Source: https://www.facemsk.de/Datenschutz/
Timestamp: 2019-05-19 14:59:12
Document Index: 146067510

Matched Legal Cases: ['Art. 28', 'Art. 44', 'Art. 28', 'Art. 32', 'Art. 28', 'Art. 5', 'Art. 28', 'Art. 28']

Name/Fa.: FaceMSK V.O.F.
Straße Nr.: Kroonakker 44
PLZ, Ort, Land: 5595 HB, Leende, Niederlande
Handelsregister/Nr.: IHK: 69056463 (Niederländische Handelskammernummer)
Geschäftsführer: Roy van Oers & Brigitta Helena
E-Mailadresse: info@facemsk.de
„Vereinbarung zur Auftragsdatenverarbeitung
(Version 3.1. vom 10.05.2018)
Der Auftragnehmer verarbeitet aufgrund des zwischen den Parteien geschlossenen Hauptvertrages personenbezogene Daten im Auftrag des Auftraggebers. Voraussetzung für die Verarbeitung von personenbezogenen Daten im Auftrag ist gemäß Art. 28 Abs. 2 DSGVO (Datenschutzgrundverordnung) ein Auftragsverarbeitungsvertrag, mithin dieser Vertrag, der die Rechte und Pflichten der Parteien im Zusammenhang mit der Datenverarbeitung regelt.
Dieser Vertrag findet Anwendung auf alle Tätigkeiten, die mit dem o. g. Hauptvertrag im Zusammenhang stehen und bei denen Mitarbeiter, Vertreter oder Organe des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen können.
Die Verarbeitung der personenbezogenen Daten durch den Auftragnehmer findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Falls ein Unterauftragnehmer beauftragt werden soll, gelten diese Anforderungen ebenfalls für diese.
Weitere Einzelheiten zu Umfang, Art und Zweck der Datenerhebung, ‑verarbeitung oder ‑nutzung ergeben sich aus dem Hauptvertrag
Arten der Daten: Die im digitalen Vertragsprozess möglichen Arten von Daten sind Stammdaten, Adressdaten, Kommunikationsdaten (z. B. Telefon, E-Mail), Termindaten, Abrechnungsdaten, Vertragsdaten, Bankverbindungsdaten, Planungsdaten, Kundenhistorie, Auskunftsangaben (z.B. von Auskunfteien), sensible Daten (z.B. Gesundheitsdaten, Religionszugehörigkeit), Sonstige.
Kreis der Betroffenen: Die im digitalen Vertragsprozess möglichen Kategorien sind Mitarbeiter, Kunden/Interessenten, Abonnenten, Handelsvertreter, Rentner, Angehörige, Lieferanten/Dienstleister, Kontaktpersonen, Sonstige.
2 Rechte und Pflichten des Auftragnehmers
Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu den personenbezogenen Daten hat, dürfen diese personenbezogenen Daten ausschließlich im Rahmen des Auftrages und der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu den personenbezogenen Daten hat, dürfen diese personenbezogenen Daten ausschließlich im Rahmen des Auftrages und der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber mitteilen.
Der Auftragnehmer verpflichtet sich gegenüber dem Auftraggeber zur Einhaltung aller erforderlichen technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 S. 2 lit.c iVm Art. 32 DSGVO) und dazu diese Maßnahmen zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Die zu treffenden Maßnahmen müssen ein dem Risiko angemessenes Schutzniveau hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme erreichen. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos, für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen. Das Ergebnis ist zu dokumentieren (vgl. Art. 28 Abs. 3 lit. C, 32 DSGVO, insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO). Diese Maßnahmen werden diesem Vertrag als Anlage 1 beigefügt. Da die technischen und rechtlichen Gegebenheiten Änderungen unterliegen, sind sich die Parteien bewusst, dass Änderungen an den Maßnahmen erforderlich sein können. Daher wird der Auftragnehmer die von ihm getroffenen technischen und organisatorischen Maßnahmen regelmäßig und auch anlassbezogen auf ihre Wirksamkeit kontrollieren und anpassen. Dem Auftragnehmer ist es gestattet, alternative adäquate Maßnahmen umzusetzen. Der Auftraggeber kann jederzeit eine aktuelle Fassung der vom Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen anfordern.
Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldepflichten bei Datenschutzverletzungen, Datenschutz-Folgeabschätzungen oder vorheriger Konsultationen). Für diese Unterstützungsleistungen, die nicht in der Leistungsbeschreibung enthalten sind, kann der Auftragnehmer eine Vergütung beanspruchen.
Der Auftragnehmer stellt sicher, dass die mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeiter auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden (Art. 28 Abs. 3 S. 2 lit.b, 29, 32 Abs. 4 DSGVO.
Der Auftragnehmer bestätigt, dass er einen betrieblichen Datenschutzbeauftragten bestellt hat. Seine Kontaktdaten lauten: RA Daniel Rink, Rink Rechtsanwaltsgesellschaft mbH, Expo Plaza 1, 30539 Hannover.
Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei dem Verdacht von Datenschutzverletzungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Auftraggebers. Auch wird der Auftragnehmer den Auftraggeber unverzüglich darüber informieren, wenn eine Aufsichtsbehörde gegenüber dem Auftragnehmer tätig wird, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.
Kopien der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Überlassene Datenträger sowie sämtliche hiervon gefertigten Kopien verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer stellt sicher, dass Daten bzw. Datenträger nach Beendigung der Auftragsdatenverarbeitung an den Auftraggeber zurückgegeben oder datenschutzkonform vernichtet werden.
Nach Abschluss der vereinbarten Arbeiten oder zuvor nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung des Hauptvertrages sind sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit der Auftragsdatenverarbeitung stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Das Protokoll der Löschung ist auf Anforderung zu belegen.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über die Beendigung der vereinbarten Arbeiten / der Leistungserfüllung hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Beendigung der vereinbarten Arbeiten / der Leistungserfüllung dem Auftraggeber übergeben.
Der Auftraggeber hat jederzeit das Recht, ergänzende Weisungen über Art, Umfang und Verfahren der Datenverarbeitung gegenüber dem Auftragnehmer zu erteilen. Der Auftraggeber erteilt alle Aufträge schriftlich oder per E-Mail. Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-Mail bestätigen. Weisungsbefugte Mitarbeiter des Auftraggebers werden im Rahmen des Hauptvertrages mitgeteilt.
Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Erfüllung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
Dem Auftraggeber obliegen die sich aus der DSGVO resultierenden Informationspflichten.
Ist der Auftraggeber auf Grund geltender Datenschutzgesetze gegenüber einer Einzelperson verpflichtet, Auskünfte zur Erhebung, Verarbeitung oder Nutzung von Daten dieser Person zu geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese Informationen bereit zu stellen.
Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch eine dritte Person durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. Das Kontrollrecht kann nicht durch Dritte wahrgenommen werden und findet seine Grenze bei Betriebs- oder Geschäftsgeheimnissen des Auftragnehmers. Das Ergebnis der Kontrolle wird durch den Auftraggeber jeweils dokumentiert. Für die Ermöglichung von Kontrollen durch den Auftraggeber kann der Auftragnehmer einen Vergütungsanspruch geltend machen.
Der Auftragnehmer darf nur nach vorheriger ausdrücklicher schriftlicher Zustimmung Subunternehmen im Rahmen der in 1.1. konkretisierten Tätigkeiten beauftragen. Zum Vertragsschluss bestanden keine Subunternehmerverhältnisse. Der Auftraggeber stimmt der Beauftragung dieser genannten Subunternehmer unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zu. Umfasst sind ausschließlich solche Unterauftragsverhältnisse, die sich auf die Erbringung der Hauptleistung beziehen. Ausgenommen sind Nebendienstleistungen (z.B. Telekommunikationsdienstleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice, Entsorgung von Datenträgern).
Wenn Subunternehmer durch den Auftragnehmer eingeschaltet werden, so hat der Auftragnehmer den Subunternehmer sorgfältig auszuwählen und vor der Beauftragung zu prüfen, ob die zwischen Auftraggeber und Auftragnehmer getroffenen Vereinbarungen eingehalten werden können. Insbesondere hat der Auftragnehmer vorab und regelmäßig während der Vertragsdauer zu kontrollieren, dass der Subunternehmer die erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat und einen betrieblichen Datenschutzbeauftragten bestellt hat, sofern dies erforderlich ist.
Der Auftraggeber kann diese Vereinbarung zur Auftragsdatenvereinbarung jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die Bestimmungen dieses Vertrags vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer den Zutritt des Auftraggebers vertragswidrig verweigert.
Unabhängig von den vorstehenden Regelungen zu den Laufzeiten gelten die Verpflichtungen zum Datengeheimnis, die Geheimhaltungspflicht und vereinbarte Aufbewahrungsfristen über das Vertragsende hinaus.
Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als Verantwortlicher im Sinne der Datenschutzgrundverordnung liegen.
Es bestehen keine Nebenabreden. Für Nebenabreden ist die Schriftform erforderlich. Dies gilt auch für die Aufhebung des Schriftformerfordernisses.“
18.8. Im Übrigen werden die personenbezogenen Daten nach einem Ablauf von 50 Monaten anonymisiert oder gelöscht.
20.1. Innerhalb unseres Onlineangebotes wird aufgrund unserer berechtigten Interessen an Analyse, Optimierung und wirtschaftlichem Betrieb unseres Onlineangebotes und zu diesen Zwecken das sog. „Facebook-Pixel“ des sozialen Netzwerkes Facebook, welches von der Facebook Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland betrieben wird („Facebook“), bzw. falls Sie nicht in der EU ansässig sind, Facebook Inc., 1 Hacker Way, Menlo Park, CA 94025, USA, eingesetzt.
23.2. Inhalt des Newsletters: Wir versenden Newsletter, E-Mails und weitere elektronische Benachrichtigungen mit werblichen Informationen (nachfolgend „Newsletter“) nur mit der Einwilligung der Empfänger oder einer gesetzlichen Erlaubnis. Sofern im Rahmen einer Anmeldung zum Newsletter dessen Inhalte konkret umschrieben werden, sind sie für die Einwilligung der Nutzer maßgeblich. Im Übrigen enthalten unsere Newsletter Informationen zu unseren Produkten, Angeboten, Aktionen, YouTube-Videos, Messebesuchen und Blogbeiträgen.