Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer der Auftragsverarbeitung

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich für den Kunden und nach dessen Weisung, soweit das für die Erbringung der Leistungen aus dem Hauptvertrag erforderlich ist. Eigene Zwecke verfolgt der Anbieter mit diesen Daten nicht.

(2) Gegenstand des Auftrags ist die Verarbeitung, die beim Betrieb der Software anfällt. Dazu gehören insbesondere der Abruf und die Auswertung eingehender Nachrichten aus einem vom Kunden angebundenen Postfach, das Anlegen und Führen von Vorgängen, das Erstellen von Angeboten und Belegen, die Planung von Einsätzen, die Erfassung von Arbeitszeiten und die Abrechnung sowie die Speicherung und Sicherung der dabei anfallenden Daten.

(3) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er beginnt und endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf. Eine Kündigung dieses Vertrags ohne gleichzeitige Kündigung des Hauptvertrags ist ausgeschlossen.

(4) Die Pflichten aus Ziffer 16, Ziffer 17 und Ziffer 18 bestehen über das Ende dieses Vertrags hinaus fort. Das Kontrollrecht nach Ziffer 17 bleibt insbesondere so lange bestehen, bis die Löschung nach Ziffer 16 abgeschlossen ist.

2. Art und Zweck der Verarbeitung, Ort der Verarbeitung

(1) Die Verarbeitung umfasst je nach genutzter Funktion das Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die nach Ziffer 11 eingesetzten Unterauftragnehmer, Einschränken, Löschen und Vernichten personenbezogener Daten.

(2) Zweck der Verarbeitung ist allein die Erbringung der im Hauptvertrag vereinbarten Leistungen für den Kunden. Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nur im Rahmen von Ziffer 5 statt.

(3) Die Verarbeitung findet grundsätzlich in der Europäischen Union und im Europäischen Wirtschaftsraum statt. Eine Verarbeitung in einem Drittland findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 der Datenschutz-Grundverordnung erfüllt sind.

(4) Welche Unterauftragnehmer außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums verarbeiten und auf welche Grundlage sich die Übermittlung stützt, ergibt sich aus der Anlage unter https://www.muvmate.de/avv/unterauftragnehmer.

3. Art der Daten und Kategorien betroffener Personen

(1) Gegenstand der Verarbeitung sind insbesondere die folgenden Arten personenbezogener Daten:

(3) Zu den Kategorien betroffener Personen gehören:

(5) Die Kategorien sind bewusst weit gefasst. Der Anbieter kann nicht vorab bestimmen, welche Angaben ein Absender in eine Nachricht schreibt, und ein zu eng gefasster Katalog würde die tatsächliche Verarbeitung nicht abbilden.

4. Besondere Kategorien personenbezogener Daten

(1) Besondere Kategorien personenbezogener Daten nach Art. 9 der Datenschutz-Grundverordnung und personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 der Datenschutz-Grundverordnung sind nicht Gegenstand dieses Vertrags. Die Software sieht für solche Angaben keine Felder vor und wertet sie nicht gesondert aus.

(2) Sie können gleichwohl in freien Textfeldern und in den Inhalten eingehender Nachrichten vorkommen, etwa wenn ein Interessent von sich aus einen Gesundheitszustand, eine Schwerbehinderung oder eine familiäre Situation schildert. Der Anbieter kann das nicht verhindern, weil er den Inhalt eingehender Nachrichten nicht vorab bestimmt.

(3) Solche Angaben behandelt der Anbieter wie den übrigen Inhalt der Nachricht. Sie unterliegen denselben technischen und organisatorischen Maßnahmen nach Ziffer 6 und werden nicht gesondert ausgewertet, nicht zu Merkmalen verdichtet und nicht als Kriterium für Vorschläge verwendet.

(4) Der Kunde wirkt darauf hin, dass solche Angaben nicht ohne Erforderlichkeit in die Software eingestellt werden, und prüft, ob für ihre Verarbeitung eine Rechtsgrundlage nach Art. 9 Abs. 2 der Datenschutz-Grundverordnung besteht.

5. Auswertung von Nutzungsdaten

(1) Der Anbieter darf die bei der Nutzung anfallenden Daten auswerten, um die Software zu betreiben, Störungen und Missbrauch zu erkennen, die Kapazität zu planen und die Leistung weiterzuentwickeln.

(2) Über die Grenzen einzelner Kunden hinweg ist eine Auswertung nur in anonymer und zusammengefasster Form zulässig. Ein Rückschluss auf einzelne Kunden, auf einzelne betroffene Personen oder auf einzelne Vorgänge darf dabei nicht möglich sein. Diese Erlaubnis ist ausdrücklich auf Daten ohne Personenbezug beschränkt.

(3) Der Anbieter verwendet Inhalte und Daten des Kunden nicht zum Training eigener Modelle. Die Dienstleister, die er für die Auswertung und für den Betrieb einsetzt, verpflichtet er vertraglich darauf, die ihnen übermittelten Inhalte und Daten nicht zum Training von Modellen zu verwenden.

6. Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die nach Art. 32 der Datenschutz-Grundverordnung erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Er hält diese Maßnahmen während der gesamten Vertragsdauer aufrecht.

(2) Die getroffenen Maßnahmen sind in der Anlage unter https://www.muvmate.de/avv/massnahmen beschrieben. Die Anlage ist Bestandteil dieses Vertrags.

(3) Der Anbieter darf einzelne Maßnahmen durch gleichwertige ersetzen, insbesondere wenn der Stand der Technik, die Umstände der Verarbeitung oder die Risikolage es nahelegen. Das nach diesem Vertrag vereinbarte Schutzniveau darf dabei nicht unterschritten werden.

(4) Wesentliche Änderungen der Maßnahmen dokumentiert der Anbieter in der Anlage und weist den Kunden in Textform darauf hin.

7. Pflichten des Verantwortlichen

(1) Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Ihm obliegen insbesondere:

(3) Der Anbieter beurteilt nicht, ob die Erhebung der ihm überlassenen Daten beim Kunden rechtmäßig war und ob die betroffenen Personen ordnungsgemäß informiert wurden. Er darf sich darauf verlassen, dass der Kunde diese Pflichten erfüllt.

(4) Der Kunde benennt dem Anbieter eine für den Datenschutz zuständige Ansprechperson und teilt Änderungen unverzüglich mit. Hat der Kunde einen Datenschutzbeauftragten bestellt, teilt er dessen Kontaktdaten mit.

8. Weisungsbindung

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder an eine internationale Organisation. Dieser Vertrag einschließlich seiner Anlagen und der Hauptvertrag sind die anfängliche Weisung des Kunden. Die Übermittlung in ein Drittland richtet sich nach Ziffer 2 und Ziffer 12.

(2) Weisungsberechtigt sind die vom Kunden hierfür benannten Personen. Der Kunde teilt dem Anbieter mit, wer weisungsberechtigt ist, und meldet Änderungen unverzüglich. Solange keine abweichende Mitteilung vorliegt, gilt die nach Ziffer 7 benannte Ansprechperson als weisungsberechtigt.

(3) Weisungen werden in Textform an die Kontaktstelle nach Ziffer 10 gerichtet. Die Textform ist der Regelfall. Mündlich erteilte Weisungen bestätigt der Kunde unverzüglich in Textform. Bis zur Bestätigung darf der Anbieter die Ausführung aussetzen.

(4) Die Bedienung der Software durch den Kunden und die von ihm vorgenommenen Einstellungen gelten im Rahmen des vertraglich vereinbarten Funktionsumfangs als Weisung. Einer gesonderten Erklärung bedarf es dafür nicht.

(5) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, führt der Anbieter aus, soweit ihm das möglich und zumutbar ist. Den dafür erforderlichen Aufwand vergütet der Kunde mit 150 Euro je Stunde, netto zuzüglich der jeweils geltenden gesetzlichen Umsatzsteuer, abgerechnet nach angefangenen Viertelstunden. Für die Anpassung dieses Satzes gilt die Preisanpassungsregelung des Hauptvertrags, dort Ziffer 9, entsprechend. Der Anbieter weist auf die Vergütungspflicht und auf den voraussichtlichen Aufwand hin, bevor er mit der Ausführung beginnt.

(6) Können sich die Parteien über eine Weisung nicht einigen, setzt der Anbieter die Ausführung bis zur Klärung aus und teilt dies dem Kunden in Textform mit. Die Verantwortung des Kunden für die von ihm erteilte Weisung bleibt davon unberührt.

9. Rechtswidrige Weisungen und gesetzliche Verarbeitungspflichten

(1) Ist der Anbieter der Auffassung, dass eine Weisung des Kunden gegen datenschutzrechtliche Vorschriften verstößt, teilt er dem Kunden dies unverzüglich mit. Er ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Kunde sie bestätigt oder ändert.

(2) Ist der Anbieter nach dem Recht der Europäischen Union oder dem Recht eines Mitgliedstaats, dem er unterliegt, zu einer Verarbeitung verpflichtet, unterrichtet er den Kunden vor der Verarbeitung über diese rechtlichen Anforderungen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Das entspricht Art. 28 Abs. 3 lit. a der Datenschutz-Grundverordnung.

(3) Erhält der Anbieter von einer Behörde oder von einem sonstigen Dritten ein Auskunftsverlangen zu Daten des Kunden, leitet er es unverzüglich an den Kunden weiter, soweit ihm das rechtlich gestattet ist. Er erteilt keine Auskunft, ohne zuvor geprüft zu haben, ob er dazu verpflichtet ist, und weist die anfragende Stelle auf die Verantwortlichkeit des Kunden hin.

10. Vertraulichkeit und Kontaktstelle

(1) Der Anbieter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder die einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Das entspricht Art. 28 Abs. 3 lit. b der Datenschutz-Grundverordnung. Die Verpflichtung besteht auch nach dem Ende der Tätigkeit für den Anbieter fort.

(2) Der Anbieter unterweist die eingesetzten Personen über die Anforderungen des Datenschutzes und über den Umgang mit den Daten des Kunden und wiederholt diese Unterweisung in angemessenen Abständen.

(3) Kontaktstelle des Anbieters für alle Fragen des Datenschutzes, für Weisungen nach Ziffer 8 und für Anfragen nach Ziffer 13 ist datenschutz@muvmate.de.

11. Unterauftragnehmer

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter als Unterauftragnehmer einzusetzen. Welche Unterauftragnehmer bei Vertragsschluss eingesetzt sind, mit welcher Anschrift, zu welchem Zweck, an welchem Ort und auf welcher Grundlage, ergibt sich aus der Anlage unter https://www.muvmate.de/avv/unterauftragnehmer. Diesen Unterauftragnehmern stimmt der Kunde mit Abschluss dieses Vertrags zu.

(2) Vor der Hinzunahme eines weiteren Unterauftragnehmers und vor dem Wechsel eines bestehenden unterrichtet der Anbieter den Kunden in Textform. Der Kunde kann der Änderung innerhalb von 14 Tagen ab Zugang der Unterrichtung widersprechen. Widerspricht er nicht innerhalb dieser Frist, gilt die Änderung als genehmigt. Auf diese Folge weist der Anbieter in der Unterrichtung hin.

(3) Ein Widerspruch ist nur aus einem wichtigen, datenschutzrechtlichen und nachweisbaren Grund zulässig, der in der Person des vorgesehenen Unterauftragnehmers oder in der Art der vorgesehenen Verarbeitung liegt. Der Kunde legt den Grund in Textform dar.

(4) Widerspricht der Kunde wirksam, suchen die Parteien eine einvernehmliche Lösung. Lässt sich der Einsatz für den Kunden nicht mit vertretbarem Aufwand vermeiden, kann jede Partei den Hauptvertrag und damit diesen Vertrag zum Zeitpunkt der geplanten Änderung kündigen. Bis zum Wirksamwerden der Kündigung wird der vorgesehene Unterauftragnehmer für den Kunden nicht eingesetzt.

(5) Der Anbieter kann den vorgesehenen Unterauftragnehmer trotz eines wirksamen Widerspruchs nur einsetzen, wenn sich dessen Einsatz nicht mit vertretbarem Aufwand vermeiden lässt, innerhalb von 14 Tagen ab Zugang des Widerspruchs keine Einigung zustande kommt und keine Partei innerhalb dieser Frist kündigt. Lässt sich der Einsatz mit vertretbarem Aufwand vermeiden, bleibt es beim Widerspruch, und der Unterauftragnehmer wird für den Kunden nicht eingesetzt. Bloßer Zeitablauf genügt für den Einsatz nicht.

(6) Vor der Umstellung teilt der Anbieter dem Kunden in Textform den Ablauf der Frist, die Gründe, aus denen sich der Einsatz nicht mit vertretbarem Aufwand vermeiden lässt, und den beabsichtigten Umstellungstermin mit. Der Kunde kann den Hauptvertrag und damit diesen Vertrag innerhalb von 14 Tagen ab Zugang dieser Mitteilung zum Umstellungstermin kündigen. Der Umstellungstermin darf nicht vor dem Ablauf dieser Frist liegen. Auf dieses Recht weist der Anbieter in der Mitteilung hin. Bis zum Ablauf dieser Frist und bis zum Umstellungstermin wird der vorgesehene Unterauftragnehmer für den Kunden nicht eingesetzt. Damit endet der Schwebezustand, ohne dass ein Widerspruch durch bloßes Aussitzen unwirksam wird.

(7) Der Anbieter legt jedem Unterauftragnehmer im Wege eines Vertrags dieselben Datenschutzpflichten auf, die ihm nach diesem Vertrag obliegen, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Das entspricht Art. 28 Abs. 4 der Datenschutz-Grundverordnung. Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für die Einhaltung dieser Pflichten in vollem Umfang.

(8) Der Anbieter wählt seine Unterauftragnehmer sorgfältig aus, prüft vor dem Einsatz die getroffenen Maßnahmen und überprüft sie in angemessenen Abständen. Die Ergebnisse hält er fest und legt sie dem Kunden auf Anforderung nach Ziffer 17 vor.

(9) Nicht als Unterauftragsverhältnis im Sinne dieser Ziffer gelten Nebenleistungen, die der Anbieter in Anspruch nimmt und bei denen ein Zugriff auf personenbezogene Daten des Kunden nicht Zweck, sondern allenfalls nicht auszuschließende Nebenfolge ist, etwa Telekommunikationsleistungen, Postdienste, Reinigung oder die Wartung von Endgeräten. Der Anbieter trifft auch hier angemessene Maßnahmen zum Schutz der Daten.

(10) Zugänge, die der Kunde selbst bei einem Dritten unterhält, insbesondere sein Zugang zu einer eigenen Buchhaltungssoftware und sein eigenes Postfach beim jeweiligen Anbieter, begründen kein Unterauftragsverhältnis des Anbieters. Das Vertragsverhältnis zu diesem Dritten schließt der Kunde selbst und in eigenem Namen. Er ist für dessen Ausgestaltung und für die datenschutzrechtliche Absicherung dieses Verhältnisses selbst verantwortlich.

(11) Diese Abgrenzung betrifft allein das Vertragsverhältnis zwischen dem Kunden und dem Dritten. Sie ist kein allgemeiner Ausschluss. Sobald die Software auf ein vom Kunden angebundenes Postfach zugreift, Nachrichten und Anhänge daraus abruft, sie auswertet, Adressdaten an einen Kartendienst zur Entfernungsberechnung übermittelt oder Stammdaten und Belegdaten wie Name, Firma, Anschrift und Umzugsadresse an eine vom Kunden angebundene Buchhaltungssoftware übermittelt, verarbeitet der Anbieter diese Daten für den Kunden. Diese Verarbeitung unterliegt in vollem Umfang diesem Vertrag, auch wenn der genutzte Zugang dem Kunden gehört und auf dessen Namen läuft. Setzt der Anbieter dabei einen eigenen Dienstleister ein, ist dieser Unterauftragnehmer und in der Anlage aufgeführt.

12. Übermittlung in Drittländer und Vollmacht

(1) Eine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 der Datenschutz-Grundverordnung erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder auf Grundlage der Standardvertragsklauseln der Europäischen Kommission.

(2) Der Kunde bevollmächtigt den Anbieter, in seinem Namen mit Auftragsverarbeitern und weiteren Unterauftragnehmern in Drittländern die Standardvertragsklauseln der Europäischen Kommission abzuschließen, die zugehörigen Anlagen auszufüllen und die zu ihrer Wirksamkeit erforderlichen Erklärungen abzugeben. Die Vollmacht ist auf Verarbeitungen im Rahmen dieses Vertrags beschränkt.

(3) Der Anbieter prüft vor einer solchen Übermittlung, ob die Standardvertragsklauseln im Zielland ein angemessenes Schutzniveau gewährleisten, und trifft erforderlichenfalls zusätzliche Maßnahmen, insbesondere Verschlüsselung und Begrenzung der übermittelten Daten auf das Notwendige. Die abgeschlossenen Standardvertragsklauseln und das Ergebnis der Prüfung stellt er dem Kunden auf Anforderung zur Verfügung.

(4) Der Kunde kann die Vollmacht jederzeit in Textform mit Wirkung für die Zukunft widerrufen. Führt der Widerruf dazu, dass der Anbieter die vertraglich vereinbarte Leistung nicht mehr vollständig erbringen kann, kann jede Partei den Hauptvertrag und damit diesen Vertrag zum nächstmöglichen Zeitpunkt kündigen.

13. Unterstützung bei den Rechten betroffener Personen

(1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 23 der Datenschutz-Grundverordnung nachzukommen.

(2) Die Software stellt dafür Funktionen bereit, mit denen der Kunde die zu einer Person gespeicherten Daten auffinden, einsehen, berichtigen, einschränken, exportieren und löschen kann. Soweit der Kunde einen Antrag mit diesen Funktionen selbst erfüllen kann, tut er das selbst.

(3) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst. Eine inhaltliche Antwort gibt der Anbieter nur, wenn der Kunde ihn dazu anweist.

(4) Aufwand, der über die in der Software bereitgestellten Funktionen hinausgeht, vergütet der Kunde, soweit er zur Erfüllung des Antrags tatsächlich erforderlich ist, mit 150 Euro je Stunde, netto zuzüglich der jeweils geltenden gesetzlichen Umsatzsteuer, abgerechnet nach angefangenen Viertelstunden. Der Anbieter teilt dem Kunden den voraussichtlichen Aufwand mit, bevor er ihn auslöst, und weist den angefallenen Aufwand auf Verlangen nach. Für die Anpassung dieses Satzes gilt die Preisanpassungsregelung des Hauptvertrags, dort Ziffer 9, entsprechend. Das gilt nicht, soweit der Aufwand auf einem Umstand beruht, den der Anbieter zu vertreten hat.

14. Unterstützung bei Meldepflichten und Folgenabschätzung

(1) Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, meldet er dies dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform an die vom Kunden benannte Ansprechperson.

(2) Die Meldung enthält, soweit dem Anbieter bekannt:

(4) Liegen noch nicht alle Angaben vor, meldet der Anbieter zunächst, was ihm bekannt ist, und liefert die fehlenden Angaben unverzüglich nach. Die Frist nach Absatz 1 wird durch fehlende Einzelangaben nicht verlängert.

(5) Der Anbieter unterstützt den Kunden bei dessen Pflichten nach Art. 33 und Art. 34 der Datenschutz-Grundverordnung sowie bei einer Datenschutz-Folgenabschätzung nach Art. 35 und einer vorherigen Konsultation der Aufsichtsbehörde nach Art. 36, jeweils im Rahmen der ihm vorliegenden Informationen.

(6) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Kunden. Der Anbieter nimmt sie nicht von sich aus vor.

(7) Der Anbieter dokumentiert Verletzungen des Schutzes personenbezogener Daten, die die Daten des Kunden betreffen, und stellt die Dokumentation auf Anforderung bereit.

15. Informationen für die Pflichten des Kunden

(1) Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die dieser benötigt, um die betroffenen Personen nach Art. 13 und Art. 14 der Datenschutz-Grundverordnung zu informieren und sein Verzeichnis von Verarbeitungstätigkeiten zu führen. Dazu gehören insbesondere:

(3) Diese Angaben ergeben sich aus diesem Vertrag und aus den Anlagen, die unter den in Ziffer 6 und Ziffer 11 genannten Adressen abrufbar sind. Der Anbieter hält die Anlagen aktuell.

(4) Benötigt der Kunde darüber hinausgehende Angaben, stellt der Anbieter sie auf Anforderung in angemessener Frist bereit, soweit sie ihm vorliegen und ihrer Herausgabe keine Geheimhaltungspflichten gegenüber Dritten entgegenstehen.

16. Löschung oder Rückgabe

(1) Nach Beendigung der Verarbeitung löscht der Anbieter die für den Kunden verarbeiteten personenbezogenen Daten oder gibt sie zurück. Die Wahl zwischen Löschung und Rückgabe trifft der Kunde. Trifft er bis zum Ende des Vertrags keine Wahl, löscht der Anbieter die Daten.

(2) Der Kunde kann seine Daten während der gesamten Vertragslaufzeit jederzeit selbst exportieren. Nach dem Ende des Vertrags stellt der Anbieter den Zugang für 30 Tage auf Lesezugriff um. In dieser Zeit kann der Kunde seine Daten weiterhin einsehen und exportieren.

(3) Nach Ablauf von 90 Tagen ab dem Ende des Vertrags löscht der Anbieter die Daten des Kunden endgültig, einschließlich der Sicherungskopien im Rahmen der üblichen Sicherungszyklen.

(4) Verlangt der Kunde vor Ablauf dieser Fristen die Löschung oder die Herausgabe, kommt der Anbieter dem unverzüglich nach. Die Herausgabe erfolgt in einem gängigen, maschinenlesbaren Format.

(5) Von der Löschpflicht ausgenommen sind Daten, soweit das Recht der Europäischen Union oder das Recht eines Mitgliedstaats, dem der Anbieter unterliegt, eine weitere Speicherung verlangt, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten. Diese Daten werden für die weitere Verwendung gesperrt und ausschließlich zur Erfüllung dieser Pflichten verarbeitet. Auf Anforderung teilt der Anbieter mit, welche Daten davon betroffen sind und wie lange sie aufbewahrt werden.

(6) Ebenfalls von der Löschung ausgenommen ist der Nachweis über den Abschluss dieses Vertrags, also die Angabe, welche Person zu welchem Zeitpunkt welcher Fassung dieses Vertrags und der Allgemeinen Geschäftsbedingungen zugestimmt hat, in welcher Form sie das getan hat und dass sie zur Vertretung des Kunden berechtigt war. Der Anbieter bewahrt diesen Nachweis 3 Jahre über das Ende des Vertrags hinaus auf und löscht ihn danach. Rechtsgrundlage ist Art. 17 Abs. 3 lit. e DSGVO, die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ohne diesen Nachweis könnte keine Seite belegen, dass dieser Vertrag überhaupt geschlossen wurde. Der Nachweis enthält keine Daten der Interessenten und Kunden des Kunden, sondern ausschließlich die vorstehend genannten Angaben zur zustimmenden Person.

(7) Die Fristen nach Absatz 2 und Absatz 3 gelten nicht für die Testphase. Endet der Zugang, ohne dass aus der Testphase ein entgeltlicher Vertrag geworden ist, besteht kein Anspruch auf Lesezugriff und keine Zusage auf Aufbewahrung der eingestellten Daten über das Ende der Testphase hinaus. Der Anbieter löscht die Daten in diesem Fall nach dem Ende der Testphase, jedoch nicht, bevor er ein bis dahin gestelltes Verlangen des Kunden auf Herausgabe nach Absatz 1 erfüllt hat. Der Kunde exportiert die für ihn wichtigen Daten vor dem Ende der Testphase selbst. Geht die Testphase in einen entgeltlichen Vertrag über, gelten die Fristen nach Absatz 2 und Absatz 3 ab dessen Ende.

(8) Ein Protokoll über die Löschung stellt der Anbieter auf Anforderung in Textform bereit.

17. Nachweise und Kontrollrechte

(1) Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 der Datenschutz-Grundverordnung niedergelegten Pflichten erforderlich sind. Er erteilt dazu auf Anforderung in angemessener Frist Auskunft in Textform.

(2) Der Nachweis erfolgt vorrangig durch die Vorlage vorhandener Unterlagen. Dazu gehören die Beschreibung der technischen und organisatorischen Maßnahmen, der den Kunden betreffende Auszug aus dem Verzeichnis der Verarbeitungstätigkeiten des Anbieters nach Art. 30 Abs. 2 der Datenschutz-Grundverordnung sowie vorhandene Zertifizierungen, Testate und Berichte unabhängiger Stellen. Ein Anspruch auf das vollständige Verzeichnis, das auch die Verarbeitungen für andere Kunden abbildet, besteht nicht.

(3) Die mit den eingesetzten Unterauftragnehmern geschlossenen Verträge legt der Anbieter auf Anforderung in geschwärzter Form vor, soweit ihrer Vorlage keine Geheimhaltungspflichten gegenüber Dritten entgegenstehen. Steht eine solche Pflicht entgegen, teilt der Anbieter dem Kunden mit, welche datenschutzrechtlichen Pflichten er dem Unterauftragnehmer auferlegt hat, und weist deren Vereinbarung in anderer geeigneter Weise nach.

(4) Die in Absatz 2 genannten Zertifizierungen, Testate und Berichte treten neben das Kontrollrecht des Kunden. Sie ersetzen es nicht.

(5) Darüber hinaus ermöglicht der Anbieter Überprüfungen, einschließlich Inspektionen, die der Kunde selbst oder ein von ihm beauftragter Prüfer durchführt, und trägt zu ihnen bei. Die Überprüfung wird mit angemessener Frist in Textform angekündigt, findet während der üblichen Geschäftszeiten statt und wird so durchgeführt, dass der Betriebsablauf des Anbieters nicht unangemessen gestört wird.

(6) Der beauftragte Prüfer darf kein Wettbewerber des Anbieters sein und ist zur Verschwiegenheit zu verpflichten. Die Überprüfung wahrt die Geheimhaltungspflichten des Anbieters gegenüber Dritten und die Rechte seiner übrigen Kunden. Ein Zugriff auf Daten anderer Kunden findet nicht statt.

(7) Ohne besonderen Anlass kann der Kunde Überprüfungen verlangen, in der Regel höchstens 1 je Kalenderjahr. Bei einer Verletzung des Schutzes personenbezogener Daten, bei einer Anordnung einer Aufsichtsbehörde und bei einem sonstigen begründeten Anlass kann er sie auch darüber hinaus verlangen.

(8) Die Kosten der Überprüfung trägt der Kunde. Den für die Begleitung der Überprüfung tatsächlich erforderlichen Aufwand des Anbieters vergütet der Kunde mit 150 Euro je Stunde, netto zuzüglich der jeweils geltenden gesetzlichen Umsatzsteuer, abgerechnet nach angefangenen Viertelstunden. Bei einer Überprüfung ohne besonderen Anlass ist die Vergütung auf 4 Stunden je Überprüfung begrenzt. Weiteren Aufwand trägt der Anbieter selbst. Er weist den angefallenen Aufwand auf Verlangen des Kunden nach. Für die Anpassung dieses Satzes gilt die Preisanpassungsregelung des Hauptvertrags, dort Ziffer 9, entsprechend. Das gilt nicht, wenn die Überprüfung einen erheblichen Verstoß aufdeckt, den der Anbieter zu vertreten hat. Eine Pflicht des Anbieters, auf eigene Kosten regelmäßige Prüfungen durch externe Stellen durchführen zu lassen, wird mit diesem Vertrag nicht begründet.

(9) Der Anbieter arbeitet auf Anfrage mit der zuständigen Aufsichtsbehörde zusammen, soweit Art. 31 der Datenschutz-Grundverordnung das verlangt, und unterrichtet den Kunden über Kontrollhandlungen der Aufsichtsbehörde, die seine Daten betreffen.

18. Schlussbestimmungen

(1) Beide Parteien behandeln die im Rahmen dieses Vertrags erlangten vertraulichen Informationen der anderen Partei vertraulich. Die Pflicht besteht über das Ende dieses Vertrags hinaus fort.

(2) Der Anbieter unterrichtet den Kunden unverzüglich, wenn Daten des Kunden durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder ein Vergleichsverfahren oder durch sonstige Maßnahmen Dritter gefährdet werden. Er weist alle in diesem Zusammenhang handelnden Stellen darauf hin, dass die Verfügungsbefugnis über die Daten ausschließlich beim Kunden liegt.

(3) Ein Zurückbehaltungsrecht des Anbieters an den Daten des Kunden ist ausgeschlossen.

(4) Änderungen, Ergänzungen und Nebenabreden zu diesem Vertrag bedürfen der Schriftform. Das schriftliche Format im Sinne von Art. 28 Abs. 9 der Datenschutz-Grundverordnung, auch in einem elektronischen Format, genügt. Das gilt auch für die Aufhebung dieses Formerfordernisses. Unberührt bleiben die Befugnis des Anbieters, die Anlagen nach Ziffer 6 und nach Ziffer 11 unter den dort genannten Voraussetzungen zu ändern, und die Anpassung des Aufwandssatzes nach Ziffer 8, Ziffer 13 und Ziffer 17, für die das Preisanpassungsverfahren des Hauptvertrags mit der dort vorgesehenen Form gilt. Die Aufzählung in diesem Absatz ist nicht abschließend; sie erfasst jede Änderung, die dieser Vertrag oder der Hauptvertrag ausdrücklich in einer anderen Form zulässt.

(5) Widersprechen sich dieser Vertrag und der Hauptvertrag, geht dieser Vertrag in allen Fragen des Datenschutzes vor.

(6) Abweichend vom vorstehenden Absatz gilt für die Haftung des Anbieters, auch für die Haftung wegen einer Verletzung von Pflichten aus diesem Vertrag, die Haftungsregelung des Hauptvertrags, dort Ziffer 18. Ziffer 11 Abs. 7 dieses Vertrags, der die Pflicht nach Art. 28 Abs. 4 der Datenschutz-Grundverordnung umsetzt, bestimmt, dass der Anbieter für die Einhaltung der Datenschutzpflichten durch einen Unterauftragnehmer einzustehen hat. Er begründet keinen von der Haftungsregelung des Hauptvertrags abweichenden Haftungsumfang. Ansprüche nach Art. 82 der Datenschutz-Grundverordnung bleiben unberührt.

(7) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(8) Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit diesem Vertrag ist Regensburg, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.