Auftragsverarbeitungsvertrag

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen Semih Akgül, handelnd unter der Geschäftsbezeichnung „BlueLetter Marketing“, Celsiusstraße 50, 12207 Berlin („Auftragsverarbeiter“), und dem Kunden, der ein Angebot von BlueLetter Marketing angenommen hat („Verantwortlicher“). Er wird mit Annahme des Angebots Bestandteil des dadurch zustande gekommenen Vertrages („Hauptvertrag“); die Parteien und der Leistungsumfang ergeben sich aus dem Angebot. Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt.

Abgrenzung der Verantwortlichkeiten: Die Recherche und Beschaffung der Adressdaten nimmt der Auftragsverarbeiter nach eigener Entscheidung über Quellen und Auswahlkriterien und damit als eigener Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO vor. Dieser AVV erfasst die Verarbeitung, die der Auftragsverarbeiter danach für Zwecke des Verantwortlichen und nach dessen Weisung durchführt, insbesondere die Personalisierung, den Versand der Briefe im Namen des Verantwortlichen, die Ansprache über ein berufliches Netzwerk im Namen des Verantwortlichen, den Betrieb des Trackings sowie die Übermittlung der Reaktionsdaten an den Verantwortlichen.

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

1. Gegenstand der Verarbeitung ist die Durchführung einer Direktmailing-Kampagne nach Maßgabe des Hauptvertrages.
2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln und Löschen personenbezogener Daten, konkret die Aufbereitung und Personalisierung der Empfängerdaten, die Erstellung und Adressierung der Briefe, die Einlieferung beim Postdienstleister, soweit vereinbart der Versand von Kontaktanfragen und Nachrichten über ein berufliches Netzwerk unter Nutzung eines vom Verantwortlichen bereitgestellten Profilzugangs, der Betrieb des Trackings einschließlich einer etwaigen Landingpage sowie die Bereitstellung der Reaktionsdaten an den Verantwortlichen.
3. Zweck der Verarbeitung ist ausschließlich die werbliche Erstansprache von Unternehmen im Namen des Verantwortlichen sowie die Messung der Reaktionen auf diese Ansprache. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet im Rahmen dieses AVV nicht statt.
4. Dauer der Verarbeitung: Der AVV beginnt mit Zustandekommen des Hauptvertrages und endet mit dessen Beendigung, spätestens mit vollständiger Löschung oder Rückgabe der Daten nach § 9.
5. Die Verarbeitung erfolgt vorrangig in der Europäischen Union oder im Europäischen Wirtschaftsraum. Der Verantwortliche weist den Auftragsverarbeiter an und gestattet ihm, personenbezogene Daten auch in einem Drittland zu verarbeiten oder dort verarbeiten zu lassen, sofern die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt oder Standardvertragsklauseln vereinbart sind. Einer gesonderten Zustimmung im Einzelfall bedarf es nicht.

§ 2 Kategorien betroffener Personen und Datenarten

1. Kategorien betroffener Personen: Ansprechpartner, Entscheider und sonstige Beschäftigte der angeschriebenen Unternehmen (Geschäftskontakte).
2. Kategorien personenbezogener Daten: a. Stammdaten: Vor- und Nachname, Funktion bzw. Position, Firmierung, Geschäftsanschrift; b. Kontaktdaten: geschäftliche Telefonnummer, geschäftliche E-Mail-Adresse, Profil-URL aus beruflichen Netzwerken, soweit öffentlich zugänglich; c. Nutzungsdaten des Trackings: Zeitpunkt und Anzahl der Aufrufe der Landingpage über den QR-Code, aufgerufene Inhalte, technische Verbindungsdaten einschließlich IP-Adresse im Rahmen der technisch erforderlichen Speicherung; d. Terminanfragedaten: Angaben, die Empfänger in einem Formular der Landingpage machen, insbesondere Name, Rückrufnummer oder E-Mail-Adresse, gewünschter Zeitraum und Freitextangaben; e. Reaktions- und Kommunikationsdaten: Rückmeldungen auf die Briefe sowie die daraus entstehenden Gesprächsnotizen, soweit sie dem Auftragsverarbeiter zugänglich gemacht werden; f. Netzwerkdaten: bei vereinbartem Versand über ein berufliches Netzwerk die über das Profil des Verantwortlichen zugänglichen Kontakt-, Verbindungs- und Nachrichtendaten einschließlich der Antworten angeschriebener Personen; g. Zugangsmerkmale: die vom Verantwortlichen überlassenen Zugangsdaten und Sitzungsmerkmale (Session-Cookies) seines Profils in einem beruflichen Netzwerk. Diese werden ausschließlich zur Durchführung der vereinbarten Kampagne verwendet, verschlüsselt und getrennt von sonstigen Daten gespeichert und nach § 9 gelöscht.
3. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet.

§ 3 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Weisungen erfolgen grundsätzlich in Textform. Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.
4. Weisungsbefugt auf Seiten des Verantwortlichen ist die im Angebot genannte vertretungsberechtigte Person oder eine von ihr in Textform benannte Person; Ansprechpartner auf Seiten des Auftragsverarbeiters ist Semih Akgül. Änderungen werden der jeweils anderen Partei in Textform mitgeteilt.

§ 4 Vertraulichkeit

1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
2. Die eingesetzten Personen werden vor Aufnahme der Tätigkeit mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut gemacht. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter arbeitet ortsunabhängig ohne feste Geschäftsräume und ohne eigenes Rechenzentrum. Die Verarbeitung erfolgt auf verschlüsselten Endgeräten sowie bei Dienstleistern, die nach § 6 eingebunden sind. Er trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; hierzu gehören insbesondere: a. Geräte- und Zugangssicherheit: vollständige Verschlüsselung der eingesetzten Endgeräte, Bildschirmsperre, persönliche und nicht geteilte Zugangsdaten, Zwei-Faktor-Authentifizierung bei allen Diensten, die sie anbieten; b. Transportsicherheit: Übermittlung personenbezogener Daten ausschließlich über verschlüsselte Verbindungen (TLS); Versandlisten werden nicht über unverschlüsselte Kanäle versendet; c. Trennungskontrolle: Daten des Verantwortlichen werden getrennt von Daten anderer Auftraggeber abgelegt und nicht mit diesen zusammengeführt; d. Verfügbarkeit: regelmäßige verschlüsselte Datensicherung, aktueller Schadsoftwareschutz, zeitnahes Einspielen von Sicherheitsaktualisierungen; e. Löschung: Löschung nicht mehr benötigter Daten nach § 9; datenschutzgerechte Vernichtung von Ausdrucken und Fehldrucken; f. Auswahl der Dienstleister: Einsatz nur solcher Anbieter, die ihrerseits angemessene Sicherheitsmaßnahmen nachweisen und nach § 6 vertraglich verpflichtet sind.
2. Arbeitet der Auftragsverarbeiter an wechselnden Orten, stellt er sicher, dass Dritte keine Einsicht in personenbezogene Daten nehmen können und Geräte nicht unbeaufsichtigt bleiben; Verarbeitungen über fremde oder öffentlich zugängliche Netzwerke erfolgen nur über verschlüsselte Verbindungen.
3. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er dem Verantwortlichen in Textform mit.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO). Genehmigt sind Dienstleister aus folgenden Kategorien: Druck- und Schreibdienstleistung; Post- und Versanddienstleistung; Hosting von Landingpage, Domain, Videos und Formularen; Bereitstellung, Recherche und Anreicherung von Unternehmens- und Kontaktdaten; Kommunikations-, Kalender- und Terminbuchungsdienste; Telefonie- und Anrufdienste; Bereitstellung technischer Schnittstellen zu beruflichen Netzwerken einschließlich des Versands von Nachrichten über ein Profil des Verantwortlichen; Kundenverwaltung (CRM) sowie Automatisierungs- und Workflowdienste; Dienste zur maschinellen Erstellung, Übersetzung oder Prüfung von Texten, Bildern und Videos; Dokumenten-, Formular- und Signaturdienste; Reichweiten- und Reaktionsmessung; Datenspeicherung, Dateiablage und Datensicherung.
2. Innerhalb dieser Kategorien kann der Auftragsverarbeiter Dienstleister jederzeit auswählen, wechseln oder ergänzen, ohne dass es einer gesonderten Anzeige im Einzelfall bedarf. Er führt eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter und stellt sie dem Verantwortlichen auf Anfrage in Textform zur Verfügung.
3. Vor der erstmaligen Beauftragung eines Dienstleisters in einer Kategorie, die von Absatz 1 nicht erfasst ist, informiert der Auftragsverarbeiter den Verantwortlichen in Textform. Der Verantwortliche kann hiergegen innerhalb von 14 Tagen ab Zugang der Information aus einem konkreten datenschutzrechtlichen Grund in Textform Einspruch erheben.
4. Genehmigungsfiktion: Erhebt der Verantwortliche innerhalb der Frist nach Absatz 3 keinen begründeten Einspruch, gilt die Hinzuziehung als genehmigt. Auf diese Bedeutung seines Verhaltens weist der Auftragsverarbeiter den Verantwortlichen bei Beginn der Frist ausdrücklich und gesondert hin. Unterbleibt dieser Hinweis, tritt die Genehmigungswirkung nicht ein.
5. Im Fall eines begründeten Einspruchs kann der Auftragsverarbeiter nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder, sofern ihm dies nicht zumutbar ist, den Hauptvertrag innerhalb von zwei Wochen nach Zugang des Einspruchs aus wichtigem Grund kündigen. Bereits erbrachte Leistungen bleiben vergütungspflichtig.
6. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses AVV entsprechen, und bleibt dem Verantwortlichen gegenüber für deren Einhaltung verantwortlich. Eine Verarbeitung in einem Drittland richtet sich nach § 1 Abs. 5.
7. Leistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt, ohne dass eine Verarbeitung personenbezogener Daten des Verantwortlichen deren Gegenstand ist, gelten nicht als Unterauftragsverarbeitung.

§ 7 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 23 DSGVO) zu beantworten.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, der Verantwortliche weist ihn hierzu an.
3. Widerspricht eine betroffene Person der werblichen Ansprache, setzt der Auftragsverarbeiter sie unverzüglich auf eine Sperrliste und schließt sie von künftigen Kampagnen aus; eine bereits erzeugte personalisierte Landingpage wird deaktiviert. Die Sperrliste wird zu diesem Zweck dauerhaft geführt und enthält nur die zur Umsetzung des Widerspruchs erforderlichen Daten.
4. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, der Benachrichtigung betroffener Personen und einer etwaigen Datenschutz-Folgenabschätzung.
5. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform. Damit verbleibt dem Verantwortlichen ausreichend Zeit für seine eigene Meldung nach Art. 33 DSGVO. Die Meldung enthält, soweit bekannt, eine Beschreibung des Vorfalls, die betroffenen Datenkategorien, die ungefähre Zahl der betroffenen Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

§ 8 Nachweis- und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
2. Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV zu überprüfen. Die Überprüfung erfolgt nach Ankündigung mit angemessener Frist von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs, höchstens einmal je Kalenderjahr sowie zusätzlich bei konkretem Anlass.
3. Der Nachweis kann auch durch aktuelle Testate, Zertifizierungen oder Berichte unabhängiger Stellen erbracht werden; in diesem Fall besteht ein Recht auf Vor-Ort-Prüfung nur bei konkretem Anlass.
4. Eine Prüfung durch Dritte setzt deren Verpflichtung zur Verschwiegenheit voraus. Wettbewerber des Auftragsverarbeiters sind als Prüfer ausgeschlossen.

§ 9 Löschung und Rückgabe

1. Nach Beendigung der Verarbeitungsleistung löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie nach dessen Wahl zurück. Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Beendigung des Hauptvertrages in Textform mit; unterbleibt die Mitteilung, werden die Daten gelöscht.
2. Von der Löschung ausgenommen sind Daten, für die gesetzliche Aufbewahrungspflichten bestehen, sowie die Sperrliste nach § 7 Abs. 3. Für diese Daten wird die Verarbeitung auf den Aufbewahrungszweck beschränkt.
3. Unberührt bleibt das Recht des Verantwortlichen, die ihm überlassenen Adressdaten weiter zu nutzen; diese Daten verarbeitet er ab Übergabe in eigener Verantwortung.
4. Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt.

§ 10 Haftung und Schlussbestimmungen

1. Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrages, soweit Art. 82 DSGVO dem nicht entgegensteht.
2. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Abbedingung dieses Formerfordernisses.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige AVV wirksam. An die Stelle der unwirksamen Bestimmung tritt die zulässige Regelung, die dem wirtschaftlich und datenschutzrechtlich Gewollten am nächsten kommt.
4. Es gilt deutsches Recht. Für den Gerichtsstand gelten die Regelungen des Hauptvertrages.