Auftragsdatenvereinbarung (kurz AVV)
Zuletzt aktualisiert am 02. Mai 2023.
Auftragsverarbeitungsvertrag personenbezogener Daten nach Art. 28 DSGVO (AVV)
Zwischen
_____________________
_____________________
_____________________
_____________________
_____________________
– Verantwortlicher, nachstehend Auftraggeber genannt –
und
ticketbro GmbH
vertreten durch Dirk Mönning, Alexander Pohlein, Fabian Finke
Habichtshöhe 88
D-48282 Emsdetten
– Auftragsverarbeiter, nachstehend Auftragnehmer genannt –
Präambel
Diese Vereinbarung konkretisiert die Verpflichtung der Vertragsparteien zum Datenschutz, die sich in ihren Einzelheiten beschriebenen Auftragsverarbeitung ergeben. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Vertrag in Zusammenhang stehen und bei denen Beschäftigte des Auftragnehmers oder durch den Auftragnehmer Beauftragte personenbezogene Daten („Daten“) des Auftraggebers verarbeiten.
Die Vereinbarung gilt entsprechend für (Fern-) Prüfung und Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen, wenn dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
1. Einleitung, Geltungsbereich, Definitionen
Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und -nehmer (im Folgenden „Parteien“ genannt) im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag.
Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen Mitarbeiter des Auftragnehmers oder durch ihn beauftragte Unterauftragnehmer (Subunternehmer) personenbezogene Daten des Auftraggebers in dessen Auftrag verarbeiten.
In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der EU Datenschutz-Grundverordnung zu verstehen. In diesem Sinne ist der Auftraggeber der „Verantwortliche“, der Auftragnehmer der „Auftragsverarbeiter“. Soweit Erklärungen im Folgenden „schriftlich“ zu erfolgen haben, ist die Schriftform nach § 126 BGB gemeint. Im Übrigen können Erklärungen auch in anderer Form erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.
Weiterhin haben nachfolgende Begriffe die ihnen zugeordnete Bedeutung, soweit sich aus dem Kontext nicht ausdrücklich etwas anderes ergibt:
ticketbro Plattform: Gesamtheit aller Dienste des Auftragnehmers
Drittländer: Länder außerhalb des Europäische Wirtschaftsraum (EWR)
2. Gegenstand und Dauer der Verarbeitung
Der Auftragnehmer übernimmt folgende Verarbeitungen:Verarbeitung von personenbezogenen Daten im Bereich Software-as-a-Service (SaaS) Tool (ticketbro Plattform) zur Erfüllung der vom Auftraggeber bezahlten Leistungen im Bereich Vermarktung, Verwaltung und Verkauf seiner Angebote. Dazu gehören insbesondere die Erbringung der folgenden Leistungen:
Zur Verfügung Stellung der ticketbro Plattform zum Online-Vertrieb & -Verkauf von Eintrittskarten, Tickets jeglicher Art & sonstige Produkte wie beispielsweise Essen, Getränke, Fahrchips oder Express-Pässe.
Betreuung und Abrechnung der gesamten Kauf- und Zahlungsabwicklungen
Support für Endkunden (z.B. Ticketkäufern) und Merchants (z.B. Freizeitpark-Besitzer)
**Die Verarbeitung beruht auf dem zwischen den Parteien bestehenden Dienstleistungsvertrag (im Folgenden „Hauptvertrag).
Die Verarbeitung beginnt mit der bestehenden Leistungsvereinbarung und erfolgt auf unbestimmte Zeit bis zur Kündigung dieses Vertrags oder des Hauptvertrags durch eine Partei.
Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer enthaltenen Bestandteile - einschließlich etwaiger Zusicherungen des Auftragnehmers - bedürfen einer schriftlichen oder in einem elektronischen Format abgefassten Vereinbarung, die den ausdrücklichen Hinweis darauf enthält, dass es sich um eine Änderung bzw. Ergänzung dieser Vereinbarung handelt.
Soweit sich aus anderen Vereinbarungen zwischen Auftraggeber und Auftragnehmer anderweitige Abreden zum Schutz personenbezogener Daten ergeben, soll dieser Vertrag zur Auftragsverarbeitung vorrangig gelten, es sei denn die Parteien vereinbaren ausdrücklich etwas anderes.
3. Art, Zweck und Betroffene der Datenverarbeitung
Aus dem Hauptvertrag ergeben sich Art und Zweck der Verarbeitung. Im Einzelfall sind insbesondere die folgenden Daten Bestandteil der Datenverarbeitung:
Art der Daten:
Angaben zur Person
Vorname, Nachname
E-Mail Adresse
Telefonnummer
Anschrift
Geburtsdatum
Ggfs. IBAN, BIC, Steuernummer, Firmenname, Kopie des Lichtbildausweises
Online-bezogene Daten:
Cookie/Sitzungsidentifikationsnummer
IP-Adresse
Zeitstempel
Login-Daten
Kundendaten:
Name
E-Mail Adresse
Telefonnummer
Zahlungsart
Art und Zweck der Datenverarbeitung:
Online-Registrierung, -Kauf und Zahlungsabwicklung
Versand von Tickets & Eintrittskarten, Merchant- & Kunden-Support, Marketingaktionen
Kategorien der betroffenen Personen:
Endkunden (z.B. Ticketkäufer)
Interessenten
Kunden
Nutzer
Merchants (Veranstalter - z.B. Freizeitpark-Besitzer)
Angestellte
Auszubildende
Gewerbliche Mitarbeiter
Mitarbeiter
Praktikanten
Geschäftsführer / Inhaber / Betreiber
4. Technische-organisatorische Maßnahmen
Der Auftragnehmer ergreift in seinem Verantwortungsbereich alle erforderlichen technisch-organisatorische Maßnahmen gem. Art. 32 DSGVO zum Schutz der personenbezogenen Daten und übergibt dem Auftraggeber die Dokumentation zur Prüfung [Annex 1]. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Vertrags.
Soweit die Prüfung/ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.
Die vereinbarten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer zukünftig gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Über wesentliche Änderungen, die durch den Auftragnehmer zu dokumentieren sind, ist der Auftraggeber unverzüglich in Kenntnis zu setzten.
5. Anwendungsbereich und Verantwortlichkeit
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätigkeiten, die im Hauptvertrag und in der Leistungsbeschreibung konkretisiert sind. Der Auftraggeber ist im Rahmen dieser Anlage für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (»Verantwortlicher« im Sinne des Art. 4 Nr. 7 DSGVO).
Die Weisungen werden anfänglich durch den Hauptvertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in einem elektronischen Format (Textform) an die vom Auftragnehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Gemäß Weisung verwendet der Auftragnehmer die zur Datenverarbeitung überlassenen Daten für keine anderen Zwecke als unter § 1 aufgeführt. Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Der Auftragnehmer ist jedoch berechtigt, Daten im Zuge der normalen Geschäftsabläufe, wie z.B. für interne Backups zu kopieren.
6. Rechte von betroffenen Personen
Der Auftragnehmer unterstützt den Auftraggeber in seinem Verantwortungsbereich und soweit möglich mittels geeigneter technisch-organisatorischer Maßnahmen bei der Beantwortung und Umsetzung von Anträgen betroffener Personen hinsichtlich ihrer Datenschutzrechte. Er darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers beauskunften, portieren, berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
Soweit vom Leistungsumfang umfasst, sind die Rechte auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung sowie Datenportabilität nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.
7. Pflichten des Auftragnehmers
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für ihn bestehen, teilt der Auftragnehmer diese dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Der Auftragnehmer verwendet darüber hinaus die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.
Der Auftragnehmer bestätigt, dass ihm die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.
Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.
Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.
Der Auftragnehmer sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Entsprechende Schulungs- und Sensibilisierungsmaßnahmen sind angemessen regelmäßig zu wiederholen. Der Auftragnehmer trägt dafür Sorge, dass zur Auftragsverarbeitung eingesetzte Personen hinsichtlich der Erfüllung der Datenschutzanforderungen laufend angemessen angeleitet und überwacht werden.
Im Zusammenhang mit der beauftragten Verarbeitung unterstützt der Auftragnehmer den Auftraggeber soweit erforderlich bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten, bei Durchführung der Datenschutzfolgeabschätzung und einer notwendigen Konsultation der Aufsichtsbehörde. Die erforderlichen Angaben und Dokumentationen sind vorzuhalten und dem Auftraggeber auf Anforderung unverzüglich zuzuleiten.
Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich der Auftragnehmer den Auftraggeber im erforderlichen Umfang zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist.
Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen. Direkt an ihn gerichtete Anfragen wird er unverzüglich an den Auftraggeber weiterleiten.
Soweit gesetzlich verpflichtet, bestellt der Auftragnehmer eine fachkundige und zuverlässige Person als Beauftragten für den Datenschutz. Es ist sicherzustellen, dass für den Beauftragten keine Interessenskonflikte bestehen. In Zweifelsfällen kann sich der Auftraggeber direkt an den Datenschutzbeauftragten wenden. Der Auftragnehmer teilt dem Auftraggeber unverzüglich die Kontaktdaten des Datenschutzbeauftragten mit oder begründet, weshalb kein Beauftragter bestellt wurde. Änderungen in der Person oder den innerbetrieblichen Aufgaben des Beauftragten teilt der Auftragnehmer dem Auftraggeber unverzüglich mit.
Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU oder des EWR. Jegliche Verlagerung in ein Drittland darf nur mit Zustimmung des Auftraggebers und unter den in Kapitel V der Datenschutz-Grundverordnung enthaltenen Bedingungen sowie bei Einhaltung der Bestimmungen dieses Vertrags erfolgen.
Daten, Datenträger sowie sämtliche sonstige Materialien sind nach Auftragsende auf Verlangen des Auftraggebers entweder herauszugeben oder zu löschen. Entstehen zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten, so trägt diese der Auftraggeber.
Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO, verpflichtet sich der Auftragnehmer den Auftraggeber bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.
Dieser Vertrag entbindet den Auftragnehmer nicht von der Einhaltung anderer Vorgaben der DSGVO.
8. Sicherheit der Verarbeitung
Die im Annex 1 beschriebenen Datensicherheitsmaßnahmen werden als verbindlich festgelegt. Sie definieren das vom Auftragnehmer geschuldete Minimum. Die Beschreibung der Maßnahmen muss so detailliert erfolgen, dass für einen sachkundigen Dritten allein aufgrund der Beschreibung jederzeit zweifelsfrei erkennbar ist, was das geschuldete Minimum sein soll. Ein Verweis auf Informationen, die dieser Vereinbarung oder ihren Anlagen nicht unmittelbar entnommen werden können, ist nicht zulässig.
Die Datensicherheitsmaßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das hier vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen hat der Auftragnehmer unverzüglich umzusetzen. Änderungen sind dem Auftraggeber unverzüglich mitzuteilen. Wesentliche Änderungen sind zwischen den Parteien zu vereinbaren.
Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht oder nicht mehr genügen, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.
Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind technisch notwendige, temporäre Vervielfältigungen, soweit eine Beeinträchtigung des hier vereinbarten Datenschutzniveaus ausgeschlossen ist.
Die Verarbeitung von Daten in Privatwohnungen ist gestattet. Soweit keine sonstige Verarbeitung erfolgt, ist vom Auftragnehmer sicherzustellen, dass dabei ein diesem Vertrag entsprechendes Niveau an Datenschutz und Datensicherheit aufrechterhalten wird und die in diesem Vertrag bestimmten Kontrollrechte des Auftraggebers uneingeschränkt auch in den betroffenen Privatwohnungen ausgeübt werden können.
Der Auftragnehmer führt den regelmäßigen Nachweis der Erfüllung seiner Pflichten, insbesondere der vollständigen Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen sowie ihrer Wirksamkeit. Der Nachweis ist dem Auftraggeber jederzeit auf Anforderung zu überlassen. Der Nachweis kann durch genehmigte Verhaltensregeln oder ein genehmigtes Zertifizierungsverfahren erbracht werden. Nachweise sind mindestens bis zum Ablauf drei Kalenderjahren nach Beendigung der Auftragsverarbeitung aufzubewahren und dem Auftraggeber jederzeit auf Verlangen vorzulegen.
9. Regelungen zur Berechtigung, Löschung und Sperrung von Daten
Im Rahmen des Auftrags verarbeitete Daten wird der Auftragnehmer nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder sperren. Die Weisung muss schriftlich erfolgen über die Emailadresse datenschutz@ticketbro.io. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
Den entsprechenden Weisungen des Auftraggebers wird der Auftragnehmer jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten.
Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.
10. Unterauftragsverhältnisse
Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post- /Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
Die Auslagerung auf Unterauftragnehmer und der Wechsel des bestehenden Unterauftragnehmers sind zulässig, soweit:
der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab schriftlich oder in Textform anzeigt, wobei die Anzeige auch durch Vorab- Aktualisierung des Annex 2 dieser Vereinbarung geschehen kann, welche durch den Auftraggeber in regelmäßigen Abständen geprüft wird, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben, und
die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.
Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätig werden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet.
Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher. Gleiches gilt, wenn Dienstleister im Sinne von Abs. 1 Satz 2 eingesetzt werden sollen.
Sämtliche vertraglichen Regelungen in der Vertragskette sind auch den Unterauftragnehmern aufzuerlegen.
11. Internationale Datentransfers
Jede Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation bedarf einer dokumentierten Weisung des Auftraggebers und bedarf der Einhaltung der Vorgaben zur Übermittlung personenbezogener Daten in Drittländer nach Kapitel V der DSGVO. Der Auftraggeber gestattet eine Datenübermittlung in ein Drittland. In Annex 2 werden die Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus aus Art 44 ff. DSGVO im Rahmen der Unterbeauftragung spezifiziert.
Soweit der Auftraggeber eine Datenübermittlung an Dritte in ein Drittland anweist, ist er für die Einhaltung von Kapitel V der DSGVO verantwortlich.
12. Rechte und Pflichten des Auftraggebers
Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich.
Der Auftraggeber erteilt alle Aufträge, Teilaufträge oder Weisungen dokumentiert. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen wird der Auftraggeber unverzüglich dokumentiert bestätigen.
Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang selbst oder durch Dritte, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie sonstige Kontrollen vor Ort zu kontrollieren. Den mit der Kontrolle betrauten Personen ist vom Auftragnehmer soweit erforderlich Zutritt und Einblick zu ermöglichen. Der Auftragnehmer ist verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind. Der Auftragnehmer ist berechtigt, Kontrollen durch Dritte zu verweigern, soweit diese mit ihm in einem Wettbewerbsverhältnis stehen oder ähnlich gewichtige Gründe vorliegen.
Kontrollen beim Auftragnehmer haben ohne vermeidbare Störungen seines Geschäftsbetriebs zu erfolgen. Soweit nicht aus vom Auftraggeber zu dokumentierenden, dringlichen Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten des Auftragnehmers, sowie nicht häufiger als alle 36 Monate statt. Soweit der Auftragnehmer den Nachweis der korrekten Umsetzung der vereinbarten Datenschutzpflichten vorgesehen erbringt, soll sich eine Kontrolle auf Stichproben beschränken.
Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
Für die Ermöglichung von Kontrollen durch den Auftraggeber kann der Auftragnehmer einen Vergütungsanspruch geltend machen.
13. Mitteilungspflichten
Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes im Auftrag verarbeiteter personenbezogener Daten unverzüglich mit. Auch begründete Verdachtsfälle hierauf sind mitzuteilen. Die Mitteilung hat spätestens innerhalb von 48 Stunden ab Kenntnis des Auftragnehmers vom relevanten Ereignis an eine vom Auftraggeber benannte Adresse zu erfolgen. Sie muss mindestens folgende Angaben enthalten:
eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
eine Beschreibung der vom Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen
Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die in diesem Vertrag getroffenen Festlegungen.
Der Auftragnehmer informiert den Auftraggeber unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen.
Der Auftragnehmer sichert zu, den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 Datenschutz-Grundverordnung im erforderlichen Umfang zu unterstützen.
14. Weisungsbefugnis
Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.
Auftraggeber und Auftragnehmer benennen die zur Erteilung und Annahme von Weisungen ausschließlich befugten Personen in Annex 3.
Bei einem Wechsel oder einer längerfristigen Verhinderung der benannten Personen sind der anderen Partei Nachfolger bzw. Vertreter unverzüglich mitzuteilen.
Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
Der Auftragnehmer hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.
Der Auftragnehmer verarbeitet personenbezogene Daten nur auf Basis dokumentierter Weisungen des Auftraggebers, es sei denn er ist nach dem Recht des Mitgliedstaats oder nach Unionsrecht zu einer Verarbeitung verpflichtet. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich (mind. Textform). Die anfänglichen Weisungen des Auftraggebers werden durch diesen Vertrag festgelegt.
Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
15. Löschung und Rückgabe von personenbezogenen Daten
Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens aber mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.
16. Beendigung des Auftrags
Befinden sich bei Beendigung des Auftragsverhältnisses im Auftrag verarbeitete Daten oder Kopien derselben noch in der Verfügungsgewalt des Auftragnehmers, hat dieser des nach Wahl des Auftraggebers die Daten entweder zu vernichten oder an den Auftraggeber zu übergeben. Die Wahl hat der Auftraggeber innerhalb von 2 Wochen nach entsprechender Aufforderung durch den Auftragnehmer zu treffen. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Eine physische Vernichtung erfolgt gemäß DIN 66399.
Der Auftragnehmer ist verpflichtet, die unverzügliche Vernichtung bzw. Rückgabe auch bei Subunternehmern herbeizuführen.
Der Auftragnehmer hat den Nachweis der ordnungsgemäßen Vernichtung zu führen und dem Auftraggeber unverzüglich vorzulegen.
Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer mindestens bis zum Ablauf des dritten Kalenderjahres nach Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung dem Auftraggeber übergeben.
17. Haftung
Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer gesamtschuldnerisch.
Der Auftragnehmer trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit die relevanten Daten von ihm unter dieser Vereinbarung verarbeitet wurden. Solange dieser Beweis nicht erbracht wurde, stellt der Auftragnehmer den Auftraggeber auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der Auftragsverarbeitung gegen den Auftraggeber erhoben werden. Unter diesen Voraussetzungen ersetzt der Auftragnehmer dem Auftraggeber ebenfalls sämtliche entstandenen Kosten der Rechtsverteidigung.
Der Auftragnehmer haftet nicht für Schäden, die der Auftragnehmer, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten oder die von ihm eingesetzten Subdienstleister im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursachen.
18. Sonderkündigungsrecht
Der Auftraggeber kann den Hauptvertrag und diese Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen („außerordentliche Kündigung“), wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, der Auftragnehmer eine rechtmäßige Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert.
Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Auftragnehmer die in dieser Vereinbarung bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen in erheblichem Maße nicht erfüllt oder nicht erfüllt hat.
Bei unerheblichen Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, so ist der Auftraggeber zur außerordentlichen Kündigung wie in diesem Abschnitt beschrieben berechtigt.
Der Auftragnehmer hat dem Auftraggeber alle Kosten zu erstatten, die diesem durch die verfrühte Beendigung des Hauptvertrages oder dieses Vertrages in Folge einer außerordentlichen Kündigung durch den Auftraggeber entstehen.
19. Informationspflichten, Schriftformklausel, Rechtswahl
Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur schriftlichen Freigabe durch die andere Partei als vertraulich zu behandeln.
Sollte Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen.
Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
Für Nebenabreden ist die Schriftform und die ausdrückliche Bezugnahme auf diese Vereinbarung erforderlich.
Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
Es gilt deutsches Recht.
___________________
Ort, Datum
___________________
Auftraggeber
___________________
Ort, Datum
___________________
Auftragnehmer
Annex 1 - technische und organisatorische Maßnahmen
Im Folgenden werden die auftragsbezogenen technischen und organisatorischen Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit festgelegt, die der Auftragnehmer mindestens einzurichten und laufend aufrecht zu erhalten hat. Ziel ist die Gewährleistung insbesondere der Vertraulichkeit, Integrität und Verfügbarkeit der im Auftrag verarbeiteten Informationen.
Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
a) Zutrittskontrolle
Der Auftragnehmer stellt anhand von Schlüsseln sicher, dass nur autorisierte Personen Zutritt zu ihren Räumlichkeiten haben.
Mitarbeitern im Homeoffice ist es untersagt, außerhalb des Bürogeländes betriebliche Unterlagen auf Papier oder portablen Datenträgern zu nutzen. Daten sind ausschließlich über die zentrale Datenverwaltung zu nutzen.
b) Zugangskontrolle
Der Auftragnehmer gewährt Mitarbeitern nur auf die Systeme Zugriff, welche er für die Ausführung seiner konkreten Aufgaben benötigt.
Den Zugang zu den eigenen Systemen regelte der Auftragnehmer über sichere personalisierte Passwörter und Passwortverfahren. Berechtigungen sind an eine persönliche Benutzerkennung und an einen Account geknüpft. Außerdem verfügen alle Mitarbeiter des Auftragnehmers über ein Passwortmanagementsystem (1Password), welches im Bedarfsfall zufällige Passwörter für sensible Systeme festlegt.
Passwörter des Auftragnehmers unterliegen Mindestanforderungen (wie min 16. Zeichen, Sonderzeichen, Zahlen, Großbuchstaben) an Sicherheitsbestimmungen.
Alle Datenträger sind verschlüsselt.
Alle Windows Laptops nutzen die Full Disk Hardware Encryption der verbauten SSDs. Alle MacBooks nutzen die integrierte Filevault Encryption von MacOS.
c) Zugriffskontrolle
Zugangsberechtigte können nur auf Daten zugreifen, die in ihrem individuellen Berechtigungsprofil eingerichtet sind
Zum Erstellen und Ändern von Berechtigungsprofilen gibt es strenge Regelungen und Verfahren, welche die Genehmigung durch die Geschäftsführung einschließen.
Alle Services des Auftragnehmers werden kontinuierlich überwacht.
d) Trennungskontrolle
Berechtigungskonzepte verhindern die ungeplante Verwendung sensibler Daten. Der Zugriff auf die Daten selbst ist zudem dadurch eingeschränkt, dass die Mitarbeiter Services (Applikationen) verwenden, welche den Zugriff steuern und kein Beschreiben der Daten zulassen.
Alle Kundendaten werden in der selben Datenbank verwaltet, da es systembedingt nicht möglich ist diese auf Datenbankebene zu trennen. Da ohnehin ausschließlich über entsprechende Software auf die Daten zugegriffen werden darf, wird Trennung über ein Rollenkonzept in der Software sichergestellt.
Ausnahmen gelten für Developer und das Kundenservice-Team, die zur Fehlerbehebung direkt auf die Datenbank zugreifen dürfen. Dieser Zugriff erfolgt ausschließlich lesend, so dass keine Daten am Rollenkonzept vorbei verändert werden können.
Es erfolgt eine Trennung von Test- und Produktivsystemen. Sollten Softwareneuerungen der Trennungskontrolle nicht genügen, werden diese im Testsystem aufgedeckt und nicht in das Produktivsystem übernommen.
e) Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)
Daten für interne Auswertungen zu statistischen Zwecken zur Produktivitätssteigerung werden vor der Verarbeitung anonymisiert indem die IP-Adressen gekürzt bzw. zufällig verändert werden.
Insbesondere im Bereich des Online-Marketings wird ausschließlich mit pseudonymen Online-Identifiern und -Profilen gearbeitet. Diese werden mittels des sogenannten ’Hashings’ pseudonymisiert.
Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
a) Weitergabekontrolle
Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei der elektronischer Übertragung.
Alle Transportwege sind SSL- verschlüsselt.
Das Profil- und Benutzermanagement für die Datenauslesung des Auftraggebers liegen beim Auftraggeber.
Das Frontend verfügt über eine https-Verschlüsselung und ein entsprechendes SSL-Zertifikat.
Hardwarekomponenten oder Dokumente werden so vernichtet, dass eine Wiederherstellung nicht oder nur mit unverhältnismäßigem Aufwand möglich ist.
Für die Anfertigung von Vervielfachungen wie z.B. Kopien, gibt es eindeutige Regelungen und Verfahrensweisen.
Es existieren diverse Firewalls.
b) Eingabekontrolle
Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.
Spezifische Aktivitäten werden entsprechend protokolliert.
Optionale Session Logs werden aufgezeichnet.
Datenbankstrukturänderungen werden detailliert im Tool „linear“ protokolliert. Die Protokolle werden revisionssicher 12 Monate lang aufbewahrt. Die Eingabe, Änderung und Löschung von Daten kann dabei anhand von individuellen Benutzernamen nachvollzogen werden.
Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
a) Verfügbarkeitskontrolle
Der Auftragnehmer erstellt automatisiert ein weiteres Gesamt-Backup, welches in der Cloud gespeichert wird. Auf diese Backups kann zurückgegriffen werden, sollten andere Verfügbarkeitsmaßnahmen versagen. Es handelt sich hierbei um ein Gesamtbackup, welches nicht zur Wiederherstellung einzelner Daten herangezogen werden kann, sondern lediglich das komplette System wiederherstellt.
Es existiert ein Notfallplan, aus welchem hervor geht, welche Schritte wann eingeleitet werden müssen und welche Personen und Stellen zu welchem Zeitpunkt und welchem Zweck informiert werden müssen.
Unsere Server und Backup-Systeme stehen in den Rechenzentren von Amazon Web Services welche umfassend für die Betriebskontinuität geschützt sind. Details dazu können sie hier nachlesen: https://aws.amazon.com/de/compliance/data-center/controls/
Hochverfügbare Systeme werden parallel in mehreren Rechenzentren redundant betrieben.
Die Überlastung von Servern ist durch eine sogenannte ‘autoscaling group’ ausgeschlossen. Steigt die Last auf die Server werden automatisiert weitere Server hinzu geschaltet, um eine Überlastung zu verhindern.
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)
a) Datenschutz-Management
Der Auftragnehmer überprüft regelmäßig ihr Datenschutz- Management unter Einbeziehung des betrieblich bestellten Datenschutzbeauftragten.
Sämtliche Mitarbeiter werden regelmäßig zum Thema Datenschutz geschult. Außerdem werden alle Mitarbeiter auf das Datengeheimnis verpflichtet. Mitarbeiter im Homeoffice werden auf die besonderen Regeln gesondert belehrt.
b) Incident Response Management
Im Falle einer Datenpanne greift ein umfassendes Regelwerk zu einzuleitenden Prozessen und Kommunikationsschritten.
Für die gegebenenfalls zu erfolgende Information von Aufsichtsbehörden sind die verantwortlichen Mitarbeiter geschult, so dass einer Information innerhalb von 72 Stunden nichts im Wege steht.
c) Datenschutzfreundliche Voreinstellungen
Wir verfolgen den Privacy by Design-Ansatz und berücksichtigen diesen bei Entwicklungen jeder Technologien. Es wird von vornherein das Ziel verfolgt, die Menge der zu erhebenden Daten zu minimieren und den Umfang der Datenverarbeitung zu reduzieren.
Soweit möglich werden Daten nur pseudonymisiert weiterverarbeitet. Datenschutzerklärungen, welche leicht zugänglich sind und sämtliche Datenprozesse ausführlich beschreiben, sorgen für Transparenz.
d) Auftragskontrolle
Sämtliche Auftragnehmer sind unter Sorgfaltsgesichtspunkten ausgewählt.
Mit sämtlichen Auftragnehmers werden Auftragsverarbeitungsverträge abgeschlossen und technische und organisatorische Maßnahmen werden regelmäßig überprüft.
Kontrollrechte werden mit Auftragnehmern vertraglich vereinbart.
Annex 2 - Übersicht aller Unterauftragsverhältnisse (Sub-Dienstleister)
Der Einsatz von Unterauftragnehmer als weitere Auftragsverarbeiter ist nur zulässig, wenn der Auftraggeber vorher zugestimmt hat.
Ein zustimmungspflichtiges Unterauftragsverhältnis liegt vor, wenn der Auftragnehmer weitere Auftragnehmer mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten Leistung beauftragt. Der Auftragnehmer wird mit diesen Dritten im erforderlichen Umfang Vereinbarungen treffen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten. Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Teilleistungen werden unter Einschaltung folgenden Unterauftragnehmer durchgeführt:
Name und Anschrift des Sub-Unternehmers Beschreibung der Teilleistungen Rechtsgrundlage Amazon Web Services, Inc. 410 Terry Avenue North, Seattle WA 98109 United States Dienstleister für Webhosting & Datenspeicher Art. 6 Abs. 1 (b) DSGVO Mangopay SA 2 Avenue Amélie L-1125 Luxembourg Dienstleister für Zahlungsabwicklung & Erstellung eines Treuhandkontos Art. 6 Abs. 1 (b) DSGVO und Art. 6 Abs. 1 (c) DSGVO PayPal (Europe) S.à.r.l etCie, S.C.A. 22-24 Boulevard Royal L-2449 Luxembourg Dienstleister für Zahlungsabwicklung Art. 6 Abs. 1 (b) DSGVO und Art. 6 Abs. 1 (c) DSGVO Slack Technologies, Inc. 500 Howard Street San Francisco, CA, 94105 United States Kommunikationstool für Mitarbeiter und Beta-Tester Art. 6 Abs. 1 (b) DSGVO Google LLC 1600 Amphitheatre Parkway Mountain View CA 94043 United States Datenspeicherung, Kommunikation, Webanalyse Art. 6 Abs. 1 (b) DSGVO Hubspot, Inc. 25 First Street, 2nd Floor Cambridge, MA 02141 United States CRM-System Art. 6 Abs. 1 (b) DSGVO Functional Software, Inc. dba Sentry 132 Hawthorne St San Francisco, CA 94107 United States Fehlerverfolgung und Logs Art. 6 Abs. 1 (b) DSGVO DATEV eG Paumgartnerstr. 6 - 14 90429 Nürnberg Germany Software für Buchhaltung und Steuerprogramm Art. 6 Abs. 1 (b) DSGVO GitHub Inc 88 Colin P Kelly Jr Street San Francisco, CA 94107 United States Versionsverwaltung für Software-Entwicklungsprojekte Art. 6 Abs. 1 (b) DSGVO Notion Labs, Inc. 930 ALABAMA STREET SAN FRANCISCO CA 94110 United States Organisationstool Art. 6 Abs. 1 (b) DSGVO LINEAR ORBIT, INC. 340 South Lemon Avenue #4242, Walnut, CA 91789 United States Issue Tracking System Art. 6 Abs. 1 (b) DSGVO Zapier Inc. 548 Market St. #62411. San Francisco CA 94104-5401 United States Software zur Verknüpfung von Webanwendungen Art. 6 Abs. 1 (b) DSGVO LinkedIn Corp 1000 West Maude Avenue Sunnyvale CA 94085 United States Soziales Netzwerk Art. 6 Abs. 1 (b) DSGVO Zoom Video Communications, Inc. 55 Almaden Boulevard, 6th Floor San Jose CA 95113 United States Software für Video-Konferenzen Art. 6 Abs. 1 (b) DSGVO Strato AG Pascalstraße 10 10587 Berlin Germany Cloud Speicherplatz zum Speichern von Dokumenten aller Art Art. 6 Abs. 1 (b) DSGVO Apple Inc. 1 Apple Park Way Cupertino, California United States App-Distribution und Kalender-Management Art. 6 Abs. 1 (b) DSGVO PandaDoc Inc. 3739 Balboa St. # 1083. San Francisco CA 94121 United States Software zur digitalen Unterschrift von Dokumenten Art. 6 Abs. 1 (b) DSGVO eRecht24 GmbH & Co. KG Lietzenburger Str. 94 10719 Berlin Germany Digitalen Informationsplattformen rund um die Themen Internetrecht, Datenschutz und E-Commerce Art. 6 Abs. 1 (b) DSGVO Namecheap, Inc. 4600 East Washington Street Suite 305 Phoenix, AZ 85034 United States Domain Hosting und E-Mail Provider Art. 6 Abs. 1 (b) DSGVO Dynport GmbH ABC-Straße 4 20354 Hamburg Übersetzungssoftware Art. 6 Abs. 1 (b) DSGVO Figma GmbH Zimmerstraße 78 10117 Berlin Deutschland Design Tool Art. 6 Abs. 1 (b) DSGVO Microsoft Corporation One Microsoft Way Redmond WA, USA 98052 Office Software Art. 6 Abs. 1 (b) DSGVO AgileBits, Inc. 4711 Yonge St, 10th Floor Toronto, Ontario, M2N 6K8 Canada Passwort Management Tool Art. 6 Abs. 1 (b) DSGVO Bitly Europe GmbH Am Lenkwerk 13 33609 Bielefeld Germany Link Shortener & QR-Code Generator Art. 6 Abs. 1 (b) DSGVO Better Financial Services GmbH Rosenthaler Straße 34/35 10178 Berlin Germany Payment Service Provider Art. 6 Abs. 1 (b) DSGVO Stripe Inc. 354 Oyster Point Blvd South San Francisco CA 94080 United States Payment Service Provider Art. 6 Abs. 1 (b) DSGVO Twilio Inc. 101 Spear Street, 5th Floor San Francisco 94105 California United States Eventtracking - Customer Data Platform Art. 6 Abs. 1 (b) DSGVO Vercel Inc. 340 S Lemon Ave 4133 Walnut California, 91789 United States Website-Hosting Art. 6 Abs. 1 (b) DSGVO Unbounce Marketing Solutions Inc. 400-401 W Georgia St Vancouver, British Columbia V6B 5A1 Canada Landingpage Builder Art. 6 Abs. 1 (b) DSGVO Branch Metrics Inc. 1400B Seaport Blvd Redwood City California 94063 United States Link-Shortener & Datenanalyse Art. 6 Abs. 1 (b) DSGVO Worldline Schweiz AG Hardturmstrasse 201 8005 Zürich Schweiz Payment Service Provider Art. 6 Abs. 1 (b) DSGVO Beijing ByteDance Technology Co Ltd Room 10A, Building 2, No. 48, Zhichun Road Beijing 100098 China Soziales Netzwerk Art. 6 Abs. 1 (b) DSGVO Meta Platforms Inc. 1601 Willow Road Menlo Park California 94025 United States Soziales Netzwerk Art. 6 Abs. 1 (b) DSGVO Adobe Inc. 345 Park Avenue San Jose, CA 95110-2704 United States Grafikprogramme Art. 6 Abs. 1 (b) DSGVO OpenAI, L.L.C. 3180 18th Street, San Francisco, CA 94110 United States Service für künstliche Intelligenz Art. 6 Abs. 1 (b) DSGVO 650 Industries, Inc. 420 Florence St Ste 200 Palo Alto DE 94031 United States App Infrastruktur & CI Service Art. 6 Abs. 1 (b) DSGVO Celonis, Inc. One World Trade Center, 87th Floor New York, NY, 10007 United States Software zur Verknüpfung von Webanwendungen Art. 6 Abs. 1 (b) DSGVO Maze.design Limited London Office 5th Floor 167-169, Great Portland Street London, W1W 5PF United Kingdom Plattform zur Produktfindung Art. 6 Abs. 1 (b) DSGVO Telefónica Germany GmbH & Co. OHG Georg-Brauchle-Ring 50 80992 München Deutschland Mobilfunkanbieter Art. 6 Abs. 1 (b) DSGVO BroadSoft Germany GmbH c/o Cisco Systems GmbH Lothringer Straße 56 50677 Köln Deutschland Cloud Telefonie Anbieter Art. 6 Abs. 1 (b) DSGVO Hotjar Ltd. 1601 S California Ave Palo Alto California, 94304 United States Website Heatmaps & Behavior Analytics Tool Art. 6 Abs. 1 (b) DSGVO SurveySparrow Inc. 2345 Yale St FL 1 Palo Alto CA 94306 United States Umfragetool Art. 6 Abs. 1 (b) DSGVO Albacross Nordic AB Epicenter Mäster Samuelsgatan 36 111 57 Stockholm Sweden Sales & Marketing Tool zur Lead-Identifizierung Art. 6 Abs. 1 (b) DSGVO Taboola Germany GmbH Alt-Moabit 2 10557 Berlin Germany Werbeplattform Art. 6 Abs. 1 (b) DSGVO Storyblok GmbH Peter-Behrens-Platz 2 4020 Linz Österreich Content Management System Art. 6 Abs. 1 (b) DSGVO Erteilt der Auftragnehmer Aufträge an Unterauftragnehmer, so obliegt es dem Auftragnehmer, seine datenschutzrechtlichen Pflichten aus diesem Vertrag dem Unterauftragnehmer zu übertragen.
Annex 3 - Weisungsberechtigt Personen, Adresse zur Meldung von Datenschutzverletzungen
Folgende Personen sind zur Erteilung von Weisungen befugt:
Dirk Mönning
dirk@ticketbro.io
Alexander Pohlein
alex@ticketbro.io
Fabian Finke
fabian@ticketbro.io
Folgende Personen sind zur Entgegennahme von Weisungen befugt:
Dirk Mönning
dirk@ticketbro.io
Alexander Pohlein
alex@ticketbro.io
Fabian Finke
fabian@ticketbro.io
Kontakt zur Meldungen über die Verletzung personenbezogener Daten:
Alexander Pohlein
alex@ticketbro.io
Annex 4 - Datenschutzbeauftragter
Derzeit ist als externer Datenschutzbeauftragter beim Auftragnehmer bestellt:
DSB Münster GmbH
André Korte
Martin-Luther-King-Weg 42-44
48149 Münster
Telefon: 0251 718 790
E-Mail: datenschutz@dsb-ms.d