Vertrag zur Auftragsverarbeitung (AVV)

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der Plattform „Dein-Lieferant.de“. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Betrieb (nachfolgend „Verantwortlicher“). Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist die Kontial GmbH, Ostlandstraße 31, 90556 Cadolzburg (nachfolgend „Auftragsverarbeiter“). Er gilt für alle Tätigkeiten, bei denen der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Bei Widersprüchen zu den Allgemeinen Geschäftsbedingungen geht dieser AVV in datenschutzrechtlichen Fragen vor.

1. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung und der Betrieb der Bestell-, Liefer- und Abrechnungsplattform als Software-as-a-Service. Art und Zweck der Verarbeitung umfassen das Speichern, Verändern, Auslesen, Übermitteln (z. B. E-Mail-Benachrichtigungen, Erzeugung von Lieferscheinen und Rechnungen) und Löschen personenbezogener Daten, soweit dies zur Vertragserfüllung erforderlich ist. Die Verarbeitung erfolgt ausschließlich in einem Mitgliedstaat der EU bzw. des EWR.

2. Dauer

Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Nutzungsverhältnisses (Hauptvertrag), sofern sich aus den Bestimmungen dieses Vertrags nicht darüber hinausgehende Pflichten ergeben.

3. Kategorien betroffener Personen und Datenarten

• Betroffene Personen: Kunden des Verantwortlichen und deren Ansprechpartner, Benutzer des Betriebs.
• Datenarten: Konto- und Kontaktdaten (Name, Betrieb, Anschrift, E-Mail, Telefon), Bestell-, Liefer- und Rechnungsdaten, kundenspezifische Preise und Notizen, Nutzungs-/Protokolldaten.

4. Weisungsrecht

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Er informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

5. Vertraulichkeit

Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt sicher, dass diese Personen personenbezogene Daten nur auf Weisung verarbeiten.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen zur Sicherheit der Verarbeitung, insbesondere:

• Transportverschlüsselung (TLS) sowie Zugriffsschutz über Authentifizierung und Rollen;
• Mandantentrennung: logische Trennung der Daten je Betrieb; kein Zugriff eines Betriebs auf Daten anderer Betriebe;
• anlassbezogene, protokollierte Support-Einsicht ausschließlich bei offener, vom Betrieb legitimierter Support-Anfrage;
• regelmäßige Datensicherungen; Schutz vor unbefugtem Zugriff, Verlust und Veränderung;
• Hosting in Rechenzentren in Deutschland (IONOS SE).

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der zur Leistungserbringung erforderlichen Unterauftragsverarbeiter zu, insbesondere IONOS SE (Hosting/Infrastruktur und E-Mail-Versand, Deutschland). Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Datenschutzniveau, das den Anforderungen dieses Vertrags entspricht, und informiert den Verantwortlichen über beabsichtigte Änderungen, sodass dieser widersprechen kann.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung). Wird der Auftragsverarbeiter durch eine betroffene Person unmittelbar kontaktiert, leitet er dies unverzüglich an den Verantwortlichen weiter.

9. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt bei den erforderlichen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

10. Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Für den Export stellt der Auftragsverarbeiter während der Laufzeit und für einen Zeitraum von 30 Tagen nach Vertragsende Exportfunktionen bereit.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht angemessene Überprüfungen. Die Kontrollen sind mit angemessener Vorankündigung und ohne Störung des Betriebsablaufs durchzuführen.