Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") ergänzt die Allgemeinen Geschäftsbedingungen (AGB) zwischen dem Kunden (nachfolgend „Verantwortlicher") undSellerTech LLC, 30 N Gould Street STE N, Sheridan, WY 82801, USA, E-Mail: info@floone.de (nachfolgend „Auftragsverarbeiter" oder „FloOne") und konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung personenbezogener Daten gemäß Art. 28 DSGVO.

Der AVV tritt automatisch mit Abschluss des Nutzungsvertrags (Registrierung und Nutzung des Dienstes FloOne) in Kraft.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Middleware FloOne.

(2) Gegenstand der Verarbeitung ist die Verarbeitung von E-Commerce-, Transaktions-, Kunden-, Rechnungs-, Zahlungs-, Beleg-, Versand-, Lager- und Buchhaltungsdaten im Rahmen der vom Verantwortlichen jeweils genutzten Funktionen von FloOne. Die einzelnen Verarbeitungstätigkeiten ergeben sich aus § 2.

(2a) Nicht Gegenstand dieses AVV sind Verarbeitungen, die der Auftragsverarbeiter zu eigenen Zwecken und in eigener Verantwortlichkeit durchführt — insbesondere die Begründung und Abwicklung des Nutzungsvertrages, die Abrechnung, der Betrieb und die Absicherung der Benutzerkonten (Login, Authentifizierung, Zwei-Faktor-Verfahren, Login-Audit-Log), die Missbrauchsprävention sowie der Betrieb der Website. Für diese Verarbeitungen ist der Anbieter Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; Einzelheiten regelt die Datenschutzerklärung.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Nach Beendigung des Vertrags werden die Daten gemäß §7 dieses AVV gelöscht.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere folgende Tätigkeiten:

• Import von Bestelldaten aus Drittanbieter-APIs (insbesondere eBay, Amazon, Shopify, WooCommerce, PayPal, Stripe, Billbee, JTL-Wawi, Mirakl-basierte Marktplätze, Refurbed)
• Klassifizierung und Validierung von Transaktionsdaten
• Erstellung von Buchungsexporten (DATEV EXTF, Lexware Office)
• Belegerkennung (OCR) und Auto-Buchung von Eingangsrechnungen via Google Cloud Document AI (Invoice Parser), Verarbeitung in der EU-Multiregion
• Erstellung und Versand von Rechnungen (PDF, ZUGFeRD, E-Mail)
• Erstellung von Serienrechnungen und Gutschriften
• Speicherung von Einkaufsbelegen (§25a Differenzbesteuerung)
• Erstellung von Versandlabels über Carrier-APIs (insbesondere DPD, GLS, DHL, UPS, Internetmarke der Deutschen Post AG)
• Bestandsführung und Lagerbewegungen (optionales Lager-Modul)
• Bank-Import (CAMT.053, MT940) und automatisches Matching von Zahlungseingängen
• UStVA-Aggregation und ELSTER-Übermittlung (optionales Buchhaltungs-Modul)
• OSS-Meldung an das Bundeszentralamt für Steuern (BZSt)
• Automatische Synchronisierung, E-Mail-Automatisierung und Datenexport

§ 3 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Stammdaten des Verantwortlichen und seiner Benutzer: Name, Firmenname, Anschrift, E-Mail-Adresse, Rolle im Tenant
• Endkundendaten aus Verkaufskanälen: Name, Liefer- und Rechnungsanschrift, E-Mail-Adresse, Telefonnummer, Bestellhinweise (soweit über die jeweilige Schnittstelle bereitgestellt)
• Transaktions- und Bestelldaten: Bestellnummern, Bestellpositionen, Beträge, Gebühren, Erstattungen, Auszahlungen, Rechnungs- und Gutschriftsnummern, Zahlungsstatus und Zahlungsreferenzen
• Versanddaten: Empfängeranschrift, Sendungs- und Trackingnummern, Gewichte und Maße, Carrier-Zuordnung
• Lager- und Artikeldaten mit Personenbezug: Lagerbewegungen mit Benutzerzuordnung, Kommissionier- und Inventurvorgänge
• Beleg- und Dokumenteninhalte: Inhalte hochgeladener Eingangsbelege einschließlich der darin enthaltenen Personendaten (Aussteller, Empfänger, Ansprechpartner), gewonnen über die Belegerkennung
• Bankdaten aus dem Kontoauszugsimport: IBAN, Kontoinhaber, Verwendungszwecke, Umsatzdaten
• Lieferanten- und Geschäftspartnerdaten: Firmenname, Anschrift, Ansprechpartner, Kontaktdaten
• Steuerlich relevante Daten: USt-IdNr., Steuersätze, Einkaufspreise
• Zugangsdaten zu Drittsystemen des Verantwortlichen: OAuth-Tokens und API-Schlüssel der angebundenen Plattformen (verschlüsselt gespeichert)

§ 4 Kategorien betroffener Personen

• Der Verantwortliche selbst (Händler/Mandant) sowie dessen gesetzliche Vertreter und Ansprechpartner
• Benutzer des Tenants: Beschäftigte und beauftragte Personen des Verantwortlichen mit eigenem Zugang (z.B. Rollen Buchhaltung, Lager, Picker)
• Endkunden und Käufer des Verantwortlichen, deren Daten über die angebundenen Verkaufskanäle importiert werden
• Empfänger von Sendungen, soweit abweichend vom Besteller
• Lieferanten des Verantwortlichen sowie deren Ansprechpartner
• Personen, die in vom Verantwortlichen hochgeladenen Belegen genannt sind (insbesondere Rechnungsaussteller, Rechnungsempfänger und dort benannte Kontaktpersonen)

Besondere Kategorien personenbezogener Daten: FloOne ist nicht zur gezielten Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO bestimmt; entsprechende Funktionen werden nicht angeboten. Soweit solche Informationen vom Verantwortlichen gleichwohl übermittelt werden — etwa als Bestandteil eines hochgeladenen Belegs —, werden sie ausschließlich im Rahmen der dokumentierten Weisungen und mit den für die betreffende Verarbeitung geltenden Schutzmaßnahmen verarbeitet. Der Verantwortliche stellt sicher, dass eine Übermittlung solcher Daten nur erfolgt, soweit hierfür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• (a) Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, einschließlich in Bezug auf die Übermittlung in ein Drittland (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, eine Verarbeitung ist nach Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich. Die in § 1 und § 2 dieses AVV beschriebenen Verarbeitungstätigkeiten sowie die Standardweisungen, die sich aus dem Funktionsumfang des Dienstes gemäß § 3 der AGB ergeben, gelten als dokumentierte Weisungen des Verantwortlichen. Der Verantwortliche ist berechtigt, ergänzende oder abweichende Weisungen jederzeit in Textform (E-Mail an info@floone.de) zu erteilen. Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich informieren, wenn er eine Weisung für rechtswidrig hält (Art. 28 Abs. 3 S. 3 DSGVO).
• (b) Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO).
• (c) Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe §8).
• (d) Keine weiteren Auftragsverarbeiter ohne vorherige Genehmigung einzusetzen (siehe §6).
• (e) Den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) zu unterstützen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, wird dieser die Anfrage nicht selbst inhaltlich beantworten, sondern sie unverzüglich an den Verantwortlichen weiterleiten und ihn über den Eingang informieren; eine eigene Beantwortung erfolgt nur auf Weisung des Verantwortlichen.
• (f) Den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO zu unterstützen, insbesondere bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer gegebenenfalls erforderlichen vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO, soweit die hierfür erforderlichen Informationen dem Auftragsverarbeiter vorliegen.
• (g) Nach Beendigung der Verarbeitung alle personenbezogenen Daten zu löschen (siehe §7).
• (h) Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen und Überprüfungen (Audits) zu ermöglichen. Audits sind mit einer Vorankündigung von mindestens vier (4) Wochen in Textform anzukündigen und auf einen zumutbaren Zeitrahmen zu begrenzen. Sie finden, soweit nicht aus dringenden Gründen angezeigt, nicht häufiger als einmal in zwölf (12) Monaten statt; ein dringender Grund liegt insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder bei konkreten Anhaltspunkten für einen Verstoß vor. Die Kosten des Audits trägt der Verantwortliche, sofern das Audit keinen Verstoß des Auftragsverarbeiters ergibt.

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht benannt; die Voraussetzungen einer Benennungspflicht nach Art. 37 DSGVO in Verbindung mit § 38 BDSG liegen nach Einschätzung des Auftragsverarbeiters nicht vor. Datenschutzrechtlicher Ansprechpartner ist info@floone.de. Sobald eine gesetzliche Benennungspflicht besteht, wird ein Datenschutzbeauftragter benannt, dessen Kontaktdaten veröffentlicht und der Verantwortliche hierüber unterrichtet.

Sitz des Auftragsverarbeiters und Drittlandtransfer

Der Auftragsverarbeiter ist eine Rechtsperson mit Sitz in den Vereinigten Staaten. Die primären Anwendungsdaten und Datenbanken werden bei der Hetzner Online GmbH in Deutschland gespeichert; eine Verlagerung dieser Datenhaltung in ein Drittland findet nicht statt. Im Rahmen einzelner Funktionen können personenbezogene Daten durch die in § 6 genannten Unterauftragsverarbeiter oder Empfänger auch in anderen Staaten verarbeitet werden.

Da der Auftragsverarbeiter als Rechtsperson eines Drittlands im Rahmen von Wartung, Support und Administration auf die in Deutschland gespeicherten Daten zugreifen kann, liegt gleichwohl eine Übermittlung im Sinne des Kapitels V DSGVO vor (maßgeblich ist der Zugriff, nicht der Serverstandort — EDPB-Leitlinie 05/2021). Als Transfergrundlage dienen die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter), gemäß Art. 46 Abs. 2 lit. c DSGVO. Die Standardvertragsklauseln einschließlich der jeweils kundenspezifisch ausgefüllten Anhänge werden dem Verantwortlichen mit Abschluss des Nutzungsvertrages beziehungsweise dieses AVV in Textform zur Verfügung gestellt; die kundenspezifischen Anhänge werden aus Datenschutzgründen nicht öffentlich bereitgestellt. Der Zugriff ist zusätzlich durch technische und organisatorische Maßnahmen abgesichert (Verschlüsselung, auf das Erforderliche beschränkter und protokollierter Administrationszugriff — siehe § 8).

Vertreter nach Art. 27 DSGVO: Instant EU GDPR Representative Ltd (Adam Brogden), Office 2, 12A Lower Main Street, Lucan, Co. Dublin, K78 X5P8, Irland, contact@gdprlocal.com.

§ 5a Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

• (a) Die Rechtmäßigkeit der Verarbeitung sicherzustellen, insbesondere für eine tragfähige Rechtsgrundlage der von ihm veranlassten Verarbeitungen zu sorgen und die erforderlichen Einwilligungen einzuholen, soweit die Verarbeitung darauf gestützt wird.
• (b) Dem Auftragsverarbeiter ausschließlich rechtmäßige Weisungen zu erteilen.
• (c) Die Informationspflichten gegenüber den betroffenen Personen nach Art. 13 und 14 DSGVO zu erfüllen und Betroffenenanfragen zu beantworten (§ 5 lit. e).
• (d) Die Zugänge und Berechtigungen der Benutzer seines Tenants zu verwalten, nicht mehr benötigte Zugänge zu deaktivieren und Zugangsdaten vertraulich zu behandeln.
• (e) Besondere Kategorien personenbezogener Daten nur zu übermitteln, soweit hierfür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht (§ 4).
• (f) Den Auftragsverarbeiter unverzüglich zu informieren, wenn er in den Verarbeitungsergebnissen Fehler oder Unregelmäßigkeiten mit datenschutzrechtlicher Relevanz feststellt.
• (g) Die für ihn geltenden gesetzlichen Aufbewahrungspflichten eigenverantwortlich zu erfüllen, insbesondere durch rechtzeitigen Export der Daten (§ 7).

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen rechtzeitig vorab per E-Mail. Der Verantwortliche kann der Hinzuziehung eines neuen Unterauftragsverarbeiters innerhalb von 14 Tagen nach Mitteilung in Textform widersprechen. Die Änderung wird nicht vor Ablauf dieser Frist wirksam. Im Falle eines berechtigten Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht zu.

(2) Aktuelle Unterauftragsverarbeiter:

(3) Mit allen Unterauftragsverarbeitern bestehen Verträge, die ihnen mindestens dieselben Datenschutzpflichten auferlegen, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten in vollem Umfang. Auf begründete Anfrage stellt der Auftragsverarbeiter geeignete Informationen zum Nachweis der vertraglichen Verpflichtung eines Unterauftragsverarbeiters zur Verfügung; vertrauliche Inhalte und Geschäftsgeheimnisse dürfen dabei geschwärzt werden.

(4) Eigenständig Verantwortliche / Empfänger personenbezogener Daten: Folgende Dritte sind keine Auftragsverarbeiter, sondern eigenständig Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Nicht aufgeführt ist der Zahlungsdienstleister Stripe: Über ihn wird ausschließlich das Entgelt für die Nutzung von FloOne zwischen dem Anbieter und dem Kunden abgerechnet. Diese Verarbeitung betrifft die eigene Vertragsbeziehung des Anbieters und ist nicht Gegenstand dieses AVV (§ 1 Abs. 2a); Einzelheiten regelt die Datenschutzerklärung. Bindet der Verantwortliche demgegenüber sein eigenes Stripe-Konto als Datenquelle an, ist dies ein hiervon zu unterscheidender Verarbeitungsvorgang nach § 2. Die Übermittlung personenbezogener Daten an diese Stellen erfolgt auf dokumentierte Weisung des Verantwortlichen; die Bestimmung und Dokumentation der Rechtsgrundlage für die Übermittlung obliegt dem Verantwortlichen. Für die anschließende eigene Verarbeitung ist der jeweilige Empfänger eigenständig verantwortlich. Die jeweiligen Datenschutzbestimmungen der Empfänger gelten ergänzend.

§ 7 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Nutzungsvertrags hat der Verantwortliche nach seiner Wahl Anspruch auf Rückgabe oder Löschung der personenbezogenen Daten (Art. 28 Abs. 3 lit. g DSGVO). Zur Rückgabe stehen dem Verantwortlichen für einen Zeitraum von 30 Tagen die Exportfunktionen des Dienstes (insbesondere CSV, DATEV-EXTF, ZUGFeRD-PDF, JSON) zur Verfügung; auf Wunsch unterstützt der Auftragsverarbeiter in angemessenem Umfang bei der Datenherausgabe. Trifft der Verantwortliche keine abweichende Wahl in Textform, werden die Daten nach Ablauf der 30-Tage-Frist gemäß Absatz 2 gelöscht.

(2) Nach Ablauf der 30-Tage-Frist werden sämtliche personenbezogenen Daten des Verantwortlichen unwiderruflich gelöscht, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats, dem der Auftragsverarbeiter selbst unterliegt, eine weitere Speicherung verlangt (Art. 28 Abs. 3 lit. g DSGVO). Gesetzliche Aufbewahrungspflichten, die den Verantwortlichen treffen, begründen keine Aufbewahrung durch den Auftragsverarbeiter; der Verantwortliche erfüllt sie durch Export der Daten nach Absatz 1. Die Löschung erfolgt vollständig und automatisiert, einschließlich aller zugehörigen Dateien (insbesondere Beleg-Fotos). Datensicherungen (Backups), die personenbezogene Daten des Verantwortlichen enthalten, werden im Rahmen der ordnungsgemäßen Backup-Rotation längstens innerhalb von 30 Tagen nach der regulären Löschung überschrieben. In dieser Übergangsphase findet keine aktive Verarbeitung der gesicherten Daten statt; sie werden ausschließlich zur Wiederherstellung im Fehlerfall passiv vorgehalten.

(3) Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage schriftlich.

§ 8 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die nachfolgend beschriebenen Maßnahmen gemäß Art. 32 DSGVO. Sie beschreiben das zugesagte Schutzniveau. Eine ausführliche Darstellung der hierfür eingesetzten Verfahren, Komponenten und Konfigurationen stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage in Textform zur Verfügung; sie wird aus Sicherheitsgründen nicht veröffentlicht.

Vertraulichkeit

• Verschlüsselte Übertragung sämtlicher Daten über den Transportweg nach aktuellem Stand der Technik; erzwungene Verschlüsselung durch entsprechende Sicherheits-Header
• Passwörter werden ausschließlich als Hashwert nach einem aktuellen, gesalzenen Verfahren gespeichert, niemals im Klartext
• Verschlüsselung ruhender Daten in zwei Ebenen: Vollverschlüsselung auf Server- und Speicherebene sowie zusätzliche feldbezogene Verschlüsselung besonders sensibler Inhalte — insbesondere Zugangsdaten zu Drittsystemen, Zwei-Faktor-Geheimnisse, Mailserver- und Carrier-Zugangsdaten
• Sitzungsverwaltung über Cookies, die dem Zugriff durch Skripte entzogen und auf verschlüsselte Verbindungen beschränkt sind, mit befristeten Sitzungs- und Erneuerungs-Token sowie Schutz gegen websiteübergreifende Anfragefälschung
• Optionale Zwei-Faktor-Authentisierung für Benutzerkonten
• Schutz der Autorisierungsvorgänge gegen Wiedereinspielung

Integrität

• Mandantentrennung auf Datenbankebene, in jeder Abfrage technisch erzwungen
• Eingabevalidierung auf Schnittstellenebene; inhaltliche Prüfung hochgeladener Dateien über ihren tatsächlichen Dateityp, nicht allein über die Dateiendung
• GoBD-konforme Festschreibung von Buchungen und Rechnungen; nach der Festschreibung unveränderbar
• Schutz gegen Doppelverarbeitung bei wiederholten Anfragen
• Protokollierung sicherheitsrelevanter Vorgänge

Verfügbarkeit

• Hosting bei der Hetzner Online GmbH (ISO 27001 zertifiziert)
• Serverstandort Deutschland (Falkenstein, Nürnberg)
• Betrieb in isolierten Containern mit automatischer Wiederherstellung und Zustandsüberwachung
• Härtung der Laufzeitumgebung: Betrieb ohne Systemrechte, Einschränkung der Systemberechtigungen und verpflichtende Isolationsmechanismen

Belastbarkeit und Wiederherstellbarkeit

• Automatische tägliche Sicherung der Datenbank; die Sicherungen sind verschlüsselt und werden geografisch getrennt in Deutschland aufbewahrt. Es gilt eine definierte Aufbewahrungsdauer mit anschließender automatischer Überschreibung
• Begrenzung der Zugriffsrate und gestufte Wiederholungsintervalle für Schnittstellenzugriffe
• Überwachung über System- und Anwendungsprotokolle
• Vorgeschalteter Schutz gegen Überlastangriffe sowie Sicherheits-Header

Überprüfung der Wirksamkeit (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen
• Quartalsweise Sicherheitsprüfungen sowie fortlaufende Prüfung der eingesetzten Software-Komponenten auf bekannt gewordene Schwachstellen; ereignisbasiertes Einspielen von Sicherheitsaktualisierungen bei hohem Schweregrad

Zutrittskontrolle

• Serverinfrastruktur bei Hetzner; die physische Zutrittskontrolle obliegt Hetzner nach ISO 27001
• Administrativer Serverzugang ausschließlich über Schlüsselauthentisierung; ein Zugang über Passwort ist deaktiviert

Zugangskontrolle

• Individuelle Benutzerkonten mit optionaler Zwei-Faktor-Authentisierung
• Rollenbasierte Zugriffsberechtigung (Owner, Admin, Buchhaltung, Lager, Picker)
• Login-Protokoll: jede Anmeldung, jeder Fehlversuch, jeder Passwort-Reset und Zwei-Faktor-Vorgang wird mit Zeitstempel, IP-Adresse, versuchter E-Mail-Adresse und Ereignis-Typ protokolliert (Speicherdauer 12 Monate)
• Schutz gegen das Ausspähen bestehender Konten über das Antwortverhalten bei Anmeldeversuchen
• Admin-Zugriffsprotokoll: Greift ein Mitarbeiter des Auftragsverarbeiters auf einen Tenant zu, wird die Sitzung mit Identität, Grund, Quell-IP sowie Start- und Endzeitpunkt protokolliert. Der Verantwortliche kann diese Sitzungen im Dashboard einsehen. Aufbewahrung 12 Monate, anschließend automatische Löschung; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes und an der Beweissicherung gegen Manipulationen)

Auftragskontrolle und Trennungsgebot

• Jede Plattform-Integration wird pro Tenant mit eigenen, getrennten Zugangsdaten betrieben
• Eine Vermischung von Daten unterschiedlicher Verantwortlicher ist durch die mandantenbezogene Filterung in jeder Abfrage technisch ausgeschlossen

§ 9 Informationspflichten und Meldepflichten

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, grundsätzlich innerhalb von 24 Stunden nach Kenntniserlangung, wenn er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung erfolgt per E-Mail an die vom Verantwortlichen hinterlegte E-Mail-Adresse und enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Informationen.

§ 10 Haftung

(1) Für die Haftung der Parteien aus oder im Zusammenhang mit diesem AVV gelten ergänzend die Haftungsregelungen der AGB (§ 10) entsprechend, soweit nachfolgend nichts anderes bestimmt ist.

(2) Die Haftung des Auftragsverarbeiters gegenüber betroffenen Personen sowie die Haftung im Innenverhältnis der Parteien nach Art. 82 DSGVO bleiben unberührt. Der Auftragsverarbeiter haftet nach Art. 82 Abs. 2 S. 2 DSGVO für Schäden nur, soweit er den ihm speziell durch die DSGVO auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung einer rechtmäßig erteilten Anweisung des Verantwortlichen oder gegen diese gehandelt hat.

§ 11 Schlussbestimmungen

(1) Dieser AVV konkretisiert die Pflichten nach Art. 28 DSGVO und unterliegt — ebenso wie die AGB (§ 17) — deutschem Recht unter Ausschluss kollisionsrechtlicher Verweisungen. Maßgeblich für die Auslegung und Durchsetzung der datenschutzrechtlichen Pflichten ist die Datenschutz-Grundverordnung (DSGVO) in ihrer jeweils geltenden Fassung; deren Anwendungsvorrang als unmittelbar geltendes Unionsrecht bleibt unberührt.

(2) Änderungen dieses AVV, die wesentliche datenschutzrechtliche Bedingungen betreffen, bedürfen der ausdrücklichen Zustimmung des Verantwortlichen in Textform gemäß AGB § 16 Abs. 2; eine Zustimmungsfiktion durch Schweigen ist insoweit ausgeschlossen. Im Übrigen genügt für Änderungen die Textform (E-Mail genügt).

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Gerichtsstand für Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist — soweit gesetzlich zulässig — Frankfurt am Main; ein nach zwingendem Recht bestehender ausschließlicher Gerichtsstand bleibt unberührt.