Parteien: Auftragnehmer ist das Ausbildungszentrum für Selbstverteidigung und Kampfkunst SportUnion („PrivacyAds“). Auftraggeber ist der im Vertrag über PrivacyAds bezeichnete Kunde. Diese Vereinbarung ist Bestandteil des jeweiligen Vertrags, sofern PrivacyAds personenbezogene Daten im Auftrag verarbeitet. Individuell unterzeichnete Vereinbarungen gehen diesem Text vor.
1. Gegenstand, Dauer und Weisungen
PrivacyAds verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung, Wartung, Sicherung und Unterstützung der vereinbarten Plattformfunktionen, während der Vertragsdauer und nach dokumentierten Weisungen des Auftraggebers, sofern nicht Unions- oder Mitgliedstaatenrecht etwas anderes verlangt. Eine erkennbar rechtswidrige Weisung wird angezeigt und bis zur Klärung nicht ausgeführt.
2. Art, Zweck, Daten und Betroffene
- Zwecke: Messung von Aufrufen und Anfragen auf Websites des Auftraggebers, Annahme, Speicherung und Zustellung von Formularübermittlungen, Auswertung von Werbekosten und Suchdaten, Vorschläge und Änderungen an Inhalten der Website entsprechend der Konfiguration.
- Daten: technische Angaben eines Abrufs (IP-Adresse, Browser- und Geräteangaben, aufgerufene Seite, Herkunft), Eingaben in Formularen samt Kontaktdaten, Dateien, Unterschriften und Einwilligungen sowie Nutzungs- und Sicherheitsdaten. Besondere Kategorien dürfen nur bei dokumentierter Rechtsgrundlage und geeigneter Konfiguration verarbeitet werden.
- Betroffene: Besucher der Websites des Auftraggebers, Personen, die dort Formulare absenden, sowie Mitarbeiter und Nutzer des Auftraggebers.
3. Pflichten von PrivacyAds
PrivacyAds verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit, unterstützt angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Behördenkonsultationen, hält ein Verzeichnis einschlägiger Verarbeitungstätigkeiten und stellt notwendige Compliance-Informationen bereit.
4. Sicherheit
PrivacyAds trifft unter Berücksichtigung von Stand der Technik, Kosten, Art, Umfang und Risiken geeignete Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere verschlüsselte Übertragung, Verschlüsselung von Formularinhalten und Zugangsdaten, rollenbasierte Zugriffe, die Trennung der Daten je Kunde, getrennte Umgebungen, Protokollierung, Sicherungen, Update- und Incident-Prozesse. Die Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht wesentlich sinkt.
5. Unterauftragsverarbeiter
Der Auftraggeber erteilt eine allgemeine Genehmigung für die unter Sicherheit & Dienstleister beschriebenen Kategorien und Anbieter. PrivacyAds verpflichtet Unterauftragsverarbeiter vertraglich zu einem angemessenen Datenschutzniveau und informiert über wesentliche Änderungen. Der Auftraggeber kann aus begründeten Datenschutzgründen widersprechen; die Parteien suchen eine zumutbare Lösung, andernfalls kann die betroffene Funktion beendet werden.
6. Drittlandübermittlungen
Übermittlungen außerhalb des EWR erfolgen nur bei zulässiger Grundlage, insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln samt erforderlicher zusätzlicher Maßnahmen. Vom Auftraggeber selbst eingerichtete Verbindungen zu Drittanbietern gelten zugleich als dokumentierte Weisung, soweit sie zur Funktion erforderlich sind.
7. Datenschutzverletzungen
PrivacyAds informiert den Auftraggeber nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten unverzüglich und stellt verfügbare Informationen bereit, damit dieser seine Melde- und Informationspflichten beurteilen kann.
8. Betroffenenanfragen
Geht eine Anfrage zu Auftragsdaten direkt bei PrivacyAds ein, wird sie grundsätzlich an den Auftraggeber weitergeleitet. PrivacyAds beantwortet sie nur auf dessen Weisung oder aufgrund zwingenden Rechts und stellt technisch verfügbare Unterstützung bereit.
9. Rückgabe und Löschung
Der Auftraggeber kann seine Daten im Konto exportieren und einzelne Übermittlungen, Formulare oder seinen gesamten Betrieb löschen. Nach Ende der Leistung löscht oder gibt PrivacyAds Auftragsdaten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Pflicht oder berechtigte technische Übergangsfrist entgegensteht. Daten in Sicherungen werden gesperrt und mit dem regulären Überschreibzyklus entfernt.
10. Nachweise und Prüfungen
PrivacyAds stellt angemessene Informationen zum Nachweis bereit. Prüfungen sind mit angemessener Vorlaufzeit, während üblicher Geschäftszeiten, unter Vertraulichkeit und ohne Gefährdung anderer Kunden oder Systeme durchzuführen. Vorrangig können vorhandene Prüfberichte und Dokumentationen verwendet werden; notwendige zusätzliche Kosten trägt grundsätzlich der Auftraggeber, außer die Prüfung ergibt einen wesentlichen Verstoß von PrivacyAds.
11. Verantwortlichkeit des Auftraggebers
Der Auftraggeber bleibt für Rechtmäßigkeit, Transparenz, Datenminimierung, Aufbewahrungsregeln, Nutzerberechtigungen, Einwilligungen und seine Weisungen verantwortlich. Er informiert die Besucher seiner Websites über die Messung und die Formulare und richtet optionale Anbindungen nur ein, wenn eine tragfähige Rechtsgrundlage und Information der Betroffenen bestehen.