Auftragsverarbeitungsvertrag

Parteien:
‍

1. die Gesellschaft mit beschränkter Haftung AppyBee LTD (nachfolgend: „der Auftragsverarbeiter“),
2. die natürliche Person / juristische Person, mit der der Auftragsverarbeiter einen Lizenzvertrag zugunsten von AppyBee geschlossen hat (nachfolgend: „der Verantwortliche“).

in Erwägung nachstehender Umstände:

1. Der Auftragsverarbeiter wird im Rahmen der Erfüllung des zwischen den Parteien geltenden Lizenzvertrags über AppyBee personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten;
2. Die Parteien möchten in diesem Auftragsverarbeitungsvertrag die Vereinbarungen über die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter festlegen;

‍

Definitionen
‍

1. DSGVO: die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) einschließlich des Ausführungsgesetzes zu dieser Verordnung
2. Betroffene Person: die Person, auf die sich die personenbezogenen Daten beziehen, im Sinne von Artikel 4 Absatz 1 DSGVO.
3. Verletzung des Schutzes personenbezogener Daten: eine Sicherheitsverletzung, die versehentlich oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Weitergabe von bzw. zum unbefugten Zugriff auf personenbezogene Daten führt, die übermittelt, gespeichert oder anderweitig verarbeitet wurden, im Sinne von Artikel 4 Absatz 12 DSGVO.
4. Hauptvertrag: der/die zwischen dem Verantwortlichen und dem Auftragsverarbeiter geschlossene(n) Hauptvertrag/-verträge samt Anlagen, auf den/die sich dieser Auftragsverarbeitungsvertrag bezieht.
5. Mitarbeiter: Personen, die beim Verantwortlichen oder beim Auftragsverarbeiter tätig sind, sei es im Angestelltenverhältnis oder als temporäre Hilfskräfte.
6. Empfänger: eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht.
7. Parteien: Verantwortlicher und Auftragsverarbeiter.
8. Personenbezogene Daten: alle Informationen über eine identifizierte oder identifizierbare natürliche Person (die betroffene Person), die im Rahmen des Hauptvertrags im Sinne von Artikel 4 Absatz 1 DSGVO verarbeitet werden; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder zu einem oder mehreren Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
9. Unterauftragsverarbeiter: ein anderer Auftragsverarbeiter, der vom Auftragsverarbeiter hinzugezogen wird, um für einen Verantwortlichen personenbezogene Daten zu verarbeiten.
10. Auftragsverarbeiter: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, wie in Artikel 4 Absatz 8 DSGVO definiert.
11. Verarbeiten/Verarbeitung: jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung von Daten im Sinne von Artikel 4 Absatz 2 DSGVO.
12. Verantwortlicher: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, wie in Artikel 4 Absatz 7 DSGVO definiert.
13. Auftragsverarbeitungsvertrag: dieser Auftragsverarbeitungsvertrag zur Festlegung der Vereinbarungen im Sinne von Artikel 28 Absatz 3 DSGVO.

‍

Anwendbarkeit

‍

1. Dieser Auftragsverarbeitungsvertrag betrifft die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Durchführung des Hauptvertrags.
2. Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien personenbezogener Daten, die betroffenen Personen und die Empfänger sind in Anlage 1 beschrieben.
3. Der Auftragsverarbeiter gewährleistet die Einhaltung der geltenden gesetzlichen Bestimmungen und Vorschriften bezüglich der Verarbeitung personenbezogener Daten.

‍

Laufzeit und Beendigung

‍

1. Dieser Auftragsverarbeitungsvertrag tritt zu dem Zeitpunkt in Kraft, zu dem der Hauptvertrag beginnt, oder zu einem von den Parteien noch festzulegenden Zeitpunkt.
2. Der Auftragsverarbeitungsvertrag endet mit dem Ende des Hauptvertrags.
3. Keine der Parteien kann diesen Auftragsverarbeitungsvertrag unabhängig vom Hauptvertrag ordentlich kündigen.
4. Pflichten, die ihrer Natur nach auch nach Beendigung dieser Auftragsverarbeitervereinbarung fortbestehen sollen, bleiben nach Beendigung dieser Auftragsverarbeitervereinbarung wirksam. Zu diesen Bestimmungen gehören beispielsweise solche, die sich aus den Bestimmungen über Geheimhaltung, Haftung, Streitbeilegung und anwendbares Recht ergeben.

‍

Verarbeitung

‍

1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Auftrag und auf Basis schriftlicher Weisungen des Verantwortlichen, vorbehaltlich abweichender gesetzlicher Vorschriften, die für den Auftragsverarbeiter gelten. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten weder länger noch umfassender, als es für die Durchführung des Hauptvertrags erforderlich ist.
2. Ist eine Weisung im Sinne von Absatz 1 dieses Artikels nach Ansicht des Auftragsverarbeiters unvereinbar mit datenschutzrechtlichen Vorschriften, setzt er den Verantwortlichen vor der Verarbeitung darüber in Kenntnis, es sei denn, eine gesetzliche Vorschrift verbietet diese Benachrichtigung.
3. Ist der Auftragsverarbeiter aufgrund einer gesetzlichen Vorschrift verpflichtet, personenbezogene Daten offenzulegen, informiert er den Verantwortlichen unverzüglich und nach Möglichkeit vor der Offenlegung.
4. Der Auftragsverarbeiter stellt sicher, dass nur seine Mitarbeiter Zugang zu den personenbezogenen Daten haben. Die Ausnahme hiervon bildet der Einsatz von Unterauftragsverarbeitern gemäß Artikel 11 dieser Auftragsverarbeitervereinbarung. Der Auftragsverarbeiter beschränkt den Zugang auf Mitarbeiter, für die der Zugang für ihre Tätigkeit erforderlich ist, wobei der Zugang auf die personenbezogenen Daten beschränkt ist, die diese Mitarbeiter für ihre Arbeit benötigen. Der Auftragsverarbeiter stellt zudem sicher, dass die Mitarbeiter, die Zugang zu den personenbezogenen Daten haben, ordnungsgemäß und umfassend über den Umgang mit personenbezogenen Daten belehrt wurden und mit den Verantwortlichkeiten und gesetzlichen Pflichten vertraut sind.
5. Der Verantwortliche ist gesetzlich verpflichtet, die geltenden Datenschutzgesetze und -vorschriften einzuhalten. Insbesondere hat der Verantwortliche festzustellen, ob eine rechtmäßige Grundlage für die Verarbeitung der personenbezogenen Daten vorliegt. Der Auftragsverarbeiter stellt sicher, dass er die für ihn als Auftragsverarbeiter geltenden Vorschriften zur Verarbeitung personenbezogener Daten und die in dieser Auftragsverarbeitervereinbarung getroffenen Vereinbarungen einhält.
6. Die Verarbeitung erfolgt unter der Verantwortung des Verantwortlichen. Der Auftragsverarbeiter hat keine Kontrolle über Zweck und Mittel der Verarbeitung und trifft keine Entscheidungen über Aspekte wie die Nutzung von personenbezogenen Daten, die Aufbewahrungsfrist der für den Verantwortlichen verarbeiteten personenbezogenen Daten und die Weitergabe von personenbezogenen Daten an Dritte. Der Verantwortliche muss sicherstellen, dass er den Zweck und die Mittel der Verarbeitung der personenbezogenen Daten eindeutig festgelegt hat.
7. Bei Rücklastschriften behält sich AppyBee das Recht vor, Rücklastschriftgebühren in Rechnung zu stellen. Die Kosten betragen 19 € zzgl. MwSt. pro Rücklastschrift. Diese Kosten werden entweder vom aktuellen Guthaben des Lizenznehmers abgebucht oder per Rechnung mit Zahlungslink versendet. Die erste Rücklastschrift ist kostenlos.

‍

Sicherheit

‍

1. Der Auftragsverarbeiter hat die in Anhang 2 zu dieser Auftragsverarbeitervereinbarung genannten Sicherheitsmaßnahmen ergriffen. Bei der Festlegung der Sicherheitsmaßnahmen wurden die zu minimierenden Risiken, der Stand der Technik und die Kosten der Sicherheitsmaßnahmen berücksichtigt. Diese Sicherheitsmaßnahmen umfassen in jedem Fall:
   1. die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
   ‍
   1. die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
   2. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
2. Der Verantwortliche hat sich über die vom Auftragsverarbeiter ergriffenen Sicherheitsmaßnahmen eingehend informiert und ist der Ansicht, dass diese Maßnahmen ein Sicherheitsniveau gewährleisten, das der Art der personenbezogenen Daten sowie dem Umfang, dem Kontext, den Zwecken und den Risiken der Verarbeitung angemessen ist.
3. Die Parteien erkennen an, dass die Gewährleistung eines angemessenen Sicherheitsniveaus fortlaufend das Ergreifen zusätzlicher Sicherheitsmaßnahmen erfordern kann. Der Auftragsverarbeiter gewährleistet ein an das aktuelle Risiko angepasstes Sicherheitsniveau. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn sich eine der Sicherheitsmaßnahmen wesentlich ändert.
4. Der Auftragsverarbeiter bietet angemessene Garantien für die Umsetzung der technischen und organisatorischen Sicherheitsmaßnahmen in Bezug auf die durchzuführenden Verarbeitungen. Möchte der Verantwortliche die Einhaltung der Sicherheitsmaßnahmen durch den Auftragsverarbeiter überprüfen lassen, kann der Verantwortliche hierzu eine Anfrage an den Auftragsverarbeiter richten. Auftragsverarbeiter und Verantwortlicher treffen hierzu gemeinsame Absprachen. Die Kosten einer Überprüfung trägt der Verantwortliche. Der Verantwortliche stellt dem Auftragsverarbeiter eine Kopie des Prüfberichts zur Verfügung.
5. Der Auftragsverarbeiter wird, sofern er hierfür keine ausdrückliche vorherige schriftliche Zustimmung des Verantwortlichen erhalten hat, keine personenbezogenen Daten selbst oder durch Dritte in Ländern außerhalb der Europäischen Union („EU“) verarbeiten oder verarbeiten lassen.