Diesen Vertrag schließen Sie als Kunde (Verantwortlicher) mit uns (Auftragsverarbeiter) bei der Bestellung, indem Sie die Checkbox „Ich schließe den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab" bestätigen. Er regelt, wie wir Ihre Post und Ihre Scans in Ihrem Auftrag verarbeiten. Er ist Bestandteil des Vertrags über die Geschäftsadresse und den Postservice (im Folgenden „Hauptvertrag").
§ 1 Parteien
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde, wie in der Bestellung angegeben (Name oder Firma, Rechtsform, Anschrift, vertretungsberechtigte Person), im Folgenden „Verantwortlicher".
Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:
Schröer Digital UG (haftungsbeschränkt)
Auf der Lieth 16
37077 Göttingen
Amtsgericht Göttingen HRB 208067
Geschäftsführer: Konstantin Schröer
Telefon: 0551 27 07 01 39
E-Mail: info@geschaeftsadresse-online.de
im Folgenden „Auftragsverarbeiter".
§ 2 Gegenstand und Dauer
(1) Gegenstand: Der Auftragsverarbeiter nimmt Postsendungen entgegen, die an den Verantwortlichen unter der Geschäftsadresse gerichtet sind, fotografiert den Umschlag und öffnet, scannt, speichert, leitet weiter und vernichtet Sendungen nach Weisung des Verantwortlichen (Postvollmacht, Einstellungen im Kundenportal, Freigaben je Sendung) im Rahmen des gebuchten Pakets.
(2) Dauer: Dieser Vertrag gilt für die Dauer des Hauptvertrags. Er endet mit dem Hauptvertrag, zuzüglich der Zeit, die für Rückgabe und Löschung nach § 6 Absatz 7 nötig ist.
§ 3 Art und Zweck der Verarbeitung
(1) Art der Verarbeitung: Entgegennahme, Fotografieren des Umschlags, Öffnen, Scannen, Volltexterkennung (nur im Paket Digital Pro), Speichern im Kundenportal, Übermitteln an vom Verantwortlichen benannte Empfänger, Weiterleiten von Originalen, Aufbewahren, Vernichten.
(2) Zweck: Durchführung des Postservice für den Verantwortlichen nach dem Hauptvertrag. Der Auftragsverarbeiter verarbeitet die Daten zu keinem eigenen Zweck. Für die Metadaten des Postbetriebs (Eingangsdatum, Anzahl der Sendungen, Abrechnung) ist der Auftragsverarbeiter selbst Verantwortlicher; diese Daten sind nicht Gegenstand dieses Vertrags.
§ 4 Art der Daten
- Postsendungen und deren Inhalte (Briefe, Dokumente, Rechnungen, behördliche und gerichtliche Schreiben, Pakete, soweit gebucht)
- Absender- und Empfängerdaten auf Umschlägen und in Sendungen (Name, Anschrift, Eingangsdatum, Absendervermerke)
- Scans und Umschlagfotos einschließlich der darin erkannten Texte (Volltexterkennung im Paket Digital Pro)
- Weisungen und Einstellungen des Verantwortlichen zur Bearbeitung (Freigaben, Weiterleitungsadresse, benannte Empfänger)
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) können in Postsendungen enthalten sein, ohne dass der Auftragsverarbeiter das vorher erkennen kann. Der Auftragsverarbeiter behandelt deshalb alle Sendungen mit demselben Schutzniveau.
§ 5 Kategorien betroffener Personen
- der Kunde selbst und seine vertretungsberechtigten Personen
- Mitarbeiter des Kunden
- Geschäftspartner, Kunden und Lieferanten des Kunden
- Absender von Postsendungen und Personen, die in Sendungen genannt werden
§ 6 Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)
(1) Weisungsbindung (lit. a). Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind der Hauptvertrag, die Postvollmacht, die Einstellungen im Kundenportal und die Freigaben je Sendung; weitere Weisungen erteilt der Verantwortliche in Textform (E-Mail oder Kundenportal). Ist der Auftragsverarbeiter durch das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er das dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt.
(2) Vertraulichkeit (lit. b). Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben. Mitarbeiter, die Post öffnen, sind schriftlich auf das Postgeheimnis und die Vertraulichkeit nach der DSGVO verpflichtet. Die Verpflichtung besteht nach dem Ende der Tätigkeit fort.
(3) Sicherheit der Verarbeitung (lit. c, Art. 32 DSGVO). Der Auftragsverarbeiter trifft mindestens die folgenden technischen und organisatorischen Maßnahmen:
- Verschlossener Briefkasten je Kunde: Eingehende Post wird je Kunde getrennt in einem verschlossenen Briefkasten oder Fach aufbewahrt, bis sie bearbeitet wird.
- Zutrittskontrolle: Die Räume, in denen Post angenommen, gelagert und bearbeitet wird, sind verschlossen. Zutritt haben nur berechtigte Mitarbeiter.
- Zugriffskontrolle: Zugriff auf Post, Scans und Kundendaten haben nur die Mitarbeiter, die ihn für die Bearbeitung brauchen. Zugänge sind personengebunden.
- Verschlüsselte Übertragung: Kundenportal, Scans und E-Mail-Benachrichtigungen werden ausschließlich über verschlüsselte Verbindungen (TLS) übertragen.
- Verschlüsselte Speicherung: Scans werden verschlüsselt gespeichert.
- Aktenvernichtung: Originale werden nach Ablauf der Aufbewahrungsfrist oder auf Weisung nach DIN 66399, Sicherheitsstufe P-4, vernichtet.
- Backup in Deutschland: Sicherungskopien liegen verschlüsselt auf Servern in Deutschland und werden nach 30 Tagen überschrieben.
- Trennung: Daten verschiedener Kunden werden logisch getrennt verarbeitet.
Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht unterschritten wird.
(4) Unterauftragsverarbeiter (lit. d, Art. 28 Abs. 2 und 4 DSGVO). Der Verantwortliche stimmt dem Einsatz des folgenden Unterauftragsverarbeiters zu:
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Hosting des Kundenportals und Speicherung der Scans auf Servern in Deutschland. Hetzner hat keinen Zugriff auf Inhalte; mit Hetzner besteht ein Vertrag nach Art. 28 DSGVO.
Hinweis: Die Deutsche Post AG und andere Zustelldienste (zum Beispiel DHL), die Originale und Pakete auf Weisung des Verantwortlichen befördern, sind keine Auftragsverarbeiter im Sinne dieses Vertrags. Sie erbringen als eigenständig Verantwortliche eine Beförderungsleistung unter dem Postgeheimnis.
Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung (Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters) mindestens 4 Wochen vorher per E-Mail. Der Verantwortliche kann innerhalb von 2 Wochen aus wichtigem Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung kündigen. Der Auftragsverarbeiter legt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, und bleibt für deren Leistung verantwortlich.
(5) Unterstützung bei Betroffenenrechten (lit. e). Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
(6) Unterstützung bei Sicherheit und Meldungen (lit. f). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten, zum Beispiel Verlust einer Sendung, unbefugtes Öffnen oder unbefugter Zugriff auf Scans, meldet der Auftragsverarbeiter dem Verantwortlichen ohne unangemessene Verzögerung nach Bekanntwerden per E-Mail an die hinterlegte Adresse, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm bekannt sind.
(7) Löschung und Rückgabe nach Vertragsende (lit. g). Scans im Kundenportal werden 30 Tage nach Ende des Hauptvertrags gelöscht; bis dahin kann der Verantwortliche sie herunterladen. Originale werden nach Wahl des Verantwortlichen an die Weiterleitungsadresse gesendet (gegen die vereinbarten Weiterleitungskosten), abgeholt oder nach DIN 66399 P-4 vernichtet. Trifft der Verantwortliche bis 30 Tage nach Vertragsende keine Wahl, werden die Originale vernichtet. Sendungen, die nach Vertragsende eingehen, behandelt der Auftragsverarbeiter nach § 7 Abs. 4 der AGB. Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Pflichten aufbewahren muss (zum Beispiel Rechnungsdaten nach § 147 AO, Aufzeichnungen nach § 8 GwG), sind von der Löschung ausgenommen; für sie ist der Auftragsverarbeiter selbst Verantwortlicher.
(8) Nachweise und Kontrollen (lit. h). Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen. Der Verantwortliche kann sich die Einhaltung der Maßnahmen nach Absatz 3 durch eine Selbstauskunft des Auftragsverarbeiters nachweisen lassen. Darüber hinaus kann er nach vorheriger Abstimmung (mindestens 14 Tage vorher, zu den üblichen Geschäftszeiten, höchstens einmal je Kalenderjahr, bei konkretem Anlass auch öfter) eine Prüfung vor Ort selbst durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen. Der Auftragsverarbeiter weist den Verantwortlichen darauf hin, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.
§ 7 Weisungsrecht des Verantwortlichen
(1) Der Verantwortliche erteilt Weisungen über den Hauptvertrag, die Postvollmacht, das Kundenportal (Einstellungen, Freigaben je Sendung) oder in Textform per E-Mail. Mündliche Weisungen bestätigt er unverzüglich in Textform.
(2) Weisungsberechtigt sind die vertretungsberechtigte Person des Verantwortlichen und die von ihr im Kundenportal benannten Personen. Beim Auftragsverarbeiter nimmt der Geschäftsführer Weisungen entgegen.
(3) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt sicher, dass er berechtigt ist, den Auftragsverarbeiter mit dem Öffnen und Scannen der Post zu beauftragen, insbesondere gegenüber seinen Mitarbeitern und Geschäftspartnern.
§ 8 Verarbeitungsort
Die Verarbeitung findet ausschließlich in Deutschland statt. Eine Übermittlung in Länder außerhalb der EU erfolgt nur, wenn der Verantwortliche sie anweist, zum Beispiel durch eine Weiterleitungsadresse oder einen benannten Empfänger außerhalb der EU.
§ 9 Haftung
Die Haftung der Parteien für Verstöße gegen die DSGVO richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags (§ 13 AGB).
§ 10 Schlussbestimmungen
(1) Dieser Vertrag wird bei der Bestellung in Textform geschlossen (Art. 28 Abs. 9 DSGVO). Der Auftragsverarbeiter speichert Zeitpunkt und Vorgangsnummer der Bestätigung.
(2) Soweit es um den Schutz personenbezogener Daten geht, geht dieser Vertrag bei Widersprüchen den Regelungen des Hauptvertrags vor.
(3) Änderungen und Ergänzungen bedürfen der Textform.
(4) Es gilt das Recht der Bundesrepublik Deutschland. Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen oder hat er keinen allgemeinen Gerichtsstand in Deutschland, ist Göttingen Gerichtsstand.
(5) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.
Siehe auch: Datenschutzerklärung, AGB, Postvollmacht (Muster).