Auftragsverarbeitungsvertrag

DSGVO — Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten.

Verantwortlicher — der Kunde, d. h. der Salon, das Studio oder eine andere den Dienst nutzende Einrichtung, die über die Zwecke und Mittel der Verarbeitung der Daten ihrer Kundinnen entscheidet.

Auftragsverarbeiter — der Betreiber des Dienstes BeautyForms.

Daten — personenbezogene Daten der Kundinnen des Verantwortlichen, die in den Dienst eingegeben werden.

2.1 Der Verantwortliche überlässt dem Auftragsverarbeiter die Verarbeitung der Daten ausschließlich zum Zweck der Erbringung des Dienstes der elektronischen Kundenkarte und der Beratungsformulare, im Umfang und für die Dauer, die in den AGB festgelegt sind.

2.2 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, die insbesondere in der Nutzung der Funktionen des Dienstes besteht.

Der Umfang der Gesundheitsdaten ergibt sich aus dem Inhalt der vom Verantwortlichen selbst gestalteten Formulare. Der Auftragsverarbeiter entscheidet nicht darüber, welche Informationen der Verantwortliche von seinen Kundinnen erfragt.

Der Auftragsverarbeiter verpflichtet sich:

1. die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten;
2. sicherzustellen, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben;
3. dem Risiko angemessene technische und organisatorische Maßnahmen zu treffen, einschließlich Verschlüsselung der Übertragung und der ruhenden Daten, Zugriffskontrolle, Authentifizierung sowie regelmäßiger Sicherungskopien;
4. den Verantwortlichen bei der Erfüllung von Anträgen betroffener Personen zu unterstützen (Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch), indem die entsprechenden Funktionen des Dienstes bereitgestellt werden;
5. den Verantwortlichen bei der Erfüllung der Pflichten aus Art. 32–36 DSGVO zu unterstützen;
6. dem Verantwortlichen eine Verletzung des Schutzes der Daten unverzüglich nach deren Feststellung zu melden, spätestens innerhalb von 24 Stunden;
7. dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung zu stellen und Audits zu den in §6 festgelegten Bedingungen zu ermöglichen;
8. die Daten nach Beendigung der Erbringung des Dienstes gemäß §7 zu löschen oder zurückzugeben.

5.1 Der Verantwortliche erteilt die allgemeine Zustimmung dazu, dass der Auftragsverarbeiter weitere Auftragsverarbeiter (Unterauftragsverarbeiter) in den Bereichen Serverinfrastruktur, Versand von SMS- und E-Mail-Nachrichten sowie Zahlungsabwicklung einsetzt.

5.2 Der Auftragsverarbeiter stellt sicher, dass jedem Unterauftragsverarbeiter Datenschutzpflichten auferlegt werden, die den Pflichten aus diesem Vertrag entsprechen, und haftet gegenüber dem Verantwortlichen uneingeschränkt für die Erfüllung ihrer Pflichten.

5.3 Über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen im Voraus und ermöglicht ihm, Einspruch zu erheben.

6.1 Der Verantwortliche hat das Recht, ein Audit hinsichtlich der Verarbeitung der überlassenen Daten durchzuführen, nach vorheriger Ankündigung mit einer Frist von mindestens 14 Tagen, höchstens einmal pro Kalenderjahr, während der Arbeitszeit und in einer Weise, die den laufenden Betrieb des Auftragsverarbeiters nicht beeinträchtigt.

6.2 Der Auftragsverarbeiter kann zunächst aktuelle Dokumente oder Berichte vorlegen, die die Konformität bestätigen, sofern sie dem Umfang des Audits hinreichend entsprechen.

7.1 Der Vertrag gilt für die Dauer der Nutzung des Dienstes durch den Verantwortlichen.

7.2 Nach Beendigung des Vertrags über die Erbringung der Dienste hat der Verantwortliche die Möglichkeit, die Daten für einen Zeitraum von 30 Tagen selbst zu exportieren. Nach Ablauf dieser Frist werden die Daten dauerhaft gelöscht, es sei denn, eine Pflicht zur weiteren Aufbewahrung ergibt sich aus gesetzlichen Vorschriften.

7.3 Der Verantwortliche kann jederzeit die Daten einer ausgewählten Kundin oder das gesamte Konto über die Funktionen des Dienstes selbst löschen.

8.1 Die Daten werden auf Servern verarbeitet, die sich innerhalb des Europäischen Wirtschaftsraums (EWR) befinden. Der Auftragsverarbeiter übermittelt die Daten nicht in Drittländer außerhalb des Europäischen Wirtschaftsraums, ohne den Verantwortlichen zuvor zu informieren und eine Rechtsgrundlage für eine solche Übermittlung sicherzustellen.

9.1 Jede Partei haftet für Schäden, die durch die Verarbeitung verursacht werden, wenn sie die ihr unmittelbar durch die DSGVO auferlegten Pflichten nicht erfüllt oder außerhalb der rechtmäßigen Weisungen der anderen Partei gehandelt hat.

9.2 Der Verantwortliche trägt die alleinige Verantwortung für die Rechtmäßigkeit der Erhebung der Daten, insbesondere für das Vorliegen einer geeigneten Rechtsgrundlage, den Inhalt der Informationsklauseln und den Umfang der in den von ihm erstellten Formularen enthaltenen Fragen.

10.1 In nicht geregelten Angelegenheiten gelten die Bestimmungen der DSGVO, des Datenschutzgesetzes und des Zivilgesetzbuchs.

10.2 Der Vertrag kommt mit der Annahme der AGB zustande und bedarf keiner Schriftform. Auf Verlangen des Verantwortlichen stellt der Auftragsverarbeiter das Dokument im PDF-Format zur Verfügung.