Auftragsverarbeitungsvertrag

1. Gegenstand und Geltungsbereich

(1) Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Auftraggebers im Rahmen des Hauptvertrags verarbeitet.

(2) Der AVV gilt für alle Verarbeitungsvorgänge, die in Anlage 1 beschrieben sind. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV hinsichtlich der Verarbeitung personenbezogener Daten vor.

(3) Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung der DSGVO.

2. Rollen und Verantwortlichkeit

(1) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und entscheidet über Zwecke und wesentliche Mittel der Verarbeitung. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag und nach dokumentierten Weisungen des Auftraggebers.

(2) Der Auftraggeber ist insbesondere verantwortlich für die Rechtmäßigkeit der Erhebung und Verarbeitung, die Information betroffener Personen, die Auswahl geeigneter Rechtsgrundlagen, die Einholung und Dokumentation erforderlicher Einwilligungen sowie die inhaltliche Rechtmäßigkeit seiner Nachrichten, Kampagnen und Angebote.

(3) Der Auftragsverarbeiter verarbeitet Daten für eigene Zwecke nur, soweit dies gesetzlich vorgeschrieben ist oder eine eigenständige Rechtsgrundlage besteht. Eine solche Verarbeitung fällt nicht unter diesen AVV.

3. Weisungen

(1) Die anfänglichen Weisungen ergeben sich aus dem Hauptvertrag, diesem AVV, der Konfiguration von APC Club und den vom Auftraggeber eingesetzten Funktionen.

(2) Weitere Weisungen können in Textform, insbesondere per E-Mail oder über dafür vorgesehene Administrationsfunktionen, erteilt werden. Mündliche Weisungen sind bei Dringlichkeit zulässig und anschließend in Textform zu bestätigen.

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen. Offensichtlich rechtswidrige Weisungen muss er nicht ausführen.

(4) Weisungen, die über die vertraglich geschuldete Leistung hinausgehen, können nach vorheriger Information über den Aufwand gesondert vergütet werden.

4. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur für die vereinbarten Zwecke und nur solange dies für den Hauptvertrag erforderlich ist.

(2) Er stellt sicher, dass zur Verarbeitung befugte Personen nur im erforderlichen Umfang Zugang erhalten und auf Vertraulichkeit verpflichtet sind.

(3) Er führt, soweit gesetzlich erforderlich, ein Verzeichnis von Verarbeitungstätigkeiten für Auftragsverarbeiter und arbeitet mit zuständigen Aufsichtsbehörden zusammen.

(4) Er informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung oder Nutzung von APC Club gegen Datenschutzrecht verstößt.

(5) Er verwendet die Daten des Auftraggebers nicht für Werbung an Endkunden des Auftraggebers und verkauft sie nicht.

5. Vertraulichkeit und Personal

(1) Der Auftragsverarbeiter setzt nur Personen ein, die hinsichtlich Datenschutz und Informationssicherheit angemessen unterwiesen und zur Vertraulichkeit verpflichtet wurden.

(2) Zugriffsrechte werden nach dem Need-to-know-Prinzip vergeben, regelmäßig überprüft und bei Wegfall der Erforderlichkeit entzogen.

(3) Gesetzliche Verschwiegenheits- und Geheimnisschutzpflichten bleiben unberührt.

6. Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen („TOM“) unter Berücksichtigung des Stands der Technik, der Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken für Rechte und Freiheiten natürlicher Personen.

(2) Die TOM dürfen weiterentwickelt und durch gleichwertige oder bessere Maßnahmen ersetzt werden, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird.

(3) Der Auftraggeber ist für die sichere Konfiguration seiner Nutzer, Geräte, Berechtigungen, Inhalte und Endkundeneinwilligungen verantwortlich.

7. Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- und Datenübertragbarkeitsrechten.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter und ist die Anfrage dem Auftraggeber zuzuordnen, leitet der Auftragsverarbeiter sie grundsätzlich unverzüglich an den Auftraggeber weiter, sofern keine gesetzliche Pflicht zur direkten Bearbeitung besteht.

(3) Der Auftraggeber stellt die zur Identifikation, Prüfung und Umsetzung erforderlichen Informationen bereit. Außergewöhnlicher Aufwand kann nach vorheriger Abstimmung berechnet werden, soweit die Unterstützung nicht aufgrund eines Verstoßes des Auftragsverarbeiters erforderlich ist.

8. Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft.

(2) Die Meldung enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten und Personengruppen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

(3) Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Eindämmung, Behebung und Vermeidung vergleichbarer Vorfälle und dokumentiert den Vorfall.

(4) Die Entscheidung über Meldungen an Aufsichtsbehörden oder betroffene Personen obliegt grundsätzlich dem Auftraggeber, soweit nicht der Auftragsverarbeiter selbst gesetzlich verpflichtet ist.

9. Datenschutz-Folgenabschätzung und Behörden

(1) Der Auftragsverarbeiter unterstützt den Auftraggeber im angemessenen Umfang bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO, soweit die Verarbeitung durch APC Club betroffen ist.

(2) Er stellt hierzu verfügbare Informationen zu Verarbeitung, TOM, Unterauftragsverarbeitern und Datenflüssen bereit. Individuelle Beratungs- oder Dokumentationsleistungen können gesondert vergütet werden.

10. Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz der Unterauftragsverarbeiter, die in der jeweils aktuellen, dem Auftraggeber nach Anlage 3 bereitgestellten Unterauftragsverarbeiter-Liste namentlich aufgeführt sind.

(2) Der Auftragsverarbeiter informiert den Auftraggeber mindestens 14 Tage vor der Beauftragung eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters, soweit keine dringenden Sicherheits- oder Betriebsgründe eine kürzere Frist erfordern.

(3) Der Auftraggeber kann aus nachweisbaren wichtigen datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich um eine zumutbare Lösung. Ist keine Alternative möglich, kann jede Partei den von der Änderung betroffenen Leistungsteil kündigen.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu im Wesentlichen gleichwertigen Datenschutzpflichten und bleibt gegenüber dem Auftraggeber für deren datenschutzrechtliche Leistung verantwortlich.

(5) Reine Nebenleistungen ohne regelmäßigen Zugriff auf Auftragsdaten, etwa Gebäudereinigung, Telekommunikation oder allgemeine Rechtsberatung, gelten nicht als Unterauftragsverarbeitung; der Auftragsverarbeiter stellt dennoch angemessene Vertraulichkeit sicher.

11. Verarbeitung in Drittländern

(1) Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Als Übermittlungsmechanismen kommen insbesondere Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework für zertifizierte Empfänger, Standardvertragsklauseln der Europäischen Kommission und erforderlichenfalls ergänzende Schutzmaßnahmen in Betracht.

(3) Der Auftraggeber genehmigt Drittlandübermittlungen, die in der Unterauftragsverarbeiter-Liste nach Anlage 3 transparent ausgewiesen sind. Wesentliche Änderungen werden nach Ziffer 10 mitgeteilt.

12. Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Auftraggeber die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Geeignete Zertifizierungen, Prüfberichte, Sicherheitsdokumentationen oder standardisierte Fragebögen können Vor-Ort-Prüfungen ersetzen.

(2) Der Auftraggeber darf grundsätzlich einmal pro Kalenderjahr sowie zusätzlich bei begründetem Verdacht auf einen erheblichen Verstoß eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen.

(3) Prüfungen sind mindestens 14 Tage vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und so zu gestalten, dass Betrieb, Sicherheit, Rechte anderer Kunden und Geheimhaltungsinteressen möglichst wenig beeinträchtigt werden.

(4) Der Auftraggeber trägt die angemessenen Kosten einer Prüfung, soweit kein erheblicher Verstoß des Auftragsverarbeiters festgestellt wird. Konkurrenzunternehmen des Auftragsverarbeiters dürfen nur mit dessen Zustimmung als Prüfer eingesetzt werden.

13. Rückgabe und Löschung

(1) Nach Ende der Auftragsverarbeitung löscht oder gibt der Auftragsverarbeiter auf Wahl des Auftraggebers die Auftragsdaten zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Produktivdaten werden grundsätzlich innerhalb von 30 Tagen nach Vertragsende gelöscht oder anonymisiert. Sicherungskopien werden nach dem regulären Sicherungszyklus überschrieben, spätestens innerhalb von 90 Tagen.

(3) Bis zur endgültigen Löschung bleiben Daten gesperrt und werden nur zur Wiederherstellung, Sicherheit oder Erfüllung gesetzlicher Pflichten verarbeitet.

(4) Der Auftraggeber ist für die rechtzeitige Anforderung und Prüfung eines Datenexports verantwortlich.

14. Vergütung von Unterstützungsleistungen

Die in diesem AVV vorgesehenen üblichen Unterstützungsleistungen sind mit der vereinbarten Vergütung abgegolten. Außergewöhnlicher, vom Auftraggeber verursachter oder über die gesetzlichen Mindestpflichten hinausgehender Aufwand kann nach vorheriger Ankündigung nach Aufwand berechnet werden. Dies gilt nicht, soweit die Unterstützung aufgrund eines vom Auftragsverarbeiter zu vertretenden Datenschutzverstoßes erforderlich wird.

15. Haftung

Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelungen des Hauptvertrags. Gesetzlich zwingende Ansprüche und Verantwortlichkeiten bleiben unberührt.

16. Laufzeit und Schlussbestimmungen

(1) Dieser AVV tritt mit Abschluss des Hauptvertrags oder elektronischer Annahme in Kraft und gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag verarbeitet.

(2) Änderungen dieses AVV bedürfen der Textform, soweit Art. 28 Abs. 9 DSGVO keine strengere Form verlangt.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Berlin.

(4) Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam; an ihre Stelle tritt die gesetzliche Regelung.

(5) Maßgeblich ist die deutsche Fassung dieses AVV. Übersetzungen dienen ausschließlich dem besseren Verständnis.

Anlage 1 · Beschreibung der Auftragsverarbeitung

1. Gegenstand und Zwecke

Bereitstellung, Betrieb, Wartung und Support von APC Club als Kundenbindungs-, Kommunikations- und Organisationssystem. Die Verarbeitung kann insbesondere folgende Zwecke umfassen:

• Anlage und Verwaltung von Endkundenprofilen und salonbezogenen Nutzerkonten
• QR-basierte Registrierung, Identifikation und Zuordnung von Besuchen
• Treuepunkte, Gutscheine, Empfehlungen und Belohnungen
• Versand und Verwaltung transaktionaler und, bei vorhandener Rechtsgrundlage, werblicher Nachrichten
• Geburtstags-, Reaktivierungs-, Erinnerungs- und Feedbackabläufe
• Beschwerde- und Bewertungsmanagement
• Termin-, Kalender-, Mitarbeiter- und Filialfunktionen, soweit gebucht
• Erstellung und Verwaltung von Apple- und Google-Wallet-Pässen
• Speicherung und Verarbeitung von Fotos, soweit die Foto-Funktion genutzt wird
• Auswertungen, Dashboard, Support, Fehleranalyse, Sicherheit und Missbrauchsverhinderung
• KI-gestützte Antwort-, Transkriptions- oder Assistenzfunktionen, soweit aktiviert

2. Art der Verarbeitung

• Erheben, Erfassen, Organisieren, Strukturieren und Speichern
• Anpassen, Abfragen, Auslesen, Verwenden und Abgleichen
• Übermitteln an konfigurierte Kommunikations- und Wallet-Dienste
• Protokollieren, Sichern, Einschränken, Löschen und Anonymisieren

3. Kategorien personenbezogener Daten

• Stammdaten: Name, interne Kunden-ID, Sprache, Filiale
• Kontaktdaten: Telefonnummer, E-Mail-Adresse, Messenger- oder Kanal-Kennung
• Geburtstagsangaben, soweit freiwillig bereitgestellt
• Besuchs-, Termin-, Punkte-, Gutschein-, Referral- und Transaktionsdaten
• Mitarbeiterzuordnung, Feedback, Bewertung, Beschwerde und Supportinhalte
• Einwilligungs-, Opt-in-, Opt-out- und Nachweisdaten
• Nachrichteninhalte und Kommunikationsmetadaten, soweit für die Funktion erforderlich
• Fotos von Endkunden, soweit die Foto-Funktion genutzt wird
• Sprachaufnahmen und Transkripte, soweit Telefonie- und Transkriptionsfunktionen genutzt werden
• Wallet-Pass-Kennung, Gerätestatus und Zustellinformationen
• Nutzungs-, Protokoll-, Geräte-, Browser-, IP- und Sicherheitsdaten
• Geschäfts- und Kontaktdaten der Nutzer des Auftraggebers

Nicht vorgesehen sind Zahlungskartendaten. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere Gesundheitsdaten, darf der Auftraggeber nur nach ausdrücklicher gesonderter Vereinbarung einstellen.

4. Kategorien betroffener Personen

• Endkunden, Interessenten und Empfehlungsempfänger des Auftraggebers
• Mitarbeiter, Inhaber, Administratoren und sonstige Nutzer des Auftraggebers
• Kontaktpersonen von Geschäftspartnern des Auftraggebers, soweit über APC Club verarbeitet

5. Dauer

Für die Laufzeit des Hauptvertrags sowie anschließend bis zur vertrags- und gesetzeskonformen Löschung oder Rückgabe.

Anlage 2 · Technische und organisatorische Maßnahmen

Anlage 3 · Unterauftragsverarbeiter

Die Beyond 24 GmbH setzt zur Erbringung der Leistungen Unterauftragsverarbeiter in den folgenden Funktionsbereichen ein:

Der eingesetzte Zahlungsdienstleister ist für die Abrechnung gegenüber dem Auftraggeber regelmäßig eigenständig Verantwortlicher und nicht Unterauftragsverarbeiter für Endkundendaten.

Anlage 4 · Ansprechpartner und Weisungskanäle

Elektronische Annahme. Der Auftraggeber kann diesem AVV im Onboarding, im Kundenkonto, per elektronischer Signatur oder durch eine eindeutige Bestätigung in Textform zustimmen.