Auftragsverarbeitungsvertrag
Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Anbieter (Auftragsverarbeiter) im Auftrag des Nutzers (Verantwortlicher) im Rahmen der Nutzung der Plattform Quickr.
Nicht Gegenstand dieses Vertrages sind die Daten, die der Anbieter zur Begründung und Abwicklung des eigenen Vertragsverhältnisses mit dem Nutzer verarbeitet (insbesondere Vertrags-, Abrechnungs- und Zahlungsdaten). Insoweit ist der Anbieter selbst Verantwortlicher; es gilt die Datenschutzerklärung.
1. Gegenstand und Dauer der Verarbeitung
Gegenstand ist die Verarbeitung personenbezogener Daten zur Bereitstellung der Plattform, insbesondere zur Erstellung, Verwaltung und Übermittlung von Angeboten sowie zur Verwaltung der Kundendaten des Nutzers.
Die Verarbeitung erfolgt für die Dauer des Nutzungsverhältnisses. Sie endet mit dessen Beendigung; anschließend gilt Ziffer 9.
2. Art und Zweck der Verarbeitung
Erheben, Speichern, Verändern, Auslesen, Verwenden, Übermitteln (insbesondere per E-Mail an vom Nutzer bestimmte Empfänger), Bereitstellen, Sichern und Löschen — jeweils ausschließlich zu dem Zweck, dem Nutzer die vertraglich vereinbarten Funktionen der Plattform zur Verfügung zu stellen.
3. Art der personenbezogenen Daten
- Kontaktdaten von Kunden und Interessenten des Nutzers (Name, Anschrift, Telefonnummer, E-Mail-Adresse, Kundennummern)
- Angebots-, Vorgangs- und Verlaufsdaten einschließlich der zugehörigen Tarif-, Geräte- und Preisangaben
- Vertrags- und Kartenbestandsdaten der Kunden des Nutzers (Rufnummern, Kartennummern, Tarife, Laufzeiten) sowie vom Nutzer hochgeladene Dokumente seiner Kunden (z.B. Rechnungen)
- Kommunikationsdaten aus dem Versand von Angeboten und Anschreiben
- Zugangs- und Sitzungsdaten der Beschäftigten des Nutzers (Benutzerkonto, IP-Adresse, Browser-/Gerätekennung, Anmelde-, Abmelde- und Aktivitätszeitpunkte)
4. Kategorien betroffener Personen
- Kunden und Interessenten des Nutzers (Empfänger der Angebote)
- Beschäftigte des Nutzers, die die Plattform nutzen
- Sonstige in Angeboten oder Kundenakten benannte Personen
Die Verarbeitung der Zugangs- und Sitzungsdaten der Beschäftigten dient ausschließlich der Sicherheit der Plattform und der Durchsetzung des lizenzierten Nutzungsumfangs. Eine Auswertung zur Verhaltens- oder Leistungskontrolle erfolgt durch den Anbieter nicht. Für eine etwaige Nutzung solcher Daten durch den Nutzer im Beschäftigungsverhältnis — einschließlich der Beteiligung einer Arbeitnehmervertretung — ist der Nutzer verantwortlich.
5. Weisungsbindung
Der Anbieter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrages und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.
Der Anbieter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
6. Vertraulichkeit und Ort der Verarbeitung
Der Anbieter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Eine Verarbeitung in einem Drittland erfolgt nur nach vorheriger Information des Verantwortlichen und bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Eingesetzt werden derzeit:
- Hetzner Online GmbH, Deutschland — Hosting und Rechenzentrumsbetrieb
Der Zahlungsdienstleister Stripe ist kein Unterauftragsverarbeiter, da er ausschließlich Daten des eigenen Vertragsverhältnisses zwischen Anbieter und Nutzer verarbeitet (siehe Präambel).
Der Anbieter informiert den Verantwortlichen mindestens vier Wochen im Voraus in Textform über die beabsichtigte Hinzuziehung oder den Wechsel eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, steht dem Verantwortlichen ein Sonderkündigungsrecht zu.
Der Anbieter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.
8. Technisch-organisatorische Maßnahmen
Der Anbieter gewährleistet den Schutz der Daten durch angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere:
- Transportverschlüsselung (TLS) für alle Verbindungen
- Zutritts-, Zugangs- und Zugriffskontrolle; rollenbasierte Berechtigungen und Trennung der Daten je Shop (Mandantentrennung)
- Passwortgeschützte, personengebundene Zugänge; Begrenzung gleichzeitiger Anmeldungen
- Regelmäßige Backups mit verschlüsselter Ablage und geprüfter Wiederherstellbarkeit
- Trennung von Produktions- und Testsystemen; in Testsystemen werden Echtdaten nur in anonymisierter oder pseudonymisierter Form verwendet
- Protokollierung sicherheitsrelevanter Vorgänge
9. Unterstützungspflichten
Der Anbieter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12 bis 23 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.
Der Anbieter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen zur Verfügung.
10. Nachweise und Kontrollen
Der Anbieter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen. Kontrollen erfolgen nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs; sie können durch aussagekräftige Nachweise (z.B. Testate oder Zertifizierungen) ersetzt werden.
11. Löschung und Rückgabe
Nach Beendigung des Auftrags werden alle Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit selbst exportieren.