§1 Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Auftraggeber eine Online-Plattform zur Erstellung und zum Betrieb von Advents- und Countdown-Kalender-Kampagnen zur Verfügung („Hauptvertrag"). Im Rahmen der Nutzung der Plattform verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers. Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien und gilt für die Laufzeit des Hauptvertrags.
§2 Art, Umfang und Zweck der Verarbeitung
(1) Gegenstand der Verarbeitung. Die Verarbeitung umfasst insbesondere:
- Stamm- und Kontaktdaten von Teilnehmern (Name, E-Mail-Adresse)
- Zustimmungs- und Opt-in-Informationen (Newsletter, AGB, Datenschutzhinweise)
- Teilnahmehistorie (geöffnete Türchen, Zeitstempel)
- Gewinn- und Benachrichtigungsinformationen bei Gewinnspielen
- Technische Zugriffsdaten (IP-Adresse, User-Agent), soweit für den Betrieb erforderlich
(2) Kategorien betroffener Personen: Teilnehmer der erstellten Kampagnen sowie Mitarbeitende des Auftraggebers.
(3) Zweck: Betrieb der gebuchten Plattform-Funktionen, technische Zustellung, Abrechnung, Erfüllung gesetzlicher Pflichten.
(4) Ort: EU/EWR. Drittland-Übermittlungen nur unter Kapitel V DSGVO.
§3 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft geeignete Maßnahmen gemäß Art. 32 DSGVO, insbesondere TLS-Verschlüsselung, Zugriffskontrolle, Mandantentrennung, Passwort-Hashing, Back-ups und dokumentierte Wiederherstellungsprozesse. Eine detaillierte TOM-Liste ist auf Anfrage erhältlich.
§4 Weisungsrecht
Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisungen gelten die Konfigurationseinstellungen und Funktionsnutzungen innerhalb der Plattform sowie ergänzende schriftliche Weisungen.
§5 Unterstützung der Betroffenenrechte
Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung von Art. 12–22 DSGVO (Auskunft, Berichtigung, Löschung) durch geeignete technische Mittel (z.B. Export, Datenlöschung auf Anforderung).
§6 Unterauftragsverarbeiter
Es können weitere Auftragsverarbeiter herangezogen werden: Hosting-Provider, Zahlungsdienstleister (PayPal), ggf. SMTP-Dienstleister. Änderungen werden mitgeteilt; Widerspruch innerhalb von 30 Tagen möglich.
§7 Mitteilung bei Verletzungen
Meldung von Datenschutzverletzungen an den Auftraggeber innerhalb von 72 Stunden nach Kenntnis (Art. 33 DSGVO).
§8 Kontrollrechte
Überprüfung durch Auskünfte, Nachweise oder — nach Ankündigung — Vor-Ort-Kontrollen während der Geschäftszeiten.
§9 Löschung/Rückgabe
Nach Ende des Hauptvertrags Rückgabe oder Löschung aller im Auftrag verarbeiteten Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
§10 Haftung
Gemäß Art. 82 DSGVO; im Innenverhältnis nach Hauptvertrag.
§11 Schlussbestimmungen
Laufzeit: Dauer des Hauptvertrags. Änderungen: Textform. Salvatorische Klausel. Deutsches Recht.
Vollständiger Vertragstext einschließlich Parteien und Audit-Daten auch als PDF nach Zustimmung.