Vertrag über die Auftragsverarbeitung personenbezogener Daten nach EU-Datenschutz-Grundverordnung (DSGVO)
Zwischen
Adverfly GmbH
Südring 1a
51702 Bergneustadt
– nachstehend Adverfly oder Auftragnehmerin genannt –
und
dem Kunden, der sich über die Adverfly Webseiten registriert bzw. die Adverfly Dienste subskribiert
– nachstehend Auftraggeberin genannt –
wird folgender Vertrag geschlossen
1. Einleitung, Geltungsbereich, Definitionen
(1)Dieser Vertrag regelt die Rechte und Pflichten der Auftraggeberin und Adverfly im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag.
(2)Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen Adverfly oder durch sie beauftragte Unterauftragnehmer (Subunternehmer) personenbezogene Daten der Auftraggeberin verarbeiten.
(3)In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der EU-Datenschutz-Grundverordnung zu verstehen. Soweit Erklärungen im Folgenden schriftlich zu erfolgen haben, ist die Schriftform nach § 126 BGB gemeint. Im Übrigen können Erklärungen auch in anderer Form erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.
2. Gegenstand und Dauer der Verarbeitung
2.1 Gegenstand der Verarbeitung
(1)Adverfly erbringt für die Auftraggeberin cloudbasierte IT-Leistungen in Form der Adverfly-Webapplikation („Adverfly Plattform“) sowie damit verbundene Services. Die Adverfly Plattform dient insbesondere der Erfassung, Auswertung und Optimierung von Marketing-, Nutzungs- und Konversionsdaten sowie der Anbindung externer Systeme.
(2)Je nach gebuchtem Paket, aktivierten Modulen und Konfiguration durch die Auftraggeberin umfasst dies insbesondere:
- die Erfassung und Auswertung von Website- und Shop-Nutzungs- und Konversionsdaten (z. B. über Pixel- oder API-Integrationen) einschließlich Zuordnung zu Marketingkampagnen und Kanälen,
- die Weitergabe von Konversions- und Ereignisdaten an angebundene Werbe- und Analyseplattformen (z. B. CAPI-Schnittstellen, GA4, TikTok, Snap), soweit durch die Auftraggeberin aktiviert,
- Funktionen für Umfragen, Segmentierung, Personalisierung und Loyalty-Programme, den Import, die Konsolidierung und Anreicherung von Daten (z. B. CSV-Importe, Shop- und Drittanbieter-Integrationen),
- die Bereitstellung von Dashboards, Reports, Auswertungen und ggf. KI-gestützten Analysen und Benchmarks,
- den Betrieb von Integrationen, APIs und Webhooks zur Anbindung weiterer Systeme der Auftraggeberin oder Dritter,
- Benutzer- und Zugangsverwaltung (Workspaces, Rollen- und Berechtigungskonzepte) für die Nutzer der Auftraggeberin,
- Service- und Supportleistungen (z. B. Tickets, Fehleranalyse, Monitoring und Systemüberwachung) im Zusammenhang mit der Nutzung der Adverfly Plattform.
(3)Die konkret beauftragten Leistungen ergeben sich aus dem Hauptvertrag (z. B. der mit der Subskribierung der Adverfly Dienste über die Adverfly Webseiten geschlossene Vertrag oder eine SaaS-/Lizenz- oder Rahmenvereinbarung), den dazugehörigen Anlagen (insbesondere Leistungsbeschreibungen und Angeboten) sowie den jeweils gebuchten Modulen und Konfigurationen. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zur Erfüllung dieser vertraglich vereinbarten Leistungen.
(4)Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Auftraggeberin und nicht zu eigenen Zwecken, sofern nicht eine gesetzliche Verpflichtung zur eigenen Verarbeitung besteht.
2.2 Dauer der Verarbeitung
(1)Die Verarbeitung beginnt mit Inkrafttreten des Hauptvertrags zwischen den Parteien und dauert für die Laufzeit dieses Hauptvertrags sowie der zugehörigen Servicevereinbarungen an.
(2)Endet der Hauptvertrag bzw. die zugrunde liegende vertragliche Beziehung, endet auch diese Auftragsverarbeitung, sofern nicht eine fortbestehende Verarbeitung im Auftrag aufgrund gesetzlicher Pflichten (z. B. Aufbewahrungsfristen) oder gesonderter Vereinbarungen erforderlich ist.
(3)Nach Beendigung des Vertragsverhältnisses gelten die Regelungen in Abschnitt 11 dieses Vertrages.
3. Art und Zweck der Datenerhebung, -verarbeitung oder -nutzung
3.1 Art und Zweck der Verarbeitung
(1)Adverfly verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten SaaS-Leistungen und zugehörigen Services für die Auftraggeberin. Hierzu zählen insbesondere:
- die Bereitstellung und der Betrieb der Adverfly Plattform zur Erfassung, Auswertung und Darstellung von Marketing-, Nutzungs- und Konversionsdaten,
- die Zuordnung von Konversionen und Ereignissen zu Marketingmaßnahmen, Kampagnen, Kanälen und Zielgruppen,
- die Bereitstellung von Integrationen zu Drittplattformen (z. B. Werbe- und Analyseplattformen, Shopsysteme, CRM- und E-Mail-Tools) sowie die Übermittlung von Daten an diese Systeme nach Weisung der Auftraggeberin,
- Funktionen zur Personalisierung, Segmentierung und Kundenbindung (z. B. Loyalty-Programme, Segment-Logiken, individuelle Einblendungen auf Webseiten),
- der Import und die Konsolidierung von Datenbeständen (z. B. CSV-Importe, Datenübernahmen aus anderen Systemen),
- die Bereitstellung von Dashboards, Berichten, Auswertungen und ggf. KI-gestützten Analysen und Benchmarking-Funktionen,
- der Betrieb von APIs, Webhooks und eines Audit-Logs zur Nachvollziehbarkeit von Plattformaktionen,
- der Betrieb, die Überwachung, Wartung und Absicherung der Adverfly Plattform einschließlich Backup-, Patch- und Sicherheitsmaßnahmen,
- die Bearbeitung von Supportanfragen (z. B. Tickets, Chat, E-Mail, Remote-Support).
(2)Eine Verarbeitung zu eigenen Zwecken der Auftragnehmerin findet nicht statt. Eine Nutzung für eigene Zwecke ist nur zulässig, soweit Adverfly hierzu gesetzlich verpflichtet ist; in diesem Fall informiert Adverfly die Auftraggeberin vorab, sofern keine gesetzliche Untersagung einer solchen Information besteht.
3.2 Art und Kategorien der Daten
Die Verarbeitung kann je nach beauftragter Leistung insbesondere folgende Kategorien betroffener Personen betreffen:
- Kunden-/Workspace-Nutzer der Auftraggeberin (z. B. Mitarbeitende der Auftraggeberin, Administratoren, Marketing- und Vertriebspersonal sowie sonstige berechtigte Nutzerkonten),
- Organmitglieder und sonstige Funktionsträger der Auftraggeberin (soweit in der Plattform oder begleitenden Systemen erfasst),
- Endkunden, Interessenten und sonstige Nutzer der von der Auftraggeberin betriebenen oder verantworteten Webseiten, Onlineshops, Apps oder sonstigen digitalen Angebote,
- Lieferanten, Partner, Affiliates/Publisher und sonstige Geschäftspartner der Auftraggeberin, soweit deren Daten in der Adverfly Plattform verarbeitet werden (z. B. im Rahmen von Partner- oder Referral-Programmen),
- Beschäftigte der Auftragnehmerin, soweit deren Daten im Rahmen der Leistungserbringung in Systemen der Auftraggeberin sichtbar werden (z. B. Kontaktdaten von Support- oder Projektmitarbeitenden in Tickets oder Protokollen).
3.3 Kategorien personenbezogener Daten
Je nach gebuchten Modulen, Konfiguration und konkreter Verarbeitungstätigkeit können insbesondere folgende Kategorien personenbezogener Daten betroffen sein:
(a) Stamm- und Kontaktdaten (insb. Kunden-/Workspace-Nutzer, Partner, Geschäftskontakte):
- Name, Funktions- bzw. Rollenbezeichnung, geschäftliche Kontaktdaten (E-Mail-Adresse, Telefonnummer, Anschrift), Nutzer- und Workspace-Kennungen, Rollen- und Berechtigungsinformationen.
(b) Nutzungs-, Tracking- und Konversionsdaten (Endkunden/Website-/Shop-Nutzer):
- technische Nutzungsdaten (z. B. IP-Adresse, Browser- und Geräteinformationen, Betriebssystem, Referrer-URL),
- Marketing- und Kampagnenkennungen (z. B. Klick-IDs wie fbclid, gclid, ttclid),
- Nutzungsdaten (z. B. besuchte Seiten, Verweildauer, Sitzungszahl, Interaktionen wie Klicks, Scroll-Events, Warenkorb-Aktionen, Formularnutzungen, Terminbuchungen),
- Konversions- und Bestelldaten (z. B. Bestell-ID, gekaufte Produkte, Bestellwert/Währung, Konversionstyp, Zeitstempel, Neukunde/Bestandskunde, Kanal- und Kampagnenpfad),
- ggf. pseudonyme oder gehashte Kennungen (z. B. gehashte E-Mail-Adresse oder Telefonnummer) für serverseitige Schnittstellen (z. B. CAPI), soweit von der Auftraggeberin eingesetzt.
(c) Kommunikations- und Supportdaten:
- Inhalte und Metadaten von Supporttickets, E-Mails und Chats (z. B. Betreff, Nachrichtentexte, Zeitstempel, zugeordnete Nutzer- oder Kundenkennungen),
- Protokolldaten aus Meetings oder Support-Sessions (soweit in der Plattform oder begleitenden Systemen dokumentiert).
(d) System-, Log- und Audit-Daten:
- Login-, Zugriffs- und Berechtigungsdaten, Protokolle von Nutzungs- und Administrationshandlungen (Audit-Log), System- und Konfigurationsdaten, Monitoring- und Alarmierungsinformationen.
(e) Vertrags- und Abrechnungsdaten:
- Kundennummern, Vertragsstammdaten, Leistungsnachweise, Abrechnungs- und Buchungsinformationen, soweit sie Personenbezug aufweisen.
(f) Weitere Datenkategorien:
- sonstige personenbezogene Daten, die im Rahmen der konkret beauftragten Leistungen in der Adverfly Plattform oder in angebundenen Systemen verarbeitet werden (z. B. Inhalte aus Dokumentenmanagement- oder Workflow-Funktionen), sofern diese in den vertraglichen Unterlagen der Auftraggeberin bzw. im Verzeichnis von Verarbeitungstätigkeiten der Auftragnehmerin beschrieben sind.
(g) Besondere Kategorien personenbezogener Daten:
- Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO ist durch Adverfly nicht vorgesehen. Setzt die Auftraggeberin die Plattform dennoch für solche Daten ein, hat sie sicherzustellen, dass hierfür eine geeignete Rechtsgrundlage sowie ein angemessenes Schutzniveau besteht und dies mit Adverfly gesondert vereinbart wird.
3.4 Rechtsgrundlagen der Verarbeitung
(1)Die Zulässigkeit der Verarbeitung personenbezogener Daten durch die Auftragnehmerin richtet sich nach den Rechtsgrundlagen, auf die sich die Auftraggeberin in ihrem Verantwortungsbereich stützt (insbesondere Art. 6 Abs. 1 DSGVO sowie gegebenenfalls nationale Vorschriften wie § 26 BDSG).
(2)Die Auftraggeberin ist dafür verantwortlich, die Rechtmäßigkeit der Verarbeitung sicherzustellen, die jeweils einschlägigen Rechtsgrundlagen festzulegen und die erforderlichen Informationen gegenüber den betroffenen Personen zu erteilen.
(3)Soweit für bestimmte Verarbeitungsvorgänge – insbesondere für das Setzen und Auslesen von Cookies bzw. vergleichbaren Technologien und für Tracking-Maßnahmen auf Webseiten oder in Apps der Auftraggeberin – eine Einwilligung nach dem anwendbaren Telekommunikations- und ePrivacy-Recht (z. B. TTDSG) oder nach Art. 6 Abs. 1 lit. a DSGVO erforderlich ist, ist die Einholung, Dokumentation und Verwaltung dieser Einwilligungen Aufgabe der Auftraggeberin. Adverfly stellt hierfür lediglich die technisch erforderlichen Funktionen bereit, soweit vertraglich vereinbart.
3.5 Verzeichnis von Verarbeitungstätigkeiten und Anlagen
(1)Die detaillierte Beschreibung der im Rahmen dieses Vertrages typischerweise erbrachten Verarbeitungstätigkeiten, der jeweils betroffenen Datenkategorien, Personenkategorien, Empfänger, Schutzbedarfe und eingesetzten Plattformen ergibt sich aus dem Verzeichnis von Verarbeitungstätigkeiten der Adverfly GmbH in der jeweils aktuellen Fassung („Verfahrensverzeichnis Adverfly“). Dieses Verzeichnis wird der Auftraggeberin auf Wunsch zur Verfügung gestellt.
(2)Änderungen im Verfahrensverzeichnis, die die im Auftrag für die Auftraggeberin erbrachten Leistungen betreffen, werden der Auftraggeberin in geeigneter Weise mitgeteilt, soweit sie die vertraglichen Pflichten oder das Schutzniveau wesentlich berühren.
4. Pflichten der Adverfly
(1)Adverfly verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie von der Auftraggeberin angewiesen, es sei denn, die Adverfly ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für sie bestehen, teilt die Adverfly diese der Auftraggeberin vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihr gesetzlich verboten. Adverfly verwendet darüber hinaus die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.
(2)Adverfly bestätigt, dass ihr die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Sie beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.
(3)Adverfly verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.
(4)Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.
(5)Adverfly sichert zu, dass die bei ihr zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Entsprechende Schulungs- und Sensibilisierungsmaßnahmen sind angemessen regelmäßig zu wiederholen. Adverfly trägt dafür Sorge, dass zur Auftragsverarbeitung eingesetzte Personen hinsichtlich der Erfüllung der Datenschutzanforderungen laufend angemessen angeleitet und überwacht werden.
(6)Im Zusammenhang mit der beauftragten Verarbeitung hat Adverfly der Auftraggeberin bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei Durchführung der Datenschutzfolgeabschätzung zu unterstützen. Eventuell hierfür entstehende Aufwände werden vorab mit der Auftraggeberin abgestimmt.
(7)Wird die Auftraggeberin durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihr gegenüber Rechte geltend, verpflichtet sich Adverfly, die Auftraggeberin im erforderlichen Umfang zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist. Eventuell hierfür entstehende Aufwände werden vorab mit der Auftraggeberin abgestimmt.
(8)Auskünfte an Dritte oder den Betroffenen darf Adverfly nur nach vorheriger Zustimmung durch die Auftraggeberin erteilen. Direkt an sie gerichtete Anfragen leitet sie unverzüglich an die Auftraggeberin weiter.
(9)Soweit gesetzlich verpflichtet, bestellt die Adverfly eine fachkundige und zuverlässige Person als Beauftragten für den Datenschutz. Es ist sicherzustellen, dass für den Beauftragten keine Interessenskonflikte bestehen. In Zweifelsfällen kann sich die Auftraggeberin direkt an den Datenschutzbeauftragten wenden. Adverfly teilt der Auftraggeberin unverzüglich die Kontaktdaten des Datenschutzbeauftragten mit oder begründet, weshalb kein Beauftragter bestellt wurde. Änderungen in der Person oder den innerbetrieblichen Aufgaben des Beauftragten teilt Adverfly der Auftraggeberin unverzüglich mit.
(10)Die Auftragnehmerin (Adverfly) meldet der Auftraggeberin jeden bekannt gewordenen Vorfall, bei dem personenbezogene Daten beschädigt, verloren, verändert, offengelegt oder unerlaubt zugänglich gemacht wurden, unverzüglich.
Die Meldung soll alle wichtigen Informationen enthalten: Was ist passiert, welche Daten sind betroffen, welche Folgen könnten entstehen und welche Maßnahmen wurden ergriffen oder geplant, um den Schaden zu begrenzen.
5. Technische und organisatorische Maßnahmen
(1)Die in der Anlage „Technische und organisatorische Maßnahmen (TOM)“ beschriebenen Datensicherheitsmaßnahmen definieren das von Adverfly geschuldete Minimum. Die Anlage wird der Auftraggeberin auf Anfrage in Textform zur Verfügung gestellt.
(2)Die Datensicherheitsmaßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das hier vereinbarte Niveau nicht unterschritten wird.
(3)Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen der Auftraggeberin nicht oder nicht mehr genügen, benachrichtigt Adverfly die Auftraggeberin unverzüglich.
(4)Adverfly sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
(5)Kopien oder Duplikate werden ohne Wissen der Auftraggeberin nicht erstellt. Ausgenommen sind technisch notwendige, temporäre Vervielfältigungen, soweit eine Beeinträchtigung des hier vereinbarten Datenschutzniveaus ausgeschlossen ist.
(6)Dedizierte Datenträger, die von der Auftraggeberin stammen bzw. für die Auftraggeberin genutzt werden, werden besonders gekennzeichnet und unterliegen der laufenden Verwaltung. Sie sind jederzeit angemessen aufzubewahren und dürfen unbefugten Personen nicht zugänglich sein. Ein- und Ausgänge werden dokumentiert.
(7)Adverfly führt den regelmäßigen Nachweis der Erfüllung ihrer Pflichten, insbesondere der vollständigen Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen sowie ihrer Wirksamkeit.
(8)Die Auftragnehmerin setzt für interne Administrations- und Supportzugriffe eine Multi-Faktor-Authentifizierung (MFA) ein. Zugriffsrechte werden rollenbasiert vergeben und regelmäßig überprüft.
6. Regelungen zur Berichtigung, Löschung und Sperrung von Daten
(1)Im Rahmen des Auftrags verarbeitete Daten wird Adverfly nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung der Auftraggeberin berichtigen, löschen oder sperren.
(2)Den entsprechenden Weisungen der Auftraggeberin wird Adverfly jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten.
7. Unterauftragsverhältnisse
(1)Die Rechte der Auftraggeberin müssen auch gegenüber dem Subunternehmer wirksam ausgeübt werden können. Insbesondere muss die Auftraggeberin berechtigt sein, jederzeit in dem hier festgelegten Umfang Kontrollen auch bei Subunternehmern durchzuführen oder durch Dritte durchführen zu lassen.
(2)Die Verantwortlichkeiten der Adverfly und des Subunternehmers sind eindeutig voneinander abzugrenzen.
(3)Adverfly wählt den Subunternehmer unter besonderer Berücksichtigung der Eignung der vom Subunternehmer getroffenen technischen und organisatorischen Maßnahmen sorgfältig aus.
(4)Die Weiterleitung von im Auftrag verarbeiteten Daten an den Subunternehmer ist erst zulässig, wenn sich Adverfly davon überzeugt hat, dass der Subunternehmer seine Verpflichtungen vollständig erfüllt hat.
(5)Die Beauftragung von Subunternehmern, die Verarbeitungen im Auftrag nicht ausschließlich aus dem Gebiet der EU oder des EWR erbringen, ist zulässig, soweit und solange der Subunternehmer angemessene Datenschutzgarantien bietet.
(6)Adverfly hat die Einhaltung der Pflichten des Subunternehmers regelmäßig, spätestens alle 12 Monate, angemessen zu überprüfen.
(7)Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen, wie beispielsweise Transport, Wartung und Reinigung sowie die Inanspruchnahme von Telekommunikationsdienstleistungen oder Benutzerservice sind nicht erfasst. Die Pflicht der Adverfly, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.
(8)Adverfly besitzt die allgemeine Genehmigung der Auftraggeberin für die Beauftragung von Unterauftragnehmern (Subunternehmern). Adverfly informiert die Auftraggeberin vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Subunternehmern und räumt ihr das Recht ein, Einwände zu erheben (Art. 28 Abs. 2 DSGVO). Derzeit sind folgende Subunternehmer beauftragt:
| Firma Unterauftragnehmer | Anschrift/Land | Leistung |
|---|
| Exoscale SA | Schweiz | CDN, Content-Auslieferung |
| Amazon Web Services EMEA SARL | Luxemburg / AWS Region Frankfurt (Deutschland) | Hosting, Datenbank, Storage, Compute |
| HubSpot Ireland Ltd. | Irland | Support-Chat und Ticketbearbeitung |
| Stripe Payments Europe Ltd. | Irland | Zahlungsabwicklung und Abrechnung |
8. Rechte und Pflichten der Auftraggeberin
(1)Die Auftraggeberin erteilt alle Aufträge, Teilaufträge oder Weisungen und dokumentiert diese. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen wird die Auftraggeberin unverzüglich dokumentiert bestätigen.
(2)Die Auftraggeberin informiert die Adverfly unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
(3)Die Auftraggeberin ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen bei der Adverfly in angemessenem Umfang selbst oder durch Dritte, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie sonstige Kontrollen vor Ort zu kontrollieren. Den mit der Kontrolle betrauten Personen ist von der Adverfly soweit erforderlich Zutritt und Einblick zu ermöglichen. Adverfly ist verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind.
(4)Kontrollen bei der Adverfly haben ohne vermeidbare Störungen ihres Geschäftsbetriebs zu erfolgen. Soweit nicht aus von der Auftraggeberin zu dokumentierenden, dringlichen Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten der Adverfly, sowie nicht häufiger als alle 12 Monate statt. Soweit die Adverfly den Nachweis der korrekten Umsetzung der vereinbarten Datenschutzpflichten erbringt, soll sich eine Kontrolle auf Stichproben beschränken.
9. Mitteilungspflichten
(1)Adverfly teilt der Auftraggeberin Verletzungen des Schutzes personenbezogener Daten unverzüglich mit. Auch begründete Verdachtsfälle hierauf sind mitzuteilen. Die Mitteilung hat spätestens innerhalb von 24 Stunden ab Kenntnis der Adverfly vom relevanten Ereignis an eine von der Auftraggeberin benannte Adresse zu erfolgen. Sie muss mindestens folgende Angaben enthalten:
- eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
- den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
- eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
- eine Beschreibung der von Adverfly ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
(2)Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße der Adverfly oder der bei ihr beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die in diesem Vertrag getroffenen Festlegungen.
(3)Adverfly informiert die Auftraggeberin unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen.
10. Weisungen
(1)Die Auftraggeberin behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.
(2)Die Auftraggeberin und die Adverfly benennen die zur Erteilung und Annahme von Weisungen ausschließlich befugten Personen.
(3)Bei einem Wechsel oder einer längerfristigen Verhinderung der benannten Personen sind der anderen Partei Nachfolger bzw. Vertreter unverzüglich mitzuteilen.
(4)Adverfly wird die Auftraggeberin unverzüglich darauf aufmerksam machen, wenn eine von der Auftraggeberin erteilte Weisung ihrer Meinung nach gegen gesetzliche Vorschriften verstößt. Adverfly ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bei der Auftraggeberin bestätigt oder geändert wird.
(5)Adverfly hat ihr erteilte Weisungen und deren Umsetzung zu dokumentieren.
11. Beendigung des Auftrags
(1)Bei Beendigung des Auftragsverhältnisses oder jederzeit auf Verlangen der Auftraggeberin hat Adverfly die im Auftrag verarbeiteten Daten nach Wahl der Auftraggeberin entweder zu vernichten oder an die Auftraggeberin zu übergeben. Ebenfalls zu vernichten sind sämtliche vorhandene Kopien der Daten. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist.
(2)Adverfly ist verpflichtet, die unverzügliche Rückgabe bzw. Löschung auch bei Subunternehmern herbeizuführen.
(3)Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch die Adverfly den jeweiligen Aufbewahrungsfristen entsprechend auch über das Vertragsende hinaus aufzubewahren. Sie kann sie zu ihrer Entlastung der Auftraggeberin bei Vertragsende übergeben.
(4)Sofern keine abweichende Weisung der Auftraggeberin erfolgt, werden personenbezogene Daten nach Vertragsende innerhalb eines angemessenen Zeitraums gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
12. Vergütung
Die Vergütung von Adverfly ist abschließend im Hauptvertrag geregelt. Eine gesonderte Vergütung oder Kostenerstattung im Rahmen dieses Vertrages erfolgt nicht.
13. Haftung
(1)Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeberin und Adverfly gesamtschuldnerisch.
(2)Adverfly trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihr zu vertretenden Umstandes ist, soweit die relevanten Daten von ihr unter dieser Vereinbarung verarbeitet wurden.
(3)Adverfly haftet der Auftraggeberin für Schäden, die Adverfly, ihre Mitarbeiter bzw. die von ihr mit der Vertragsdurchführung Beauftragten oder die von ihr eingesetzten Subdienstleister im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursachen.
(4)Nummern (2) und (3) gelten nicht, soweit der Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer von der Auftraggeberin erteilten Weisung entstanden ist.
14. Sonstiges
(1)Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur schriftlichen Freigabe durch die andere Partei als vertraulich zu behandeln.
(2)Sollte Eigentum der Auftraggeberin bei der Adverfly durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat Adverfly die Auftraggeberin unverzüglich zu verständigen.
(3)Für Nebenabreden ist die Schriftform erforderlich.
(4)Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
(5)Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.