Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und der FHC+P GmbH, Würmstraße 55, 82166 Gräfelfing, als Auftragsverarbeiter („Auftragnehmer“). Er ist Teil des Vertrags über die Nutzung der Software Adpressa und gilt ab dessen Abschluss.

1. Gegenstand und Dauer

Der Auftragnehmer betreibt Adpressa für den Auftraggeber und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Die Dauer entspricht der Laufzeit des Nutzungsvertrags, zuzüglich der Frist für Export und Löschung nach Abschnitt 8.

2. Art und Zweck der Verarbeitung

Speichern, Ordnen, Anzeigen, Übermitteln und Löschen von Daten, damit der Auftraggeber Artikel erstellen und veröffentlichen, Webportale und Newsletter betreiben, Abonnements und Anzeigen verwalten und Rechnungen erstellen kann. Der Auftragnehmer verarbeitet die Daten nur für diese Zwecke und nicht für eigene Zwecke, auch nicht zum Training von KI-Modellen.

3. Betroffene Personen und Arten von Daten

Betroffene: Beschäftigte und freie Mitarbeiter des Auftraggebers, Autoren, Leser und Leserkonten, Abonnenten, Empfänger von Newslettern und Mitteilungen, Anzeigenkunden und deren Ansprechpartner, Personen, die in Artikeln, Kommentaren oder Kleinanzeigen genannt sind.

Arten von Daten: Namen und Kontaktdaten, Zugangs- und Rollendaten, Inhalte von Artikeln, Kommentaren und Anzeigen, Einwilligungen und deren Nachweise, Abonnement- und Vertragsdaten, Rechnungsdaten, Nutzungs- und Protokolldaten. Besondere Kategorien nach Art. 9 DSGVO verarbeitet der Auftragnehmer nur, wenn der Auftraggeber sie in Inhalte einstellt.

4. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag, die Einstellungen, die der Auftraggeber in Adpressa vornimmt, und Weisungen in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Er unterstützt den Auftraggeber bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei der Meldung von Datenschutzverletzungen. Eine Verletzung des Schutzes der Daten meldet er dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Er stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach rechtzeitiger Anmeldung.

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft insbesondere folgende Maßnahmen und hält sie auf dem Stand der Technik:
Übertragung nur verschlüsselt über HTTPS.
Trennung der Daten je Auftraggeber in der Datenbank.
Rollen und Rechte je Person, Anmeldung mit Passwort, auf Wunsch über den Identitätsanbieter des Auftraggebers.
Zweiter Faktor für alle Konten des Betreibers.
Passwörter nur als Hashwert, Zugangsschlüssel zu Fremddiensten verschlüsselt gespeichert.
Protokoll wichtiger Aktionen, auch jedes Zugriffs des Betreibers auf Daten des Auftraggebers.
Begrenzung von Anmeldeversuchen und Anfragen.
Löschfristen, die automatisch durchgesetzt werden.
Regelmäßige Sicherung der Daten.
Server in einem Rechenzentrum in Deutschland.

7. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter:
Hostingdienstleister mit Rechenzentrum in Frankfurt am Main, Deutschland: Bereitstellung der Server.
Mistral AI SAS, Paris, Frankreich: KI-Funktionen, nur wenn der Auftraggeber diesen Anbieter einschaltet.
OpenRouter Inc., USA: KI-Funktionen, nur wenn der Auftraggeber diesen Anbieter einschaltet. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission.

Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens vier Wochen vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Zahlungsanbieter, die der Auftraggeber in Adpressa selbst anbindet, beauftragt er direkt, sie sind keine Unterauftragsverarbeiter des Auftragnehmers.

8. Rückgabe und Löschung

Nach Ende des Vertrags stellt der Auftragnehmer dem Auftraggeber 30 Tage lang einen Gesamtexport bereit und löscht danach alle Daten des Auftraggebers, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungen werden im regulären Wechsel überschrieben. Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

9. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den Allgemeinen Geschäftsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht. Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Allgemeinen Geschäftsbedingungen.