Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Kunden (Verantwortlicher) und Muster Software GmbH (Demo), Beispielweg 1
12345 Musterstadt (Auftragsverarbeiter).

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen einen Gutschein-Shop mit Backoffice. Die Verarbeitung dauert so lange wie der Hauptvertrag.

2. Art und Zweck, Daten und Betroffene

Verarbeitet werden Bestandsdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Vertrags- und Zahlungsdaten (Bestellungen, Beträge, Zahlungseingänge, Einlösungen) sowie Angaben auf Gutscheinen von Kundinnen und Kunden des Verantwortlichen und von dessen Mitarbeitenden (Benutzerkonten). Zweck ist der Verkauf, die Bezahlung, der Versand und die Einlösung von Gutscheinen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus dem Hauptvertrag und den Einstellungen im Backoffice.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

Verschlüsselte Übertragung (TLS), Passwörter nur als Hash, verschlüsselte Speicherung von Zugangsschlüsseln, getrennte Mandanten, Protokollierung, regelmäßige Datensicherung, Zugriff nur für berechtigte Personen. Hosting: [Hosting und Standort ergänzen.]

6. Unterauftragsverarbeiter

[Hosting-Anbieter], [E-Mail-Versanddienst], bei aktiviertem Google Wallet: Google Ireland Ltd. (Google Wallet API). Über Änderungen informiert der Auftragsverarbeiter vorab; der Verantwortliche kann widersprechen.

7. Unterstützung und Meldepflichten

Der Auftragsverarbeiter unterstützt bei Anfragen Betroffener und meldet Datenschutzverletzungen unverzüglich.

8. Löschung und Rückgabe

Nach Ende der Laufzeit bleibt das Konto inaktiv bestehen, damit bereits verkaufte Gutscheine weiter eingelöst werden können; die Daten werden in dieser Zeit nur gespeichert und für Einlösung, Prüfung und Export verarbeitet. Auf Weisung des Verantwortlichen werden die Daten zurückgegeben (Export) oder gelöscht, soweit keine Aufbewahrungspflicht besteht.

9. Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung.

Entwurf – vor Veröffentlichung rechtlich prüfen lassen. Für Kunden in der Schweiz gilt ergänzend das DSG.