Vertrag zur Auftragsverarbeitung

nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden der Plattform Werbematrix („Auftraggeber“) und Michael Meckelein, Meckelein E-Commerce, Am Finkenflug 23, 97292 Uettingen („Werbematrix“). Der Vertrag ist Bestandteil der AGB und wird mit ihnen elektronisch geschlossen.

§ 1 Gegenstand und Dauer

1. Werbematrix stellt dem Auftraggeber die gebuchten Module der Plattform bereit (Hauptvertrag) und verarbeitet dabei personenbezogene Daten in seinem Auftrag. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien dafür.
2. Nicht Gegenstand dieses Vertrags sind Daten, die Werbematrix als eigener Verantwortlicher verarbeitet, etwa zu Kundenkonto, Vertrag und Abrechnung. Dafür gilt die Datenschutzerklärung der Plattform.
3. Der Vertrag gilt, solange Werbematrix Daten im Auftrag verarbeitet.

§ 2 Art, Zweck, Daten und Betroffene

Art und Zweck der Verarbeitung, Datenarten und Betroffene ergeben sich aus Anlage 1. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) gibt der Auftraggeber nicht in die Plattform.

§ 3 Weisungen

1. Werbematrix verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, das Recht der EU oder eines Mitgliedstaats verpflichtet zu einer Verarbeitung; dann teilt Werbematrix dem Auftraggeber dies vorher mit, soweit das Recht es nicht verbietet.
2. Die Weisungen sind durch den Hauptvertrag und die Einstellungen festgelegt, die der Auftraggeber in der Plattform vornimmt. Weitere Einzelweisungen erteilt der Auftraggeber in Textform.
3. Hält Werbematrix eine Weisung für rechtswidrig, weist sie den Auftraggeber darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
4. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandelt Werbematrix als Änderungswunsch. Ist die Umsetzung nicht zumutbar, kann Werbematrix den betroffenen Teil der Leistung mit angemessener Frist kündigen.

§ 4 Pflichten von Werbematrix

1. Personen, die bei Werbematrix Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
2. Werbematrix trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 2) und darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
3. Die Daten werden in der EU bzw. im EWR verarbeitet. Eine Übermittlung in ein Drittland erfolgt nur über die in Anlage 3 genannten Unterauftragsverarbeiter und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
4. Werbematrix meldet dem Auftraggeber eine Verletzung des Schutzes seiner Daten unverzüglich nach Kenntnis.
5. Werbematrix unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter und erteilt die allgemeine Genehmigung, weitere hinzuzuziehen oder bestehende zu ersetzen.
2. Werbematrix informiert den Auftraggeber vorab in Textform über solche Änderungen. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann jede Partei die betroffenen Module zum Zeitpunkt der Änderung kündigen.
3. Werbematrix verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags.
4. Keine Unterauftragsverarbeiter sind Dienste, die der Auftraggeber selbst beauftragt und mit der Plattform verbindet, etwa sein Onlineshop, seine Werbekonten, sein Postfach oder sein Versanddienst. Für die Verarbeitung dort gelten die Verträge zwischen dem Auftraggeber und diesen Anbietern.

§ 6 Rechte der betroffenen Personen

1. Die Plattform stellt Funktionen bereit, mit denen der Auftraggeber Anfragen betroffener Personen selbst erledigen kann, insbesondere Export und Löschung.
2. Wendet sich eine betroffene Person direkt an Werbematrix, leitet Werbematrix die Anfrage an den Auftraggeber weiter.
3. Für Unterstützung, die über die Funktionen der Plattform hinausgeht, kann Werbematrix eine angemessene Vergütung verlangen, es sei denn, sie ist durch einen Verstoß von Werbematrix nötig geworden.

§ 7 Nachweise und Kontrollen

1. Werbematrix stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
2. Reichen diese im Einzelfall nicht aus, kann der Auftraggeber eine Prüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Sie ist mindestens 30 Tage vorher anzukündigen, findet zu Geschäftszeiten und höchstens einmal im Kalenderjahr statt und darf die Daten anderer Kunden nicht offenlegen. Wettbewerber kann Werbematrix als Prüfer ablehnen.
3. Für Prüfungen vor Ort kann Werbematrix eine angemessene Vergütung verlangen, es sei denn, die Prüfung deckt einen erheblichen Verstoß von Werbematrix auf.

§ 8 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Einwilligungen, Informationspflichten und die Auswahl der Daten, die er in die Plattform gibt oder übertragen lässt.
2. Der Auftraggeber informiert Werbematrix unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
3. Verarbeitet der Auftraggeber die Daten selbst im Auftrag eines Dritten (z. B. als Agentur), ist Werbematrix sein weiterer Auftragsverarbeiter. Der Auftraggeber stellt sicher, dass sein Auftraggeber dem zugestimmt hat, und leitet Weisungen und Anfragen über sich weiter.

§ 9 Ende des Vertrags

1. Nach Ende des Hauptvertrags bzw. eines Moduls kann der Auftraggeber seine Daten noch 30 Tage über die Exportfunktionen der Plattform herunterladen. Danach löscht Werbematrix die Daten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht.
2. Kopien in Datensicherungen werden im regulären Sicherungszyklus überschrieben.

§ 10 Haftung

Im Verhältnis der Parteien gilt die Haftungsregelung der AGB, auch für Ansprüche aus diesem Vertrag. Art. 82 DSGVO bleibt unberührt.

§ 11 Schlussbestimmungen

1. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.
2. Werbematrix kann diesen Vertrag und seine Anlagen ändern, wenn rechtliche Änderungen oder neue Funktionen es erfordern und das Schutzniveau nicht sinkt. Änderungen werden in Textform angekündigt; für Unterauftragsverarbeiter gilt § 5.
3. Es gilt deutsches Recht. Gerichtsstand ist der Sitz von Werbematrix, soweit der Auftraggeber Kaufmann ist.

Anlage 1: Gegenstand der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen

• Vertraulichkeit: Betrieb in einem nach ISO 27001 zertifizierten Rechenzentrum in Deutschland; Server mit Firewall, Zugang nur über verschlüsselte Verbindungen; Zugriffsrechte nach Rollen; Trennung der Daten verschiedener Kunden; verschlüsselte Speicherung von Zugangsdaten zu verbundenen Konten.
• Integrität: Übertragung ausschließlich verschlüsselt; Schutz gegen gefälschte Anfragen; Protokollierung von Änderungen in verbundenen Konten.
• Verfügbarkeit und Belastbarkeit: regelmäßige Datensicherung; Überwachung des Betriebs.
• Überprüfung: zeitnahe Sicherheitsupdates; Prüfung von Änderungen vor der Auslieferung; festgelegter Ablauf bei Datenschutzverletzungen; regelmäßige Überprüfung dieser Maßnahmen.

Anlage 3: Unterauftragsverarbeiter