Auftragsverarbeitungsvertrag (AVV)

§ 1 Parteien, Gegenstand und Laufzeit

Auftragnehmer (Auftragsverarbeiter):
Norman Voellings, storeondemand
Urbanização Quinta da Torre 20
8365-184 Armação de Pêra, Portugal
USt-IdNr.: PT304893803
E-Mail: info@storeondemand.de

Auftraggeber (Verantwortlicher):
Der Kunde, der bei storeondemand die Erstellung eines Online-Shops und/oder dessen Betrieb (§ 12 AGB) beauftragt hat.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien für alle Tätigkeiten, bei denen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet (Hauptvertrag: Shop-Erstellung und/oder Betrieb nach den AGB). Er wird mit der Buchung Vertragsbestandteil (§ 11 Abs. 2 AGB) und läuft, solange der Auftragnehmer solche Daten verarbeitet.

§ 2 Art und Zweck der Verarbeitung

• Shop-Erstellung: Übernahme, Einrichtung und Test von Inhalten und Daten, die der Auftraggeber bereitstellt (z. B. Produkt-, Kontakt- oder Kundendaten für einen Import).
• Betrieb: Hosting des Shops, Speicherung der im Shop anfallenden Daten (u. a. Bestellungen, Kontaktanfragen, Server-Logs), technische und rechtlich veranlasste Updates, Störungsbeseitigung.
• Versand von System-E-Mails des Shops (z. B. Bestellbestätigungen), soweit der Shop dafür den Versanddienst des Auftragnehmers nutzt.

Die Zahlungsabwicklung im Shop erfolgt über das eigene Konto des Auftraggebers bei seinem Zahlungsdienstleister (§ 3 Abs. 3 AGB); der Zahlungsdienstleister ist kein Unterauftragsverarbeiter des Auftragnehmers.

§ 3 Art der Daten und Kategorien betroffener Personen

Daten:

• Stammdaten (Name, Anschrift)
• Kontaktdaten (E-Mail, Telefonnummer)
• Bestelldaten (Bestellnummer, Artikel, Beträge, Lieferdaten)
• Zahlungsstatus (keine vollständigen Zahlungsdaten – diese verarbeitet der Zahlungsdienstleister des Auftraggebers)
• Nutzungs- und Verbindungsdaten (IP-Adresse, Browserangaben, Zeitpunkte)

Betroffene:

• Besucher und Käufer des Shops des Auftraggebers
• Beschäftigte und Beauftragte des Auftraggebers
• Sonstige Personen, deren Daten der Auftraggeber bereitstellt

§ 4 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet. Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 5 Pflichten des Auftragnehmers

• Vertraulichkeit aller mit der Verarbeitung befassten Personen (Art. 28 Abs. 3 lit. b DSGVO)
• Geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO (§ 6)
• Unterstützung des Auftraggebers bei Anfragen betroffener Personen (Art. 12–22 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Art. 28 Abs. 3 lit. e, f DSGVO)
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber unverzüglich nach Kenntnis (Art. 33 Abs. 2 DSGVO), mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar
• Nach Ende der Verarbeitung Rückgabe oder Löschung aller Daten nach Wahl des Auftraggebers; ohne Wahl innerhalb von 30 Tagen nach Vertragsende Löschung, soweit keine gesetzliche Speicherpflicht besteht (Art. 28 Abs. 3 lit. g DSGVO)
• Bereitstellung aller Informationen zum Nachweis dieser Pflichten und Ermöglichung von Überprüfungen (§ 9; Art. 28 Abs. 3 lit. h DSGVO)

§ 6 Technische und organisatorische Maßnahmen

• Verarbeitung auf einem Server in einem Rechenzentrum in Deutschland (Frankfurt am Main)
• Verschlüsselte Übertragung (TLS/HTTPS) für Shop, Verwaltung und Serverzugang
• Zugriff auf Server und Datenbanken nur durch den Auftragnehmer mit persönlicher Authentifizierung
• Logische Trennung der Daten verschiedener Auftraggeber
• Zeitnahe Sicherheitsupdates von Betriebssystem und eingesetzter Software
• Regelmäßige Datensicherung

Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO):

• Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern — Bereitstellung des Servers (Rechenzentrum Frankfurt am Main, Deutschland)
• Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA — Versand von System-E-Mails des Shops, soweit genutzt (Versand über EU-Server in Irland)

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses AVV (Art. 28 Abs. 4 DSGVO). Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert er den Auftraggeber mindestens 30 Tage vorher in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Betriebsvertrag außerordentlich kündigen.

§ 8 Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb der EU/des EWR findet nur statt, wenn die Voraussetzungen der Art. 44–49 DSGVO erfüllt sind. Für Resend (USA) beruht sie auf der Zertifizierung unter dem EU-US Data Privacy Framework (Art. 45 DSGVO); ergänzend sind EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

§ 9 Kontrollrechte des Auftraggebers

Der Auftraggeber kann die Einhaltung dieses AVV überprüfen. Der Auftragnehmer stellt dazu auf Anfrage die erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Vor-Ort-Prüfungen in Rechenzentren von Unterauftragsverarbeitern richten sich nach deren Bedingungen; dort genügen in der Regel deren Prüfberichte und Zertifikate.

§ 10 Haftung und Ansprechpartner

Für die Haftung gilt Art. 82 DSGVO; im Übrigen § 10 der AGB. Ansprechpartner für Datenschutzfragen ist Norman Voellings, info@storeondemand.de.