Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen dem Kunden von 8Sammler (nachfolgend „Auftraggeber" oder „Verantwortlicher") und der

SD2 Commerce GmbH
Alte Dresdner Str. 12
09633 Halsbrücke
Deutschland
(nachfolgend „8Sammler" oder „Auftragsverarbeiter")

§ 1 Gegenstand und Dauer des Auftrags

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Software-as-a-Service-Lösung „8Sammler" zur Verwaltung von Bestellungen, Kunden, Artikeln, Lagerbeständen und Versandprozessen aus den vom Auftraggeber angebundenen Verkaufskanälen. Die Dauer dieses Vertrags entspricht der Laufzeit des zwischen den Parteien bestehenden Hauptvertrags (Nutzungsvertrag gemäß den AGB von 8Sammler).

§ 2 Art und Zweck der Verarbeitung, Art der Daten, Kreis der Betroffenen

Art und Zweck der Verarbeitung: Erhebung, Speicherung, Ordnung, Anzeige, Änderung und Löschung von Bestell-, Kunden- und Versanddaten, die der Auftraggeber selbst einträgt oder über angebundene Verkaufskanäle (z. B. eBay, Amazon, Shopify, Shopware, Kaufland, Etsy) importiert; Erstellung von Versandlabels; Erstellung und Speicherung von Auftragsdokumenten (Rechnungen, Lieferscheine).

Art der personenbezogenen Daten: Name, Liefer- und Rechnungsanschrift, E-Mail-Adresse, Telefonnummer (soweit vom jeweiligen Verkaufskanal übermittelt), Bestell- und Zahlungsdaten (ohne vollständige Kartendaten), Bestellhistorie sowie ggf. vom Auftraggeber selbst hinterlegte Zugangsdaten für Mitarbeiter des Auftraggebers.

Kreis der betroffenen Personen: Kunden des Auftraggebers (Endkunden, die über die angebundenen Verkaufskanäle bei ihm bestellen) sowie Mitarbeiter des Auftraggebers, die ein Benutzerkonto in 8Sammler nutzen.

§ 3 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet. Weisungen werden zunächst durch diesen Vertrag sowie durch die Konfiguration und Nutzung der Software erteilt; darüber hinausgehende Weisungen bedürfen der Textform (E-Mail genügt) und sind an info@8Sammler.de zu richten. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Pflichten des Auftragsverarbeiters

• Verarbeitung der Daten ausschließlich im Rahmen der getroffenen Vereinbarungen
• Verpflichtung aller zur Datenverarbeitung befugten Personen auf die Vertraulichkeit
• Umsetzung und Einhaltung aller nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1)
• Unterstützung des Auftraggebers bei der Erfüllung von Anfragen betroffener Personen (§ 7)
• unverzügliche Information des Auftraggebers bei Verletzungen des Schutzes personenbezogener Daten (§ 8)
• Löschung oder Rückgabe der Daten nach Beendigung der Erbringung der Verarbeitungsleistung (§ 10)
• Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter hat die in Anlage 1 dokumentierten technischen und organisatorischen Maßnahmen umgesetzt und weist dem Auftraggeber deren Umsetzung vor Beginn der Verarbeitung sowie auf Anfrage nach. Der Auftragsverarbeiter darf die Maßnahmen anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Anlage 2 aufgeführten Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten im dort beschriebenen Umfang zu beauftragen. Beabsichtigt der Auftragsverarbeiter, weitere Unterauftragsverarbeiter einzusetzen oder bestehende auszutauschen, informiert er den Auftraggeber mit einer Frist von mindestens 14 Tagen vor der geplanten Änderung (z. B. per E-Mail oder über eine Ankündigung innerhalb der Software). Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Im Falle eines berechtigten Widerspruchs steht beiden Parteien hinsichtlich des Hauptvertrags ein außerordentliches Kündigungsrecht zu. Mit jedem Unterauftragsverarbeiter wird ein Vertrag geschlossen, der diesem AVV in Bezug auf den Schutz personenbezogener Daten mindestens gleichwertige Pflichten auferlegt.

Von dieser Regelung nicht erfasst sind Dienstleister, die im Rahmen der Nutzung von 8Sammler personenbezogene Daten empfangen, dabei aber als eigenständig Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO handeln (keine Unterauftragsverarbeiter). Die Übermittlung an diese Empfänger erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, sofern der Auftraggeber die jeweilige Anbindung nutzt) sowie ggf. Art. 6 Abs. 1 lit. c DSGVO. Es gelten ergänzend die jeweiligen Datenschutzbestimmungen der Empfänger. Hierzu zählen insbesondere die vom Auftraggeber wahlweise anbindbaren Versanddienstleister:

Eine Übermittlung findet jeweils nur an den vom Auftraggeber für die betreffende Sendung tatsächlich ausgewählten Versanddienstleister statt. Zahlungsdienstleister, die im Rahmen der Nutzung von 8Sammler eingebunden werden, fallen ebenfalls unter diese Regelung und handeln insoweit als eigenständig Verantwortliche.

§ 7 Unterstützung bei Betroffenenrechten und Aufsichtsbehörden

Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit) sowie bei Anfragen von Aufsichtsbehörden. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter, sofern eine Zuordnung möglich ist, und beantwortet sie nicht selbst.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten, die die vom Auftraggeber überlassenen Daten betreffen, und übermittelt die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie ihm zu diesem Zeitpunkt bekannt sind. Er unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen.

§ 9 Kontrollrechte des Auftraggebers

Der Auftraggeber kann sich vor Beginn und während der Verarbeitung von der Einhaltung der in Anlage 1 dokumentierten Maßnahmen überzeugen, insbesondere durch Einholung von Auskünften und Nachweisen. Reichen diese nicht aus, kann der Auftraggeber nach vorheriger Ankündigung mit angemessener Frist, in der Regel nicht öfter als einmal jährlich, eine Prüfung während der üblichen Geschäftszeiten des Auftragsverarbeiters durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen. Aus wichtigem Grund (z. B. nach einer Datenschutzverletzung) sind kurzfristigere Prüfungen möglich. Die Vertraulichkeit der Daten anderer Kunden des Auftragsverarbeiters bleibt gewahrt. Die Kosten einer solchen Prüfung trägt der Auftraggeber, es sei denn, die Prüfung ergibt einen Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder die DSGVO; in diesem Fall trägt der Auftragsverarbeiter die Kosten.

§ 10 Löschung und Rückgabe personenbezogener Daten

Nach Beendigung des Hauptvertrags kann der Auftraggeber die über 8Sammler verarbeiteten Daten innerhalb von 30 Tagen exportieren bzw. deren Herausgabe verlangen. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche Daten des Auftraggebers einschließlich vorhandener Sicherungskopien im Rahmen des gewöhnlichen Backup-Zyklus, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z. B. handels- und steuerrechtliche Aufbewahrungsfristen für Rechnungsdaten von zehn Jahren gemäß § 147 AO / § 257 HGB). Auf Verlangen bestätigt der Auftragsverarbeiter die vollständige Löschung.

§ 11 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den Haftungsregelungen des zwischen den Parteien bestehenden Hauptvertrags (AGB).

§ 12 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag hat dieser AVV in Fragen der Verarbeitung personenbezogener Daten Vorrang. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform, soweit sie nicht bereits in § 6 (Unterauftragsverarbeiter) geregelt sind. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.