Diesen Vertrag schließen Sie als Kunde (Verantwortlicher) mit uns (Auftragsverarbeiter) als Anlage zum Vertrag über die Geschäftsadresse. Er liegt unserem Angebot bei und wird mit dessen Annahme in Textform geschlossen. Er regelt, wie wir Ihre Post und Ihre Scans in Ihrem Auftrag verarbeiten. Er ist Bestandteil des Vertrags über die Geschäftsadresse und den Postservice (im Folgenden „Hauptvertrag").
§ 1 Parteien
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde mit den im Vertrag angegebenen Daten (Name oder Firma, Rechtsform, Anschrift, vertretungsberechtigte Person), im Folgenden „Verantwortlicher".
Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:
CPV Photovoltaik UG (haftungsbeschränkt)
Schulstraße 5
31028 Gronau (Leine)
Amtsgericht Lemgo HRB 11533
Geschäftsführerin: Susanne Stroot
E-Mail: info@geschaeftsadresse-online.de
im Folgenden „Auftragsverarbeiter".
§ 2 Gegenstand und Dauer
(1) Gegenstand: Der Auftragsverarbeiter nimmt Postsendungen entgegen, die an den Verantwortlichen unter der Geschäftsadresse gerichtet sind, fotografiert den Umschlag und öffnet, scannt, speichert, leitet weiter und vernichtet Sendungen nach Weisung des Verantwortlichen (Postvollmacht, Vorgaben und Freigaben des Verantwortlichen in Textform) im Rahmen des gebuchten Pakets.
(2) Dauer: Dieser Vertrag gilt für die Dauer des Hauptvertrags. Er endet mit dem Hauptvertrag, zuzüglich der Zeit, die für Rückgabe und Löschung nach § 6 Absatz 7 nötig ist.
§ 3 Art und Zweck der Verarbeitung
(1) Art der Verarbeitung: Entgegennahme, Fotografieren des Umschlags, Öffnen, Scannen, Speichern beim Auftragsverarbeiter, Übersenden an den Verantwortlichen per E-Mail, Übermitteln an vom Verantwortlichen benannte Empfänger, Weiterleiten von Originalen, Aufbewahren, Vernichten.
(2) Zweck: Durchführung des Postservice für den Verantwortlichen nach dem Hauptvertrag. Der Auftragsverarbeiter verarbeitet die Daten zu keinem eigenen Zweck. Für die Metadaten des Postbetriebs (Eingangsdatum, Anzahl der Sendungen, Abrechnung) ist der Auftragsverarbeiter selbst Verantwortlicher; diese Daten sind nicht Gegenstand dieses Vertrags.
§ 4 Art der Daten
- Postsendungen und deren Inhalte (Briefe, Dokumente, Rechnungen, behördliche und gerichtliche Schreiben, Pakete, soweit gebucht)
- Absender- und Empfängerdaten auf Umschlägen und in Sendungen (Name, Anschrift, Eingangsdatum, Absendervermerke)
- Scans und Umschlagfotos
- Weisungen und Einstellungen des Verantwortlichen zur Bearbeitung (Freigaben, Weiterleitungsadresse, benannte Empfänger)
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) können in Postsendungen enthalten sein, ohne dass der Auftragsverarbeiter das vorher erkennen kann. Der Auftragsverarbeiter behandelt deshalb alle Sendungen mit demselben Schutzniveau.
§ 5 Kategorien betroffener Personen
- der Kunde selbst und seine vertretungsberechtigten Personen
- Mitarbeiter des Kunden
- Geschäftspartner, Kunden und Lieferanten des Kunden
- Absender von Postsendungen und Personen, die in Sendungen genannt werden
§ 6 Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)
(1) Weisungsbindung (lit. a). Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind der Hauptvertrag, die Postvollmacht sowie die Vorgaben und Freigaben je Sendung, die der Verantwortliche in Textform erteilt; weitere Weisungen erteilt der Verantwortliche in Textform per E-Mail. Ist der Auftragsverarbeiter durch das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er das dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt.
(2) Vertraulichkeit (lit. b). Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben. Personen, die für den Auftragsverarbeiter Post öffnen, werden vor der ersten Tätigkeit in Textform auf das Postgeheimnis und die Vertraulichkeit nach der DSGVO verpflichtet. Die Verpflichtung besteht nach dem Ende der Tätigkeit fort.
(3) Sicherheit der Verarbeitung (lit. c, Art. 32 DSGVO). Der Auftragsverarbeiter trifft mindestens die folgenden technischen und organisatorischen Maßnahmen:
- Getrennte Aufbewahrung: Eingehende Post wird je Kunde getrennt aufbewahrt, bis sie bearbeitet wird.
- Zutrittskontrolle: Die Räume, in denen Post angenommen, gelagert und bearbeitet wird, sind verschlossen, wenn dort nicht gearbeitet wird. Zutritt haben nur die Personen, die dort für den Auftragsverarbeiter arbeiten.
- Zugriffskontrolle: Zugriff auf Post, Scans und Kundendaten haben nur die Personen, die ihn für die Bearbeitung brauchen. Zugänge sind personengebunden.
- Verschlüsselte Übertragung: Die Website und der Versand der Benachrichtigungen und Scans laufen über verschlüsselte Verbindungen (TLS), soweit der empfangende Server TLS unterstützt.
- Zugriffsbeschränkte Speicherung: Scans liegen auf einem zugriffsbeschränkten Server in Deutschland.
- Aktenvernichtung: Originale werden nach Ablauf der Aufbewahrungsfrist oder auf Weisung im Haus mit einem Aktenvernichter mit Kreuzschnitt vernichtet und nicht an Dritte gegeben.
- Sicherungskopien: Sicherungskopien liegen ausschließlich auf Servern in Deutschland.
- Trennung: Daten verschiedener Kunden werden getrennt verarbeitet.
Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht unterschritten wird.
(4) Unterauftragsverarbeiter (lit. d, Art. 28 Abs. 2 und 4 DSGVO). Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Hosting der Website und Speicherung der Scans auf Servern in Deutschland. Hetzner hat keinen Zugriff auf Inhalte; mit Hetzner besteht ein Vertrag nach Art. 28 DSGVO.
- SiteGround Spain S.L., Madrid, Spanien: E-Mail-Postfach und E-Mail-Versand, über den Umschlagbilder und Scans an den Verantwortlichen gehen; Server in der EU; Vertrag nach Art. 28 DSGVO.
Hinweis: Die Deutsche Post AG und andere Zustelldienste (zum Beispiel DHL), die Originale und Pakete auf Weisung des Verantwortlichen befördern, sind keine Auftragsverarbeiter im Sinne dieses Vertrags. Sie erbringen als eigenständig Verantwortliche eine Beförderungsleistung unter dem Postgeheimnis.
Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung (Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters) mindestens 4 Wochen vorher per E-Mail. Der Verantwortliche kann innerhalb von 2 Wochen aus wichtigem Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung kündigen. Der Auftragsverarbeiter legt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, und bleibt für deren Leistung verantwortlich.
(5) Unterstützung bei Betroffenenrechten (lit. e). Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
(6) Unterstützung bei Sicherheit und Meldungen (lit. f). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten, zum Beispiel Verlust einer Sendung, unbefugtes Öffnen oder unbefugter Zugriff auf Scans, meldet der Auftragsverarbeiter dem Verantwortlichen ohne unangemessene Verzögerung nach Bekanntwerden per E-Mail an die hinterlegte Adresse, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm bekannt sind.
(7) Löschung und Rückgabe nach Vertragsende (lit. g). Die beim Auftragsverarbeiter gespeicherten Scans werden 30 Tage nach Ende des Hauptvertrags gelöscht; bis dahin sendet der Auftragsverarbeiter sie auf Anfrage erneut per E-Mail zu. Originale werden nach Wahl des Verantwortlichen an die Weiterleitungsadresse gesendet (gegen die vereinbarten Weiterleitungskosten), abgeholt oder im Haus vernichtet. Trifft der Verantwortliche bis 30 Tage nach Vertragsende keine Wahl, werden die Originale vernichtet. Sendungen, die nach Vertragsende eingehen, behandelt der Auftragsverarbeiter nach § 7 Abs. 4 der AGB. Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Pflichten aufbewahren muss (zum Beispiel Rechnungsdaten nach § 147 AO, Aufzeichnungen nach § 8 GwG), sind von der Löschung ausgenommen; für sie ist der Auftragsverarbeiter selbst Verantwortlicher.
(8) Nachweise und Kontrollen (lit. h). Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen. Der Verantwortliche kann sich die Einhaltung der Maßnahmen nach Absatz 3 durch eine Selbstauskunft des Auftragsverarbeiters nachweisen lassen. Darüber hinaus kann er nach vorheriger Abstimmung (mindestens 14 Tage vorher, Montag bis Freitag von 9 bis 16 Uhr, höchstens einmal je Kalenderjahr, bei konkretem Anlass auch öfter) eine Prüfung vor Ort selbst durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen. Der Auftragsverarbeiter weist den Verantwortlichen darauf hin, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.
§ 7 Weisungsrecht des Verantwortlichen
(1) Der Verantwortliche erteilt Weisungen über den Hauptvertrag, die Postvollmacht sowie in Textform per E-Mail (Vorgaben und Freigaben je Sendung). Mündliche Weisungen bestätigt er unverzüglich in Textform.
(2) Weisungsberechtigt sind die vertretungsberechtigte Person des Verantwortlichen und die von ihr in Textform benannten Personen. Beim Auftragsverarbeiter nimmt die Geschäftsführung Weisungen entgegen.
(3) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt sicher, dass er berechtigt ist, den Auftragsverarbeiter mit dem Öffnen und Scannen der Post zu beauftragen, insbesondere gegenüber seinen Mitarbeitern und Geschäftspartnern.
§ 8 Verarbeitungsort
Die Verarbeitung findet ausschließlich in Deutschland statt. Eine Übermittlung in Länder außerhalb der EU erfolgt nur, wenn der Verantwortliche sie anweist, zum Beispiel durch eine Weiterleitungsadresse oder einen benannten Empfänger außerhalb der EU.
§ 9 Haftung
Die Haftung der Parteien für Verstöße gegen die DSGVO richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags (§ 13 AGB).
§ 10 Schlussbestimmungen
(1) Dieser Vertrag wird gemeinsam mit dem Hauptvertrag in Textform geschlossen (Art. 28 Abs. 9 DSGVO). Der Auftragsverarbeiter speichert Angebot, Annahme und den Zeitpunkt des Vertragsschlusses.
(2) Soweit es um den Schutz personenbezogener Daten geht, geht dieser Vertrag bei Widersprüchen den Regelungen des Hauptvertrags vor.
(3) Änderungen und Ergänzungen bedürfen der Textform.
(4) Es gilt das Recht der Bundesrepublik Deutschland. Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen oder hat er keinen allgemeinen Gerichtsstand in Deutschland, ist Hildesheim Gerichtsstand.
(5) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.
Siehe auch: Datenschutzerklärung, AGB, Postvollmacht (Wortlaut).