Auftragsverarbeitungs​vertrag

1. Anwendungsbereich und Parteien

Dieser AVV ergänzt den Vertrag zwischen dem jeweiligen Geschäftskunden als Verantwortlichem und Digital Relax als Auftragsverarbeiter, wenn und soweit Digital Relax personenbezogene Daten im Auftrag des Kunden im Sinne des Art. 28 DSGVO verarbeitet.

Der AVV gilt nur für die im Kundenauftrag beziehungsweise in der projektbezogenen Spezifikation als Auftragsverarbeitung gekennzeichneten Vorgänge. Soweit Digital Relax für eine Verarbeitung selbst Verantwortlicher ist, findet dieser AVV darauf keine Anwendung.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand, Dauer, Art und Zweck der konkreten Verarbeitung ergeben sich aus dem Kundenauftrag und der projektbezogenen Spezifikation. Typische Auftragsverarbeitungen können die technische Bereitstellung eines Kontaktformulars, einer Terminverwaltung, einer Lead- oder Anfrageverwaltung oder vereinbarter E-Mail-Automationen betreffen.

Vor Beginn der Auftragsverarbeitung werden mindestens die betroffenen Systeme, Verarbeitungszwecke, Kategorien personenbezogener Daten und Kategorien betroffener Personen festgelegt.

Die Verarbeitungsspezifikation weist zusätzlich ausdrücklich aus, ob besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden. Hierfür ist projektbezogen „keine“ oder „ja, folgende Kategorien: …“ festzuhalten; bei einer Verarbeitung solcher Daten werden außerdem die zusätzlichen Schutzmaßnahmen dokumentiert.

3. Weisungen des Verantwortlichen

Digital Relax verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation. Ist Digital Relax aufgrund des Rechts der Union oder eines Mitgliedstaats zu einer davon abweichenden Verarbeitung verpflichtet, informiert Digital Relax den Kunden vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Hält Digital Relax eine Weisung für datenschutzrechtlich unzulässig, informiert Digital Relax den Kunden unverzüglich und kann die betreffende Ausführung bis zur Klärung aussetzen.

Pflichten und Rechte des Verantwortlichen. Der Kunde bleibt für die Rechtmäßigkeit der Verarbeitung, insbesondere für Rechtsgrundlagen, Informationspflichten und die Zulässigkeit seiner Weisungen, verantwortlich. Er ist berechtigt, dokumentierte Weisungen zu erteilen, die Einhaltung dieses AVV nach Maßgabe der vereinbarten Prüfregelungen nachweisen beziehungsweise prüfen zu lassen und nach Ende der Verarbeitung zwischen Rückgabe und Löschung der Auftragsdaten zu wählen.

4. Vertraulichkeit und Zugriff

Digital Relax stellt sicher, dass Personen, die Zugriff auf im Auftrag verarbeitete personenbezogene Daten erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im erforderlichen Umfang Zugriff erhalten.

5. Technische und organisatorische Maßnahmen

Digital Relax trifft unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

Die zum Zeitpunkt des Vertragsschlusses vorgesehenen Standardmaßnahmen werden in der TOM-Anlage dokumentiert. Projektbezogene Abweichungen oder zusätzliche Maßnahmen werden dort oder in der Projektspezifikation festgehalten. Digital Relax darf Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht abgesenkt wird.

6. Unterauftragsverarbeiter

Der Kunde erteilt Digital Relax eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter, soweit sie für das konkrete Projekt tatsächlich eingesetzt werden. Die zum Zeitpunkt des Vertragsschlusses vorgesehenen Anbieter werden projektbezogen aufgeführt.

Digital Relax informiert den Kunden vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters in angemessener Weise und gibt dem Kunden Gelegenheit, gegen diese Änderungen Einwände zu erheben.

Digital Relax legt jedem weiteren Auftragsverarbeiter durch Vertrag oder ein anderes zulässiges Rechtsinstrument im erforderlichen Umfang dieselben Datenschutzpflichten auf, die für die betreffende Verarbeitung aus diesem AVV folgen. Kommt ein weiterer Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, bleibt Digital Relax dem Kunden gegenüber nach Maßgabe des Art. 28 Abs. 4 DSGVO für die Erfüllung der Pflichten dieses weiteren Auftragsverarbeiters verantwortlich.

7. Unterstützung bei Betroffenenrechten

Digital Relax unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Erfüllung von Anfragen betroffener Personen. Geht eine Anfrage unmittelbar bei Digital Relax ein und betrifft sie Daten, die ausschließlich im Auftrag verarbeitet werden, leitet Digital Relax die Anfrage an den Kunden weiter, soweit rechtlich zulässig.

8. Datenschutzverletzungen und weitere Unterstützung

Digital Relax informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, soweit diese die Auftragsverarbeitung des Kunden betrifft, und stellt die verfügbaren Informationen bereit, die der Kunde für seine gesetzlichen Prüf- und Meldepflichten benötigt.

Digital Relax unterstützt den Kunden im angemessenen Umfang bei Verpflichtungen nach Art. 32 bis 36 DSGVO, soweit die Art der Verarbeitung und die Digital Relax zur Verfügung stehenden Informationen dies ermöglichen.

9. Nachweise und Prüfungen

Digital Relax stellt dem Kunden die zur Darlegung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen in angemessenem Umfang zur Verfügung und ermöglicht die gesetzlich erforderlichen Prüfungen. Prüfungen werden mit angemessener Vorankündigung, unter Wahrung von Geschäftsgeheimnissen und möglichst ohne unangemessene Beeinträchtigung des Geschäftsbetriebs durchgeführt.

Vorhandene geeignete Prüfberichte, Zertifizierungen, technische Dokumentationen oder Nachweise von Unterauftragsverarbeitern können vorrangig herangezogen werden, soweit sie für den Prüfzweck ausreichen.

10. Rückgabe und Löschung nach Auftragsende

Nach Abschluss der vereinbarten Auftragsverarbeitung löscht Digital Relax nach Wahl des Kunden alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie dem Kunden zurück und löscht vorhandene Kopien, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Soweit technisch unvermeidbare Sicherungskopien nicht sofort selektiv gelöscht werden können, werden sie bis zur Löschung im regulären Sicherungs- oder Überschreibzyklus nicht für andere Zwecke verarbeitet und nur im hierfür erforderlichen Umfang vorgehalten.

Diese datenschutzrechtliche Rückgabe- beziehungsweise Löschpflicht ist von einer darüber hinausgehenden technischen Migration, Datenkonvertierung oder individuellen Übergabeleistung zu unterscheiden.

11. Internationale Übermittlungen

Werden im Rahmen der Auftragsverarbeitung Unterauftragnehmer oder Infrastrukturen außerhalb der EU beziehungsweise des EWR eingesetzt, stellt Digital Relax sicher, dass für die betreffende Übermittlung eine nach Kapitel V DSGVO zulässige Grundlage besteht. Die jeweils eingesetzte Grundlage richtet sich nach Anbieter, Verarbeitung und aktuellem Rechtsrahmen.

12. Rangfolge und Änderungen

Bei Widersprüchen zwischen diesem AVV und den AGB oder sonstigen allgemeinen Vertragsregelungen gehen für Fragen der Auftragsverarbeitung die spezielleren Regelungen dieses AVV vor. Projektbezogene Angaben im Kundenauftrag konkretisieren den AVV.

Änderungen, die die Pflichten nach Art. 28 DSGVO betreffen, werden in Textform dokumentiert.