Auftrags­verarbeitungs­vertrag

Vertragsparteien

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung von AngebotPilot nach den AGB (Hauptvertrag) ergeben. [PLATZHALTER: Abschlussweg, z. B. „Der Vertrag wird mit der Registrierung elektronisch geschlossen.“]

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung der Software AngebotPilot.
2. Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus § 10 gelten über das Vertragsende hinaus fort.

§ 2 Art, Zweck, Datenarten und betroffene Personen

Art der Verarbeitung

Erheben, Speichern, Organisieren, Anzeigen, Übermitteln (E-Mail-Versand), Exportieren, Anonymisieren und Löschen von Daten im Rahmen der Funktionen von AngebotPilot.

Zweck

Erstellung, Versand und Nachverfolgung von Angeboten, automatische Erinnerungen, Online-Annahme oder -Ablehnung durch Empfänger, Kunden- und Auftragsverwaltung, Zusammenarbeit im Team.

Datenarten

Kontakt- und Stammdaten von Kunden (Name, Firma, Anschrift, Leistungsadresse, E-Mail-Adresse, Telefonnummer, USt-IdNr., Notizen); Inhalte von Angeboten und Aufträgen (Positionen, Preise, Texte, Termine); Kommunikationsdaten (Versandprotokolle mit Empfänger, Betreff, Inhalt, Status, Zeitpunkte); Nutzungsdaten des Kundenlinks (Zeitpunkt des ersten und letzten Öffnens, Anzahl der Aufrufe); Entscheidungen von Empfängern (eingegebener Name, Zeitpunkt, optionale Nachricht); Abmeldungen von Erinnerungen; Namen und E-Mail-Adressen von Teammitgliedern des Auftraggebers; vom Auftraggeber hochgeladene Dateien.

Betroffene Personen

Kunden und Interessenten des Auftraggebers sowie deren Ansprechpartner; Beschäftigte und Teammitglieder des Auftraggebers.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Auftraggeber erfasst solche Daten nicht in AngebotPilot.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.
2. Weisungen erteilt der Auftraggeber grundsätzlich durch die Nutzung und Konfiguration der Software (z. B. Anlegen, Versenden, Löschen, Export, Einstellungen für Erinnerungen) sowie ergänzend in Textform.
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe auf Daten des Auftraggebers erfolgen nur, soweit dies für Betrieb, Wartung oder Support erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 1). Er darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.
2. Der Auftragnehmer informiert den Auftraggeber in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens [PLATZHALTER: Frist, z. B. 4 Wochen] im Voraus. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag außerordentlich kündigen.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das diesem Vertrag entspricht.

§ 7 Unterstützungspflichten

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 15–22 DSGVO). Viele Anträge kann der Auftraggeber selbst in der Software erfüllen, etwa durch Bearbeiten, Exportieren, Anonymisieren oder Löschen von Kundendaten.
2. Richtet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.
3. Der Auftragnehmer unterstützt den Auftraggeber zudem bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der ihm vorliegenden Informationen.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, mit den Informationen, die der Auftraggeber für seine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) benötigt.

§ 9 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Überprüfungen einschließlich Inspektionen sind nach rechtzeitiger Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebs möglich. Zunächst kann der Nachweis durch Selbstauskünfte und geeignete Unterlagen erbracht werden.

§ 10 Löschung und Rückgabe

1. Der Auftraggeber kann seine Daten während der Vertragslaufzeit jederzeit selbst exportieren (CSV) und löschen.
2. Nach Ende der Leistungserbringung löscht der Auftragnehmer die Daten des Auftraggebers innerhalb von [PLATZHALTER: Frist, z. B. 30 Tagen], sofern nicht nach Unionsrecht oder deutschem Recht eine Pflicht zur Speicherung besteht. Daten in Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben [PLATZHALTER: Dauer].
3. Die Löschung wird auf Anfrage in Textform bestätigt.

§ 11 Ãœbermittlung in Drittländer

Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von EU-Standardvertragsklauseln.

§ 12 Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Ãœbrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor.
3. Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

Anlage 2: Unterauftragsverarbeiter

GitHub Pages stellt lediglich die Programmdateien der Web-App bereit und verarbeitet keine Inhalte aus AngebotPilot; GitHub ist daher kein Unterauftragsverarbeiter für die in § 2 genannten Daten.

Unterschriften