieses Auftragsverarbeitungsvertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenverarbeitung sowie für die Rechtmäßigkeit der Beauftragung des Auftragsverarbeiters verantwortlich.
Der Auftragsverarbeiter darf personenbezogene Daten nur im Rahmen des Hauptvertrages sowie der Weisungen des Auftraggebers verarbeiten und nur insoweit die Verarbeitung im Rahmen des Hauptvertrages erforderlich ist.
Die Weisungen werden anfänglich durch den Hauptvertrag oder diesen Auftragsverarbeitungsvertrag festgelegt und können vom Auftraggeber danach durch Weisungen in schriftlicher Form oder in einem elektronischen Format (Textform, z. B. E-Mail) an den Auftragsverarbeiter oder die vom Auftragsverarbeiter bezeichnete Stelle geändert, ergänzt oder ersetzt werden. Mündliche Weisungen können erfolgen, wenn sie aufgrund der Umstände (z. B. Eilbedürftigkeit) geboten sind, und sind unverzüglich schriftlich oder in elektronischer Form zu bestätigen.
Ist der Auftragsverarbeiter aufgrund objektiver Umstände der Ansicht, dass eine Weisung des Auftraggebers gegen geltendes Datenschutzrecht verstößt, wird der Auftragsverarbeiter den Auftraggeber unverzüglich darauf hinweisen und die Ansicht sachlich begründen. In diesem Fall ist der Auftragsverarbeiter berechtigt, die Ausführung der Weisung bis zur ausdrücklichen Bestätigung der Weisung durch den Auftraggeber auszusetzen und offensichtlich rechtswidrige Weisungen abzulehnen.
Der Auftragsverarbeiter kann durch das Recht der Union oder der Mitgliedstaaten und behördliche sowie gerichtliche Maßnahmen, denen der Auftragsverarbeiter unterliegt, zur Durchführung von Verarbeitungen oder Mitteilung von Informationen verpflichtet werden. In einem solchen Fall teilt der Auftragsverarbeiter dem Auftraggeber die rechtlichen Anforderungen der zwingenden gesetzlichen Verpflichtung vor der Verarbeitung mit, sofern das betreffende Gesetz oder die Anordnung eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet; im Fall eines Verbotes der Mitteilung unternimmt der Auftragsverarbeiter die ihm möglichen und zumutbaren Maßnahmen, um die gesetzlich zwingende Verarbeitung zu verhindern oder einzuschränken.
Der Auftragsverarbeiter hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren. Der Auftragsverarbeiter benennt die zum Empfang von Weisungen berechtigten Ansprechpartner und ist verpflichtet, Änderungen der Ansprechpartner oder deren Kontaktinformationen sowie Vertreter im Fall einer nicht vorübergehenden Abwesenheit oder Verhinderung unverzüglich mitzuteilen.
Der Auftragsverarbeiter wird die innerbetriebliche Organisation in seinem Verantwortungsbereich entsprechend den gesetzlichen Anforderungen gestalten und wird insbesondere technische und organisatorische Maßnahmen (nachfolgend bezeichnet als „TOMs“) zur angemessenen Sicherung, insbesondere der Vertraulichkeit, Integrität und Verfügbarkeit von Daten des Auftraggebers, unter Beachtung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der Betroffenen treffen sowie deren Aufrechterhaltung, insbesondere durch regelmäßige, mindestens jährliche Evaluation, sicherstellen. Zu den TOMs gehören im Hinblick auf den Schutz der personenbezogenen Daten insbesondere die Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Integritäts- und Verfügbarkeitskontrolle, Trennungskontrolle sowie die Sicherung der Betroffenenrechte.
Die bei Vertragsschluss durch den Auftragsverarbeiter mitgeteilten TOMs definieren das vom Auftragsverarbeiter geschuldete Minimum des Sicherheitsniveaus. Die TOMs dürfen entsprechend dem technischen und rechtlichen Fortschritt weiterentwickelt und durch adäquate Schutzmaßnahmen ersetzt werden, sofern sie das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschreiten und wesentliche Änderungen dem Auftraggeber mitgeteilt werden.
Der Auftragsverarbeiter gewährleistet, dass es den mit der Verarbeitung der Daten befassten Mitarbeitern, Beauftragten und anderen für den Auftragsverarbeiter tätigen Personen untersagt ist, die personenbezogenen Daten außerhalb der Weisung zu verarbeiten. Der Auftragsverarbeiter stellt ferner sicher, dass die zur Verarbeitung der Daten des Auftraggebers befugten Personen in die gesetzlichen sowie sich aus diesem Auftragsverarbeitungsvertrag ergebenden Datenschutzbestimmungen eingewiesen und auf Vertraulichkeit und Verschwiegenheit verpflichtet worden sind oder einer entsprechenden und angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zur Auftragsverarbeitung eingesetzte Personen werden hinsichtlich der Erfüllung der Datenschutzanforderungen laufend angemessen angeleitet, überwacht und nehmen an wiederkehrenden Schulungs- und Sensibilisierungsmaßnahmen teil.
Die Verarbeitung der personenbezogenen Daten außerhalb der Betriebsstätte des Auftragsverarbeiters (z. B. im Home- oder Mobileoffice oder bei Fernzugriff) ist zulässig, sofern die erforderlichen technischen und organisatorischen Maßnahmen ergriffen und dokumentiert werden, die den Besonderheiten dieser Verarbeitungssituationen in angemessener Weise Rechnung tragen. Die Verarbeitung der personenbezogenen Daten auf Privatgeräten der Beschäftigten des Auftragsverarbeiters und Beauftragten ist nur mit Zustimmung des Auftraggebers zulässig.
Sofern durch gesetzliche Vorgaben vorgegeben, benennt der Auftragsverarbeiter eine*n den gesetzlichen Anforderungen entsprechende*n Datenschutzbeauftragte*n und teilt dem Auftraggeber die Kontaktinformationen und spätere Änderungen mit. Die im Auftrag durchgeführten Verarbeitungsprozesse werden vom Auftragsverarbeiter in einem angemessenen Umfang in einem Verzeichnis von Verarbeitungstätigkeiten gesondert dokumentiert und dem Auftraggeber auf Anforderung bereitgestellt.
Die im Rahmen des Auftragsverarbeitungsvertrages überlassenen Daten sowie Datenträger und sämtliche hiervon gefertigten Kopien verbleiben im Eigentum bzw. in Inhaberschaft des Auftraggebers, unterliegen der Verfügungsherrschaft des Auftraggebers, sind durch den Auftragsverarbeiter sorgfältig zu verwahren, vor Zugang durch unberechtigte Dritte zu schützen und dürfen nur mit Zustimmung des Auftraggebers vernichtet werden. Die Vernichtung hat datenschutzgerecht zu erfolgen. Kopien von Daten dürfen nur erstellt werden, wenn sie zur Erfüllung der Leistungshaupt- und Nebenpflichten des Auftragsverarbeiters gegenüber dem Auftraggeber erforderlich sind (z. B. Backups). Der Auftragsverarbeiter ist verpflichtet, eine nach diesem Auftragsverarbeitungsvertrag unverzüglich herbeizuführende Rückgabe bzw. Löschung der Daten und Datenträger auch bei Unterauftragsverarbeitern herbeizuführen und den Nachweis hierüber zu führen. Die Einrede eines Zurückbehaltungsrechts wird hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
Der Auftragsverarbeiter führt im angemessenen Umfang den regelmäßigen Nachweis der Erfüllung seiner Pflichten, insbesondere der vollständigen Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen sowie ihrer Wirksamkeit. Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen nicht oder nicht mehr genügen, benachrichtigt der Auftragsverarbeiter den Auftraggeber unverzüglich. Die bestehenden TOMs werden im Anhang „Technisch-organisatorische Maßnahmen“ aufgeführt und vom Auftraggeber akzeptiert.
Auskünfte an Dritte oder den Betroffenen darf der Auftragsverarbeiter nur nach vorheriger Zustimmung durch den Auftraggeber oder im Fall zwingender gesetzlicher Pflichten, gerichtlicher oder behördlicher Anordnungen erteilen. Wendet sich eine betroffene Person an den Auftragsverarbeiter und macht ihre Betroffenenrechte geltend, wird der Auftragsverarbeiter die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung an den Auftraggeber nach Angaben der betroffenen Person möglich ist. Der Auftragsverarbeiter leitet den Antrag der betroffenen Person unverzüglich an den Auftraggeber weiter und unterstützt den Auftraggeber im Rahmen der Zumutbarkeit und Möglichkeit. Der Auftragsverarbeiter haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beantwortet wird, soweit dies nicht vom Auftragsverarbeiter zu vertreten ist.
Der Auftragsverarbeiter hat den Auftraggeber unverzüglich und vollständig zu informieren, wenn er im Hinblick auf die Verarbeitung der personenbezogenen Daten Fehler oder Unregelmäßigkeiten bei der Einhaltung von Bestimmungen dieses Auftragsverarbeitungsvertrages und/oder einschlägiger Datenschutzvorschriften feststellt. Er trifft die erforderlichen Maßnahmen zur Sicherung der personenbezogenen Daten und zur Minderung möglicher nachteiliger Folgen für die betroffenen Personen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab.
Der Auftragsverarbeiter wird den Auftraggeber unverzüglich darüber informieren, wenn eine Aufsichtsbehörde gegenüber dem Auftragsverarbeiter tätig wird und deren Tätigkeit die für den Auftraggeber verarbeiteten Daten betreffen kann, und unterstützt den Auftraggeber bei der Wahrnehmung seiner Pflichten gegenüber Aufsichtsbehörden. Sollte die Sicherheit der personenbezogenen Daten des Auftraggebers durch Maßnahmen Dritter (z. B. Gläubiger, Behörden, Gerichte) gefährdet sein, wird der Auftragsverarbeiter die Dritten unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber liegen, und nach Rücksprache mit dem Auftraggeber, sofern erforderlich, entsprechende Schutzmaßnahmen ergreifen.
Der Auftragsverarbeiter stellt dem Auftraggeber Informationen betreffend die Verarbeitung von Daten im Rahmen dieses Auftragsverarbeitungsvertrages, die für die Erfüllung von gesetzlichen Pflichten des Auftraggebers notwendig sind, zur Verfügung und unterstützt diesen bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten. Die Informationspflichten erstrecken sich zunächst auf Informationen, die dem Auftragsverarbeiter, seinen Beschäftigten und Beauftragten vorliegen. Der Auftragsverarbeiter muss die Einhaltung seiner sich aus der Auftragsverarbeitung ergebenden vertraglichen und gesetzlichen Pflichten jederzeit mit geeigneten Mitteln nachweisen können.
Für den Fall, dass der Auftragsverarbeiter Tatsachen feststellt, welche die Annahme begründen, dass der Schutz der für den Auftraggeber verarbeiteten personenbezogenen Daten im Sinne des Art. 4 Nr. 12 DSGVO verletzt sein könnte, hat der Auftragsverarbeiter den Auftraggeber unverzüglich und vollständig zu informieren, unverzüglich erforderliche Schutzmaßnahmen zu ergreifen und bei der Erfüllung der dem Auftraggeber obliegenden Pflichten, insbesondere im Zusammenhang mit der Meldung an zuständige Behörden oder betroffene Personen, zu unterstützen. Die Information über eine (mögliche) Verletzung des Schutzes personenbezogener Daten hat unverzüglich, grundsätzlich innerhalb von 24 Stunden ab Kenntniserlangung zu erfolgen.
Die Meldung des Auftragsverarbeiters muss entsprechend Art. 33 Abs. 3 DSGVO mindestens die folgenden Angaben beinhalten:
Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Auftragsverarbeiters oder der bei ihm beschäftigten Personen oder von ihm Beauftragten gegen datenschutzrechtliche Bestimmungen oder die in diesem Auftragsverarbeitungsvertrag getroffenen Festlegungen.
Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorgaben und der Regelungen dieses Auftragsverarbeitungsvertrages, insbesondere der TOMs, beim Auftragsverarbeiter jederzeit im erforderlichen Umfang selbst oder durch Dritte zu kontrollieren und die erforderlichen Überprüfungen, einschließlich Inspektionen, durchzuführen. Der Auftragsverarbeiter unterstützt den Auftraggeber hierbei im erforderlichen Rahmen.
Vor-Ort-Kontrollen erfolgen innerhalb üblicher Geschäftszeiten und sind vom Auftraggeber mit einer angemessenen Frist (mindestens 14 Tage) anzumelden. In Notfällen kann eine angemessen kürzere Frist gewählt werden. Die Kontrollen sind auf den erforderlichen Rahmen beschränkt und müssen auf Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie den Schutz personenbezogener Daten Dritter Rücksicht nehmen. Soweit dem Anlass und Zweck der Prüfung genügend, soll sich eine Kontrolle auf Stichproben beschränken.
Zur Durchführung der Kontrolle sind nur fachkundige Personen zugelassen, die sich legitimieren können und zur Vertraulichkeit verpflichtet sind. Sollte der durch den Auftraggeber beauftragte Prüfer in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen, hat der Auftragsverarbeiter ein Einspruchsrecht. Statt Einsichtnahmen und Vor-Ort-Kontrollen darf der Auftragsverarbeiter den Auftraggeber auf eine gleichwertige Kontrolle durch unabhängige Dritte, die Einhaltung genehmigter Verhaltensregeln (Art. 40 DSGVO) oder geeignete Zertifizierungen gem. Art. 42 DSGVO verweisen, sofern dies dem Auftraggeber zumutbar ist. Der Auftraggeber übt sein Kontrollrecht grundsätzlich nicht häufiger als alle 12 Monate aus, es sei denn, ein konkreter Anlass macht Kontrollen vorher erforderlich.
Der Auftraggeber erklärt sich unbeschadet etwaiger Einschränkungen durch den Hauptvertrag ausdrücklich damit einverstanden, dass der Auftragsverarbeiter im Rahmen der Auftragsverarbeitung Unterauftragsverarbeiter einsetzen darf. Der Auftragsverarbeiter informiert den Auftraggeber mit einer angemessenen Vorfrist, die regelmäßig 14 Werktage beträgt, über neue Unterauftragsverarbeiter und gibt dem Auftraggeber die Möglichkeit, vor deren Einsatz im angemessenen Rahmen zu prüfen und bei berechtigtem Interesse Einspruch zu erheben. Erhebt der Auftraggeber keinen Einspruch innerhalb der Vorfrist, darf der Unterauftragsverarbeiter eingesetzt werden.
Nimmt der Auftragsverarbeiter die Dienste eines Unterauftragsverarbeiters in Anspruch, muss er diesem im Wege eines Vertrags oder eines gesetzlich zulässigen anderen Rechtsinstruments dieselben Datenschutzpflichten auferlegen, zu denen sich der Auftragsverarbeiter in diesem Auftragsverarbeitungsvertrag verpflichtet hat. Der Auftragsverarbeiter wählt den Unterauftragsverarbeiter unter besonderer Berücksichtigung der Eignung und Zuverlässigkeit sorgfältig aus und überprüft die Einhaltung der Pflichten, insbesondere der TOMs, regelmäßig, spätestens alle 12 Monate, in einem angemessenen Umfang.
Die Rechte des Auftraggebers müssen auch gegenüber den Unterauftragsverarbeitern wirksam ausgeübt werden können. Unterauftragsverhältnisse, die dem Auftraggeber bei Abschluss dieses Auftragsverarbeitungsvertrages mitgeteilt wurden, gelten in dem mitgeteilten Umfang als genehmigt. Die bestehenden Unterauftragsverhältnisse werden im Anhang „Unterauftragsverarbeiter“ aufgeführt.
Die Verarbeitung darf in Drittstaaten erfolgen, sofern die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, d. h. insbesondere a) die EU-Kommission ein angemessenes Datenschutzniveau festgestellt hat, b) auf Grundlage von wirksamen Standardschutzklauseln (Standard Contractual Clauses, SCC) oder c) auf Grundlage von anerkannten verbindlichen internen Datenschutzvorschriften. Die Genehmigung von Unterauftragsverhältnissen durch den Auftraggeber erstreckt sich auch auf den räumlichen Bereich der Auftragsverarbeitung.
Der Auftraggeber hat den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen, Weisungen oder Verarbeitungsprozessen Fehler oder Unregelmäßigkeiten im Hinblick auf datenschutzrechtliche Bestimmungen feststellt. Der Auftraggeber benennt die zum Empfang von Weisungen berechtigten Ansprechpartner und teilt Änderungen unverzüglich mit. Im Falle einer Inanspruchnahme des Auftragsverarbeiters durch betroffene Personen, dritte Unternehmen, Stellen oder Behörden hinsichtlich etwaiger Ansprüche aufgrund der Verarbeitung personenbezogener Daten im Rahmen dieses Auftragsverarbeitungsvertrages verpflichtet sich der Auftraggeber, den Auftragsverarbeiter bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten und unter Berücksichtigung des Verschuldensgrades der Vertragsparteien zu unterstützen.
Es finden die Haftungsregelungen und -beschränkungen des Hauptvertrages Anwendung.
Dieser Auftragsverarbeitungsvertrag wird mit dessen Unterzeichnung bzw. Abschluss in einem elektronischen Format wirksam. Laufzeit und Ende richten sich nach der Laufzeit und dem Ende des Hauptvertrages. Die Kündigung dieses Auftragsverarbeitungsvertrages, als auch die Aufhebung dieser Formklausel, müssen zumindest im elektronischen Format erfolgen.
Nach Abschluss der Erbringung der Verarbeitungsleistungen wird der Auftragsverarbeiter alle personenbezogenen Daten und deren Kopien nach Wahl des Auftraggebers entweder vernichten oder zurückgeben, sofern nicht eine gesetzliche Verpflichtung zur Speicherung besteht; in diesem Fall informiert der Auftragsverarbeiter den Auftraggeber über die Verpflichtung und deren Umfang. Die Vernichtung bzw. Löschung hat datenschutzgerecht zu erfolgen. Die Einrede eines Zurückbehaltungsrechts wird ausgeschlossen.
Die sich aus dem Auftragsverarbeitungsvertrag ergebenden Pflichten zum Schutz vertraulicher Informationen gelten auch nach Ende des Vertrages fort. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind zumindest drei Jahre über das Vertragsende hinaus aufzubewahren.
Zusätzliche Aufwände bei der Unterstützung des Auftraggebers bei der Erfüllung seiner datenschutzrechtlichen oder anderer Pflichten werden angemessen vergütet mit den Stundensätzen, die im Dienstleistungsvertrag festgelegt sind. Überschreitet der mit der Duldung und Mitwirkung bei den Kontrollen bzw. adäquaten Alternativmaßnahmen einhergehende Aufwand für den Auftragsverarbeiter einen nach dem Hauptvertrag vereinbarten oder sonst branchenüblich zu erwartenden Rahmen und trägt der Auftragsverarbeiter kein Verschulden hieran, hat der Auftraggeber den entstehenden Mehraufwand gesondert zu vergüten.
Der Auftragsverarbeiter verpflichtet sich, für jeden Fall einer schuldhaften Verletzung der in diesem Auftragsverarbeitungsvertrag oder der gesetzlich geregelten Pflichten zum Schutz personenbezogener Daten eine Vertragsstrafe an den Auftraggeber zu zahlen. Die Vertragsstrafe wird entsprechend der Schwere und dem Ausmaß der Verletzung nach Billigkeitsgesichtspunkten in angemessener Höhe durch den Auftraggeber festgelegt und kann im Streitfall vom zuständigen Gericht überprüft werden. Das Recht des Auftraggebers zur Geltendmachung eines weitergehenden Schadens sowie etwaiger Rechtsbehelfe bleibt unberührt.
Das anwendbare Recht und der Gerichtsstandort bestimmen sich nach dem Hauptvertrag. Der vorliegende Auftragsverarbeitungsvertrag stellt die vollständige, zwischen den Vertragsparteien getroffene Vereinbarung dar; Nebenabreden bestehen nicht. Mit Zustandekommen dieses Auftragsverarbeitungsvertrages werden alle etwaigen früheren Verträge aufgehoben, die die Verarbeitung personenbezogener Daten im Auftrag mit gleichem Gegenstand regeln. Änderungen sowie Ergänzungen müssen zumindest im elektronischen Format erfolgen. Bei etwaigen Widersprüchen gehen Regelungen dieses Auftragsverarbeitungsvertrages zum Datenschutz den Regelungen des Hauptvertrages vor. Sollten eine oder mehrere Bestimmungen unwirksam oder undurchführbar sein, wird die Gültigkeit der übrigen Bestimmungen davon nicht berührt; an die Stelle der unwirksamen Bestimmung tritt im Wege der ergänzenden Auslegung eine Regelung, die dem wirtschaftlich Gewollten möglichst nahekommt.
Dieser Auftragsverarbeitungsvertrag ist ein Teil des Hauptvertrages und wird mit dessen Abschluss wirksam.
Die folgenden Angaben zur Art und zum Zweck der Verarbeitung, der Art der personenbezogenen Daten sowie den Kategorien betroffener Personen bestimmen den Gegenstand der durch den Auftragsverarbeitungsvertrag geregelten Verarbeitung.
Es wird für die konkrete Auftragsverarbeitung und die in ihrem Rahmen verarbeiteten personenbezogenen Daten ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden insbesondere die Schutzziele der Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit berücksichtigt.
Der Auftragsverarbeiter setzt zur Erfüllung der vertraglich geschuldeten Leistungen folgende Unterauftragsverarbeiter ein:
Stand: Juni 2026