Auftragsverarbeitungs­vertrag

1. Gegenstand und Dauer

1.1 Der Auftragsverarbeiter schreibt für den Verantwortlichen Briefe mit einem echten Stift, von Hand oder mit einem Schreibroboter, der den Stift führt, und versendet sie (die „Leistung“, wie in den AGB beschrieben). Hierfür verarbeitet er im Auftrag des Verantwortlichen personenbezogene Daten von dessen Empfängern.

1.2 Dieser Vertrag gilt, solange der Auftragsverarbeiter diese Daten für den Verantwortlichen verarbeitet, und endet, sobald die Daten nach Ziffer 9 gelöscht oder zurückgegeben worden sind.

2. Art, Zweck und Daten

2.1 Zweck: Schreiben, Adressieren und Versenden der vom Verantwortlichen bestellten Briefe sowie Meldung ihres Status (versandt, zurückgestellt, zurückgekommen, nicht versandt) an den Verantwortlichen.

2.2 Art: Speichern, Anzeigen, Schreiben mit einem Stift (von Hand oder mit einem Schreibroboter), Adressieren, Versenden, Melden und Löschen.

2.3 Datenarten: Vor- und Nachnamen der Empfänger, Unternehmen, Postanschrift, CRM-Datensatz-ID, etwaige individuelle Nachrichten oder sonstige Spalten der vom Verantwortlichen hochgeladenen Liste, der Brieftext sowie der Status jedes Briefs mit seinem Verlauf und einer optionalen Notiz (zum Beispiel „Adresse unbekannt“).

2.4 Betroffene Personen: die vom Verantwortlichen ausgewählten Empfänger, typischerweise seine Geschäftskontakte, Interessenten und Kunden.

3. Weisungen

3.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, das EU-Recht oder das deutsche Recht schreibt etwas anderes vor; in diesem Fall teilt er dies dem Verantwortlichen vorab mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. Weisungen werden erteilt durch die AGB und diesen Vertrag, durch die Bestellungen, die der Verantwortliche in der App aufgibt (die freigegebenen Briefe und Empfänger), und durch weitere Weisungen in Textform (E-Mail an florian@projectkant.com).

3.2 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

4. Verantwortung des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er über eine Rechtsgrundlage verfügt, um die Daten der Empfänger zu verwenden und ihnen die Briefe zuzusenden, sowie dafür, die Empfänger nach Art. 13 und 14 DSGVO zu informieren. Der Verantwortliche lädt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) und keine Daten über Kinder hoch; der Auftragsverarbeiter darf solche Daten löschen und teilt dies dem Verantwortlichen mit.

5. Vertraulichkeit

Der Auftragsverarbeiter darf zur Erbringung der Leistung Personen hinzuziehen, die unter seiner Leitung tätig sind, zum Beispiel beim Schreiben oder Versenden von Briefen. Er stellt sicher, dass alle von ihm zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind, im Datenschutz unterwiesen sind und die Daten nur verarbeiten, soweit dies für die Leistung erforderlich ist.

6. Sicherheit

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Er darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

7. Verletzungen des Schutzes personenbezogener Daten

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, meldet er sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, mit den zu diesem Zeitpunkt verfügbaren Informationen und ergänzt die Meldung, sobald weitere Informationen bekannt werden. Er unterstützt den Verantwortlichen bei dessen Pflichten nach Art. 33 und 34 DSGVO.

8. Unterstützung

8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 15 bis 22 DSGVO). Anträge, die er direkt erhält, werden unverzüglich an den Verantwortlichen weitergeleitet.

8.2 Er unterstützt den Verantwortlichen im Rahmen der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO.

9. Löschung

9.1 Die App löscht die Namen und Anschriften der Empfänger, die übrigen Spalten der Liste und die Brieftexte 90 Tage nach Abschluss einer Bestellung (jeder Brief ist versendet oder als nicht versandt markiert) oder 90 Tage nach einer Erstattung. Bis dahin kann der Verantwortliche den Versandbericht herunterladen. Entwürfe werden gelöscht, wenn der Verantwortliche sie löscht; bestätigte, aber nicht bezahlte Kampagnen behalten ihre Daten, bis der Verantwortliche sie löscht.

9.2 Kopien freigegebener Briefe, die der Auftragsverarbeiter herunterlädt, um sie zu schreiben, werden bis zum selben Datum gelöscht.

9.3 Statt der Löschung kann der Verantwortliche vor dem Löschdatum oder bei Beendigung dieses Vertrags die Rückgabe der Daten seiner Empfänger anfordern. Der Auftragsverarbeiter übersendet sie dann als CSV-Datei und löscht sie anschließend.

9.4 Bei Beendigung dieses Vertrags löscht der Auftragsverarbeiter die verbleibenden Daten, sofern ihn nicht das EU-Recht oder das deutsche Recht zu ihrer Aufbewahrung verpflichtet. Bestell- und Zahlungsunterlagen ohne Empfängerdaten werden aufbewahrt, wie es § 147 AO und § 257 HGB vorschreiben. Datensicherungen werden, soweit sie im Tarif des Anbieters vorgehalten werden, innerhalb der Aufbewahrungsfrist des Anbieters für Datensicherungen überschrieben.

10. Informationen und Kontrollen

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, vorrangig durch diesen Vertrag, Anlage 1 sowie die Zertifizierungen und Berichte der Anbieter.

10.2 Reicht dies nicht aus, kann der Verantwortliche oder ein zur Vertraulichkeit verpflichteter Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, nach einer Vorankündigung von mindestens 14 Tagen während der Geschäftszeiten und ohne Störung des Betriebsablaufs Inspektionen durchführen, höchstens einmal im Jahr, es sei denn, es ist eine Verletzung eingetreten oder eine Datenschutz-Aufsichtsbehörde verlangt dies. Jede Partei trägt ihre eigenen Kosten.

10.3 Inspektionen durch eine zuständige Datenschutz-Aufsichtsbehörde werden durch diese Ziffer nicht beschränkt.

11. Unterauftragsverarbeiter

11.1 Der Verantwortliche genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter erlegt ihnen Pflichten auf, die denen dieses Vertrags gleichwertig sind, und haftet gegenüber dem Verantwortlichen weiterhin in vollem Umfang für die Erfüllung ihrer Pflichten (Art. 28 Abs. 4 DSGVO).

11.2 Der Auftragsverarbeiter kündigt die Hinzuziehung eines neuen oder den Austausch eines bisherigen Unterauftragsverarbeiters mindestens 14 Tage im Voraus per E-Mail oder in der App an. Der Verantwortliche kann aus wichtigen datenschutzrechtlichen Gründen widersprechen; wird keine Lösung gefunden, kann jede Partei die betroffene Leistung beenden.

11.3 Postdienstleister wie die Deutsche Post AG sind keine Unterauftragsverarbeiter; sie stellen die Briefe in eigener Verantwortung zu.

12. Standort und Übermittlungen

Die Daten der App werden in der Europäischen Union gespeichert. Übermittlungen außerhalb des Europäischen Wirtschaftsraums (EWR) erfolgen nur nach Maßgabe der Art. 44 bis 49 DSGVO, wie in Anlage 2 für jeden Unterauftragsverarbeiter beschrieben.

13. Schlussbestimmungen

13.1 Weichen dieser Vertrag und die AGB hinsichtlich des Datenschutzes voneinander ab, hat dieser Vertrag Vorrang.

13.2 Die Haftung richtet sich nach Art. 82 DSGVO und im Verhältnis zwischen den Parteien nach Ziffer 13 der AGB.

13.3 Dieser Vertrag wird elektronisch geschlossen, wenn das Unternehmen des Verantwortlichen die AGB in der App akzeptiert (Art. 28 Abs. 9 DSGVO). Die Version dieses Vertrags wird zusammen mit der Annahme gespeichert.

Anlage 1: Technische und organisatorische Maßnahmen

• Verschlüsselung: Alle Verbindungen nutzen HTTPS; die Verbindung zur Datenbank ist verschlüsselt und wird anhand des Zertifikats des Anbieters geprüft. Anmeldetoken werden verschlüsselt gespeichert (AES-256-GCM); Sitzungsschlüssel nur als Hashwerte.
• Trennung: Jedes Unternehmen sieht nur seine eigenen Daten; jede Anfrage wird auf dem Server anhand des Unternehmens der angemeldeten Person geprüft.
• Zugriff auf die Datenbank: Nicht über die öffentliche Datenschnittstelle des Anbieters erreichbar; die Zugriffskontrolle auf Zeilenebene (Row-Level Security) ist aktiviert.
• Passwörter: Verwaltung durch den Anbieter des Anmeldedienstes; Project Kant sieht sie nie.
• Zugangskontrolle: Die Zahl der Anmeldeversuche und der Versuche, ein Passwort zurückzusetzen, ist begrenzt. Der Betreiberzugang wird nur auf dem Server vergeben, erfordert bei jeder Anmeldung einen Code aus einer Authenticator-App und endet nach 8 Stunden.
• Integrität von Zahlungen: Zahlungsbestätigungen werden von Stripe signiert und vor der Verwendung geprüft.
• Löschung: Automatische Löschung nach Ziffer 9 mit stündlicher Prüfung.
• Kopien zum Schreiben: Zum Schreiben heruntergeladene Briefe werden nur auf Computern mit verschlüsselter Festplatte und Passwortschutz gespeichert und bis zum Löschdatum der Bestellung gelöscht. Geschriebene Briefe und Umschläge bleiben bis zum Versand bei Project Kant, außer Reichweite anderer.
• Protokolle: Fehlerprotokolle erfassen Methode und Pfad der Anfrage sowie eine kurze Fehlermeldung, niemals den Inhalt der Anfrage.
• Verfügbarkeit und Wiederherstellung: Die Datenbank läuft als verwalteter Dienst bei einem Anbieter in der Europäischen Union; Datensicherungen erfolgen, soweit der genutzte Tarif sie vorsieht, nach dem Zeitplan des Anbieters.
• Vorfälle: Vermutete Verletzungen des Schutzes personenbezogener Daten werden unverzüglich untersucht, dokumentiert und nach Ziffer 7 gemeldet.
• Überprüfung: Diese Maßnahmen werden mindestens einmal im Jahr und nach jeder wesentlichen Änderung der App überprüft.
• Nutzungsanalyse (nur mit Einwilligung des jeweiligen Nutzers): Aufzeichnungen blenden alle Texte, eingegebenen Werte und Attributwerte aus; Empfängerdaten werden nicht aufgezeichnet.

Anlage 2: Unterauftragsverarbeiter