Vertrag zur Auftragsverarbeitung gemäß Art. 28, DSGVO

Dies sind der Vertrag zur Auftragsverarbeitung gemäß Art. 28, DSGVO der SeaTable GmbH, 117er Ehrenhof 5, 55118 Mainz.

1. Gegenstand des Vertrages

1.1 Gegenstand des Vertrages zur Auftragsverarbeitung

Gegenstand des Vertrages ist die Bereitstellung des Online-Datenbankdienstes SeaTable (Online-Service) für einen oder mehrere Nutzer, die durch den Auftraggeber verwaltet werden, und die Erbringung damit im Zusammenhang stehenden Leistungen. Im Rahmen dieses Vertrages hat der Auftraggeber – je nach gebuchtem Abonnement bzw. gewählter Deployment-Option – die Möglichkeit, unter Nutzung eines Browsers und der Programmierschnittstelle (API) des Dienstes, Daten zu verarbeiten (zu erfassen, zu speichern, zu verändern, zu teilen und zu löschen).

1.2

Gegenstand des Vertrages ist nicht die originäre Nutzung oder Verarbeitung von personenbezogenen Daten durch den Auftragnehmer. Im Zuge der Leistungserbringung durch den Auftragnehmer als Betreiber des Online-Services und seiner Verpflichtungen bzgl. Support, Wartung, Datensicherung und Administration kann ein Zugriff auf personenbezogene Daten jedoch nicht ausgeschlossen werden.

1.3

Die Einzelheiten ergeben sich aus dem Vertrag, der unter der oben benannten Kundennummer zusammengefasst sind. Die Vereinbarung zur Auftragsverarbeitung findet Anwendung auf das gesamte Dienstleistungsverhältnis, sofern die in Punkt 1.1 beschriebenen Dienstleistungen betroffen sind.

1.4

Soweit nachfolgend von Daten die Rede ist, handelt es sich ausschließlich um personenbezogene Daten im Sinne der DSGVO. Die nachfolgenden Datenschutz- und Datensicherheitsbestimmungen finden Anwendung auf alle Leistungen der Auftragsverarbeitung i.S.d. Art. 28 Abs. 1 DSGVO, die der Auftragnehmer gegenüber dem Auftraggeber erbringt und auf alle Tätigkeiten, bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen können.

1.5

In Ergänzung zu dem zwischen den Parteien geschlossenen Vertrag konkretisieren die Vertragsparteien mit dem vorliegenden Auftragsverarbeitungsvertrag die gegenseitigen Pflichten im generellen Umgang mit den Daten des Auftraggebers.

2. Laufzeit, Beendigung, Löschung von Daten

2.1

Die Laufzeit des Vertrages richtet sich nach der Dauer der Erbringung von IT-Support-Leistungen durch den Auftragnehmer im Auftrag des Auftraggebers. Der Auftrag endet, wenn der Auftraggeber keine Leistungen des Auftragnehmers, entsprechend den Leistungsvereinbarungen / Angeboten der einzelnen Auftragsbestätigungen, mehr in Anspruch nimmt.

2.2

Die Rechte der durch den Datenumgang bei dem Auftragnehmer betroffenen Personen, insbesondere auf Berichtigung, Löschung und Sperrung, sind gegenüber dem Auftraggeber geltend zu machen. Er, der Auftraggeber, ist allein verantwortlich für die Wahrung dieser Rechte.

2.3

Nach Ende des Auftrags oder auf schriftliche Aufforderung durch den Auftraggeber hat der Auftragnehmer sämtliche Daten des Auftraggebers vollständig datenschutzgerecht in angemessener Frist zu löschen (einschließlich der verfahrens- oder sicherheitstechnisch notwendigen Kopien) oder an den Auftraggeber zurückzugeben. Das Gleiche gilt auch für Test- und Ausschussmaterial, das bis zur Löschung oder Rückgabe unter datenschutzgerechtem Verschluss zu halten ist. Dies gilt nicht für Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen oder soweit z.B. rechtliche Regelungen, gesetzliche Pflichten oder gerichtliche Verfügungen dem entgegenstehen. Entstehen durch eine Löschung vor Vertragsbeendigung zusätzliche Kosten, so trägt diese der Auftraggeber.

2.4

Der Auftragnehmer ist verpflichtet, im Rahmen seiner Tätigkeit für den Auftraggeber an ihn gerichtete Ersuchen Betroffener zur sachgerechten Bearbeitung unverzüglich an den Auftraggeber weiterzuleiten. Er ist nicht berechtigt, diese Ersuchen ohne Abstimmung mit dem Auftraggeber selbständig zu bescheiden.

2.5

Der Auftragnehmer hat den Auftraggeber bei der Umsetzung der Rechte der Betroffenen nach Kapitel III der DSGVO, insbesondere im Hinblick auf Berichtigung, Sperrung und Löschung, Benachrichtigung und Auskunftserteilung, im Rahmen der technischen Möglichkeiten, insbesondere hinsichtlich des Charakters der geschuldeten Dienstleistung, zu unterstützen.

2.6

Zu einem Datenträgeraustausch gemäß Art. 28 Abs. 3 lit. g DSGVO zwischen den Beteiligten dieser Auftragsverarbeitung kommt es nicht. Insoweit ist eine Rückgabe nicht zu regeln.

3. Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung und/oder Nutzung der Daten

3.1

Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung und / oder Nutzung der Daten ergeben sich aus dem zwischen den Vertragsparteien bestehenden Vertrag. Der Auftragnehmer ist verpflichtet, die ihm zur Verfügung gestellten personenbezogenen Daten ausschließlich zur vertraglich vereinbarten Leistung zu verwenden. Dem Auftragnehmer ist es gestattet, verfahrens- und sicherheitstechnisch erforderliche Zwischen-, Temporär- oder Duplikatsdateien zur leistungsgemäßen Erhebung, Verarbeitung und / oder Nutzung der personenbezogenen Daten zu erstellen, soweit dies nicht zu einer inhaltlichen Umgestaltung führt. Dem Auftragnehmer ist nicht gestattet, unautorisiert Kopien der personenbezogenen Daten zu erstellen. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

3.2

Soweit seitens des Auftragnehmers eine Erhebung, Verarbeitung und / oder Nutzung der Daten erfolgt, geschieht dies ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Jede Verlagerung in ein anderes Drittland bedarf der vorherigen Zustimmung des Auftraggebers

4. Art der Daten und Kreis der Betroffenen

4.1

Gegenstand der Erhebung, Verarbeitung und/oder Nutzung der Daten des Auftraggebers gem. Ziff. 1.2 Satz 2 sind folgende Datenarten:

• Personenstammdaten
• Kommunikationsdaten (z.B. Telefon, E-Mail)
• Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse)
• Kundenhistorie
• Vertragsabrechnungs- und Zahlungsdaten
• Auskunftsangaben (von Dritten oder aus öffentlichen Verzeichnissen)
• Sonstige Daten:

4.2

Der Kreis der durch den Umgang mit den Daten gem. Ziff. 1.2 Satz 2 Betroffenen umfasst:

• Kunden
• Interessenten
• Abonnenten
• Mitarbeiter
• Lieferanten
• Ansprechpartner
• Sonstige Betroffene:

5. Allgemeine Pflichten des Auftragnehmers gemäß Art. 28 – 33 DSGVO

5.1

Soweit seitens des Auftragnehmers eine Erhebung, Verarbeitung und/oder Nutzung der Daten erfolgt, ist dies nur zulässig im Rahmen der vertraglichen Vereinbarungen zwischen Auftraggeber und Auftragnehmer. Soweit der Auftragnehmer Zugriff auf Daten des Auftraggebers hat, verwendet er diese nicht für vertragsfremde Zwecke, insbesondere gibt er diese an Dritte nur weiter, soweit hierzu eine gesetzliche Verpflichtung besteht.

5.2

Der Auftragnehmer stellt die Wahrung der Vertraulichkeit entsprechend Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO sicher. Alle Personen, die auftragsgemäß auf die unter Punkt 4.1 aufgeführten Daten des Auftraggebers zugreifen könnten, müssen auf die Vertraulichkeit verpflichtet und über die sich aus diesem Auftrag ergebenden besonderen Datenschutzpflichten sowie die bestehende Weisungs- bzw. Zweckbindung belehrt werden.

5.3

Der Auftragnehmer stellt die Umsetzung und Einhaltung aller für diesen Auftrag notwendigen technischen und organisatorischen Maßnahmen entsprechend Art. 32 DSGVO sicher.

5.4

Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei von ihm oder der bei ihm beschäftigten Personen begangenen Verstößen gegen Datenschutzvorschriften.

5.5

Ein Datenschutzbeauftragter gemäß Art. 38, 39 DSGVO wird beim Auftragnehmer nicht bestellt, da die gesetzliche Notwendigkeit für eine Bestellung nicht vorliegt. Als Ansprechpartner wird Herr Dr. Ralf Dyllick-Brenzinger (rdb@seatable.io ) benannt.

6. Pflichten des Auftragnehmers bzgl. technisch-organisatorischer Maßnahmen (Art. 32 DSGVO)

6.1

Der Auftragnehmer gestaltet in seinem Verantwortungsbereich die innerbetriebliche Organisation so, dass sie den Anforderungen des Datenschutzes gerecht wird.

6.2

Die Parteien sind sich einig, dass die technischen und organisatorischen Maßnahmen dem technischen Fortschritt und der Weiterentwicklung unterliegen.

7. Unterauftragsverhältnisse (Art. 28 Abs. 2 und 4 DSGVO)

7.1

Der Auftraggeber ist damit einverstanden, dass der Auftragnehmer zur Erfüllung seiner vertraglich vereinbarten Leistungen Unterauftragnehmer einsetzt.

7.2

Der Auftragnehmer trägt dafür Sorge, dass dem Auftraggeber eine aktuelle Liste der eingesetzten Unterauftragnehmer stets zur Verfügung steht.

7.3

Erteilt der Auftragnehmer Aufträge an Unterauftragnehmer, so obliegt es dem Auftragnehmer, seine Pflichten aus diesem Auftragsverarbeitungsvertrag dem Unterauftragnehmer zu übertragen.

8. Pflichten des Auftraggebers (Art. 24 DSGVO und Art. 13 und 14 DSGVO)

8.1

Der Auftraggeber ist für die Einhaltung der für ihn einschlägigen datenschutzrechtlichen Regelungen verantwortlich.

9. Weisungsbefugnisse, Berichtigung, Löschung und Sperrung, Rechte Betroffener

9.1

Der Auftraggeber hat selbst jederzeit umfassenden Zugriff auf die Daten. Dem Auftraggeber steht in diesem Fall ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung gemäß Art. 29 i.V.m. 28 DSGVO zu.

10. Kontrollrechte des Auftraggebers

10.1

Der Auftraggeber hat das Recht, sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.

11. Fernwartung

11.1

Wenn der Auftragnehmer die Wartung und/oder Pflege der IT-Systeme im Wege der Fernwartung durchführt, hat der Auftragnehmer dem Auftraggeber eine wirksame Kontrolle der Fernwartungsarbeiten zu ermöglichen.

12. Salvatorische Klausel, Gerichtsstand

12.1

Sollte eine Bestimmung dieses Vertrages ungültig oder undurchsetzbar sein oder werden, so bleiben die übrigen Bestimmungen dieses Vertrages hiervon unberührt.

12.2

Als Gerichtsstand wird Mainz vereinbart.