gemäß Art. 28 DSGVO
Mustervertrag der Y Ventures UG (haftungsbeschränkt) für die Social-Media-Betreuung. Kundenspezifische Angaben werden im Einzelfall ergänzt. Sie erhalten diesen Vertrag zusammen mit dem Hauptvertrag zur Unterzeichnung.
Firma: ________________________
Anschrift: ________________________
Vertreten durch: ________________________
Y Ventures UG (haftungsbeschränkt), Strüttweg 11, 75334 Conweiler, Deutschland, vertreten durch den Geschäftsführer Yves Unser, Amtsgericht Mannheim, HRB 740691.
(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich Social-Media-Betreuung auf Grundlage des zwischen den Parteien geschlossenen Hauptvertrags vom ________________________. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.
(2) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder von ihm beauftragte Unterauftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeiten.
(3) Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet auch dieser Vertrag. Ein Kündigungsrecht aus wichtigem Grund bleibt unberührt.
(4) Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für die Übermittlung von Daten in ein Drittland, es sei denn, der Auftragsverarbeiter ist hierzu nach Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Weisungen erfolgen in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Als Weisung gelten auch Festlegungen, die der Verantwortliche im Rahmen der vom Auftragsverarbeiter bereitgestellten Anwendung selbst trifft, insbesondere die Freigabe von Inhalten, die Festlegung von Veröffentlichungszeitpunkten und die Hinterlegung von Antwortvorlagen für Kommentare und Direktnachrichten.
(3) Weisungsberechtigt auf Seiten des Verantwortlichen sind: ________________________. Weisungsempfänger auf Seiten des Auftragsverarbeiters ist: Yves Unser, yventures@icloud.com.
(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.
(1) Zweckbindung. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistung. Eine Nutzung für eigene Zwecke, insbesondere für eigene Werbung, für die Entwicklung eigener Produkte oder für das Training von KI-Modellen, findet nicht statt. Eine Zusammenführung mit Daten anderer Kunden findet nicht statt.
(2) Vertraulichkeit. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.
(3) Technische und organisatorische Maßnahmen. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf diese fortentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und dem Verantwortlichen auf Anfrage mitzuteilen.
(4) Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei
(5) Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, er ist hierzu angewiesen worden.
(6) Datenschutzverletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die vom Verantwortlichen benannte Kontaktadresse. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO.
(7) Kontaktstelle Datenschutz. Beim Auftragsverarbeiter ist ansprechbar: Yves Unser, yventures@icloud.com. Ein Datenschutzbeauftragter ist nach § 38 BDSG derzeit nicht zu benennen. Ändert sich dies, informiert der Auftragsverarbeiter den Verantwortlichen.
(8) Berichtigung, Löschung, Einschränkung. Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung der Daten nur auf Weisung des Verantwortlichen ein.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 3 und gelten als genehmigt.
(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann innerhalb von zwei Wochen ab Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, sind die Parteien verpflichtet, eine einvernehmliche Lösung zu suchen; kommt diese nicht zustande, kann jede Partei den Hauptvertrag mit Wirkung zum geplanten Einsatzzeitpunkt kündigen.
(3) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Pflichten auferlegt wie die hier vereinbarten. Er bleibt dem Verantwortlichen gegenüber für die Einhaltung verantwortlich.
(4) Nicht als Unterauftragsverarbeitung im Sinne dieser Vorschrift gelten Nebenleistungen wie Telekommunikationsdienste, Post- und Transportdienstleistungen sowie Wartungs- und Prüftätigkeiten, bei denen ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann. Der Auftragsverarbeiter trifft hier angemessene Kontrollmaßnahmen.
(5) Plattformbetreiber. Die Verarbeitung erfolgt teilweise über Social-Media-Plattformen, die der Verantwortliche selbst nutzt und mit denen er in eigener Verantwortung in einem Vertragsverhältnis steht. Diese Plattformbetreiber verarbeiten Daten für eigene Zwecke als eigenständige Verantwortliche und sind insoweit keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Auftragsverarbeiter greift ausschließlich mit den vom Verantwortlichen erteilten Zugriffsrechten auf die Plattformen zu. Die betroffenen Plattformen sind in Anlage 3, Abschnitt B aufgeführt.
(1) Eine Verarbeitung außerhalb der EU bzw. des EWR findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der EU-Kommission.
(2) Die bei Vertragsschluss bestehenden Drittlandbezüge und die jeweilige Transfergrundlage sind in Anlage 3 ausgewiesen.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
(2) Der Nachweis kann erbracht werden durch aktuelle Testate, Zertifikate oder Berichte einer unabhängigen Stelle, durch eine geeignete Zertifizierung oder durch eine Selbstauskunft des Auftragsverarbeiters.
(3) Genügen diese Nachweise nicht, kann der Verantwortliche nach rechtzeitiger Ankündigung mit einer Frist von mindestens zwei Wochen während der üblichen Geschäftszeiten Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragsverarbeiters sein darf. Überprüfungen erfolgen höchstens einmal jährlich, sofern kein besonderer Anlass besteht.
(4) Der Auftragsverarbeiter kann für Überprüfungen, die über eine Selbstauskunft hinausgehen und nicht durch einen Verstoß seinerseits veranlasst sind, eine angemessene Vergütung verlangen.
(1) Nach Beendigung der Vertragsbeziehung löscht der Auftragsverarbeiter alle in seinem Besitz befindlichen personenbezogenen Daten des Verantwortlichen oder gibt sie nach dessen Wahl zurück. Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform mit; trifft er keine Wahl, erfolgt Löschung.
(2) Die Löschung erfolgt innerhalb von 90 Tagen nach Vertragsende und umfasst auch Sicherungskopien, sobald diese im regulären Backup-Zyklus überschrieben werden. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage in Textform.
(3) Unberührt bleibt die Aufbewahrung, soweit eine gesetzliche Pflicht zur Speicherung besteht. Die betreffenden Daten werden in ihrer Verarbeitung eingeschränkt.
(4) Zugriffsverbindungen zu den Konten des Verantwortlichen auf Social-Media-Plattformen werden spätestens mit Vertragsende getrennt. Der Verantwortliche kann die Verbindung jederzeit auch selbst widerrufen.
(1) Es gilt Art. 82 DSGVO.
(2) Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit sie zwingendem Recht nicht entgegenstehen.
(1) Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.
(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.
(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, ________________________.
Ort, Datum: ________________________
Unterschrift Verantwortlicher: ________________________
Unterschrift Y Ventures UG (haftungsbeschränkt), Yves Unser: ________________________
Betreuung der Social-Media-Präsenz des Verantwortlichen, insbesondere Planung, Erstellung und Veröffentlichung von Inhalten, Bearbeitung von Kommentaren und Direktnachrichten sowie Auswertung der Reichweite.
Die Verarbeitung erfolgt automatisiert.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Sollten sie in Kommentaren oder Nachrichten Dritter unvermeidbar anfallen, werden sie nicht gesondert ausgewertet.
Rechenzentren innerhalb der EU sowie, soweit in Anlage 3 ausgewiesen, in Drittländern auf Grundlage geeigneter Garantien.
Zutrittskontrolle. Es werden keine eigenen Server betrieben. Die Verarbeitung erfolgt in Rechenzentren der in Anlage 3 genannten Dienstleister, die über eigene Zutrittssicherungen verfügen. Arbeitsplätze befinden sich in verschlossenen Räumlichkeiten.
Zugangskontrolle. Individuelle Benutzerkonten ohne Sammelzugänge. Zwei-Faktor-Authentifizierung für alle Konten mit Zugriff auf Kundendaten. Verwaltung von Zugangsdaten über einen Passwortmanager. Festplattenverschlüsselung auf allen Endgeräten. Automatische Bildschirmsperre.
Zugriffskontrolle. Rollenbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte. Zugriffstoken der Kundenkonten werden getrennt von der Anwendungslogik gespeichert und sind ausschließlich serverseitig les- und verwendbar; ein Zugriff aus der Benutzeroberfläche ist technisch ausgeschlossen. Zugriffsrechte werden bei Ausscheiden unverzüglich entzogen.
Trennungskontrolle. Mandantentrennung auf Datenbankebene: Jeder Datensatz ist einem Kunden zugeordnet, Zugriffsregeln auf Zeilenebene stellen sicher, dass ein Kunde ausschließlich eigene Daten abrufen kann. Getrennte Speicherbereiche je Kunde.
Pseudonymisierung und Verschlüsselung. Übertragung ausschließlich über TLS. Verschlüsselte Speicherung ruhender Daten bei den eingesetzten Dienstleistern.
Weitergabekontrolle. Datenübertragung nur über verschlüsselte Verbindungen. Kein Versand personenbezogener Daten über unverschlüsselte Kanäle. Keine Speicherung von Kundendaten auf privaten Datenträgern.
Eingabekontrolle. Protokollierung aller automatisierten Veröffentlichungs- und Antwortvorgänge mit Zeitstempel und Ergebnis. Änderungen an Inhalten und Einstellungen sind nachvollziehbar.
Regelmäßige, automatisierte Sicherungen durch die eingesetzten Hosting-Dienstleister mit dokumentierter Wiederherstellungsmöglichkeit. Getrennte Ablage von Sicherungskopien. Überwachung der laufenden Prozesse mit Benachrichtigung bei Fehlern und Ausfällen.
Auftragskontrolle. Schriftliche Vereinbarungen mit allen Unterauftragsverarbeitern. Auswahl nach Eignung und Datenschutzniveau.
Überprüfung. Mindestens jährliche Überprüfung der Berechtigungen, der eingesetzten Dienstleister und der getroffenen Maßnahmen. Prüfung sicherheitsrelevanter Aktualisierungen bei den eingesetzten Komponenten.
Vorfallsmanagement. Definierter Ablauf zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden.
Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter werden dem Verantwortlichen in der jeweils aktuellen Fassung dieser Anlage mit vollständiger Firmierung, Leistung, Verarbeitungsort und Transfergrundlage benannt. Mit jedem Unterauftragsverarbeiter besteht ein Auftragsverarbeitungsvertrag.
| Leistung | Verarbeitungsort | Transfergrundlage |
|---|---|---|
| Hosting der Anwendung und Website, Speicherung der Inhalte | wird im Einzelvertrag benannt | wird im Einzelvertrag benannt |
| Datenbank und Medienspeicher | wird im Einzelvertrag benannt | wird im Einzelvertrag benannt |
| Erzeugung von Textvorschlägen für Beiträge | wird im Einzelvertrag benannt | wird im Einzelvertrag benannt |
| Versand von Benachrichtigungen und Reports | wird im Einzelvertrag benannt | wird im Einzelvertrag benannt |
| Plattform | Betreiber | Grundlage |
|---|---|---|
| Instagram, Facebook | Meta Platforms Ireland Ltd., Dublin, Irland | Nutzungsverhältnis des Verantwortlichen mit dem Plattformbetreiber; Zugriff durch den Auftragsverarbeiter nur mit den vom Verantwortlichen erteilten Berechtigungen |
| Betreiber gemäß den jeweils geltenden Nutzungsbedingungen | wie vor |
Der Verantwortliche ist für sein eigenes Vertragsverhältnis zu den Plattformbetreibern und für die datenschutzrechtliche Bewertung der Plattformnutzung selbst verantwortlich.
Fragen zu diesem Vertrag: Yves Unser, yventures@icloud.com