Auftragsverarbeitungsvertrag

Vertragsparteien

Dieser Vertrag wird geschlossen zwischen der Kundin oder dem Kunden von WhatTheySay (nachfolgend „Verantwortlicher“) und der next levels GmbH, TODO: Anschrift wie im Impressum (nachfolgend „Auftragsverarbeiterin“). Er konkretisiert die Pflichten aus Art. 28 DSGVO für die Verarbeitungen, die die Auftragsverarbeiterin im Rahmen des Hauptvertrags über die Nutzung von WhatTheySay erbringt.

1. Gegenstand, Dauer und Zweck

1. Gegenstand ist die Verarbeitung personenbezogener Daten, die für die Erbringung der im Hauptvertrag beschriebenen Leistungen erforderlich ist: das Abrufen und Speichern öffentlich zugänglicher Bewertungen und Erwähnungen, deren Einordnung nach den Richtlinien der Portale, der Betrieb des Feedback-Funnels, Benachrichtigungen, der Versand von E-Mails an vom Verantwortlichen bestimmte Empfänger sowie Auswertungen.
2. Die Verarbeitung erfolgt ausschließlich zu diesen Zwecken. Eine Nutzung für eigene Zwecke der Auftragsverarbeiterin findet nicht statt.
3. Die Dauer entspricht der Laufzeit des Hauptvertrags. Nach dessen Ende gilt Ziffer 9.
4. Die Verarbeitung findet in der Europäischen Union statt, vorbehaltlich Ziffer 11.

2. Art der Daten und betroffene Personen

Verarbeitet werden folgende Arten personenbezogener Daten:

• Angaben aus öffentlich zugänglichen Bewertungen und Beiträgen: angezeigter Autorenname beziehungsweise Profilname, Sternebewertung, Text, Datum, Link, öffentlich sichtbare Reaktionen.
• Angaben aus dem Feedback-Funnel: Bewertung, Freitext sowie freiwillig angegebene Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer).
• Kommunikationsdaten: Empfängeradressen, Betreff, Inhalt, Versandstatus und Abmeldungen der versendeten E-Mails.
• Nutzungsdaten der Beschäftigten des Verantwortlichen: Name, E-Mail-Adresse, Rolle, Anmeldezeitpunkte, Bearbeitungsverlauf.

Kategorien betroffener Personen sind:

• Personen, die Bewertungen oder Beiträge veröffentlicht haben,
• Gäste und Endkundinnen oder Endkunden des Verantwortlichen,
• Beschäftigte des Verantwortlichen, die WhatTheySay nutzen.

Daten besonderer Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Sie können in Bewertungstexten enthalten sein, die betroffene Personen selbst veröffentlicht haben; die Auftragsverarbeiterin erhebt sie nicht gezielt und wertet sie nicht gesondert aus.

3. Weisungen

1. Die Auftragsverarbeiterin verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Einstellungen, die der Verantwortliche in der Anwendung vornimmt, gelten als Weisung.
2. Weitere Weisungen sind in Textform an datenschutz@repops.de zu richten.
3. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.
4. Eine Verarbeitung aufgrund einer Rechtsvorschrift der Union oder eines Mitgliedstaats bleibt zulässig; die Auftragsverarbeiterin informiert vorab, sofern das Recht dies nicht verbietet.

4. Vertraulichkeit

Die Auftragsverarbeiterin setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus. Die eingesetzten Personen werden regelmäßig zum Datenschutz unterwiesen.

5. Technische und organisatorische Maßnahmen

Die Auftragsverarbeiterin trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der jeweils aktuelle Stand umfasst insbesondere:

• Mandantentrennung: Die Daten jedes Kunden sind zusätzlich zur Anwendungsebene direkt in der Datenbank durch Row-Level Security getrennt. Ein Zugriff ohne gültigen Mandantenbezug ist auf Datenbankebene ausgeschlossen.
• Verschlüsselung: Transportverschlüsselung (TLS) für alle Verbindungen; Zugangsdaten zu Mailkonten und Schnittstellen werden verschlüsselt gespeichert und nie im Klartext ausgegeben; Passwörter nur als Hashwert.
• Zugriffskontrolle: rollenbasierte Berechtigungen, Least-Privilege-Rollen auf Datenbankebene, persönliche Konten ohne Sammelzugänge.
• Protokollierung: Zugriffe der Plattform- Administration auf Kundendaten werden protokolliert; automatisch versendete E-Mails werden mit Regel, Empfänger und Zeitpunkt aufgezeichnet.
• Verfügbarkeit: regelmäßige Sicherungen mit geprüfter Wiederherstellung, Trennung von Test- und Produktivumgebung, Überwachung von Fehlern und Warteschlangen.
• Löschkonzept: automatische Löschung der Rohdaten nach 90 Tagen und vollständige Löschung eines gekündigten Arbeitsbereichs 30 Tage nach Vertragsende.

Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Eine ausführliche Beschreibung stellt die Auftragsverarbeiterin auf Anfrage bereit (TODO: Anlage TOM als eigenes Dokument ergänzen).

6. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der unten genannten Unterauftragsverarbeiter.
2. Beabsichtigte Änderungen teilt die Auftragsverarbeiterin mindestens 30 Tage vorher in Textform mit. Der Verantwortliche kann innerhalb von 14 Tagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Lässt sich der Widerspruch nicht mit vertretbarem Aufwand ausräumen, kann jede Seite den Hauptvertrag zum Wirksamkeitszeitpunkt der Änderung kündigen.
3. Die Auftragsverarbeiterin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

Dieselbe Liste findet sich in der Datenschutzerklärung.

7. Unterstützung bei Betroffenenrechten

1. Wendet sich eine betroffene Person unmittelbar an die Auftragsverarbeiterin, leitet diese die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
2. Die Auftragsverarbeiterin unterstützt den Verantwortlichen mit geeigneten technischen Mitteln bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und Widerspruchsverlangen. Die Anwendung erlaubt dafür die Suche nach E-Mail-Adresse und nach dem Anzeigenamen einer Bewertung sowie das Löschen einzelner Datensätze.
3. Für Unterstützungsleistungen, die über die in der Anwendung vorhandenen Funktionen deutlich hinausgehen, kann eine angemessene Vergütung vereinbart werden.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Die Auftragsverarbeiterin meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und ergriffene Maßnahmen.
3. Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei Meldungen nach Art. 33 und 34 DSGVO sowie bei Datenschutz-Folgenabschätzungen und Konsultationen nach Art. 35 und 36 DSGVO.

9. Löschung und Rückgabe

1. Nach Ende des Hauptvertrags bleibt der Export der Daten 30 Tage lang möglich.
2. Nach Ablauf dieser Frist löscht die Auftragsverarbeiterin die Daten des Arbeitsbereichs vollständig, einschließlich der Kopien in den Sicherungen im Rahmen des dortigen Rotationszyklus.
3. Rohdaten der Portalabrufe werden unabhängig davon nach 90 Tagen automatisch gelöscht.
4. Unberührt bleiben gesetzliche Aufbewahrungspflichten. Betroffene Daten werden in diesem Fall in der Verarbeitung eingeschränkt.

10. Nachweise und Kontrollen

1. Die Auftragsverarbeiterin stellt dem Verantwortlichen auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen.
2. Der Verantwortliche kann Überprüfungen nach angemessener Vorankündigung während der üblichen Geschäftszeiten durchführen oder durch eine unabhängige, vertraulich verpflichtete Person durchführen lassen. Der Betrieb darf dadurch nicht unangemessen beeinträchtigt werden.
3. Vorhandene Prüfberichte oder Zertifikate können zum Nachweis herangezogen werden.

11. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU und des EWR findet nur bei den in Ziffer 6 genannten Stellen und nur auf Grundlage geeigneter Garantien statt: die Standardvertragsklauseln der EU-Kommission, ergänzt um zusätzliche Maßnahmen, und — soweit die Stelle dort zertifiziert ist — der Angemessenheitsbeschluss zum EU-US Data Privacy Framework.

12. Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht. Der Hauptvertrag ergibt sich aus den Allgemeinen Geschäftsbedingungen.
3. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
4. Es gilt deutsches Recht.

Fragen zu diesem Dokument

Schreib uns, wenn etwas unklar ist oder du eine unterschriebene Fassung brauchst. datenschutz@repops.de