Diese Vereinbarung ist keine Rechtsberatung und ersetzt keine anwaltliche Prüfung im Einzelfall. Bei Fragen zur Wirksamkeit oder zur Anpassung an Ihre konkrete Situation wenden Sie sich an einen Rechtsanwalt oder Datenschutzbeauftragten.
zwischen
dem Betrieb, der kalender.plz-vertriebsplaner.de nutzt (nachfolgend „Verantwortlicher")
und
Schröder Onlinemarketing, Sabine Schröder, Liebigweg 6b, 26810 Westoverledingen — nachfolgend „Auftragsverarbeiter".
§ 1 Gegenstand und Dauer
Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung von kalender.plz-vertriebsplaner.de, soweit dabei Daten Dritter (insbesondere Endkunden, die einen Termin beim Verantwortlichen wahrnehmen) verarbeitet werden — über den Kalender, die Telefonie-Maske, die öffentliche Buchungsseite und die Terminbestätigungs-E-Mail. Die Dauer entspricht der Laufzeit des Nutzungsvertrags (AGB).
§ 2 Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Daten
Zweck: Terminverwaltung, Vereinbarung und Bestätigung von Terminen zwischen dem Verantwortlichen und dessen Endkunden.
Betroffene Personen: Endkunden des Verantwortlichen, die einen Termin wahrnehmen oder über die öffentliche Buchungsseite selbst buchen.
Kategorien von Daten: Name, Telefonnummer, E-Mail-Adresse (bei Selbstbuchung Pflichtfeld, sonst optional), Adresse des Termins sowie daraus ermittelte Koordinaten.
§ 3 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung der Funktionen des Tools gilt als solche Weisung), es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet. Er gewährleistet, dass mit der Verarbeitung betraute Personen zur Vertraulichkeit verpflichtet sind.
§ 4 Weisungsrecht des Verantwortlichen
Der Verantwortliche hat das Recht, jederzeit Weisungen zu Art, Umfang und Verfahren der Verarbeitung zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich (auch per E-Mail) zu bestätigen.
§ 5 Technische und organisatorische Maßnahmen
Die vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind in Anlage 1 zu dieser Vereinbarung dargestellt, die vollständiger Vertragsbestandteil ist.
§ 6 Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Zweck | Ort |
|---|---|---|
| ALL-INKL.COM (ProfiHost AG), Deutschland | Hosting der Anwendung/Datenbank, Versand der Terminbestätigungsmails | EU/Deutschland |
| netcup GmbH, Deutschland | Virenscan hochgeladener PDF-Erstinformationen (ClamAV, gemeinsam mit weiteren eigenen Projekten betrieben) | EU/Deutschland |
| OpenRouteService (HeiGIT gGmbH, Universität Heidelberg) | Geocoding und Fahrzeit-/Entfernungsberechnung für die Terminplanung | EU/Deutschland |
| Nominatim (OpenStreetMap Foundation) | Ergänzendes Geocoding, wenn eine Adresse über OpenRouteService nicht auflösbar ist (nur Adressbestandteile, keine Namen/Kontaktdaten) | Drittland (Vereinigtes Königreich) |
Die Übermittlung an den vorstehend genannten Drittland-Unterauftragsverarbeiter (Nominatim, Vereinigtes Königreich) stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich in seiner jeweils aktuellen Fassung. Die Beauftragung weiterer Unterauftragsverarbeiter wird dem Verantwortlichen vorab angekündigt; widerspricht dieser nicht innerhalb von 14 Tagen, gilt die Zustimmung als erteilt.
§ 7 Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Anfragen betroffener Personen zur Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch) nach Kapitel III der DSGVO. Soweit eine betroffene Person sich unmittelbar an den Auftragsverarbeiter wendet, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter, sofern eine Zuordnung möglich ist.
§ 8 Kontrollrechte des Verantwortlichen
Der Verantwortliche hat das Recht, sich vor Beginn und während der Dauer der Verarbeitung von der Einhaltung der nach dieser Vereinbarung getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen die hierfür erforderlichen Auskünfte auf Anfrage in angemessenem Umfang zu erteilen und geeignete Nachweise (z. B. Selbstauskünfte, Dokumentationen) zur Verfügung zu stellen.
§ 9 Meldepflichten
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der beauftragten Verarbeitung unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden. Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, der betroffenen Datenkategorien und Personengruppen sowie der ergriffenen bzw. vorgeschlagenen Abhilfemaßnahmen.
§ 10 Löschung und Rückgabe
Termine und die darin enthaltenen Endkundendaten werden gelöscht, sobald der Verantwortliche den jeweiligen Termin löscht oder sein Konto kündigt und dessen Löschung beim Auftragsverarbeiter beantragt. Eine automatische Löschfrist besteht derzeit nicht; der Verantwortliche kann jederzeit die Löschung einzelner Termine oder seines gesamten Kontos verlangen.
§ 11 Haftung
Es gelten die gesetzlichen Haftungsregelungen der DSGVO, insbesondere Art. 82 DSGVO. Im Übrigen haften die Parteien nach Maßgabe der zwischen ihnen bestehenden vertraglichen Vereinbarungen (AGB), soweit diese wirksam sind und der DSGVO nicht entgegenstehen.
§ 12 Verzeichnis von Verarbeitungstätigkeiten
Der Auftragsverarbeiter führt ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) und stellt dem Verantwortlichen die dafür erforderlichen Angaben auf Anfrage zur Aufnahme in dessen eigenes Verzeichnis (Art. 30 Abs. 1 DSGVO) zur Verfügung.
§ 13 Außerordentliches Kündigungsrecht
Der Verantwortliche kann diese Vereinbarung und den zugrundeliegenden Nutzungsvertrag fristlos kündigen, wenn der Auftragsverarbeiter seinen Pflichten aus dieser Vereinbarung nicht nachkommt, Bestimmungen der DSGVO vorsätzlich oder grob fahrlässig verletzt oder sich den Kontrollrechten nach § 8 vertragswidrig widersetzt.
§ 14 Schlussbestimmungen
Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.
Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
1. Vertraulichkeit
- Verschlüsselte Datenübertragung (TLS) für sämtliche Verbindungen zur Anwendung
- Zugriff auf Termin- und Kundendaten nur nach Authentifizierung (Login); Zugriff eines Dienstleisters zusätzlich an eine vom Verantwortlichen erteilte, jederzeit widerrufbare Freigabe gebunden
2. Integrität
- Passwörter ausschließlich gehasht gespeichert, Brute-Force-/Passwort-Spraying-Schutz per Rate-Limiting
- Protokollierung von Freigabe-Erteilungen/-Widerrufen und Dienstleister-Zugriffen zur Nachvollziehbarkeit
3. Verfügbarkeit und Belastbarkeit
- Regelmäßige Sicherheitsupdates von Server- und Anwendungssoftware
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
- Fortlaufende Weiterentwicklung der Sicherheitsmaßnahmen anhand erkannter Schwachstellen
- Auskunft über die Umsetzung dieser Maßnahmen auf Anfrage des Verantwortlichen (§ 8)