Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen des Nutzungsvertrages über den Dienst cardbuddy (siehe AGB). Er wird geschlossen zwischen dem Kunden (nachfolgend „Verantwortlicher“) und alwaysupstudio, Inhaber Andreas Eppelein, St. Georg Siedlung 11, 83043 Bad Aibling (nachfolgend „Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

(1) Gegenstand des AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung des Dienstes cardbuddy.

(2) Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsvertrages. Eine Kündigung des Nutzungsvertrages gilt zugleich als Kündigung dieses AVV.

§ 2 Art, Zweck und Umfang der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung des Dienstes (Bereitstellung, Verwaltung und Auslieferung der digitalen Speisekarte, der Website/Homepage des Verantwortlichen einschließlich zugehöriger Subdomains oder vom Verantwortlichen angebundener eigener Domains sowie weiterer vom Verantwortlichen gebuchter Module und zugehöriger Funktionen) und nur im Umfang, der hierfür erforderlich ist.

§ 3 Art der Daten und Kreis der Betroffenen

Gegenstand der Verarbeitung sind insbesondere:

• Datenkategorien: Inhalts- und Stammdaten der Karte und der Website (inkl. Impressums- und Kontaktangaben, Bilder, Texte und ggf. enthaltener personenbezogener Angaben), Kontakt-/Kommunikationsdaten, Nutzungs- und Zugriffsdaten der Besucher (insbesondere IP-Adressen in Server-Logfiles), Domain-Daten bei angebundenen eigenen Domains, sowie – sofern der Verantwortliche entsprechende Module einsetzt – Daten von Mitarbeitenden des Verantwortlichen.
• Kreis der Betroffenen: Gäste/Endnutzer der Gästekarte, Besucher der Website des Verantwortlichen, Mitarbeitende und sonstige vom Verantwortlichen berechtigte Personen.

§ 4 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht gesetzlich zu einer anderweitigen Verarbeitung verpflichtet ist. Die im Nutzungsvertrag und in diesem AVV festgelegten Regelungen gelten als solche Weisungen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen insbesondere:

• Verschlüsselte Datenübertragung (TLS) und verschlüsselte Speicherung von Passwörtern;
• Zugriffs- und Berechtigungskonzept (rollenbasierte Zugriffe);
• Hosting bei Anbietern mit Serverstandort in der EU;
• regelmäßige Datensicherung und geschützte Backup-Verfahren;
• Maßnahmen zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme;
• Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der nachstehenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen (Hinzuziehung/Austausch) informiert der Auftragsverarbeiter; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

• Hetzner Online GmbH, Deutschland – Server-Hosting und Objektspeicher (EU).
• Stripe Payments Europe, Ltd., Irland (ggf. Stripe, Inc., USA, auf Grundlage der EU-Standardvertragsklauseln) – Zahlungsabwicklung.
• [E-Mail-Versanddienstleister - PLATZHALTER] – Versand transaktionaler E-Mails.

(2) Der Auftragsverarbeiter schließt mit den Unterauftragsverarbeitern Verträge ab, die den Anforderungen des Art. 28 DSGVO entsprechen.

§ 8 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung der Rechte betroffener Personen (Art. 12-23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32-36 DSGVO (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung). Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich.

§ 9 Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht eine gesetzliche Verpflichtung zur Speicherung besteht. Dies erfolgt nach Ablauf einer angemessenen Übergangsfrist nach Vertragsende.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Die Parteien stimmen Art und Umfang der Kontrollen im Vorfeld ab, um den laufenden Betrieb nicht unangemessen zu beeinträchtigen.

§ 11 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem AVV und anderen Vereinbarungen der Parteien gehen die Regelungen dieses AVV in datenschutzrechtlicher Hinsicht vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.