Vertrag zur Auftragsverarbeitung

Zweck

Der Auftragnehmer verarbeitet die Daten nur, um die im Hauptvertrag vereinbarten Leistungen zu erbringen. Dazu gehören insbesondere:

• Anfragen über Formulare, Lead-Portal, E-Mail und WhatsApp entgegennehmen und speichern,
• Interessenten per E-Mail, SMS und WhatsApp benachrichtigen und mit ihnen kommunizieren,
• Probetrainings und andere Termine planen und daran erinnern,
• Zahlungen der Interessenten im Lead-Portal abwickeln,
• Anfragen auswerten und dem Auftraggeber Kennzahlen anzeigen,
• Daten an andere Programme des Auftraggebers übergeben, wenn dieser eine Anbindung einrichtet.

Art der Daten

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Anschrift
• Angaben aus der Anfrage: gewünschtes Training, Alter, Nachrichten und Notizen
• Bei Minderjährigen: Name des Kindes und Kontaktdaten der Eltern
• Kommunikation: Inhalte und Zeitpunkte von E-Mails, SMS und WhatsApp-Nachrichten
• Termine: gebuchte Probetrainings und deren Status
• Zahlungsdaten: Betrag, Zeitpunkt und Status von Zahlungen (Kartendaten verarbeitet allein der Zahlungsanbieter)
• Nutzungsdaten: IP-Adresse, Gerät und Browser, Zeitpunkte von Aufrufen
• Daten der Mitarbeiter des Auftraggebers, die die Plattform nutzen: Name, E-Mail-Adresse, Rolle

Betroffene Personen

• Interessenten und deren Eltern oder Erziehungsberechtigte
• Mitglieder des Auftraggebers
• Mitarbeiter des Auftraggebers

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Angaben zur Gesundheit, sind nicht Gegenstand der Verarbeitung. Der Auftraggeber fragt solche Daten über die Plattform nicht ab.

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen, die der Auftraggeber in der Plattform vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform, etwa per E-Mail an info@rocketlead.io.

(2) Ist der Auftragnehmer gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(1) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er ist dafür verantwortlich, dass er die Daten rechtmäßig erhebt und an den Auftragnehmer übergibt und dass er die betroffenen Personen informiert.

(2) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(1) Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

(3) Der Auftragnehmer unterstützt den Auftraggeber dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(4) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 32 bis 36 DSGVO, also bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde.

(5) Der Auftragnehmer verarbeitet die Daten nicht für eigene Zwecke. Er verkauft sie nicht und gibt sie nicht an Dritte weiter, außer an die Unterauftragsverarbeiter nach Ziffer 7.

(6) Lädt der Auftraggeber Mitarbeiter des Auftragnehmers in sein Konto ein, etwa für die Einrichtung oder für Hilfe bei Fragen, handeln diese nur im Rahmen der Aufgabe, für die sie eingeladen wurden, und nur nach Weisung des Auftraggebers. Der Auftraggeber kann den Zugang jederzeit in der Plattform entfernen. Nach Abschluss der Aufgabe entfernt der Auftragnehmer den Zugang auf Wunsch selbst. Bucht der Auftraggeber die Einrichtung durch den Auftragnehmer, einzeln oder als Teil eines Tarifs, in dem sie enthalten ist, gilt die Buchung als Einladung: Der Zugang wird automatisch eingerichtet und nach Abschluss der Einrichtung, spätestens nach 90 Tagen, automatisch wieder entfernt.

(7) Für den Betrieb der Plattform nutzt der Auftragnehmer ein internes Verwaltungswerkzeug. Darüber können Mitarbeiter des Auftragnehmers auch ohne Einladung Daten des Auftraggebers einsehen, etwa eingegangene Anfragen und den Ablauf automatischer Nachrichten. Der Auftragnehmer nutzt diesen Zugang ausschließlich, um den Betrieb zu überwachen, Fehler zu finden und zu beheben, die Zustellung von Anfragen und Nachrichten sicherzustellen und Missbrauch abzuwehren. Zugang haben nur Mitarbeiter, die diese Aufgaben haben.

(1) Stellt der Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten fest, informiert er den Auftraggeber unverzüglich, nachdem sie ihm bekannt geworden ist.

(2) Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Was noch nicht bekannt ist, reicht der Auftragnehmer nach.

(3) Die Meldung an die Aufsichtsbehörde und an betroffene Personen bleibt Aufgabe des Auftraggebers. Der Auftragnehmer unterstützt ihn dabei.

(1) Der Auftraggeber erlaubt dem Auftragnehmer, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen.

(2) Will der Auftragnehmer einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiert er den Auftraggeber mindestens 14 Tage vorher per E-Mail. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden beide Seiten keine Lösung, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die dieser Vertrag ihm selbst auferlegt. Er haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten.

Daten werden außerhalb der EU oder des Europäischen Wirtschaftsraums nur verarbeitet, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Das ist der Fall, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt, etwa für Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, oder wenn die Standardvertragsklauseln der EU-Kommission vereinbart sind. Welche Unterauftragsverarbeiter Daten außerhalb der EU verarbeiten, steht in Anlage 2.

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die dieser braucht, um die Einhaltung dieses Vertrags nachzuweisen.

(2) Der Auftraggeber kann die Einhaltung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren. Kontrollen vor Ort kündigt er mindestens 30 Tage vorher an. Sie finden höchstens einmal im Jahr statt, es sei denn, es gab eine Verletzung des Schutzes personenbezogener Daten. Sie finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Statt einer Kontrolle vor Ort kann der Auftragnehmer aktuelle Prüfberichte oder Zertifikate vorlegen, etwa die seiner Rechenzentren.

(1) Während der Laufzeit kann der Auftraggeber seine Daten jederzeit in der Plattform einsehen, exportieren und löschen.

(2) Nach Ende des Hauptvertrags löscht der Auftragnehmer alle Daten des Auftraggebers innerhalb von 90 Tagen. Bis dahin kann der Auftraggeber sie exportieren oder ihre Herausgabe verlangen. Kopien in Datensicherungen werden im Rahmen der regelmäßigen Rotation gelöscht, spätestens nach weiteren 90 Tagen.

(3) Daten, die der Auftragnehmer aufgrund gesetzlicher Aufbewahrungspflichten speichern muss, löscht er nach Ablauf dieser Pflichten.

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(1) Für Änderungen dieses Vertrags gelten die Regeln zur Änderung der AGB.

(2) Ist eine Bestimmung dieses Vertrags unwirksam, bleiben die übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen der DSGVO entspricht.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragnehmers.

Vertraulichkeit

• Server in Rechenzentren in Deutschland und der EU, deren Betreiber nach ISO 27001 zertifiziert sind; Zutritt nur für berechtigtes Personal der Betreiber
• Zugang zur Plattform nur mit persönlichem Benutzerkonto; Anmeldung über einen spezialisierten Anbieter, auf Wunsch mit zweitem Faktor
• Rollen und Rechte: Jeder Mitarbeiter des Auftraggebers sieht nur die Daten seiner Schule
• Zugriff von Mitarbeitern des Auftragnehmers auf das Konto des Auftraggebers nur nach Einladung durch den Auftraggeber; Einsicht über das interne Verwaltungswerkzeug nur für Betrieb und Fehlerbehebung und nur für die damit betrauten Mitarbeiter
• Zugriff auf Server und Datenbanken nur für wenige Mitarbeiter des Auftragnehmers, mit persönlichem Zugang und zweitem Faktor
• Trennung der Daten verschiedener Kunden innerhalb der Datenbank

Integrität

• Verschlüsselte Übertragung aller Daten (TLS)
• Verschlüsselte Speicherung der Datenbank und der Datensicherungen
• Protokollierung von Zugriffen und Fehlern

Verfügbarkeit und Belastbarkeit

• Regelmäßige automatische Datensicherungen mit Wiederherstellung zu einem beliebigen Zeitpunkt
• Laufende Überwachung von Servern und Schnittstellen mit Alarm bei Störungen
• Schutz vor Überlastung und automatisierten Angriffen

Überprüfung

• Regelmäßige Aktualisierung aller eingesetzten Programme
• Prüfung neuer Anbieter vor dem Einsatz
• Überprüfung dieser Maßnahmen mindestens einmal im Jahr

Der Auftragnehmer setzt die folgenden Unterauftragsverarbeiter ein. Mit allen besteht ein Vertrag über Auftragsverarbeitung; bei Verarbeitung außerhalb der EU sind zusätzlich die Standardvertragsklauseln der EU-Kommission vereinbart oder der Anbieter ist nach dem EU-US Data Privacy Framework zertifiziert.