Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Zusammenhang mit Bereitstellung, Hosting, Betrieb, Wartung und Support von Majestic-Webs Loyalty.

(2) Die Dauer dieser Vereinbarung entspricht der Dauer des Hauptvertrags. Pflichten, die ihrer Natur nach fortwirken, insbesondere Vertraulichkeits- und Löschpflichten, bleiben bis zu ihrer Erfüllung bestehen.

Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an technisch erforderliche Unterauftragnehmer, Abgleichen, Einschränken, Löschen und Vernichten, soweit dies zur technischen Bereitstellung des Loyalty-Systems erforderlich ist.

• Bereitstellung digitaler Stempelkarten und öffentlicher Loyalty-Seiten
• Verwaltung von Kartenkennungen, Stempelständen und Prämienstatus
• Verarbeitung und Protokollierung von Stempel- und Einlösevorgängen
• Bereitstellung von Mitarbeiter- und Händlerzugängen
• QR-/NFC-Weiterleitung und technische Kartenidentifikation
• Erzeugung, Ausgabe und Aktualisierung von Apple-Wallet- und Google-Wallet-Pässen
• Hosting, Datenbankbetrieb, Backup, Monitoring, Fehleranalyse und Support
• Missbrauchs-, Sicherheits- und Betrugsprävention im Rahmen der Plattformfunktion

• Endkunden und Nutzer der digitalen Stempelkarten
• Beschäftigte, Mitarbeiter und sonstige berechtigte Nutzer des Verantwortlichen
• Ansprechpartner des Verantwortlichen, soweit deren Daten im Auftrag verarbeitet werden

• Pseudonyme bzw. zufällige Kartenkennungen und Tokens
• Stempelstand, Prämienstatus und Loyalty-Programmdaten
• Transaktionsdaten zu Stempeln und Prämieneinlösungen
• Zeit-, Standort- und Unternehmenszuordnungen
• Namen, geschäftliche E-Mail-Adressen und Benutzernamen der Mitarbeiter und berechtigten Nutzer
• Mitarbeiterkennungen, Rollen und Berechtigungen
• Technische Nutzungs-, Sicherheits- und Protokolldaten, insbesondere IP-Adresse, Zeitstempel und Geräte-/Browserinformationen, soweit anfallend
• Wallet-bezogene technische Kennungen und Passinformationen, soweit für die Ausgabe und Aktualisierung erforderlich
• Support- und Fehlerdaten, soweit sie Daten des Verantwortlichen oder seiner Endkunden enthalten

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass solche Daten nicht in die Plattform eingegeben werden.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer darüber hinausgehenden Verarbeitung besteht.

(2) Die Weisungen ergeben sich zunächst aus Hauptvertrag, Leistungsbeschreibung, dieser Vereinbarung und den Einstellungen des Verantwortlichen im Dashboard. Einzelweisungen können in Textform erteilt werden.

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich und kann die Ausführung bis zur Bestätigung oder Änderung aussetzen.

Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen auf Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im erforderlichen Umfang Zugriff erhalten.

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und der Risiken angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses geltenden Maßnahmen ergeben sich aus der Anlage „Technische und organisatorische Maßnahmen (TOMs)“.

Der Auftragsverarbeiter darf TOMs weiterentwickeln oder durch gleichwertige bzw. wirksamere Maßnahmen ersetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Erfüllung seiner Pflichten, insbesondere bei Betroffenenrechten, Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden, soweit die Verarbeitung durch den Auftragsverarbeiter betroffen ist.

Gehen Anträge betroffener Personen beim Auftragsverarbeiter ein, die erkennbar Daten des Verantwortlichen betreffen, wird der Auftragsverarbeiter den Antrag grundsätzlich nicht eigenständig inhaltlich beantworten, sondern unverzüglich an den Verantwortlichen weiterleiten, soweit keine gesetzliche Pflicht zu einer eigenen Antwort besteht. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen Möglichkeiten bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit Daten des Verantwortlichen betroffen sind. Die Mitteilung enthält, soweit verfügbar, die zur Erfüllung der Pflichten nach Art. 33 und 34 DSGVO erforderlichen Informationen. Der Auftragsverarbeiter ergreift angemessene Maßnahmen zur Eindämmung und Behebung.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter, soweit diese für Hosting, Datenbank, E-Mail, Monitoring, Backup, Wallet-Anbindung oder sonstige technische Betriebsleistungen erforderlich sind. Die bei Vertragsschluss eingesetzten Unterauftragnehmer ergeben sich aus Anlage 2 und gelten als genehmigt.

(2) Der Auftragsverarbeiter führt eine aktuelle Liste der eingesetzten Unterauftragnehmer und informiert den Verantwortlichen über beabsichtigte wesentliche Änderungen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Mitteilung widersprechen. Können die Parteien keine zumutbare Lösung finden, kann die betroffene Leistung nach Maßgabe des Hauptvertrags beendet werden.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragnehmer vertraglich zu Datenschutzpflichten, die den Anforderungen des Art. 28 DSGVO entsprechen.

Verarbeitungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Der Auftragsverarbeiter stellt insbesondere sicher, dass ein Angemessenheitsbeschluss, geeignete Garantien oder eine andere zulässige Übermittlungsgrundlage besteht und erforderlichenfalls ergänzende Maßnahmen getroffen werden.

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.

(2) Kontrollen und Audits sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung von Betriebs- und Geschäftsgeheimnissen durchzuführen. Vor-Ort-Kontrollen sind auf das erforderliche Maß zu beschränken und können durch geeignete Nachweise, Zertifikate, Prüfberichte oder Remote-Audits ersetzt werden, soweit diese einen gleichwertigen Nachweis ermöglichen.

Nach Abschluss der vertraglichen Leistungen löscht oder gibt der Auftragsverarbeiter personenbezogene Daten nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Daten in Sicherungskopien werden im Rahmen des regulären Backup-Zyklus überschrieben oder gelöscht und bis dahin gegen produktive Nutzung gesperrt. Gesetzlich aufzubewahrende Daten werden von sonstigen Daten getrennt und nur für den gesetzlichen Zweck weiterverarbeitet.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Rechtsgrundlagen, Informationspflichten, Festlegung zulässiger Zwecke, Datenminimierung und die Rechtmäßigkeit seiner Weisungen verantwortlich.

Änderungen und Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform, soweit nicht gesetzlich eine strengere Form erforderlich ist. Im Übrigen gelten die Bestimmungen des Hauptvertrags.

Die jeweils aktuelle Liste der für Majestic-Webs Loyalty eingesetzten Unterauftragnehmer wird dem Verantwortlichen vor Beginn der produktiven Verarbeitung bereitgestellt und während der Vertragslaufzeit in aktueller Fassung elektronisch zugänglich gemacht.

Zum Stand dieser Vereinbarung werden folgende Unterauftragnehmer eingesetzt:

Soweit diese Unterauftragnehmer Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-U.S. Data Privacy Framework, soweit der jeweilige Unterauftragnehmer hiernach zertifiziert ist, und im Übrigen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission.

Apple (Apple Distribution International Ltd.) und Google (Google Ireland Limited) verarbeiten Daten im Zusammenhang mit Apple Wallet bzw. Google Wallet in eigener datenschutzrechtlicher Verantwortlichkeit und sind keine Unterauftragnehmer im Sinne dieser Vereinbarung.

Die technischen und organisatorischen Maßnahmen ergeben sich aus dem gesonderten Dokument „Technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO – Majestic-Webs Loyalty“ in der bei Vertragsschluss geltenden Fassung. Es ist Bestandteil dieser Vereinbarung.

Verantwortlicher

Unternehmen:

Name/Funktion:

Ort, Datum:

Unterschrift:

Auftragsverarbeiter

Majestic-Webs GbRBreitenfelderstraße 28, 20251 Hamburg, DeutschlandVertreten durch: Lajos Theodoridis und Jonas Thomsen, gemeinsam vertretungsberechtigt

Ort, Datum:

Unterschrift Lajos Theodoridis:

Unterschrift Jonas Thomsen: