Auftragsverarbeitungsvertrag (AVV / DPA)

geschlossen zwischen:

dem als „Kunde“ definierten Rechtsträger, der sich für den Erwerb und die Nutzung der von der Agentur RYS SP. Z O.O. angebotenen Dienstleistungen entschieden hat,

im Folgenden „Verantwortlicher“ genannt,

und

RYS spółka z ograniczoną odpowiedzialnością (Gesellschaft mit beschränkter Haftung) mit Sitz in Bielsko-Biała (43-300), ul. Podwale 47, Polen, eingetragen im Unternehmerregister des Amtsgerichts Bielsko-Biała, VIII. Wirtschaftsabteilung des Landesgerichtsregisters, unter der KRS-Nummer 0001006923, NIP (Steuernummer): 5472234742, REGON: 523865502, mit einem Stammkapital von 5.000,00 PLN,

im Folgenden „Auftragsverarbeiter“ genannt,

im Folgenden gemeinsam „Parteien“ und jeweils einzeln „Partei“ genannt.

In Anbetracht dessen, dass:

1. die Parteien einen Dienstleistungsvertrag vom (im Folgenden: Hauptvertrag) geschlossen haben, in dessen Rahmen der Verantwortliche den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten in dem durch diesen Vertrag festgelegten Umfang beauftragt,
2. die Parteien mit dem Abschluss dieses Vertrags eine Regelung der Grundsätze der Verarbeitung personenbezogener Daten anstreben, die in vollem Umfang den Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (im Folgenden: DSGVO) entspricht,

haben die Parteien beschlossen, einen Vertrag mit folgendem Inhalt zu schließen:

§ 1. Allgemeine Bestimmungen

1. Zu den in diesem Vertrag und im Hauptvertrag festgelegten Bedingungen beauftragt der Verantwortliche den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten natürlicher Personen (im Folgenden: personenbezogene Daten).
2. Der Verantwortliche erklärt, dass er sämtliche personenbezogenen Daten als Verantwortlicher für diese Daten verarbeitet und dass die Verarbeitung rechtmäßig erfolgt.
3. Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten natürlicher Personen folgender Kategorien:
   a) Mitarbeiter des Verantwortlichen,
   b) freie Mitarbeiter und Kooperationspartner des Verantwortlichen,
   c) Kunden des Verantwortlichen,
4. Die Beauftragung mit der Verarbeitung personenbezogener Daten erfolgt zu dem Zweck, dass der Auftragsverarbeiter für den Verantwortlichen Dienstleistungen im Zusammenhang mit der Erfüllung des Hauptvertrags erbringt, insbesondere Dienstleistungen der umfassenden Betreuung und Steuerung des Verkaufs auf Marketplace-Plattformen, der Kundenbetreuung nach dem Kauf (Reklamationen und Retouren) sowie der Durchführung und Optimierung von Werbekampagnen.
5. Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter wird hinsichtlich der Art der Verarbeitung:
   a) am Sitz des Auftragsverarbeiters erfolgen,
   b) fortlaufend bis zur Beendigung des Vertrags erfolgen.
6. Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Damit die Parteien eine Weisung als dokumentiert anerkennen, muss sie sich unmittelbar aus diesem Vertrag oder dem Hauptvertrag ergeben oder per E-Mail gemäß den in § 8 Abs. 2 des Vertrags festgelegten Kommunikationsregeln übermittelt werden.
7. Der Auftragsverarbeiter wird auf der Grundlage dieses Vertrags insbesondere folgende Arten personenbezogener Daten verarbeiten:

8. Der Verantwortliche kann den Auftragsverarbeiter auch mit der Verarbeitung weiterer, in § 1 Abs. 7 des Vertrags nicht genannter personenbezogener Daten sowie personenbezogener Daten anderer als der in § 1 Abs. 3 des Vertrags genannten Personenkategorien beauftragen, einschließlich unstrukturierter Daten, also solcher, die sich aus Inhalten ergeben, die möglicherweise und wahrscheinlich personenbezogene Daten enthalten (Beiträge, Textdokumente, Aufnahmen, Bilder, Videos). Die Beauftragung mit der Verarbeitung dieser personenbezogenen Daten erfordert deren Übermittlung gemäß der in § 8 Abs. 2 des Vertrags festgelegten Kommunikationsregel und gilt nicht als Änderung dieses Vertrags, die eines schriftlichen Nachtrags bedarf.
9. Dieser Vertrag tritt am Tag seiner Unterzeichnung durch beide Parteien in Kraft (im Folgenden „Tag des Inkrafttretens“).
10. Soweit zutreffend, insbesondere wenn der Verantwortliche in Bezug auf die personenbezogenen Daten, mit deren Verarbeitung er den Auftragsverarbeiter beauftragt, selbst als Auftragsverarbeiter handelt, gilt dieser Auftragsverarbeitungsvertrag zugleich als Vertrag über die Unterauftragsverarbeitung personenbezogener Daten.

§ 2. Dauer der Verarbeitung personenbezogener Daten

1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten während der Laufzeit des Hauptvertrags.
2. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags; dieser Vertrag erlischt automatisch mit der Beendigung des Hauptvertrags.

§ 3. Unterauftragsverarbeitung

1. Der Auftragsverarbeiter kann bestimmte Verarbeitungsvorgänge personenbezogener Daten an weitere Auftragsverarbeiter übertragen, sofern der Verantwortliche den Rechtsträger, dem die personenbezogenen Daten anvertraut werden sollen, vorab akzeptiert hat.
2. Die in § 3 Abs. 1 des Vertrags genannte Unterauftragsverarbeitung personenbezogener Daten ist dem Verantwortlichen anzuzeigen, damit dieser Einspruch erheben kann. Die Anzeige der Unterauftragsverarbeitung hat gemäß den in § 8 Abs. 2 des Vertrags genannten Regeln für die Kommunikation der Parteien zu erfolgen. Der Verantwortliche kann aus berechtigten Gründen innerhalb von 7 Tagen nach Erhalt der im vorstehenden Satz genannten Anzeige Einspruch gegen die Weitergabe der Daten an einen bestimmten weiteren Auftragsverarbeiter erheben. Wird Einspruch erhoben, ist der Auftragsverarbeiter nicht berechtigt, dem vom Einspruch betroffenen Auftragsverarbeiter personenbezogene Daten anzuvertrauen. Antwortet der Verantwortliche in keiner Weise auf die E-Mail des Auftragsverarbeiters über die geplante Unterauftragsverarbeitung, werten die Parteien das Schweigen als Zustimmung des Verantwortlichen zur Unterauftragsverarbeitung. Zweifel an der Begründetheit des Einspruchs und an etwaigen negativen Folgen teilt der Auftragsverarbeiter dem Verantwortlichen so rechtzeitig mit, dass die Kontinuität der Verarbeitung personenbezogener Daten gewährleistet werden kann.
3. Der Verantwortliche erteilt hiermit seine Zustimmung dazu, dass der Auftragsverarbeiter folgende Rechtsträger mit der Verarbeitung personenbezogener Daten unterbeauftragt:
4. • Anbieter von Hosting-Diensten sowie von Server- und Cloud-Infrastruktur,
   • Anbieter von IT-Systemen für das Kundenbeziehungsmanagement (CRM), die Automatisierung von Geschäftsprozessen und die Marketing-Analytik,
   • Anbieter von Werkzeugen im Bereich der Cybersicherheit, einschließlich Systemen zur verschlüsselten Verwaltung von Zugangsdaten und Passwörtern (Passwortmanager),
   • Anbieter fortgeschrittener Analyse-, Reporting- und SEO-Systeme sowie von Werkzeugen zur Aggregation, Integration und Verarbeitung von Marketingdaten,
   • Anbieter von Diensten und Software für die elektronische Unterzeichnung von Dokumenten und die Abwicklung des digitalen Vertragsumlaufs.
4. Bei einer Unterauftragsverarbeitung ist der Auftragsverarbeiter verpflichtet, den Rechtsträger, dem er die Verarbeitung personenbezogener Daten überträgt, zur Anwendung geeigneter Maßnahmen zum Schutz dieser Daten zu verpflichten.
5. Der Auftragsverarbeiter ist nicht berechtigt, die Erfüllung dieses Vertrags vollständig auf einen Unterauftragsverarbeiter zu übertragen.

§ 4. Erklärungen und Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter erklärt hiermit, dass er:
   1) Verfahren eingeführt hat, die gewährleisten, dass die Verarbeitung personenbezogener Daten im Einklang mit der DSGVO erfolgt,
   2) über das Fachwissen und die Ressourcen verfügt, die eine ordnungsgemäße Umsetzung der Verfahren zum Schutz personenbezogener Daten gemäß der DSGVO gewährleisten,
   3) organisatorische und technische Maßnahmen zur DSGVO-konformen Verarbeitung personenbezogener Daten anwendet, die in Anlage 1 zu diesem Vertrag beschrieben sind,
2. Der Auftragsverarbeiter ist auf der Grundlage dieses Vertrags verpflichtet:
   1) die anvertrauten personenbezogenen Daten ausschließlich gemäß den dokumentierten Weisungen oder Anweisungen des Verantwortlichen zu verarbeiten,
   2) bei der Wahrnehmung der Rechte betroffener Personen mitzuwirken, wobei für die Bearbeitung von Anträgen natürlicher Personen ausschließlich der Verantwortliche zuständig ist und der Auftragsverarbeiter den Verantwortlichen über sämtliche eingehenden Anträge zu informieren hat; ebenso informieren sich die Parteien gegenseitig über Streitigkeiten oder Ansprüche, um diese möglichst rasch gütlich beizulegen,
   3) mit dem Verantwortlichen bei der Erfüllung der Pflichten im Bereich des Schutzes personenbezogener Daten gemäß Art. 32–36 DSGVO zusammenzuarbeiten,
   4) den Verantwortlichen unverzüglich über Zweifel an der Rechtmäßigkeit der vom Verantwortlichen erteilten Weisungen oder Anweisungen zu informieren, andernfalls verliert er die Möglichkeit, hieraus Ansprüche gegen den Verantwortlichen geltend zu machen,
3. Der Verantwortliche ist verpflichtet, bei der Erfüllung dieses Vertrags mit dem Auftragsverarbeiter zusammenzuwirken. Er ist ferner verpflichtet, dem Auftragsverarbeiter die erforderlichen Erläuterungen zu geben, insbesondere bei Zweifeln an der Rechtmäßigkeit der Weisungen des Verantwortlichen, sowie seinen eigenen Pflichten nachzukommen.

§ 5. Sicherheit personenbezogener Daten

1. Der Auftragsverarbeiter hat eine Risikoanalyse der Verarbeitung der anvertrauten personenbezogenen Daten durchgeführt und richtet sich bei den organisatorischen und technischen Maßnahmen zum Schutz personenbezogener Daten nach deren Ergebnissen.
2. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über jeden Verdacht einer Verletzung des Schutzes personenbezogener Daten spätestens innerhalb von 24 Stunden nach der ersten Meldung, ermöglicht dem Verantwortlichen die Teilnahme an den Aufklärungsmaßnahmen und informiert ihn über die Feststellungen, sobald diese getroffen wurden, insbesondere darüber, ob eine Verletzung festgestellt wurde oder nicht.
3. Der Auftragsverarbeiter ist verpflichtet, dem Verantwortlichen eine Benachrichtigung über die festgestellte Verletzung zusammen mit sämtlichen erforderlichen Unterlagen zu der Verletzung zu übermitteln, damit der Verantwortliche seiner Pflicht zur Meldung an die Aufsichtsbehörde nachkommen kann.

§ 6. Aufsicht über die Verarbeitung personenbezogener Daten

1. Der Verantwortliche ist berechtigt, die Art und Weise der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zu kontrollieren, und zwar ausschließlich in dem Umfang, der zur Überprüfung der Übereinstimmung der Verarbeitung mit diesem Vertrag und mit Art. 28 DSGVO erforderlich ist.
2. Eine planmäßige Kontrolle wird nach vorheriger Information des Auftragsverarbeiters mit einer Frist von mindestens 7 Tagen in dokumentierter Form durchgeführt, unter Angabe des Umfangs der Kontrolle, ihrer voraussichtlichen Dauer und der personellen Zusammensetzung des Kontrollteams.
3. Eine planmäßige Kontrolle darf höchstens einmal pro Kalenderjahr durchgeführt werden und findet während der Arbeitszeiten des Auftragsverarbeiters statt, und zwar so, dass die Kontinuität seines Geschäftsbetriebs nicht ungerechtfertigt beeinträchtigt wird.
4. Die in Abs. 2–3 genannten Beschränkungen gelten nicht im Falle:
   1) der Feststellung einer Verletzung des Schutzes personenbezogener Daten,
   2) des begründeten Verdachts einer Verletzung der Bestimmungen dieses Vertrags,
   3) einer Aufforderung oder von Empfehlungen der Aufsichtsbehörde.
5. Die Kontrolle kann vom Verantwortlichen oder von einem in seinem Auftrag handelnden Dritten durchgeführt werden, sofern dieser Dritte vorab zur Vertraulichkeit mindestens auf dem sich aus diesem Vertrag ergebenden Niveau verpflichtet wurde und kein Interessenkonflikt mit dem Auftragsverarbeiter besteht.
6. Der Umfang der Kontrolle umfasst nicht:
   1) Informationen, die ein Geschäftsgeheimnis des Auftragsverarbeiters darstellen, soweit sie nicht unmittelbar mit der Verarbeitung der personenbezogenen Daten des Verantwortlichen zusammenhängen,
   2) personenbezogene Daten oder Informationen anderer Kunden des Auftragsverarbeiters.
   Der vorstehend genannte Schutz wird insbesondere durch Anonymisierung, Pseudonymisierung oder beaufsichtigte Einsichtnahme in die Dokumentation gewährleistet.
7. Der Auftragsverarbeiter gewährt dem Verantwortlichen Zugang zu den Informationen, die zum Nachweis der Erfüllung der Pflichten aus Art. 28 DSGVO erforderlich sind, und zwar in erster Linie durch:
   1) Bereitstellung der aktuellen Dokumentation zum Schutz personenbezogener Daten,
   2) Berichte über interne Audits oder Zertifizierungen,
   3) Beantwortung schriftlicher Anfragen des Verantwortlichen.
   Die Durchführung eines Audits vor Ort ist das letzte Mittel und wird ausschließlich dann angewandt, wenn eine Überprüfung auf die vorstehend genannte Weise nicht möglich ist.
8. Eine standardmäßige Dokumenten- oder Fernkontrolle wird unentgeltlich durchgeführt. Bei einer Kontrolle vor Ort oder einer über den Standardumfang hinausgehenden Kontrolle, die einen erheblichen Einsatz von Ressourcen des Auftragsverarbeiters erfordert, trägt der Verantwortliche die begründeten und tatsächlichen organisatorischen Kosten einer solchen Kontrolle, die zuvor zwischen den Parteien vereinbart wurden.
9. Die Parteien bestätigen einvernehmlich, dass Kontrollen unter Wahrung der Grundsätze der Verhältnismäßigkeit, der Datenminimierung und der Rechenschaftspflicht gemäß Art. 5 Abs. 1 und 2 DSGVO durchgeführt werden.

§ 7. Haftung

1. Die Haftung der Parteien für die Nichterfüllung oder nicht ordnungsgemäße Erfüllung dieses Vertrags unterliegt den im Hauptvertrag festgelegten Haftungsbeschränkungen, -ausschlüssen und -höchstgrenzen, vorbehaltlich zwingender Rechtsvorschriften, einschließlich Art. 82 DSGVO.
2. Vorbehaltlich der Abs. 4–6 ist die Gesamthaftung des Auftragsverarbeiters gegenüber dem Verantwortlichen, unabhängig von der Rechtsgrundlage des Anspruchs, auf den Betrag begrenzt, der der gesamten Nettovergütung entspricht, die dem Auftragsverarbeiter vom Verantwortlichen in den 12 Monaten vor dem haftungsbegründenden Ereignis zustand.
3. Der Auftragsverarbeiter haftet ausschließlich für vorsätzlich oder grob fahrlässig verursachte Schäden; die Haftung für durch einfache Fahrlässigkeit verursachte Schäden ist im größtmöglichen gesetzlich zulässigen Umfang ausgeschlossen.
4. Die in diesem Vertrag festgelegten Haftungsbeschränkungen gelten nicht für die Haftung des Auftragsverarbeiters gegenüber betroffenen Personen gemäß Art. 82 Abs. 1–2 DSGVO.
5. Der Auftragsverarbeiter haftet nicht für Geldbußen oder sonstige öffentlich-rechtliche Sanktionen, die gegen den Verantwortlichen verhängt wurden, es sei denn, sie wurden infolge eines vom Auftragsverarbeiter verschuldeten Verstoßes gegen die Vorschriften über den Schutz personenbezogener Daten verhängt.
6. Die Haftung des Auftragsverarbeiters für entgangenen Gewinn und mittelbare Schäden im Vertragsverhältnis mit dem Verantwortlichen ist im größtmöglichen gesetzlich zulässigen Umfang ausgeschlossen.
7. Nach Beendigung des Vertrags gibt der Auftragsverarbeiter die personenbezogenen Daten gemäß Art. 28 Abs. 3 Buchst. g DSGVO zurück oder löscht sie, vorbehaltlich gesetzlicher Aufbewahrungspflichten oder der Notwendigkeit der Sicherung von Ansprüchen.
8. Erhält der Auftragsverarbeiter eine rechtswidrige Weisung, ist er berechtigt, deren Ausführung bis zur Klärung der Angelegenheit auszusetzen, und haftet im gesetzlich zulässigen Rahmen nicht für die Folgen einer solchen Aussetzung.
9. Ansprüche des Verantwortlichen gegen den Auftragsverarbeiter aus diesem Vertrag erlöschen, wenn sie nicht innerhalb von 12 Monaten ab dem Tag der Kenntniserlangung von dem Ereignis geltend gemacht werden, mit Ausnahme von Ansprüchen aus Art. 82 DSGVO.

§ 8. Schlussbestimmungen

1. Jede Partei verpflichtet sich, die andere Partei unverzüglich über alle ihr bekannten Verletzungen der Vertraulichkeit im Zusammenhang mit diesem Vertrag zu informieren. Der Auftragsverarbeiter verpflichtet sich, angemessene Maßnahmen zu ergreifen, um personenbezogene Daten oder vertrauliche Informationen zurückzuerlangen und zu sichern sowie weitere unbefugte Handlungen oder Verstöße gegen diesen Vertrag zu verhindern.
   a) Zur Erfüllung dieses Vertrags kommunizieren die Parteien über die E-Mail-Adressen der für den Kontakt und die Koordination der Zusammenarbeit benannten Personen, die im Hauptvertrag angegeben oder der anderen Partei bei der Einführung der Dienstleistung (Onboarding) mitgeteilt wurden.
2. Entsteht zwischen den Parteien eine Streitigkeit aus diesem Vertrag, ist das Gericht am Hauptort der Geschäftstätigkeit des Auftragsverarbeiters zuständig.
3. Soweit dieser Vertrag keine Regelung enthält, finden die Bestimmungen der DSGVO und die sonstigen allgemein geltenden Vorschriften des polnischen Rechts Anwendung.

Anlage 1 Beschreibung der technischen und organisatorischen Maßnahmen zur Sicherheit personenbezogener Daten

1. Organisatorische Maßnahmen

1. Personenbezogene Daten werden ausschließlich von Personen verarbeitet, die über eine schriftliche Ermächtigung zu ihrer Verarbeitung verfügen.
2. Die ermächtigten Personen sind zur Vertraulichkeit hinsichtlich der personenbezogenen Daten und der Art ihrer Sicherung verpflichtet.
3. Der Auftragsverarbeiter führt ein Verzeichnis der zur Verarbeitung personenbezogener Daten ermächtigten Personen.
4. Mitarbeiter und Kooperationspartner werden im Bereich des Schutzes personenbezogener Daten und der DSGVO geschult.
5. Personenbezogene Daten werden ausschließlich in dem Umfang verarbeitet, der zur Erreichung der festgelegten Zwecke erforderlich ist (Grundsatz der Datenminimierung).
6. Der Auftragsverarbeiter hat Verfahren zur Reaktion auf Verletzungen des Schutzes personenbezogener Daten eingeführt, einschließlich Regeln für deren Meldung und Dokumentation.

2. Technische Maßnahmen

1. Der Zugang zu den IT-Systemen ist gesichert durch:
2. • individuelle Benutzernamen und Passwörter,
   • starke Passwörter,
   • Zwei-Faktor-Authentifizierung,
   • Berechtigungsmanagement (es gilt das Prinzip der minimalen Berechtigungen – Mitarbeiter/Kooperationspartner haben nur Zugriff auf diejenigen Werkzeuge und Kundendaten, die zur Erfüllung ihrer Aufgaben erforderlich sind).
2. Die IT-Systeme verfügen über Mechanismen der Zugriffskontrolle, die den Zugriff auf Daten ausschließlich auf berechtigte Benutzer beschränken.
3. Es werden personalisierte Konten verwendet, ohne gemeinsam genutzte Konten, sofern die Plattform dies zulässt.
4. In IT-Systemen verarbeitete personenbezogene Daten werden geschützt durch:
5. • Verschlüsselung der Datenübertragung (SSL/TLS),
   • Firewalls,
   • aktuelle Antiviren- und Anti-Malware-Software,
   • MFA/2FA (insbesondere für den Fernzugriff und privilegierte Konten),
   • automatische Kontosperrung nach fehlgeschlagenen Anmeldeversuchen,
   • Verschlüsselung und Pseudonymisierung – Verschlüsselung ruhender Daten (AES-256) und von Daten bei der Übertragung (TLS 1.2+), Pseudonymisierung von Daten in Test- und Analyseumgebungen.
5. Es werden regelmäßig Sicherungskopien (Backups) der Daten erstellt, die in einer sicheren Umgebung aufbewahrt werden.
6. Die zur Datenverarbeitung genutzten Geräte (Computer, Laptops) sind:
7. • passwortgeschützt,
   • vor dem Zugriff Dritter geschützt,
   • bei Inaktivität des Benutzers gesperrt.

3. Maßnahmen zur Gewährleistung der Kontinuität und Integrität der Daten

1. Der Auftragsverarbeiter wendet Verfahren an, die die Betriebskontinuität der IT-Systeme gewährleisten.
2. Die Daten sind geschützt vor:
3. • zufälliger oder unbefugter Vernichtung,
   • Verlust,
   • Veränderung,
   • unbefugter Offenlegung.
3. Sicherungskopien und Betriebskontinuität:
4. • regelmäßige Backups (3-2-1-Regel),
   • Tests der Datenwiederherstellung.

4. Regelmäßige Überprüfung der Sicherheitsmaßnahmen

1. Der Auftragsverarbeiter führt eine regelmäßige Überprüfung und Aktualisierung der angewandten technischen und organisatorischen Maßnahmen durch.
2. Die Sicherheitsmaßnahmen werden angepasst an:
3. • die Art der verarbeiteten Daten,
   • den Umfang der Verarbeitung,
   • das Risiko einer Verletzung der Rechte oder Freiheiten der betroffenen Personen.