Vertrag zur Auftragsverarbeitung
Dieser Text gibt den Inhalt der Vereinbarung nach Art. 28 DSGVO wieder, die zwischen dem Kunden als Verantwortlichem und BRACHIAL KRAWALL als Auftragsverarbeiter geschlossen wird. Maßgeblich ist die unterzeichnete Fassung.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Planung und Abstimmung von Kampagnen in dieser Anwendung. Die Dauer entspricht der Laufzeit des Hauptvertrages.
2. Art, Zweck und Kategorien
Verarbeitet werden Kontaktdaten der beim Verantwortlichen tätigen Personen sowie Inhalte, die der Verantwortliche einstellt. Zweck ist die gemeinsame Planung, Freigabe und Dokumentation von Maßnahmen. Betroffene Personen sind Beschäftigte und Beauftragte des Verantwortlichen.
3. Weisungsbindung
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Hält er eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
4. Vertraulichkeit
Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet und in den datenschutzrechtlichen Anforderungen unterwiesen.
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter unterhält Maßnahmen nach Art. 32 DSGVO, insbesondere Verschlüsselung der Übertragung, Verschlüsselung der Speicherung, Zugriffsschutz auf Ebene einzelner Datensätze, getrennte Mandanten, Protokollierung von Änderungen, regelmäßige Sicherung sowie ein Verfahren zur wiederkehrenden Überprüfung.
6. Weitere Auftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter aus den Kategorien Hosting und Auslieferung von Inhalten, Datenbank und Authentifizierung sowie Versand von Transaktionsnachrichten. Änderungen werden vorab mitgeteilt; ein Einspruchsrecht besteht. Die aktuelle Liste wird auf Anfrage in Textform übermittelt.
7. Unterstützungspflichten
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen sowie bei Meldepflichten nach Art. 33 und 34 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten wird unverzüglich, spätestens innerhalb von vierundzwanzig Stunden nach Kenntnis, mitgeteilt.
8. Ort der Verarbeitung
Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt. Eine Übermittlung in ein Drittland erfolgt nur nach vorheriger schriftlicher Zustimmung und auf einer Grundlage nach Kapitel V DSGVO.
9. Löschung und Rückgabe
Nach Beendigung werden die Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Gelöschte Inhalte werden spätestens nach dreißig Tagen endgültig entfernt.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Ankündigung während der üblichen Geschäftszeiten.