Auftragsverarbeitungsvertrag

Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

[Firma des Kunden], [Anschrift des Kunden], vertreten durch [Name des Inhabers] (nachfolgend „Verantwortlicher“)

und

eMediax UG (haftungsbeschränkt), Zeystraße 8, 55120 Mainz, vertreten durch den Geschäftsführer Sérgio Gonçalves Dos Santos Oliveira (nachfolgend „Auftragsverarbeiter“ oder „Anbieter“)

geschlossen durch Annahme in der Plattform am [Datum, Uhrzeit] durch [Name, E-Mail des annehmenden Benutzers]. Der Vertrag kann nur durch den Inhaber des Shop-Kontos (Rolle „Owner“) geschlossen werden.

Präambel

Der Verantwortliche nutzt die Plattform Quickr auf Grundlage der Nutzungsbedingungen des Anbieters (Hauptvertrag). Dabei verarbeitet der Anbieter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach Art. 28 DSGVO. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Datenschutzfragen vor.

Nicht Gegenstand dieses Vertrags sind Daten, die der Anbieter in eigener Verantwortung verarbeitet. Das sind die Vertrags-, Abrechnungs- und Zahlungsdaten des Verantwortlichen sowie die Konto-, Sitzungs- und Nutzungsdaten der Benutzer, soweit sie der Sicherheit der Plattform, der Durchsetzung des gebuchten Nutzungsumfangs und der Verbesserung des Dienstes dienen. Die Abgrenzung ergibt sich aus Anlage 1; für diese Daten gilt die Datenschutzerklärung des Anbieters. Eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) wird nicht begründet.

1. Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten zur Bereitstellung der Plattform, insbesondere zur Erstellung, Verwaltung und Übermittlung von Angeboten sowie zur Führung von Kundenakten und Kartenbeständen des Verantwortlichen.

(2) Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Sie endet mit dessen Beendigung; anschließend gilt Ziffer 12. Bei einem Konto ohne kostenpflichtige Lizenz endet der Hauptvertrag auch durch Schließung nach drei Jahren ohne Anmeldung eines Benutzers nach Maßgabe der Nutzungsbedingungen (§ 5 Abs. 2). Der Ablauf einer Lizenz beendet den Hauptvertrag nicht; das Konto besteht im Demo-Modus fort.

2. Art und Zweck der Verarbeitung

Erheben, Speichern, Verändern, Auslesen, Verwenden, Übermitteln (insbesondere per E-Mail an vom Verantwortlichen bestimmte Empfänger), Bereitstellen, Sichern und Löschen, jeweils ausschließlich zu dem Zweck, dem Verantwortlichen die vertraglich vereinbarten Funktionen der Plattform zur Verfügung zu stellen.

3. Art der personenbezogenen Daten

• Kontaktdaten von Kunden und Interessenten des Verantwortlichen (Name, Anschrift, Telefonnummer, E-Mail-Adresse, Kundennummern)
• Angebots-, Vorgangs- und Verlaufsdaten einschließlich der zugehörigen Tarif-, Geräte- und Preisangaben
• Vertrags- und Kartenbestandsdaten der Kunden des Verantwortlichen (Rufnummern, Kartennummern, Tarife, Laufzeiten) sowie vom Verantwortlichen hochgeladene Dokumente seiner Kunden (zum Beispiel Rechnungen)
• Kommunikationsdaten aus dem Versand von Angeboten und Anschreiben
• Vom Verantwortlichen in Kundenakten erfasste Notizen und Freitexte

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass solche Daten nicht in die Plattform eingegeben werden, soweit er hierfür keine Rechtsgrundlage hat.

4. Kategorien betroffener Personen

• Kunden und Interessenten des Verantwortlichen (Empfänger der Angebote, Inhaber der Kundenakten und Kartenbestände)
• Sonstige in Angeboten oder Kundenakten benannte Personen (etwa Ansprechpartner bei Geschäftskunden)

Die Benutzer des Verantwortlichen sind Betroffene der in eigener Verantwortung des Anbieters verarbeiteten Konto-, Sitzungs- und Nutzungsdaten nach Anlage 1. Der Anbieter stellt dem Verantwortlichen keine personenbezogenen Auswertungen darüber bereit, wer wann welche Funktion genutzt hat, und nimmt keine Verhaltens- oder Leistungskontrolle vor. Der Verantwortliche ist für die Information seiner Benutzer nach Art. 13 und 14 DSGVO über die Nutzung der Plattform im Beschäftigungsverhältnis und für eine etwaige Beteiligung einer Arbeitnehmervertretung verantwortlich.

5. Pflichten und Rechte des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt insbesondere sicher, dass er die Daten seiner Kunden rechtmäßig erhoben hat und in die Plattform eingeben darf.

(2) Der Verantwortliche informiert die betroffenen Personen nach Art. 13 und 14 DSGVO über die Verarbeitung, soweit erforderlich.

(3) Der Verantwortliche erteilt Weisungen nach Ziffer 6 und übt seine Kontrollrechte nach Ziffer 11 aus.

(4) Der Verantwortliche informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung durch den Anbieter feststellt.

(5) Der Verantwortliche verwaltet die Benutzerzugänge seines Shop-Kontos und die Rollen seiner Benutzer selbst und entzieht ausgeschiedenen Benutzern den Zugang.

6. Weisungen

(1) Der Anbieter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen werden anfänglich durch diesen Vertrag und den Hauptvertrag festgelegt. Sie werden durch die Nutzung der Plattformfunktionen durch den Verantwortlichen und seine Benutzer konkretisiert (insbesondere Anlegen, Ändern, Versenden, Aufzeichnen, Ausblenden und Löschen von Daten sowie die Einstellungen des Shop-Kontos). Diese Nutzungshandlungen gelten als dokumentierte Weisungen; der Anbieter protokolliert sie.

(3) Weitergehende Einzelweisungen erteilt der Verantwortliche in Textform über die Support-Funktion der Plattform. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, gelten als Antrag auf Leistungsänderung.

(4) Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

7. Vertraulichkeit und Ort der Verarbeitung

(1) Der Anbieter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Verarbeitung findet ausschließlich in Rechenzentren in Deutschland statt (Anlage 3). Eine Verarbeitung in einem Drittland erfolgt nur nach vorheriger Information des Verantwortlichen nach Ziffer 8 und bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.

(3) Zur Fehleranalyse kann der Anbieter im Einzelfall einen pseudonymisierten Auszug der Daten auf einem gesicherten Entwicklungssystem des Anbieters in Deutschland verarbeiten. Ungekürzte Kopien der Produktivdaten werden auf Entwicklungssystemen nur verwendet, wenn ein Fehler anders nicht reproduzierbar ist; sie werden nach Abschluss der Analyse, spätestens nach 14 Tagen, gelöscht und nicht in Sicherungskopien aufgenommen.

8. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Eingesetzt werden derzeit die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Der Zahlungsdienstleister Stripe ist kein Unterauftragsverarbeiter, da er ausschließlich Daten des eigenen Vertragsverhältnisses zwischen Anbieter und Verantwortlichem verarbeitet (siehe Präambel).

(3) Der Anbieter informiert den Verantwortlichen mindestens vier Wochen im Voraus in Textform (E-Mail an die hinterlegte Adresse des Inhabers) über die beabsichtigte Hinzuziehung oder den Wechsel eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den Hauptvertrag mit Wirkung zum Zeitpunkt der Hinzuziehung außerordentlich kündigen; bereits im Voraus gezahlte Entgelte werden anteilig erstattet.

(4) Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht, und stellt dem Verantwortlichen auf Verlangen eine Kopie des Vertrags mit dem Unterauftragsverarbeiter zur Verfügung; Geschäftsgeheimnisse dürfen geschwärzt werden. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten.

9. Technisch-organisatorische Maßnahmen

(1) Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie für die Dauer des Vertrags aufrecht.

(2) Der Anbieter kann die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er dem Verantwortlichen mit.

10. Unterstützungspflichten und Verletzungen des Schutzes personenbezogener Daten

(1) Der Anbieter unterstützt den Verantwortlichen mit angemessenen technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO). Gehen Anfragen betroffener Personen beim Anbieter ein, leitet er sie unverzüglich an den Verantwortlichen weiter.

(2) Der Anbieter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit dies unter Berücksichtigung der Art der Verarbeitung und der dem Anbieter verfügbaren Informationen möglich ist.

(3) Der Anbieter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich nach Kenntniserlangung, in der Regel innerhalb von 48 Stunden, an die hinterlegte E-Mail-Adresse des Inhabers. Die Erstmeldung enthält die verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO; weitere Informationen reicht der Anbieter ohne unangemessene Verzögerung nach. Der Anbieter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung der betroffenen Personen.

(4) Unterstützungsleistungen, die über die gesetzlichen Pflichten des Anbieters hinausgehen oder durch den Verantwortlichen veranlasst sind, kann der Anbieter nach Aufwand zu den jeweils gültigen Stundensätzen berechnen; er weist vorher darauf hin.

11. Nachweise und Kontrollen

(1) Der Anbieter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO und dieses Vertrags erforderlich sind.

(2) Der Anbieter erbringt den Nachweis vorrangig durch aussagekräftige Unterlagen, insbesondere die Beschreibung der Maßnahmen nach Anlage 2, Prüfberichte, Testate oder Zertifizierungen des Anbieters oder seiner Unterauftragsverarbeiter (etwa die ISO-27001-Zertifizierung der Rechenzentren).

(3) Darüber hinaus kann der Verantwortliche einmal je Kalenderjahr sowie bei konkreten Anhaltspunkten für eine Verletzung dieses Vertrags eine Überprüfung einschließlich Inspektion durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Anbieters ist, durchführen lassen. Inspektionen werden mit angemessener Frist von mindestens 14 Tagen angekündigt und während der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs durchgeführt. Für Inspektionen, die nicht auf einen Verstoß des Anbieters zurückgehen, kann der Anbieter eine angemessene Aufwandsvergütung verlangen.

12. Löschung und Rückgabe

(1) Während der Vertragslaufzeit kann der Verantwortliche seine Auftragsdaten jederzeit selbst über die Plattform in einem gängigen, maschinenlesbaren Format exportieren; der Umfang ergibt sich aus Anlage 4. Nach Beendigung des Hauptvertrags bleibt das Shop-Konto 30 Tage lang zum Abruf des Exports erreichbar; danach wird es geschlossen. Auf Verlangen stellt der Anbieter die Auftragsdaten innerhalb dieser Frist auch selbst bereit.

(2) Spätestens 60 Tage nach der Schließung des Shop-Kontos löscht der Anbieter die Auftragsdaten im Produktivsystem, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

(3) In Sicherungskopien verbleibende Daten werden gesperrt, nicht für andere Zwecke verwendet und mit Ablauf des Sicherungszyklus überschrieben (tägliche Sicherungen nach 14 Tagen, wöchentliche nach 4 Wochen, monatliche nach 12 Monaten, jährliche nach 10 Jahren). Wird eine Sicherungskopie wiederhergestellt, wiederholt der Anbieter die Löschung unverzüglich und protokolliert sie.

(4) Der Anbieter darf Protokolldaten, die dem Nachweis ordnungsgemäßer Verarbeitung dienen, über das Vertragsende hinaus nach Maßgabe seiner Löschfristen aufbewahren.

13. Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO.

(2) Im Innenverhältnis gilt die Haftungsregelung des Hauptvertrags (§ 12 der Nutzungsbedingungen) auch für Ansprüche aus diesem Vertrag.

(3) Die Parteien stellen sich im Innenverhältnis entsprechend ihrem Anteil an der Verantwortung für den Schaden frei (Art. 82 Abs. 5 DSGVO). Der Verantwortliche stellt den Anbieter von Ansprüchen frei, die auf Weisungen des Verantwortlichen oder auf von ihm eingegebenen Daten beruhen; der Anbieter stellt den Verantwortlichen von Ansprüchen frei, die auf einem Verstoß des Anbieters gegen seine Pflichten aus Art. 28 DSGVO oder diesem Vertrag beruhen.

(4) Eine Partei haftet nicht, soweit sie nachweist, dass sie für den Umstand, durch den der Schaden eingetreten ist, in keinerlei Hinsicht verantwortlich ist (Art. 82 Abs. 3 DSGVO).

14. Schlussbestimmungen

(1) Änderungen dieses Vertrags einschließlich seiner Anlagen teilt der Anbieter dem Verantwortlichen aktiv mit; sie werden wirksam, wenn der Inhaber des Shop-Kontos ihnen in der Plattform ausdrücklich zustimmt. Änderungen der Anlage 3 (Unterauftragsverarbeiter) richten sich nach Ziffer 8.

(2) Der Verantwortliche kann diesen Vertrag jederzeit in seinem Konto als PDF mit Datum und Zeitpunkt der Annahme abrufen.

(3) Es gilt deutsches Recht. Für den Gerichtsstand gilt § 17 der Nutzungsbedingungen.

Anlage 1: Abgrenzung der Verantwortlichkeit

Der Anbieter greift für Zwecke in eigener Verantwortung nicht auf die Inhalte der Auftragsdaten (Kundenakten, Angebote) zu; ausgenommen sind die Fehleranalyse nach Ziffer 7 Abs. 3 und die Bearbeitung von Support-Anfragen des Verantwortlichen.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb in Rechenzentren der Hetzner Online GmbH in Deutschland, zertifiziert nach ISO/IEC 27001; Zutritt nur für autorisiertes Personal des Rechenzentrumsbetreibers.
• Zugangskontrolle: Personengebundene Benutzerzugänge mit Passwort; Passwörter der Benutzer werden ausschließlich als salted Hash gespeichert; Begrenzung gleichzeitiger Anmeldungen je Lizenz; automatische Beendigung inaktiver Sitzungen; administrativer Zugang zum Server ausschließlich per SSH mit Schlüssel.
• Zugriffskontrolle: Rollenkonzept je Shop-Konto (Inhaber, Administrator, Mitglied); strikte Trennung der Daten je Shop-Konto (Mandantentrennung auf Datenbankebene); administrative Auswertungen von Nutzungsdaten nur für Superuser des Anbieters.
• Trennungskontrolle: Getrennte Produktions-, Test- und Entwicklungssysteme; Übernahme von Produktivdaten in Testsysteme ausschließlich in pseudonymisierter Form durch ein geprüftes Verfahren (Scrub-at-Source mit Verifikation); Ausnahme für die Fehleranalyse nach Ziffer 7 Abs. 3.
• Pseudonymisierung: Nutzungsdaten werden nach 90 Tagen zu Tagesbilanzen verdichtet.
• Verschlüsselung: Transportverschlüsselung (TLS 1.2 oder höher) für alle Verbindungen zwischen Benutzer und Plattform sowie zu den Unterauftragsverarbeitern. Die Zugangsdaten zu den Mailservern der Benutzer werden mit einem gesonderten Schlüssel verschlüsselt gespeichert, der nicht in der Datenbank liegt. Sicherungskopien werden verschlüsselt abgelegt; ohne die getrennt verwahrte Passphrase sind sie nicht lesbar.

2. Integrität

• Weitergabekontrolle: Versand von Angeboten nur an vom Benutzer eingegebene Empfänger; Anhänge und hochgeladene Kundendokumente sind nur nach Anmeldung und nur für Benutzer des jeweiligen Shop-Kontos abrufbar (kein öffentlicher Medienpfad).
• Eingabekontrolle: Protokollierung von Angebots- und Versandvorgängen (Vorgangsverlauf, Versandlog) je Shop-Konto; Protokollierung sicherheitsrelevanter Vorgänge (Anmeldungen, Sitzungsbeendigungen, Zustimmungen zu Rechtstexten).

3. Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte Sicherungen mit gestaffelter Aufbewahrung (14 Tage / 4 Wochen / 12 Monate / 10 Jahre) auf einem getrennten Speichersystem im Rechenzentrum Falkenstein; regelmäßige Prüfung der Wiederherstellbarkeit.
• Automatisierte Überwachung der Dienste mit Alarmierung des Anbieters bei Ausfällen und bei ausbleibenden Sicherungen.
• Trennung von Web-, Datenbank- und Cache-Diensten; Wartungsmodus mit Hinweisseite für geplante Arbeiten.

4. Wiederherstellung

• Dokumentiertes Verfahren zur Wiederherstellung aus Sicherungen; Ziel: Wiederanlauf innerhalb von 24 Stunden, Datenverlust höchstens bis zur letzten täglichen Sicherung.

5. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Testsuite (Einheiten- und Oberflächentests) vor jeder Auslieferung; Smoke-Test nach jeder Auslieferung.
• Jährliche Überprüfung dieser Anlage durch den Anbieter.
• Verfahren zur Erkennung, Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten (Ziffer 10).

6. Auftragskontrolle

• Weisungen nach Ziffer 6 werden protokolliert.
• Unterauftragsverarbeiter nach Anlage 3 sind vertraglich verpflichtet; ihre Zertifizierungen werden jährlich geprüft.
• Löschkonzept mit Fristen je Datenkategorie (Datenschutzerklärung Abschnitt 6, dieser Vertrag Ziffer 12).

Anlage 3: Unterauftragsverarbeiter und Verarbeitungsorte

Anlage 4: Umfang der exportierbaren Daten

Diese Anlage benennt abschließend die Daten, die der Verantwortliche nach Ziffer 12 über die Plattform exportieren kann (Art. 25 der Verordnung (EU) 2023/2854). Der Export erfolgt als ZIP-Archiv; die Daten liegen als JSON im Zeichensatz UTF-8 mit Zeitangaben nach ISO 8601, tabellarische Auszüge zusätzlich als CSV, hochgeladene Dateien im Originalformat. Ein Manifest und eine Anleitung im Archiv beschreiben den Aufbau.

Nicht Gegenstand des Exports sind Daten, die nicht dem Verantwortlichen gehören oder die der Anbieter in eigener Verantwortung verarbeitet: Kataloge und Preislisten der Distributionen, die Provisionsdaten der Stammdaten, Nutzungsstatistik und technische Protokolle sowie Passwörter, Schlüssel und Zahlungskennungen.