Vereinbarung zur Auftragsbearbeitung

Vereinbarung zur Auftragsbearbeitung (AVV)

1. Geltung, Rang und Rollen

Diese AVV ist Bestandteil des B2B-Vertrags zwischen dem Kunden als Verantwortlichem/Unternehmen und Daniel Rödl als Auftragsbearbeiter/Dienstleister, soweit ProfileOS personenbezogene Daten auf dokumentierte Weisung des Kunden verarbeitet. Sie gilt für die Dauer der betreffenden Verarbeitung nach dem Hauptvertrag. Zwingendes Datenschutzrecht geht vor; im Übrigen hat diese AVV bei widersprüchlichen Verarbeitungsklauseln des Hauptvertrags Vorrang.

2. Verarbeitung

Gegenstand ist Hosting und Betrieb von ProfileOS. Art und Zweck sind Speicherung, Organisation, Übermittlung, Abruf, Support, Sicherheit, Sicherung und Löschung von Workspace-, Model-, Kontakt-, Buchungs-, Dokument-, Chat- und Mediendaten des Kunden. Betroffene können Personal des Kunden, Models oder Talente, Personen auf Medien, Kontakte des Kunden und Chatteilnehmende sein. Datenarten umfassen Identitäts-, Kontakt-, Berufs-, Buchungs-, Kommunikations-, Medien-, Account-, Einwilligungs- und technische Daten. Besondere Kategorien personenbezogener Daten kommen nur vor, wenn der Kunde sie rechtmäßig verarbeiten will und entsprechende Weisungen erteilt.

3. Weisungen und Rechtmäßigkeit

Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung, einschließlich Vertrag und konfigurierter Nutzung, sofern das Recht nichts anderes verlangt. Über gesetzlich verlangte Verarbeitungen informiert er vorab, soweit dies nicht verboten ist. Erscheint eine Weisung datenschutzwidrig, informiert der Anbieter den Kunden. Der Kunde verantwortet rechtmäßige Weisungen, Transparenz, Datenminimierung, Rechtsgrundlagen und Rechte an hochgeladenen Daten.

4. Vertraulichkeit und Sicherheit

Befugte Personen sind zur Vertraulichkeit verpflichtet. Der Anbieter hält risikogerechte technische und organisatorische Maßnahmen vor, insbesondere Identitäts- und Berechtigungsmanagement, Minimalprinzip, Mandantenkontrollen, Transportsicherheit, geschützte Speicherung soweit angeboten, Backups, Change- und Schwachstellenmanagement, Protokollierung, Vorfallreaktion und Wiederherstellung. Maßnahmen dürfen weiterentwickelt werden, ohne das Gesamtschutzniveau wesentlich zu senken.

5. Unterauftragsbearbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die Unterauftragsbearbeiter des Anbieters; die aktuelle Liste gibt es auf Anfrage. Der Anbieter verpflichtet sie zu materiell gleichwertigem Datenschutz und bleibt im gesetzlich vorgesehenen Umfang verantwortlich. Wesentliche Ergänzungen oder Wechsel werden über den hinterlegten Geschäftskontakt oder einen Diensthinweis mit angemessener Möglichkeit zum Widerspruch aus berechtigten Datenschutzgründen angekündigt. Gibt es keine zumutbare Lösung, kann jede Partei die betroffene Leistung nach dem Hauptvertrag beenden.

6. Unterstützung und Vorfälle

Unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen unterstützt der Anbieter angemessen bei Betroffenenrechten, Sicherheit, Bewertung und Meldung von Verletzungen, Datenschutz-Folgenabschätzungen, vorheriger Konsultation und Behördenanfragen. Nach Bekanntwerden einer Verletzung, die Kundendaten betrifft, informiert er den Kunden unverzüglich; verfügbare Informationen können schrittweise folgen. Die Meldung ist kein Schuldeingeständnis.

7. Rückgabe, Löschung, Prüfungen und Nachweise

Nach Ende der Leistung löscht der Anbieter personenbezogene Kundendaten oder gibt sie zurück, wie gewählt bzw. von der Dienstfunktion vorgesehen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Backups folgen dem dokumentierten Zyklus. Auf angemessene schriftliche Anfrage stellt der Anbieter die zum Nachweis der Einhaltung nötigen Informationen bereit. Prüfungen müssen verhältnismäßig sein, andere Kunden und die Sicherheit schützen, geeignete unabhängige Berichte zuerst nutzen und den Betrieb nicht unangemessen stören; zwingende Prüfrechte bleiben bestehen.

8. Internationale Übermittlungen und Behördenanfragen

Soweit erforderlich, beziehen die Parteien die anwendbaren genehmigten Standardklauseln bzw. Addenda und ergänzende Maßnahmen ein. Der Anbieter prüft verbindliche Behördenanfragen, verweist soweit zulässig an den Kunden, legt nur gesetzlich erforderliche Daten offen und informiert den Kunden, sofern dies nicht untersagt ist.

9. Regionale Anhänge

EU/EWR

Bei Anwendung der DSGVO gelten die Anforderungen entsprechend Art. 28. Der Kunde ist Verantwortlicher und der Anbieter Auftragsverarbeiter, sofern die Tatsachen keine andere Rolle ergeben. Erforderliche Drittlandübermittlungen nutzen einen anwendbaren Mechanismus nach Kapitel V.

Vereinigtes Königreich

Unter britischem Datenschutzrecht gelten die Pflichten von Verantwortlichem und Auftragsverarbeiter mit der britischen Terminologie. Soweit nötig wird ein genehmigtes britisches Übermittlungs-Addendum oder eine andere wirksame Garantie eingesetzt.

USA

Soweit bundesstaatliches Datenschutzrecht gilt, handelt der Anbieter als Processor, Service Provider oder Contractor für die erfassten personenbezogenen Kundendaten. Er verkauft oder teilt diese Daten nicht für kontextübergreifende verhaltensbasierte Werbung und speichert, nutzt oder offenbart sie nur für die vertraglichen Geschäftszwecke, soweit das Recht nichts anderes erlaubt. Anwendbare bundesstaatliche Sonderregeln gehen vor.

Kanada

Die Parteien unterstützen vergleichbaren Schutz, Rechenschaft, Sicherheitsvorkehrungen, Auskunft und Meldepflichten nach anwendbarem kanadischem Datenschutzrecht. Der Kunde bleibt für Einwilligung oder eine andere rechtmäßige Befugnis verantwortlich.

Australien

Die Parteien unterstützen die anwendbaren Australian Privacy Principles sowie Sicherheits- und Meldepflichten bei Datenschutzverletzungen. Grenzüberschreitende Offenlegungen richten sich nach den tatsächlichen Rollen von Kunde und Anbieter.

Weitere Länder

Zwingende lokale Anforderungen an Auftragsverarbeitung, Lokalisierung, Übermittlung oder Betroffenenrechte gelten, soweit sie auf die Verarbeitung anwendbar sind. Kein regionaler Hinweis garantiert, dass ein einzelner vertraglicher Mechanismus in jedem Land ausreicht.

10. Verarbeitungsanlagen

Anlage A — Verarbeitung

Gegenstand, Dauer, Art, Zwecke, Datenarten und Kategorien betroffener Personen sind die in den Abschnitten 1–3 beschriebenen, bezogen auf die tatsächliche Nutzung von ProfileOS durch den Kunden.

Anlage B — Technische und organisatorische Maßnahmen

Die Maßnahmen aus Abschnitt 4 bilden die grundlegenden technischen und organisatorischen Maßnahmen. Der Anbieter dokumentiert seine Detailmaßnahmen, überprüft sie risikobezogen und stellt auf Anfrage angemessene Nachweise bereit.

Anlage C — Hosting und genehmigte Unterauftragsbearbeiter

Die aktuelle Liste gibt es auf Anfrage.

Anlage D — Internationale Übermittlungen

Angaben zu Übermittlungsorten und Garantien gibt es auf Anfrage.

11. Haftung und Kontakt

Die Haftung richtet sich vorbehaltlich zwingenden Datenschutzrechts nach dem Hauptvertrag. Diese AVV beschränkt keine Rechte oder Haftung, die nicht wirksam beschränkt werden können. Datenschutzkontakt: daniel.roedl@getprofileos.com. Recht und Gerichtsstand folgen dem Hauptvertrag, soweit zwingendes Datenschutzrecht nichts anderes verlangt.