AVV-Vorlage

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch uns im Rahmen der Leistungen aus dem Hauptvertrag Nr. Nr. des Hauptvertrags („Projektname“)sowie aus der Betreuungsvereinbarung (Retainer) ab. Die Leistungen sind im Hauptvertrag beschrieben. Kurzbeschreibung der Leistungen mit Datenbezug: Kurzbeschreibung der Leistungen mit Datenbezug

(2) Wir erhalten im Rahmen des Auftrags Zugriff auf folgende Systeme, Konten und Datenbestände, die Ihnen gehören oder von Ihnen betrieben werden:

• System oder DienstEntfernen
• + Eintrag

(3) Dieser Vertrag erfasst auch Einrichtungs-, Test-, Wartungs-, Fehlerbehebungs- und Supporttätigkeiten, einschließlich Fernzugriffen, bei denen ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags einschließlich etwaiger Betreuungsvereinbarungen. Die Pflichten aus diesem Vertrag gelten darüber hinaus fort, bis wir alle personenbezogenen Daten aus dem Auftrag nach § 11 gelöscht oder zurückgegeben haben.

(1) Art der Verarbeitung: Je nach Leistung verarbeiten wir die Daten insbesondere durch Erheben und Erfassen über Schnittstellen (APIs), Speichern, Ordnen, Abfragen und Auslesen, Verwenden in Automationen, Workflows und KI-Agenten, Abgleichen und Verknüpfen, Verändern (zum Beispiel Bereinigung, Strukturierung, Migration), Übermitteln zwischen den in § 1 Abs. 2 genannten Systemen, Einschränken und Löschen.Darüber hinaus:

(2) Zweck der Verarbeitung ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen. Dazu gehören insbesondere Konzeption, Entwicklung, Einrichtung, Test, Betrieb, Wartung und Fehlerbehebung von Software, Automationen und KI-Workflows, die Anbindung und Pflege Ihrer Systeme (zum Beispiel CRM) sowie die Automatisierung der Erstellung und Veröffentlichung von Inhalten auf Ihren Social-Media-Konten über die offiziellen Schnittstellen der Plattformen.Darüber hinaus:

(3) Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung (☒ = zutreffend, ☐ = nicht zutreffend):

• ☐ Kontakt- und Stammdaten: Name, Anrede, Titel, Unternehmen, Funktion, Anschrift, E-Mail-Adresse, Telefonnummer
• ☐ CRM- und Leaddaten: Herkunft und Quelle von Leads, Lead- und Kontaktstatus, Interessen, Listen- und Segmentzugehörigkeit, Kommunikations- und Aktivitätsverlauf (zum Beispiel Formulareinträge, E-Mail-Interaktionen), Notizen, Einwilligungs- und Abmeldestatus
• ☐ Kunden-, Bestell- und Ticketkäuferdaten: Kundennummern, gekaufte Tickets und Produkte, Veranstaltungen, Bestell- und Kaufdaten, Preise, Rechnungs- und Zahlungsstatus
• ☐ Social-Media-Inhalte und Interaktionsdaten: Beiträge, Bilder, Videos und Texte einschließlich darin abgebildeter oder genannter Personen, Profilnamen und Nutzerkennungen, Kommentare, Direktnachrichten, Erwähnungen, Reichweiten- und Interaktionsstatistiken
• ☐ Nutzungs-, Protokoll- und Metadaten: IP-Adressen, Zeitstempel, Geräte- und Browserinformationen, Zugriffs-, Fehler- und Ereignisprotokolle, Ausführungsprotokolle von Workflows und KI-Agenten
• ☐ KI-Ein- und Ausgabedaten: Prompts, übergebene Dokumente und Datensätze sowie generierte Texte, Bilder und Videos, soweit sie personenbezogene Daten enthalten
• ☐ Benutzer- und Berechtigungsdaten: Benutzerkonten, Rollen und Berechtigungen von Nutzern Ihrer Systeme
• Weitere DatenkategorieEntfernen
• + Eintrag

(4) Es werden besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitetNeinBesondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO sowie Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO sind nicht Gegenstand der Verarbeitung. Sollen solche Daten künftig verarbeitet werden, teilen Sie uns dies vorher in Textform mit; die Parteien passen diesen Vertrag dann an.

(5) Von der Verarbeitung betroffen sind folgende Kategorien von Personen (☒ = zutreffend, ☐ = nicht zutreffend):

• ☐ Interessenten und Leads
• ☐ Kunden, Ticketkäufer und Veranstaltungsteilnehmer
• ☐ Ihre Beschäftigten und sonstigen Mitarbeitenden
• ☐ Nutzer Ihrer Social-Media-Kanäle (zum Beispiel Follower, Kommentierende, Absender von Nachrichten) sowie in Inhalten abgebildete oder genannte Personen
• ☐ Nutzer Ihrer Websites, Apps und Plattformen
• ☐ Geschäftspartner, Lieferanten und Dienstleister sowie deren Ansprechpartner
• Weitere Gruppe betroffener PersonenEntfernen
• + Eintrag

(6) Wir verarbeiten die Daten selbst ausschließlich in einem Mitgliedstaat der Europäischen Union oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Eine Verarbeitung außerhalb dieses Gebiets, auch durch Unterauftragsverarbeiter, ist nur unter den Voraussetzungen des § 9 zulässig.

(1) Wir verarbeiten die personenbezogenen Daten nur auf Ihre dokumentierte Weisung, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation (Art. 28 Abs. 3 Satz 2 lit. a, Art. 29 DSGVO). Ihre Weisungen sind zunächst im Hauptvertrag und in diesem Vertrag festgelegt. Sie können sie durch Einzelweisungen ändern, ergänzen oder ersetzen. Sind wir nach dem Recht der Union oder eines Mitgliedstaats, dem wir unterliegen, zu einer anderen Verarbeitung verpflichtet, teilen wir Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen erteilen Sie in Textform (§ 126b BGB), zum Beispiel per E-Mail. Mündliche Weisungen bestätigen Sie unverzüglich in Textform. Wir dokumentieren alle Einzelweisungen.

(3) Weisungsberechtigt sind auf Ihrer Seite:

• Name, Funktion, E-MailEntfernen
• + Eintrag

Weisungsempfänger auf unserer Seite ist Karahan Osman, hello@epplab-studio.de. Änderungen der weisungsberechtigten Personen oder des Weisungsempfängers teilen sich die Parteien unverzüglich in Textform mit.

(4) Sind wir der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informieren wir Sie unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Wir sind berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis Sie sie in Textform bestätigt oder geändert haben.

(5) Weisungen, die über den im Hauptvertrag vereinbarten Leistungsumfang hinausgehen, behandeln die Parteien als Leistungsänderung nach den Regeln des Hauptvertrags (Change Request).

(6) Wir verwenden die Daten nicht für eigene Zwecke. Kopien oder Duplikate erstellen wir nur, soweit dies zur ordnungsgemäßen Leistungserbringung technisch erforderlich ist oder Sie es angewiesen haben. Für Entwicklung und Tests verwenden wir, soweit möglich, Testdaten oder anonymisierte Daten; echte personenbezogene Daten verwenden wir dafür nur, soweit Sie dies angewiesen haben oder es für die Fehlerbehebung im Einzelfall erforderlich ist.

(1) EppLab Studio ist ein Einzelunternehmen. Die Verarbeitung führt der Inhaber, Karahan Osman, persönlich durch. Er ist zur Vertraulichkeit verpflichtet und verarbeitet die Daten ausschließlich nach Ihren Weisungen (Art. 28 Abs. 3 Satz 2 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Setzen wir künftig weitere Personen ein, die Zugang zu den Daten erhalten sollen, verpflichten wir diese vor Aufnahme der Tätigkeit schriftlich oder in Textform zur Vertraulichkeit, weisen sie in die maßgeblichen Datenschutzvorschriften ein und gewähren ihnen Zugang nur, soweit er für ihre Aufgabe erforderlich ist. Sind diese Personen nicht bei uns beschäftigt, gelten sie als Unterauftragsverarbeiter; es gilt § 8.

(3) Zugangsdaten zu Ihren Systemen, die Sie uns überlassen, behandeln wir vertraulich und verwahren sie nach Anlage 1.

(4) Die Pflicht zur Vertraulichkeit besteht nach Beendigung dieses Vertrags fort.

(1) Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c DSGVO). Sie sind in Anlage 1 beschrieben, die Bestandteil dieses Vertrags ist.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Wir dürfen sie durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir und teilen sie Ihnen in Textform mit.

(3) Für die Sicherheit der Systeme, die Sie selbst betreiben oder bei Dritten beauftragt haben (zum Beispiel CRM, Automationsplattform, Social-Media-Konten, eigene Server oder KI-Konten), sind Sie verantwortlich. Für unsere Tätigkeit in diesen Systemen gelten die Pflichten aus diesem Vertrag.

(4) Wir führen ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Tätigkeiten der Verarbeitung nach Art. 30 Abs. 2 DSGVO und stellen es der Aufsichtsbehörde auf Anfrage zur Verfügung (Art. 30 Abs. 4 DSGVO).

(1) Wir unterstützen Sie angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Personen zu beantworten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO), insbesondere auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

(2) Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen unverzüglich an Sie weiter. Wir beantworten solche Anliegen nicht selbst, es sei denn, Sie weisen uns dazu an.

(3) Soweit die Daten in Ihren Systemen liegen, können Sie solche Anträge in der Regel selbst erfüllen. Auf Ihre Weisung ermitteln wir, ob und wo Daten der betroffenen Person in den von uns eingerichteten Automationen, Workflows, Protokollen oder Arbeitskopien verarbeitet werden, und berichtigen, schränken ein oder löschen diese Daten.

(1) Wir unterstützen Sie unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung Ihrer Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Das betrifft die Sicherheit der Verarbeitung, die Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzungen sowie die vorherige Konsultation der Aufsichtsbehörde.

(2) Wird uns eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) bekannt, die Daten aus dem Auftrag betrifft, melden wir sie Ihnen unverzüglich (Art. 33 Abs. 2 DSGVO), nach Möglichkeit innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung erfolgt in Textform an Ansprechperson für Datenschutzmeldungen, E-Mail für Datenschutzmeldungen. Bei Dringlichkeit kündigen wir sie zusätzlich telefonisch an.

(3) Die Meldung enthält, soweit uns bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: eine Beschreibung der Art der Verletzung, möglichst mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, einen Ansprechpartner, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Angaben, die wir noch nicht machen können, liefern wir unverzüglich schrittweise nach (Art. 33 Abs. 4 DSGVO).

(4) Wir informieren Sie ebenfalls unverzüglich über

• den begründeten Verdacht einer solchen Verletzung,
• schwerwiegende Störungen des Betriebsablaufs, die Daten aus dem Auftrag gefährden,
• Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie die Verarbeitung im Auftrag betreffen, und
• Pfändungen, Beschlagnahmen oder sonstige Maßnahmen Dritter, die Daten aus dem Auftrag gefährden.

(5) Wir ergreifen in Abstimmung mit Ihnen unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nehmen Sie als Verantwortlicher vor; wir geben solche Erklärungen nur auf Ihre Weisung ab.

(1) Sie erteilen uns hiermit die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) in Anspruch zu nehmen (Art. 28 Abs. 2 Satz 1 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt; ihr Einsatz gilt mit Abschluss dieses Vertrags als genehmigt.

(2) Wir informieren Sie über jede beabsichtigte Hinzuziehung eines neuen oder die Ersetzung eines bisherigen Unterauftragsverarbeiters mindestens 14 Tage vorher in Textform (Art. 28 Abs. 2 Satz 2 DSGVO). Die Mitteilung nennt Firma und Anschrift des Unterauftragsverarbeiters, die übertragenen Tätigkeiten, den Ort der Verarbeitung und, bei einer Verarbeitung außerhalb der EU oder des EWR, die Grundlage der Übermittlung nach § 9.

(3) Sie können innerhalb der in Absatz 2 genannten Frist in Textform Einspruch gegen die Änderung erheben. Der Einspruch soll begründet werden. Erheben Sie Einspruch, unterbleibt die Änderung, soweit sie Daten aus Ihrem Auftrag betrifft, bis die Parteien eine Lösung gefunden haben. Ist uns die Leistungserbringung ohne die Änderung nicht oder nur mit unverhältnismäßigem Aufwand möglich, können beide Parteien die betroffenen Leistungen mit einer Frist von einem Monat in Textform kündigen; bereits erbrachte Leistungen sind zu vergüten. Erheben Sie innerhalb der Frist keinen Einspruch, gilt die Änderung als genehmigt. Auf diese Folge weisen wir Sie in jeder Mitteilung nach Absatz 2 gesondert hin.

(4) Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf die Datenschutzpflichten aus diesem Vertrag, insbesondere auf hinreichende Garantien dafür, dass die technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen der DSGVO entspricht (Art. 28 Abs. 4 Satz 1 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haften wir Ihnen gegenüber für die Einhaltung seiner Pflichten (Art. 28 Abs. 4 Satz 2 DSGVO).

(5) Auf Anfrage stellen wir Ihnen die Vertragsunterlagen zur Auftragsverarbeitung unserer Unterauftragsverarbeiter, soweit uns zugänglich, sowie deren veröffentlichte Listen weiterer Unterauftragsverarbeiter zur Verfügung. Vertrauliche Geschäftsbedingungen dürfen wir dabei schwärzen.

(6) Keine Unterauftragsverarbeitung im Sinne dieses Vertrags sind

• Nebenleistungen Dritter ohne Zugriff auf Daten aus dem Auftrag, zum Beispiel Telekommunikations- und Postdienstleistungen, sowie
• Dienste und Plattformen, die Sie selbst beauftragt haben oder in Ihrem Namen betreiben (zum Beispiel CRM, Automationsplattform, Server, KI-Konten, Social-Media-Plattformen). Für die Verträge mit diesen Anbietern, einschließlich etwaiger Verträge zur Auftragsverarbeitung, sind Sie verantwortlich. Unsere Tätigkeit in diesen Systemen unterliegt diesem Vertrag.

(1) Eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation erfolgt nur auf Ihre dokumentierte Weisung (Art. 28 Abs. 3 Satz 2 lit. a DSGVO) und nur, wenn die Bedingungen der Art. 44 bis 49 DSGVO erfüllt sind. Mit der Genehmigung der Unterauftragsverarbeiter nach § 8 und Anlage 2 weisen Sie uns an, die dort ausgewiesenen Übermittlungen vorzunehmen.

(2) Übermittlungen stützen sich auf einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO, für Empfänger in den USA insbesondere auf den Durchführungsbeschluss (EU) 2023/1795 zum EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework), soweit der Empfänger danach zertifiziert ist, oder auf geeignete Garantien nach Art. 46 DSGVO, insbesondere die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, gegebenenfalls ergänzt um zusätzliche Maßnahmen. Die jeweilige Grundlage ist in Anlage 2 angegeben.

(3) Entfällt die Grundlage einer Übermittlung, etwa weil ein Angemessenheitsbeschluss aufgehoben oder für ungültig erklärt wird oder die Zertifizierung eines Empfängers endet, informieren wir Sie unverzüglich. Wir stellen die Übermittlung dann auf eine andere zulässige Grundlage um, setzen sie aus oder ersetzen den Unterauftragsverarbeiter nach § 8.

(1) Wir stellen Ihnen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h DSGVO), insbesondere eine schriftliche Selbstauskunft, die aktuelle Fassung der Anlage 1, die aktuelle Liste der Unterauftragsverarbeiter sowie, soweit vorhanden, Zertifikate und Prüfberichte unserer Unterauftragsverarbeiter.

(2) Wir ermöglichen Überprüfungen einschließlich Inspektionen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, und tragen dazu bei. Die Parteien führen Überprüfungen vorrangig anhand von Unterlagen und Auskünften nach Absatz 1 durch. Reichen diese nach Ihrer begründeten Einschätzung nicht aus, ist eine Inspektion vor Ort möglich.

(3) Inspektionen vor Ort kündigen Sie mindestens 10 Werktage vorher in Textform an. Sie finden während unserer üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs statt. Sie sind auf die Verarbeitung im Auftrag beschränkt und berühren Daten anderer Auftraggeber nicht. Inspektionen finden in der Regel höchstens einmal je Kalenderjahr statt; weitere Inspektionen sind zulässig, wenn konkrete Anhaltspunkte für einen Verstoß gegen diesen Vertrag oder gegen Datenschutzvorschriften vorliegen, nach einer Verletzung des Schutzes personenbezogener Daten oder wenn eine Aufsichtsbehörde dies verlangt.

(4) Ein von Ihnen beauftragter Prüfer muss zur Verschwiegenheit verpflichtet sein und darf nicht in einem Wettbewerbsverhältnis zu uns stehen.

(5) Wir arbeiten mit der zuständigen Aufsichtsbehörde zusammen (Art. 31 DSGVO) und dulden deren Kontrollen, soweit sie die Verarbeitung im Auftrag betreffen.

(6) Für Unterstützungsleistungen nach §§ 6, 7 und 10, die über den gewöhnlichen Umfang hinausgehen und nicht auf einem Verstoß von uns gegen diesen Vertrag oder gegen Datenschutzvorschriften beruhen, können wir eine Vergütung nach dem im Hauptvertrag vereinbarten Stundensatz von 130,00 € netto verlangen, abgerechnet im 15-Minuten-Takt. Wir kündigen Ihnen den voraussichtlichen Aufwand vorher in Textform an.

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löschen wir nach Ihrer Wahl alle personenbezogenen Daten aus dem Auftrag oder geben sie Ihnen zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Ihre Wahl teilen Sie uns in Textform mit.

(2) Wir setzen Ihre Wahl innerhalb von 30 Tagen nach Ende der Leistungen um. Teilen Sie uns Ihre Wahl nicht mit, fordern wir Sie dazu in Textform auf; geht innerhalb von 14 Tagen nach der Aufforderung keine Wahl ein, löschen wir die Daten. Auf diese Folge weisen wir Sie in der Aufforderung gesondert hin.

(3) Die Löschung umfasst insbesondere lokale Arbeitskopien, Exporte, Testdaten, Protokolle und Zugangsdaten bei uns sowie Daten bei unseren Unterauftragsverarbeitern. Daten, die in Ihren eigenen Systemen und Repositories liegen, verbleiben dort. Wir teilen Ihnen mit, welche Benutzerkonten, Schlüssel und Zugangstoken wir in Ihren Systemen genutzt haben, damit Sie diese deaktivieren können.

(4) Die Löschung bestätigen wir Ihnen auf Anfrage in Textform.

(5) Unterlagen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, insbesondere dieser Vertrag und die Dokumentation von Weisungen, bewahren wir entsprechend den gesetzlichen Aufbewahrungsfristen auf.

(1) Sie sind für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage (Art. 6 und gegebenenfalls Art. 9 DSGVO) und die Information der betroffenen Personen (Art. 13, 14 DSGVO). Die Rechte der betroffenen Personen wahren Sie gegenüber diesen selbst.

(2) Sie räumen uns Zugänge zu Ihren Systemen nur in dem für die Leistung erforderlichen Umfang ein, nach Möglichkeit über persönliche Benutzerkonten mit beschränkten Rechten, und entziehen diese Zugänge nach Ende der Leistungen.

(3) Sie schließen mit den Anbietern der Systeme, die Sie selbst beauftragt haben, die erforderlichen Verträge einschließlich etwaiger Verträge zur Auftragsverarbeitung ab.

(4) Sie informieren uns unverzüglich, wenn Sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung im Auftrag feststellen.

(5) Ihre Rechte, Weisungen zu erteilen (§ 3) und die Einhaltung dieses Vertrags zu überprüfen (§ 10), bleiben unberührt.

(1) Für den Ersatz von Schäden, die eine Person wegen eines Verstoßes gegen die DSGVO erleidet, gilt Art. 82 DSGVO. Danach haften wir als Auftragsverarbeiter nur, wenn wir unseren speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen sind oder unter Nichtbeachtung oder gegen Ihre rechtmäßig erteilten Weisungen gehandelt haben (Art. 82 Abs. 2 Satz 2 DSGVO). Eine Partei ist von der Haftung befreit, wenn sie nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist (Art. 82 Abs. 3 DSGVO).

(2) Hat eine Partei einer betroffenen Person vollständigen Schadenersatz geleistet, kann sie von der anderen Partei den Teil des Schadenersatzes zurückfordern, der deren Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO).

(3) Im Übrigen gelten für die Haftung zwischen den Parteien die Haftungsregelungen des Hauptvertrags. Ansprüche betroffener Personen aus Art. 82 DSGVO werden dadurch nicht beschränkt.

(1) Dieser Vertrag tritt mit Unterzeichnung durch beide Parteien in Kraft. Er läuft so lange wie der Hauptvertrag einschließlich etwaiger Betreuungsvereinbarungen und endet mit diesem, ohne dass es einer Kündigung bedarf. § 1 Abs. 4 bleibt unberührt.

(2) Das Recht jeder Partei zur Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für Sie insbesondere vor, wenn wir schwerwiegend gegen diesen Vertrag oder gegen Datenschutzvorschriften verstoßen, eine rechtmäßige Weisung nicht ausführen oder eine Kontrolle nach § 10 vertragswidrig verweigern. In diesem Fall können Sie auch den Hauptvertrag ganz oder teilweise aus wichtigem Grund kündigen, soweit Ihnen dessen Fortsetzung ohne diesen Vertrag nicht zumutbar ist.

(3) Kündigungen bedürfen der Textform.

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie den Schutz personenbezogener Daten betreffen.

(2) Dieser Vertrag wird in elektronischem Format abgeschlossen (Art. 28 Abs. 9 DSGVO). Änderungen und Ergänzungen, einschließlich der Anlagen, bedürfen mindestens der Textform.

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt die Regelung des Hauptvertrags.

(5) Bestandteile dieses Vertrags sind:

• Anlage 1: Technische und organisatorische Maßnahmen
• Anlage 2: Unterauftragsverarbeiter

Für den Auftragsverarbeiter

Ort, Datum

______________________________

Karahan Osman · Founder & CTO, EppLab Studio

Für den Verantwortlichen

Ort, Datum: ______________________________

______________________________

Vertreten durch (Name, Funktion), für Firma