Diese Vereinbarung ist keine Rechtsberatung und ersetzt keine anwaltliche Prüfung im Einzelfall. Bei Fragen zur Wirksamkeit oder zur Anpassung an Ihre konkrete Situation wenden Sie sich an einen Rechtsanwalt oder Datenschutzbeauftragten.
zwischen
dem Nutzer von plz-vertriebsplaner.de (nachfolgend „Verantwortlicher")
und
Schröder Onlinemarketing, Sabine Schröder, Liebigweg 6b, 26810 Westoverledingen — nachfolgend „Auftragsverarbeiter".
§ 1 Gegenstand und Dauer
Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der Premium-Funktion „Adress-Upload" von plz-vertriebsplaner.de, bei der der Verantwortliche eine eigene Adressliste (CSV-Datei) hochlädt und für jede Zeile automatisiert eine Entfernungsberechnung durchführen lässt. Die einfache PLZ- und Umkreissuche ohne Datei-Upload verarbeitet keine personenbezogenen Daten Dritter des Verantwortlichen und ist nicht Gegenstand dieser Vereinbarung. Die Dauer entspricht der Laufzeit des Nutzungsvertrags (AGB).
§ 2 Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Daten
Zweck: automatisierte Entfernungsberechnung zu vom Verantwortlichen hochgeladenen Adressen im Rahmen der Funktion „Adress-Upload".
Betroffene Personen: Dritte, die in den vom Verantwortlichen hochgeladenen Adresslisten enthalten sind (z. B. dessen eigene Kunden oder Interessenten).
Kategorien von Daten: Name, Postleitzahl (Pflichtfeld), Straße/Hausnummer und Ort (optional, abhängig von den durch den Verantwortlichen hochgeladenen Spalten der Adressliste).
§ 3 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung der Funktionen des Tools gilt als solche Weisung), es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet. Er gewährleistet, dass mit der Verarbeitung betraute Personen zur Vertraulichkeit verpflichtet sind.
§ 4 Weisungsrecht des Verantwortlichen
Der Verantwortliche hat das Recht, jederzeit Weisungen zu Art, Umfang und Verfahren der Verarbeitung zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich (auch per E-Mail) zu bestätigen.
§ 5 Technische und organisatorische Maßnahmen
Die vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind in Anlage 1 zu dieser Vereinbarung dargestellt, die vollständiger Vertragsbestandteil ist.
§ 6 Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Zweck |
|---|---|
| ALL-INKL.COM (ProfiHost AG), Deutschland | Hosting der Anwendung, der Datenbank und E-Mail-Versand |
| netcup GmbH, Deutschland | Server-Hosting für die Fahrstrecken-Berechnung (selbstgehosteter OSRM-Dienst), die zentrale Adressdatenbank und den Virenscan-Dienst (ClamAV) |
| Photon (komoot GmbH), Potsdam, Deutschland | Geocoding-Dienst zur Ermittlung fehlender oder unvollständiger Adresskoordinaten |
| PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg | Zahlungsabwicklung (Jahres-Abo, Einzelkauf, Zusatzkontingent) — nur soweit der Verantwortliche eine kostenpflichtige Leistung bezieht |
Alle vorgenannten Unterauftragsverarbeiter befinden sich in der Europäischen Union bzw. in Deutschland; eine Übermittlung in Drittländer findet nicht statt. Die Beauftragung weiterer Unterauftragsverarbeiter wird dem Verantwortlichen vorab angekündigt; widerspricht dieser nicht innerhalb von 14 Tagen, gilt die Zustimmung als erteilt.
§ 7 Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Anfragen betroffener Personen zur Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch) nach Kapitel III der DSGVO. Soweit eine betroffene Person sich unmittelbar an den Auftragsverarbeiter wendet, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter, sofern eine Zuordnung möglich ist.
§ 8 Kontrollrechte des Verantwortlichen
Der Verantwortliche hat das Recht, sich vor Beginn und während der Dauer der Verarbeitung von der Einhaltung der nach dieser Vereinbarung getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen die hierfür erforderlichen Auskünfte auf Anfrage in angemessenem Umfang zu erteilen und geeignete Nachweise (z. B. Selbstauskünfte, Dokumentationen) zur Verfügung zu stellen.
§ 9 Meldepflichten
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der beauftragten Verarbeitung unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden. Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, der betroffenen Datenkategorien und Personengruppen sowie der ergriffenen bzw. vorgeschlagenen Abhilfemaßnahmen.
§ 10 Löschung und Rückgabe
Ausgangsdatei, Zwischenergebnisse und Ergebnisdatei eines Adress-Uploads werden spätestens 30 Tage nach Fertigstellung des jeweiligen Upload-Batches automatisch gelöscht. Eine darüber hinausgehende Aufbewahrung findet nicht statt, es sei denn, der Verantwortliche fordert vor Ablauf dieser Frist eine Rückgabe oder gesetzliche Aufbewahrungspflichten stehen der Löschung entgegen.
§ 11 Haftung
Es gelten die gesetzlichen Haftungsregelungen der DSGVO, insbesondere Art. 82 DSGVO. Im Übrigen haften die Parteien nach Maßgabe der zwischen ihnen bestehenden vertraglichen Vereinbarungen (AGB), soweit diese wirksam sind und der DSGVO nicht entgegenstehen.
§ 12 Verzeichnis von Verarbeitungstätigkeiten
Der Auftragsverarbeiter führt ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) und stellt dem Verantwortlichen die dafür erforderlichen Angaben auf Anfrage zur Aufnahme in dessen eigenes Verzeichnis (Art. 30 Abs. 1 DSGVO) zur Verfügung.
§ 13 Außerordentliches Kündigungsrecht
Der Verantwortliche kann diese Vereinbarung und den zugrundeliegenden Nutzungsvertrag fristlos kündigen, wenn der Auftragsverarbeiter seinen Pflichten aus dieser Vereinbarung nicht nachkommt, Bestimmungen der DSGVO vorsätzlich oder grob fahrlässig verletzt oder sich den Kontrollrechten nach § 8 vertragswidrig widersetzt.
§ 14 Schlussbestimmungen
Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.
Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
1. Vertraulichkeit
- Verschlüsselte Datenübertragung (TLS) für sämtliche Verbindungen zur Anwendung
- Zugriff auf hochgeladene Adresslisten und Ergebnisdaten nur nach Authentifizierung (Login) des Verantwortlichen
2. Integrität
- Virenscan aller hochgeladenen Dateien vor der Verarbeitung (ClamAV, Fail-Closed: Verarbeitung wird bei Scan-Fehler oder Fund blockiert)
- Hash-verkettete, manipulationssichere Protokollierung der AVV-Zustimmung selbst (siehe § 1)
3. Verfügbarkeit und Belastbarkeit
- Rate-Limiting und Kontingentschutz zur Absicherung gegen Missbrauch und Überlastung
- Regelmäßige Sicherheitsupdates von Server- und Anwendungssoftware
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
- Fortlaufende Weiterentwicklung der Sicherheitsmaßnahmen anhand erkannter Schwachstellen
- Auskunft über die Umsetzung dieser Maßnahmen auf Anfrage des Verantwortlichen (§ 8)