Rechtliches
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Vertrag zwischen dem Kunden als Verantwortlichem (im Folgenden „Kunde“) und FlowCards, Inhaber Salim Tekin, Theuerstadt 7, 96050 Bamberg, USt-IdNr. DE455395268, als Auftragsverarbeiter (im Folgenden „FlowCards“). Anlage 1 sind die technischen und organisatorischen Maßnahmen, Anlage 2 ist die Liste der Unterauftragsverarbeiter.
§ 1 Gegenstand und Dauer
(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch FlowCards im Auftrag des Kunden bei der Personalisierung, der Herstellung und dem postalischen Versand von Postkarten an Kunden des Kunden sowie bei der Auswertung von Scans der auf den Postkarten gedruckten QR-Codes.
(2) Der Vertrag gilt für die Dauer des Nutzungsvertrags über die FlowCards-App nach den Allgemeinen Geschäftsbedingungen. Die Pflichten zur Löschung und Rückgabe nach § 11 bestehen über sein Ende hinaus fort.
(3) Bei Widersprüchen zur Verarbeitung personenbezogener Daten geht dieser Vertrag den Allgemeinen Geschäftsbedingungen vor.
§ 2 Rollen der Parteien
(1) Der Kunde ist Verantwortlicher und FlowCards Auftragsverarbeiter für die in § 3 genannten Verarbeitungen.
(2) FlowCards ist eigenständig Verantwortlicher für die Verwaltung der Kundenkonten und Ansprechpartner des Kunden, für Vertrags- und Annahmenachweise, für die Abrechnung über Shopify und die Buchführung, für Betrugsprävention und Plattformsicherheit, für den Support, für gesetzliche Aufbewahrungspflichten sowie für die Geltendmachung eigener Rechtsansprüche. Diese Verarbeitungen sind keine Verarbeitung im Auftrag des Kunden; über sie informiert die Datenschutzerklärung von FlowCards.
§ 3 Art, Zweck und Umfang der Verarbeitung
(1) FlowCards verarbeitet im Auftrag des Kunden:
- Kunden- und Bestelldaten aus dem Shopify-Shop des Kunden, soweit sie für die Prüfung der Automatisierungsregeln erforderlich sind,
- Name und Postanschrift der Empfänger,
- die Auswertung der Automatisierungsregeln des Kunden,
- Personalisierung und Inhalte der Postkarten einschließlich etwaiger Gutscheincodes,
- den Status von Warteschlange, Produktion und Versand,
- kampagnenbezogene Auswertungen von QR-Code-Scans und die dafür erforderliche Diensttelemetrie.
(2) Bei QR-Code-Scans werden insbesondere der Zeitpunkt, Kennungen der Postkarte und der Kampagne, mit regelmäßig wechselnden Schlüsseln gehashte Werte der IP-Adresse und des Browser-Kennzeichens, der Referrer, die Browsersprache und die Zieldomain verarbeitet. IP-Adresse und Browser-Kennzeichen werden nicht im Klartext gespeichert.
(3) Betroffene Personen sind die Kunden des Kunden, deren Bestellungen eine Postkarte auslösen, und Personen, die einen QR-Code auf einer Postkarte scannen.
(4) Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO sind keine vorgesehene und keine zulässige Datenart. Der Kunde darf solche Daten weder übermitteln noch zur Empfängerauswahl, Personalisierung oder Gestaltung von Postkarten verwenden, auch nicht in Angaben, die solche Informationen über einzelne Empfänger erkennen lassen.
(5) Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Für Übermittlungen in Drittländer gilt § 8.
§ 4 Weisungen
(1) FlowCards verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, FlowCards ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt FlowCards dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.
(2) Die Weisungen des Kunden ergeben sich aus diesem Vertrag, den Allgemeinen Geschäftsbedingungen und den Einstellungen, die der Kunde in der App vornimmt, insbesondere seinen Automatisierungsregeln und Vorlagen. Weitere Weisungen erteilt der Kunde in Textform.
(3) Ist FlowCards der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist FlowCards den Kunden unverzüglich darauf hin. FlowCards darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.
§ 5 Vertraulichkeit
FlowCards gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die Daten nur nach Weisung des Kunden verarbeiten.
§ 6 Technische und organisatorische Maßnahmen
(1) FlowCards trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
(2) Die Maßnahmen sind ergebnisbezogen beschrieben. FlowCards darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. FlowCards überprüft sie nach schwerwiegenden Sicherheitsvorfällen und nach wesentlichen Änderungen der Systeme.
§ 7 Unterauftragsverarbeiter
(1) Der Kunde erteilt FlowCards die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die jeweils aktuellen Unterauftragsverarbeiter sind in der öffentlich abrufbaren Liste der Unterauftragsverarbeiter aufgeführt (Anlage 2).
(2) FlowCards kündigt die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus an. Der Kunde kann der Änderung innerhalb dieser Frist aus begründeten datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich dann um eine Lösung. Kommt keine Lösung zustande, kann der Kunde die betroffene Leistung ohne Vertragsstrafe und ohne zusätzliche Kosten kündigen.
(3) Ist die Ersetzung eines Unterauftragsverarbeiters aus Sicherheitsgründen dringend erforderlich, darf die Ankündigungsfrist so weit verkürzt werden, wie es objektiv notwendig ist.
(4) FlowCards verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und gewährt ihm Zugriff nur auf die Daten, die er für seine Leistung benötigt.
(5) Postdienstleister, die Postkarten als eigenständige Anbieter von Postdienstleistungen befördern und zustellen, sind keine Unterauftragsverarbeiter im Sinne dieses Vertrags.
§ 8 Übermittlungen in Drittländer
Die Hauptregion der Datenverarbeitung ist die AWS-Region Frankfurt am Main (eu-central-1). Übermittlungen in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, etwa im Rahmen von Support- oder Betriebsleistungen eines Unterauftragsverarbeiters, erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die jeweilige Garantie ist in der Liste der Unterauftragsverarbeiter angegeben.
§ 9 Unterstützung des Kunden
(1) FlowCards unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO. Erreicht ein solcher Antrag FlowCards unmittelbar, leitet FlowCards ihn unverzüglich an den Kunden weiter.
(2) Löschungs- und Auskunftsersuchen, die Shopify im Auftrag des Kunden an FlowCards übermittelt, bearbeitet FlowCards innerhalb von 30 Tagen.
(3) FlowCards unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO) sowie bei Anfragen von Aufsichtsbehörden.
§ 10 Meldung von Datenschutzverletzungen
FlowCards meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die im Auftrag des Kunden verarbeitete Daten betrifft, unverzüglich, nachdem FlowCards von ihr Kenntnis erlangt hat. Die Meldung enthält die Informationen, die der Kunde für seine eigenen Pflichten nach Art. 33 und 34 DSGVO benötigt, soweit sie FlowCards vorliegen. Informationen, die noch nicht vorliegen, werden schrittweise nachgereicht.
§ 11 Löschung und Rückgabe
(1) Deinstalliert der Kunde die App, werden noch nicht zur Produktion freigegebene Postkarten kostenfrei aus der Warteschlange entfernt.
(2) Die Empfängerdaten des Shops, insbesondere Namen und Postanschriften, gespiegelte Bestellungen, wartende Postkarten und Scan-Daten, löscht FlowCards automatisch, sobald Shopify nach der Deinstallation die Löschung der Shop-Daten anfordert. Shopify sendet diese Anforderung 48 Stunden nach der Deinstallation.
(3) Die übrigen Daten des Kunden, insbesondere Konfiguration, Vorlagen und gespeicherte Dateien, Zugangsdaten zu Shopify und Anmeldedaten, löscht FlowCards automatisch 90 Tage nach der Deinstallation. Der Kunde wird 14 Tage vor der Löschung an die im Shop hinterlegte E-Mail-Adresse gewarnt.
(4) Unabhängig davon löscht FlowCards Empfänger- und Personalisierungsdaten wartender Postkarten, wenn diese nach § 5 der Allgemeinen Geschäftsbedingungen storniert werden oder ihre Höchstwartezeit von 12 Monaten erreichen.
(5) Daten, die FlowCards aufgrund gesetzlicher Aufbewahrungspflichten aufbewahren muss, insbesondere Buchungsunterlagen, werden bis zum Ablauf der jeweiligen Frist pseudonymisiert aufbewahrt und danach gelöscht.
(6) Wünscht der Kunde vor der Löschung eine Herausgabe seiner Daten, teilt er dies FlowCards in Textform mit.
§ 12 Nachweise und Kontrollen
(1) FlowCards stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
(2) Kontrollen erfolgen angemessen und verhältnismäßig und vorrangig anhand von Unterlagen und aus der Ferne. Kontrollen vor Ort sind in begründeten Fällen, nach Sicherheitsvorfällen oder auf Verlangen einer Aufsichtsbehörde nach angemessener Vorankündigung möglich. Die gesetzlichen Kontrollrechte des Kunden und der Aufsichtsbehörden bleiben unberührt.
§ 13 Schlussbestimmungen
Änderungen dieses Vertrags erfolgen nach dem Verfahren, das die Allgemeinen Geschäftsbedingungen für Änderungen der Bedingungen vorsehen. Im Übrigen gelten die Schlussbestimmungen der Allgemeinen Geschäftsbedingungen.