Auftragsverarbeitungs­vertrag.

02 Rollen und Verantwortungsbereiche

Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel der Verarbeitung der von ihm oder für ihn in die Leistung eingebrachten personenbezogenen Daten („Auftragsdaten“). Er ist insbesondere für die Rechtmäßigkeit der Verarbeitung, die Erfüllung der Informationspflichten, die Wahrung der Rechte betroffener Personen und die Zulässigkeit seiner Weisungen verantwortlich.

Der Auftragsverarbeiter verarbeitet Auftragsdaten ausschließlich für den Verantwortlichen, auf Grundlage dokumentierter Weisungen und im Rahmen dieser Vereinbarung, des Hauptvertrags sowie der vereinbarten Produkt- und Leistungsbeschreibung.

Keine Auftragsverarbeitung liegt vor, soweit Pixel33 Software personenbezogene Daten zu eigenen, gesetzlich zulässigen Zwecken als Verantwortlicher verarbeitet, insbesondere zur Vertragsverwaltung, Abrechnung, Erfüllung handels- oder steuerrechtlicher Pflichten, Forderungsdurchsetzung, Missbrauchs- und IT-Sicherheitsprävention oder Bearbeitung eigener Geschäftskontakte. Hierüber informiert die einschlägige Datenschutzerklärung.

Zahlungsdienstleister verarbeiten Zahlungsdaten regelmäßig in eigener datenschutzrechtlicher Verantwortung, soweit sie Zwecke und Mittel ihrer Verarbeitung selbst bestimmen. Greift der Support auf Auftragsdaten zu, erfolgt dieser Zugriff dagegen im Rahmen dieser Vereinbarung.

03 Gegenstand und Dauer

Gegenstand der Verarbeitung ist die technische Bereitstellung und Erbringung der im Hauptvertrag vereinbarten Leistungen. Die konkrete Leistung, der gebuchte Funktionsumfang und gegebenenfalls ergänzende Weisungen ergeben sich aus dem Hauptvertrag, der Leistungsbeschreibung und Anlage A.

Die Auftragsverarbeitung beginnt, sobald der Auftragsverarbeiter im Zusammenhang mit der Leistung Auftragsdaten verarbeitet. Sie dauert für die Laufzeit des Hauptvertrags und darüber hinaus, solange Auftragsdaten vertragsgemäß aufbewahrt, zurückgegeben, exportiert oder gelöscht werden. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

04 Weisungen des Verantwortlichen

Hauptvertrag, Leistungsbeschreibung, diese Vereinbarung, die vom Verantwortlichen gewählten Einstellungen und die bestimmungsgemäße Nutzung der Funktionen bilden die dokumentierten anfänglichen Weisungen. Der Verantwortliche kann im Rahmen des Leistungsumfangs weitere Weisungen in Textform erteilen.

Weisungsberechtigt sind die im Kundenkonto als Administratoren oder Ansprechpartner hinterlegten Personen sowie andere vom Verantwortlichen nachweisbar benannte Personen. Der Auftragsverarbeiter darf die Identität und Berechtigung einer weisenden Person angemessen prüfen.

Ist eine Weisung nicht vom vereinbarten Leistungsumfang umfasst, kann ihre Umsetzung einer gesonderten Vereinbarung über technische Machbarkeit, Zeitplan und angemessene Vergütung bedürfen. Zwingende gesetzliche Unterstützungs- und Mitwirkungspflichten werden dadurch nicht eingeschränkt.

Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich. Er darf ihre Ausführung aussetzen, bis sie bestätigt, geändert oder zurückgenommen wurde, soweit nicht eine sofortige Ausführung rechtlich zwingend ist.

05 Gesetzlich vorgeschriebene Verarbeitung

Muss der Auftragsverarbeiter Auftragsdaten aufgrund des Rechts der Europäischen Union oder eines Mitgliedstaats verarbeiten, obwohl keine entsprechende Weisung vorliegt, teilt er dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit. Dies gilt nicht, wenn das betreffende Recht eine solche Mitteilung aus wichtigen Gründen des öffentlichen Interesses untersagt.

06 Vertraulichkeit und eingesetzte Personen

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Auftragsdaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff wird auf Personen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen.

Die eingesetzten Personen werden vor Aufnahme ihrer Tätigkeit und danach in angemessenen Abständen über Datenschutz, Informationssicherheit und die für sie maßgeblichen Weisungen unterrichtet. Die Vertraulichkeitspflicht gilt auch nach Beendigung ihrer Tätigkeit fort.

07 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken angemessene technische und organisatorische Maßnahmen nach Artikel 32 DSGVO. Die zum Zeitpunkt des Abschlusses vereinbarten Maßnahmen sind in Anlage B beschrieben.

Der Auftragsverarbeiter darf die Maßnahmen an technische und organisatorische Entwicklungen anpassen, sofern das vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert. Zusätzliche, ausschließlich für einen Verantwortlichen erforderliche Maßnahmen können gesondert vereinbart werden.

Der Verantwortliche bewertet, ob die vereinbarten Maßnahmen für seine konkreten Verarbeitungsvorgänge und Risiken ausreichen. Er nutzt die bereitgestellten Sicherheits-, Berechtigungs-, Export- und Löschfunktionen sachgerecht und schützt seine Endgeräte, Zugangsdaten und lokalen Kopien.

08 Weitere Auftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung, die in Anlage C aufgeführten weiteren Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor dem beabsichtigten Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. In begründeten dringenden Sicherheitsfällen darf die Frist angemessen verkürzt werden; der Grund wird mitgeteilt.

Der Verantwortliche kann innerhalb von 14 Kalendertagen nach Zugang der Information aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich um eine zumutbare Lösung. Ist keine Lösung möglich, kann der Auftragsverarbeiter die betroffene Funktion nicht bereitstellen oder den betroffenen Leistungsteil unter Einhaltung der vertraglichen Regelungen beenden; ein dem Verantwortlichen zustehendes Sonderkündigungsrecht aus Gesetz oder Hauptvertrag bleibt unberührt.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter durch Vertrag zu denselben Datenschutzpflichten, die ihm nach dieser Vereinbarung obliegen, soweit sie für die übertragene Leistung gelten. Er bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters nach Maßgabe von Artikel 28 Absatz 4 DSGVO verantwortlich.

Eine bloße Nebenleistung ohne Zugriff auf Auftragsdaten ist kein Unterauftragsverhältnis. Soweit ein optionaler Dienst – insbesondere eine Analyse-, Automatisierungs- oder KI-Funktion – Auftragsdaten an einen weiteren Anbieter übermittelt, wird dieser vor seinem Einsatz nach den vorstehenden Regeln einbezogen. Auftragsdaten werden ohne dokumentierte Weisung nicht zum Training allgemein verwendbarer Modelle des Auftragsverarbeiters oder eines Dritten genutzt.

09 Verarbeitung in Drittländern

Die Verarbeitung findet grundsätzlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt. Eine Verarbeitung in einem Drittland oder durch eine Organisation außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung oder soweit sie zur Erfüllung des Hauptvertrags erforderlich und nach Kapitel V DSGVO zulässig ist.

Soweit kein Angemessenheitsbeschluss besteht, werden geeignete Garantien vereinbart, insbesondere von der Europäischen Kommission erlassene Standardvertragsklauseln, und erforderlichenfalls ergänzende Maßnahmen getroffen. Gesetzliche Informationspflichten über internationale Übermittlungen bleiben unberührt.

10 Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und soweit möglich durch geeignete technische und organisatorische Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Hierzu gehören insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, soweit diese Rechte im Einzelfall bestehen.

Richtet eine betroffene Person einen Antrag unmittelbar an den Auftragsverarbeiter, leitet dieser ihn unverzüglich an den Verantwortlichen weiter, sofern eine Zuordnung mit vertretbarem Aufwand möglich ist. Er beantwortet den Antrag nicht inhaltlich, es sei denn, der Verantwortliche hat ihn hierzu angewiesen oder eine gesetzliche Pflicht besteht.

11 Weitere Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Artikeln 32 bis 36 DSGVO. Dies umfasst insbesondere Sicherheitsbewertungen, Meldungen und Benachrichtigungen bei Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorherige Konsultationen der Aufsichtsbehörde.

Der Auftragsverarbeiter stellt dem Verantwortlichen die für dessen Verarbeitungsverzeichnis und datenschutzrechtliche Rechenschaftspflicht erforderlichen, bei ihm vorhandenen Angaben über die Auftragsverarbeitung zur Verfügung.

12 Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, grundsätzlich innerhalb von 24 Stunden nach Bekanntwerden, über eine Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft. Ist innerhalb dieser Frist noch keine vollständige Sachverhaltsaufklärung möglich, erfolgt zunächst eine Erstinformation; weitere Informationen werden ohne unangemessene Verzögerung nachgereicht.

Die Mitteilung enthält, soweit zu diesem Zeitpunkt bekannt, eine Beschreibung der Art der Verletzung, der betroffenen Daten und Personengruppen, der ungefähren Anzahl betroffener Datensätze und Personen, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Sie nennt außerdem eine erreichbare Kontaktstelle.

Der Auftragsverarbeiter dokumentiert den Vorfall und unterstützt den Verantwortlichen mit den ihm verfügbaren Informationen. Meldungen an Aufsichtsbehörden oder Benachrichtigungen betroffener Personen nimmt der Auftragsverarbeiter nur auf Weisung vor, sofern er hierzu nicht selbst gesetzlich verpflichtet ist.

13 Nachweise, Prüfungen und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Artikel 28 DSGVO nachzuweisen. Als Nachweise können insbesondere aktuelle Sicherheitsbeschreibungen, Prüfberichte, Zertifikate, Eigenerklärungen oder Berichte unabhängiger Stellen dienen.

Der Verantwortliche darf selbst oder durch einen zur Verschwiegenheit verpflichteten, fachkundigen Prüfer Kontrollen einschließlich Inspektionen durchführen, soweit vorhandene Nachweise zur Prüfung berechtigter Zweifel nicht ausreichen. Prüfungen werden in der Regel mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung der Sicherheit sowie der Rechte anderer Kunden durchgeführt. Bei konkreten Datenschutzverletzungen, Gefahr im Verzug oder behördlicher Anordnung gilt die Vorankündigungsfrist nicht.

Der Auftragsverarbeiter ermöglicht und unterstützt gesetzlich erforderliche Kontrollen durch Datenschutzaufsichtsbehörden. Gesetzliche Prüfungs- und Kontrollrechte werden durch organisatorische Vorgaben, Vertraulichkeitsanforderungen oder eine vorrangige Dokumentenprüfung nicht beschränkt.

Jede Partei trägt grundsätzlich ihre eigenen Prüfungskosten. Verlangt der Verantwortliche ohne konkreten Anlass Leistungen, die über die gesetzlichen Nachweis- und Unterstützungspflichten hinausgehen, können die Parteien hierfür vorab eine angemessene Vergütung vereinbaren.

14 Behördliche Anfragen und Pfändungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Anfragen, Ermittlungen oder Maßnahmen einer Aufsichtsbehörde oder anderer staatlicher Stellen, die dessen Auftragsdaten betreffen, soweit eine Mitteilung rechtlich zulässig ist.

Werden Auftragsdaten durch Pfändung, Beschlagnahme, Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, weist der Auftragsverarbeiter den Dritten im rechtlich zulässigen Umfang darauf hin, dass die Verfügungs- und Entscheidungsbefugnis über die Auftragsdaten beim Verantwortlichen liegt.

15 Rückgabe, Export und Löschung

Nach Abschluss der vertraglichen Leistungen gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen die Auftragsdaten in einem verfügbaren, gängigen und maschinenlesbaren Format zurück oder löscht sie, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche trifft seine Wahl und führt erforderliche Exporte rechtzeitig vor Vertragsende durch. Vereinbarte Export- und Wechselunterstützung bleibt unberührt.

Nach Ablauf vereinbarter Bereitstellungs- oder Exportfristen löscht oder anonymisiert der Auftragsverarbeiter die produktiv gespeicherten Auftragsdaten einschließlich vorhandener Kopien. Auf Verlangen bestätigt er die Löschung in Textform.

In ordnungsgemäß gesicherten Sicherungskopien enthaltene Auftragsdaten werden bis zu ihrer planmäßigen Überschreibung für andere Zwecke gesperrt und spätestens innerhalb von 30 Tagen überschrieben oder gelöscht, soweit keine gesetzliche Pflicht eine längere Aufbewahrung verlangt. Eine Wiederherstellung ausschließlich zur gezielten Löschung einzelner Datensätze ist nicht erforderlich, sofern die Sperrung und planmäßige Überschreibung gewährleistet sind.

Zwingende Rechte des Verantwortlichen oder seiner Nutzer auf Datenzugang, Datenübertragbarkeit, Anbieterwechsel und Export, insbesondere nach der DSGVO und der Verordnung (EU) 2023/2854 (Data Act), werden durch diese Regelung nicht eingeschränkt.

16 Mobile Nutzung, lokale Daten und Schnittstellen

Soweit eine Anwendung Auftragsdaten auf Endgeräten zwischenspeichert oder eine Offline-Nutzung ermöglicht, umfasst die Auftragsverarbeitung auch die technisch erforderliche Synchronisation und Übertragung. Der Auftragsverarbeiter schützt die von ihm kontrollierten Übertragungswege und Anwendungsfunktionen nach Anlage B.

Der Verantwortliche bleibt für die Verwaltung seiner Endgeräte, Betriebssysteme, Gerätesperren, lokalen Sicherungen, Berechtigungen und die Löschung lokaler Daten nach Nutzer- oder Gerätewechsel verantwortlich. Bei vom Verantwortlichen aktivierten Schnittstellen zu Drittsystemen bestimmt er die Empfänger und trägt die Verantwortung für die Rechtmäßigkeit der Übermittlung, soweit der Empfänger nicht vom Auftragsverarbeiter als Unterauftragsverarbeiter eingesetzt wird.

17 Automatisierungs- und KI-Funktionen

Werden im vereinbarten Leistungsumfang Automatisierungs- oder KI-Funktionen angeboten, verarbeitet der Auftragsverarbeiter darin enthaltene Auftragsdaten nur für die vertragsgemäße Ausführung der vom Verantwortlichen ausgelösten Funktion und nach dessen dokumentierten Weisungen. Eine Nutzung für eigene, mit dem Hauptvertrag nicht vereinbare Zwecke findet nicht statt.

Der Verantwortliche entscheidet, welche Inhalte er einer solchen Funktion zuführt, und prüft, ob hierfür eine Rechtsgrundlage besteht. Rollen, Informations-, Transparenz- und Aufsichtspflichten nach der Verordnung (EU) 2024/1689 (KI-Verordnung) richten sich nach dem konkreten KI-System und werden, soweit erforderlich, in der Leistungsbeschreibung oder einer ergänzenden Vereinbarung festgelegt.

18 Haftung

Die Haftung der Parteien richtet sich nach Artikel 82 DSGVO, den sonstigen zwingenden gesetzlichen Vorschriften und den wirksamen Haftungsregelungen des Hauptvertrags. Haftungsbegrenzungen gelten nicht, soweit sie nach dem anwendbaren Recht unzulässig sind oder die Rechte betroffener Personen beeinträchtigen würden.

19 Beendigung und Schlussbestimmungen

Änderungen und Ergänzungen dieser Vereinbarung bedürfen einer nachweisbaren Vereinbarung in Textform oder über eine hierfür vorgesehene elektronische Funktion. Dies gilt auch für Änderungen der Anlagen. Die Aktualisierung der Liste der Unterauftragsverarbeiter nach Ziffer 8 bleibt hiervon unberührt.

Für neue Verträge gilt die bei Vertragsschluss vereinbarte Fassung. Eine Änderung bestehender Verträge wird nicht allein durch Veröffentlichung wirksam.

Es gilt deutsches Recht unter Berücksichtigung des unmittelbar anwendbaren Unionsrechts. Zwingende datenschutzrechtliche Zuständigkeiten und Rechte bleiben unberührt.

Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleiben die übrigen Bestimmungen wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften. Der Vorrang individueller Abreden bleibt unberührt.

Datenschutzkontakt

Mitteilungen und Weisungen zu dieser Vereinbarung können an info@pixel33.eu gerichtet werden. Für zeitkritische Datenschutzverletzungen sollte im Betreff „Datenschutzvorfall“ angegeben werden.