Vertrag zur Auftragsverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen dem Kunden, vertreten durch die in seinem Kundenkonto hinterlegten vertretungsberechtigten Personen – nachfolgend „Verantwortlicher“ oder „Kunde“ – und Trustmarkt GmbH, Südwestpark 67, 90449 Nürnberg, HRB 44528, vertreten durch Julius Maskow – nachfolgend „Auftragsverarbeiter“ oder „Trustmarkt“.

Präambel

Trustmarkt betreibt eine Online-Plattform, über die Unternehmen ihr Profil darstellen, Bewertungen erhalten und mit Interessenten in Kontakt treten. Bei einem Teil dieser Funktionen erhebt und speichert Trustmarkt personenbezogene Daten Dritter ausschließlich für Zwecke des Kunden. Insoweit handelt Trustmarkt als Auftragsverarbeiter.

Dieser Vertrag ist funktionsübergreifend formuliert: Er gilt für alle in Anlage 1 aufgeführten Funktionen der Plattform sowie für künftige Funktionen gleicher Art, sobald der Kunde sie nutzt. Anlage 1 wird bei Erweiterungen nach dem Verfahren in § 12 Abs. 3 fortgeschrieben.

Nicht Gegenstand dieses Vertrags sind Verarbeitungen, bei denen Trustmarkt eigener Verantwortlicher ist – insbesondere Nutzerkonten, Bewertungen, Verifizierung und Betrugserkennung, Vertrags- und Abrechnungsdaten sowie eigene Marketingmaßnahmen von Trustmarkt gegenüber Nutzern der Plattform. Hierfür gilt die Datenschutzerklärung von Trustmarkt.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch Trustmarkt im Auftrag des Kunden im Rahmen der in Anlage 1 beschriebenen Funktionen.

2. Der Vertrag beginnt mit seiner Annahme durch den Kunden und läuft, solange der Kunde die betroffenen Funktionen nutzt, längstens bis zur Beendigung des zugrunde liegenden Nutzungsvertrags.

3. Die Pflichten aus § 10 (Löschung und Rückgabe) gelten über das Vertragsende hinaus fort.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Art, Zweck, Datenkategorien und Kategorien betroffener Personen ergeben sich aus Anlage 1.

2. Die Verarbeitung umfasst insbesondere das Erheben über Formulare der Plattform, das Speichern in Datenbank und Objektspeicher, das Bereitstellen im Kundenbereich und über Schnittstellen, den Versand von Nachrichten an betroffene Personen im Namen des Kunden, das Exportieren auf Anforderung des Kunden, die Übermittlung an vom Kunden benannte Zielsysteme sowie das Löschen.

3. Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt (Region Frankfurt am Main). Eine Übermittlung in Drittländer erfolgt nur im Rahmen der in Anlage 3 genannten Unterauftragsverhältnisse und nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO.

§ 3 Weisungsrecht

1. Trustmarkt verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden.

2. Als Weisung gelten neben ausdrücklichen Einzelweisungen in Textform auch die Einstellungen, die der Kunde selbst im Kundenbereich der Plattform vornimmt – insbesondere die Auswahl der abgefragten Formularfelder sowie die Definition eigener, frei konfigurierbarer Formularfelder, das Aktivieren oder Deaktivieren von Funktionen, das Löschen einzelner Datensätze, der Export von Daten sowie die Einrichtung von Schnittstellen zu eigenen Systemen des Kunden.

3. Weisungsbefugt sind die beim Kunden als Mitarbeiter, Inhaber oder Administrator hinterlegten Personen, jeweils im Umfang ihrer Berechtigungen im Kundenbereich. Der Kunde stellt sicher, dass nur vertretungsbefugte Personen diese Rollen innehaben.

4. Hält Trustmarkt eine Weisung für rechtswidrig, teilt Trustmarkt dies unverzüglich mit und darf die Ausführung bis zur Bestätigung durch den Kunden aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

1. Trustmarkt verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit und unterweist sie regelmäßig zum Datenschutz.

2. Trustmarkt trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und hält sie auf dem Stand der Technik. Änderungen dürfen das Schutzniveau nicht unterschreiten.

3. Trustmarkt unterstützt den Kunden im angemessenen Umfang bei der Erfüllung von Betroffenenrechten, bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden.

4. Wendet sich eine betroffene Person unmittelbar an Trustmarkt, leitet Trustmarkt das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst.

5. Trustmarkt nimmt auf den Inhalt der vom Kunden definierten Formularfelder keinen Einfluss und prüft die dort erhobenen Angaben nicht inhaltlich. Das Recht zur Sperrung nach § 5 Abs. 4 bleibt unberührt.

§ 5 Pflichten des Verantwortlichen

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage und für die Erfüllung der Informationspflichten gegenüber den betroffenen Personen.

2. Der Kunde verarbeitet über die Plattform keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO. Dies gilt für sämtliche Eingabemöglichkeiten, insbesondere für vordefinierte und frei konfigurierbare Formularfelder, Freitextfelder sowie hochgeladene Inhalte.

3. Frei konfigurierbare Formularfelder. Soweit Trustmarkt dem Kunden die Möglichkeit bereitstellt, eigene Formularfelder zu definieren, gilt ergänzend:

• a. Der Kunde bestimmt Bezeichnung, Typ und Pflichtcharakter dieser Felder eigenverantwortlich. Trustmarkt kennt den Inhalt dieser Felder nicht im Voraus und schuldet keine inhaltliche Prüfung.
• b. Der Kunde erhebt über diese Felder nur Angaben, die für den von ihm verfolgten Zweck erforderlich sind (Art. 5 Abs. 1 lit. b und c DSGVO).
• c. Der Kunde weist in seinen Datenschutzhinweisen auf die über diese Felder erhobenen Angaben hin.
• d. Die Zusicherung aus Absatz 2 gilt für diese Felder uneingeschränkt. Der Kunde fragt insbesondere keine Gesundheitsdaten, keine Angaben zu ethnischer Herkunft, politischer Meinung, religiöser oder weltanschaulicher Überzeugung, Gewerkschaftszugehörigkeit, Sexualleben oder sexueller Orientierung und keine biometrischen oder genetischen Daten ab.
• e. Die über diese Felder erhobenen Angaben unterliegen denselben Schutzmaßnahmen (Anlage 2) und denselben Löschfristen (Anlage 4) wie die übrigen Daten aus derselben Verarbeitung.

4. Trustmarkt ist berechtigt, Formularfelder und Inhalte zu sperren, die erkennbar gegen Absatz 2 oder Absatz 3 verstoßen, und den Kunden hierüber unverzüglich zu informieren.

5. Der Kunde ist verantwortlich für Zielsysteme, an die er Daten über Schnittstellen weiterleiten lässt, einschließlich der dortigen Rechtmäßigkeit der weiteren Verarbeitung.

6. Der Kunde informiert Trustmarkt unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 6 Unterauftragsverhältnisse

1. Der Kunde erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter.

2. Trustmarkt informiert den Kunden mindestens 30 Tage vor der Beauftragung eines weiteren oder dem Wechsel eines bestehenden Unterauftragsverarbeiters in Textform. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich der betroffenen Funktion zu.

3. Trustmarkt schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem mindestens die Pflichten dieses Vertrags auferlegt.

4. Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Reinigung oder Bewachung.

§ 7 Technische und organisatorische Maßnahmen

Es gilt Anlage 2. Trustmarkt überprüft die Maßnahmen regelmäßig und passt sie bei Bedarf an.

§ 8 Kontrollrechte

1. Trustmarkt weist die Einhaltung der Pflichten aus diesem Vertrag vorrangig durch aktuelle Selbstauskünfte sowie durch Nachweise und Zertifizierungen der eingesetzten Unterauftragsverarbeiter nach.

2. Reichen diese Nachweise im Einzelfall nicht aus, kann der Kunde nach rechtzeitiger Ankündigung von mindestens vier Wochen während der üblichen Geschäftszeiten eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen, der kein Wettbewerber von Trustmarkt ist. Prüfungen sind auf eine je Kalenderjahr begrenzt, sofern kein besonderer Anlass besteht.

3. Der Aufwand einer Prüfung nach Absatz 2 wird dem Kunden zu den jeweils gültigen Sätzen in Rechnung gestellt, sofern die Prüfung keinen wesentlichen Verstoß von Trustmarkt zutage fördert.

§ 9 Verletzung des Schutzes personenbezogener Daten

1. Trustmarkt meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform an die vom Kunden hinterlegte Kontaktadresse.

2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.

3. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt der Kunde vor. Trustmarkt unterstützt ihn dabei.

§ 10 Löschung und Rückgabe

1. Trustmarkt löscht die im Auftrag verarbeiteten Daten nach den Fristen der Anlage 4 sowie unverzüglich auf Weisung des Kunden, spätestens innerhalb von 30 Tagen.

2. Der Kunde kann die Daten jederzeit über die Exportfunktion der Plattform in einem gängigen Format abrufen; damit ist die Rückgabe erfüllt.

3. Nach Beendigung des Nutzungsvertrags stehen dem Kunden die Daten für 30 Tage ausschließlich zum Export zur Verfügung. Danach löscht Trustmarkt sie vollständig.

4. Daten in Sicherungskopien werden im Zuge der regulären Rotation gelöscht, spätestens 35 Tage nach der Löschung im Produktivsystem. Bis dahin bleiben sie gegen Zugriff geschützt und werden nicht verarbeitet.

5. Nachweise über die Annahme dieses Vertrags sowie gesetzlich aufbewahrungspflichtige Unterlagen bleiben von der Löschung ausgenommen und werden bis zum Ablauf der jeweiligen Frist gesperrt aufbewahrt.

§ 11 Haftung

Es gilt die Haftungsregelung des zugrunde liegenden Nutzungsvertrags. Art. 82 DSGVO bleibt unberührt.

§ 12 Schlussbestimmungen

1. Dieser Vertrag geht den Allgemeinen Geschäftsbedingungen vor, soweit sich Widersprüche zum Datenschutz ergeben.

2. Der Vertrag wird elektronisch angenommen – durch die Annahme der Allgemeinen Geschäftsbedingungen im Rahmen der Registrierung bzw. Buchung oder durch ausdrückliche Bestätigung im Kundenbereich der Plattform. Trustmarkt protokolliert Zeitpunkt, annehmende Person und die angenommene Fassung. Das Textformerfordernis ist damit gewahrt.

3. Trustmarkt kann diesen Vertrag und seine Anlagen anpassen, wenn dies zur Anpassung an Rechtsänderungen, an neue Funktionen oder an geänderte Unterauftragsverhältnisse erforderlich ist. Die neue Fassung wird dem Kunden mit einer Frist von 30 Tagen angezeigt; sie gilt als angenommen, wenn der Kunde die betroffenen Funktionen nach Ablauf der Frist weiter nutzt und nicht widerspricht. Wesentliche Änderungen werden dem Kunden erneut zur ausdrücklichen Annahme vorgelegt.

4. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

5. Es gilt deutsches Recht. Gerichtsstand ist Nürnberg, soweit zulässig.

Anlage 1 – Verarbeitungsübersicht

Diese Anlage beschreibt die Funktionen, bei denen Trustmarkt als Auftragsverarbeiter tätig wird. Sie gilt jeweils nur für Funktionen, die der Kunde tatsächlich nutzt.

1.1 Kontakt- und Interessentendaten aus Formularen des Kunden

• Zweck: Personen geben über Formulare, die der Kunde auf der Plattform bereitstellt, ihre Kontaktdaten an – um Inhalte des Kunden abzurufen (etwa Dateien, Videos oder Links) oder um den Kunden zu kontaktieren. Zweck ist die Kontaktanbahnung und Kontaktaufnahme durch den Kunden, einschließlich der Weiterleitung und Bereitstellung der Anfragen an ihn.
• Datenkategorien: stets E-Mail-Adresse, Vor- und Nachname; bei Kontaktanfragen zusätzlich Telefonnummer, Firmenname, Freitextnachricht und Bearbeitungsstand; nach eigener Definition des Kunden die Angaben aus frei konfigurierbaren Formularfeldern – Bezeichnung, Typ und Pflichtcharakter dieser Felder legt der Kunde fest, ihr Inhalt ist Trustmarkt nicht im Voraus bekannt, es gelten § 5 Abs. 2 und 3; technisch begleitend Zeitpunkt der Einwilligung, Bestätigungsstatus der E-Mail-Adresse und gegebenenfalls der Telefonnummer, Zeitpunkt und Umfang der Inhaltsabrufe sowie Herkunfts- und Kampagnenparameter der aufgerufenen Seite.
• Betroffene: Interessenten, anfragende Personen und potenzielle Kunden des Kunden.

1.2 Vom Kunden eingestellte Inhalte mit Personenbezug

• Zweck: Darstellung von Inhalten, die der Kunde selbst einstellt, insbesondere Referenzen und Erfolgsgeschichten sowie Angaben zu Ansprechpartnern und Verantwortlichen.
• Datenkategorien: Name und Kontaktdaten der genannten Personen, Firmenangaben, Bilder und Logos, sonstige vom Kunden eingestellte Angaben.
• Betroffene: Kunden, Ansprechpartner und Mitarbeiter des Kunden.

1.3 Künftige Funktionen

Nimmt Trustmarkt weitere Funktionen in Betrieb, bei denen personenbezogene Daten ausschließlich für Zwecke des Kunden verarbeitet werden, gilt dieser Vertrag entsprechend. Trustmarkt ergänzt Anlage 1 und zeigt die Ergänzung nach § 12 Abs. 3 an. Dies gilt ausdrücklich auch für die Erweiterung bestehender Funktionen um zusätzliche Eingabemöglichkeiten, insbesondere um frei konfigurierbare Formularfelder.

Anlage 2 – Technische und organisatorische Maßnahmen

2.1 Vertraulichkeit

• Zutrittskontrolle: Die Verarbeitung erfolgt ausschließlich in zertifizierten Rechenzentren des Hosting-Dienstleisters innerhalb der EU. Trustmarkt betreibt keine eigenen Server.
• Zugangskontrolle: Zugang zum Kundenbereich nur nach Authentifizierung. Passwörter werden ausschließlich als Hash nach dem Stand der Technik gespeichert. Zugriff über Schnittstellen nur mit widerrufbaren Zugriffstoken.
• Zugriffskontrolle: Rollen- und Rechtesystem. Jeder Zugriff auf Auftragsdaten wird einzeln berechtigt geprüft – Ansehen, Bearbeiten, Löschen und Exportieren getrennt.
• Trennungskontrolle: Jeder Datensatz ist einem Kunden fest zugeordnet; sämtliche Abfragen filtern zwingend auf diese Zuordnung.
• Pseudonymisierung: Identifikatoren werden nach außen ausschließlich in nicht zurückrechenbarer Form ausgegeben.

2.2 Integrität

• Weitergabekontrolle: Sämtliche Übertragungen ausschließlich verschlüsselt über TLS. Hochgeladene Dateien, die nicht zur öffentlichen Darstellung bestimmt sind, sind nicht öffentlich abrufbar; der Zugriff erfolgt nur über kurzlebige, signierte Adressen.
• Zugangsschutz für betroffene Personen: Zugangslinks zu Inhalten sind signiert und nur zeitlich begrenzt gültig. Danach ist eine erneute Anforderung über dieselbe E-Mail-Adresse erforderlich.
• Eingabekontrolle: Zugriffe auf Inhalte werden fortlaufend protokolliert. Die Annahme dieses Vertrags wird mit Kunde, annehmender Person, Zeitpunkt, IP-Adresse und Fassung revisionssicher festgehalten.
• Einwilligungsnachweis: Zu jedem Datensatz aus Anlage 1.1 wird der Zeitpunkt der Einwilligung gespeichert. Der Kunde kann je Inhalt ein Double-Opt-in-Verfahren aktivieren.

2.3 Verfügbarkeit und Belastbarkeit

• Verwaltete Infrastruktur mit automatisierten Sicherungs- und Wiederherstellungsverfahren. Für die produktive Datenbank werden kontinuierliche Sicherungen vorgehalten, die eine zeitpunktgenaue Wiederherstellung innerhalb der letzten 35 Tage ermöglichen. Ergänzend werden monatliche Wiederherstellungspunkte erstellt und für 12 Monate aufbewahrt.
• Persistente Dateien werden versioniert gespeichert. Überschriebene oder gelöschte Dateiversionen können grundsätzlich für 90 Tage wiederhergestellt werden; anschließend erfolgt eine automatisierte Löschung nicht mehr benötigter Vorversionen. Für ausschließlich temporäre technische Daten gelten verkürzte Aufbewahrungsfristen.
• Schutz vor Überlastung und Missbrauch durch Ratenbegrenzung an allen kritischen Endpunkten sowie durch eine vorgelagerte Web Application Firewall.
• Verschlüsselung im Ruhezustand auf Ebene des Speichersystems. Eine zusätzliche Verschlüsselung einzelner Datenbankfelder findet nicht statt.
• Verfahren zur Wiederherstellung der Verfügbarkeit und des Zugangs zu personenbezogenen Daten nach einem physischen oder technischen Zwischenfall sind eingerichtet.

2.4 Verfahren zur Überprüfung

• Die technischen und organisatorischen Maßnahmen werden regelmäßig, mindestens einmal jährlich sowie anlassbezogen bei wesentlichen Änderungen der eingesetzten Systeme, Prozesse oder Risiken, auf ihre Wirksamkeit und Angemessenheit überprüft und bei Bedarf angepasst.
• Auftragskontrolle: Unterauftragsverarbeiter werden vor Beauftragung geprüft; mit allen bestehen Verträge nach Art. 28 DSGVO.
• Alle Personen, die im Rahmen ihrer Tätigkeit Zugriff auf personenbezogene Daten erhalten können, werden vertraglich bzw. schriftlich zur Vertraulichkeit und zur Einhaltung der geltenden Datenschutz- und Sicherheitsvorgaben verpflichtet. Die Verpflichtung wird im Rahmen der Personal- bzw. Vertragsunterlagen dokumentiert.
• Für Datenschutz- und Sicherheitsvorfälle besteht ein dokumentiertes Verfahren zur Erkennung, internen Meldung, Bewertung, Eindämmung und Nachverfolgung von Vorfällen. Zuständigkeiten und interne Eskalationswege sind festgelegt. Datenschutzvorfälle werden hinsichtlich möglicher Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO bewertet und entsprechend dokumentiert.

Anlage 3 – Unterauftragsverarbeiter

Trustmarkt setzt für die in Anlage 1 beschriebenen Verarbeitungen folgende Unterauftragsverarbeiter ein (Unternehmen – Leistung – Ort der Verarbeitung – Grundlage bei Drittlandbezug):

• Amazon Web Services EMEA SARL, Luxemburg – Hosting der Plattform: Rechenleistung, Datenbank, Objektspeicher, Zwischenspeicher, Warteschlangen, Auslieferung, Web Application Firewall – EU (Frankfurt am Main) – keine Drittlandverarbeitung.
• Twilio Inc. (SendGrid), USA – Versand von E-Mails an betroffene Personen im Namen des Kunden (insbesondere Zugangslinks und Bestätigungen) sowie Benachrichtigungen über neue Anfragen und Interessenten an den Kunden – USA – Standardvertragsklauseln / EU-US Data Privacy Framework.
• Twilio Inc., USA – Versand von SMS zur Bestätigung von Telefonnummern – USA – Standardvertragsklauseln / EU-US Data Privacy Framework.
• Functional Software, Inc. (Sentry), USA – Fehler- und Leistungsüberwachung der Plattform; Fehlerberichte können Angaben aus der betroffenen Anfrage enthalten – EU – Standardvertragsklauseln / EU-US Data Privacy Framework.

Hinweis zu Zielsystemen des Kunden: Richtet der Kunde eine Schnittstelle zu eigenen Systemen oder Systemen Dritter ein, übermittelt Trustmarkt die Daten auf Weisung des Kunden dorthin. Diese Empfänger sind keine Unterauftragsverarbeiter von Trustmarkt; für sie ist ausschließlich der Kunde verantwortlich.

Anlage 4 – Löschfristen

Gegenstand – Frist – Umsetzung:

• Nach Beendigung des Nutzungsvertrags – 30 Tage Zugriff ausschließlich zum Export, danach vollständige Löschung – automatisiert umgesetzt.
• Löschung auf Weisung des Kunden – unverzüglich, spätestens innerhalb von 30 Tagen – Einzellöschung umgesetzt.
• Nutzungsprotokolle zu einem Datensatz – gemeinsam mit dem zugehörigen Datensatz – automatisiert umgesetzt.
• Sicherungskopien – reguläre Rotation, spätestens 35 Tage nach Löschung im Produktivsystem – über den Hosting-Dienstleister.
• Interessenten- und Anfragedaten im laufenden Vertrag – 24 Monate nach der letzten Aktivität der betroffenen Person – automatisiert umgesetzt.

Die Löschfristen gelten unabhängig davon, über welches Formularfeld eine Angabe erhoben wurde; frei konfigurierbare Felder sind eingeschlossen.