Vertrag zur Auftragsverarbeitung (AVV)

Präambel

Dieser Vertrag zur Auftragsverarbeitung („AVV") wird geschlossen zwischen dem Kunden als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO („Kunde") und der Birkholz & Rabitzsch GbR, Stüvestraße 15, 45144 Essen, als Auftragsverarbeiter („Anbieter"). Er konkretisiert die datenschutzrechtlichen Pflichten aus dem Nutzungsvertrag über die Plattform velno.ai (vgl. §16 Abs. 3 der AGB) und ist dessen Bestandteil.

Der AVV wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Mit der Zustimmung bei der Registrierung bzw. der weiteren Nutzung der Plattform stimmt der Kunde diesem AVV zu. Der Zeitpunkt der Zustimmung wird protokolliert.

§1 Gegenstand und Dauer

(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen erforderlich ist - insbesondere zur Erstellung und Verwaltung von Marktplatz-Angeboten, zur Abwicklung von Verkäufen und Bestellungen, zur Kommunikation mit Käufern sowie für Auswertungen des Kunden.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Sie endet mit dessen Beendigung, vorbehaltlich §9.

§2 Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

(1) Art und Zweck: Erhebung, Speicherung, Nutzung und Übermittlung im Rahmen der in §1 genannten Plattform-Funktionen.

(2) Kategorien personenbezogener Daten:

• Bestell- und Verkaufsdaten der angebundenen Marktplatz-Konten (z. B. Bestellnummern, Artikel, Preise)
• Namen, Liefer- und Rechnungsadressen sowie Kontaktdaten von Käufern
• Kommunikationsinhalte zwischen dem Kunden und seinen Käufern

(3) Kategorien betroffener Personen: Käufer und Interessenten des Kunden auf den angebundenen Marktplätzen.

§3 Weisungsgebundenheit

(1) Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO), sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall informiert der Anbieter den Kunden vor der Verarbeitung, sofern das Recht dies nicht verbietet.

(2) Die Nutzung und Konfiguration der Plattform-Funktionen durch den Kunden (z. B. das Anbinden von Konten, das Auslösen von Bestellungen bei vom Kunden gewählten Einkaufsquellen) gilt als Weisung. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.

§4 Vertraulichkeit

Der Anbieter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§5 Sicherheit der Verarbeitung

Der Anbieter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO - unter anderem Verschlüsselung bei der Übertragung, Zugriffs- und Berechtigungskontrollen sowie Protokollierung sicherheitsrelevanter Vorgänge. Eine aktuelle Übersicht der Maßnahmen stellt der Anbieter dem Kunden auf Anfrage bereit.

§6 Unterauftragsverarbeiter und Übermittlungen

(1) Der Kunde erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz von Unterauftragsverarbeitern, insbesondere für Hosting und Datenhaltung in der EU, Zahlungsabwicklung, E-Mail-Versand, KI-gestützte Texterstellung, Sendungsverfolgung sowie Auslieferungs- und Sicherheitsdienste. Die jeweils aktuellen Dienstleister ergeben sich aus der Datenschutzerklärung; über beabsichtigte Änderungen informiert der Anbieter, der Kunde kann aus wichtigem Grund widersprechen.

(2) Übermittlungen an vom Kunden gewählte Einkaufs- oder Lieferquellen (z. B. Marktplätze und Lieferanten zur Bestellabwicklung) erfolgen als weisungsgemäße Übermittlung im Auftrag des Kunden und sind keine Unterauftragsverarbeitung.

(3) Findet eine Verarbeitung in einem Drittland statt, stellt der Anbieter geeignete Garantien nach Kapitel V DSGVO sicher (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).

(4) Bei aktivierter Tracking-Umwandlung umfasst die Weisung des Kunden die Übermittlung der hierfür erforderlichen Bestell-, Empfänger- und Sendungsdaten an den Tracking-Dienst Aquiline. Der Kunde stellt die Rechtsgrundlage der Verarbeitung der Käuferdaten sicher und erfüllt seine Informationspflichten gegenüber den Käufern. Die Freigabe der Funktion ist eine Weisung des Kunden und ersetzt keine gegebenenfalls erforderliche Erklärung des betroffenen Käufers. Die Pflichten des Anbieters nach diesem AVV, insbesondere bei der Einbindung weiterer Auftragsverarbeiter und bei Drittlandübermittlungen, bleiben unberührt.

§7 Unterstützungspflichten

Der Anbieter unterstützt den Kunden mit angemessenen Mitteln bei der Beantwortung von Anträgen betroffener Personen (Art. 12-23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO (Art. 28 Abs. 3 lit. e und f DSGVO).

§8 Meldung von Verletzungen

Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die den Auftrag betreffen, unverzüglich nach Bekanntwerden und unterstützt ihn bei seinen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

§9 Löschung und Rückgabe

(1) Nach Beendigung des Nutzungsvertrags löscht der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Kunden zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Rechnungsdokumente werden zwölf Monate ab ihrer Erstellung vorgehalten und anschließend automatisch gelöscht. Die Löschung erfolgt auch während laufenden Vertrags und ist eine Weisung des Kunden im Sinne von §3. Sie dient der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO: die Dokumente enthalten Namen und Anschriften der Käufer des Kunden, für deren längere Vorhaltung beim Anbieter kein Zweck besteht.

(3) Gelöscht wird ausschließlich die Dokumentdatei. Rechnungsnummer, Datum, Beträge sowie der kryptografische Prüfwert des Dokuments verbleiben beim Anbieter, da sie keine personenbezogenen Daten der Käufer enthalten und dem Kunden ermöglichen, die Echtheit seiner eigenen archivierten Kopie zu belegen. Jede Löschung wird mit Anzahl und Nummernbereich in einem nachträglich nicht veränderbaren Protokoll festgehalten.

(4) Die Pflicht zur Aufbewahrung der Dokumente nach § 147 AO und § 14b UStG trifft den Kunden. Der Anbieter stellt hierfür einen jederzeitigen vollständigen Export bereit; die Plattform ist kein Archivsystem. Näheres in der Verfahrensdokumentation.

§10 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). Kontrollen erfolgen nach vorheriger Ankündigung, in der Regel durch Bereitstellung geeigneter Nachweise.

§11 Schlussbestimmungen

(1) Bei Widersprüchen zu den AGB geht dieser AVV in datenschutzrechtlichen Fragen vor.

(2) Änderungen dieses AVV werden dem Kunden in Textform mitgeteilt; §17 der AGB (Änderungen) gilt entsprechend.

(3) Es gilt das Recht der Bundesrepublik Deutschland.