Vertrag zur Auftragsverarbeitung

gemäß Art. 28 DSGVO · Version · Stand

zwischen dem Laden, der den Dienst nutzt und diesem Vertrag bei der Registrierung bzw. im Dashboard zugestimmt hat
– Verantwortlicher, im Folgenden „Auftraggeber“ –

und , ,
– Auftragsverarbeiter, im Folgenden „Auftragnehmer“ –

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer stellt dem Auftraggeber eine Software für digitale Stempelkarten (Treueprogramm) bereit, einschließlich Kundenkarten, Scanner, Dashboard, Statistiken und Nachrichtenfunktion (der „Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten der Kundinnen und Kunden des Auftraggebers in dessen Auftrag.
2. Dieser Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet. Er endet automatisch mit dem Hauptvertrag; § 10 gilt darüber hinaus.

§ 2 Art, Zweck und Umfang der Verarbeitung

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vorher mit, sofern das Gesetz dies nicht verbietet.
2. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen, die der Auftraggeber im Dashboard vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform (z. B. E-Mail).
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Pflichten des Auftragnehmers

1. Vertraulichkeit: Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
2. Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.
3. Betroffenenrechte: Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
4. Datenpannen: Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, und unterstützt ihn bei der Meldung an die Aufsichtsbehörde und der Benachrichtigung Betroffener (Art. 33, 34 DSGVO).
5. Weitere Unterstützung: Er unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und der Zusammenarbeit mit Aufsichtsbehörden, soweit dies die Verarbeitung im Auftrag betrifft.
6. Keine eigenen Zwecke: Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, außer an Unterauftragsverarbeiter nach § 6. Statistische Auswertungen in anonymisierter Form, die keinen Rückschluss auf einzelne Personen oder einzelne Auftraggeber zulassen, bleiben zulässig.
7. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Kundinnen und Kunden (Art. 13 DSGVO). Er kann dafür auf die Datenschutzerklärung des Auftragnehmers verweisen und ergänzt sie bei Bedarf.
2. Er hält die Zugangsdaten zum Dashboard und die Scanner-PIN geheim und ändert die PIN, wenn Mitarbeitende ausscheiden.
3. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
2. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher per E-Mail über beabsichtigte Änderungen. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind.

§ 7 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.
2. Der Auftraggeber kann – in der Regel nach Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebs – Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Vorrangig erfolgt der Nachweis durch schriftliche Auskünfte.

§ 8 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die auf ihre eigenen Pflichtverletzungen zurückzuführen sind.

§ 9 Laufende Löschung

Stempelkarten, die 24 Monate nicht genutzt wurden, löscht der Auftragnehmer automatisch, einschließlich des zugehörigen Verlaufs. Auf Weisung des Auftraggebers löscht er einzelne Datensätze auch früher.

§ 10 Ende des Vertrags: Rückgabe und Löschung

Nach Ende des Hauptvertrags kann der Auftraggeber seine Kundendaten innerhalb von 30 Tagen als CSV-Datei exportieren bzw. vom Auftragnehmer anfordern. Danach löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers einschließlich vorhandener Kopien, spätestens jedoch nach Ablauf der regulären Sicherungszyklen (höchstens 30 weitere Tage), sofern keine gesetzliche Pflicht zur Speicherung besteht. Auf Wunsch bestätigt er die Löschung in Textform.

§ 11 Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
2. Änderungen bedürfen der Textform. Der Auftragnehmer kann diesen Vertrag anpassen, wenn dies wegen geänderter Rechtslage oder neuer Funktionen erforderlich ist; er informiert den Auftraggeber darüber mindestens 30 Tage vorher. Widerspricht der Auftraggeber nicht innerhalb dieser Frist, gilt die Änderung als angenommen; auf diese Folge wird er in der Mitteilung hingewiesen.
3. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
4. Es gilt deutsches Recht.

Der Vertrag wird elektronisch geschlossen, indem der Auftraggeber ihm im Dashboard zustimmt. Zeitpunkt und Version der Zustimmung werden gespeichert.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2 – Unterauftragsverarbeiter