Vertrag zur Auftragsverarbeitung (AVV)

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers zur Erbringung der im Hauptvertrag (Nutzung der Seoseal-Plattform) vereinbarten Leistungen.
2. Die Dauer entspricht der Laufzeit des Hauptvertrags. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers; die Nutzung der Plattform durch den Auftraggeber gilt insoweit als Weisung. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber.

1. Art und Zweck: Speicherung, Anzeige, Organisation und Übermittlung von Daten zur Bereitstellung der Plattform (u. a. Fahrzeug-Landingpages, Ausleitung an Portale, Anfrage-/Lead-Verwaltung, E-Mail-Kommunikation).
2. Kategorien betroffener Personen: Interessenten und Anfragende des Auftraggebers, dessen Kund:innen sowie Nutzer:innen seiner öffentlichen Seiten.
3. Datenarten: Kontakt- und Kommunikationsdaten (Name, E-Mail, Telefon, Nachrichteninhalte), anfragebezogene Daten (interessiertes Fahrzeug), technische Nutzungsdaten (u. a. IP-Adresse, Zeitstempel) sowie ggf. weitere vom Auftraggeber eingestellte Daten.

1. Der Auftragnehmer verarbeitet die Daten nur im Rahmen des Auftrags und der Weisungen. Zu anderen Zwecken ist er nicht berechtigt.
2. Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheit unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
3. Der Auftragnehmer trifft die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (§ 5).
4. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO.
5. Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 DSGVO).

Weisungen erfolgen grundsätzlich in Textform bzw. über die dafür vorgesehenen Funktionen der Plattform. Mündliche Weisungen werden unverzüglich in Textform bestätigt. Der Auftraggeber ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich.

Der Auftragnehmer gewährleistet ein dem Risiko angemessenes Schutzniveau, insbesondere durch:

• Verschlüsselung der Datenübertragung (TLS) und Zugangsschutz;
• rollenbasierte Zugriffskontrolle und Mandantentrennung (Trennung der Daten je Organisation);
• Speicherung der Datenbank auf Servern innerhalb der EU;
• regelmäßige Datensicherung sowie Maßnahmen zur Wiederherstellbarkeit;
• Protokollierung sicherheitsrelevanter Ereignisse und laufende Fehlerüberwachung.

1. Der Auftraggeber genehmigt den Einsatz der nachfolgend genannten Unterauftragsverarbeiter. Mit diesen bestehen die nach Art. 28 Abs. 4 DSGVO erforderlichen Verpflichtungen.
2. Der Auftragnehmer darf weitere Unterauftragsverarbeiter hinzuziehen oder austauschen; er informiert den Auftraggeber darüber vorab in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund binnen angemessener Frist widersprechen.

Soweit Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO, u. a. EU-U.S. Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) nebst ergänzender Maßnahmen. Details siehe Datenschutzerklärung.

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen auf Anfrage zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang. Um den laufenden Betrieb nicht unverhältnismäßig zu beeinträchtigen, sind Kontrollen rechtzeitig anzukündigen und auf das Erforderliche zu beschränken; vorrangig können aussagekräftige Nachweise vorgelegt werden.

Nach Beendigung des Auftrags löscht der Auftragnehmer die personenbezogenen Daten nach Wahl des Auftraggebers oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung erfolgt nach Ablauf einer angemessenen Frist; die Pflicht des Auftraggebers zur eigenen Datensicherung bleibt unberührt.

1. Für die Haftung gelten die Regelungen der AGB entsprechend, soweit gesetzlich zulässig. Art. 82 DSGVO bleibt unberührt.
2. Änderungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.