Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeiter:

Verantwortlicher:

Die Organisation (Verein oder sonstige Körperschaft), die ein strichfrei-Konto angelegt und die AGB von strichfrei akzeptiert hat. Dieser Vertrag wird durch ausdrückliche Bestätigung bei der Erstellung der Organisation wirksam, nicht durch die Annahme der AGB.

Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch strichfrei im Auftrag des Verantwortlichen im Rahmen der Nutzung der strichfrei-Plattform als digitale Strichliste mit Mitgliederverwaltung und Saldenabrechnung.

Nicht Gegenstand dieses Vertrages sind Daten, die strichfrei als eigener Verantwortlicher verarbeitet: Nutzerkonten mit eigenem Login (Registrierung, Anmeldung, Profil und der Nutzungsvertrag mit der jeweiligen Person), die Sicherheit und der technische Betrieb der Plattform (z. B. Server-Logs, Missbrauchsschutz, Fehlerüberwachung) sowie Vertrag und Abrechnung mit der Organisation selbst. Einzelheiten dazu stehen in der Datenschutzerklärung.

Die Laufzeit entspricht der Vertragslaufzeit der AGB. Mit Beendigung des Hauptvertrags endet auch dieser AVV, unbeschadet der Pflichten zur Datenlöschung gemäß § 7.

• Der Verantwortliche ist für die Rechtmäßigkeit der Übermittlung personenbezogener Daten an strichfrei allein verantwortlich.
• Der Verantwortliche ist berechtigt, strichfrei jederzeit schriftliche Weisungen zur Verarbeitung zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
• Der Verantwortliche stellt sicher, dass er über die erforderliche Rechtsgrundlage für die Übermittlung der Daten verfügt.
• Dies gilt auch für Mitgliedsdaten, die der Verantwortliche ohne eigene Registrierung der betroffenen Person anlegt (z. B. Kiosk-only-Mitglieder ohne E-Mail-Adresse) — der Verantwortliche bleibt datenschutzrechtlich verantwortlich für diese Daten, unabhängig davon, ob die betroffene Person selbst an der Datenerhebung mitgewirkt hat.

• strichfrei verarbeitet personenbezogene Daten ausschließlich gemäß den Weisungen des Verantwortlichen. Eine Verarbeitung dieser Daten zu eigenen Zwecken findet nicht statt; ausgenommen sind die in § 2 genannten Daten, für die strichfrei selbst verantwortlich ist.
• Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
• strichfrei trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO; sie sind in der Anlage TOM beschrieben und Bestandteil dieses Vertrages. strichfrei darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht unterschritten wird.
• strichfrei unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch).
• strichfrei informiert den Verantwortlichen unverzüglich, sofern eine Weisung nach Einschätzung von strichfrei gegen datenschutzrechtliche Vorschriften verstößt.
• strichfrei meldet Verletzungen des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, mit den zu diesem Zeitpunkt verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO (Art. 33 Abs. 2 DSGVO). Fehlende Angaben werden unverzüglich nachgereicht.
• strichfrei unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung seiner Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Der Verantwortliche erteilt strichfrei eine allgemeine Genehmigung zur Beauftragung der nachfolgend genannten Unterauftragsverarbeiter. strichfrei informiert über beabsichtigte Änderungen (Hinzufügung oder Austausch), sodass Einwände erhoben werden können.

DPF = EU-US Data Privacy Framework · SCCs = Standardvertragsklauseln der EU-Kommission

• strichfrei löscht alle personenbezogenen Daten des Verantwortlichen auf dessen Anfrage hin oder spätestens 30 Tage nach Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Datensicherungen werden rollierend nach höchstens 30 Tagen gelöscht. Bis dahin können gelöschte Daten noch in Sicherungen enthalten sein; sie werden daraus nicht wiederhergestellt, außer zur Wiederherstellung nach einem Datenverlust.
• Auf Wunsch wird vor der Löschung ein Datenexport bereitgestellt.

• Der Verantwortliche ist berechtigt, die Einhaltung datenschutzrechtlicher Vorschriften bei strichfrei zu kontrollieren, insbesondere durch Anforderung von Auskünften.
• strichfrei stellt alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.
• Vor-Ort-Kontrollen sind mit angemessener Vorlaufzeit anzukündigen.

• Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.
• Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
• strichfrei behält sich vor, diesen AVV mit angemessener Vorankündigungsfrist anzupassen, sofern gesetzliche Änderungen oder technische Weiterentwicklungen dies erfordern.