Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung des über zrapp.group bereitgestellten Widerrufsbutton-Dienstes (nachfolgend „Dienst").
Der Shop-Betreiber, der den Dienst unter Angabe seines Shop-Namens und seiner E-Mail-Adresse registriert (nachfolgend „Verantwortlicher“). Eine angegebene Shop-Domain dient der weiteren Zuordnung. Der Verantwortliche bestimmt über Zwecke und Mittel der Verarbeitung der personenbezogenen Daten seiner Kundinnen und Kunden. Dieser AVV betrifft den unter /widerruf/ angebotenen, registrierbaren Widerrufsbutton-Dienst; für Belegio gilt der gesonderte Belegio-AVV.
Artur Hoffmann (Einzelunternehmer, zrapp.group), Okenstraße 352b, 77654 Offenburg, Deutschland, E-Mail: support@zrapp.de (nachfolgend „Auftragnehmer“).
Der AVV wird durch die Zustimmung bei der Registrierung elektronisch geschlossen; Zeitpunkt und Vertragsversion werden dokumentiert. Der anschließende Bestätigungslink verifiziert die E-Mail-Adresse und aktiviert den Dienst. Der Vertrag ist über die Druckfunktion des Browsers speicherbar. Die Verarbeitung der eigenen Registrierungsdaten des Shop-Betreibers erläutert die Datenschutzerklärung.
Gegenstand ist die Bereitstellung der elektronischen Widerrufsfunktion nach § 356a BGB. Der Auftrag umfasst den Empfang der Widerrufserklärung, die Weiterleitung an die hinterlegte Händleradresse, den Versand der Eingangsbestätigung an die betroffene Person sowie die Speicherung und Bereitstellung von Nachweisdaten gemäß § 9.
Die Dauer dieses AVV entspricht der Nutzung des Dienstes. Seine Datenschutzpflichten gelten nach Beendigung fort, solange noch Auftragsdaten einschließlich Sicherungskopien beim Auftragnehmer vorhanden sind.
Server und Datenbank werden in Deutschland betrieben. Die eingesetzten Unterauftragnehmer und Verarbeitungsorte nennt Anlage 2. Eine Drittlandübermittlung, auch durch Fernzugriff, bedarf einer dokumentierten Weisung und der Einhaltung der Art. 44 ff. DSGVO. Die Weiterleitung an die vom Verantwortlichen benannte Händleradresse und die Bestätigung an die angegebene Kundenadresse gehören zum Auftrag.
Erheben, Erfassen, Zuordnen, Übermitteln, Speichern und Bereitstellen der Nachweisdaten sowie Löschen nach Maßgabe von § 9.
Ermöglichung der gesetzlich vorgeschriebenen elektronischen Widerrufsfunktion (§ 356a BGB), Weiterleitung eingehender Widerrufe an den Verantwortlichen und Versand der gesetzlichen Eingangsbestätigung mit Datum und Uhrzeit an die betroffene Person auf einem dauerhaften Datenträger.
Kundinnen und Kunden (Verbraucherinnen und Verbraucher) des Verantwortlichen, die die Widerrufsfunktion nutzen.
Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist. Die Konfiguration und Nutzung des Dienstes durch den Verantwortlichen gilt als Weisung im Sinne dieses Vertrags.
Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Der Auftragnehmer informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt.
Weitere Weisungen können an support@zrapp.de gerichtet werden. Bei einer gesetzlich vorgeschriebenen Verarbeitung außerhalb der Weisungen informiert der Auftragnehmer den Verantwortlichen vorab, soweit das Gesetz dies nicht untersagt. Der Verantwortliche stellt die Rechtmäßigkeit seiner Datenverarbeitung und Weisungen sicher und informiert seine Kunden über den Dienst und die Speicherung der Nachweisdaten.
Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die konkreten Maßnahmen sind in Anlage 1 beschrieben und werden bei Bedarf an den Stand der Technik angepasst.
Wesentliche Änderungen der TOM, die das Schutzniveau verringern könnten, sind dem Verantwortlichen mitzuteilen.
Der Verantwortliche erteilt dem Auftragnehmer die allgemeine Genehmigung zur Inanspruchnahme der in Anlage 2 genannten Unterauftragnehmer.
Der Auftragnehmer informiert den Verantwortlichen mindestens 14 Tage vor Hinzuziehung oder Ersetzung eines Unterauftragnehmers. Innerhalb dieser Frist kann der Verantwortliche aus datenschutzrechtlichen Gründen widersprechen. Bis zur Klärung wird der betroffene neue Unterauftragnehmer nicht auf Grundlage dieser Genehmigung eingesetzt. Ist keine Lösung möglich, kann die betroffene Leistung vor der Änderung beendet werden; ein Widerspruch allein löst keine Datenlöschung aus.
Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich zu denselben Datenschutzpflichten, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).
Der Auftragnehmer bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten seiner Unterauftragnehmer verantwortlich.
Der Auftragnehmer unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO). Gehen Anträge betroffener Personen direkt beim Auftragnehmer ein, leitet er diese unverzüglich an den Verantwortlichen weiter.
Der Auftragnehmer unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung).
Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
Zu einem eingegangenen Widerruf werden Name, E-Mail-Adresse, Bestellnummer, optionale Vertragsangaben, Sprache, Eingangszeit und Bearbeitungsstatus als Nachweisdaten gespeichert. Der vorgesehene Standardzeitraum beträgt 1.095 Tage ab Eingang; ältere Einträge werden im Rahmen der regelmäßigen Bereinigung gelöscht. Dies ist keine gesetzliche Mindestaufbewahrungsfrist. Der Verantwortliche kann eine frühere Löschung oder Rückgabe anweisen und muss die Erforderlichkeit dieser Dauer für seinen Zweck prüfen.
Nach Beendigung des Auftrags gibt der Auftragnehmer nach Wahl des Verantwortlichen die noch vorhandenen Auftragsdaten in einem gängigen Format zurück oder löscht sie einschließlich vorhandener Kopien, sofern keine gesetzliche Speicherungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO). Rückgabe und Löschung können über support@zrapp.de angefordert werden. Bereits gelöschte Daten können nicht zurückgegeben werden; auf Verlangen wird die Durchführung bestätigt. Bis zum Abschluss ihrer Löschung bleiben Sicherungskopien zweckgebunden und für den regulären Betrieb gesperrt. Bei einer erforderlichen Wiederherstellung sind Löschweisungen erneut umzusetzen.
Registrierungs- und Kontodaten werden zur Bereitstellung des Dienstes verarbeitet; für ihre Verarbeitung in eigener Verantwortlichkeit des Auftragnehmers gilt die Datenschutzerklärung. Der Verantwortliche sichert die an ihn zugestellten Erklärungen und Bestätigungen in seinem eigenen Verantwortungsbereich.
Der Auftragnehmer stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).
Der Auftragnehmer ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und wirkt daran mit. Umfang, Zeitpunkt und Vertraulichkeit werden unter Wahrung der Daten anderer Mandanten angemessen abgestimmt; notwendige anlassbezogene Kontrollen dürfen dadurch nicht verhindert werden. Geeignete vorhandene Nachweise können einbezogen werden. Gesetzliche Befugnisse der Aufsichtsbehörden bleiben unberührt.
Für Ansprüche betroffener Personen gilt Art. 82 DSGVO. Der Auftragnehmer haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei schuldhafter Verletzung von Leben, Körper oder Gesundheit sowie aufgrund zwingender gesetzlicher Haftung. Bei leichter Fahrlässigkeit ist die Haftung für die Verletzung wesentlicher Vertragspflichten auf den vorhersehbaren, vertragstypischen Schaden begrenzt; im Übrigen ist sie ausgeschlossen, soweit keine zwingende Haftung eingreift. Wesentliche Vertragspflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags ermöglicht und auf deren Einhaltung der Vertragspartner regelmäßig vertrauen darf. Ausdrücklich übernommene Garantien bleiben unberührt. Die MIT-Lizenz des Widget-Quellcodes ersetzt diesen AVV für den gehosteten Dienst nicht.
Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen der Parteien gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor.
Dieser AVV wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO) und dem Verantwortlichen dauerhaft abrufbar zur Verfügung gestellt.
Der Auftragnehmer setzt folgende Unterauftragnehmer ein:
