Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag gilt zwischen dem Kunden, der mit der JDK Marketing UG (haftungsbeschränkt) einen Vertrag über Marketingdienstleistungen geschlossen hat (nachfolgend „Auftraggeber“), und der JDK Marketing UG (haftungsbeschränkt), Herthastr. 39, 80639 München, vertreten durch die Geschäftsführer Gennadios Tsachidis, Dušan Andrić und Karim Abidi (nachfolgend „Auftragsverarbeiter“), gemeinsam die „Parteien“.

§ 1 Begriffsbestimmungen

(1) Die in diesem Vertrag verwendeten Begriffe entsprechen den Definitionen des Art. 4 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“), insbesondere den Begriffen „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Aufsichtsbehörde“. Verantwortlicher im Sinne dieses Vertrags ist der Auftraggeber.

§ 2 Gegenstand und Dauer des Auftrags

(1) Gegenstand dieses Vertrags ist die Durchführung von Online-Marketing- und Werbedienstleistungen für den Auftraggeber. Hierzu zählen insbesondere die Planung, Einrichtung und Steuerung von Werbekampagnen über die in Anlage 2 genannten Plattformen, die Erfolgsmessung mittels Messwerkzeugen (Pixel, Tags, Conversions-Schnittstellen), die Bildung von Zielgruppen und Custom Audiences sowie der Betrieb der zugehörigen Website- und CRM-Infrastruktur. Im Rahmen dieser Leistungen erhält der Auftragsverarbeiter Zugriff auf personenbezogene Daten von Kunden und Interessenten des Auftraggebers.

(2) Die Verarbeitung erfolgt regelmäßig über die Werbe-, Analyse- und sonstigen Plattformkonten des Auftraggebers. Der Betrieb von Website und CRM erfolgt über die eigene Infrastruktur des Auftragsverarbeiters (Anlage 2 Teil A).

(3) Die Dauer dieses Vertrags ist an die Laufzeit des zugrunde liegenden Dienstleistungsverhältnisses zwischen den Parteien gekoppelt und endet automatisch mit dessen Beendigung, sofern nicht gesondert gekündigt. Ein separater schriftlicher Dienstleistungsvertrag ist keine Wirksamkeitsvoraussetzung dieses Vertrags.

§ 3 Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Art der Daten

(1) Zweck der Verarbeitung ist die Kampagnensteuerung, die Erfolgsmessung sowie die Zielgruppenbildung im Rahmen der beauftragten Marketingleistungen.

(2) Kategorien betroffener Personen sind Kunden, Website-Besucher, Interessenten und Newsletter-Empfänger des Auftraggebers.

(3) Gegenstand der Verarbeitung sind Stammdaten, Kontaktdaten, Nutzungs- und Interaktionsdaten sowie Online-Kennungen (Cookies, Werbe-IDs, IP-Adressen) der betroffenen Personen; im Rahmen von Custom Audiences gegebenenfalls gehashte E-Mail-Adressen und Telefonnummern.

(4) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO sind nicht Gegenstand der Verarbeitung, es sei denn, die Parteien vereinbaren dies ausdrücklich und gesondert.

§ 4 Weisungsrecht des Auftraggebers

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet.

(2) Weisungen werden grundsätzlich in Textform erteilt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, hat er den Auftraggeber unverzüglich hierauf hinzuweisen. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(4) Weisungsbefugt auf Seiten des Auftraggebers ist dessen gesetzliche Vertretung. Ansprechpartner auf Seiten des Auftragsverarbeiters ist die Geschäftsführung, erreichbar unter info@jdksocialgrowth.com.

§ 5 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen auf die Vertraulichkeit und das Datengeheimnis. Dies gilt auch für die Geschäftsführung selbst.

(2) Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des Möglichen bei der Erfüllung der Rechte betroffener Personen, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit, sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO.

(3) Der Auftragsverarbeiter meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden nach Kenntniserlangung. Der genannte Zeitraum ist ein Richtwert und keine starre Frist.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 1 aufgeführten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.

(2) Änderungen der Maßnahmen dürfen das vereinbarte Schutzniveau nicht unterschreiten und sind dem Auftraggeber auf Verlangen anzuzeigen.

§ 7 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt mit Abschluss dieses Vertrags seine allgemeine Genehmigung zum Einsatz der in Anlage 2 Teil A genannten Unterauftragsverarbeiter. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Auftraggeber vorab in Textform. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen.

(2) Die Verarbeitung erfolgt regelmäßig über die Plattformkonten des Auftraggebers (Anlage 2 Teil B). Für die datenschutzrechtlichen Vereinbarungen mit diesen Plattformanbietern ist der Auftraggeber als Kontoinhaber selbst verantwortlich. Setzt der Auftragsverarbeiter im Einzelfall ausnahmsweise eigene Plattformkonten ein, gelten die betreffenden Anbieter insoweit als Unterauftragsverarbeiter des Auftragsverarbeiters; die Absätze 1, 3 und 4 gelten dann entsprechend.

(3) Der Auftragsverarbeiter erlegt jedem von ihm eingesetzten Unterauftragsverarbeiter durch Vertrag die gleichen Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Entsprechende Auftragsverarbeitungsverträge mit den in Anlage 2 Teil A genannten Anbietern liegen vor.

(4) Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet oder ein Zugriff aus einem Drittland möglich ist, erfolgt die Übermittlung nur auf Grundlage eines Angemessenheitsbeschlusses (insbesondere des EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist) oder geeigneter Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln) nebst erforderlicher ergänzender Maßnahmen. Das Hosting durch Vercel und Supabase erfolgt in Rechenzentren innerhalb der EU.

§ 8 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber ist berechtigt, sich von der Einhaltung der in Anlage 1 genannten Maßnahmen zu überzeugen. Der Nachweis erfolgt vorrangig durch Vorlage geeigneter Unterlagen, etwa aktueller Testate, Zertifizierungen oder der Auftragsverarbeitungsverträge mit den Unterauftragsverarbeitern.

(2) Vor-Ort-Kontrollen sind auf das erforderliche Maß beschränkt und höchstens einmal jährlich zulässig, außer es besteht ein konkreter Anlass. Sie sind mindestens zwei Wochen im Voraus anzukündigen und dürfen den Geschäftsbetrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigen.

(3) Die Kosten einer Kontrolle trägt der Auftraggeber selbst, es sei denn, die Kontrolle deckt einen tatsächlichen Verstoß des Auftragsverarbeiters auf.

§ 9 Mitteilungspflichten

Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen von Aufsichtsbehörden, soweit sie diesen Auftrag betreffen, sowie über Verletzungen des Schutzes personenbezogener Daten.

§ 10 Löschung und Rückgabe personenbezogener Daten

(1) Nach Beendigung dieses Vertrags löscht der Auftragsverarbeiter nach Wahl des Auftraggebers sämtliche personenbezogenen Daten oder gibt sie zurück, spätestens innerhalb von 30 Tagen nach Vertragsende, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht.

(2) Gesetzliche Aufbewahrungspflichten, insbesondere nach § 257 HGB und § 147 AO, bleiben unberührt. Die DSGVO selbst sieht keine Mindestspeicherdauer vor, sondern verlangt die Zweckbindung und Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO.

(3) Die Löschung ist dem Auftraggeber auf Verlangen zu bestätigen.

§ 11 Haftung

(1) Der Auftragsverarbeiter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit sowie bei der Verletzung von Leben, Körper oder Gesundheit.

(2) Bei einfacher Fahrlässigkeit haftet der Auftragsverarbeiter nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Auftraggeber regelmäßig vertrauen darf. In diesem Fall ist die Haftung auf den vorhersehbaren, vertragstypischen Schaden begrenzt.

(3) Im Übrigen ist die Haftung des Auftragsverarbeiters ausgeschlossen, soweit gesetzlich zulässig.

(4) Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO sowie die Haftung nach zwingenden gesetzlichen Vorschriften bleiben von den vorstehenden Regelungen unberührt.

(5) Verursacht der Auftragsverarbeiter schuldhaft ein Bußgeld oder einen Schadensersatzanspruch gegen den Auftraggeber, stellt er den Auftraggeber im Rahmen der vorstehenden Haftungsbegrenzung hiervon frei.

§ 12 Laufzeit und Kündigung

Die Laufzeit dieses Vertrags richtet sich nach § 2 Abs. 3. Ein außerordentliches Kündigungsrecht besteht für beide Parteien bei einem schwerwiegenden Verstoß der anderen Partei gegen datenschutzrechtliche Pflichten.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftraggebers.

(4) Eine Unterschrift ist für die Wirksamkeit nach Art. 28 Abs. 9 DSGVO nicht zwingend erforderlich; Textform genügt.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO): Zugriff ausschließlich durch die drei Geschäftsführer des Auftragsverarbeiters; keine weiteren Beschäftigten. Individuelle Benutzerkonten mit Zwei-Faktor-Authentifizierung. Einsatz eines Passwort-Managers für starke, einzigartige Zugangsdaten. Rollenbasierte Zugriffsrechte in Werbeplattformen, Hosting und CRM nach dem Prinzip der geringsten Rechte. Verpflichtung aller Beteiligten auf das Datengeheimnis.

Integrität: Vollverschlüsselung der Endgeräte mit BitLocker. Kundendaten werden grundsätzlich nur in den in Anlage 2 genannten Cloud-Diensten verarbeitet; eine lokale Speicherung erfolgt nur ausnahmsweise und dann ausschließlich auf verschlüsselten Geräten. Nachvollziehbarkeit von Änderungen durch Versionierung (CRM, Code-Repositories) und die Protokolle der eingesetzten Plattformen.

Verfügbarkeit und Belastbarkeit: Betrieb über Cloud-Anbieter mit Rechenzentren in der EU (Vercel, Supabase, IONOS). Automatische Datensicherung und Redundanz durch diese Anbieter. Keine ausschließliche Vorhaltung kritischer Daten auf lokalen Endgeräten.

Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO): Abschluss von Auftragsverarbeitungsverträgen mit allen eingesetzten Unterauftragsverarbeitern (Anlage 2 Teil A) und regelmäßige Prüfung von deren Datenschutz-Nachweisen (Zertifizierungen, DPF-Listung, Standardvertragsklauseln). Interne Überprüfung der Maßnahmen mindestens einmal jährlich. Einschlägige fachliche Qualifikation (Fachinformatiker) in der Geschäftsführung.

Anlage 2: Genehmigte Unterauftragsverarbeiter

Teil A: Vom Auftragsverarbeiter eingesetzte Unterauftragsverarbeiter (eigene Infrastruktur)

Teil B: Über die Konten des Auftraggebers genutzte Plattformen

Der Auftraggeber ist als Kontoinhaber für die datenschutzrechtliche Vereinbarung mit diesen Anbietern selbst verantwortlich. Die Auflistung dient der Transparenz. Nicht bei jedem Kunden kommen alle genannten Dienste zum Einsatz.

Für die Software Agency-Flow gilt ein eigener Auftragsverarbeitungsvertrag: app.agency-flow.de/avv