Auftragsverarbeitungs-Vertrag (AVV) — Vorlage

1. Vertragsgegenstand

Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung des SaaS-Produkts „Marginly" gemäß dem Hauptvertrag (AGB / Bestellschein). Dieser Vertrag konkretisiert die Rechte und Pflichten der Parteien gemäß Art. 28 DSGVO.

2. Datenarten und Betroffenenkategorien

Datenarten

• OTTO-Produkt-Daten (Artikelnummern, Titel, Preise, Bestände)
• OTTO-Bestelldaten (Bestellnummern, Bestellpositionen, Status, Versanddaten)
• Werbekampagnen-Daten (Kampagnenstruktur, Keywords, Search-Terms, Kennzahlen)
• Kommunikations- und Stammdaten (Name, geschäftliche E-Mail, Firma, Anschrift)
• Authentifizierungs-Metadaten (Login-Zeitstempel, Session-Token-Hashes)

Betroffenenkategorien

• Mitarbeitende und Beauftragte des Verantwortlichen
• Endkunden des Verantwortlichen, soweit in OTTO-Bestelldaten enthalten
• Geschäftspartner und Lieferanten des Verantwortlichen

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

1. verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht durch Unionsrecht oder mitgliedstaatliches Recht zur Verarbeitung verpflichtet,
2. gewährleistet, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
3. trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage A),
4. unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12–22 DSGVO) sowie bei Pflichten aus Art. 32–36 DSGVO,
5. meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung,
6. löscht oder gibt nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Erbringung der Verarbeitungsleistungen zurück und löscht bestehende Kopien, sofern nicht eine Verpflichtung zur Speicherung besteht,
7. stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

4. Technische und organisatorische Maßnahmen (TOMs)

Siehe Anlage A.

5. Sub-Auftragsverarbeiter

Der Auftragsverarbeiter ist berechtigt, Sub-Auftragsverarbeiter einzusetzen. Die aktuell eingesetzten Sub-Auftragsverarbeiter sind in Anlage B aufgeführt. Der Verantwortliche stimmt deren Einsatz zu. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung mindestens 30 Tage vorher. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.

6. Audit-Rechte

• Audits erfolgen mit angemessener Vorankündigung (mindestens 15 Werktage) maximal einmal pro Kalenderjahr, ausgenommen bei begründetem Verdacht auf Datenschutzverstöße.
• Der Auftragsverarbeiter kann anstelle eines Vor-Ort-Audits aktuelle Zertifikate, unabhängige Prüfberichte (z. B. ISO 27001, SOC 2) oder das CAIQ-Lite Self-Assessment vorlegen.

7. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen richtet sich die Haftung nach den Regelungen des Hauptvertrages.

8. Schlussbestimmungen

• Laufzeit: Dieser Vertrag läuft so lange, wie der Hauptvertrag besteht.
• Anwendbares Recht: Recht der Bundesrepublik Deutschland.
• Gerichtsstand: Bielefeld, soweit gesetzlich zulässig.
• Schriftform: Änderungen und Ergänzungen bedürfen der Textform.
• Salvatorische Klausel: Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Signatur-Block