Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung ist Anlage 1 zu den Nutzungsbedingungen von Prompt2Ads und konkretisiert die datenschutzrechtlichen Pflichten der Parteien für diejenigen Verarbeitungen, die wir im Auftrag der Nutzenden durchführen. Sie kommt mit der Annahme der Nutzungsbedingungen zustande; einer gesonderten Unterzeichnung bedarf es nicht.

Auftraggeber und Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO sind die Nutzenden („Auftraggeber"). Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist die Anton Meixner & Samuel Donath GbR, Kantstraße 140, 10623 Berlin („Auftragnehmerin").

Gegenstand der Auftragsverarbeitung sind ausschließlich die Kontaktanfragen, die über die öffentlichen Buchungsseiten der Kampagnen des Auftraggebers eingehen. Für alle übrigen Verarbeitungen — insbesondere das Nutzerkonto des Auftraggebers, seine Abrechnungsdaten und seine Chatverläufe — ist die Auftragnehmerin selbst Verantwortliche; hierfür gilt diese Vereinbarung nicht.

Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Erhebung, für die Information der betroffenen Personen und für die Zulässigkeit der von ihm geschalteten Werbung.

Die Vereinbarung beginnt mit der Annahme der Nutzungsbedingungen und läuft, solange der Auftraggeber die Plattform nutzt. Sie endet mit der Beendigung des Nutzungsverhältnisses. Die Regelungen zur Löschung nach Ziffer 10 gelten über das Ende hinaus fort.

Die Auftragnehmerin verarbeitet die Kontaktanfragen ausschließlich, um sie im Auftrag des Auftraggebers entgegenzunehmen, zu speichern und ihm im geschützten Bereich der Plattform sowie — sofern von ihm aktiviert — per E-Mail-Benachrichtigung zugänglich zu machen.

Die Verarbeitung umfasst dabei die folgenden Vorgänge:

• Erheben der Angaben über das Formular der Buchungsseite
• Speichern in der Datenbank der Plattform
• Bereitstellen zur Ansicht und zum Abruf durch den Auftraggeber
• Übermitteln einer Benachrichtigung an die E-Mail-Adresse des Auftraggebers
• Löschen auf Weisung des Auftraggebers oder nach Ziffer 10

Verarbeitet werden die von der anfragenden Person selbst eingegebenen Angaben: Name, E-Mail-Adresse, Telefonnummer (freiwillig), Nachrichtentext (freiwillig) sowie der Zeitpunkt der Anfrage und die Zuordnung zur jeweiligen Kampagne.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Auftraggeber wird die Formularfelder nicht so beschriften oder bewerben, dass die Eingabe solcher Daten nahegelegt wird.

Kreis der Betroffenen sind Interessentinnen und Interessenten des Auftraggebers, die eine seiner Buchungsseiten aufrufen und das Formular absenden.

Die Auftragnehmerin verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der jeweiligen Funktionen der Plattform gilt als Weisung; darüber hinausgehende Weisungen sind in Textform an kontakt@prompt2ads.de zu richten.

Eine Übermittlung in ein Drittland erfolgt nur nach Maßgabe der Ziffern 7 und 8 oder aufgrund einer rechtlichen Verpflichtung. In letzterem Fall unterrichtet die Auftragnehmerin den Auftraggeber vor der Verarbeitung, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Auftragnehmerin informiert den Auftraggeber unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Sie ist berechtigt, die Ausführung einer solchen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

Die Auftragnehmerin setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden.

Der Zugriff ist auf diejenigen Personen beschränkt, die ihn zur Erbringung der Leistung benötigen.

Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Zum Zeitpunkt des Vertragsschlusses sind dies:

• Railway Corporation, 548 Market St PMB 68956, San Francisco, CA 94104, USA — Hosting der Anwendung und Betrieb der Datenbank; Speicherort Amsterdam (Niederlande), Verarbeitungsvorgänge teilweise in den USA. Grundlage der Übermittlung sind die in den dortigen Auftragsverarbeitungsvertrag einbezogenen Standardvertragsklauseln der EU-Kommission (Modul 2).
• Resend, Inc., 2261 Market Street, San Francisco, CA 94114, USA — Versand der Benachrichtigungs-E-Mails an den Auftraggeber. [PLATZHALTER: Auftragsverarbeitungsvertrag mit Resend abschließen und die Grundlage der Übermittlung in die USA benennen.]

Die Auftragnehmerin unterrichtet den Auftraggeber mindestens vier Wochen vor der Beauftragung eines weiteren oder der Ersetzung eines bestehenden Unterauftragsverarbeiters in Textform. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen nach Zugang der Unterrichtung aus datenschutzrechtlichen Gründen widersprechen.

Widerspricht der Auftraggeber und lässt sich die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in zumutbarer Weise erbringen, sind beide Parteien berechtigt, das Nutzungsverhältnis zum Zeitpunkt der beabsichtigten Änderung zu kündigen.

Die Auftragnehmerin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus dieser Vereinbarung im Wesentlichen entsprechen. Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet die Auftragnehmerin gegenüber dem Auftraggeber für dessen Verhalten.

Die Auftragnehmerin trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören derzeit insbesondere:

• Verschlüsselung sämtlicher Verbindungen mit TLS sowie Verschlüsselung der Datenbank im Ruhezustand
• Speicherung von Passwörtern ausschließlich als kryptografischer Hash; Speicherung von Zugriffsschlüsseln ausschließlich verschlüsselt (AES-256-GCM)
• Zugriff auf Kontaktanfragen ausschließlich für den zugehörigen Auftraggeber, durchgesetzt durch eine serverseitige Zugriffsprüfung bei jeder Abfrage
• Begrenzung der Absendeversuche auf den öffentlichen Buchungsseiten, um automatisierte Massenanfragen zu unterbinden
• Erkennung und Begrenzung fehlgeschlagener Anmeldeversuche am Nutzerkonto
• Zwei-Faktor-Authentisierung und Passwortmanager-Pflicht für administrative Zugänge
• Tägliche Sicherungen der Datenbank durch den Hosting-Dienstleister mit dokumentierter Wiederherstellungsmöglichkeit
• Protokollierung sicherheitsrelevanter Ereignisse und Auswertung im Störungsfall

Auf den Buchungsseiten können Dienste Dritter eingebunden sein, insbesondere das Meta-Pixel zur Messung des Werbeerfolgs und ein Dienst zur Terminbuchung. Diese Dienste sind nicht Gegenstand dieser Auftragsverarbeitung; die Verantwortlichkeit für sie richtet sich nach den Regelungen des jeweiligen Anbieters und, soweit die Einbindung dem Werbeerfolg des Auftraggebers dient, nach dessen eigener Verantwortlichkeit.

Der Auftraggeber ist dafür verantwortlich, dass für den Einsatz einwilligungsbedürftiger Dienste eine wirksame Einwilligung der betroffenen Personen nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG vorliegt. Die Auftragnehmerin stellt hierfür die technischen Mittel bereit, ersetzt aber nicht die Entscheidung des Auftraggebers über deren Einsatz.

[PLATZHALTER: Solange auf den Buchungsseiten kein Consent-Banner existiert, das Meta-Pixel und Terminbuchung bis zur Einwilligung blockiert, kann diese Pflicht technisch nicht erfüllt werden. Entweder Consent-Lösung ergänzen oder die betreffenden Dienste entfernen.]

Der Auftraggeber kann die Löschung oder die Herausgabe einzelner Kontaktanfragen jederzeit in Textform an kontakt@prompt2ads.de verlangen; wir führen sie unverzüglich, spätestens innerhalb von 30 Tagen aus. Eine Funktion, mit der er Kontaktanfragen selbst löschen oder exportieren kann, steht derzeit nicht zur Verfügung.

Nach Beendigung des Nutzungsverhältnisses löscht die Auftragnehmerin die im Auftrag verarbeiteten Daten, sofern der Auftraggeber nicht zuvor deren Herausgabe verlangt hat. Gesetzliche Aufbewahrungspflichten bleiben unberührt; solche Daten werden für die Dauer der Aufbewahrung von der weiteren Verarbeitung ausgenommen.

Die Löschung wird dem Auftraggeber auf Verlangen in Textform bestätigt.

Die Auftragnehmerin unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 22 DSGVO. Wendet sich eine betroffene Person unmittelbar an die Auftragnehmerin, leitet diese das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

Die Auftragnehmerin unterstützt den Auftraggeber ferner bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen.

Wird der Auftragnehmerin eine Verletzung des Schutzes personenbezogener Daten bekannt, die die im Auftrag verarbeiteten Daten betrifft, unterrichtet sie den Auftraggeber unverzüglich und stellt ihm die Angaben zur Verfügung, die dieser für eine Meldung nach Art. 33 DSGVO benötigt.

Die Auftragnehmerin stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

Der Auftraggeber kann sich nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung überzeugen, in der Regel höchstens einmal je Kalenderjahr. Die Auftragnehmerin kann den Nachweis auch durch aktuelle Testate, Berichte oder Zertifikate führen. Über den Aufwand hinausgehende Kontrollen kann sie angemessen vergüten lassen.

Änderungen dieser Anlage bedürfen der Textform. Im Verhältnis zu den Nutzungsbedingungen geht diese Anlage in datenschutzrechtlichen Fragen vor.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.