Vertrag zur Auftragsverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 Abs. 3 DSGVO

zwischen dem jeweiligen Anbieter mit Unternehmensprofil auf hostrust.de (nachfolgend „Verantwortlicher“)

und der NORDINITY e.K., Inhaber Jan Trede, Norderkamp 1, 24803 Erfde (nachfolgend „Auftragsverarbeiter“).

Der Vertrag wird durch Bestätigung im Anbieterbereich abgeschlossen.

1. Gegenstand und Dauer

1. Der Auftragsverarbeiter versendet im Auftrag des Verantwortlichen Einladungen und Erinnerungen zur Abgabe von Bewertungen auf hostrust.de und verwaltet deren Status.
2. Der Vertrag gilt für die Dauer der Nutzung der Einladungsfunktionen. Er endet automatisch mit Beendigung des Nutzungsvertrags über das Unternehmensprofil.

2. Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

1. Art und Zweck: Planung, Versand und Statusverwaltung von Bewertungseinladungen und Erinnerungen, Auswertung von E-Mail-Kopfzeilen bei Einladungen per BCC, Beachtung von Abmeldungen.
2. Art der Daten: E-Mail-Adresse, Name, Referenz wie eine Bestell- oder Rechnungsnummer sowie Versand- und Statusdaten.
3. Betroffene Personen: Kundinnen und Kunden des Verantwortlichen.
4. Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland oder in einem anderen Mitgliedstaat der Europäischen Union statt.

3. Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Übermittlung der Daten und des Versands der Einladungen verantwortlich. Er stellt insbesondere sicher, dass eine Einwilligung vorliegt oder die Voraussetzungen des § 7 Abs. 3 UWG erfüllt sind.
2. Der Verantwortliche informiert die betroffenen Personen nach Art. 13 und 14 DSGVO über die Verarbeitung.

4. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet.
2. Die Weisungen ergeben sich aus diesem Vertrag und den Einstellungen, die der Verantwortliche im Anbieterbereich vornimmt.
3. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin.

5. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter: den Betreiber des Rechenzentrums in Deutschland, in dem hostrust.de betrieben wird, sowie gegebenenfalls einen E-Mail-Versanddienstleister mit Sitz in der Europäischen Union.
2. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter den Verantwortlichen vorab in Textform. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

8. Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO.
2. Er unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.
3. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, nachdem sie ihm bekannt geworden sind.

9. Löschung und Rückgabe

1. Einladungsdaten werden spätestens zwölf Monate nach ihrer Erstellung gelöscht, auf Weisung des Verantwortlichen früher.
2. Nach Beendigung des Vertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten, sofern keine gesetzliche Pflicht zur Speicherung besteht. Zur dauerhaften Beachtung von Abmeldungen wird ausschließlich ein nicht umkehrbarer Hashwert der E-Mail-Adresse gespeichert.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, nach vorheriger Abstimmung zu üblichen Geschäftszeiten.

11. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen der AGB für Anbieter.

12. Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Im Fall von Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1: Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung aller Verbindungen (TLS)
• Zugriff auf Verwaltungsfunktionen nur für berechtigte Personen mit individuellen Zugängen
• Speicherung von Passwörtern ausschließlich als Hashwert, Zugangsdaten zu Drittsystemen verschlüsselt
• Schutz vor unbefugten Zugriffen durch Firewall, regelmäßige Sicherheitsupdates und gehärtete Serversysteme
• Regelmäßige Datensicherungen in einem gesicherten Rechenzentrum in Deutschland
• Protokollierung von Änderungen im Verwaltungsbereich
• Begrenzung von Anfragen zum Schutz vor Missbrauch
• Datensparsamkeit: keine Speicherung von E-Mail-Inhalten bei BCC-Einladungen, keine Messung von E-Mail-Öffnungen