Vertrag zur Auftragsverarbeitung

Anlagen zu diesem Vertrag: Anlage 1: Technische und organisatorische Maßnahmen · Anlage 2: Unterauftragsverarbeiter

§ 1 Gegenstand und Dauer

1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die NYB – Not Your Business GmbH, Wedekindstraße 14, c/o GundWerk by Gundlach, 30161 Hannover (Auftragsverarbeiter, „NYB“), im Auftrag des Kunden (Verantwortlicher) im Rahmen des Hauptvertrags über Website und weitere Leistungen nach den AGB von NYB.
2. Der Vertrag wird mit der Buchung im Portal Bestandteil des Hauptvertrags. Er gilt, solange NYB für den Kunden personenbezogene Daten verarbeitet, und endet mit der Löschung oder Rückgabe nach § 7.
3. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

§ 2 Art, Zweck und Umfang der Verarbeitung

NYB verarbeitet personenbezogene Daten nur, soweit es für die gebuchten Leistungen nötig ist.

Besondere Kategorien von Daten nach Art. 9 DSGVO verarbeitet NYB nur, wenn der Kunde dies vorher in Textform mitteilt und die Parteien zusätzliche Maßnahmen vereinbaren.

§ 3 Weisungen

1. NYB verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die der Kunde im Portal vornimmt.
2. Weitere Weisungen erteilt der Kunde in Textform. NYB dokumentiert sie.
3. Hält NYB eine Weisung für rechtswidrig, weist NYB den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
4. Verarbeitungen, zu denen NYB gesetzlich verpflichtet ist, bleiben unberührt; NYB teilt sie dem Kunden vorher mit, soweit das Gesetz dies erlaubt.

§ 4 Pflichten von NYB

1. Vertraulichkeit: Alle Personen, die bei NYB Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus.
2. Sicherheit: NYB trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 in der jeweils aktuellen Fassung beschrieben sind.
3. Unterstützung: NYB unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte Betroffener, bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden. Für Aufwand, der über das Übliche hinausgeht, kann NYB eine angemessene Vergütung in Credits oder nach Angebot verlangen.
4. Meldung von Verletzungen: NYB informiert den Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Die Meldung an die Aufsichtsbehörde obliegt dem Kunden.
5. Ort der Verarbeitung: NYB verarbeitet die Daten in Deutschland bzw. im Europäischen Wirtschaftsraum. Eine Verarbeitung in einem Drittland erfolgt nur durch die in Anlage 2 genannten Unterauftragsverarbeiter und nur mit den dort genannten Garantien nach Art. 44 ff. DSGVO.

§ 5 Unterauftragsverarbeiter

1. Der Kunde erteilt NYB die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.
2. NYB verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.
3. Neue oder geänderte Unterauftragsverarbeiter kündigt NYB mindestens vier Wochen vorher per E-Mail und im Portal an. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen.
4. Widerspricht der Kunde, suchen die Parteien eine Lösung. Ist keine zumutbar, kann jede Partei die betroffenen Leistungen zum Zeitpunkt des Wechsels kündigen. Widerspricht der Kunde nicht, gilt der Wechsel als genehmigt.
5. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post und Wartung von Hardware ohne Zugriff auf Daten, sowie Software, die NYB selbst auf eigenen oder gemieteten Servern betreibt.

§ 6 Rechte Betroffener, Kontrollen und Nachweise

1. Wendet sich eine betroffene Person direkt an NYB, leitet NYB die Anfrage unverzüglich an den Kunden weiter und antwortet nicht selbst, außer der Kunde weist dies an.
2. Viele Rechte kann der Kunde selbst im Portal umsetzen, etwa Formularanfragen einsehen, exportieren und löschen.
3. NYB weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach, insbesondere durch die aktuelle Anlage 1 und Auskünfte in Textform.
4. Der Kunde kann sich nach Anmeldung mit angemessener Frist, in der Regel zwei Wochen, und während der üblichen Geschäftszeiten von der Einhaltung überzeugen, auch durch einen zur Verschwiegenheit verpflichteten Prüfer. Prüfungen dürfen den Betrieb und die Daten anderer Kunden nicht beeinträchtigen. Für Prüfungen vor Ort kann NYB eine angemessene Vergütung verlangen.

§ 7 Löschung und Rückgabe

1. Nach Ende des Hauptvertrags kann der Kunde bis zum Vertragsende in Textform verlangen, dass NYB ihm seine Daten in einem gängigen Format übergibt (zum Beispiel Formularanfragen als CSV, Newsletter-Empfänger als CSV, Inhalte als Dateien).
2. Spätestens 30 Tage nach Vertragsende löscht NYB die Daten des Kunden in den laufenden Systemen.
3. In Datensicherungen bleiben Daten bis zum Ablauf ihres Sicherungszyklus erhalten, längstens 90 Tage, und werden dann gelöscht. Verschlüsselte Notfallkopien, die NYB getrennt vom Netz zum Schutz vor einem Totalausfall aufbewahrt, werden spätestens nach zwölf Monaten bereinigt. Bis dahin sind die Daten vor Zugriff geschützt und werden nur für eine Wiederherstellung verwendet.
4. Gesetzliche Aufbewahrungspflichten von NYB, etwa für Rechnungen, bleiben unberührt; sie betreffen nicht die im Auftrag verarbeiteten Daten.
5. NYB bestätigt die Löschung auf Anfrage in Textform.

§ 8 Änderungen der Anlagen, Haftung, Schlussbestimmungen

1. Anlage 1 (TOM) passt NYB dem Stand der Technik an. Änderungen sind ohne Zustimmung des Kunden zulässig, solange das Schutzniveau nicht sinkt. NYB stellt jede neue Fassung mit Datum und Versionsnummer im Portal bereit und hält frühere Fassungen vor.
2. Anlage 2 (Unterauftragsverarbeiter) ändert NYB nur nach dem Verfahren in § 5.
3. Die Haftung richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten im Übrigen die Haftungsregeln des Hauptvertrags.
4. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.
5. Es gilt deutsches Recht. Gerichtsstand ist Hannover, soweit der Kunde Kaufmann ist.
6. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle tritt eine Regelung, die den Anforderungen von Art. 28 DSGVO entspricht.