Anlage zu den Allgemeinen Nutzungsbedingungen

Auftragsverarbeitungsvertrag

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag eines Verantwortlichen gemäß Art. 28 DSGVO

1. Anwendungsbereich, Vertragsgegenstand

1.1 Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) findet nur dann Anwendung, wenn der Nutzer ein Unternehmen im Sinn des § 14 BGB Ist.

1.2 Gemäß diesem AVV verarbeitet die Blue Performance GmbH (nachfolgend „Auftragnehmer“) personenbezogene Daten im Auftrag des Nutzers. Im Rahmen der Leistungserbringung gemäß Vertragsschluss nach den vorstehenden Allgemeinen Nutzungsbedingungen des Auftragnehmers (nachfolgend „Hauptvertrag“ genannt) ist es erforderlich, dass der Auftragnehmer personenbezogenen Daten verarbeitet, für die der Nutzer verantwortliche Stelle im Sinne der datenschutzrechtlichen Vorschriften ist (nachfolgend „Nutzer-Daten“ genannt). Dieser AVV konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung der Nutzer-Daten zur Erbringung der Leistungen nach dem Hauptvertrags.

2. Umfang der Beauftragung

2.1 Der Auftragnehmer verarbeitet die Nutzer-Daten im Auftrag und nach Weisung des Nutzers i.S.v. Art. 28 DSGVO (Auftragsverarbeitung). Der Nutzer bleibt Verantwortlicher im datenschutzrechtlichen Sinn.

2.2 Die Verarbeitung von Nutzer-Daten durch den Auftragnehmer erfolgt in der Art, dem Umfang und zu dem Zweck gemäß des Vertragsinhalts des Hauptvertrages und wie in Anhang 1 zu diesem AVV spezifiziert. Die Verarbeitung betrifft die in Anhang 1 bezeichneten Arten personenbezogener Daten und Kategorien betroffener Personen. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

2.3 Dem Auftragnehmer bleibt es vorbehalten, die Nutzer-Daten zu anonymisieren oder zu aggregieren, so dass eine Identifizierung einzelner betroffener Personen nicht mehr möglich ist, und in dieser Form zum Zweck der bedarfsgerechten Gestaltung, der Weiterentwicklung und der Optimierung sowie der Erbringung des nach Maßgabe des Hauptvertrags vereinbarten Dienstes zu verwenden. Die Parteien stimmen darin überein, dass anonymisierte bzw. nach obiger Maßgabe aggregierte Nutzer-Daten nicht mehr als Nutzer-Daten im Sinne dieses AVV gelten.

2.4 Die Verarbeitung der Nutzer-Daten durch den Auftragnehmer findet grundsätzlich innerhalb der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Es ist dem Auftragnehmer gleichwohl gestattet, Nutzer-Daten unter Einhaltung der Bestimmungen dieses AVV auch außerhalb des EWR zu verarbeiten, wenn er den Nutzer vorab über den Ort der Datenverarbeitung informiert und die Voraussetzungen der Art. 44 - 48 DSGVO erfüllt sind oder eine Ausnahme nach Art. 49 DSGVO vorliegt.

3. Weisungsbefugnisse des Nutzers

3.1 Der Auftragnehmer verarbeitet die Nutzer-Daten gemäß den Weisungen des Nutzers, sofern der Auftragnehmer nicht gesetzlich zu einer anderweitigen Verarbeitung verpflichtet ist. In letzterem Fall teilt der Auftragnehmer dem Nutzer diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Gesetz eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Die Weisungen des Nutzers sind grundsätzlich abschließend in diesem AVV festgelegt und dokumentiert. Einzelweisungen, die von den Festlegungen dieses AVV abweichen oder zusätzliche Anforderungen aufstellen, bedürfen einer vorherigen Zustimmung des Auftragnehmers; mündliche Weisungen bestätigt der Nutzer unverzüglich (mind. Textform). Der Nutzer übernimmt die etwaig durch die Einzelweisung bedingten Mehrkosten.

3.3 Der Auftragnehmer verarbeitet die Nutzer-Daten im Einklang mit den Weisungen des Nutzers. Ist der Auftragnehmer der Ansicht, dass eine Weisung des Nutzers gegen diesen AVV oder das geltende Datenschutzrecht verstößt, ist er nach einer entsprechenden Mitteilung an den Nutzer berechtigt, die Ausführung der Weisung bis zu einer Bestätigung der Weisung durch den Nutzer auszusetzen. Die Parteien stimmen darin überein, dass die alleinige Verantwortung für die weisungsgemäße Verarbeitung der Nutzer-Daten beim Nutzer liegt.

4. Verantwortlichkeit des Nutzers

4.1 Der Nutzer ist für die Rechtmäßigkeit der Verarbeitung der Nutzer-Daten sowie für die Wahrung der Rechte der Betroffenen im Verhältnis der Parteien zueinander allein verantwortlich. Sollten Dritte gegen den Auftragnehmer aufgrund der Verarbeitung von Nutzer-Daten nach Maßgabe dieses AVV Ansprüche geltend machen, wird der Nutzer den Auftragnehmer von allen solchen Ansprüchen auf erstes Anfordern freistellen.

4.2 Dem Nutzer obliegt es, dem Auftragnehmer die Nutzer-Daten rechtzeitig zur Leistungserbringung nach dem Hauptvertrag zur Verfügung zu stellen und er ist verantwortlich für die Qualität der Nutzer-Daten. Der Nutzer hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse des Auftragnehmers Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen oder seinen Weisungen feststellt.

4.3 Der Nutzer hat dem Auftragnehmer auf Anforderung die in Art. 30 Abs. 2 DSGVO genannten Angaben zur Verfügung zu stellen, soweit sie dem Auftragnehmer nicht selbst vorliegen.

4.4 Ist der Auftragnehmer gegenüber einer staatlichen Stelle oder einer Person verpflichtet, Auskünfte über die Verarbeitung von Nutzer-Daten zu erteilen oder mit diesen Stellen anderweitig zusammenzuarbeiten, so ist der Nutzer verpflichtet, den Auftragnehmer auf erstes Anfordern bei der Erteilung solcher Auskünfte bzw. der Erfüllung anderweitiger Verpflichtungen zur Zusammenarbeit zu unterstützen.

5. Anforderungen an Personal

Der Auftragnehmer hat alle Personen, die Auftraggeber-Daten verarbeiten, bezüglich der Verarbeitung von Auftraggeber-Daten zur Vertraulichkeit zu verpflichten.

6. Sicherheit der Verarbeitung

6.1 Der Auftragnehmer wird gemäß Art. 32 DSGVO erforderliche, geeignete technische und organisatorische Maßnahmen ergreifen, die unter Berücksichtigung des Standes der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung der Nutzer-Daten sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen erforderlich sind, um ein dem Risiko angemessenes Schutzniveau für die Nutzer-Daten zu gewährleisten.

6.2 Dem Auftragnehmer ist es gestattet, technische und organisatorische Maßnahmen während der Laufzeit des AVV zu ändern oder anzupassen, solange sie weiterhin den gesetzlichen Anforderungen genügen.

7. Inanspruchnahme weiterer Auftragsverarbeiter

7.1 Der Nutzer erteilt dem Auftragnehmer hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter hinsichtlich der Verarbeitung von Nutzer-Daten hinzuzuziehen. Weitere zum Zeitpunkt des Abschlusses des AVV konsultierte Auftragsverarbeiter ergeben sich aus Anhang 2. Generell nicht genehmigungspflichtig sind Vertragsverhältnisse mit Dienstleistern, die die Prüfung oder Wartung von Datenverarbeitungsverfahren oder -anlagen durch andere Stellen oder andere Nebenleistungen zum Gegenstand haben, auch wenn dabei ein Zugriff auf Nutzer-Daten nicht ausgeschlossen werden kann, solange der Auftragnehmer angemessene Regelungen zum Schutz der Vertraulichkeit der Nutzer-Daten trifft.

7.2 Der Auftragnehmer wird den Nutzer über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter informieren. Dem Nutzer steht im Einzelfall ein Recht zu, Einspruch gegen die Beauftragung eines potentiellen weiteren Auftragsverarbeiters zu erheben. Ein Einspruch darf vom Nutzer nur aus wichtigem, dem Auftragnehmer nachzuweisenden Grund erhoben werden. Soweit der Nutzer nicht innerhalb von 14 Tagen nach Zugang der Benachrichtigung Einspruch erhebt, erlischt sein Einspruchsrecht bezüglich der entsprechenden Beauftragung. Erhebt der Nutzer Einspruch, ist der Auftragnehmer berechtigt, den Hauptvertrag und diesen AVV mit einer Frist von 3 Monaten zu kündigen.

7.3 Der Auftragnehmer wird jedem weiteren Auftragsverarbeiter vertraglich dieselben Pflichten auferlegen, wie sie in Bezug auf Auftragnehmer gemäß diesem AVV festgelegt sind. Die Parteien stimmen überein, dass diese Anforderung erfüllt ist, wenn der Vertrag ein diesem AVV entsprechendes Schutzniveau aufweist bzw. dem weiteren Auftragsverarbeiter die in Art. 28 Abs. 3 DSGVO festgelegten Pflichten auferlegt sind.

7.4 Unter Einhaltung der Anforderungen der Ziffer 2.5 dieses AVV gelten die Regelungen in dieser Ziffer 7 auch, wenn ein weiterer Auftragsverarbeiter in einem Drittstaat eingeschaltet wird. Der Nutzer bevollmächtigt den Auftragnehmer hiermit, in Vertretung des Nutzers mit einem weiteren Auftragsverarbeiter einen Vertrag unter Einbeziehung der EU-Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern vom 5.2.2010 zu schließen. Der Nutzer erklärt sich bereit, an der Erfüllung der Voraussetzungen nach Art. 49 DSGVO im erforderlichen Maße mitzuwirken.

8. Rechte der betroffenen Personen

8.1 Der Auftragnehmer wird den Nutzer mit technischen und organisatorischen Maßnahmen im Rahmen des Zumutbaren und gegen Erstattung der dem Auftragnehmer hierdurch entstehenden nachzuweisenden Aufwände und Kosten dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der ihnen zustehenden Rechte betroffener Personen nachzukommen.

8.2 Soweit eine betroffene Person einen Antrag auf Wahrnehmung der ihr zustehenden Rechte unmittelbar gegenüber dem Auftragnehmer geltend macht, wird der Auftragnehmer dieses Ersuchen zeitnah an den Nutzer weiterleiten.

8.3 Der Auftragnehmer wird dem Nutzer Informationen über die gespeicherten Nutzer-Daten, die Empfänger von Nutzer-Daten, an die der Auftragnehmer sie auftragsgemäß weitergibt, und den Zweck der Speicherung mitteilen, sofern dem Nutzer diese Informationen nicht selbst vorliegen oder er sie sich selbst beschaffen kann.

8.4 Der Auftragnehmer wird es dem Nutzer ermöglichen, im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragnehmer hierdurch entstehenden nachzuweisenden Aufwände und Kosten, Nutzer-Daten zu berichtigen, zu löschen oder ihre weitere Verarbeitung einzuschränken oder auf Verlangen des Nutzers die Berichtigung, Sperrung oder Einschränkung der weiteren Verarbeitung selbst vornehmen, wenn und soweit das dem Nutzer selbst unmöglich ist.

8.5 Soweit die betroffene Person gegenüber dem Nutzer ein Recht auf Datenübertragbarkeit bezüglich der Auftraggeber-Daten nach Art. 20 DSGVO besitzt, wird der Auftragnehmer den Nutzer im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragnehmer hierdurch entstehenden nachzuweisenden Aufwände und Kosten bei der Bereitstellung der Nutzer-Daten in einem gängigen und maschinenlesbaren Format unterstützen, wenn der Nutzer sich die Daten nicht anderweitig beschaffen kann.

9. Mitteilungs- und Unterstützungspflichten des Auftragnehmers

9.1 Soweit den Nutzer eine gesetzliche Melde- oder Benachrichtigungspflicht wegen einer Verletzung des Schutzes von Nutzer-Daten (insbesondere nach Art. 33, 34 DSGVO) trifft, wird der Auftragnehmer den Nutzer zeitnah über etwaige meldepflichtige Ereignisse in seinem Verantwortungsbereich informieren. Der Auftragnehmer wird den Nutzer bei der Erfüllung der Melde- und Benachrichtigungspflichten auf dessen Ersuchen im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragnehmer hierdurch entstehenden nachzuweisenden Aufwände und Kosten unterstützen.

9.2 Der Auftragnehmer wird den Nutzer im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragnehmer hierdurch entstehenden nachzuweisenden Aufwände und Kosten bei etwa vom Nutzer durchzuführenden Datenschutz-Folgenabschätzungen und sich gegebenenfalls anschließenden Konsultationen der Aufsichtsbehörden nach Art. 35, 36 DSGVO unterstützen.

10. Datenlöschung

10.1 Der Auftragnehmer wird die Nutzer-Daten nach Beendigung dieses AVV löschen, sofern nicht gesetzlich eine Verpflichtung des Auftragnehmers zur weiteren Speicherung der Nutzer-Daten besteht.

10.2 Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung von Nutzer-Daten dienen, dürfen durch den Auftragnehmer auch nach Vertragsende aufbewahrt werden.

11. Nachweise und Überprüfungen

11.1 Der Auftragnehmer wird dem Nutzer auf dessen Anforderung alle erforderlichen und beim Auftragnehmer vorhandenen Informationen zum Nachweis der Einhaltung seiner Pflichten nach diesem AVV zur Verfügung stellen.

11.2 Der Nutzer ist berechtigt, den Auftragnehmer bezüglich der Einhaltung der Regelungen dieses AVV, insbesondere der Umsetzung der technischen und organisatorischen Maßnahmen, zu überprüfen; einschließlich durch Inspektionen.

11.3 Zur Durchführung von Inspektionen nach Ziffer 11.2 ist der Nutzer berechtigt, im Rahmen der üblichen Geschäftszeiten (montags bis freitags von 10 bis 18 Uhr) nach rechtzeitiger Vorankündigung gemäß Ziffer 11.5 auf eigene Kosten, ohne Störung des Betriebsablaufs und unter strikter Geheimhaltung von Betriebs- und Geschäftsgeheimnissen des Auftragnehmers die Geschäftsräume des Auftragnehmers zu betreten, in denen Nutzer-Daten verarbeitet werden.

11.4 Der Auftragnehmer ist berechtigt, nach eigenem Ermessen unter Berücksichtigung der gesetzlichen Verpflichtungen des Nutzers, Informationen nicht zu offenbaren, die sensibel im Hinblick auf die Geschäfte des Auftragnehmers sind oder wenn der Auftragnehmer durch deren Offenbarung gegen gesetzliche oder andere vertragliche Regelungen verstoßen würde. Der Nutzer ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragnehmers, zu Informationen hinsichtlich Kosten, zu Qualitätsprüfungs- und Vertrags-Managementberichten sowie zu sämtlichen anderen vertraulichen Daten des Auftragnehmers, die nicht unmittelbar relevant für die vereinbarten Überprüfungszwecke sind, zu erhalten.

11.5 Der Nutzer hat den Auftragnehmer rechtzeitig (in der Regel mindestens vier Wochen vorher) über alle mit der Durchführung der Überprüfung zusammenhängenden Umstände zu informieren. Der Nutzer darf eine Überprüfung pro Kalenderjahr durchführen. Weitere Überprüfungen erfolgen nach Abstimmung mit dem Auftragnehmer. Für die Ermöglichung von Kontrollen durch den Nutzer kann der Auftragnehmer einen Vergütungsanspruch geltend machen. Die Höhe der Vergütung ist vorab zu vereinbaren und orientiert sich an dem Stundensatz des/r für die Kontrolle abgestellten Mitarbeiter des Auftragnehmers bzw. Unterauftragnehmers.

11.6 Beauftragt der Nutzer einen Dritten, welcher kein Wettbewerber des Auftragnehmers sein darf, mit der Durchführung der Überprüfung, hat der Nutzer den Dritten schriftlich ebenso zu verpflichten, wie auch der Nutzer aufgrund von dieser Ziffer 11 dieses Vertrags gegenüber dem Auftragnehmer verpflichtet ist. Zudem hat der Nutzer den Dritten auf Verschwiegenheit und Geheimhaltung zu verpflichten, es sei denn, dass der Dritte einer beruflichen Verschwiegenheitsverpflichtung unterliegt. Auf Verlangen des Auftragnehmers hat der Nutzer ihm die Verpflichtungsvereinbarungen mit dem Dritten unverzüglich vorzulegen.

11.7 Nach Wahl des Auftragnehmers kann der Nachweis der Einhaltung der Pflichten nach diesem AVV anstatt durch eine Inspektion auch durch die Vorlage eines geeigneten, aktuellen Testats oder Berichts einer unabhängigen Instanz (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren oder Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit – z.B. nach BSI-Grundschutz – („Prüfungsbericht“) erbracht werden, wenn der Prüfungsbericht es dem Nutzer in angemessener Weise ermöglicht, sich von der Einhaltung der Vertragspflichten zu überzeugen.

12. Vertragsdauer und Kündigung

12.1 Die Laufzeit und Kündigung dieses AVV richtet sich nach den Bestimmungen zur Laufzeit und Kündigung des Hauptvertrags. Eine Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses AVV. Eine isolierte Kündigung dieses AVV ist ausgeschlossen.

13. Haftung

13.1 Für die Haftung des Auftragnehmers nach diesem AVV gelten die Haftungsausschlüsse und -begrenzungen gemäß dem Hauptvertrag. Soweit Dritte Ansprüche gegen den Auftragnehmer geltend machen, die ihre Ursache in einem schuldhaften Verstoß des Nutzers gegen diesen AVV oder gegen eine seiner Pflichten als datenschutzrechtlich Verantwortlicher haben, stellt der Nutzer den Auftragnehmer von diesen Ansprüchen auf erstes Anfordern frei.

13.2 Der Nutzer verpflichtet sich, den Auftragnehmer auch von allen etwaigen Geldbußen, die gegen den Auftragnehmer verhängt werden, in dem Umfang auf erstes Anfordern freizustellen, in dem der Nutzer Anteil an der Verantwortung für den durch die Geldbuße sanktionierten Verstoß trägt.

14. Schlussbestimmungen

14.1 Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden oder eine Lücke enthalten, so bleiben die übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine solche gesetzlich zulässige Regelung zu treffen, die dem Zweck der unwirksamen Regelung am nächsten kommt und dabei den Anforderungen des Art. 28 DSGVO genügt.

14.2 Im Fall von Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen zwischen den Parteien, insbesondere dem Hauptvertrag, gehen die Regelungen dieses AVV vor.

Anhang 1: Art der Daten und Kategorien der betroffenen Personen

Art der Daten: Kommunikationsdaten (z. B. Telefon, E-Mail), Vertragsstammdaten, Protokolldaten, Personenstammdaten

Kategorien: Angestellte, Dienstleister und Lieferanten

Anhang 2:

Blue Performance GmbH
Brienner Straße 45d
80333 München - Deutschland
Telefon: +49 (89) 6931471 - 80
E-Mail: hi@cardeleine.com
www.cardeleine.com