Auftragsverarbeitungsvertrag

1. Rollen der Parteien

Dieser Auftragsverarbeitungsvertrag (der AVV) ist Bestandteil des Vertrags, in dessen Rahmen Anliego seine Dienste für den Kunden erbringt (der Vertrag), und unterliegt diesem. Im Falle eines Widerspruchs zwischen diesem AVV und dem Vertrag hat dieser AVV in Bezug auf die Verarbeitung personenbezogener Daten Vorrang.

Für die Zwecke dieses AVV handelt der Kunde als Verantwortlicher (oder, soweit der Kunde selbst im Auftrag eines Dritten handelt, als Auftragsverarbeiter), und Anliego, betrieben von Luis Riedhammer, handelt als Auftragsverarbeiter (oder gegebenenfalls als Unterauftragsverarbeiter). Anliego verarbeitet personenbezogene Daten im Auftrag und nach den dokumentierten Weisungen des Kunden.

Großgeschriebene Begriffe, die in diesem AVV nicht definiert sind, haben die Bedeutung, die ihnen in der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) (DSGVO) und, soweit anwendbar, im Vertrag zugewiesen wird.

2. Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der Anliego-Plattform, die dem Kunden hilft, Kundenbewertungen zu sammeln, zu verwalten und zu beantworten sowie Kampagnen zur Bewertungsanfrage durchzuführen. Zur Erbringung dieser Dienste verarbeitet Anliego die Geschäfts- und Bewertungsdaten des Kunden sowie die Kontaktdaten der eigenen Endkunden des Kunden.

Anliego verarbeitet personenbezogene Daten nur insoweit, wie dies zur Bereitstellung, Aufrechterhaltung, Absicherung und Unterstützung der im Vertrag beschriebenen Dienste erforderlich ist, sowie nach weiterer Weisung des Kunden durch dessen Nutzung der Plattform und dessen Kontokonfiguration.

3. Art und Zweck der Verarbeitung

• Hosting und Speicherung von Bewertungsinhalten, Geschäftsinformationen und Endkunden-Kontaktdaten.
• Versand von Bewertungsanfragen und Folgenachrichten per E-Mail und/oder SMS im Auftrag des Kunden.
• Aggregieren, Anzeigen und Analysieren von Bewertungen, Sterne-Bewertungen und Kampagnenleistung für den Kunden.
• Bereitstellung von Kontoverwaltung, Authentifizierung, Support, Fehlerbehebung und Sicherheitsüberwachung.
• Durchführung von Backups, Wartung und anderen technischen Vorgängen, die zum Betrieb des Dienstes erforderlich sind.

4. Dauer der Verarbeitung

Anliego verarbeitet personenbezogene Daten für die Dauer des Vertrags, bis das Konto des Kunden beendet oder geschlossen wird, zuzüglich eines etwaigen zusätzlichen Zeitraums, der zur Vollendung der Rückgabe oder Löschung der Daten gemäß Abschnitt 14 erforderlich ist, oder soweit anderweitig durch geltendes Recht vorgeschrieben.

5. Kategorien personenbezogener Daten

Die unter diesem AVV verarbeiteten personenbezogenen Daten betreffen vorrangig die Endkunden und Rezensenten des Kunden sowie die eigenen autorisierten Nutzer des Kunden. Abhängig davon, wie der Kunde die Plattform nutzt, können die Kategorien personenbezogener Daten umfassen:

• Identifikations- und Kontaktdaten: Namen, E-Mail-Adressen und Telefonnummern von Endkunden und Rezensenten.
• Bewertungs- und Feedbackdaten: Bewertungsinhalte, Sterne-Bewertungen, Antworten und zugehörige Metadaten, die von oder über Endkunden übermittelt werden.
• Kampagnendaten: Versandstatus, Zustell- und Interaktionsereignisse, Abmelde- und Sperrlisten.
• Kontonutzerdaten: Namen, geschäftliche E-Mail-Adressen und Anmeldedaten der autorisierten Nutzer des Kunden.
• Technische Daten: IP-Adressen, Geräte- oder Browserinformationen und Nutzungsprotokolle, die im Zusammenhang mit dem Dienst entstehen.
• Der Kunde darf die Plattform nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten (Artikel 9 DSGVO) nutzen, sofern dies nicht ausdrücklich schriftlich vereinbart wurde, und bleibt allein für die von ihm übermittelten personenbezogenen Daten verantwortlich.

6. Kategorien betroffener Personen

• Die Endkunden und Klienten des Kunden, die eingeladen werden, eine Bewertung abzugeben, oder die eine abgeben.
• Rezensenten und andere Personen, deren Feedback über die Plattform erhoben oder angezeigt wird.
• Die autorisierten Mitarbeiter, Auftragnehmer und sonstigen Nutzer des Kontos des Kunden.

7. Pflichten des Auftragsverarbeiters

Anliego verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf internationale Übermittlungen, es sei denn, dies ist nach geltendem Recht anders erforderlich; in einem solchen Fall teilt Anliego dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Der Vertrag, dieser AVV sowie die Nutzung und Konfiguration der Plattform durch den Kunden stellen die vollständigen und dokumentierten Weisungen des Kunden dar. Ist Anliego der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, teilt Anliego dies dem Kunden unverzüglich mit.

• Sicherstellen, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Geeignete technische und organisatorische Maßnahmen gemäß Abschnitt 8 umsetzen und aufrechterhalten.
• Die Bedingungen für die Einbindung von Unterauftragsverarbeitern gemäß Abschnitt 9 einhalten.
• Den Kunden wie in den Abschnitten 11, 12 und 13 beschrieben unterstützen.
• Die Informationen bereitstellen, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind, vorbehaltlich Abschnitt 13.

8. Sicherheitsmaßnahmen (technische und organisatorische Maßnahmen)

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen setzt Anliego geeignete technische und organisatorische Maßnahmen (TOMs) um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Eine aktuelle Zusammenfassung dieser Maßnahmen wird auf der Anliego-Sicherheitsseite geführt und als Anlage C durch Bezugnahme in diesen AVV einbezogen. Anliego kann seine Maßnahmen im Laufe der Zeit aktualisieren, sofern die aktualisierten Maßnahmen das Gesamtschutzniveau nicht wesentlich verringern.

• Verschlüsselung personenbezogener Daten während der Übertragung und, soweit angemessen, im Ruhezustand.
• Zugriffskontrollen, rollenbasierte Berechtigungen und Authentifizierung für Systeme, die personenbezogene Daten verarbeiten.
• Netzwerkschutz, Überwachung und Protokollierung zur Erkennung von und Reaktion auf Sicherheitsereignisse.
• Regelmäßige Backups und Maßnahmen zur Unterstützung der Wiederherstellung von Verfügbarkeit und Zugang nach einem Vorfall.
• Organisatorische Maßnahmen einschließlich Vertraulichkeitsverpflichtungen der Mitarbeiter, Zugriff nach dem Need-to-know-Prinzip und sichere Softwareentwicklungspraktiken.

9. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung dafür, dass Anliego Unterauftragsverarbeiter zur Unterstützung bei der Erbringung der Dienste einbindet. Anliego erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als die in diesem AVV festgelegten, insbesondere indem hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen geboten werden. Anliego bleibt dem Kunden gegenüber für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters vollumfänglich verantwortlich.

Anliego führt eine Liste der Unterauftragsverarbeiter (zusammengefasst in Anlage B) und informiert den Kunden über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters, wobei dem Kunden die Möglichkeit eingeräumt wird, innerhalb der mitgeteilten Frist aus angemessenen, datenschutzbezogenen Gründen Einspruch zu erheben. Erhebt der Kunde Einspruch und können die Parteien den Einspruch nicht beilegen, kann der Kunde die betroffenen Dienste als sein alleiniges Rechtsmittel kündigen.

• Anbieter von Cloud-Hosting und Infrastruktur.
• Anbieter verwalteter Datenbanken und Speicher.
• Anbieter zur Zahlungsabwicklung (zur Abrechnung gegenüber dem Kunden).
• Anbieter zum E-Mail- und SMS-Versand (zum Senden von Bewertungsanfragen und Benachrichtigungen).
• Betriebliche Werkzeuge wie Fehlerüberwachung, Analyse und Kundensupport-Anbieter.

10. Internationale Datenübermittlungen

Anliego und seine Unterauftragsverarbeiter können personenbezogene Daten im Europäischen Wirtschaftsraum, in den Vereinigten Staaten und in anderen Rechtsordnungen verarbeiten. Soweit personenbezogene Daten mit Ursprung im EWR, im Vereinigten Königreich oder in der Schweiz in ein Land übermittelt werden, das kein angemessenes Schutzniveau bietet, unterliegt die Übermittlung einer geeigneten Garantie nach geltendem Recht.

Zu solchen Garantien zählen die Standardvertragsklauseln der Europäischen Kommission (sowie das UK International Data Transfer Addendum oder der Schweizer Zusatz, soweit anwendbar), ergänzt um zusätzliche Maßnahmen, soweit erforderlich. Die Standardvertragsklauseln werden, soweit sie anwendbar sind, durch Bezugnahme in diesen AVV einbezogen, und die Parteien verpflichten sich, ihre Bestimmungen zu vervollständigen und einzuhalten.

11. Unterstützung bei Betroffenenanfragen

Unter Berücksichtigung der Art der Verarbeitung unterstützt Anliego den Kunden mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Beantwortung von Anträgen betroffener Personen zur Ausübung ihrer Rechte nach Kapitel III DSGVO, einschließlich der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Erhält Anliego einen Antrag unmittelbar von einer betroffenen Person in Bezug auf die Daten des Kunden, informiert Anliego den Kunden, sofern gesetzlich nicht untersagt, unverzüglich und beantwortet den Antrag nicht selbst, außer auf dokumentierte Weisung des Kunden oder soweit gesetzlich erforderlich.

12. Unterstützung bei Meldepflichten und Datenschutz-Folgenabschätzungen

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen leistet Anliego dem Kunden angemessene Unterstützung bei der Einhaltung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO, einschließlich der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und an betroffene Personen sowie der Durchführung von Datenschutz-Folgenabschätzungen und etwaiger vorheriger Konsultationen einer Aufsichtsbehörde.

13. Meldung von Verletzungen des Schutzes personenbezogener Daten

Anliego benachrichtigt den Kunden unverzüglich, in jedem Fall jedoch innerhalb von zweiundsiebzig (72) Stunden, nachdem es Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die unter diesem AVV verarbeitete personenbezogene Daten betrifft.

Eine solche Benachrichtigung beschreibt, soweit bekannt und nach vernünftigem Ermessen verfügbar, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zu ihrer Behebung. Anliego stellt weitere Informationen bereit, sobald sie verfügbar werden, und arbeitet mit dem Kunden zusammen, um die Verletzung zu untersuchen und zu beheben. Die Benachrichtigung stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

14. Audits und Informationsrechte

Anliego stellt dem Kunden alle Informationen zur Verfügung, die nach vernünftigem Ermessen erforderlich sind, um die Einhaltung von Artikel 28 DSGVO und dieses AVV nachzuweisen, und ermöglicht Audits, einschließlich Inspektionen, die durch den Kunden oder einen vom Kunden beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

Um Störungen zu minimieren und die Vertraulichkeit und Sicherheit der Systeme von Anliego sowie der Daten anderer Kunden zu schützen, werden Audits, soweit verfügbar, durch Bereitstellung einschlägiger Dokumentation, Sicherheitszusammenfassungen oder Drittberichte erfüllt. Vor-Ort- oder detaillierte Audits sind im Umfang begrenzt, werden während der Geschäftszeiten nach angemessener vorheriger schriftlicher Ankündigung durchgeführt, höchstens einmal pro Jahr (außer nach einer bestätigten Verletzung oder soweit von einer Aufsichtsbehörde gefordert) und unterliegen Vertraulichkeitspflichten, wobei der Kunde seine eigenen sowie etwaige angemessene Kosten Dritter für das Audit trägt.

15. Rückgabe oder Löschung der Daten bei Beendigung

Bei Beendigung oder Ablauf des Vertrags löscht oder gibt Anliego nach Wahl des Kunden alle in dessen Auftrag verarbeiteten personenbezogenen Daten zurück und löscht bestehende Kopien, sofern keine Speicherung nach geltendem Recht erforderlich ist.

Nach einem angemessenen, dem Kunden mitgeteilten Auslauf- und Exportzeitraum löscht Anliego die personenbezogenen Daten des Kunden aus seinen aktiven Systemen und veranlasst die Löschung durch seine Unterauftragsverarbeiter. Restkopien in routinemäßigen Backups werden gemäß dem Backup-Aufbewahrungszyklus von Anliego gelöscht und bleiben bis zur Löschung durch die in diesem AVV beschriebenen Maßnahmen geschützt.

16. Haftung und Rangfolge

Die Haftung jeder Partei, die sich aus diesem AVV ergibt oder mit ihm zusammenhängt, sei es aus Vertrag, unerlaubter Handlung oder einer anderen Haftungstheorie, unterliegt den im Vertrag festgelegten Haftungsbeschränkungen und -ausschlüssen, und jede Bezugnahme im Vertrag auf die Haftung einer Partei bedeutet die Gesamthaftung dieser Partei aus dem Vertrag und diesem AVV zusammen.

Dieser AVV beschränkt keine Rechte oder Rechtsmittel, die einer betroffenen Person nach geltendem Datenschutzrecht zustehen. Im Falle eines Widerspruchs gilt folgende Rangfolge: (1) die Standardvertragsklauseln (soweit sie anwendbar sind), (2) dieser AVV und (3) der übrige Vertrag.

17. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht von [Jurisdiction] und ist nach diesem auszulegen, und die Parteien unterwerfen sich der ausschließlichen Zuständigkeit der Gerichte von [Jurisdiction], unbeschadet etwaiger zwingender Betroffenenrechte oder der Zuständigkeit von Aufsichtsbehörden nach geltendem Datenschutzrecht. Soweit die Standardvertragsklauseln anwendbar sind, gehen deren Bestimmungen zu anwendbarem Recht und Gerichtsstand im erforderlichen Umfang vor.

18. Abschluss und Anforderung einer unterzeichneten Ausfertigung

Durch die Annahme des Vertrags oder die Nutzung der Dienste stimmt der Kunde diesem AVV im eigenen Namen und, soweit anwendbar, im Namen seiner verbundenen Unternehmen zu, deren personenbezogene Daten über das Konto verarbeitet werden. Dieser AVV gilt, solange Anliego personenbezogene Daten im Auftrag des Kunden verarbeitet.

Kunden, die eine gegengezeichnete Ausfertigung dieses AVV oder eine auf ihrem eigenen Papier ausgefertigte Fassung benötigen, können diese per E-Mail an privacy@anliego.de unter Angabe ihrer Konto- und Unternehmensdaten anfordern. Anliego, betrieben von Luis Riedhammer, Föhrenweg 2, 58638 Iserlohn, veranlasst die Ausfertigung einer unterzeichneten Kopie.

Anlagen (Zusammenfassung)

• Anlage A — Gegenstand und Einzelheiten der Verarbeitung: Die Kategorien der Daten, die betroffenen Personen sowie Art, Zweck und Dauer der Verarbeitung sind in den Abschnitten 2 bis 6 dieses AVV beschrieben.
• Anlage B — Unterauftragsverarbeiter: Die Kategorien der genehmigten Unterauftragsverarbeiter sind in Abschnitt 9 aufgeführt (Hosting, Datenbank/Speicher, Zahlungen, E-Mail/SMS und betriebliche Werkzeuge); die aktuelle Liste der Unterauftragsverarbeiter wird von Anliego geführt und auf Anfrage an privacy@anliego.de bereitgestellt.
• Anlage C — Sicherheitsmaßnahmen: Die technischen und organisatorischen Maßnahmen sind in Abschnitt 8 zusammengefasst und auf der Anliego-Sicherheitsseite ausführlich dargestellt, die durch Bezugnahme in diesen AVV einbezogen wird.