Auftragsverarbeitungsvertrag

Diese Vereinbarung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Nutzung der Plattform Inkboard nach Maßgabe der Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag") zwischen

dem Kunden – dem jeweiligen Studio, das einen Inkboard-Account nutzt – als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher")

und

Luka Nico Holtzmann, Holtzmann Automation

Hauptstraße 186, 77966 Kappel-Grafenhausen, Deutschland

als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter").

Der Verantwortliche entscheidet allein über Zweck und Mittel der Verarbeitung der von ihm in die Plattform eingestellten personenbezogenen Daten. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich für den Verantwortlichen.

Nicht Gegenstand dieses AVV ist die Verarbeitung von Daten, für die der Auftragsverarbeiter selbst Verantwortlicher ist – insbesondere Account-Stammdaten des Studios, Abrechnungsdaten sowie Nutzungs- und Protokolldaten zum Betrieb der Plattform. Hierfür gilt die Datenschutzerklärung.

Die annehmende Person versichert, zur Vertretung des Verantwortlichen berechtigt zu sein und bestätigt, dass der Verantwortliche Unternehmer im Sinne des § 14 BGB ist (vgl. § 3 des Hauptvertrages).

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Software-as-a-Service-Plattform Inkboard zur Organisation des Studiobetriebs sowie die damit zwangsläufig verbundene Verarbeitung personenbezogener Daten der in § 3 genannten Personengruppen.

Dauer: Die Vereinbarung beginnt mit ihrer Annahme und läuft für die Dauer des Hauptvertrages. Sie endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten nach § 11 (Löschung und Rückgabe) sowie die Vertraulichkeitspflichten nach § 5 bestehen über das Vertragsende hinaus fort.

Der Verantwortliche kann diese Vereinbarung jederzeit kündigen, wenn und soweit er den Hauptvertrag kündigt. Eine isolierte Kündigung dieses AVV bei fortbestehendem Hauptvertrag ist nicht möglich, da die Leistung ohne Verarbeitung nicht erbracht werden kann.

Die Verarbeitung erfolgt ausschließlich zur Erbringung der im Hauptvertrag beschriebenen Leistungen. Sie umfasst insbesondere folgende Verarbeitungstätigkeiten:

a) Anfragen- und Kundenverwaltung: Erfassung, Speicherung, Strukturierung und Auswertung von Anfragen (Webformular, Buchungsseite, Nachrichtenkanäle) sowie Pflege von Kundenprofilen und Verlaufsdaten.

b) Termin- und Buchungsverwaltung: Anlage, Änderung, Absage und Erinnerung von Terminen; Verfügbarkeitsberechnung; optionale Synchronisation mit einem vom Verantwortlichen verbundenen Kalender.

c) Einverständniserklärungen und Dokumentation: Bereitstellung digitaler Formulare, Erfassung von Angaben und Unterschriften, revisionssichere Ablage der zum Zeitpunkt der Unterzeichnung geltenden Erklärungstexte sowie Dokumentation durchgeführter Behandlungen.

d) Kommunikation: Versand von Transaktions- und Benachrichtigungs-E-Mails im Namen des Verantwortlichen sowie – soweit aktiviert – Empfang und Versand von Nachrichten über verbundene Nachrichtenkanäle.

e) Automatisierte Vorbewertung von Anfragen: Erstellung von Einschätzungen und Antwortentwürfen mittels KI-gestützter Verfahren. Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt; die Ergebnisse sind Vorschläge und werden vom Verantwortlichen geprüft.

An den KI-Dienst werden ausschließlich der Inhalt der jeweiligen Anfrage bzw. Nachricht sowie allgemeine Angaben zum Studio übermittelt. Name, E-Mail-Adresse und Telefonnummer der betroffenen Person werden nicht an den KI-Dienst übermittelt. Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO werden nicht Gegenstand der KI-gestützten Verarbeitung.

f) Kundenbindung und Abrechnungsvorbereitung: Verwaltung von Gutscheinen, Treuepunkten und Belohnungen sowie Aufbereitung bestätigter Umsätze für die Buchhaltung des Verantwortlichen.

g) Betrieb, Sicherung und Support: Hosting, Datensicherung, Fehleranalyse und Support. Ein Zugriff auf Klardaten erfolgt dabei nur, soweit dies zur Störungsbeseitigung erforderlich ist.

Kategorien betroffener Personen:

– Interessentinnen und Interessenten des Verantwortlichen (Anfragen);
– Kundinnen und Kunden des Verantwortlichen;
– gesetzliche Vertreterinnen und Vertreter minderjähriger Kundinnen und Kunden;
– Beschäftigte und mitarbeitende Artists des Verantwortlichen, soweit sie als Nutzer angelegt sind.

Arten der verarbeiteten Daten:

– Stamm- und Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, ggf. Anschrift, ggf. Messenger-Kennungen);
– Geburtsdatum und daraus abgeleitete Altersangaben;
– Ausweis- bzw. Identifikationsnummer, sofern von der betroffenen Person freiwillig eingetragen, ausschließlich zum Nachweis der Alters- und Identitätsprüfung durch den Verantwortlichen;
– Termin-, Sitzungs- und Verlaufsdaten (Datum, Dauer, Leistung, zuständige Person);
– Inhalte von Anfragen und Nachrichten einschließlich übermittelter Referenzbilder;
– Angaben aus Einverständniserklärungen einschließlich Unterschriftenbild;
– Behandlungs- und Dokumentationsdaten (z. B. verwendete Materialien, Pflegehinweise, Fotos der behandelten Körperstelle);
– umsatzbezogene Angaben zu erbrachten Leistungen sowie Gutschein- und Treuedaten;
– Nutzungs- und Protokolldaten, soweit sie zur Erbringung der Leistung anfallen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Den Parteien ist bewusst, dass im Rahmen von Einverständniserklärungen und Behandlungsdokumentationen Gesundheitsangaben (z. B. Angaben zu Vorerkrankungen, Allergien, Medikamenteneinnahme, Schwangerschaft) sowie Aufnahmen der behandelten Körperstelle verarbeitet werden können. Diese Daten unterliegen einem erhöhten Schutzniveau.

Der Verantwortliche stellt sicher, dass für die Verarbeitung solcher Daten eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt, insbesondere eine ausdrückliche Einwilligung der betroffenen Person. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich im Rahmen der technischen Leistungserbringung und wertet sie nicht inhaltlich aus.

Daten Minderjähriger: Soweit der Verantwortliche Minderjährige behandelt, werden auch deren Daten sowie Daten der gesetzlichen Vertretung verarbeitet. Die Prüfung des Alters, der Identität und der Vertretungsbefugnis obliegt allein dem Verantwortlichen; die Plattform stellt hierfür lediglich Dokumentationsfunktionen bereit.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Erstweisung ergibt sich aus dem Hauptvertrag und diesem AVV. Weitergehende Weisungen erteilt der Verantwortliche in Textform an die in § 13 genannte Kontaktadresse. Die Nutzung der Konfigurationsmöglichkeiten der Plattform durch den Verantwortlichen gilt ebenfalls als Weisung.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis diese bestätigt oder geändert wird.

Der Auftragsverarbeiter verarbeitet die Daten vertraulich. Er stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und dass sie mit den einschlägigen Datenschutzbestimmungen vertraut sind.

Der Kreis der zugriffsberechtigten Personen ist auf das für die Leistungserbringung erforderliche Minimum beschränkt.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Zum Zeitpunkt des Vertragsschlusses sind dies insbesondere:

a) Vertraulichkeit und Zugriffskontrolle. Zugang zur Plattform nur nach Authentifizierung. Rollenbasierte Rechtevergabe (Inhaber, Artist, Administration). Mandantentrennung auf Datenbankebene durch zeilenbasierte Sicherheitsregeln („Row Level Security"), sodass ein Account grundsätzlich nur auf die Daten des eigenen Studios zugreifen kann. Administrative Schlüssel werden ausschließlich serverseitig verwendet und gelangen nicht in den Browser.

b) Verschlüsselung. Transportverschlüsselung (TLS) für sämtliche Verbindungen. Verschlüsselung der Daten im Ruhezustand auf Ebene der eingesetzten Infrastruktur. Zugangstokens verbundener Drittdienste werden zusätzlich anwendungsseitig verschlüsselt gespeichert (AES-256-GCM).

c) Schutz besonders sensibler Inhalte. Kunden- und Dokumentationsfotos werden in nicht öffentlich zugänglichen Speicherbereichen abgelegt und ausschließlich über kurzlebige, signierte Links ausgeliefert.

d) Verfügbarkeit und Belastbarkeit. Betrieb auf redundanter Cloud-Infrastruktur mit automatisierter, mindestens täglicher Sicherung der Datenbank und der Möglichkeit der Wiederherstellung; die Sicherungen werden sieben Tage vorgehalten. Bild-, Video- und sonstige Mediendateien sind von der Sicherung nicht umfasst; insoweit obliegt die Sicherung dem Verantwortlichen (vgl. § 15 des Hauptvertrages).

e) Datenlokalisierung. Die Datenbank, die Dateiablage und die Automatisierungsumgebung werden in Rechenzentren innerhalb der Europäischen Union betrieben (Datenbank und Dateiablage: Frankfurt am Main; Automatisierung: Nürnberg).

f) Trennungskontrolle. Trennung von Produktiv- und Testdaten; Testkonten sind als solche gekennzeichnet und von Auswertungen ausgenommen.

g) Protokollierung und Nachvollziehbarkeit. Protokollierung sicherheitsrelevanter Vorgänge. Ein Support-Zugriff auf einen Studio-Account ist nur über ein zeitlich befristetes, einmalig verwendbares und protokolliertes Verfahren möglich; er kann wahlweise auf lesenden Zugriff beschränkt werden. Die Protokolle dieser Support-Zugriffe werden sieben Tage vorgehalten.

h) Fehler- und Störungserkennung. Technische Fehler werden systematisch erfasst, um stille Fehlfunktionen erkennbar zu machen.

i) Datensparsamkeit bei besonderen Kategorien (Data Protection by Design). Angaben aus Einverständniserklärungen (insbesondere Anamnese-, Aufklärungs- und Einwilligungsdaten), Unterschriftenbilder sowie die Behandlungsdokumentation einschließlich Fotos der behandelten Körperstelle werden ausschließlich innerhalb der Plattform (Datenbank und Dateiablage) verarbeitet. Diese Daten werden nicht an KI-Dienste (§ 2 e), an verbundene Kalender (§ 7) oder an den E-Mail-Versanddienst übermittelt. Sitzungsfotos werden ausschließlich dem Verantwortlichen innerhalb der Plattform angezeigt; eine Funktion, mit der der Auftragsverarbeiter solche Aufnahmen an die betroffene Person übermittelt, besteht nicht. Gibt der Verantwortliche eine Aufnahme an die betroffene Person weiter, geschieht dies durch ihn selbst und außerhalb der Plattform.

Der Auftragsverarbeiter ist berechtigt, die Maßnahmen weiterzuentwickeln, solange das Schutzniveau nicht unterschritten wird. Eine jeweils aktuelle Darstellung wird dem Verantwortlichen auf Anfrage zur Verfügung gestellt.

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO, die nachstehenden Unterauftragsverarbeiter einzusetzen. Mit jedem von ihnen bestehen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen.

Supabase Pte. Ltd – Datenbank, Authentifizierung, Dateispeicher, Echtzeitsynchronisation. Verarbeitet sämtliche in der Plattform gespeicherten Daten. Verarbeitungsort: Frankfurt am Main (EU).

Vercel Inc. – Hosting und Auslieferung der Anwendung. Verarbeitet Verbindungs- und Protokolldaten sowie die im Rahmen von Anfragen übermittelten Inhalte. Sitz USA; zertifiziert nach dem EU-US Data Privacy Framework.

Elestio limited – Betrieb der Automatisierungsumgebung (n8n). Verarbeitet diejenigen Daten, die im jeweiligen automatisierten Ablauf erforderlich sind (z. B. Name und Kontaktdaten für den Versand einer Terminerinnerung). Das Hosting erfolgt über den Unterauftragsverarbeiter netcup GmbH; Verarbeitungsort: Nürnberg (Deutschland, EU).

Plus Five Five, Inc. (Resend) – Versand von Transaktions- und Benachrichtigungs-E-Mails. Verarbeitet E-Mail-Adresse, Name und Inhalt der jeweiligen Nachricht. Sitz USA; Übermittlung auf Grundlage geeigneter Garantien nach Art. 46 DSGVO.

OpenAI Ireland Limited – KI-gestützte Vorbewertung von Anfragen und Erstellung von Antwortentwürfen. Verarbeitet den Inhalt der jeweiligen Anfrage einschließlich darin enthaltener Kontaktangaben. Die Daten werden nicht zum Training der Modelle verwendet. Übermittlung auf Grundlage geeigneter Garantien nach Art. 46 DSGVO.

Neben der KI-gestützten Vorbewertung von Anfragen nutzt die Plattform OpenAI für eine integrierte Bedienhilfe für Studio-Nutzer:innen. Übermittelt werden ausschließlich die Frage der Nutzerin bzw. des Nutzers (höchstens 500 Zeichen), Handbuch-Auszüge sowie Funktionsschalter des Studios. Kunden- bzw. Endkundendaten sowie besondere Kategorien nach Art. 9 DSGVO werden über diesen Weg nicht übermittelt.

Google Cloud EMEA Limited (optional). Nur wenn der Verantwortliche die Kalendersynchronisation aktiviert. In den Google-Kalender des Verantwortlichen werden Termindaten geschrieben: die Bezeichnung des Termins mit Leistungsart und Namen der betroffenen Person, Beginn und Ende sowie der zugeordnete Artist als Teilnehmer; bei Online-Buchungen zusätzlich die E-Mail-Adresse der betroffenen Person als Teilnehmer (ohne Benachrichtigung durch Google) und deren Freitextangabe zum gewünschten Motiv; bei im Studio angelegten Terminen der Text der Anfrage, die KI-Zusammenfassung, Beratungsnotizen und ein genanntes Preisangebot als Terminbeschreibung. Umgekehrt liest die Synchronisation aus diesem Kalender Termine mit externen Teilnehmern (E-Mail-Adresse, Anzeigename, Terminbezeichnung), um Selbstbuchungen als Anfrage zu übernehmen. Sitz Irland (EU).

Bei der optionalen Kalendersynchronisation werden keine Angaben aus Einverständniserklärungen, keine Anamnese- oder sonstigen Gesundheitsdaten und keine Behandlungsfotos in den verbundenen Kalender übertragen. Übertragen werden ausschließlich die zur Terminorganisation erforderlichen Angaben. Der Verantwortliche kann durch entsprechende Konfiguration steuern, welche Felder (z. B. Freitextnotizen, Preisangaben) in den Kalender geschrieben werden; die Aktivierung der Kalendersynchronisation gilt als Weisung im Sinne des § 4.

Das Vertragsverhältnis über die Nutzung des Google-Kontos einschließlich der Verarbeitung der darin gespeicherten Daten besteht unmittelbar zwischen dem Verantwortlichen und Google; der Auftragsverarbeiter handelt insoweit ausschließlich als technischer Vermittler auf Weisung des Verantwortlichen.

WhatsApp Ireland Limited (optional). Nur wenn der Verantwortliche den Nachrichtenkanal WhatsApp aktiviert. Verarbeitet die über diesen Kanal ausgetauschten Nachrichteninhalte und Kennungen (insbesondere die Telefonnummer).

Meta Platforms Ireland Limited (optional). Nur wenn der Verantwortliche den Nachrichtenkanal Instagram aktiviert. Verarbeitet die über diesen Kanal ausgetauschten Nachrichteninhalte und Kennungen (insbesondere die Instagram-Kennung und den öffentlichen Benutzernamen).

Soweit Meta die über WhatsApp oder Instagram ausgetauschten Daten zu eigenen Zwecken verarbeitet (insbesondere Plattformbetrieb, Sicherheit und Produktverbesserung), handelt Meta insoweit als eigener Verantwortlicher bzw. gemeinsam mit dem Verantwortlichen im Sinne des Art. 26 DSGVO; diese Verarbeitung ist nicht Gegenstand dieses AVV. Für den Empfang und die Beantwortung von Nachrichten innerhalb der Plattform handelt der Auftragsverarbeiter ausschließlich auf Weisung des Verantwortlichen.

Push-Dienste der Betriebssystem- und Browserhersteller (optional). Nur wenn Nutzerinnen und Nutzer des Verantwortlichen Push-Benachrichtigungen auf ihren Geräten aktivieren. Ausgeliefert wird der Benachrichtigungsinhalt an den vom jeweiligen Gerät vergebenen Zustellpunkt; der Inhalt ist dabei verschlüsselt und kann ausschließlich auf dem Empfangsgerät entschlüsselt werden. Anbieter sind – je nach verwendetem Betriebssystem bzw. Browser – insbesondere Apple, Google und Mozilla.

Nicht als Unterauftragsverarbeiter gilt der Zahlungsdienstleister Stripe: Er verarbeitet ausschließlich die Abrechnungsdaten des Verantwortlichen gegenüber dem Auftragsverarbeiter, nicht jedoch Daten, die im Auftrag des Verantwortlichen verarbeitet werden. Insoweit ist der Auftragsverarbeiter selbst Verantwortlicher.

Änderungen: Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor der Beauftragung eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Erhält der Auftragsverarbeiter von einem Unterauftragsverarbeiter selbst eine kürzere Vorankündigung, informiert er den Verantwortlichen unverzüglich nach eigener Kenntnis. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Im Fall eines berechtigten Widerspruchs, der eine Leistungserbringung unmöglich macht, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung zu kündigen.

Die Kernverarbeitung (Datenbank, Dateispeicher, Automatisierung) findet innerhalb der Europäischen Union statt. Soweit einzelne Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU bzw. des EWR verarbeiten, erfolgt dies ausschließlich auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO. Dies sind insbesondere: (a) eine gültige Angemessenheitsentscheidung der Europäischen Kommission, einschließlich der Zertifizierung des jeweiligen Empfängers nach dem EU-US Data Privacy Framework (Durchführungsbeschluss der Kommission vom 10. Juli 2023), oder (b) die Standardvertragsklauseln der Europäischen Kommission, erforderlichenfalls ergänzt um zusätzliche Schutzmaßnahmen.

Werden Push-Benachrichtigungen genutzt, wird der Benachrichtigungstext technisch notwendig über den Push-Dienst des jeweiligen Betriebssystem- bzw. Browserherstellers ausgeliefert. Dabei werden keine besonderen Kategorien personenbezogener Daten übertragen; der Benachrichtigungsinhalt beschränkt sich auf die zur Information erforderlichen Angaben. Der Verantwortliche kann die Push-Funktion deaktivieren. Die betreffenden Push-Dienste sind in der Übersicht der Unterauftragsverarbeiter (§ 7) als optionale Empfänger gekennzeichnet.

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von dessen Pflichten.

a) Betroffenenrechte (Art. 12–23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst. Die Plattform stellt dem Verantwortlichen Funktionen zur Auskunft, Berichtigung, Löschung und Datenübertragbarkeit bereit, insbesondere einen Export der studiobezogenen Daten in einem gängigen Format.

b) Datenschutzverletzungen (Art. 33, 34 DSGVO). Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel binnen 24 Stunden ab eigener Kenntnis, in Textform. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten.

c) Datenschutz-Folgenabschätzung (Art. 35, 36 DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen die ihm vorliegenden Informationen zur Verfügung, die dieser für eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation der Aufsichtsbehörde benötigt.

d) Sicherheit (Art. 32 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Gewährleistung der Sicherheit der Verarbeitung im Rahmen der in § 6 beschriebenen Maßnahmen.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung zu überprüfen. Die Überprüfung erfolgt vorrangig durch Einholung von Auskünften sowie durch Vorlage einer aktuellen Beschreibung der technischen und organisatorischen Maßnahmen oder – soweit vorhanden – geeigneter Zertifizierungen und Prüfberichte.

Soweit dies zur Erfüllung gesetzlicher Prüfpflichten erforderlich ist, kann der Verantwortliche nach rechtzeitiger Ankündigung in angemessener Frist während der üblichen Geschäftszeiten eine Überprüfung vor Ort vornehmen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Auftragsverarbeiter im Wettbewerb stehenden Prüfer vornehmen lassen. Der Betriebsablauf darf dadurch nicht unangemessen beeinträchtigt werden. Für einen über den gesetzlich geschuldeten Umfang hinausgehenden Aufwand kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück.

Der Verantwortliche kann seine Daten bis zum Vertragsende jederzeit selbst über die Exportfunktion der Plattform beziehen. Nach Vertragsende stellt der Auftragsverarbeiter den Export für einen Zeitraum von 30 Tagen auf Anfrage bereit. Nach Ablauf dieser Frist werden die Daten innerhalb von weiteren 90 Tagen aus den Produktivsystemen gelöscht; Datensicherungen werden im Rahmen der regulären Sicherungszyklen überschrieben.

Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese werden für die Dauer der Aufbewahrungsfrist gesperrt und ausschließlich zu diesem Zweck verarbeitet.

Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er stellt insbesondere sicher, dass:

– für die in die Plattform eingestellten Daten eine tragfähige Rechtsgrundlage besteht, bei besonderen Kategorien personenbezogener Daten insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO;
– die betroffenen Personen ordnungsgemäß nach Art. 13, 14 DSGVO informiert werden;
– bei Minderjährigen die Einwilligung der gesetzlichen Vertretung eingeholt und deren Vertretungsbefugnis geprüft wird;
– Zugangsdaten und Nutzerrechte innerhalb seines Betriebs sorgfältig vergeben und entzogen werden;
– vor Vertragsende erforderliche Datenexporte vorgenommen werden.

Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten für die eigene Verarbeitung; der Auftragsverarbeiter führt das Verzeichnis nach Art. 30 Abs. 2 DSGVO für die Verarbeitung im Auftrag.

Für die Haftung gelten die Regelungen des Hauptvertrages sowie Art. 82 DSGVO. Eine Haftung des Auftragsverarbeiters für Schäden, die durch eine rechtswidrige Weisung oder eine fehlende Rechtsgrundlage auf Seiten des Verantwortlichen entstehen, ist ausgeschlossen.

Kontakt für datenschutzrechtliche Anliegen und Weisungen: luka@holtzmann-automation.de

Änderungen dieser Vereinbarung bedürfen der Textform. Erforderliche Anpassungen aufgrund geänderter Rechtslage oder aufsichtsbehördlicher Vorgaben teilt der Auftragsverarbeiter rechtzeitig mit; die Regelung des Hauptvertrages zur Änderung von Vertragsbedingungen gilt entsprechend.

Im Verhältnis zum Hauptvertrag gehen die Regelungen dieses AVV bei datenschutzrechtlichen Fragen vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.