Vertrag zur Auftragsverarbeitung

Parteien

Verantwortlicher (Auftraggeber): das Unternehmen, für das ein Workspace in Placely angelegt wird, vertreten durch die Person, die ihn anlegt.

Auftragsverarbeiter (Auftragnehmer): Jeremy James Lante Lamptey, Lamptey Media, Ritterstraße 170, 47805 Krefeld, kontakt@lamptey-media.de.

1.Gegenstand und Dauer

1. Der Auftragnehmer stellt dem Auftraggeber die Recruiting-Software Placely unter app.myplacely.de als Online-Dienst bereit (Hauptvertrag). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.
2. Dieser Vertrag gilt für die Laufzeit des Hauptvertrags. Er endet nicht, solange der Auftragnehmer noch Daten des Auftraggebers verarbeitet, insbesondere bis zur Löschung nach § 11.

2.Art, Zweck und Umfang

Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen beschreibt Anlage 1. Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in ein Drittland erfolgt nur nach Anlage 3 und nur mit den Garantien der Art. 44 ff. DSGVO.

3.Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind der Hauptvertrag, dieser Vertrag und die Einstellungen und Aktionen, die der Auftraggeber und seine Nutzer in Placely vornehmen, zum Beispiel das Versenden einer E-Mail, das Einschalten des Posteingang-Abgleichs oder das Löschen eines Eintrags. Weitere Weisungen erteilt der Auftraggeber in Textform.
2. Ist der Auftragnehmer gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dem Auftraggeber dies vorher mit, sofern das Gesetz die Mitteilung nicht verbietet.
3. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

4.Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Datenerhebung, der Ansprache per E-Mail und der Messung von Öffnungen und Klicks, und für die Information der betroffenen Personen nach Art. 13 und 14 DSGVO.
2. Verbindet der Auftraggeber ein Microsoft-365-Postfach, gilt für die Verarbeitung bei Microsoft sein eigener Vertrag mit Microsoft. Microsoft ist kein Unterauftragsverarbeiter des Auftragnehmers.
3. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5.Vertraulichkeit

Der Auftragnehmer gewährt Zugriff auf die Daten nur Personen, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und nur soweit es für die Leistung erforderlich ist. Derzeit hat allein der Auftragnehmer selbst administrativen Zugriff.

6.Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
2. Er darf die Maßnahmen dem technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.

7.Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Der Auftragnehmer darf weitere Unterauftragsverarbeiter einsetzen oder bestehende ersetzen. Er kündigt das mindestens 30 Tage vorher in Textform an. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO).

8.Rechte betroffener Personen

1. Placely stellt Funktionen bereit, mit denen der Auftraggeber Anfragen betroffener Personen selbst erfüllen kann: Daten anzeigen und berichtigen, Einträge löschen, Kontakte und Unternehmen als CSV exportieren, Abmeldungen und den Verzicht auf Nachverfolgung verwalten.
2. Wendet sich eine betroffene Person an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter, soweit er ihn zuordnen kann, und beantwortet sie nicht selbst. Darüber hinaus unterstützt er den Auftraggeber angemessen.

9.Weitere Unterstützung, Meldung von Verletzungen

1. Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, mit den Informationen, die ihm vorliegen.
2. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem er davon Kenntnis erlangt hat. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach.

10.Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag erforderlich sind.
2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf Kontrollen durchführen. Vor-Ort-Kontrollen sind mit einer Frist von 14 Tagen anzukündigen, finden während der üblichen Geschäftszeiten statt und sollen den Betrieb nicht unverhältnismäßig stören. Außer aus konkretem Anlass finden sie höchstens einmal im Jahr statt.

11.Rückgabe und Löschung

1. Vor Ende des Hauptvertrags kann der Auftraggeber seine Daten mit den Exportfunktionen in Placely sichern. Daten, für die es keine Exportfunktion gibt, stellt der Auftragnehmer auf Anfrage in einem gängigen Format bereit.
2. Nach Ende des Hauptvertrags löscht der Auftragnehmer alle Daten des Auftraggebers. Die Löschung entspricht der Funktion „Workspace löschen“: Der Workspace wird gesperrt und nach 30 Tagen mit allen Daten, Dokumenten und den Konten, die nur dort Mitglied sind, endgültig gelöscht.
3. Verschlüsselte Sicherungen werden nicht einzeln bereinigt. Sie laufen nach ihrer Aufbewahrungsfrist ab, spätestens nach 90 Tagen, und werden bis dahin nur zur Wiederherstellung nach einem Ausfall verwendet.
4. Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

12.Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags, soweit dieser Vertrag nichts anderes bestimmt.

13.Abschluss und Schlussbestimmungen

1. Der Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO): Die Person, die den Workspace anlegt, bestätigt ihn für den Auftraggeber in Placely. Placely speichert Zeitpunkt, Person und Version. Bei einer neuen Fassung bestätigt der Auftraggeber sie in den Einstellungen.
2. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.
3. Änderungen und Ergänzungen bedürfen der Textform.
4. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die ihrem Zweck am nächsten kommt.
5. Es gilt deutsches Recht. Gerichtsstand ist Krefeld, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.