Vertrag zur Auftragsverarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies zur Erbringung der im Hauptvertrag vereinbarten Leistungen erforderlich ist — insbesondere beim Betrieb der Website, der App und des Chatbots des Verantwortlichen.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung.

(1) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Übermitteln innerhalb der Leistungskette, Löschen.

(2) Zweck: Betrieb, Bereitstellung, Wartung und Weiterentwicklung der beauftragten digitalen Leistung.

(3) Betroffene Personen: Besucherinnen und Besucher der Website oder App des Verantwortlichen, Interessenten, Kundinnen und Kunden des Verantwortlichen sowie dessen Beschäftigte, soweit sie Zugänge nutzen.

(4) Datenarten: Kontaktdaten (Name, E-Mail, Telefon, Anschrift), Inhalte aus Formularen, Buchungs- und Termindaten, Chatverläufe, technische Nutzungsdaten (IP-Adresse, Zeitstempel, Browserangaben), hochgeladene Dateien.

(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO — etwa Gesundheitsdaten — dürfen nur verarbeitet werden, wenn dies vorher ausdrücklich in Textform vereinbart und durch zusätzliche Schutzmaßnahmen abgesichert wurde.

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen erfolgen in Textform. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung auszusetzen.

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

(1) Der Auftragsverarbeiter trifft die zur Sicherung der Verarbeitung erforderlichen Maßnahmen. Dazu gehören insbesondere:

• Verschlüsselung: Übertragung ausschließlich über TLS; Verschlüsselung gespeicherter Daten beim eingesetzten Datenbank- und Speicherdienst.
• Zugangskontrolle: Zugriff auf Produktivsysteme nur für benannte Personen, individuelle Konten, Zwei-Faktor-Authentifizierung bei allen eingesetzten Diensten.
• Zugriffskontrolle: Rollenbasierte Berechtigungen in der Datenbank (Row Level Security), getrennte Schlüssel für Server- und Browserzugriffe; administrative Schlüssel verlassen den Server nicht.
• Trennungskontrolle: Getrennte Umgebungen für Entwicklung und Produktion; Mandantentrennung je Kunde auf Datensatzebene.
• Integrität: Signierte Webhook-Übertragungen (HMAC-SHA256), Protokollierung der Zustell- und Fehlversuche.
• Verfügbarkeit: Regelmäßige automatisierte Sicherungen durch den Datenbankdienstleister, Wiederherstellungsmöglichkeit auf einen Zeitpunkt innerhalb der Aufbewahrungsdauer.
• Belastbarkeit und Überprüfung: Fehler-Protokollierung, regelmäßige Aktualisierung eingesetzter Abhängigkeiten, Überprüfung der Maßnahmen mindestens jährlich.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird.

(1) Der Verantwortliche stimmt dem Einsatz der nachfolgend genannten Unterauftragnehmer zu:

(2) Der Auftragsverarbeiter schließt mit jedem Unterauftragnehmer einen Vertrag, der diesem im Wesentlichen dieselben Pflichten auferlegt wie dieser Vertrag.

(3) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragnehmer einzusetzen oder einen bestehenden auszutauschen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, der die Leistungserbringung unmöglich macht, sind beide Parteien zur Kündigung des Hauptvertrags berechtigt.

(4) Erfolgt eine Verarbeitung außerhalb der EU und des EWR, stellt der Auftragsverarbeiter ein angemessenes Schutzniveau sicher — durch einen Angemessenheitsbeschluss oder durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst Transfer-Folgenabschätzung.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

(2) Richtet eine betroffene Person einen Antrag unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht eigenständig.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenab­ schätzungen und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 35, 36 DSGVO), soweit die erforderlichen Informationen bei ihm vorliegen.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform.

(2) Die Meldung enthält, soweit bekannt, eine Beschreibung des Vorfalls, die Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Verantwortliche kann sich nach vorheriger Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten von der Einhaltung der vereinbarten Maßnahmen überzeugen. Der Nachweis kann auch durch aktuelle Zertifikate, Testate oder Berichte unabhängiger Stellen geführt werden.

(3) Kontrollen, die über eine Auskunft hinausgehen und beim Auftragsverarbeiter einen erheblichen Aufwand verursachen, kann dieser nach vorheriger Ankündigung angemessen vergüten lassen.

(1) Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die verarbeiteten Daten nach Wahl des Verantwortlichen zurück oder löscht sie. Der Export erfolgt nach § 14 der AGB innerhalb von 30 Tagen nach Anforderung.

(2) Die Löschung erfolgt spätestens 90 Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im Rahmen der regulären Sicherungszyklen überschrieben.

(1) Für die Haftung gilt Art. 82 DSGVO sowie ergänzend § 18 der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf die Auftragsverarbeitung vor.

(3) Änderungen bedürfen der Textform. Es gilt deutsches Recht.