Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftraggeber im Rahmen der Nutzung der Software Bestandsgold einstellt oder über sie erheben lässt. Bestandsgold ist eine Software für Empfehlungsmanagement: Sie führt den Kundenbestand des Auftraggebers, schlägt Anlässe für eine Ansprache vor, stellt Empfehlungs- und Bewertungsseiten bereit, versendet Nachrichten im Namen des Auftraggebers, verwaltet Termine und Belohnungen und wertet den Verlauf aus.

Der Auftragnehmer verarbeitet diese Daten ausschließlich im Auftrag des Auftraggebers. Verantwortlicher im Sinne der Datenschutz-Grundverordnung bleibt der Auftraggeber. Er entscheidet allein über Zweck und Mittel der Verarbeitung und über die Rechtsgrundlage jeder Ansprache.

Dieser Vertrag beginnt mit der Annahme durch den Auftraggeber in der Software und läuft so lange, wie der Nutzungsvertrag über Bestandsgold läuft. Er endet mit ihm. Die Pflichten aus § 6 und § 11 bestehen darüber hinaus fort.

Die Annahme wird in der Software festgehalten: gespeichert werden die angenommene Fassung und der Zeitpunkt der Annahme. Ändert der Auftragnehmer diesen Vertrag, erhält die neue Fassung eine neue Nummer und muss erneut angenommen werden; die zuvor angenommene Fassung bleibt bis dahin sichtbar.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung ist automatisiert und umfasst das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die in Anlage 2 genannten Dienstleister, Einschränken, Löschen und Vernichten.

Zwecke sind allein die folgenden:

• Führen und Pflegen des Kundenbestands des Auftraggebers samt Einwilligungen je Kanal
• Vorschlagen passender Anlässe für eine Ansprache und Erinnern an offene Vorgänge
• Bereitstellen persönlicher Empfehlungs-, Geschenk- und Bewertungsseiten
• Versenden von Nachrichten per E-Mail im Namen des Auftraggebers, Vorbereiten von Chatnachrichten, die der Auftraggeber oder sein Kunde selbst absendet, sowie Versand per SMS, sobald dieser Weg eingerichtet ist
• Entgegennehmen von Rückrufwünschen und Terminwünschen empfohlener Personen
• Abwickeln und Belegen zugesagter Belohnungen
• Auswerten des Verlaufs für den Auftraggeber in seiner eigenen Organisation
• Formulieren von Textvorschlägen durch ein Sprachmodell, sofern der Auftraggeber dem ausdrücklich zustimmt und der Dienst eingerichtet ist

Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Insbesondere schreibt der Auftragnehmer die Kundinnen, Kunden und empfohlenen Personen des Auftraggebers nicht im eigenen Namen an und wertet ihre Daten nicht organisationsübergreifend aus.

Ort der Verarbeitung ist die Europäische Union, mit den in Anlage 2 einzeln benannten Ausnahmen. Auf eine Ausnahme wird hier ausdrücklich hingewiesen: die Datenbank steht derzeit bei Amazon Web Services in der Region us-east-1 (Virginia, Vereinigte Staaten). Ein Umzug nach Frankfurt ist vorgesehen.

§ 3 Art der personenbezogenen Daten

Verarbeitet werden folgende Arten personenbezogener Daten:

• Stammdaten: Vorname, Nachname, Anrede und Anredeform, Geschlecht als Steuerung der Anrede, Rufnummer, E-Mail-Adresse, Telegram-Name, bevorzugter Kanal
• Beziehungsdaten: Beginn der Beziehung, Themen und Sparten, durchschnittliche Provision, Zufriedenheitswert, Notizen, Anlässe mit Datum
• Einwilligungsdaten: Kanal, Quelle, Zeitpunkt und Nachweis jeder erteilten Einwilligung sowie ihr Widerruf
• Kommunikationsdaten: Betreff und Text gesendeter Nachrichten, Kanal, Vorlage, Status, Zeitpunkte, Kennung beim Versanddienst, Fehlermeldungen
• Inhalte, die Kundinnen und Kunden selbst aufnehmen: Sprachnachrichten, Videos, Fotos, freie Texte, Schlagworte
• Bewertungsdaten: Sternzahl, Schlagworte, Freitext, Zustimmung zur Veröffentlichung
• Daten empfohlener Personen: Vorname, gegebenenfalls Nachname, Rufnummer, E-Mail-Adresse, Art und Zeitpunkt des Opt-ins, Bestätigungscode und dessen Bestätigung, Status, Notiz, Termine
• Belohnungs- und Abwicklungsdaten: Anlass, Art, Betrag, Status, Belege als PDF; bei einer Auszahlung über PayPal zusätzlich die E-Mail-Adresse der empfangenden Person
• Nutzungsdaten in pseudonymisierter Form: Hashwerte aus dem Netzanteil einer IP-Adresse für die Zählung geöffneter Seiten, Ereignisse ohne Klarnamen, Hashwerte der IP-Adresse im Nachweisprotokoll
• Zugangsdaten der Nutzenden des Auftraggebers: E-Mail-Adresse, Name, Rolle, Rufnummer, Zeitzone, Zeitpunkt der letzten Anmeldung, Geheimnis des zweiten Faktors

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Freitextfelder stehen dem Auftraggeber offen; er trägt dafür Sorge, dass er dort keine Gesundheitsdaten und keine anderen Daten nach Art. 9 DSGVO einträgt. Vor jeder Übertragung an das Sprachmodell prüft die Software den Text und hält ihn zurück, wenn er Gesundheitsangaben oder eine Vertrags-, Kunden- oder Kontonummer enthält.

§ 4 Kategorien betroffener Personen

Betroffen sind:

• Kundinnen und Kunden des Auftraggebers, deren Daten er in die Software einstellt
• Personen, die von diesen Kundinnen und Kunden empfohlen werden, ab dem Zeitpunkt, zu dem sie sich selbst melden
• Beschäftigte und Beauftragte des Auftraggebers, die die Software als Nutzende bedienen

Wer eine geteilte Seite nur öffnet, ohne sich selbst zu melden, wird nicht als Person gespeichert.

§ 5 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich der Übermittlung in ein Drittland.

Als Weisung gelten dieser Vertrag, der Nutzungsvertrag und jede Einstellung, die der Auftraggeber in der Software selbst vornimmt – insbesondere die Auswahl der Kanäle, die Freigabe einzelner Nachrichten, die Einwilligungen, die er hinterlegt, und die Zustimmung zur Nutzung des Sprachmodells.

Einzelweisungen darüber hinaus erteilt der Auftraggeber in Textform an die Kontaktadresse des Auftragnehmers. Der Auftragnehmer bestätigt sie in Textform. Mündliche Weisungen sind unverzüglich in Textform nachzuholen.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er ist berechtigt, die Ausführung auszusetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 6 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung ist nachweisbar und gilt über das Ende der Tätigkeit hinaus.

Der Auftragnehmer macht die eingesetzten Personen mit den für sie geltenden Datenschutzbestimmungen und der Weisungsgebundenheit vertraut.

Die Vertraulichkeitspflicht besteht auch nach Beendigung dieses Vertrags fort.

§ 7 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

Der Auftragnehmer darf die Maßnahmen weiterentwickeln. Das Schutzniveau darf dabei nicht unter das in Anlage 1 beschriebene sinken. Wesentliche Änderungen teilt er dem Auftraggeber mit.

Anlage 1 nennt auch die Lücken, die zum Stand dieser Fassung bestehen. Sie sind Teil der Beschreibung und nicht beschönigt.

§ 8 Unterauftragnehmer

Der Auftraggeber erteilt hiermit die allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO für die in Anlage 2 aufgeführten weiteren Auftragsverarbeiter.

Der Auftragnehmer schließt mit jedem dieser Unterauftragnehmer einen Vertrag, der ihm im Wesentlichen dieselben Pflichten auferlegt, die dieser Vertrag dem Auftragnehmer auferlegt. Er bleibt dem Auftraggeber gegenüber für die Erfüllung verantwortlich.

Nimmt der Auftragnehmer einen weiteren Unterauftragnehmer hinzu oder tauscht er einen aus, teilt er das dem Auftraggeber mindestens 30 Tage vorher in Textform mit. Der Auftraggeber kann innerhalb dieser Frist aus einem wichtigen, datenschutzrechtlichen Grund widersprechen. Widerspricht er, und lässt sich die Leistung ohne diesen Unterauftragnehmer nicht in gleicher Weise erbringen, darf jede Partei den Nutzungsvertrag zum Zeitpunkt der geplanten Umstellung kündigen.

Nicht als Unterauftragnehmer gelten Nebenleistungen wie Telekommunikation, Post- und Transportdienste sowie Wartung, bei denen der Zugriff auf personenbezogene Daten nicht Gegenstand der Leistung ist.

Für Unterauftragnehmer außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission, soweit der Empfänger danach zertifiziert ist, und andernfalls auf die Standardvertragsklauseln nach Art. 46 Abs. 2 Buchstabe c DSGVO. Für die in Anlage 2 genannten Empfänger mit Sitz in den Vereinigten Staaten gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 Buchstabe c DSGVO, soweit der Empfänger nicht unter einem Angemessenheitsbeschluss zertifiziert ist. Die abgeschlossenen Verträge stellt der Auftragnehmer dem Auftraggeber auf Anforderung in Textform zur Verfügung.

§ 9 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten.

Die Software leistet das im Wesentlichen selbst: Unter „Einstellungen → Datenschutz“ kann der Auftraggeber zu jeder Person die gespeicherten Daten als Datei ausgeben, sie löschen und die Freigabe einer Bewertung zur Veröffentlichung widerrufen. Die Löschung entfernt Kontaktdaten, Einwilligungen, Anlässe, Bewertungen, Nachrichten, Aufgaben und Sprachnachricht und anonymisiert den Datensatz; erhalten bleiben nur Zählungen ohne Klarnamen und die gesetzlich aufzubewahrenden Belege.

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, beantwortet er ihr Anliegen nicht selbst, sondern leitet es unverzüglich an den Auftraggeber weiter und weist die Person darauf hin, wer Verantwortlicher ist.

Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen und bei einer Datenschutz-Folgenabschätzung, soweit die dafür nötigen Angaben nur ihm vorliegen.

§ 10 Verletzungen des Schutzes personenbezogener Daten

Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten aus diesem Auftrag betrifft, meldet er sie dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform.

Die Meldung enthält, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Gegenmaßnahmen und eine Ansprechstelle für Rückfragen. Fehlende Angaben reicht der Auftragnehmer unverzüglich nach.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO nimmt der Auftraggeber vor. Der Auftragnehmer meldet nicht an dessen Stelle.

§ 11 Löschung und Rückgabe nach Beendigung

Nach Beendigung dieses Vertrags löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie zurück – nach Wahl des Auftraggebers. Die Wahl teilt der Auftraggeber vor dem Ende in Textform mit; äußert er sich nicht, wird gelöscht.

Für die Rückgabe stellt die Software die Ausgabe der Daten in einem gängigen, maschinenlesbaren Format bereit; der Auftraggeber kann sie jederzeit selbst erzeugen.

Nach dem Ende des Vertrags löscht der Auftragnehmer die personenbezogenen Daten innerhalb von 30 Tagen, sofern der Auftraggeber nicht vorher die Rückgabe verlangt. Gesetzliche Aufbewahrungspflichten bleiben unberührt; die betroffenen Daten werden für die Dauer der Pflicht gesperrt und danach gelöscht.

Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Das betrifft insbesondere die Belege über ausgezahlte Belohnungen, die handels- und steuerrechtlich zehn Jahre aufbewahrt werden. Diese Daten verarbeitet der Auftragnehmer nur noch zu diesem Zweck.

Während der Vertragslaufzeit gelten zusätzlich die automatischen Löschfristen aus Anlage 3.

§ 12 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Angaben zur Verfügung, die dieser zum Nachweis der Einhaltung dieses Vertrags braucht. Dazu gehören insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen aus Anlage 1 und das Verzeichnis der Verarbeitungstätigkeiten, soweit es diesen Auftrag betrifft.

Der Auftraggeber ist berechtigt, die Einhaltung zu überprüfen oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer überprüfen zu lassen. Prüfungen vor Ort werden mit angemessenem Vorlauf angekündigt, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen stören.

Ehrlich anzumerken ist: Der Auftragnehmer verfügt zum Stand dieser Fassung über keine Zertifizierung nach Art. 42 DSGVO, keine Zertifizierung nach ISO/IEC 27001 und keinen Prüfbericht eines externen Prüfers. Ein Nachweis kann deshalb heute nur in der Beschreibung der Maßnahmen und in einer Prüfung durch den Auftraggeber bestehen.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

Im Verhältnis der Parteien zueinander gilt die Haftungsregelung des Nutzungsvertrags, also § 10 der Allgemeinen Geschäftsbedingungen. Art. 82 DSGVO bleibt davon unberührt: Gegenüber betroffenen Personen haften beide Parteien nach den dort genannten Maßstäben, und eine vertragliche Begrenzung wirkt insoweit nicht.

Eine Begrenzung der Haftung für Vorsatz und grobe Fahrlässigkeit sowie für Schäden aus der Verletzung von Leben, Körper und Gesundheit ist unwirksam und wird auch nicht vereinbart.

§ 14 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieser Formklausel.

Widersprechen sich dieser Vertrag und der Nutzungsvertrag in Fragen des Datenschutzes, geht dieser Vertrag vor.

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist der Sitz des Auftragnehmers, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags.

Anlage 1 · Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind im Quelltext umgesetzt und dort nachprüfbar.

• Mandantentrennung in der Datenbank: Row Level Security mit FORCE auf allen Tabellen mit Organisationsbezug. Jede Abfrage läuft über einen von drei Zugängen, der die Organisation als Sitzungsvariable setzt. Die Anwendung verbindet sich mit einem Datenbankbenutzer ohne das Recht, die Zeilenregeln zu umgehen.
• Anmeldung ohne Passwort: Der Anmeldelink gilt fünfzehn Minuten, wirkt genau einmal und ist an den anfragenden Browser gebunden. Gespeichert wird nur sein Hashwert mit Servergeheimnis.
• Zweiter Faktor nach RFC 6238 auf Wunsch. Bis zur Bestätigung lebt die Sitzung nur fünfzehn Minuten statt dreißig Tagen.
• Sitzungs-Cookie: signiert, nur über HTTPS, nicht aus JavaScript lesbar, mit Host-Präfix. Ohne HTTPS verweigert die Anwendung in Produktion den Start.
• Ratenbegrenzung auf allen öffentlichen Routen, Schlüssel nur als Hashwert. Ein Bot-Schutz von Cloudflare steht, sofern er eingerichtet ist, vor der Terminbuchung und dem Rückrufwunsch auf der geteilten Seite – nicht vor jedem öffentlichen Formular.
• Datensparsame Protokolle: IP-Adressen nur als Hashwert mit Servergeheimnis, für die Öffnungszählung nur der Netzanteil. Der Logger schwärzt Namen, E-Mail-Adressen, Rufnummern, Nachrichtentexte, Token und Geheimnisse. Dateischlüssel des Speichers landen nie im Protokoll.
• Pseudonymisierung vor jeder Übertragung an das Sprachmodell, mit hartem Riegel für Gesundheits-, Vertrags-, Kunden- und Kontoangaben.
• Automatisches Aufräumen: Ein täglicher Job setzt die Fristen aus Anlage 3 je Organisation durch.
• Auskunft und Löschung als Selbstbedienung, aufgebaut aus einer festen Feldzuordnung, damit keine Spalte vergessen wird.
• Nachweisprotokoll: Schützenswerte Vorgänge stehen mit handelnder Person, Zeitpunkt und Hashwert der IP-Adresse im Protokoll.
• Verschlüsselte Übertragung durchgehend über HTTPS. Geheimnisvergleiche laufen in konstanter Zeit.
• Verschlüsselung ruhender Daten: durch den Datenbankanbieter. Eine zusätzliche Verschlüsselung einzelner Felder durch die Anwendung gibt es nicht.

Offen und deshalb hier genannt, statt verschwiegen:

• Wiederherstellbarkeit nach Art. 32 Abs. 1 Buchstabe c: Sicherungen liegen beim Datenbankanbieter. Wie weit sie zurückreichen, ist zum Stand dieser Fassung ungeprüft, und eine Wiederherstellung wurde noch nie geübt.
• Die Datenbank steht derzeit in den Vereinigten Staaten, nicht in Frankfurt. Siehe Anlage 2.
• Für das Nachweisprotokoll und für gesendete Nachrichten gibt es bisher keine automatische Löschfrist. Siehe Anlage 3.

Anlage 2 · Unterauftragnehmer

Genehmigt sind die folgenden weiteren Auftragsverarbeiter. Ein Dienst, der in der Spalte „Aktiv, wenn“ eine Bedingung trägt, verarbeitet nur dann Daten, wenn sie erfüllt ist; ist sie es nicht, wird nichts dorthin übertragen.

Meta Platforms Ireland Limited ist kein Unterauftragnehmer: Wer eine Empfehlung über WhatsApp weitergibt, verschickt sie vom eigenen Gerät. Beim Öffnen des Links erfährt Meta die IP-Adresse dieses Geräts und den vorbereiteten Text.

Anlage 3 · Löschfristen

Diese Fristen setzt ein täglicher Job durch:

• Ereignisse für Auswertungen: 730 Tage
• Öffnungen geteilter Seiten: 180 Tage
• Sprachnachrichten samt Datei: 365 Tage ab der Einwilligung
• Zähler der Ratenbegrenzung: 7 Tage
• Anmeldelinks: fünfzehn Minuten gültig, die Zeile 24 Stunden nach Ablauf entfernt
• Sitzung: 30 Tage, vor dem zweiten Faktor fünfzehn Minuten
• Verwaiste Dateien im Speicher: frühestens 24 Stunden nach dem Hochladen
• Abgebrochene Kundenimporte: 30 Tage
• Belege über ausgezahlte Belohnungen: bewusst aufbewahrt, zehn Jahre

Ohne automatische Frist sind heute: das Nachweisprotokoll, gesendete Nachrichten, Aufgaben, Anfragen, Hintergrundaufträge sowie die Stammdaten der Kundinnen, Kunden und empfohlenen Personen. Sie verschwinden, wenn der Auftraggeber eine Person löscht oder den Datensatz selbst entfernt, spätestens 30 Tage nach dem Ende des Vertrags. Feste Fristen je Tabelle sind noch nicht festgelegt; bis dahin gilt diese Gesamtfrist.