Auftragsverarbeitungsvertrag

zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und Jonathan Oehmke, Geschäftsbezeichnung „Convayo“, Bruchfeld 87, 47809 Krefeld (nachfolgend „Auftragsverarbeiter“).

§ 1 Gegenstand, Geltung und Dauer

(1) Der Auftragsverarbeiter stellt dem Auftraggeber die Plattform Convayo nach den AGB bereit. Dabei verarbeitet er personenbezogene Daten, für die der Auftraggeber Verantwortlicher ist, ausschließlich in dessen Auftrag. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien.

(2) Der Vertrag wird mit Einbeziehung der AGB wirksam und gilt, solange der Auftragsverarbeiter personenbezogene Daten für den Auftraggeber verarbeitet. Er gilt nicht, soweit der Auftraggeber die Plattform ausschließlich für persönliche oder familiäre Tätigkeiten nutzt und die DSGVO deshalb nach Art. 2 Abs. 2 lit. c DSGVO keine Anwendung findet; der Auftragsverarbeiter wendet die hier beschriebenen Schutzmaßnahmen dennoch an.

(3) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.

§ 2 Art, Zweck und Umfang der Verarbeitung

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vorher mit, sofern das Gesetz dies nicht verbietet. Die Weisungen sind abschließend durch die AGB, diesen Vertrag und die Einstellungen und Aktionen des Auftraggebers in der Plattform festgelegt. Einzelweisungen erteilt der Auftraggeber in Textform.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(3) Erstellt der Auftraggeber einen persönlichen Link für einen Dienstleister oder Helfer, gilt dies als Weisung, diesem Empfänger die vom Auftraggeber freigegebenen Daten bereitzustellen. Der Auftraggeber stellt sicher, dass er die Daten an den Empfänger weitergeben darf; Zusammenfassungen zu Allergien und Ernährung stellt der Auftragsverarbeiter nur ohne Personenbezug bereit.

§ 4 Pflichten des Auftragsverarbeiters

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an; das Schutzniveau darf dabei nicht unterschritten werden.
• Er unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO). Die Plattform stellt dafür insbesondere Export, Berichtigung und Löschung bereit. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
• Er unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
• Er meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
• Er verarbeitet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, und gibt sie nicht an Dritte weiter, soweit dieser Vertrag nichts anderes bestimmt.
• Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen nicht vorliegen. Ansprechpartner für den Datenschutz ist hallo@convayo.de.

§ 5 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage, die Information der betroffenen Personen und – bei Gesundheitsdaten – eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

Der Auftraggeber verpflichtet eingeladene Dienstleister und Helfer, die ihnen bereitgestellten Daten vertraulich zu behandeln und nur für die Durchführung der Veranstaltung zu nutzen.

Nutzt der Auftraggeber den Agenturtarif, um Daten im Auftrag eigener Kunden zu verarbeiten, ist er gegenüber diesen Kunden Auftragsverarbeiter und Convayo insoweit weiterer Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO). Der Auftraggeber stellt sicher, dass er mit seinen Kunden einen Vertrag zur Auftragsverarbeitung geschlossen hat, der den Einsatz von Convayo erlaubt, und gibt Weisungen seiner Kunden an Convayo weiter. Für an den Kunden übergebene Workspaces wird der Kunde selbst Auftraggeber.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den betroffenen Vertrag zum Zeitpunkt der Änderung kündigen; im Voraus gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die sich aus diesem Vertrag ergeben, und haftet für dessen Einhaltung gegenüber dem Auftraggeber.

§ 7 Verarbeitung außerhalb der EU

Eine Verarbeitung in Drittländern findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework für zertifizierte Empfänger) oder der EU-Standardvertragsklauseln mit ergänzenden Schutzmaßnahmen. Die betroffenen Unterauftragsverarbeiter sind in Anlage 2 gekennzeichnet.

§ 8 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1 und Nachweise seiner Unterauftragsverarbeiter (z. B. Zertifikate, Prüfberichte). Darüber hinaus ermöglicht er Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Anmeldung (in der Regel vier Wochen), zu den üblichen Geschäftszeiten und ohne Störung des Betriebs. Der Auftraggeber trägt die Kosten seiner Überprüfung.

§ 9 Löschung und Rückgabe

(1) Der Auftraggeber kann Daten jederzeit selbst in der Plattform exportieren und löschen. Nach Ende des Vertrags oder bei Löschung des Kontos bzw. Bereichs löscht der Auftragsverarbeiter die Daten des Auftraggebers, soweit nicht eine gesetzliche Pflicht zur Speicherung besteht. Daten in Sicherungskopien werden mit deren regulärem Ablauf überschrieben.

(2) Auf Wunsch stellt der Auftragsverarbeiter dem Auftraggeber vor der Löschung die Daten in einem gängigen maschinenlesbaren Format bereit, soweit der Auftraggeber dies nicht selbst über die Exportfunktionen erledigen kann.

§ 10 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Änderungen dieses Vertrags erfolgen nach den Regeln der AGB zur Änderung. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2: Unterauftragsverarbeiter

Mollie B.V. (Zahlungen) und Google (Anmeldung mit Google, Google Wallet) sind keine Unterauftragsverarbeiter für Daten des Auftraggebers, sondern werden nur für eigene Vorgänge des Auftragsverarbeiters bzw. auf ausdrücklichen Klick der betroffenen Person tätig.